Неизвестная группировка хакеров почти четыре года оставалась незамеченной во внутренней сети российского государственного ведомства. Об этом сообщили аналитики Positive Technologies, выяснившие, что злоумышленники контролировали инфраструктуру 1398 дней до момента обнаружения. Столь длительный срок скрытного присутствия указывает на полный обход периметровой защиты и высочайший уровень конспирации атакующих.

Среднее время скрытого пребывания хакеров в сетях обычно измеряется неделями или месяцами, но в данном случае речь идёт о критическом провале систем мониторинга. Расследование показало, что активная фаза кампании стартовала не позже апреля 2022 года. Аналитики подчёркивают, что выявленный эпизод — лишь часть многолетней операции, и организациям необходимо ретроспективно анализировать логи за несколько лет, чтобы найти ещё более ранние следы вторжений.

Для маскировки вредоносного кода группировка подделывала цифровые подписи и названия легитимных средств защиты информации. Команды для управления сетью зараженных агентов передавались через именованные каналы операционной системы Windows. С февраля 2026 года атакующие перешли к активной экспансии и использовали протокол SMB вместе с планировщиком заданий для масштабирования присутствия.

Арсенал злоумышленников включил инструменты SilentCOM, TediousLoader и CunningDoor. Эти программы выполняли вредоносный код исключительно в оперативной памяти и не оставляли следов на жёстких дисках. Для закрепления в системе хакеры использовали техники COM Hijacking и модификацию Time Providers. Это гарантировало запуск вредоносов при каждом старте системы и помогало обходить стандартные антивирусные проверки.