Хакер #326. Router from Hell
Подписка на «Хакер» -50%
Эксперты «Лаборатории Касперского» обнаружили активную кибершпионскую кампанию HelloNet , нацеленную на крупные российские организации. Атаки начались в мае 2026 года и затронули госструктуры, промышленные и энергетические компании, транспортно-логистический сектор и образовательные учреждения.
Исследователи пишут, что для закрепления в системе злоумышленники используют компонент обновлений ViPNet — комплекса для создания защищенных сетей. В каталог C:\Program Files (x86)\InfoTeCS\VIPNet Update System они помещают вредоносную библиотеку wtsapi32.dll. При старте Windows файл itcsrvup64.exe подхватывает ее (благодаря технике DLL Sideloading), после чего малварь запускается вместе с системой.
Библиотека содержит загрузчик HelloInjector, который ищет процесс svchost.exe с параметром netsvcs, внедряет в него свой код и запускает в памяти следующий модуль — HelloProxy. Тот, в свою очередь, работает как скрытый прокси и загрузчик, перехватывает сетевые функции Windows и принимает новые пейлоады с управляющего сервера злоумышленников. Для связи малварь прослушивает порты 5003 и 5060.
В зараженных сетях аналитики обнаружили еще три новых компонента:
HelloExecutor выполняет команды и используется для разведки, и с его помощью атакующие собирали информацию о пользователях, группах, сетевых настройках и установленном ПО ViPNet;
HelloCleaner чистит журналы ViPNet, скрывая следы атаки;
HelloBackdoor, написанный на Rust, принимает соединения на порту 443, способен загружать и выгружать файлы, завершать свою работу и выполнять произвольные команды через cmd.exe.
На одной из машин злоумышленники также развернули обратный SSH-туннель к серверу 5.39.253[.]206. Для этого они использовали переименованный бинарник PuTTY или Plink, скрытый под именем frontpage.exe в директории C:\Users\Public\Music.
С низкой степенью уверенности исследователи связывают кампанию HelloNet с неизвестной китайской APT-группировкой. Дело в том, что в изученных образцах была найдена строка со ссылкой на китайский портал Sina, а также следы загрузки Rust-пакетов с зеркала Китайского университета науки и технологий. Однако исследователи не исключают, что злоумышленники специально оставили ложные флаги.
Эксперты напоминают, что это уже не первая атака на системы, использующие ViPNet. В 2025 году специалисты обнаружили сложный бэкдор , который маскировался под обновления этого ПО, и эти атаки затронули десятки российских организаций.
Исследователи рекомендуют отдельно контролировать рабочие станции с ViPNet, отслеживать появление wtsapi32.dll в каталоге обновлений, обнаруживать инъекции из itcsrvup64.exe в svchost.exe, переименованные PuTTY и Plink, а также обращать внимание на необычный трафик на портах 443, 5003 и 5060.