![](https://webcf.waybackmachine.org/web/20240222201716im_/https://habrastorage.org/r/w780/getpro/habr/upload_files/21e/a96/401/21ea964019cef92f9e7b7f9b087f828d.jpg)
Недавно мы запустили блог центра исследования киберугроз Solar 4RAYS, где делимся аналитикой об актуальных угрозах, результатами расследований инцидентов, полезными инструментами для реагирования на кибератаки и другими практическими материалами. Некоторые исследования из блога мы будем размещать и здесь, и это – одно из них.
В ходе расследования атаки на одно из госучреждений в декабре этого года мы обнаружили новые индикаторы, которые с высокой долей вероятности можно атрибутировать преступной группировке (Ex)Cobalt (также известной как Comet/Shadow/Twelve). Группировка ранее преследовала финансовую выгоду, но затем сменила вектор и стала заниматься атаками, свойственными кибершпионам.
Мы выяснили, что с недавних пор злоумышленники стали использовать новую сетевую инфраструктуру и изменили технику развертывания главной вредоносной нагрузки. Также нам удалось обнаружить несколько новых доменов, потенциально связанных с группировкой. Они пока не использовались в атаках, но требуют пристального внимания, так как злоумышленники могут задействовать их в ближайшем будущем.