Специалисты «Лаборатории цифровой криминалистики и исследования вредоносного кода» компании F6 предупреждают о новой угрозе российскому бизнесу. В августе 2026 г. специалисты лаборатории выявили активность группировки вымогателей, которая называет себя VantaCore. Об этом CNews сообщили представители F6.
На данный момент известно как минимум о четырех жертвах группировки. Суммы запрашиваемых выкупов составляют миллионы долларов. На вопрос, новая ли эта группа или старая, но в новом обличии, специалисты лаборатории отмечают: есть все основания считать, что VantaCore – ребрендинг ранее известной проукраинской группы Thor.
Специалисты компании F6 не раз заявляли о консолидации и перегруппировке проукраинских группировок в 2025-2026 гг. Сейчас также наметилась тенденция отказа проукраинских кибербанд от популярного тандема шифровальщиков LockBit 3 Black и Babuk и перехода на программы-вымогатели собственной разработки. В марте этого года F6 уже сообщала о перевооружении группировки Bearlyfy на собственные шифровальщики GenieLocker. В августе же выявлены атаки группировки VantaCore с использованием одноимённой программы-вымогателя собственной разработки.
Криминалисты F6 считают: вероятно, что участники VantaCore, как и пропавшие с «радаров» их коллеги из группировки Shadow, решили создать имидж солидной партнерской программы вымогателей и создали сайт утечек (DLS) с информацией об атаках на различные компании в июне 2026 г.
Группировка VantaCore использует схему двойного и тройного вымогательства для дополнительного давления на жертву. Как свойственно проукраинским группам, похищенные данные спустя некоторое время продаются или просто распространяются на их ресурсах, а затем используются для организации новых атак и других деструктивных действий в отношении российских юридических и физических лиц.
Общение вымогателей с жертвой происходит в чате в сети Tor. Ссылка на данный чат содержится в записке с требованием выкупа за расшифровку. Даже визуально по дизайну чатов прослеживается взаимосвязь с группировкой Thor.
Сайт утечек (DLS) VantaCore был развёрнут не позднее 7 июня 2026 года, на что указывают цифровые следы, оставленные при его создании. Кроме того, при анализе ресурса была обнаружена иконка с надписью «THOR», выполненной руническим письмом, что может дополнительно указывать на связь VantaCore с кибергруппировкой Thor.
Как и другие проукраинские группы, VantaCore в качестве начального вектора атаки используют все возможные варианты, которые могут привести к получению злоумышленниками доступа к ИТ-инфраструктуре жертвы: слабозащищенные публично доступные средства удаленного доступа (RDP, VPN), уязвимости в публичных приложениях, скомпрометированные учетные данные партнеров жертвы и т.п.
Поведение участников VantaCore в скомпрометированной инфраструктуре не сильно отличается от многих группировок вымогателей, их тактики, техники и процедуры во многом эффективны, хотя и не являются изощренными и инновационными. Их цель прежде всего – нажиться на жертве. Одна из особенностей, отличающая VantaCore от многих других группировок – использование постэксплуатационных инструментов собственной разработки.
Для перемещений по атакуемой инфраструктуре атакующие используют добытые в ходе развития атаки легитимные учетные записи и преимущественно протоколы SMB и RDP. А для сетевой разведки используются как загружаемые сетевые сканеры, так и легитимные утилиты, имеющиеся в любой инфраструктуре.
На скомпрометированных Windows-системах злоумышленники закрепляются, создавая системные службы, а в качестве средств удаленного доступа ими используются свободно распространяемая программа удаленного доступа Tactical RMM и бэкдор собственной разработки VantaCoreRAT.
Изучив скомпрометированную инфраструктуру и получив полный контроль над ней, злоумышленники производят эксфильтрацию данных жертвы, а затем приступают к заключительному этапу атаки.
На этом этапе вымогатели реализуют деструктивные действия в отношении систем резервного копирования и шифруют критически важную информацию, что в результате позволяет им вымогать денежные средства за их расшифровку.
Для шифрования данных на устройствах серверного и пользовательского сегментов атакующие используют программу-вымогатель VantaCore.
Стоит отметить, что во избежание обнаружения и удаления программы-вымогателя антивирусными средствами, прежде чем доставить вымогатель на целевую систему, злоумышленники останавливают процессы антивирусных средств с помощью программы класса AV/EDR-killer. Для массовой доставки и запуска инструментов атакующих в инфраструктуре жертвы используется авторское средство автоматизации VantaCoreLoader
Поделиться
