Хактивисты сотрудничают с другими группировками для реализации кибератак

Хактивистские кластеры нередко кооперируются со злоумышленниками с другой мотивацией

28 июля 2026 г.

Группировка Insolent Hyena получала доступ в инфраструктуру жертв от других кластеров, а затем использовала данные для развития атаки.

Как правило, хактивисты атакуют организации ради широкой огласки. После успешного взлома они публикуют похищенные чувствительные данные компании и ее клиентов либо сообщают о самом факте компрометации. Чтобы реализовать атаку, злоумышленники могут получить первоначальный доступ в инфраструктуру жертвы самостоятельно или обратиться к другим группировкам.

Мы наблюдаем тенденцию к кооперации хактивистов с кластерами различной мотивации. Такая практика позволяет обмениваться ценными данными о жертвах. Подтверждение этому — серия атак хактивистов Insolent Hyena с начала 2026 года по июль. Мишенями стали российские организации из научной, образовательной и государственной сфер, а также IT‑сегмента, ритейла и инженерии. Предположительно, злоумышленники покупали или получали доступ к инфраструктуре жертв бесплатно от группировок с другими типами мотивации. Это связано с тем, что некоторые кластеры могут прибегать к кооперации для достижения общих стратегических целей.

Олег Скулкин

Руководитель BI.ZONE Threat Intelligence

В своих атаках кластер Insolent Hyena также использовал технику социальной инженерии ClickFix для проникновения в инфраструктуру организации. Предположительно, атакующие распространяли письма с фишинговой ссылкой, якобы ведущей на сайт одного из регуляторов. Переходя по ссылке, жертва попадала на страницу, где требовалось подтвердить, что она не робот (пройти фейковую CAPTCHA), а затем нажать сочетание клавиш, указанное на экране. Тем самым пользователь запускал вредоносную активность.

Помимо социальной инженерии, кластер использовал целый набор инструментов. Для скрытого управления скомпрометированными системами применялся самописный троян удаленного доступа NightWire, а для кражи данных — стилер Excalibur. Также злоумышленники использовали легитимное средство удаленного администрирования NetSupport для маскировки своих действий под работу системных администраторов, троян CapDoor — для закрепления в системе, а фреймворки постэксплуатации AdaptixC2 и Cobalt Strike — в качестве основных платформ для координации и управления атакой.

Чтобы защитить организацию от кибератак, важно знать, какие методы и инструменты применяют злоумышленники. Подробную информацию об этом предоставляют порталы киберразведки, например BI.ZONE Threat Intelligence. Там пользователи могут найти свежие данные об актуальных угрозах, злоумышленниках, тактиках, техниках и инструментах.