Группа NightEagle, активная с 2023 года и нацеленная на организации Китая, впервые атаковала компании за пределами Азии. Целями стали производственные и строительные предприятия в России. Злоумышленники использовали скомпрометированные учётные записи корпоративных VPN и размещали бэкдор GhostContainer на серверах Microsoft Exchange. По мнению экспертов, вредоносный код внедрялся непосредственно в оперативную память серверов, что затрудняет обнаружение. Специалист по реагированию на киберинциденты Станислав Ларинский заявил: «Отличительная особенность этой кампании в том, что злоумышленники очень активно эксплуатируют известные легитимные инструменты и уязвимости в инфраструктуре жертвы против неё самой».
«Лаборатория Касперского» обнаружила кампанию кибершпионажа группы NightEagle, также известной как APT-Q-95, против производственных и строительных предприятий в России. Как сообщает пресс-служба компании, группа активна с 2023 года и изначально была нацелена на организации Китая. Это первый случай, когда она атакует компании за пределами Азии.
Расширение географии указывает на то, что группа обновляет методы и использует новые техники закрепления и продвижения в инфраструктуре. Ранее её активность ограничивалась азиатским регионом.
Как устроена атака
Для проникновения злоумышленники использовали скомпрометированные учётные записи от корпоративных VPN. Затем размещали бэкдор GhostContainer на серверах Microsoft Exchange. Эксперты «Лаборатории Касперского» полагают, что вредоносный код внедрялся непосредственно в оперативную память серверов — это затрудняет обнаружение, поскольку вредоносное ПО не сохраняется на диске.
Чтобы глубже проникнуть в системы заражённых организаций, группа применяла известные легитимные инструменты, в частности GitHub и туннели разработки Microsoft. В конечном счёте NightEagle получала контроль над всей ИТ-инфраструктурой жертвы.
Почему это опасно
Ключевая особенность кампании — активное использование легитимных инструментов и уязвимостей самой инфраструктуры жертвы против неё. Поскольку для перемещения злоумышленники взаимодействуют с обычными сетевыми службами, в системных журналах остаются следы.
Ларинский отметил: «Своевременно обнаруживая аномалии с помощью решения Kaspersky EDR Expert, специалисты по кибербезопасности могут выявить следы действия этой группы задолго до того, как будет скомпрометирована основная сеть».
Продукты «Лаборатории Касперского» детектируют бэкдор GhostContainer вердиктом Trojan.MSIL.GhostContainer.gen. Полный технический отчёт доступен на securelist.ru.
Что рекомендуют специалисты
Эксперты «Лаборатории Касперского» рекомендуют организациям ввести обязательную многофакторную аутентификацию для всех учётных записей VPN и администраторов, отключить неиспользуемые профили и проверять входы через сервисы анонимизации.
Также рекомендуется установить исправления для внутренних систем. Злоумышленники воспользовались уязвимостями, существовавшими в инфраструктуре организации уже несколько лет. Системы, для которых больше не предоставляется поддержка, следует вывести из эксплуатации, а доступ к удалённому рабочему столу ограничить контролируемыми административными хостами.
Для выявления скрытых действий на конечных устройствах предлагается использовать Kaspersky EDR Expert, для отслеживания сетевого трафика — Kaspersky Anti Targeted Attack, для проверки подозрительных файлов — Kaspersky Threat Attribution Engine.
Что это значит для рынка
Атака NightEagle на российские предприятия — не единичный случай, а часть общей тенденции роста числа ИБ-инцидентов в России. Ранее «Лаборатория Касперского» сообщала, что в первом квартале 2026 года количество обнаруженных и предотвращённых инцидентов в российских организациях выросло на 68% по сравнению с аналогичным периодом 2025 года.
Особенность этой кампании в том, что она нацелена не на массовые атаки, а на конкретные отрасли — производство и строительство. Это указывает на целенаправленный характер кибершпионажа. Компаниям из этих отраслей стоит проверить свою инфраструктуру на предмет компрометации VPN-учётных записей и серверов Exchange.
Коротко: главное
-
Какая группа атаковала российские предприятия? — NightEagle, также известная как APT-Q-95.
-
Что атаковали? — Производственные и строительные предприятия в России.
-
Как проникли злоумышленники? — Через скомпрометированные учётные записи корпоративных VPN.
-
Где разместили бэкдор? — На серверах Microsoft Exchange.
-
Что рекомендуют специалисты? — Многофакторную аутентификацию, установку исправлений и мониторинг аномалий.
Резюме
-
«Лаборатория Касперского» обнаружила кампанию кибершпионажа группы NightEagle против российских предприятий.
-
Группа активна с 2023 года и впервые атаковала компании за пределами Азии.
-
Для проникновения использовались скомпрометированные учётные записи VPN и бэкдор на серверах Microsoft Exchange.
-
Злоумышленники применяли легитимные инструменты, включая GitHub и туннели разработки Microsoft.
-
Эксперты рекомендуют многофакторную аутентификацию, установку исправлений и мониторинг аномалий.
Материал подготовлен изданием «Техносуверен» (technosuveren.ru).
Дата публикации: 18 сентября 2026 года.
