Tomiris управляет атаками через Telegram и Discord против дипведомств России и СНГ
Группа Tomiris в начале 2025 года развернула серию целевых атак против министерств иностранных дел, госорганов и межправительственных структур. По данным «Лаборатории Касперского», с кампанией могли столкнуться больше тысячи человек в регионе.
Атаку начинают с фишингового письма с архивом. Вложение почти всегда защищено паролем, который указан в письме. Внутри находится исполняемый файл, замаскированный под документ: злоумышленники меняют значок и добавляют двойное расширение вроде «.doc .exe». Темы писем связаны с работой госструктур — обсуждение проектов по развитию регионов, подготовка протоколов встреч или другие служебные процессы.
Больше половины таких писем в текущей кампании написаны на русском языке. Остальная часть адаптирована под Туркменистан, Кыргызстан, Таджикистан и Узбекистан. Имена файлов подражают бюрократическому документообороту — например, «аппарат правительства российской федерации по вопросу…» или «план-протокол встречи о сотрудничестве представителей».
После запуска файла в систему попадает модуль первого этапа — реверс-шелл. Он подключается к командному серверу и дает злоумышленнику удаленную консоль. Такие импланты Tomiris пишет на разных языках: C и C++, C#, Go, Rust и Python. Они собирают базовые данные о системе, выполняют команды и загружают следующий модуль. Дальше оператор вручную закрепляет второй этап.
Следом Tomiris устанавливает постэксплуатационные фреймворки AdaptixC2 и Havoc. Для загрузки используют стандартные утилиты Windows: bitsadmin, curl, PowerShell и certutil. После проверки файла оператор добавляет его в автозапуск через ветку Run в реестре. Так злоумышленник получает стабильный долгосрочный доступ и может разворачивать дополнительные инструменты.
Отдельный блок касается новых имплантов. Rust Downloader собирает сведения о системе и ищет на дисках файлы с расширениями .jpg, .jpeg, .png, .txt, .rtf, .pdf, .xlsx и .docx. Модуль отправляет на сервер только пути к найденным данным, используя вебхуки Discord. Затем он через цепочку VBS- и PowerShell-скриптов периодически пытается получить с сервера ZIP-архив и запустить все исполняемые файлы внутри. В наблюдаемых случаях это были компоненты Havoc.
Часть инструментов Tomiris строится вокруг мессенджеров. Python Discord ReverseShell работает через библиотеку discord и использует инфраструктуру сервиса для приема команд и отправки результатов. Через него операторы подгружают другие модули — например, стилер Tomiris Python FileGrabber, который собирает документы и изображения, или бэкдор Tomiris Python Distopia Backdoor на базе проекта dystopia-c2.
Есть и линия инструментов под Telegram: Python и C# ReverseShell, а также PowerShell-бэкдор используют токены ботов и chat_id для управления через API Telegram.
Исследователи отмечают, что в 2025 году Tomiris заметно активнее использует Telegram и Discord как командные каналы. Трафик мимикрирует под обычную работу популярных сервисов, что усложняет анализ и фильтрацию. Группа продолжает применять старые модули, например JLORAT, который умеет выполнять команды, собирать файлы и делать скриншоты.
Для перемещения внутри сети злоумышленники используют обратные SOCKS-прокси. Аналитики нашли модули ReverseSocks на C++ и Go — почти точные копии открытых проектов с GitHub. Они позволяют направлять трафик сканеров и других инструментов через уже скомпрометированные узлы.
Кампания 2025 года показывает, что Tomiris комбинирует инструменты на разных языках, активно опирается на публичные сервисы и строит инфраструктуру так, чтобы повысить выживаемость и скрыть трафик. Основная цель группы — устойчивый удаленный доступ к системам госструктур и кража конфиденциальных документов.
Читать далее:
Вселенная внутри черной дыры: наблюдения «Уэбба» подтверждают странную гипотезу
Испытания ракеты Starship Илона Маска вновь закончились взрывом в небе
Сразу четыре похожих на Землю планеты нашли у ближайшей одиночной звезды
Обложка: freepik
The post Tomiris управляет атаками через Telegram и Discord против дипведомств России и СНГ appeared first on Хайтек.

