Stingy Basilisk: почти четыре года шпионажа в сети под видом системных служб

Специалисты Positive Technologies в 2026 году раскрыли кампанию кибершпионажа, которая непрерывно действовала как минимум с апреля 2022 года. Группировка Stingy Basilisk выстроила внутри сети жертвы скрытную многоуровневую архитектуру, позволявшую годами собирать данные и оставаться незамеченной для штатных средств мониторинга.

Атакующие использовали для распространения протокол SMB и запускали полезную нагрузку через планировщик заданий Windows. Обмен командами между заражёнными машинами шёл через именованные каналы (named pipes). Наружу, к управляющему серверу, обращался только один узел-посредник. Такая топология резко снижала шансы обнаружить вредоносный трафик на периметре и позволяла злоумышленникам гибко наращивать присутствие внутри сети, что они особенно активно делали с февраля 2026 года.

В арсенале Stingy Basilisk обнаружили три ранее неизвестных загрузчика, действующих исключительно в оперативной памяти. SilentCOM закреплялся через COM Hijacking, TediousLoader маскировался под поставщика времени для службы W32Time и умел прослушивать сетевые интерфейсы через сырые сокеты, а CunningDoor использовал DLL Side-Loading с участием подписанных библиотек SafeNet. Финальные агенты представляли собой шелл-код с прямыми системными вызовами, шифровали трафик алгоритмом ChaCha20 с изменёнными константами и обменивались ключами на базе Curve25519. Отдельный компонент создавал зашифрованный туннель поверх именованного канала для бесшумной передачи файлов.

Скрытая угроза для российских госструктур

Маскировка вредоносного кода под службу времени Windows или подписанные криптографические библиотеки делает Stingy Basilisk опасной для организаций, где контроль целостности системных компонентов не автоматизирован. В российской практике похожие техники встречаются при целевых атаках на государственные информационные системы: злоумышленники часто выбирают редко проверяемые механизмы автозагрузки, чтобы усыпить бдительность дежурных смен SOC. Учитывая, что в 49,3% проектов по расследованию инцидентов за последний год эксперты находили следы известных APT-групп, длительное скрытое присутствие в сети перестаёт быть исключением и превращается в типичный сценарий для крупных инфраструктур.

Что делать для защиты от длительных вторжений

Ключевой вывод для служб безопасности — не замыкаться на оперативном мониторинге свежих событий. Необходимо проводить ретроспективный анализ журналов за длительный период, проверять аномалии в редко используемых механизмах Windows вроде Time Providers и необычных COM-объектов, а также искать следы запуска программ и движения внутри сети за месяцы и годы. Такой подход даёт шанс обнаружить даже ту активность, начальную точку входа которой восстановить уже невозможно.