Хакерская группировка FrostyNeighbor, которую исследователи связывают с Беларусью, впервые применила программу для уничтожения данных против украинского предприятия. Жертвой стала производственная компания, играющая значительную роль в транспортном секторе страны.
Атаку обнаружила ESET при подготовке отчёта о деятельности государственных хакерских группировок за апрель-сентябрь 2026 года. По оценке исследователей, речь идёт о первом задокументированном случае, когда связанная с Беларусью группа перешла от кибершпионажа к разрушительной операции. Ранее подобные атаки на украинские организации преимущественно связывали с российскими группировками.
Инцидент произошёл в конце мая. Злоумышленники проникли в корпоративную сеть и использовали несколько инструментов удалённого доступа, включая Chisel, UltraVNC и Cobalt Strike. После подготовки инфраструктуры хакеры распространили через групповые политики Windows вредоносный сценарий на VBScript, предназначенный для уничтожения данных. Такой механизм позволяет централизованно запускать команды на компьютерах, подключённых к корпоративному домену.
Финальный инструмент относился к классу вайперов. В отличие от программ-вымогателей, которые обычно шифруют файлы ради получения выкупа, подобные вредоносы уничтожают информацию, затрудняя или делая невозможным её восстановление. ESET не раскрыла название пострадавшего предприятия, количество затронутых компьютеров и масштаб потери данных. Сведения об остановке производства или нарушении транспортных перевозок также отсутствуют.
Исследователи пока не установили точную цель разрушительной операции. Не исключено, что злоумышленники пытались стереть следы предыдущего проникновения и затруднить расследование кибершпионажа. Другая возможная цель связана с нанесением ущерба предприятию, которое ESET считает потенциально значимым для украинских военных усилий. Доказательств, позволяющих однозначно выбрать одну из версий, в опубликованном отчёте нет.
Ответственность за атаку специалисты возложили на FrostyNeighbor, также известную как UNC1151, PUSHCHA, Storm-0257 и TA445. Группу связывают с кампанией Ghostwriter, объединяющей кибершпионаж, взлом информационных ресурсов и распространение дезинформации. По сведениям ESET, группировка действует как минимум с 2016 года и преимущественно атакует организации Украины, Польши, Литвы и других европейских стран.
В марте 2026 года FrostyNeighbor уже проводила кампанию против украинских государственных учреждений. Хакеры рассылали письма с поддельными PDF-документами от имени «Укртелекома». Ссылки внутри файлов вели на подконтрольный злоумышленникам сервер, который проверял географическое расположение посетителя. Пользователям с украинскими IP-адресами выдавался вредоносный архив, тогда как остальным показывали безобидный документ.
После запуска вредоносный загрузчик PicassoLoader собирал сведения о компьютере, операционной системе и работающих процессах. Информация передавалась на управляющий сервер каждые десять минут. Операторы, предположительно, вручную выбирали наиболее интересные цели и разворачивали на их устройствах дополнительные компоненты Cobalt Strike. Подобная избирательность позволяла группировке сосредоточиться на ценных объектах и снизить вероятность обнаружения.
Главный вывод нового исследования касается возможного сближения белорусских и российских киберопераций. ESET фиксирует всё больше совпадений в выборе целей и направлениях деятельности группировок двух стран. Особое внимание привлекают украинские государственные структуры, оборонные организации и предприятия, связанные с обеспечением военных действий. По оценке аналитиков, белорусские хакеры всё чаще действуют в интересах, соответствующих приоритетам российской разведки.
При этом ESET не располагает достаточными сведениями, чтобы доказать прямое руководство белорусскими операциями со стороны российских спецслужб. Исследователи рассматривают несколько возможных сценариев дальнейшего сотрудничества, включая передачу задач, совместное применение вредоносных инструментов и использование общей инфраструктуры. Не исключается и непосредственное участие специалистов двух стран в одних операциях. Пока подобное взаимодействие остаётся аналитической гипотезой.
В том же отчёте исследователи рассмотрели применение искусственного интеллекта государственными хакерскими группировками. Злоумышленники используют языковые модели для написания вредоносного кода, создания поддельных сайтов и автоматизации отдельных задач. Однако за последние шесть месяцев ESET не обнаружила признаков того, что ИИ существенно изменил характер подобных атак. Большинство изученных операций по-прежнему требует активного участия человека.
Переход FrostyNeighbor к уничтожению данных показывает более существенное изменение. Группировка, которая годами специализировалась преимущественно на разведке и информационных операциях, продемонстрировала способность проводить разрушительные атаки на корпоративную инфраструктуру. ESET допускает, что вслед за FrostyNeighbor аналогичные методы могут освоить другие связанные с Беларусью группировки, хотя подтверждённых сведений о такой подготовке пока нет.
