Kybernetické útoky na Rusko v posledních měsících nabývají různých podob. Ruské firmy se staly terčem několika odlišných kybernetických skupin. Podle analýzy společnosti Kaspersky stojí za útoky tři skupiny – NightEagle, Hacking Cat a Toy Ghouls. Přestože mají jednotlivé skupiny rozdílné cíle i motivaci, jejich útoky spojuje jedno: snaha dostat se do ruských organizací a získat nad jejich systémy co největší kontrolu. Kaspersky popisuje případy, kdy útočníci využívali kompromitované VPN účty, napadali Microsoft Exchange, pohybovali se uvnitř sítí a v některých případech nasazovali ransomware nebo přímo ničili data.
NightEagle: cesta od VPN až k Active Directory
První ze sledovaných skupin je NightEagle, známá také jako APT-Q-95. Aktivní má být nejméně od roku 2023 a její útoky mají poměrně klasický cíl dostat se do firemní infrastruktury a následně si v ní vytvořit dlouhodobý přístup. Útočníci podle Kaspersky často začínají kompromitovanými přihlašovacími údaji. Ty jim umožní připojit se k firemní VPN, aniž by museli přímo prolomit samotnou VPN infrastrukturu. Po získání přístupu přichází na řadu Microsoft Exchange. NightEagle v útocích nasazuje backdoor GhostContainer, který útočníkům umožňuje ovládat napadený Exchange Server, spouštět vlastní kód, pracovat se soubory a nahrávat další moduly.
GhostContainer se navíc snaží působit jako běžná součást serveru. Útočník tak může svůj provoz schovat mezi legitimní komunikaci. Malware zároveň obsahuje funkce pro tunelování síťového provozu, což je užitečné hlavně ve chvíli, kdy se útočník potřebuje dostat z napadeného serveru dál do interní sítě.
A právě laterální pohyb je u NightEagle důležitou součástí útoku.
Kaspersky popisuje využití RDP tunelů a nástrojů, které umožňují přesměrovávat provoz do interní sítě. Útočníci zároveň zneužívali zranitelnosti v prostředí Active Directory.
Jedním z příkladů je starší zranitelnost BlueKeep (CVE-2019-0708). Ta je známá už od roku 2019, ale v tomto případě byla využita jako součást širšího útoku na interní infrastrukturu.
V některých případech se útočníci pokoušeli také o DCSync útok, jehož cílem je získat informace potřebné k napodobení doménového řadiče a následnému získání přístupu k účtům v doméně.
Konečným cílem tak není pouze jeden napadený server. Útočník se snaží získat přístup k účtům, heslovým hashům a Kerberos ticketům a postupně převzít kontrolu nad celým prostředím Active Directory.
GhostContainer po sobě zanechává stopy
U GhostContaineru je zajímavé, že po sobě zanechává i poměrně konkrétní technické artefakty.
Kaspersky popisuje například knihovnu App_Web_Container_1.dll a třídy App_Web_843e75cf5b63 a App_Web_8c9b251fb5b3. Objevují se také parametry fakePath a fakePageName.
Zajímavé jsou rovněž některé soubory, které útočníci používají při zavádění nástrojů do napadeného prostředí. V analýze se objevují například názvy js-webpack.zip, jsonp-pack.zip nebo resource-pack.zip.
A existuje i konkrétní hash jednoho ze sledovaných souborů:
1dcafb7f8448683281106b06dd22409a
→ AdobeSync.exe
Takový údaj může být užitečný při zpětném hledání v EDR nebo antivirových záznamech. Zároveň ale platí, že hash je pouze okamžitý otisk konkrétního souboru. Útočník může stejný malware upravit a vytvořit nový hash.
Právě proto jsou zajímavější behaviorální znaky – například neobvyklé tunelování, podezřelé ASP.NET komponenty nebo pokusy o laterální pohyb v Active Directory.
Hacking Cat: od úniků dat k ničení systémů
Druhou skupinou je Hacking Cat, kterou Kaspersky označuje za proukrajinský hacktivistický kolektiv.
Skupina byla v minulosti spojována především s defacementy webů a úniky dat. Podle Kaspersky ale v poslední době změnila taktiku a začala používat ransomware a nástroje určené přímo k ničení dat.
Jedním z nástrojů je Gorilla RAT, tedy vzdálený přístupový trojan napsaný v Go. Útočníci jej podle reportu dostávali do systémů například prostřednictvím zranitelností Microsoft Exchange.
Gorilla RAT umožňuje útočníkům získávat informace o systému, vypisovat procesy, spouštět příkazy, pracovat se soubory nebo vytvořit TCP tunel do napadené sítě.
Právě poslední funkce je důležitá. RAT tak nemusí sloužit pouze jako nástroj pro ovládání jednoho počítače. Může se stát také prostředníkem pro přístup k dalším systémům uvnitř organizace.
Když ransomware funguje spíš jako wiper
Ještě zajímavější je ransomware Monkey.
Kaspersky identifikoval několik jeho variant napsaných v různých programovacích jazycích – Rustu, .NETu, C++ a Golangu.
Některé varianty se přitom chovají spíše jako wiper než klasický ransomware.
U běžného ransomwaru dává útočník oběti určitou možnost zaplatit a získat dešifrovací klíč. Některé varianty Monkey podle analýzy šifrovací klíč vůbec neukládají. Data jsou sice zašifrována a oběť dostane ransomwarovou zprávu, ale bez klíče není možné soubory obnovit.
V takovém případě už tedy ransomware neslouží pouze k vydírání. Výsledkem může být jednoduše zničení dat.
Jednotlivé varianty se navíc zaměřují na různé platformy. K dispozici jsou verze pro Windows, Linux i VMware ESXi.
Kaspersky zároveň popisuje spolupráci Hacking Cat s dalšími proukrajinskými skupinami, například Cyber Anarchy Squad a Ukrainian Cyber Alliance. V těchto kampaních se měly objevit také ransomware ClearWater a wiper Nemo.
U Nemo Wiper je princip poměrně jednoduchý – malware přepisuje soubory náhodnými daty a následně se snaží zaplnit volné místo na disku dalšími soubory. Výsledkem je výrazné zkomplikování nebo znemožnění obnovy dat.
Je ale potřeba dodat určitou opatrnost. Hacking Cat po zveřejnění reportu Kaspersky popřela, že by některé z popisovaných lockerů patřily jí. Attribution tedy v tomto případě není úplně jednoznačné.
Gorilla RAT a jeho síťový podpis
Gorilla RAT po sobě nezanechává pouze soubor v systému.
Kaspersky upozorňuje také na jeho síťovou komunikaci přes WebSocket. V detekčních pravidlech se objevuje například označení HackTool.GOSimpleTunnel.HTTP.C&C.
Z pohledu obránce je důležitá především schopnost RAT vytvářet TCP tunely.
Pokud se tedy na počítači objeví podezřelý proces, který navazuje dlouhodobou WebSocket komunikaci a zároveň umožňuje vytvářet tunely do dalších částí sítě, může jít o zajímavý signál pro další analýzu.
Toy Ghouls: vlastní malware místo hotových nástrojů
Třetím aktérem jsou Toy Ghouls, známí také pod názvy Bearlyfy, Laboo.boo nebo Feral Wolf.
Na rozdíl od Hacking Cat jde podle Kaspersky o finančně motivovanou skupinu, která se na ruské organizace zaměřuje nejméně od roku 2025.
Toy Ghouls v minulosti využívali například uniklé ransomware buildéry Babuk a LockBit. Postupně ale začali přecházet na vlastní nástroje a vytvořili vlastní ransomware GenieLocker.
V roce 2026 se navíc objevil jejich vlastní backdoor Bird Agent.
A právě způsob jeho komunikace je poměrně zajímavý.
Kaspersky identifikoval dvě varianty. Jedna využívá jako komunikační kanál HiveMQ MQTT broker, druhá používá Element, messenger postavený na protokolu Matrix.
Útočníci tak nemusí používat klasický C2 server, který by mohl být relativně snadno identifikovatelný jako škodlivá infrastruktura. Místo toho mohou využít legitimní komunikační technologie.
Bird Agent se do napadených systémů dostává pomocí WinRM. Kaspersky uvádí také využití nástrojů Evil-WinRM a WinRM-fs.
Po instalaci může backdoor fungovat jako Windows služba a následně čekat na příkazy z řídicí infrastruktury.
Bird Agent má poměrně zajímavý podpis
U Toy Ghouls máme několik konkrétních artefaktů, podle kterých lze hledat jejich aktivitu.
Kaspersky identifikoval například varianty označené:
mqtt-bird-agent 0.1.0
a
matrix-bird-agent 0.1.0
V systému se mohou objevit soubory jako cplsupport.exe, wtass.exe nebo config.toml.
Zajímavé jsou také názvy vytvořených Windows služeb:
cplsupport
a
wtas
Backdoor pracuje také s registry:
HKLM\Software\synapse\Config\SealedConfig
a
HKLM\Software\SynapseAgent\metrics_interval
Ještě zajímavější je ale síťová komunikace.
MQTT varianta Bird Agent používá například broker.hivemq.com. Druhá varianta využívá infrastrukturu Element/Matrix, přičemž Kaspersky uvádí server meet.element[.]tw.
MQTT komunikace navíc používá vlastní kanály jako status, metrics3, cmd/req a cmd/res. Malware přes ně může posílat informace o napadeném počítači, například hostname, uptime, využití CPU, paměti nebo disku.
A právě tady je důležité upozornění pro SOC.
Samotné připojení na broker.hivemq.com není důkazem kompromitace. HiveMQ je legitimní služba a MQTT se běžně používá pro IoT a další aplikace.
Pokud ale počítač současně vytváří neobvyklou MQTT komunikaci, běží na něm podezřelá Windows služba a pravidelně odesílá systémové informace, vzniká mnohem zajímavější detekční obraz.
To je dobrý příklad toho, proč se při hledání malwaru nelze spoléhat pouze na IP adresy nebo hashe.
Tři skupiny, tři různé motivace
Na celé analýze je zajímavé především to, že nejde o jeden typ útočníka.
NightEagle se podle popsaných aktivit zaměřuje především na dlouhodobý přístup do infrastruktury a postupné ovládnutí prostředí Active Directory.
Hacking Cat představuje jiný typ hrozby. U ní se mísí hacktivismus s destruktivními nástroji a útoky, jejichž výsledkem nemusí být pouze krádež dat, ale také jejich zašifrování nebo úplné zničení.
Toy Ghouls pak představují finančně motivovaný model. Zároveň je u nich vidět postupný přechod od využívání již existujících nástrojů k vlastnímu malwaru a vlastní infrastruktuře.
Společným prvkem je ale snaha zůstat v napadeném prostředí co nejdéle a používat nástroje, které útočníkům umožní pohybovat se uvnitř sítě bez zbytečného upozornění.
A právě kombinace kompromitovaných účtů, legitimních administračních nástrojů, tunelování a vlastního malwaru ukazuje, že samotné zablokování jednoho konkrétního souboru nebo IP adresy nemusí stačit.
Útok může začít obyčejným ukradeným heslem k VPN a skončit až u kompromitovaného doménového řadiče.
Co si z toho může odnést SOC analytik?
Nejzajímavější na těchto kampaních nejsou jednotlivé hashe. Ty se mohou změnit prakticky okamžitě.
Mnohem užitečnější je sledovat kombinaci několika událostí:
- přihlášení přes VPN z neobvyklého místa nebo účtu,
- následnou aktivitu na Exchange serveru,
- podezřelé ASP.NET komponenty,
- RDP nebo jiné tunelování,
- neobvyklé použití WinRM,
- vytváření nových Windows služeb,
- komunikaci přes MQTT nebo WebSocket,
- pokusy o laterální pohyb,
- a nakonec neobvyklé operace s velkým množstvím souborů.
Jednotlivě nemusí žádná z těchto událostí znamenat útok. Dohromady už ale mohou vytvořit obraz, který stojí za vyšetření.
A přesně v tom je rozdíl mezi jednoduchým hledáním „známého viru“ a skutečnou detekcí útoku.
Útočník totiž může změnit název souboru, hash i IP adresu. Hůře se ale mění způsob, jakým se musí v napadené síti pohybovat a jaké kroky musí provést, aby dosáhl svého cíle.
Zdroje
NightEagle (APT-Q-95)
- https://securelist.com/tr/nighteagle-apt-ghostcontainer-and-tunneling/121323/ (Kaspersky)
- https://www.csoonline.com/article/4018080/nighteagle-hackers-exploit-microsoft-exchange-flaw-to-spy-on-chinas-strategic-sectors.html
- https://thehackernews.com/2025/07/nighteagle-apt-exploits-microsoft.html
- https://malpedia.caad.fkie.fraunhofer.de/actor/nighteagle
- https://github.com/RedDrip7/NightEagle_Disclose (QiAnXin / RedDrip report)
Hacking Cat
- https://thehackernews.com/2026/09/three-threat-groups-target-russian.html
- https://therecord.media/ukraine-malware-russia-ransomware
- https://securelist.ru/tr/hacking-cat/117062/ (Kaspersky – rusky)
Toy Ghouls (Bearlyfy / Laboo.boo / Feral Wolf)
- https://securelist.com/toy-ghouls-new-hivemq-and-element-backdoors/121270/ (Kaspersky)
- https://therecord.media/ransomware-ukraine-russia-bearlyfy
- https://thehackernews.com/2026/03/bearlyfy-hits-70-russian-firms-with.html
- https://securelist.ru/tr/toy-ghouls/115909/ (Kaspersky – rusky)
