Ghostwriter (UNC1151) став одним із найбільш відстежуваних акторів, що діє проти України, країн НАТО та урядів Східної Європи. Завдяки поєднанню відкритих джерел, урядових оцінок, технічних досліджень і публічно доступної розвідувальної інформації, звіт надає структурований огляд одного з найбільш стійких гібридних загрозовихи урядових установ, військовослужбовців, журналістів, медіаорганізацій і політичних діячів. Публічні звіти пов’язують Ghostwriter із білоруською військовою розвідкою, тоді як низка урядових оцінок і досліджень у сфері кіберзагроз також вказує на координацію з російськими військовими структурами та ширшими геополітичними цілями.

Dragonfly — одне з найбільш відомих російських APT-угруповань, яке протягом багатьох років зосереджує свою діяльність на енергетичному секторі та системах промислового управління.

У новому звіті ми розглянули історію групи, її інструментарій, відомі операції та зв’язки з російськими державними структурами. Окрему увагу приділено кампаніям проти енергетичних компаній США та атаці на Wolf Creek Nuclear Operating Corporation.

NoName057(16) — проросійське хактивістське угруповання, яке з 2022 року активно проводить масштабні DDoS-кампанії проти державних установ, фінансових систем, транспортної інфраструктури та медіаорганізацій у країнах Європи та державах, орієнтованих на НАТО. На відміну від класичних APT-груп, його діяльність спрямована не на шпигунство чи довготривале закріплення, а на дестабілізацію та порушення роботи цифрових сервісів.

APT29 (Cozy Bear) залишається однією з найактивніших кіберрозвідувальних груп, пов’язаних із російськими спецслужбами. Їхній підхід побудований не на “швидких” атаках, а на довготривалому доступі, роботі з обліковими даними та поступовому закріпленні всередині інфраструктури.
У звіті розбирається типовий ланцюг атаки APT29 — від OSINT-збору, фішингової доставки та шкідливих RDP/HTML-файлів до компрометації Azure AD, закріплення через service principal та подальшої роботи з Office 365 і хмарними середовищами. Окремо розглядаються техніки, які регулярно фігурують у кампаніях останніх років: DLL sideloading, HTML smuggling, викрадення OAuth-токенів, MFA fatigue та domain fronting.
Матеріал також включає: — сімейства шкідливого ПЗ та їхню функціональність — інфраструктурні патерни та індикатори компрометації — поведінкові індикатори для виявлення та threat hunting — підходи до виявлення активності в Active Directory, endpoint-інфраструктурі та Azure AD — рекомендації щодо зменшення ризиків для cloud-first організацій Окремий акцент зроблено на тому, що значна частина сучасних атак уже будується не навколо самого malware, а навколо цифрових ідентичностей, доступу до хмарних середовищ та довіри між сервісами. У багатьох випадках саме слабкі MFA-політики, застарілі механізми автентифікації та недостатній моніторинг хмарної активності стають точкою входу для компрометації.

SHUM долучається як партнер до спільного проєкту Lex Talionis та OsintVarta.

Проєкт об’єднує команди, що працюють із відкритими джерелами, збором даних та аналітикою щодо військово-промислового комплексу російської федерації та пов’язаних із ним структур. У його межах створюються аналітичні матеріали, візуалізації та дослідження, які допомагають систематизувати інформацію та робити її придатною для подальших розслідувань.