Специалисты компании F6 выявили активность новой хакерской группировки Mimbrob, нацеленной на российский оборонно-промышленный комплекс и IT-сектор. С апреля 2026 года злоумышленники используют фишинговые рассылки, маскируясь под легитимные организации и домены Yandex. Для внедрения вредоносного кода применяется техника DLL Sideloading.
В арсенале группировки зафиксированы загрузчик FBULoader и RAT-троян на языке Go. FBULoader распространялся под видом обновлений браузера и ПО для отслеживания дронов. В сентябре 2026 года активность возобновилась: хакеры рассылают письма с тематикой судебных разбирательств, атакуя IT-компании. Инфраструктура для атак была зарегистрирована 16 апреля 2026 года.
Цепочки заражения включают архивы с легитимными файлами, такими как Яндекс Браузер или Notepad++, и вредоносными библиотеками. Вредоносное ПО закрепляется в системе через планировщик задач. RAT-троян на Go поддерживает выполнение команд, передачу файлов и шифрование трафика через AES-GCM. Исследователи отмечают, что финальная полезная нагрузка пока не обнаружена.
Эксперты F6 полагают, что основной целью Mimbrob является промышленный шпионаж. Несмотря на высокое качество фишинговых писем, в некоторых случаях (например, при двойном кодировании PDF-приманок) допускались технические ошибки. Группировка продолжает менять тактику, адаптируя инструменты под конкретные цели и отраслевые запросы.
