Ravage: 50% атак на вузы и энергетику РФ маскируются под легальные проверки безопасности

Эксперты «Лаборатории Касперского» зафиксировали активность новой киберпреступной группы, которая с января 2026 года использует легитимный инструмент для тестирования на проникновение Ravage для атак на российские организации. За последний год 50% инцидентов пришлось на учебные заведения, специализирующиеся на водном транспорте и рыбном хозяйстве, а также на энергетические компании и госучреждения. Злоумышленники маскируют вредоносный код под файлы Excel, что позволяет им обходить стандартные почтовые фильтры и получать удаленный доступ к корпоративным сетям.

Важный нюанс: Использование легального инструмента для пентестов в качестве оружия позволяет атакам выглядеть как внутренние проверки безопасности, что затрудняет их раннее выявление.

Механика атаки и используемые инструменты

Группировка применяет многоэтапную схему проникновения, основанную на социальной инженерии. Злоумышленники рассылают фишинговые письма с архивами, содержащими файлы, имитирующие деловую документацию (списки товаров, формы отчетности). При открытии файла запускается скрытый плагин для Microsoft Excel, который активирует цепочку загрузки вредоносных модулей.

Процесс разворачивается следующим образом:

• Загрузчик скачивает биндер (программу-склейщик), содержащий известные бэкдоры, такие как PureRAT или RedLine.
• Параллельно загружается утилита для запуска скриптов PowerShell, которая активирует фреймворк Ravage.
• Фреймворк, вышедший в открытый доступ на GitHub в сентябре 2025 года, позволяет злоумышленникам выполнять команды, выгружать файлы, делать скриншоты и управлять устройствами в локальной сети через протоколы SMB или WMI.

Важно отметить, что Ravage не обладает функциями кражи сохраненных паролей или токенов доступа, но его базовый функционал достаточен для сбора конфиденциальных данных и подготовки почвы для более глубокого проникновения.

Целевые секторы и профиль жертв

Анализ показывает четкую сегментацию целей атак. Группировка, активная как минимум с 2024 года, действует планомерно и редко, что указывает на наличие у нее опыта и отработанных сценариев.

Основные пострадавшие отрасли в России:

• Образование: Половина всех атак за год направлена на вузы и колледжи. В зоне особого риска находятся учебные заведения морского, речного, водного транспорта и рыбохозяйственного профиля.
• Энергетика: Компании отрасли сталкиваются с попытками несанкционированного доступа.
• Госсектор и финансы: Под удар попали дипломатические миссии, государственные учреждения и финансовые организации.

Стоит учесть: Фокус на образовательных учреждениях водного транспорта может свидетельствовать о попытке сбора специфических данных или использовании этих сетей как плацдарма для атак на смежные логистические и транспортные системы.

Рекомендации по защите инфраструктуры

Для минимизации рисков эксперты рекомендуют внедрить комплекс мер, направленных на блокировку фишинга и защиту конечных устройств. Ключевым фактором успеха становится обучение персонала, так как первичный доступ злоумышленники получают через ошибку пользователя.

Необходимые действия для бизнеса:

• Обучение сотрудников: Проведение регулярных тренингов по кибергигиене для распознавания фишинговых писем с использованием специализированных платформ.
• Защита почтовых шлюзов: Внедрение решений, автоматически блокирующих подозрительные вложения, проверяющих запароленные архивы и использующих технологии анализа угроз (CDR).
• Защита конечных точек: Использование антивирусных решений с подтвержденной эффективностью в независимых тестах.
• Единая система управления: Применение комплексных платформ (XDR) для построения гибкой системы безопасности и быстрого реагирования на инциденты.

На фоне этого: Переход преступников от использования готовых вредоносных программ к инструментам для легального тестирования на проникновение требует пересмотра правил доступа к сетям и ужесточения контроля за запуском скриптов.