Хактивистский кластер Forbidden Hyena, впервые зафиксированный в начале 2025 года, продемонстрировал сочетание классических инструментов киберпреступников с новыми технологиями, включая генеративный искусственный интеллект. Аналитики BI.ZONE обнаружили у группировки ранее неизвестный троян удаленного доступа BlackReaperRAT, а также скрипты с характерными признаками генерации крупными языковыми моделями (LLM). При этом, по оценке экспертов, доля атак на российские компании с применением ИИ в 2025 году пока не превышала 1%.
Forbidden Hyena: хактивистский кластер, нацеленный на критически важные отрасли
По данным BI.ZONE Threat Intelligence, основными целями Forbidden Hyena становятся государственные структуры России, а также компании из сфер здравоохранения, энергетики, ритейла и ЖКХ. Эти отрасли традиционно относятся к критически важной инфраструктуре, где успешная кибератака может приводить к реальным сбоям сервисов и социальному резонансу.
Несмотря на позиционирование группировки как хактивистской, её деятельность отражает более широкий рыночный тренд. Во втором полугодии 2025 года доля атак, мотивированных исключительно идеологией, по данным аналитиков, снизилась с 20% до 12%. Все чаще хактивисты совмещают политическую или социальную риторику с классическим вымогательством, стремясь монетизировать доступ к скомпрометированным системам.
ИИ-сгенерированные скрипты: как злоумышленники используют LLM
PowerShell и Bash для закрепления в системе и загрузки имплантов
На управляющем сервере Forbidden Hyena эксперты обнаружили несколько вспомогательных скриптов, которые, по их оценке, были сгенерированы с помощью LLM. Среди них два PowerShell-скрипта и один Bash-скрипт:
Первый PowerShell-скрипт отвечает за закрепление вредоносного ПО в системе — настройку автозапуска и обеспечение повторного запуска малвари после перезагрузки. Второй PowerShell-скрипт устанавливает на машину жертвы AnyDesk, популярный легитимный инструмент удаленного доступа, который злоумышленники используют в качестве «удобного» канала управления взломанными системами.
Bash-скрипт выполняет задачу первичной загрузки: он скачивает и запускает обфусцированный имплант фреймворка Sliver, широко применяемого как в легитимном пентестинге, так и в наступательных операциях злоумышленников. Таким образом, Forbidden Hyena выстраивает многоступенчатую цепочку компрометации с использованием как специализированных инструментов (RAT, шифровальщики), так и легитимного софта.
Признаки генерации кода искусственным интеллектом
Ключевым аргументом в пользу использования ИИ в подготовке скриптов стали особенности стиля кода. В нем присутствуют отладочные строки, большое количество подробных комментариев, говорящие и понятные названия переменных и функций. При этом практически отсутствует обфускация — преднамеренное запутывание кода, которое опытные злоумышленники обычно применяют для усложнения анализа и детектирования.
По оценке исследователей, такие характеристики типичны для кода, полученного от генеративных моделей и либо не подвергшегося дополнительной ручной доработке, либо доработанного минимально. Это подтверждает, что на текущем этапе ИИ в кибератаках в основном используется для ускорения создания базовой инфраструктуры — шаблонных скриптов, установщиков и вспомогательных утилит. При этом BI.ZONE указывает на нарастающий тренд «weaponization of AI» — военизации ИИ, когда роль таких инструментов в наступательных операциях будет постепенно усложняться.
BlackReaperRAT: новый троян удаленного доступа на VBS
Методы распространения и закрепления в системе
Главной технической находкой расследования стал BlackReaperRAT — ранее не документированный троян удаленного доступа (Remote Access Trojan, RAT), написанный на VBScript (VBS). Вредонос доставляется жертвам в виде RAR-архивов, содержащих набор файлов формата .bat и .vbs.
При запуске пользователь видит легитимный PDF-документ, играющий роль отвлекающего маневра. Параллельно в фоновом режиме на систему незаметно устанавливается сам RAT. Для сохранения постоянного присутствия BlackReaperRAT использует несколько механизмов: ключи реестра, планировщик задач Windows и автозагрузку. Командный канал организован нестандартным способом — троян периодически обращается к описанию определенного Telegram-канала, откуда получает команды, зашифрованные в тексте.
Функциональные возможности и риски для инфраструктуры
BlackReaperRAT обеспечивает злоумышленникам широкий набор функций постэксплуатации. Он умеет:
- выполнять произвольные команды через cmd.exe;
- скачивать и запускать дополнительные файлы и модули;
- распространяться по USB-накопителям, подменяя файлы на ярлыки.
Последняя функция особенно опасна для изолированных сегментов сети, где перенос данных и обновлений часто осуществляется именно через съемные носители. Пользователь, открывая привычный файл с флешки, фактически запускает ярлык, инициирующий выполнение малвари.
Milkyway: от идеологии к вымогательству
Конечная цель атак Forbidden Hyena — шифрование инфраструктуры и вымогательство. Для этого используется обновленная версия ранее известного шифровальщика Blackout Locker, которая получила новое название Milkyway. После закрепления в сети, сбора нужной информации и развертывания в ключевых узлах злоумышленники шифруют данные и требуют выкуп за восстановление доступа.
Такой сценарий демонстрирует трансформацию хактивизма: от чисто идеологических атак к гибридной модели, сочетающей информационное давление и прямую финансовую мотивацию. Это соответствует общей динамике рынка киберпреступности, где даже политизированные группировки все чаще выстраивают устойчивую «экономику атаки» — с повторно используемым кодом, внутренней специализацией и прагматичным выбором целей.
Хотя доля атак с использованием ИИ на российские компании пока не превышает 1%, опыт Forbidden Hyena показывает, что искусственный интеллект уже стал рабочим инструментом в арсенале злоумышленников. Организациям имеет смысл заранее адаптировать свою защиту: усилить мониторинг PowerShell- и Bash-активности, контролировать использование легитимных средств удаленного доступа (AnyDesk, RDP и др.), ограничить работу с USB-носителями, а также внедрять системы обнаружения аномалий и развивать собственную функцию threat intelligence. Чем раньше компании начнут учитывать фактор ИИ в моделях угроз, тем выше шансы своевременно распознать и нейтрализовать новые кластеры вроде Forbidden Hyena.
