19 декабря 2025 года Reuters рассказал об атаке против российских технологических компаний, работающих над разработкой комплексов ПВО и «чувствительной» электроники. Атаки шли «в последние несколько недель» и выглядели как обычная рабочая переписка — только документы были подготовлены нейросетью.
Intezer (частная компания в сфере кибербезопасности) описывает это как кибершпионаж: злоумышленники рассылали AI-сгенерированные приманки-документы, чтобы запустить цепочку заражения. В одном случае это было русскоязычное «приглашение на концерт» для высокопоставленных офицеров. В другом — документ из «Минпромторга»: запрос «обоснования цены», который звучит настолько привычно, что у адресата почти не остаётся причины насторожиться.
Дальше начинается техника: в опубликованном Intezer разборе фигурирует приманка с именем файла «запрос Минпромторга РФ.pdf». Внутри — стилизация под официальное письмо: штампы, реквизиты и «номер запроса». На первой странице перечислены адресаты и контактные ящики — среди них «Алмаз-Антей», «Швабе» и «Объединённая приборостроительная корпорация» (ОПК) — то есть организации, которые в российской оборонной системе находятся «внутри контура».
Intezer связывает атаку с эксплуатацией уязвимости WinRAR CVE-2025-8088: она использует комбинацию NTFS alternate data streams и path traversal, позволяя архиву «выгрузить» скрытый компонент туда, куда пользователь не ожидает, — например, в папку автозагрузки. В конкретном случае это выглядело как файл-скрипт с путём, который уводит в %APPDATA%...Startup, после чего запускался скрытый PowerShell, скачивался docc1.ps1, а дальше извлекались и PDF-приманка, и полезная нагрузка, которую программисты называют EchoGather.
Intezer указывают на группу, известную как Paper Werewolf / GOFFEE: она активна как минимум с 2022 года и почти целиком работает по российским целям.
Если собрать её «биографию» по отчётам и расследованиям, видно, как быстро она взрослеет: у Paper Werewolf не менее семи успешных атак с 2022 года в которых она опирается на PowerShell и собственный вредоносный инструментарий.
В материале Reuters подчёркивается, что атака ранее публично не описывалась и велась на крупные российские компании, в том числе подрядчиков оборонного сектора. Intezer в своём техническом разборе описывает операцию Paper Werewolf по совокупности признаков и тому, как именно были собраны приманки — и отдельно фиксирует два новых элемента в тактике: AI-сгенерированные приманки и доставку через Excel XLL add-in, который позволяет запускать код при открытии файла как надстройки.
Если изучать историю GOFFEE по отчётам Kaspersky ICS CERT, видно, как менялась их техника и амбиции: старт — прицельный spear-phishing с вредоносными вложениями. Затем в арсенале появляется модифицированный Owowa (вредоносный IIS-модуль для перехвата и кражи учётных данных и удалённого управления), а позже — собственные инструменты и PowerShell-платформа (в отчётах упоминаются PowerTaskel и PowerModul).
Большая волна атак пришлась на июль–декабрь 2024 года, когда, по данным Kaspersky, группа вывела на сцену новый имплант PowerModul — PowerShell-бэкдор, который получает команды и подтягивает дополнительные скрипты с удалённого сервера. Российские специалисты по кибербезопастности отмечали, что GOFFEE всё чаще выходит за рамки «тихого» шпионажа и пробует деструктивные действия, вплоть до смены паролей рабочих аккаунтов, чтобы парализовать работу жертвы.
В свежем отчёте за третий квартал 2025 Kaspersky описывает эпизод, где Paper Werewolf/GOFFEE маскировались под крупный научный институт и рассылали письма не только российским, но и узбекским организациям, причём использовали скомпрометированный почтовый ящик поставщика мебели — то есть стали активнее играть не только «темой письма», но и доверием к отправителю.
Reuters добавляет важную деталь: эксперты считают группу проукраинской, но вопрос о прямой связи с конкретным государством остаётся открытым — даже при том, что Kaspersky указывает на возможные пересечения Paper Werewolf с более «долгоживущим» кластером Cloud Atlas.
А ещё у Intezer в разборе есть такие детали, которые обычно остаются «за кадром», — инфраструктура с датами. Например, домен fast-eda.my у них зарегистрирован 12 сентября 2025 года, а ruzeda.com «впервые замечен» 21 мая 2025 года; дальше у доменов менялись IP-адреса и провайдеры (в том числе через Cloudflare), что похоже на попытку прожить подольше и не светиться на одном адресе.
Самый неприятный вывод здесь даже не в том, что «ИИ помог хакерам». То, что раньше требовало времени (написать «как министерство», оформить «как письмо», выдержать стиль, не наделать языковых ошибок), теперь можно сделать достаточно быстро. И в результате атака становится похожа не на «кибервойну» из фильмов, а на обычный рабочий день, в который вам прилетает очередное знакомое письмо с PDF-документом. Только открыв письмо вы запускали чужой сценарий.
