کسپرسکی گروه Head Mare را به Twelve مرتبط می‌کند که نهادهای روسی را از طریق سرورهای C2 مشترک هدف قرار می‌دهند

دو گروه تهدید سایبری با نام‌های رمزی Head Mare و Twelve احتمالاً نیروهای خود را برای هدف قرار دادن نهادهای روسی متحد کرده‌اند، بر اساس یافته‌های جدید شرکت کسپرسکی. این شرکت اعلام کرد که “Head Mare به شدت بر ابزارهایی که پیش از این با Twelve مرتبط بودند، تکیه می‌کند. علاوه بر این، حملات Head Mare از سرورهای فرمان و کنترل (C2) استفاده کردند که منحصراً قبل از این حوادث به Twelve مرتبط بودند، که این امر نشان‌دهنده همکاری احتمالی و کمپین‌های مشترک بین این دو گروه است.” هر دو گروه قبلاً در سپتامبر ۲۰۲۴ توسط کسپرسکی مستندسازی شده بودند، که Head Mare از آسیب‌پذیری اکنون رفع شده در WinRAR (CVE-2023-38831) برای دسترسی اولیه و تحویل بدافزار استفاده می‌کرد و در برخی موارد حتی خانواده‌های باج‌افزار مانند LockBit برای ویندوز و Babuk برای لینوکس (ESXi) را در ازای باج مستقر می‌کرد.

تحلیل جدید کسپرسکی نشان می‌دهد که Head Mare از دو ابزار جدید استفاده می‌کند، از جمله CobInt که یک بک‌دور است که توسط ExCobalt و Crypt Ghouls در حملات علیه شرکت‌های روسی استفاده شده، و همچنین یک ایمپلنت اختصاصی به نام PhantomJitter که بر روی سرورها برای اجرای دستورات از راه دور نصب می‌شود. مهاجمان از روش‌های مختلف دسترسی اولیه شامل سوءاستفاده از نقص‌های امنیتی شناخته شده در Microsoft Exchange Server (مانند CVE-2021-26855 یا ProxyLogon)، ایمیل‌های فیشینگ با پیوست‌های مخرب، و به خطر انداختن شبکه‌های پیمانکاران برای نفوذ به زیرساخت قربانیان استفاده می‌کنند. حملات با استقرار باج‌افزارهای LockBit 3.0 و Babuk بر روی میزبان‌های به خطر افتاده به اوج می‌رسند و یادداشتی رها می‌شود که از قربانیان می‌خواهد برای رمزگشایی فایل‌هایشان از طریق تلگرام با آن‌ها تماس بگیرند.