Деятельность шпионской сети SiribClone

Исследователи в области информационной безопасности из компании F6 зафиксировали активность новой кибергруппировки, получившей наименование SiribClone. В сферу интересов злоумышленников попали российские военные, дислоцирующиеся в приграничных районах и непосредственно в зоне проведения СВО. Главной задачей атакующих является сбор конфиденциальной информации и получение контроля над каналами коммуникации своих жертв.


Методы кражи данных на ПК

Для атак на персональные компьютеры хакеры создали специализированное вредоносное ПО под названием SiribGrabber. Программа предназначена для скрытного извлечения технической, личной и геолокационной информации. За прошедшее время тактика злоумышленников претерпела изменения:

  • В начале 2026 года основной вектор заражения был связан с ZIP-архивами, замаскированными под служебную документацию.
  • Позднее был задействован фишинговый сайт, имитирующий ресурс движения «Бессмертный полк».

Мобильный шпионаж и социальная инженерия

Особое внимание группа уделяет пользователям мобильных устройств, используя методы социальной инженерии. Злоумышленники вступают в контакт с военнослужащими в приложениях для знакомств от лица женщин. В ходе общения жертве предлагают установить стороннее ПО для обмена фотографиями, известное как SafeLoveStealer. Приложение работает скрытно, запрашивая минимальные права доступа, но при этом передает на серверы атакующих аудиозаписи, видеофайлы и точные координаты владельца устройства.


Компрометация мессенджера Telegram

Помимо вредоносного ПО, SiribClone успешно использует фишинг для угона аккаунтов в Telegram. Пользователям направляются ссылки на фальшивые страницы, мимикрирующие под облачные хранилища или порталы медицинских услуг. После ввода учетных данных злоумышленники получают полный доступ к переписке в режиме реального времени.


Анализ деятельности киберпреступников

В ходе исследования экспертам F6 удалось изучить специализированный инструмент, с помощью которого участники группировки управляют скомпрометированными аккаунтами. Система предоставляет хакерам удобный интерфейс с перечнем всех захваченных профилей, включая доступ к чатам и каналам. К каждому аккаунту злоумышленники ведут детальные заметки, содержащие сведения о должности, звании и личных данных военнослужащих. По словам специалистов F6:

«Анализ заметок злоумышленников позволяет сделать вывод, что цель их атак – военнослужащие ВС РФ, находящиеся в приграничных территориях и в зоне проведения СВО. Описание геолокаций атакованных пользователей, упоминание их званий и войсковых частей подтверждает, что задача атакующих – военный шпионаж»