Группа FrostyNeighbor впервые провела разрушительную кибератаку против украинской компании, играющей важную роль в транспортном секторе. Для операции группа FrostyNeighbor использовала вайпер на VBScript, доставленный через Group Policy, а исследователи ESET увидели в этом возможный признак более тесной увязки белорусских киберопераций с целями России, сообщает Dark Reading.
Атака выделяется не только выбором цели. FrostyNeighbor, также известная как UNC1151, прежде ассоциировалась прежде всего с фишингом, кибершпионажем и информационными операциями. Разрушительное воздействие на организацию, связанную с транспортной инфраструктурой, переводит кампанию в другую категорию риска: от сбора данных и захвата учётных записей — к попытке нарушить работу компании.
По данным отчёта ESET об активности APT-групп за второй и третий кварталы 2026 года, в атаке применялись Chisel, UltraVNC, Cobalt Strike и VBScript-вредонос. Последний распространялся через групповые политики Windows. Такой набор не выглядит как ставка на один экзотический инструмент: это сочетание средств для удалённого доступа, постэксплуатации и финального разрушительного действия. Для защитников это неприятный, но знакомый сценарий: инфраструктура может быть скомпрометирована заранее, а заметный ущерб наступает лишь после того, как злоумышленник закрепился и выбрал момент.
Исследователи ESET называют этот случай первой задокументированной ими разрушительной атакой белорусского актора в европейском театре. Формулировка важна: речь не о доказанном едином командовании с российскими службами, а о наблюдаемом сближении целей, выбора жертв и активности. В телеметрии ESET белорусские группы всё чаще действуют как киберпрокси или «усилители» российских операций; среди пересекающихся интересов исследователи отдельно упоминают сектор беспилотников.
Тренд, по словам старшего исследователя вредоносного ПО ESET Дамьена Шеффера, стал заметен в начале 2024 года. Аргумент не сводится к одному инциденту: специалисты видят больше атак на жертв, чья значимость ближе к российским стратегическим приоритетам, а также более высокий уровень сложности операций, чем можно было бы объяснить только интересами Белоруссии. Это не готовая схема подчинённости, а основание внимательнее смотреть на связи между кампаниями, инфраструктурой и целями.
Для российских и русскоязычных команд ИБ здесь полезнее всего избежать соблазна списать FrostyNeighbor на «региональную» угрозу. Национальный эксперт Recorded Future Александр Лесли предлагает отслеживать белорусские кластеры отдельно от российских, но сопоставлять их домены, инфраструктуру, инструменты и цели с российскими кампаниями. В июне 2026 года CERT Polska относил UNC1151 к числу наиболее активных наблюдаемых APT-групп: в предшествующие недели специалисты фиксировали новые фишинговые домены почти ежедневно.
Практический вывод для SOC и корпоративной ИТ-команды довольно приземлённый. Модель угроз стоит проверить не только на шифровальщики и утечки, но и на кражу учётных данных, постоянный доступ и компрометацию личных аккаунтов сотрудников. Отдельного контроля требуют почтовая инфраструктура, подозрительные страницы входа, цепочки доверенных контактов и изменения в Group Policy. Вайпер, запущенный через штатный доменный механизм, особенно опасен там, где аудит политик формален, а права администраторов выданы шире, чем того требует работа.
Особенно уязвимыми выглядят организации, связанные с госуправлением, транспортом, обороной и логистикой. Для них география атакующего уже недостаточный фильтр: кампания может быть технически привязана к Белоруссии, а её выбор целей — совпадать с интересами Москвы. Главный вопрос теперь не в том, считать ли группу FrostyNeighbor частью российской операции, а в том, успеют ли защитники заметить переход от фишинговой подготовки к разрушительному этапу. Подробности исходной публикации доступны у .
