Специалисты Лаборатории цифровой криминалистики и исследования вредоносного кода F6 сообщают о новой угрозе российскому бизнесу. Уже известно минимум о четырех организациях-жертвах.
По мнению специалистов Лаборатории, есть все основания считать, что новая группировка — ребрендинг ранее известной проукраинской группы Thor:
Специалисты F6 не раз заявляли о консолидации и перегруппировке проукраинских группировок в 2025-2026 гг. Вероятно, участники VantaCore, как и их коллеги из Shadow, решили создать имидж солидной партнерской программы вымогателей и создали сайт утечек (DLS) с информацией об атаках на различные компании в июне этого года. Общение вымогателей с жертвой происходит в чате в сети Tor. По дизайну чатов прослеживается взаимосвязь с группировкой Thor. Сайт утечек (DLS) VantaCore был развернут не позднее 7 июня 2026 года. При анализе ресурса по пути /favicon.ico была обнаружена иконка с надписью «THOR», выполненной руническим письмом.Что еще известно об этой группе?
VantaCore использует схему двойного и тройного вымогательства для дополнительного давления на жертву. Суммы запрашиваемых выкупов составляют миллионы долларов. Одна из особенностей VantaCore — использование постэксплуатационных инструментов собственной разработки. Для шифрования данных атакующие используют программу-вымогатель VantaCore собственной разработки, реализующей шифрование данных с помощью криптографических алгоритмов ChaCha20 и X25519. Для распространения по локальной сети программы-вымогателя и других инструментов группировка использует инструмент собственной разработки VantaCoreLoader. Также авторской разработкой является написанный на Go бэкдор VantaCoreRAT. Нейтрализация программных средств безопасности производится с помощью инструмента SnowKiller, использующего технику BYOVD (Bring Your Own Vulnerable Driver).Всё о техниках и инструментах группы VantaCore — в новом блоге F6.
