Кіберзлочинні угруповання почали активно експлуатувати легітимне програмне забезпечення ViPNet для проникнення в мережі державних установ РФ. ViPNet є широко поширеним програмним комплексом для побудови захищених віртуальних приватних мереж та шифрування каналів зв’язку. Хакерська група змогла скомпрометувати механізм автоматичного оновлення клієнтських додатків або використати вразливості в конфігураціях шлюзів безпеки. Завдяки цьому зловмисники отримали первинний доступ до внутрішньої ІТ-інфраструктури кількох міністерств і відомств, маснуючи свій шкідливий трафік під санкціонований зашифрований обмін даними.

Під час детального аналізу інцидентів аналітики виявили, що після проникнення в систему хакери розгортають додаткові інструменти для шпигунства та збору інформації. Зокрема, вони використовують легітурні утиліти адміністрування для переміщення по мережі та збору конфіденційних документів. Наслідком атаки став масштабний витік внутрішньої документації, включаючи списки співробітників та сервери облікових даних користувачів. Фахівці зазначають, що оскільки атака відбувається через довірений софт, стандартні системи моніторингу безпеки тривалий час не фіксували жодних аномалій або ознак зламу.