Nova — это RaaS-операция, которая в апреле 2025 года сменила имя с RALord, сохранив старые листинги жертв и расширив партнёрскую программу. По оценке SOCRadar, с апреля 2025 по июль 2026 года группа заявила о 177 атаках в 45 странах и 10 отраслях; только за три месяца середины 2026-го — 74 жертвы.
Технически набор агрессивный, но не уникальный: Rust-шифратор, PowerShell, правки реестра и манипуляции со службами. Отличие в том, что группа целенаправленно ломает восстановление: отключает Microsoft Defender и останавливает защитные службы, чистит журнал событий Windows и удаляет теневые копии томов.
Шифрование — XChaCha20-Poly1305 для файлов, ключи защищены RSA-2048. Есть несколько типов «локеров» под разные уровни привилегий, Linux-вариант и загрузочный шифратор — то есть операция рассчитана на смешанные среды, а не только на Windows-парк.
Что делать
Первое — резервные копии. Если они лежат в домене и доступны с тех же учётных записей, удаление теневых копий превращает инцидент в многодневный простой. Нужна офлайн- или иммутабельная копия, проверенная на восстановление, а не просто настроенная.
Второе — журналы. Очистка event log — заметное событие, и если оно не вызывает алерта, детект появится только на этапе шифрования. Третье — MFA для VPN и RDP: Nova приходит в том числе через скомпрометированные credentials и открытые RDP-порты.
И четвёртое: EDR на Linux-хостах. Linux-вариант у группы уже есть, а на серверах часто стоит только базовый агент без поведенческих правил.
Nova is a RaaS operation that renamed itself from RALord in April 2025, keeping old victim listings and expanding its affiliate programme. According to SOCRadar, between April 2025 and July 2026 the group claimed 177 attacks across 45 countries and 10 sectors; in three months of mid-2026 alone it claimed 74 victims.
The toolkit is aggressive but not unique: a Rust encryptor, PowerShell, registry changes and service manipulation. What stands out is the deliberate attack on recovery: it disables Microsoft Defender and stops security services, clears the Windows event log and deletes volume shadow copies.
Encryption uses XChaCha20-Poly1305 for files with keys protected by RSA-2048. There are several “locker” types for different privilege levels, a Linux variant and a boot locker — so the operation is built for mixed environments, not just Windows fleets.
What to do
First, backups. If they live in the domain and are reachable with the same credentials, deleting shadow copies turns the incident into days of downtime. You need an offline or immutable copy that has been tested for restore, not merely configured.
Second, logs. Event-log clearing is a loud event, and if it raises no alert, detection arrives only at the encryption stage. Third, MFA for VPN and RDP: Nova also arrives through compromised credentials and exposed RDP ports.
Fourth, EDR on Linux hosts. The group has a Linux variant, and servers often run only a basic agent without behavioural rules.