Группировка Eagle Werewolf проводит кампанию по доставке вредоносных программ, похищающих данные. Вектор атаки - фишинговые рассылки, основная полезная нагрузка - стилеры Still Sync и Still Audio. Такие инструменты собирают учётные данные, cookie-файлы и другую чувствительную информацию с заражённых рабочих станций.
Описание
Доставка вложений строится на технике целевого фишинга с вложением (T1566.001): жертва получает письмо и открывает прикреплённый файл. После запуска срабатывает техника выполнения вредоносного кода (T1204.002), и стилер начинает работу. Затем вредонос устанавливает связь с командным сервером через легитимные инструменты удалённого доступа (T1219) - это позволяет злоумышленникам скрытно управлять заражённым хостом и выгружать собранные данные.
Названия стилеров, Still Sync и Still Audio, указывают на возможную тематическую маскировку: вредоносные файлы могут выдаваться за установщики или обновления медиаприложений. Для SOC это означает необходимость мониторинга исходящих соединений к незнакомым адресам и контроля запуска новых процессов. Особое внимание стоит уделять хостам, где появляются процессы, имитирующие синхронизацию или работу с аудио.
Защита строится на фильтрации вложений почтового трафика и блокировке неподписанных исполняемых файлов. Полезно ограничить применение средств удалённого доступа разрешённым списком, чтобы злоумышленники не могли использовать их для закрепления и управления. Подозрительные вложения следует проверять в песочнице, а сотрудников - регулярно обучать распознаванию фишинговых писем. Эти меры снижают вероятность успешного запуска стилера и сокращают окно для эксфильтрации данных.
Индикаторы компрометации
IPv4
- 103.253.43.49
- 104.194.134.27
- 145.223.70.69
- 146.103.45.131
- 2.59.218.195
- 213.252.246.23
- 23.26.237.70
- 23.26.237.99
- 23.27.124.133
- 23.27.25.251
- 45.59.114.86
- 45.59.124.84
- 45.83.131.103
- 51.15.110.186
- 91.227.77.218
- 93.115.19.231
Domain
- 5microservices.com
- apibroker.xyz
- astracloud.cc
- best4service.net
- cloudanalitics.net
- configurationserv.com
- defendercloud.net
- drivercloud.net
- driverupdate.store
- edgesnet.cc
- linkservice-backup.com
- liteservice.net
- managementapiservice.com
- newagebrain.net
- orderapiserver.info
- plantlabelstore.com
- portalsupdates.com
- screenserv.com
- service8date.com
- servrwindow.com
- srv5backupdb.org
- srwinservice.com
- sync-rtk-api.com
- tg4service.com
- toolsserv.com
- updatee-msf.com
- updateser.com
- updateservs.com
- upd-link6.com
- whatsservice.site
- windowserv.net
- winservsrv.com
- winservup.com
- xyzserve.net
SHA256
- 058331ef52a15b72aab9c63d69f4c006f5386761246a3638ffffb1b7621f1359
- 096cc514002a478da827a57f680b87e467efef29fc3b7dce59abca7deb728d6b
- 09895567e6408c4d4e5f2c3206a552b7503b361797e3cdfe90850c6b3028ec51
- 12f897c2c9580245f94d51ba906511d05d3fa3a66ea2fec4f0cb3475eb25bf70
- 182b1d0a3d3ed46269957f6f4ed06e2bb306e42129007f5b2f6fa34a009a9121
- 222dd01fff829d2c4493c236079e776b6f32233628942717ac833c955158c718
- 262ccd3ae01829758e1a5f91087aaf25ec47788160e0a95dfd9ae414f7b181f0
- 28ab30beb4268cf818b2b70728a831504c7a1361005a7f4e94a0368fb8216458
- 31349d61da780d59a8a27e2762405632726d88135a08ac5dda05849c62dfd551
- 3b8e4dc9ed088c758b09f2d28ab79f35ae434cbab7b8f28b886051246838241c
- 404eb4ada6e161210611f1c8275f126ec24aad37c380ead130cf15667023d249
- 4eb6126f7e23d9155df280b944a98da10a79f1067f39990cf019f25feef75712
- 5fc1251e474eae9253362a08095e989edc2b63de21d76052a2c849efc6792c3f
- 71003682deb7464cf739c6607eb14bf33ad2a9a7b909861e2ef0af794e22caef
- 803d37f89e7b492bd86913808efdf17d1208edfadc7ac822a77a45408e930535
- 8739b552bdffeec32c7c7efaf8311b2b79ca446e698f5b63effb182f0ca5b2a8
- 9c7bbe0f52f2ad509e8fdc34f6ac85b77cf81d03454909ed837356e9c39ae19f
- 9f32b884ceb3948efe2e9fc0f2966be9c28522633c8d3e85096afdf593fd7fd5
- e42a7ae0e95982ca1bb726eeb2296e9ffd1b580c31a97f3b29ed44f09c1f80e2
- e777bdf350faaff9220edb4e19ec5ce4de1af8ae290f6daf6370c99b58e783f1
- e9777b79c44a10514b5999f7e2e63c4436a4ed7f5c9c8f368731e8d8e4272f8e
