Группировка Fairy Werewolf, по введённым данным, совмещает доставку вредоносного вложения в письме, запуск файла самим получателем и использование средств удалённого доступа, а завершает цепочку стилер Unicorn Stealer. Такое сочетание означает, что целью является не разовая кража, а получение и удержание присутствия в инфраструктуре с одновременным сбором учётных данных. Практический риск - компрометация корпоративной почты, внутренних сервисов и последующее развитие атаки внутри сети.
Описание
Набор техник читается как последовательная цепочка. T1566.001 описывает доставку вредоносного вложения в фишинговом сообщении, T1204.002 - запуск этого файла пользователем, то есть ставка сделана на социальную инженерию, а не на эксплуатацию уязвимостей. T1219 указывает на применение программ удалённого администрирования: они дают интерактивный доступ к системе, устойчивость присутствия и возможность работать в ней вручную под видом обычного администрирования. Стилер замыкает последовательность, извлекая сохранённые пароли, данные браузеров и материалы сессий.
Предположительно, удалённый доступ и стилер выполняют в такой кампании разные задачи. Первый закрепляет присутствие и позволяет оператору действовать в системе, второй собирает материал для последующих атак и для продажи доступа. Совпадение этих элементов в одном профиле характерно для групп, которые совмещают шпионаж с коммерческой монетизацией вторжений, однако подтверждается ли такая модель именно для Fairy Werewolf, из ввода не следует.
Отдельного внимания заслуживает то, что легитимные средства удалённого администрирования редко выглядят аномалией для защитных систем: их активность легко маскируется под работу администратора или подрядчика. Стилер, в отличие от них, не требует интерактивной сессии и работает быстро, поэтому окно для обнаружения на этом этапе короче. Связка «инструмент удалённого доступа плюс стилер» обычно говорит о двух дорожках одной операции - удержании доступа и краже данных, - но конкретное распределение ролей между ними в данном случае не установлено.
Ввод остаётся узким. В нём нет сведений о жертвах, отрасли, географии и временных рамках активности, о формате вложений и способе доставки, о применявшихся программах удалённого администрирования и инфраструктуре управления. Не указаны версия и конфигурация Unicorn Stealer, а также набор данных, который стилер собирал в конкретных инцидентах. Нет и данных о связи Fairy Werewolf с ранее известными кластерами активности, поэтому любое суждение об атрибуции было бы преждевременным.
Для содержательной оценки существенны были бы сведения о том, какие именно учётные данные оказывались в руках операторов - обычные пароли или материалы активных сессий, поскольку от этого зависит возможность обхода многофакторной аутентификации. Также важны продолжительность присутствия после запуска стилера и то, использовался ли удалённый доступ до или после сбора данных: это различает две принципиально разные модели операции - кражу с последующим входом и вход с последующим закреплением.
Итог по введённым данным: подтверждена только сама связка техник и применение стилера Unicorn Stealer. Всё, что касается масштаба кампании, целей и устойчивости группировки, остаётся не установленным. Уверенный вывод требует данных об инцидентах, о затронутых организациях и о наблюдавшихся инструментах удалённого доступа - без них описание ограничивается рамкой техник и названием используемого стилера.
Индикаторы компрометации
