Злоумышленники, известные как Eagle Werewolf, применяют комбинированную схему для первоначального проникновения в сети жертв. Атака начинается с целевого фишингового письма, содержащего вредоносное вложение. После открытия вложения на системе запускается стилер - программа, предназначенная для сбора учётных данных, файлов cookie и другой чувствительной информации с заражённого хоста.
Описание
В рамках кампании используется несколько техник. Первая - целевой фишинг с вложением (T1566.001), при котором письмо отправляется конкретным сотрудникам, а вложение замаскировано под легитимный документ. Затем следует выполнение вредоносного файла (T1204.002): пользователь запускает вложение, и код стилера активируется. Для закрепления в системе и управления заражённой машиной применяются инструменты удалённого доступа (T1219), что позволяет злоумышленникам сохранить контроль после завершения кражи данных.
Отдельно стоит отметить эксплуатацию уязвимости BDU:2025-13635, зарегистрированной в российском банке данных угроз безопасности информации. Эта уязвимость, по-видимому, используется для повышения привилегий или обхода механизмов защиты при развёртывании стилера. Точные детали эксплуатации не раскрываются, однако факт её применения вместе с фишинговой рассылкой указывает на целенаправленный характер атаки.
Цель кампании - кража доступа к корпоративным ресурсам. Собранные стилером данные могут быть использованы для последующих атак на внутренние системы, включая боковое перемещение и компрометацию учётных записей. Для защиты рекомендуется фильтровать вложения на почтовом шлюзе, использовать песочницы для проверки подозрительных файлов и своевременно обновлять программное обеспечение с учётом уязвимости BDU:2025-13635. Дополнительно стоит ограничить запуск неподписанных исполняемых файлов политиками AppLocker или WDAC.
Индикаторы компрометации
