В арсенале группировки Larcenous Werewolf появились три вредоносных инструмента: загрузчик Silver Fox RustSL, троян удалённого доступа Valley RAT и бэкдор ABCDoor (скрытый вход в систему). Они дополняют друг друга и образуют полный набор для атаки на корпоративные сети. Загрузчик отвечает за запуск цепочки, троян предоставляет управление системой, а бэкдор закрепляется в ней для долговременного доступа.
Описание
Silver Fox RustSL выполняет роль начального этапа. Он разворачивает на жертве следующую стадию вредоносного кода. Valley RAT - программа удалённого управления - позволяет операторам собирать данные, выполнять команды и перемещаться по внутренней сети. Бэкдор ABCDoor, в свою очередь, обеспечивает скрытый вход в систему даже после удаления основного компонента.
Комбинация этих инструментов типична для группировок, ориентированных на долгосрочное присутствие в инфраструктуре. Разделение функций затрудняет обнаружение: стандартные средства часто выявляют лишь один из элементов, тогда как остальные продолжают работать незамеченными. Поэтому для защиты необходимо применять комплексный мониторинг.
Организациям следует обращать внимание на индикаторы, связанные с Silver Fox RustSL, Valley RAT и ABCDoor. Внедрение соответствующих сигнатур в системы обнаружения поможет выявить угрозу до того, как она нанесёт ущерб. Дополнительно стоит усилить контроль запуска процессов и исходящих сетевых соединений, поскольку такие инструменты обычно взаимодействуют с командными серверами.
Если в сети обнаружены следы этих программ, нужно провести полный анализ заражённых хостов и проверить другие устройства на наличие аналогичных артефактов. Особое внимание стоит уделить системам с высокими привилегиями, так как злоумышленники могут использовать их для закрепления и бокового перемещения.
Индикаторы компрометации
IPv4
- 108.187.37.85
- 108.187.41.221
- 139.180.128.251
- 154.82.81.192
- 154.82.81.205
- 192.163.167.14
- 192.229.115.229
- 192.238.205.47
- 207.56.119.216
- 45.118.133.203
- 45.192.219.60
- 45.32.108.178
- 57.133.212.106
Domain
- abc.3mkorealtd.com
- abc.doublemobile.com
- abc.fetish-friends.com
- abc.ilptour.com
- abc.petitechanson.com
- abc.sudsmama.com
- abc.woopami.com
- mcagov.cc
- roldco.com
- vnc.kcii2.com
SHA256
- 022117104bdbef4323ca35bcffd4244fc5ed20ed32a9e101ceba971487ea2e43
- 059661361091006ccad7cef5798865e9bbf94c6d521d649b55cef7beac1da9de
- 06036d8f881541999541dab9fb808df1011432592e79677100cee5a7f1ddd2ce
- 060abb17a90de5c39c169b417054ec806f4c4f0d7764c64d08fd73a566b6fe0c
- 089f92081ad1997d01320d1b119a9c4ab37c7076aded64da9f8c109f10e0fbb1
- 0cffb8b8fd11f300b5477ff23ec576f66ab65c021d995fa5495827237e679d93
- 0e258da44999aa19cec931d15fda844786a76c11236aba7d79a3a0cec15eb513
- 0eb664b45200c9b4e954162128d2c13bc693f6ae57650b49a3a9fb9b2e821110
- 1f430f1ac74e50e9a41081d3a4dd1cc115c0d73c6978f53cce509e86faf6cf7c
- 285c764e84ca830d90e75df06ee5445693f79058142b85b5e054c5c78c0421aa
- 3205cfc4e241406113fbc196d9e2e8dcac880df4c11977ce7a91d7c0f04f5cb6
- 3296bd88e0a85ebad4f429878bf8bca16ac43e609133b4781f88a339c37bfe9f
- 33847bc2d028d7d742294a9159731b7e15976d2d2b2ade06869fd3583991519b
- 34f210232c3c3edca2630c70f86839244d7989c0b556cf93471dc7f480aed7aa
- 357567196276b19341224c1cb6c673aaa98fa35bc040d2a0b6f3cc9ef5bf88d5
- 3b372d921febe3acca87a53e019efda34778e200a3d90071607971b0ac2e9cd4
- 3cdd228f94ae416a09ee1f3556220e58a19efc28976ee699f96e0fd09d6ac3f9
- 404dd387c02cbb1bdfe5d7f5ac35c151eadfeec1de3f450f59583037d9453bad
- 43ecbd2dd6199a13ac1bef3a49af3c08593d50d7faf8e24df91c03ef8edf6ecd
- 4518249127a023adb81d232452395e1506a3766eac1664b8a63c3d0e7dcc2dc2
- 4b4dcbd26f08dca7e3e5721f0f5bdc6274e1edc0556e0749a426ec22ff83ca10
- 56366c635d7b2ae88e8c8e9511f0c12e1cf1173b8be8c8f211b38a26d3a21e1c
- 567479868057068be44a51a6126c090203a3244d3ea3a8bf7d7e2582213c649d
- 5af4a97c2a06821a194623e1a0d26a7cefdd3d2f4ff5ffa9cac3290e60f27996
- 5be9fc4ad9ae3e791d18427f4592c234dfb612aec39b219e8ec57424f61cbab3
- 5d8c7fffc0992639edbca893366f19d5784af2d77e3cfcbaa445a10c503f935a
- 60725dbd8c060f78ae2ab8cb2ce96d9a2216d1dab6c428fb07b19247981802d5
- 6463232ba7353e333fa0a19673ce71bb366d8001b3cbb87170da3fb39fc1767a
- 67c87dafb26de3b2b15b93a4ccd291e95682b9adf4ecb083b7c54286245ebd87
- 695e4d107becf0cf91e7e5cb1c3039a326e15e7428101e3a697a7be98629766a
- 6b24783e395841f41e359a332c8ce55fb6cf27757ca03ddbfed9e411ef1070f2
- 6fa7f2515631100493ad321304e52f57a2a5877930b3c317ef234028dbc15414
- 795f939f8b9a2d56a3e8a609cab81032d9122a7d56ea852d95cd668f09139a3a
- 838ca977af4ac18fab22de8b781604eb7bb63d758d457d9a0819ecf6dc0f756d
- 854927d11112e9286ca4383720d033ae91aacdcd8b2845f216fe6a918fa2569c
- 8a9f96765843288714c111551407d48df48bbd7aac0bdcea67aab856f2d7fbc3
- 8b665f44c07af2523a35986dd19d7cb7f41c883f07b4ee189d3ce6f26689156c
- 905efac09785631ed57e57a6236b87c04f53b9e0a3bf697df71365814dee6362
- 949b0bea5bd7feab58e280dde49310521920b655714c5f1b7d9de8719373dcd7
- a79f98bcead6efc9a1b71556e83cac7b0924544f11ff5ceedf80b0cc2f778d02
- ac4c066b9687ba5ef66a9e2590094b84ad4075711decacfabd582993c8e6eb02
- b459109d2748723ebd9b212074cebd53ba95c589d540089e41380baad596f30d
- c9f15cf5a64fb7ad5791bec6c2cfe0dd5341ae08dcbac0ef67e1044254da4af1
- cb382efe6249c62044144aaf20663881b12a8813c0de80a4c90b46ad54d93007
- ce7c7339e1572369c881803d462bd63d8f6e31f054f7bf86d93ce36db7842f19
- d3e15c50b59db5b22190005ec96e2718dd7540d1caff18d9055745f81703eb2b
- d8f9f8bc811f428dd9605000470c5f496f46145e2d3d8b7e750bca901e55fcdd
- da57417f0bf7f212429ae2d6029646f1306080c16238c39db1ab428e5d29b1da
- dbe22ee1e15f4b8421d1c82a04124c3cce99d87a46adb298ce1f1c2b3d8e2306
- dbfa683cd8c600ed0e90f58eb965ca38b1561fa99d12cb7f252e8608da217df2
- e0699bb2eb4cba2bdb4ba233a2237405a3b5f69c4bb7108e9313e7d0d64d426e
- e18e699d1e3f53632cd978dbe1331815cc2255e3a03a8f1717f2457c77b82ec2
- e221758a07073b67097b034d51cde9c37a136cd220fde4c586bad52c39b9f0ed
- e23f421b925fa4afcea741aafb15099dd3ca8c2ae93e0c0a75fa689f9cb97279
- e2f74e3d3d8df95b638dc2827243099c2999b8c15073e31cc3544e464a46840c
- e82fc50fb7fae8b26c99f1df690211f76497e6f2c03ee96b972daec14a9e0fa3
- e8c2ffd603a13d9b3eb1909b3dfec032ce4f090b2a94198dda195be13d652cd2
- e96091fd784eca3c56ce4a703b22f5e5941464aec32a6f356ad0f99ea4422f04
- f288aac16f9593802e76e0eaae777f36860fe4ef13c22cbedbe46d355b7682e0
- f7045e26cd80b2c688b8371947ddeaee0dc3c56bf855e65472f4347b27654d90
- f9de109396ce5d2a87b475641f81451b2d1e718252ae57ac4a378a517c56dd89
- fd9632478ae4a16ed166df93ada1fd359051add3ce082d747ed6d30272e71523
- fedf8678350dd29713be43f6115a2a8361f011b4b2eaf51e57eb2ffd758caa83
- ffaea868dc1d68211664133e3b69f7025f1406bd4647d77f3aee945d745ad4bc
