В исходных данных есть две строки: название группировки Rainbow Hyena и название инструмента HeartDoorLite, который описывают как бэкдор (программа скрытого удалённого доступа). Больше к этим именам ничего не приложено. Источник публикации, дата появления в открытом доступе и автор наблюдения не указаны. Нет ни одного образца, ни конфигурации, ни адресов командно-контрольного сервера (C2-сервера).
Описание
Поэтому связь инструмента с группировкой остаётся предположением. Для уверенного вывода нужны хеши файлов, время компиляции, список целевых адресов и хотя бы одна разобранная цепочка атаки. Кроме того, неясен вектор доставки: целевой фишинг, эксплуатация уязвимости и ручная установка дают разную картину. Без этих деталей атрибуция опирается только на совпадение названий в одном перечне. Не хватает и сведений о версиях: суффикс Lite в имени намекает на урезанную сборку, но подтвердить это нечем.
Возможная интерпретация осторожная. Упоминание HeartDoorLite рядом с Rainbow Hyena может отражать общую инфраструктуру, переиспользование чужого кода или обычную сводку из одного отчёта. Такое совпадение фиксируют как гипотезу, а не как факт. На практике один и тот же бэкдор нередко переходит между группами, поэтому имя семейства редко доказывает авторство.
При обнаружении образца стоит изолировать конечную точку (сетевой узел) и снять дамп памяти до перезагрузки. Затем полезно собрать записи о закреплении в системе, исходящие соединения и содержимое автозапуска. Найденное нужно сверить с известными отчётами о Rainbow Hyena, а сам файл сохранить для сравнения с будущими выборками. За рамками материала остались цели, география и период активности кампании.
Индикаторы компрометации
