Positive Technologies (PT ESC), исследователи подробно рассказали об атаках группы Hellhounds на российские компании. Группа сосредоточилась на атаках на Linux-хосты с использованием недавно обнаруженного бэкдора Decoy Dog. Атаки группы Hellhounds продолжались, и по состоянию на второй квартал 2024 года их жертвами стали не менее 48 организаций.
Группа Hellhounds успешно атакует инфраструктуру Windows в дополнение к известным атакам на Linux-хосты. Эти атаки, о которых ранее не сообщалось, были обнаружены командой PT ESC CSIRT в ходе реагирования на инциденты в транспортной и судоходной компании. Исследование также показало, что группа атаковала отечественные организации как минимум с 2021 года, а разработка виртуальных частных операторов (VPO) началась в 2019 году.
Группа Hellhounds использовала различные векторы компрометации, включая эксплуатацию уязвимых веб-сервисов и проникновение в сети жертв через доверенных сторонних подрядчиков. Им удавалось получить доступ к сетям отдельных организаций и оставаться незамеченными в течение многих лет, возможно, благодаря атакам на цепочки поставок. Злоумышленники часто маскировали свои инструменты под легитимные программные процессы, в том числе под продукты Positive Technologies.
Злоумышленники использовали алгоритм шифрования для расшифровки списка доменов, содержащегося в секции .rdata исполняемого файла. Каждый зашифрованный домен начинался с байта FF и расшифровывался с помощью простого алгоритма, основанного на операциях xor и subtraction. Расшифрованные домены затем использовались для генерации ключей и, возможно, для имитации легитимного трафика и обхода «песочниц».
Indicators of Compromise
IPv4
- 31.184.204.42
Domains
- beacon.net.eu.org
- c.glb-ru.info
- claudfront.net
- dw-filter.com
- maxpatrol.net
- mvs05.zyns.com
- net-sensors.net
- nsdps.cc
- rcsmf100.net
- wmssh.com
MD5
- 04fcea4bf75070e47f5f3e7e6958995f
- 093f35facc67cee3a8c2cca8be8b2d6a
- 0e22f3587c519c1f0e4fc57a04d66edb
- 10be9ca61ef86589951ddcfddc3d9672
- 15ebf623c05744403a163bd958522511
- 18417672efbe00f3ecdd700c442137fd
- 250af8e186b4d72b70036f090e9aee25
- 26e10db16c4b00c9d4afa1d3f2c5f080
- 2a9137f615fa56f9ae11fa7c17963dad
- 2c016c91181d4182a16845725bf0b315
- 321e4b64bcedc76a89cca86853d30c09
- 33f3dd60e87aafd96adf62fcb5af725f
- 3dc4391eb6170c26336938839246022f
- 4479cc492fa443af1461ebd768dcd1c3
- 453833594493c5064eeff8210d571224
- 485ad3a834d81e63be6c03e94371c007
- 4f2529e5be66a80e44acaeaa418b575c
- 537b8e319ef65435740b3e0c28722925
- 5be93fc5c858c3474bbfbc2555843966
- 5da97bbd438a030b0427a15c69af0037
- 5e672d6d5c2fc6190bd670409b987dfd
- 5f721ea01a017832be0bc4ed60f73f9d
- 6218ad1e81b1cd9364bbe0059b99bc9a
- 639826f50120006342e23a409ff6fa70
- 6703e425619a766ab521109885b51248
- 67aee8a9d41240c462ee7d7023977d84
- 6ee38226efedabbf794a37d0c972702c
- 6f18d4f75e0cb13dbb868ce7c6fe8ab8
- 6f40bc303944be1e322dcf5c40e3cde8
- 74ed22250182d13df4e1ad4b4f91d519
- 7e0c85852b2cd932626fcf284ca72978
- 84f2fa4d139ac10124f915584dda6476
- 8816c53603205717e5f1269385841784
- 885fa41b7e8e7d033cd01ee2e224cca2
- 8a1834e81ffb4ded5b818db7db8e543b
- 8d6e4cd33145ae084aa184fd0875c8f6
- 914f932feb7e08f3e0396e40b8ea46e7
- 9200c356b485ca61ec88258f0800657a
- 9f29794effd56e4075bb9f6e28b14678
- 9fb96e93ba9962919b261ae7dfe2b120
- adac1dc0ec3dcf28157ab09d35d0cfcc
- b0b2176187e24710ad9b4fbbb38573b1
- b2538dbf30dc3acb95930394e0ff3498
- b28b70b981a3b8e98874d23b24fc7dbd
- b514157f9b8cbb08d476e838171050d8
- b8932033b53ca08967100c58e12126be
- b8b11cfde33f285402ac17c50e89ce5e
- bc0200af1ac2e44cdeefcb9907f4d1d3
- bc7b5aa2a7f1e178fa8997c8d76ef041
- bf27f6608cea8343c287b355244762e9
- c89d431abb6b5cc28c86196fbf898684
- cc7a6656832b6929722b1c38cc14b550
- cd10a6c402c6ccc870afa0001409c27f
- d80b3ff086aed177bb87c317188b92c2
- e1a93ced3a55b34a54b5ac0dd095da59
- e35199eacd0bbc06cfb2c72e14f7a659
- e908da6041ae249f478bb22ac05e4b18
- ef6c7eb5518d58bc0b921d37265b0db4
- f09c0d5883a221d2e5f762480e946a78
- f19890d3f004cb9ae23398a006e358f5
- f28c7c354b9e27e8908dd0b8dc7da01b
- fd13efb096377f8bbf8b754874c40262
SHA1
- 01e71387a3ab05d73caed5435a8437faa8b66198
- 06335756b2a9afcf4147af25b06e30f63e5d52b9
- 15a6fdc79f0724d4c3b18742e5f1d73fc6839ac4
- 1d3ab04ace6895b042beb2d7ccfcd6c6cf5e620c
- 226d3a29149e36690b50b93beabed4481b1a48e6
- 24e7b9e904e90bfc9a9aadd8e347512ccbc895f6
- 26199b999facada1d6dafe78524321e575621d73
- 27fedf90846efe5357e11c53d87612fbf6c421d4
- 286dc3e3a055e37f47ceef45cf0fa55a6ab10111
- 2b1b5b4c7f9d4a963b0ec92a5eb2e28cb6cdc0b7
- 2ba1a6808db393296a08968c220b193fae42c21b
- 2be016b6b0dd9d57f2985a6ad0df85f5538d9623
- 2c568ee8524a72cee2ae3002039f846988bea670
- 39a54217868490ce71d6d0eaf6b9b2a2d747b3ca
- 3ab8a4e40f91febfdc2e6d69e162e3efc8b8b448
- 3ca21bde29ff0744edacd611d82b50d297bb447a
- 444a7b477e6f7bd0d9be7add79b3e0415566169c
- 4450d904f695dd51eaea24e4e449707707c7852e
- 480c2a12dfc1900ab9bad635caf6c507a300623c
- 4811d92b307a2929b25b39638b35f3e5692f4451
- 50105c6e64ccf058d604cdcf9123ed8bf163c41b
- 506386147d393cef81019dda55ac85125914c6be
- 54984e656f2bf1ed874b8b281d5abacdd517e51b
- 5ebf1dbcd5e16bcd4695777a7931ff4dc13d586a
- 67006e298844b578cce9888c243640f7e1f2e7c7
- 685ecfba19ad58f81acbb62a3fc9010128bf2000
- 6f30131181d81129c2f59d050214f47a6eedabbe
- 7c440e9421c26fe7b73ae8e213ef58b3b615ed6f
- 8107ca980e32c8c905aa86c81c20fe799181bef8
- 83c8168f7706148a6f28145872a7f3bf01037239
- 8daf7589f2e417363e3cfbc714fc9b299f54a36e
- 8f943b9f82892292162eb7964da3c9168df28116
- 9206f83e69c53c4460a30cc4046e59f50e25a1ad
- 943918176f941b162d668ea9642ba63d51450ff9
- 98c4d06e1c09907c3a4734668fef1ccd2a5ffcbb
- a1790420cb2f546a79ddaeefacfd3b3a3b781e7c
- a864cf53550d6daf38149d345d4563b65dd8580a
- ac0fe4a4a400265a7d6a68a558443dfe77e0dfb4
- ac469df608ef049708ba6efe72f4493ac20cdfd0
- b0827b53e4d2a3d53f3ab467157f17377a243eaf
- b1fceda9a56d17fd1520105a6d52fdf868c4cead
- b3a6f0d8daf0347f56e95bf56cb60a7ea6f711cb
- b7724bfa0041c0ae9882d880669751e290f6e88e
- b79b0fba2e698ef78747fb412cfbab3364fe3125
- b86ac0e9c1d0ef17c9f7ec406d51d4b2ed08ff67
- be428ac644a1cd1173f9c2a8b5db3c5fb38f795b
- c0fd9928b1755c047529a0b91517882bf74bc5e4
- c3669cc6fcc8a4eed8c3cad540a8f5402e4ddb79
- c4ef4c518c44eda803200b8f9d080c0f1ff3ed15
- c8ccf6e20cde537f3da64aebd1f80b144a4c8e0a
- cb883f4ea73eef125d9ba2b945ed1797a679ca7e
- d7f31bbb9a7cbe911f5ae3253e650b1fa7cc4b4c
- db3ea044e32773c12d67a49588f5a12aae09e257
- dc76c7586e1946ac120111d3a35937526a7cf140
- dd053b9cb14429cd4eec1b36e1a87f0a47289193
- e3ce85ababbc7b8b4291551abb9f0928caeb2646
- e46c422e5336c499b852ca77b4ab97b2607e54bf
- eaf5fc2f0d9a84ff77008f805be4025df1085c20
- ee7ce10b16d4052cf15c897d98a9e286ab63c30b
- f4c1f2882e20792463638cb75c4bb64e7aaf0401
- fb0f1226903dde243ef08c26ec0c5d7880e9c291
- fc5936e0e290f2f41a46eb14c05500a4236ac0c7
SHA256
- 00625fe8a6573f1774bfd9d58ba4a73d2c6307126271aa9accda89cd4b7270a9
- 025d91fa1609138b30d9f95da41800aa5633913a8598ae54e95f0bc92cab2820
- 04241c476f7ff0b86987dbc74f7f236d1bd1fcc05896ad704bd8c152920e2ee9
- 07dfb5b3e666400469fa451cdca5f29a346a5c9036e00c6587ef2b3b43631f10
- 07fe71b256c1c913b0f3e3fa67e53d21a3d1f499beb4e550597f5743797a77c4
- 0d6d89023c7e4d72d8c68d5d7308eb2a58286a0ecc2ddcbe325d78f6b2149680
- 0eb2c98d14fce41db0ac9352484438fc40489d6f40c915b659ecc84342aa83a6
- 106436a4fafe00112b19b1374456c1746b988950b71d700680088d74494e4936
- 121ab168fd3d59f83d127eb6a049e67ffdea9a3d4cdc6044f92116f4b1beb26d
- 18d4a3a92b24b2ad75115a44fe2727081316eca346499a4aa00aa13713cf00cb
- 1b7d26b2547ceb7f44dc9cabeb54d9c0c90b1ffb354dd1da711e269710f5d75c
- 1b8b4be020d3350d025c7a245eb0d7166ff2c329dc92af175ef0499cba583071
- 25ff8d416a4158c7401f6c23e040c592ff29855da83ea67340342a3dfacd99a5
- 299a7888e960b7be5b7dc75e3a4bfd0c38f0f0e7313b630dcca62b6093794535
- 2c726b0bee65f2290c233f84139baf9dfee736d46978f42fcf8033215c1ccd19
- 30617ff59db71da76e05828bf8eaf4c92553044bcf81870743cb35e1b482b1d8
- 30fd37421f35748b2adb1a45e71e77c38c4b4ebb6854112520bc27726a5d4424
- 31b21de71f2162e8da1be8483f3a5d019b0c817832bc11a9f307b6b36821ca54
- 33e9020a2d6e6604ac0abafaa9427738937a282d3e418723e4857519c9bf99bc
- 494c857b3abe11ab66024c605648dfeb23804d554e32b0411215d83b1bde4434
- 49cda974e0f9fdf1a99c76ab1f02c501cd720700efcc303e05dfb7d1e71f0d16
- 4d30fd05c3bdac792e0a011892e2cad02818436484e81b6de6a02928149bc92d
- 510da6d88ae4dd51d62796023a18b39db08a016ee4ee7178b1afdc91c58f9e1e
- 5264dcb00fd0e7261f95173e44df2023d9842c61befd3a3e5a1677d187331576
- 5ab7025a477fba68821be7cd3b425b74a5adcccbddbfe90dbce9bbb028cca4c4
- 64af32f631c4ace6604ee84e2875c3393a54a0e8ad838a85833c086757d343fe
- 66b7ce1c90ade1556469c4b9ef868bc6da2faea63987fbbfa4fa320723760a4e
- 6cb2979aa1fddd42df2ba596f705ce9bbdb2ec246649218d598d779769857c21
- 6da74c7e2bf3d77ac2f2cfddd114d27d08d01c2131d05d36e9c54de1c2565b2b
- 75bf7d3aae0ed409c2c7e4f9b15e49d2f8dac6f9ecc27219d837e806894fe2a0
- 7f55c71e064c000906afad1ff649d5c2d3fb6d61d7e84338c9ecf95b4958c7a4
- 8184a41a1275751c018a7433f1a48a8eb2f271d8f8fef98a90b70926f2755754
- 82746a68612661c699ff2998502c9a252d52f76284a6c623d5c7f45d97dcefba
- 834d7a3ccd82dd51ead09f18d9e466f6b5cb79d3054d12e3c3771e0477e0bc75
- 83a29477939ba8e70f8f401da1fefbaad17b155c194c35a2b328530038b3539b
- 9517212c7f840355ec02f71eb5e4ec87ae869d4b0a8bdd52331677433cca66bf
- 9a96c7b0595f628027c4f4caeece475ef742c420adf2fde8df934c6ce6481fb5
- 9a977571296ae1548c32df94be75eec2a414798bee7064b0bf44859e886a0cfa
- 9d9097e76b04b8e4e53e366a215a6debd8ada6efd0102694bf518da373d25e82
- a03e2ca143e867a99e2bc73bd4e5c2dd078a9f671aa0a4ce9611a8bc39a769e2
- ae6c7656a973c797ad8c3a344da99fbca8452c471d26900a2300364ddeb959b9
- b21e9a3581497eafbd92a45b670b9e6f18aa09f8375ed8ebb03a199d531b2d39
- b3538ce6d66a8a104f15a3431914da7214b54d1de2594f4ee536a6e7372ed664
- bca6da159bbf6af3ba6adfdb4f1da0e855c6ed2ac9076c98bcc702169dbeab40
- c620742a863ab20ad0f211bf0e7a1be0725f2682af96db15c1a0d610875dd613
- c67f28a2b85b0b242c2337f8717f9ddda13d471648ea56eccaaf92750b0da4dc
- cb1993e26580d51a6676890b87e4b3c9a2f8562815a291d9829988f00d616683
- d53fe08be9391ed668cdbcccecc4736e9d0e5dbc7cecbd32a7df21487d593232
- d59fcb3e138b9eea0d70a1127f7b9d927f381a133720cae0c4fd5fc803e4b9dd
- d89671386dd794996e7fbf57645a6ab8d40dc5d0d634ca9deec235ae31f5c500
- d9a8151aff9d1c061826a9812ed9a6600805c74a519df333513fd4a79d2d4e61
- dd83e7b5788588d3a6b806ce0e5ad4acc0343c99548a342bfca9d54ea64625e3
- e19dc185e99cfdc0c25f18fb34ffabff2a4877d6d5843e4c67c05ce182f9780e
- e27d1bab901c1bb414d0849c5c132faa8c7c6a61357d9627a7d2785270034793
- e38dcc222f770a4d11be0bd31b6d22f69a9f5bce8306c1c96390a0701647c1f3
- e42e43e01e2ca96562fa67e58a4d539fcaf50054e631dd259351f95c69672288
- e67c5731bed1e4d8c7947a6f474a161237ca9d795f8e86927b2faf1a17c94a79
- ee8dd2626a4465f49f6d4aaf3b6d3735ca938e5e289304ba0664e4c9fb957672
- f11afd0d02e936e56aad7e5e86f3bc6781a1c67c4abb98fe7b3d831e8d67e312
- f1aa7cb84e515e6d4818531ecb6cf9241338c68ebcb93e181ab9dfebb6be9123
- f466ecd2edc5481853f1e4613cf49dd5bd075e246436ad28b3558c2fd4069aca
- fd7298c3be42560f7a7e78903cc7ad5db3a14185eafc76a5bdac9bd2f2bf6bfc