Группировка King Werewolf применяет «троян удаленного доступа» DimanoRAT, распространяя его через письма с вредоносными вложениями. Зафиксированная цепочка складывается из фишингового вложения, запуска файла самим пользователем и последующего управления машиной через средство удаленного доступа. Кто именно входит в круг целей и на какие отрасли или регионы направлена активность, по введенным данным не установлено; при этом сам набор техник означает, что успешная атака дает злоумышленникам интерактивный контроль над системой, а не разовый инцидент.
Описание
Техника с целевой рассылкой вложения описывает доставку, при которой файл приходит прямо в письме, а не подтягивается по ссылке. Решение получателя открыть его становится ключевым звеном всей схемы, и следующий шаг - исполнение вредоносного файла пользователем - лишь закрепляет этот выбор. Обычно такой файл оформляется под рабочий документ и требует от адресата дополнительных действий, которые и запускают полезную нагрузку. Связка из доставки вложением и запуска пользователем типична для кампаний, где ставка делается на доверие к отправителю.
Третья техника - использование программ удаленного доступа - указывает, что DimanoRAT выполняет роль средства удаленного администрирования, а не только загрузчика или шпионской программы. Подобные инструменты обычно дают оператору устойчивое присутствие: выполнение команд, работу с файлами, наблюдение за активностью на машине и подтягивание дополнительных средств. Насколько полно DimanoRAT реализует этот набор, подтверждено ли шифрование канала и какие узлы управления задействованы, из ввода не следует.
Примечательно, что набор из трех техник выглядит компактным и последовательным: доставка вложением, запуск пользователем, закрепление через средство удаленного доступа. Это классическая схема начального доступа, в которой отдельно не заявлены этапы повышения привилегий, бокового перемещения или эксфильтрации. Отсутствие таких техник в перечне не означает, что их нет в реальной атаке: по введенным данным перечислены только те процедуры, которые отнесены к активности King Werewolf, и полнота этого списка не подтверждена.
Ограничения ввода существенны. Нет данных о жертвах, их количестве, географии и отраслевой принадлежности. Не указаны сроки активности, версия DimanoRAT, конкретный способ доставки вложения, наличие промежуточных загрузчиков и механизмов закрепления. Не установлено, связана ли группировка с более ранними кампаниями и используется ли один и тот же набор средств повторно. Без этого любые выводы о масштабе и адресности останутся предположениями.
К числу признаков, на которые обращают внимание при таком профиле активности, относится появление исполняемых вложений в переписке, запуск файлов, пришедших по почте, и необычная сетевая активность, характерная для средств удаленного управления. Полезным оказывается сопоставление времени открытия вложения с последующими подключениями к внешним узлам и с действиями, не соответствующими обычному режиму работы пользователя. Сырые индикаторы в этот материал не переданы и публикуются отдельно.
Для уверенного вывода не хватает главного: сведений о целях и пострадавших, подтверждения связи DimanoRAT именно с King Werewolf, описания полной цепочки исполнения и хотя бы приблизительной хронологии. Пока подтвержденным можно считать только сам факт применения указанных техник и инструмента; все остальное - предположения, требующие дополнительных данных.
Индикаторы компрометации
