Группировка Fairy Trickster, также известная под названием Rainbow Hyena, продолжает развивать свой арсенал кибернетических инструментов, демонстрируя новые методы атак и обфускации. Недавние исследования выявили использование дополнительных утилит, включая кастомный .NET бэкдор и модифицированные средства постэксплуатации, что указывает на эволюцию тактик группы. Особый интерес вызывает сходство методов обфускации с инструментарием другой известной группировки - Lifting Zmiy (BO_TEAM), что позволяет предположить возможное взаимодействие или обмен ресурсами между этими акторами.
Описание
В ходе мониторинга фишинговых кампаний, направленных на клиентов Solar 4RAYS, был обнаружен расширенный набор инструментов, применяемый Fairy Trickster. Помимо ранее описанных утилит, злоумышленники используют Socks5 прокси-сервер tsocks и .NET бэкдор cplhost.exe, который предоставляет интерактивную командную оболочку и поддерживает такие команды, как load, dir и whoami. На этапе постэксплуатации применялась обфусцированная версия утилиты T1ck3tDump, предназначенная для дампа билетов Kerberos. Примечательно, что данные об авторстве были изменены на строку, отсылающую к группировке Anonymous Sudan, хотя прямых связей между этими группами не обнаружено.
Атаки начинаются с фишинговых писем, которые приводят к запуску начального бэкдора PhantomRShell (remote.dll). Через него загружается более функциональный бэкдор PhantomTaskShell (update.ps1), который затем закрепляется в системе через создание задачи планировщика, запускающей VBS-скрипт run_update.vbs. Этот скрипт исполняет основной payload, обеспечивая устойчивость к перезагрузкам.
Для сбора данных злоумышленники используют разведывательные команды, такие как whoami, arp -a, netstat -ano и другие, чтобы получить информацию о системе и сети. Затем следует этап загрузки дополнительных инструментов, включая утилиты для эксфильтрации файлов, такие как load.ps1, который собирает документы с расширениями xls, xlsx, doc, docx, txt, ovpn, rdp, lnk и другие. Файлы эксфильтруются из каталогов пользователей, включая Desktop и Downloads.
Для обхода сетевых ограничений атакующие применяют обратные SSH-туннели, используя скрипты типа dnsclient.bat. Команды туннелирования часто меняются, что указывает на ручную работу операторов. Также в арсенале группы обнаружены утилиты для управления облачными хранилищами (rclone), прокси-серверы (rsocx, tsocks) и инструменты для сбора паролей, такие как XenAllPasswordPro.
Одним из ключевых наблюдений стало использование обфускации, которая очень похожа на методы, применяемые группировкой Lifting Zmiy. Например, в новых версиях PhantomTaskShell и утилиты T1ck3tDump строки модифицируются путём добавления префиксов и разделителей (например, V|VBS created:${__B_8m}). Аналогичные изменения были замечены в мае 2025 года в инструменте BrockenDoor группы Lifting Zmiy, где команды и строки были сокращены и изменены схожим образом (например, set_poll_interval превратилось в spi, а run_program - в rp).
Это сходство может указывать на использование общего обфускатора или даже на более глубокую связь между группировками, хотя пока нет прямых доказательств координации их действий. Возможно, инструменты и методы были заимствованы или приобретены на теневых форумах.
Группировка Fairy Trickster демонстрирует достаточно высокий уровень адаптивности, регулярно обновляя свои инструменты и методы для обхода защиты. Их основные цели - сбор конфиденциальных данных и аутентификационной информации, что может быть использовано для последующей продажи или проведения более масштабных атак. Обнаруженные связи с Lifting Zmiy подчеркивают сложность и взаимосвязанность современной киберпреступной экосистемы, где инструменты и техники могут быстро распространяться между различными группами.
Для защитников критически важно отслеживать изменения в инструментарии и тактиках таких группировок, уделяя внимание не только сигнатурам, но и поведенческим аномалиям. Рекомендуется усилить мониторинг необычной сетевой активности, такой как SSH-туннелирование, и обращать внимание на запуск подозрительных скриптов в системе.
Индикаторы компрометации
