Зафиксирована активность группировки Paper Werewolf, в рамках которой вредоносные вложения в письмах используются для запуска кода на машине получателя с последующей установкой программ удалённого доступа. Под удар попадают организации, чьи сотрудники получают такие сообщения и открывают приложенные файлы: успешный запуск даёт атакующим интерактивный канал управления рабочим местом, а через него - доступ к внутренним ресурсам сети. Ключевая новость здесь не в новизне приёмов, а в их связке: фишинговая доставка и легитимный инструмент удалённого администрирования применяются как одна цепочка, из-за чего заключительный этап атаки внешне почти не отличается от работы штатного администратора.
Описание
По введённым данным набор техник описан тремя идентификаторами. T1566.001 соответствует рассылке вложений в рамках целенаправленного фишинга, T1204.002 - запуску вредоносного файла самим пользователем, T1219 - использованию программ удалённого доступа. Такая последовательность означает, что первичный барьер обходится не эксплуатацией уязвимости, а действием получателя: файл должен быть открыт и, как правило, подтверждён к исполнению. Отсюда и характерная особенность - атакующим не нужен эксплойт, им достаточно убедительного повода в письме и файла, который не выглядит подозрительным до момента запуска.
Замыкающая техника определяет и почерк кампании. Программное обеспечение для удалённого доступа - легальный класс продуктов, который массово используется в администрировании, поэтому его появление на хосте само по себе не является признаком компрометации. Ценность этой тактики для Paper Werewolf в том, что трафик управления идёт по типовым каналам, а закрепление не требует отдельного набора вредоносных модулей: достаточно установленного агента и учётной записи. Именно поэтому цепочка «вложение - запуск - средство удалённого доступа» требует сопоставления событий на почтовом шлюзе и на конечных точках, а не анализа каждого этапа по отдельности.
Границы ввода при этом существенны. В переданных данных нет сведений о географии и отраслях жертв, о периоде активности, о том, какие именно семейства средств удалённого доступа применяются и как они маскируются, нет описания инфраструктуры и способов закрепления. Не указано, идёт ли речь о продолжающейся кампании или о ранее зафиксированных эпизодах, а также на каком основании активность связана именно с Paper Werewolf. Всё перечисленное - не установлено по имеющимся материалам, и любое утверждение на этот счёт было бы домыслом.
В практической плоскости внимания заслуживает разрыв между почтовым событием и последующим появлением инструмента администрирования. Показательными были бы случаи, когда открытие вложения по времени близко к первому запуску средства удалённого доступа, когда такие средства устанавливаются вне обычного процесса развёртывания или появляются на хостах, где ранее не использовались, а также когда сессии удалённого управления приходятся на нетипичные часы. Отдельного внимания заслуживает несоответствие между учётной записью, под которой работает агент, и её обычной ролью. Признаком интереса к цепочке можно считать и повторные попытки доставки одного и того же типа вложения разным адресатам внутри одной организации - это указывает на осознанный выбор цели, а не на массовый спам.
Для уверенного вывода по Paper Werewolf имеющихся данных недостаточно. Не хватает сведений о целевых отраслях и регионах, о временных рамках, о конкретных инструментах удалённого доступа и способах их доставки внутри файла, о поведении после закрепления - перемещении по сети, доступе к почте и файловым хранилищам, сборе данных. Без этого набор техник остаётся общим описанием подхода, а не характеристикой конкретной кампании, и сопоставление с другими группами, применяющими схожие цепочки, было бы преждевременным.
Индикаторы компрометации
