Группировка Rainbow Hyuena атакует через фишинговые письма с вредоносными вложениями. Жертва получает документ-приманку и открывает его. После этого на рабочей станции запускается скрытая установка дополнительного софта. Конечная цель - получить постоянный контроль над заражённой системой.
Описание
Начальный этап соответствует технике T1566.001 - целевому фишингу с вложением. Пользователь сам запускает вредоносный файл, поэтому срабатывает техника T1204.002. Дальше работает дроппер - вспомогательная программа, которая доставляет и запускает основную полезную нагрузку. Именно он разворачивает инструмент удалённого доступа, замаскированный под легитимное ПО.
Использование штатных программ удалённого администрирования соответствует технике T1219 и заметно осложняет выявление угрозы. Активность выглядит как рутинные действия администратора. В результате злоумышленники получают интерактивный канал управления, возможность выполнять команды, собирать данные и перемещаться по сети. Дроппер вдобавок усложняет анализ: файл-приманка не содержит вредоносных функций, а нагрузка появляется только в памяти после запуска.
Защиту стоит строить на фильтрации почтовых вложений и контроле запуска исполняемых файлов. Практичную пользу дают политики AppLocker или WDAC (контроль запуска и целостности приложений Windows), ограничивающие выполнение неподписанных программ. Мониторинг появления легитимных инструментов удалённого доступа и подозрительных подключений к внешним адресам помогает выявить закрепление на раннем этапе.
Индикаторы компрометации
Domain
- rinomobile.ink
- shop-discount.xyz
URL
- https://cosmetic-deals.store/application/poll
- https://cosmetic-deals.store/client/register
- https://media-hub.today/application/poll
- https://media-hub.today/client/register
- https://rinomobile.ink/application/poll
- https://rinomobile.ink/client/register
- https://shop-discount.xyz/articles/journalism/reporter.html
- https://shop-discount.xyz/beauty/skincare/specialist.html
- https://shop-discount.xyz/devices/
- https://shop-discount.xyz/digital/content/publisher.html
- https://shop-discount.xyz/makeup/highlight.html
- https://shop-discount.xyz/streaming/broadcast.html
- https://shop-discount.xyz/wellness/products/nourishing.html
SHA256
- 1d65d18169dc2992af50465a3d25b7b3ce51d11fd8db411206baa118c9bd2efe
- 23176ff5e92798b97341440a2a76f782729193c6ff65f71b8b6a315a2d507674
- 5d4d01c88ad31f81d34d8b58fc9586155ec7cc1737b6e981817133d84f5d705c
- 72029a4d4790784dd3029d13e73f57494dcb8f8187ca234b131e2b825bd84336
- 9d8f42f5a2a38499bce6066be2ced867b52fd44b5148aa4e9636133e1c60f6f1
- a8b24d4c9b6f2099c4da5485e87c8209f11c23900ee38c9d8555ad73e7cfd58a
- ceea2f175eaa02919e8b5161c2ecf585de3e8b6d586bca8046eee2e3f4efa386
- d0b1f15618730d18027340a72a3abda90bdd834147f978551ce08ee1018ea508
- e8d5395ed8fb773f0f3aecffb4c0bc964bf1e1b602ecb14651f9471cf2b36601
- f263cd4e268ac085dc95673cb85852f536088b83a0cbfdc9910a502268b20dd6
