Группировка Rainbow Hyuena атакует через фишинговые письма с вредоносными вложениями. Жертва получает документ-приманку и открывает его. После этого на рабочей станции запускается скрытая установка дополнительного софта. Конечная цель - получить постоянный контроль над заражённой системой.
Описание
Начальный этап соответствует технике T1566.001 - целевому фишингу с вложением. Пользователь сам запускает вредоносный файл, поэтому срабатывает техника T1204.002. Дальше работает дроппер - вспомогательная программа, которая доставляет и запускает основную полезную нагрузку. Именно он разворачивает инструмент удалённого доступа, замаскированный под легитимное ПО.
Использование штатных программ удалённого администрирования соответствует технике T1219 и заметно осложняет выявление угрозы. Активность выглядит как рутинные действия администратора. В результате злоумышленники получают интерактивный канал управления, возможность выполнять команды, собирать данные и перемещаться по сети. Дроппер вдобавок усложняет анализ: файл-приманка не содержит вредоносных функций, а нагрузка появляется только в памяти после запуска.
Защиту стоит строить на фильтрации почтовых вложений и контроле запуска исполняемых файлов. Практичную пользу дают политики AppLocker или WDAC (контроль запуска и целостности приложений Windows), ограничивающие выполнение неподписанных программ. Мониторинг появления легитимных инструментов удалённого доступа и подозрительных подключений к внешним адресам помогает выявить закрепление на раннем этапе.
Индикаторы компрометации
