Группировка Rare Werewolf применяет целевой фишинг для проникновения в корпоративные сети. Злоумышленники рассылают электронные письма с вредоносным вложением, которое маскируется под обычный документ. Если пользователь открывает файл, происходит установка AnyDesk - легитимной программы удалённого доступа. После этого операторы получают полный контроль над конечной точкой.
Описание
В этой цепочке задействовано несколько техник MITRE ATT&CK. Первая - T1566.001, целевой фишинг с вложением: письмо доставляется адресату, а запуск файла ложится на плечи самого пользователя (T1204.002). Затем срабатывает T1219: AnyDesk используется в качестве инструмента для интерактивного управления. Такой подход снижает уровень подозрений, ведь AnyDesk - распространённое легитимное ПО, которое часто встречается в корпоративной среде.
Для Rare Werewolf ключевой фактор - социальная инженерия, а не эксплуатация уязвимостей. Атака обходится дёшево и не требует сложной инфраструктуры. Последствия могут быть серьёзными: утечка конфиденциальных данных, боковое перемещение по сети или установка дополнительных программ. Поэтому важно обращать внимание на необычную активность AnyDesk, например, на подключения к неизвестным адресам в нерабочее время.
Защита строится на многоуровневом контроле. Фильтрация вложений и блокировка исполняемых файлов уменьшают поверхность атаки. Политики ограничения программ (AppLocker или WDAC) позволяют запретить запуск неустановленных приложений. Дополнительно рекомендуется вести мониторинг удалённых подключений и проверять, откуда инициируются сеансы удалённого доступа. Это позволит своевременно выявить присутствие Rare Werewolf до того, как будет нанесён серьёзный ущерб.
Индикаторы компрометации
SHA256
- 0401bc122a4133bef1bf96a197c998636a1b4eaf7c8e3797ba74052412dfc43a
- 066295540078b74249a03168e4d5e3d956388523ebd2d5a6c253fd04ee3c27a8
- 0d8ff9405ed94261b362310eed988e849809a305801e07843c8d000a9ac55c66
- 21098591d4a435826fd9d3f3fffc0b3d7ad108af56ca852de18c8d15025d3107
- 257511ff814f1279e64c3e1ab37407c97dcc6cb076225b5519f1557803f6b00b
- 29b3acd0c46e1edf86b28fd85ac47569dc93357c7f9cfc7eb2bc95d95958857a
- 3ff9851c64f2453e0c8d879032fc12f7bebc4f744456d325f9e891f25c8eb9e9
- 42a3abe36d8e5c5cb6123d9da9adb152c87ad6e08cb6327bb5405a8e297635e4
- 433e197ca8cde3ca48725f1dbf37282297de6b0ca4c743ba7e23901215866480
- 437f3a83741c3665051acf6f116b5ce50262b1e10933d1743433f209d7065a34
- 4851dde0724bfeb1740eea17494fec71565a03cf90e8719d11a68464dcfbfd04
- 50ea558c08923163513143a7aef6cec21e078c152ec4b76f56f75f2920670ca7
- 54539093c55987553e349ef97630417bdc0bd04db812ba6f674ecb5dd5864037
- 5883a7d08152fd78f1a4d14f72d08d743b00480928ac69ce6623e58b191de465
- 5dcbd04575e4cf8805910716b4e79f7f6ba1543f43e33e4b669cefefa5e17037
- 69f080e704320e7bb4521006390c324581bcd375f6e9ffb6749084dfbe23450c
- 711ad2454e7232a03326781c7e224e7cfa352773a6ec2da369e4c22574599164
- 7661256ecf28f2e151ebb010cb4328faef3b52b4d60068c109ce4d3ae3761be6
- 7804b55a51071486878957570d80a3aa7e3e028ec9b1dc8f5478b637c09a3a39
- 87d2d7346e34cea64146599af8aea265853ffe30383aa79d97b56fcd0f4e8688
- 8da46a47e35e4e9a3d4c5fc7f7dea15005302b7ed0934039299d43379ed9491c
- 95f022b7344845797533a2dfe710c1d5aa2e84a5336ef41add6ef23b73b88914
- a0208770711b3f9781c5e295548e39394de9274baa117e4dff25ccffa81de3e0
- a06e468b23a341c66ee9fb8153a14bd60f102f7d5dd05af13105a7a9d71ba973
- a85e3030eccf601273fe950a99bfea053884ed33def447349578dec03d6e1ca3
- b8852d9025981f57f7225372e78d4561b5a3723f773b721257af70855a996c22
- ba1fb881748cda07e757f8298767aef6683a0689abb0adcee64831a9a7d74aa6
- bace7f43b5c387ba6562f546710f76130b05054d21ff45c463c89da15a9c7ffb
- be0a26216466215ae353e8e226f35c8925dc1b8c29f4f8521bef9ccbbeb79322
- c50fa15761bd2f943cf53c80c00e65b31a45a40775782f0a3f2b14abe0b83c29
- db734a339141db2c2b3eeddd2a1837e1c3b6fb603ba5a1b841092af5a56eb77e
- e21636ae95a039dbc952fade3034f2d0d2c27b034efd76a10060e204cbda7cfb
- e93498433abb4300ee2dcae85c45907007325df14d7cb2aeb78a23f1e5cc8b95
- ed907450bedae5aa54dd44bb517c64f89a4ea755e19ac04e992939906db5376f
- f8e8f36bfe84f5cc326ad5e78e2e3bb7ffd55aa81ef3bd38d671a1f3838586af
