Группировка Rare Werewolf применяет целевой фишинг для проникновения в корпоративные сети. Злоумышленники рассылают электронные письма с вредоносным вложением, которое маскируется под обычный документ. Если пользователь открывает файл, происходит установка AnyDesk - легитимной программы удалённого доступа. После этого операторы получают полный контроль над конечной точкой.
Описание
В этой цепочке задействовано несколько техник MITRE ATT&CK. Первая - T1566.001, целевой фишинг с вложением: письмо доставляется адресату, а запуск файла ложится на плечи самого пользователя (T1204.002). Затем срабатывает T1219: AnyDesk используется в качестве инструмента для интерактивного управления. Такой подход снижает уровень подозрений, ведь AnyDesk - распространённое легитимное ПО, которое часто встречается в корпоративной среде.
Для Rare Werewolf ключевой фактор - социальная инженерия, а не эксплуатация уязвимостей. Атака обходится дёшево и не требует сложной инфраструктуры. Последствия могут быть серьёзными: утечка конфиденциальных данных, боковое перемещение по сети или установка дополнительных программ. Поэтому важно обращать внимание на необычную активность AnyDesk, например, на подключения к неизвестным адресам в нерабочее время.
Защита строится на многоуровневом контроле. Фильтрация вложений и блокировка исполняемых файлов уменьшают поверхность атаки. Политики ограничения программ (AppLocker или WDAC) позволяют запретить запуск неустановленных приложений. Дополнительно рекомендуется вести мониторинг удалённых подключений и проверять, откуда инициируются сеансы удалённого доступа. Это позволит своевременно выявить присутствие Rare Werewolf до того, как будет нанесён серьёзный ущерб.
Индикаторы компрометации
