По данным о кампании, группировка Rare Werewolf использует фишинг с вложением. Письмо несёт вредоносный файл, открытие которого запускает код на системе жертвы. Техники T1566.001 и T1204.002 описывают такую последовательность. Далее в системе появляется AnyDesk, легитимное программное обеспечение для удалённого доступа (T1219).
Описание
Однако набор индикаторов узкий. В материале нет доменов, адресов серверов, хешей файлов и идентификаторов AnyDesk. Сроки активности, отрасли и регионы целей тоже не указаны. Поэтому связать конкретные события с Rare Werewolf по одному набору техник нельзя. Название группировки не подтверждено независимыми источниками.
Тем не менее выбор AnyDesk укладывается в известную практику. Легитимный инструмент реже попадает под сигнатуры антивирусов, чем специализированная программа того же назначения. Вложение в письме указывает на действие пользователя как условие запуска, а не на уязвимость. Возможна и другая картина. Фишинг служит начальным этапом, а удалённый доступ нужен для бокового перемещения и эксфильтрации данных. Проверить это по имеющимся данным не удаётся.
При обнаружении проверяют журналы подключений AnyDesk, список известных идентификаторов и нестандартные порты. Полезно сверить процессы с путями установки и время первого запуска. Если инструмент не нужен в инфраструктуре, его блокируют политикой. Отдельно смотрят почтовые шлюзы на вложения, открывающие исполняемый код. За рамками сообщения остались сведения об инфраструктуре группировки и о том, как она распоряжается доступом к системам жертв.
Индикаторы компрометации
