Squid Werewolf ведёт кампанию против организаций, где основной вход - фишинговое письмо с вложением. Цель такой схемы не разовый доступ, а длительное присутствие в сети. Загрузчик и два бэкдора дают атакующим устойчивое удалённое управление. Заметить постороннюю активность в этом случае трудно. Риск для организации - утечка данных и дальнейшее развитие атаки внутри сети.
Описание
Схема разворачивается в несколько шагов. Сначала приходит письмо с вредоносным вложением: это техника T1566.001, целевой фишинг с прикреплённым файлом. Затем атакующие рассчитывают на то, что получатель откроет файл и запустит код, - это T1204.002. После этого работает SnakeDropper. Это загрузчик, то есть небольшая программа, которая доставляет основное вредоносное ПО. Он разворачивает Thumbsbd и FootWine - бэкдоры, скрытые инструменты удалённого управления. Помимо них группировка задействует легитимные программы удалённого доступа, техника T1219. Такой канал сложнее отличить от работы администратора, поэтому он даёт интерактивный доступ к системе жертвы.
Защита начинается с почты. Фильтры на шлюзе должны отсекать подозрительные вложения, а политики - запрещать запуск файлов из каталогов почтовых клиентов. Далее важен контроль удалённого доступа: инвентаризация разрешённых средств и алерты на появление новых. Охота на угрозы по индикаторам SnakeDropper, Thumbsbd и FootWine помогает найти уже закреплённые бэкдоры. Разбор инцидента стоит начать с журналов почтового шлюза и процессов, запущенных из вложений. Если признак подтвердился, узел изолируют, а учётные данные, которые могли попасть к атакующим, меняют.
Индикаторы компрометации
