rclone - утилита с открытым исходным кодом для обмена файлами между локальным компьютером и облачными хранилищами. Она поддерживает десятки провайдеров, работает из командной строки и умеет шифровать данные на стороне клиента. Из исходных данных известен только сам инструмент. Название группировки и перечень техник в материале не указаны, поэтому речь идёт о единичном упоминании утилиты.
Описание
Для уверенного вывода не хватает многого. Нет имени группировки, описания тактик и процедур. Без них нельзя оценить масштаб, цели и связь с известными кампаниями. Отсутствие названия группировки означает, что атрибуция не подтверждена.
При этом rclone регулярно встречается в постэксплуатации. Через него удобно выгружать данные (эксфильтрация данных, утечка данных) в облако: трафик идёт на легитимные домены провайдеров и реже попадает под фильтры. В публичных отчётах утилиту связывали с программами-вымогателями и похитителями учётных данных (инфостилерами). Возможная связь с конкретными группами здесь не доказана; за рамками материала остались версия утилиты и способ доставки.
При обнаружении нужно изучить командную строку процесса и файл конфигурации rclone.conf. Полезно проверить токены и учётные записи облачных сервисов, задачи планировщика и запуск из нестандартных каталогов. Легитимные администраторы тоже используют rclone, поэтому нужен контекст. Журналы обращений к API облачных провайдеров помогут отделить плановую синхронизацию от выгрузки.
Индикаторы компрометации
