🚨 Разбор кибератаки на российский ВПК: Возможный след Rare Werewolf ✈️🛰
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
IP-адреса:
Хэши:
MD5:
MD5:
SHA-256:
#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
aviatronika[.]onlinevniir-avia[.]spacefgub-vniir[.]spacevniir-info[.]spacenova-stream[.]siteIP-адреса:
198.54.120[.]13194.87.57[.]812.23.88[.]201145.224.101[.]166Хэши:
MD5:
eabd440c996846d0992e37ab01d01208 (Dropper)MD5:
6cc3c68c56e099792fdeadde76256d56 (Payload RAR)SHA-256:
f57e010541fb4ccbf23aefc4a827f753a6ff3f8792d9c04c3eea83f6963c6bae (Payload RAR)#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz