Clubfoot Wolf массово компрометирует российские компании

Для получения первоначального доступа атакующие использовали фишинговые рассылки, через которые доставляли NetSupport Manager — легитимное ПО для удаленного администрирования

Тактика	Техника	Процедура
Resource Development	Acquire Infrastructure: Domains	Clubfoot Wolf регистрирует домены в зонах .fun, .tech и .com
	Acquire Infrastructure: Virtual Private Server	Clubfoot Wolf арендует виртуальные выделенные серверы для размещения на них своих инструментов, а также в качестве C2‑серверов NetSupport Manager
	Develop Capabilities: Malware	Clubfoot Wolf разрабатывает вредоносные LNK‑файлы и PowerShell‑скрипты для доставки NetSupport Manager в целевые системы
	Establish Accounts: Email Accounts	Clubfoot Wolf регистрирует почтовые адреса в почтовом сервисе «Яндекс Почта»
	Obtain Capabilities: Tool	Clubfoot Wolf использует в атаках легитимное средство удаленного администрирования NetSupport Manager
	Stage Capabilities: Upload Malware	Clubfoot Wolf размещает на своих сетевых ресурсах вредоносный PowerShell‑скрипт, который загружается и выполняется в памяти
	Stage Capabilities: Upload Tool	Clubfoot Wolf размещает на своих сетевых ресурсах ZIP‑архив с ПО NetSupport Manager
	Stage Capabilities: Link Target	Clubfoot Wolf использует сервис urlcrop.com для укорачивания ссылок
Initial Access	Phishing: Spearphishing Attachment	Clubfoot Wolf распространяет ZIP‑архивы с ВПО, приложенные к фишинговым письмам
Execution	Command and Scripting Interpreter: PowerShell	Clubfoot Wolf использует вредоносные LNK‑файлы для выполнения PowerShell‑команды: `powershell.exe -E [base64_command] -W 1`
	User Execution: Malicious File	Компрометация системы инициируется при запуске пользователем вредоносного LNK‑файла, доставленного в рамках фишинговой атаки
Persistence	Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder	Clubfoot Wolf использует PowerShell‑скрипт для добавления ПО NetSupport Manager в автозагрузку системы через ключ реестра Run: `[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] AudioStock = «%LOCALAPPDATA%\AudioStock\audiostock.exe»`
Stealth	Deobfuscate/Decode Files or Information	Clubfoot Wolf использует обфускацию в PowerShell-скриптах, включающую рандомизацию имен переменных, конкатенацию строк и защиту строковых констант посредством шифрования AES-128-CBC с последующим кодированием Base64
	Hide Artifacts: Hidden Window	Clubfoot Wolf скрытно выполняет PowerShell‑команду при запуске LNK‑файла, используя параметр `-W (-WindowsStyle)` со значением `1 (Hidden)`
	Masquerading	Clubfoot Wolf маскирует вредоносные LNK‑файлы под заявку на закупку: `Заявка на закупку от компании [название компании] на [год]г.lnk`
	Masquerading: Match Legitimate Resource Name or Location	Clubfoot Wolf копирует из загруженных ZIP‑архивов файлы ПО NetSupport Manger в каталог, мимикрирующий под легитимное ПО: `%LOCALAPPDATA%\MediaManager\mediamanager.exe` Clubfoot Wolf создает параметры в ключе реестра Run, мимикрирующие под легитимное ПО: `[HKCU\Software\Microsoft\Windows\CurrentVersion\Run] MediaManager = «%LOCALAPPDATA%\MediaManager\mediamanager.exe»`
	Obfuscated Files or Information	Clubfoot Wolf применяет обфускацию в PowerShell‑скриптах
	Obfuscated Files or Information: Command Obfuscation	Clubfoot Wolf использует Base64 для кодирования PowerShell‑команд в LNK‑файлах
Command and Control	Application Layer Protocol: Web Protocols	Clubfoot Wolf использует HTTP(S)‑протокол при обращении к своим сетевым ресурсам
	Encrypted Channel: Asymmetric Cryptography	Clubfoot Wolf использует SSL‑/TLS‑шифрование при обращении к своим сетевым ресурсам
	Ingress Tool Transfer	Clubfoot Wolf использует PowerShell‑скрипты для загрузки следующей стадии PowerShell‑скрипта и ZIP‑архива с NetSupport Manager
	Non‑Standard Port	Clubfoot Wolf использует нестандартные сетевые порты для управляющих серверов NetSupport Manager: 1411, 1414
	Remote Access Tools: Remote Desktop Software	Clubfoot Wolf использует легитимное средство удаленного администрирования NetSupport Manager для управления скомпрометированным хостом
	Web Service	Clubfoot Wolf использует облачное хранилище «Яндекс Диск» для размещения отвлекающих PDF‑документов