Камень, ножницы, бумага: новый инструментарий в атаках кластера Paper Werewolf

Зафиксировали волну целевых атак: злоумышленники применяют ранее не описанные инструменты, включая стилер PaperGrabber и кастомный Mythic‑имплант

Аргумент	Описание
`--botToken / -bot`	Токен телеграм‑бота (обязательный аргумент)
`--channelId / -ch`	Идентификатор чата/канала для отправки сообщений о работе стилера (обязательный аргумент)
`--mode / -m`	Режимы работы (комбинируются): None (0) — ничего не делает; BorrowFiles (2) — сбор файлов; BorrowTelegram (4) — сбор данных Telegram; BorrowBrowserData (8) — сбор данных веб‑браузеров; WaitForRemovables (16) — сбор файлов со съемных устройств (ожидание подключения съемных устройств)
`--borrowFilesType / -ft`	Режимы сбора файлов (комбинируются): None (0) — не собирать файлы; BorrowEssentials (2) — сбор файлов из пользовательских каталогов; BorrowPhysicalDrives (4) — сбор файлов со всех локальных дисков; BorrowNetworkDrives (8) — сбор файлов с сетевых дисков; All (14) — все режимы
`--uploadExtensions / -uext`	Файлы на отправку (список расширений)
`--logExtensions / -lext`	Файлы для логирования (список расширений)
`--minFileSize / -minFS`	Минимальный размер файла (байт)
`--maxFileSize / -maxFS`	Максимальный размер файла (байт)

Команда	Описание
`exit`	Завершение работы, выход из главного цикла
`sleep`	Обновление параметров `interval` и `jitter`
`shell`	Выполнение команд в интерпретаторе `cmd.exe`. Создается PIPE и выполняется команда `cmd /S /c [command]` с помощью WinAPI‑функции CreateProcessW. После выполнения из PIPE считывается результат команды
`activity_time`	Получение расписания работы импланта по дням недели (время начала/конца) и текущего статуса режима активности (mode: true/false, определяется специальным флагом работы в определенное время). Пример: Activity time: \ Sunday - HH:MM-HH:MM,\r\n Monday - HH:MM-HH:MM,\r\n ... Saturday - HH:MM-HH:MM,\r\n mode: true/false
`activity_time_set`	Установка режима времени работы, во входных параметрах указывается день недели (* — все дни), а также время работы
`inject_shellcode`	Внедрение шелл-кода. От C2‑сервера ожидается параметр `arch` со значением 64 и параметр `offset` со значением смещения от начала файла. Также параметр `file_id` — идентификатор файла на сервере. После чего файл скачивается частями по 512 КБ. Затем запускается новый поток с помощью `CreateThread([shellcode_start + offset])`
`bof`	Запуск BOF‑файла. От C2‑сервера ожидаются параметры `bof_function` и `bof_arguments`
`download`	Скачивание файла со скомпрометированного хоста на C2‑сервер. От сервера ожидаются параметры `path` и `host`. Файл читается с помощью ReadFile, и его содержимое отправляется на сервер частями по 512 KБ
`upload`	Загрузка файла на скомпрометированный хост с C2‑сервера. От сервера ожидаются параметры: `remote_path` — путь, куда сохранить файл, `overwrite` — нужно ли перезаписывать файл при его существовании в системе, `file_id` — идентификатор файла на C2‑сервере
`ls`	Содержимое указанного каталога
`cd`	Изменение рабочего каталога (в памяти). Изменяется поле в глобальной структуре импланта
`rm`	Удаление переданного файла. От C2‑сервера ожидаются параметры `path` и `host`
`pwd`	Получение рабочего каталога импланта (в памяти)
`cat`	Чтение переданного файла. От C2‑сервера ожидаются параметры `path` и `host`. Если количество прочитанных байтов больше 1024, то отправляются первые 1024 байт и в конец дописывается `[truncated]`
`ps`	Получение списка запущенных процессов. От C2‑сервера ожидаются параметры: `include_command_line` — флаг включения командной строки процесса, `filter` — подстрока поиска имени процесса (значение может быть пустым). Имплант собирает информацию: `proc_name`, `process_id`, `parent_process_id`, `architecture`, `bin_path` — путь запуска, `user/host (LookupAccountSidW)`, `integrity_level`, `command_line` (если флаг присутствует), `start_time` — время начала работы процесса
`kill`	Завершение работы процесса по переданному PID с помощью WinAPI‑функции TerminateProcess
`cp`	Копирование файла с помощью CopyFileW. От C2‑сервера ожидаются параметры `source` и `destination`
`mv`	Перемещение файла с помощью MoveFileExW. От C2‑сервера ожидаются параметры `source` и `destination`
`regls`	Листинг переданной ветки реестра с помощью RegEnumKeyExW и RegEnumValueW
`regrm`	Удаление параметра ключа реестра с помощью RegDeleteValueW
`regset`	Установка параметра ключа реестра с помощью RegCreateKeyExW и RegSetValueExW. Если переданное от C2‑сервера название параметра Default, то в реестре создается параметр с именем `(Default)`
`socks`	Создание соединения SOCKS-прокси
`net_connection_add`	Подключение сетевого ресурса с помощью WNetAddConnection2W. От C2‑сервера ожидаются параметры: `path` — путь до сетевого ресурса, `username` и `password`
`net_connection_list`	Перечисление сетевых ресурсов
`net_connection_close`	Отключение сетевого ресурса с помощью WNetCancelConnection2W
`screenshot`	Создание снимка экрана. От C2‑сервера может быть передано разрешение экрана через параметры `x` и `y`
`pipe_read`	Чтение данных из именованного PIPE с помощью ReadFile. От C2‑сервера ожидается имя PIPE
`pipe_write`	Запись данных в переданный PIPE. От С2‑сервера ожидаются имя PIPE и данные, которые необходимо записать
`keylogger`	Чтение данных из процесса (кейлоггер). Вероятно, дополнительный компонент, который должен загружаться с C2‑сервера. В данном случае от сервера ожидаются имя PIPE, действие read или exit. При read читаются данные из именованного PIPE от другого процесса. При exit — завершение работы кейлоггера

Тактика	Техника	Процедура
Initial Access	Phishing: Spearphishing Attachment	Paper Werewolf распространяет вредоносные PDF‑документы в качестве вложений в фишинговых письмах. Документы содержат ссылки, ведущие на загрузку архивов с ВПО
Execution	Command and Scripting Interpreter: Windows Command Shell	Paper Werewolf использует EchoGather RAT для удаленного выполнения команд в интерпретаторе `cmd.exe`. Paper Werewolf использует имплант Mythic для удаленного выполнения команд в интерпретаторе`cmd.exe`: `cmd /S /c [command]`
	Command and Scripting Interpreter: Visual Basic	Paper Werewolf использует WSF, содержащий код на VBScript, который открывает отвлекающий PDF‑документ, создает задачу MSBuild (`msb_cache.xml`) и VBS‑код (`msb_run.vbs`) для ее запуска, а также обеспечивает закрепление в системе
	Command and Scripting Interpreter: Python	Paper Werewolf использует Python‑скрипт `123.py`, который ищет файл `search.bin` в текущем каталоге, считывает из него шелл‑код и выполняет его в памяти процесса с использованием CreateThread
	Command and Scripting Interpreter: JavaScript	Paper Werewolf использует JS‑загрузчик, реализующий вредоносную логику с помощью Node.js‑скриптов `vain` и `vain1`, а также WSF‑файла `vni.wsf` с JS‑кодом. Для выполнения используется легитимный интерпретатор `node.exe` (`yandex.exe`): `%APPDATA%\yandex\yandex.exe %APPDATA%\yandex\vain1`
	Inter-Process Communication	Paper Werewolf использует имплант Mythic, поддерживающий команды `pipe_read` и `pipe_write` для работы с именованными каналами (PIPE) через вызовы ReadFile
	Native API	Paper Werewolf использует в EchoGather RAT WinAPI‑функцию CreateProcessA для запуска процессов. Paper Werewolf использует функцию WinAPI CreateThread в Python- и JS‑загрузчиках для запуска следующей стадии в виде шелл‑кода
	User Execution: Malicious Link	Paper Werewolf предпринимает попытки убедить пользователя перейти по ссылке в фишинговом PDF‑документе и загрузить ZIP‑архив с вредоносным установщиком Inno Setup
	User Execution: Malicious File	Компрометация системы инициируется при запуске пользователем вредоносного EXE- или WSF‑файла, доставленного в рамках фишинговой атаки или иным способом: `Adobe_Acrobat_Reader_Plugin_ru.exe`, `Форма заявки на обучение.exe`, `МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ_по формированию прогноза поступлений налоговых платежей.wsf`
Persistence	Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder	Paper Werewolf использует JS‑файл `vain` для закрепления в системе. Скрипт добавляет путь к файлу `vni.wsf` в параметр реестра `HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\LOAD`, обеспечивая его автоматический запуск: `reg add "HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v LOAD /t REG_SZ /d ""%APPDATA%vni.wsf\"" /f`
	Boot or Logon Initialization Scripts: Logon Script (Windows)	Paper Werewolf использует VBScript для обеспечения автозапуска файла `msb_run.vbs`. Скрипт устанавливает значение параметра реестра `HKCU\Environment\UserInitMprLogonScript`, указывая на выполнение команды `wscript.exe %LOCALAPPDATA%\msb_run.vbs`
Defense Evasion	Delay Execution	Paper Werewolf использует команды `activity_time` и `activity_time_set` для управления временем активности Mythic‑импланта. Также команда `sleep` применяется для задания задержки между выполнением команд
	Deobfuscate/Decode Files or Information	Paper Werewolf использует EchoGather RAT для расшифровки строк, зашифрованных алгоритмом XOR
	Hide Artifacts: Hidden Window	Paper Werewolf использует параметр `windowsHide` при вызове функции `exec` в JS‑коде `vain` для скрытия окна при запуске процессов: `exec(cmd, { windowsHide: true }, (error, stdout, stderr)` `exec("${exePath}" "${scriptPath}", { windowsHide: true })`
	Indicator Removal: File Deletion	Paper Werewolf использует Mythic‑имплант, который по команде `rm` удаляет указанный файл на скомпрометированном хосте
	Masquerading	Paper Werewolf использует установщики Inno Setup с именами `Adobe_Acrobat_Reader_Plugin_ru.exe` и `Adobe_Acrobat_Reader_Plugin.exe`, имитирующими легитимное ПО
	Modify Registry	Paper Werewolf использует Mythic‑имплант, который поддерживает команды `regls`, `regrm` и `regset` для листинга, удаления и установки параметров реестра через RegEnumKeyExW, RegDeleteValueW, RegCreateKeyExW и RegSetValueExW
	Obfuscated Files or Information	Paper Werewolf использует обфускацию шелл‑кода импланта Mythic
	Obfuscated Files or Information: Dynamic API Resolution	Paper Werewolf использует динамическое разрешение WinAPI-функций, необходимых для работы импланта Mythic
	Process Injection	Paper Werewolf использует Mythic‑имплант, который по команде `inject_shellcode` скачивает шелл‑код с C2‑сервера частями по 512 КБ и запускает его в новом потоке через CreateThread со смещением offset от начала файла
	Reflective Code Loading	Paper Werewolf использует загрузчики `123.py` и `ConsoleApplication1.exe`, которые загружают обфусцированный шелл‑код Mythic‑импланта из `search.bin` и выполняют его в памяти текущего процесса через CreateThread. Paper Werewolf использует JS‑код `vain1`, который размещает полученный шелл‑код в памяти текущего процесса с помощью HeapCreate и HeapAlloc, после чего инициирует его выполнение через CreateThread. Paper Werewolf использует C#‑загрузчик, который загружает полученную .NET‑сборку в память через `Assembly.Load` и вызывает точку входа, указанную сервером в заголовках X-Entry-Point и X-Entry-Method. Paper Werewolf использует C++‑загрузчик `Форма заявки на обучение.exe`, который скачивает шелл‑код с сетевого ресурса атакующих и выполняет его в памяти текущего процесса. Paper Werewolf использует Mythic‑имплант, который по команде `bof` запускает BOF‑файл с переданными параметрами `bof_function` и `bof_arguments`
	Trusted Developer Utilities Proxy Execution: MSBuild	Paper Werewolf применяет VBS‑код `msb_run.vbs` для выполнения задачи MSBuild, определенной в файле `msb_cache.xml`: `%SYSTEMROOT%\Microsoft.NET\(Framework\|Framework64)\v4.0.30319\MSBuild.exe /nologo "%LOCALAPPDATA%\msb_cache.xml" /t:___RunHelloWorld___`
	Virtualization/Sandbox Evasion: System Checks	Paper Werewolf использует в EchoGather RAT проверки запуска в виртуальной среде: · сверка имени компьютера с заранее заданным списком; · размер диска C:\ — меньше 20 ГБ; · размер имени исполняемого файла без расширения не равен 4. Paper Werewolf использует загрузчик на C++ `Форма заявки на обучение.exe`, который проверяет серийный номер тома диска C: с помощью GetVolumeInformationA и анализирует пути к исполняемым файлам запущенных процессов на наличие артефактов виртуальной среды
	Virtualization/Sandbox Evasion: Time Based Checks	Paper Werewolf использует в EchoGather RAT проверки запуска в виртуальной среде: · измерение времени выполнения CPU‑операций с помощью высокоточного таймера; · проверка реального времени сна программы (функция Sleep)
Credential Access	Credentials from Password Stores: Credentials from Web Browsers	Paper Werewolf использует стилер PaperGrabber для извлечения учетных данных из веб‑браузеров Yandex Browser, Chrome, Opera, Edge и Chromium
	Unsecured Credentials: Credentials In Files	Paper Werewolf использует стилер PaperGrabber для сбора каталога tdata, содержащего зашифрованные файлы сессии Telegram
	Unsecured Credentials: Private Keys	Paper Werewolf использует стилер PaperGrabber для сбора файлов, содержащих пароли и приватные ключи, включая SSH‑ключи
Discovery	File and Directory Discovery	Paper Werewolf использует стилер PaperGrabber для осуществления рекурсивного обхода директорий с целью поиска файлов, в том числе по именам и расширениям. Paper Werewolf использует Mythic‑имплант, который поддерживает команды `ls`, `pwd` и `cat` для получения содержимого каталогов, текущего рабочего пути и чтения файлов на скомпрометированном хосте
	Peripheral Device Discovery	Paper Werewolf использует стилер PaperGrabber для обнаружения подключаемых съемных устройств и накопителей с помощью проверки типа диска `DriveType.Removable` с последующим извлечением файлов
	Network Share Discovery	Paper Werewolf использует Mythic‑имплант, который по команде `net_connection_list` перечисляет подключенные сетевые ресурсы
	Process Discovery	Paper Werewolf использует EchoGather RAT для определения PID текущего процесса. Paper Werewolf использует стилер PaperGrabber для перечисления запущенных процессов с целью определения расположения Telegram в системе. Paper Werewolf использует Mythic‑имплант, который по команде `ps` собирает список запущенных процессов: имя, PID, PPID, архитектуру, путь, пользователя, уровень привилегий, командную строку и время запуска через LookupAccountSidW
	Software Discovery	Paper Werewolf использует стилер PaperGrabber для определения установленных веб‑браузеров и клиента Telegram в системе
	System Information Discovery	Paper Werewolf использует EchoGather RAT для сбора системной информации: разрядности системы, названия компьютера, конфигурации рабочей станции, пути к запущенному исполняемому файлу. Paper Werewolf использует стилер PaperGrabber для получения названия компьютера. Paper Werewolf использует Mythic‑имплант, который отправляет на C2‑сервер данные о системе: имя пользователя, имя хоста, домен, архитектуру, список IP‑адресов, путь к процессу, уровень привилегий и PID
	System Network Configuration Discovery	Paper Werewolf использует EchoGather RAT для получения локальных IP‑адресов
	System Owner/User Discovery	Paper Werewolf использует EchoGather RAT и стилер PaperGrabber для получения имени пользователя. Paper Werewolf использует JS‑код `vain1`, который собирает имя компьютера и имя текущего пользователя и подставляет их в URL при запросе вредоносной нагрузки. Paper Werewolf использует загрузчики на C++ и C#, которые собирают имя компьютера и имя пользователя и передают их в запросах к C2-серверу в параметрах URL и HTTP‑заголовках соответственно
Lateral Movement	Remote Services: SMB/Windows Admin Shares	Paper Werewolf использует имплант Mythic, который по команде `net_connection_add` подключает сетевой ресурс с помощью функции WNetAddConnection2W, используя указанные учетные данные и путь к ресурсу
Collection	Archive Collected Data: Archive via Library	Paper Werewolf применяет библиотеку `ICSharpCode.SharpZipLib`, встроенную с помощью Costura, для архивации данных, собранных стилером PaperGrabber, в ZIP‑архивы
	Data from Local System	Paper Werewolf использует стилер PaperGrabber для сбора файлов на скомпрометированной системе. Сбор осуществляется из пользовательских каталогов, корзины и локальных дисков
	Data from Network Shared Drive	Paper Werewolf использует стилер PaperGrabber для получения списка доступных сетевых ресурсов (включая подключенные сетевые диски и ярлыки), после чего выполняет сбор файлов с этих ресурсов по заданным расширениям
	Data from Removable Media	Paper Werewolf использует стилер PaperGrabber для сбора информации о подключаемых съемных носителях и файлах, хранящихся на них
	Input Capture: Keylogging	Paper Werewolf использует Mythic‑имплант, который по команде `keylogger` читает данные кейлоггера из именованного канала (PIPE) стороннего компонента, загружаемого с C2‑сервера
	Screen Capture	Paper Werewolf использует Mythic‑имплант, который по команде `screenshot` создает снимок экрана с возможностью задания разрешения через параметры `x` и `y` от C2‑сервера
Command and Control	Application Layer Protocol: Web Protocols	Paper Werewolf использует HTTPS для коммуникации с C2‑серверами в EchoGather RAT и Mythic‑импланте. Paper Werewolf использует HTTPS для отправки собранных стилером PaperGrabber данных на удаленный сервер. Paper Werewolf загружает вредоносную нагрузку с удаленных серверов по протоколу HTTPS
	Data Encoding: Standard Encoding	Paper Werewolf применяет в EchoGather RAT кодирование данных в Base64 перед отправкой на C2‑сервер
	Encrypted Channel: Asymmetric Cryptography	Paper Werewolf использует SSL/TLS для шифрования связи с C2‑сервером в EchoGather RAT
	Ingress Tool Transfer	Paper Werewolf использует EchoGather RAT для загрузки файлов на скомпрометированный хост по команде с C2‑сервера. Paper Werewolf использует JS‑код `vain1` для загрузки шелл‑кода с удаленного сервера по HTTPS GET — запросу. Запросы выполняются в бесконечном цикле с интервалом 43–57 секунд до успешного получения нагрузки. Paper Werewolf использует загрузчик на C++ для получения шелл‑кода с удаленного сервера по HTTPS GET — запросу. При формировании запроса в URL передаются имя пользователя и имя компьютера. Paper Werewolf использует C#‑загрузчик, который в бесконечном цикле с интервалом 30 секунд выполняет GET‑запросы к удаленному серверу для получения .NET-сборки. В заголовках запроса передаются имя компьютера и имя пользователя (X-Machine-Name и X-User-Name)
	Proxy: Internal Proxy	Paper Werewolf использует Mythic-имплант, который по команде `socks` создает соединение SOCKS‑прокси
Exfiltration	Automated Exfiltration	Paper Werewolf использует стилер PaperGrabber для автоматической отправки собранных данных на удаленный сервер
	Data Transfer Size Limits	Paper Werewolf передает собранные данные на удаленный сервер частями размером по 10 МБ
	Exfiltration Over Alternative Protocol: Exfiltration Over Asymmetric Encrypted Non‑C2 Protocol	Paper Werewolf применяет стилер PaperGrabber для передачи по HTTPS собранных файлов, данных Telegram и веб‑браузеров на удаленный сервер
	Exfiltration Over C2 Channel	Paper Werewolf использует EchoGather RAT для отправки файлов со скомпрометированного хоста на C2‑сервер по команде. Paper Werewolf использует имплант Mythic для отправки на C2 системной информации о жертве, результатов выполнения команд, содержимого файлов и снимков экрана
	Exfiltration Over Web Service	Paper Werewolf применяет стилер PaperGrabber для эксфильтрации данных с использованием Telegram API. Передаются сведения о работе вредоносной программы, имя компьютера и имя пользователя