SecAtor

Исследователи BI.ZONE продолжают идти по следам Feral Wolf, сообщая о новых инструментах и техниках атак. С мая по август 2026 года Feral Wolf провернула серию атак на российские компании в сфере розничной торговли, строительства, обрабатывающей промышленности и IT. Расследуя инциденты, Бизонам удалось выявить несколько методов получения первоначального доступа к инфраструктуре целевых организаций. В одном из случаев злоумышленники эксплуатировали уязвимость CVE‑2023‑22515 в общедоступном сервисе Atlassian Confluence. В других атаках они получали доступ через инфраструктуру подрядчиков или использовали небезопасную конфигурацию менеджера кластера 1С, которая позволяла загрузить и запустить 1С‑шелл. Получив доступ к сервисам из контейнера, атакующие продвигались в хостовую систему. В частности, они смогут находить за пределами контейнера сервисы со слабыми учетными данными и использовать их для получения доступа к хосту. Чтобы получить учетные данные, Feral Wolf использовала легитимные средства создания и анализа дампов памяти. DumpIt и MemProcFS позволили работать с памятью процесса lsass.exe без применения более заметных специализированных инструментов, таких как Mimikatz. Во время расследования специалисты также обнаружили ранее неизвестные инструменты, которые Feral Wolf использовала для управления скомпрометированными системами и перемещения внутри инфраструктуры. В частности, это бэкдор MQTTDoor на Rust, который использует протокол MQTT в качестве канала С2. Вредоносное ПО предоставляет злоумышленнику возможность удаленного выполнения команд с использованием интерпретатора PowerShell на скомпрометированном хосте. Кроме того, задействовался бэкдор MatrixDoor, взаимодействующий с управляющей инфраструктурой через протокол Matrix, также реализованный на Rust, которая распространялся под именем wtas.exe. Вредоносное ПО предоставляет злоумышленнику возможность удаленно выполнять команды с использованием интерпретатора CMD на скомпрометированном хосте. В качестве homeserver сети Matrix используется домен meet.element[.]tw. RDPSocksProxy на C++ применялся для проксирования сетевого трафика через RDP (организации скрытого сетевого туннеля внутри легитимной RDP‑сессии), а на заключительном этапе атак злоумышленники использовали вредоносное ПО GenieLocker для шифрования данных. Использование MQTT и Matrix в качестве каналов управления расширило возможности злоумышленников по маскировке C2‑трафика. Применение распространенных протоколов прикладного уровня может затруднять выделение управляющего трафика среди легитимных сетевых соединений и снижать эффективность правил обнаружения, основанных на анализе нестандартных протоколов. В одной из атак Feral Wolf была зафиксирована PowerShell‑команда, которая загружает скрипт nyx.ps1 из GitHub‑репозитория evilsocket/nyx и передает его содержимое непосредственно в Invoke‑Expression (iex) для выполнения. Nyx представляет собой автономный скрипт для очистки криминалистически значимых артефактов в Linux, macOS и Windows. Технический разбор нового инструментария, отдельных кейсов с применением различных техник для получения первоначального доступа, повышения привилегий, закрепления в системе, доступа к учетным данным, а также приемов противодействия криминалистике - в отчете.