Лучшая командная инфраструктура – та, которой у тебя нет. HollowGraph довёл эту максиму до предела: у импланта нет ни одного сервера, на который он звонит за нагрузкой, нет вшитого IP, нет собственного C2-домена в привычном смысле. Весь управляющий канал живёт внутри чужого Microsoft 365 – в календаре скомпрометированного почтового ящика, где оператор оставляет задания в событиях, аккуратно назначенных на 13 мая 2050 года. Дата не случайна: так «встреча» с малварью гарантированно не всплывёт в ленте владельца ящика раньше, чем через четверть века.
Group-IB выцепила этот .NET-имплант на машинах израильских организаций и с высокой уверенностью привязала его к фреймворку Cavern – тому самому, иранскую школу которого мы уже разбирали на кейсе с SysAid. Только там был интересен вход, а здесь интересен способ прятать C2. Ни одного эксплойта, ни одной уязвимости Microsoft – доверие, вывернутое наизнанку.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local