💎 CrystalX RAT: когда вредоносный доступ почти не маскируется
🛰 R&D-подразделение CRATU продолжает разбор IOC-набора из CRATU ThreatLens.
Следующий сюжет — CrystalX RAT.
Это небольшой, но показательный кластер. Здесь нет длинной цепочки редиректов, фейковых Windows-обновлений или consumer-витрин.
Зато есть другое: RAT-инфраструктура, которая почти не пытается спрятать свою природу.
Иногда malware маскируется под support, update, checksum или cloud. А иногда прямо оставляет в домене собственное имя.
📟 Что видно в IOC
В блоке указаны домены:
webcrystal[.]lol
webcrystal[.]sbs
crystalxrat[.]top
Инструмент — CrystalX RAT.
Также есть набор SHA256 для ретроспективного поиска по endpoint, песочницам, почтовым вложениям и файловым событиям.
Ключевой паттерн здесь — связка доменного имени и инструмента:
crystal → crystalxrat → RAT-инфраструктура.
🔎 Почему это важно
На первый взгляд такой кластер выглядит простым: домены очевидные, инструмент указан, хэшей немного.
Но именно такие блоки полезны для SOC.
Они позволяют быстро проверить, появлялись ли в инфраструктуре следы конкретного RAT, были ли обращения к его доменам, запускались ли связанные файлы и не осталось ли на хостах persistence после первичного запуска.
CrystalX RAT — это не про красивую легенду. Это про удалённый доступ.
А удалённый доступ в руках атакующего означает возможность смотреть файлы, запускать команды, закрепляться, скачивать дополнительные инструменты и двигаться дальше по инфраструктуре.
🎯 MITRE ATT&CK: практический ориентир
В файле техники не указаны, поэтому не будем придумывать атрибуцию.
Для hunting-логики смотрим:
T1105 — Ingress Tool Transfer
T1059 — Command and Scripting Interpreter
T1071.001 — Web Protocols
T1547.001 — Registry Run Keys / Startup Folder
T1543.003 — Windows Service
T1021 — Remote Services
🛡 Как это детектить в SIEM / EDR
🔸 Обращение к доменам CrystalX
Проверяем DNS, proxy, firewall и EDR-сетевые события по:
webcrystal[.]lol
webcrystal[.]sbs
crystalxrat[.]top
Особенно если обращения идут с рабочих станций, где не должно быть подобных инструментов.
🔸 Ретро-поиск по SHA256
Проверяем endpoint, quarantine, sandbox, почтовые вложения, файловые шары и историю запусков.
🔸 Запуск из user-writable путей
Особенно подозрительны:
Downloads
Temp
AppData
Public
ProgramData
🔸 Дочерние процессы
После запуска файла ищем:
cmd.exe
powershell.exe
whoami.exe
ipconfig.exe
net.exe
tasklist.exe
🔸 RAT-поведение
Beaconing, удалённый shell, новые службы, scheduled tasks, Run/RunOnce, нестандартные внешние соединения и запуск команд после установления сессии.
📌 Условие корреляции
Если хост обращается к доменам CrystalX RAT или на нём найден SHA256 из блока, а рядом есть запуск из пользовательской директории, дочерние системные утилиты, persistence или регулярные внешние соединения — поднимать инцидент как RAT-compromise chain.
🧠 Главный вывод
CrystalX RAT показывает: не вся вредоносная инфраструктура маскируется тонко.
Иногда она почти открыто говорит, чем является.
Задача SOC — не пропустить очевидное и восстановить цепочку:
домен → файл → запуск → удалённый доступ → команды → закрепление.
