🐺 Versatile Werewolf: AlphaFly MSI, SoullessRAT и отметка BDU:2025-13635
🛰 Подразделение CRATU зафиксировало новые индикаторы, связанные с кластером Versatile Werewolf, также известным как HeartlessSoul.
Кто такие Versatile Werewolf?
Versatile Werewolf — кластер, активный как минимум с июля 2025 года.
В публичных исследованиях описаны его кампании с поддельными приложениями для управления Starlink и обучения операторов дронов. Группа использует вредоносные MSI-установщики, PowerShell, VBS, JavaScript, DLL Side-Loading и различные RAT-фреймворки.
В феврале 2026 года BI.ZONE обнаружила сайт:
alphafly-drones[.]com
Он имитировал ресурс приложения для обучения пилотов дронов и распространял файл:
AlphaFlyInstallV1-2[.]msi
После запуска MSI создавал каталог:
%LOCALAPPDATA%\AlphaFlyNew
и помещал туда:
🔸 run-script.ps1;
🔸 helper.vbs.
VBS запускал PowerShell-скрипт, который загружал PowerShell-loader, Node.js и обфусцированный JavaScript.
Финальной нагрузкой в публично описанной цепочке являлся SoullessRAT.
Он может:
🔸 выполнять команды и PowerShell;
🔸 загружать и выгружать файлы;
🔸 запускать исполняемые файлы;
🔸 делать скриншоты;
🔸 собирать системную информацию;
🔸 получать данные Outlook;
🔸 перечислять диски, каталоги и файлы.
Что с BDU:2025-13635?
В текущем IOC-файле CRATU блок Versatile Werewolf размечен как связанный с эксплуатацией:
BDU:2025-13635 / CVE-2025-9491
Это уязвимость обработки Windows LNK-файлов, позволяющая скрывать опасные команды в поле Target и выполнять код в контексте пользователя при открытии специально сформированного ярлыка.
Однако в открытом исследовании BI.ZONE цепочка alphafly-drones[.]com начинается с ручного запуска вредоносного MSI. Использование LNK или CVE-2025-9491 именно для доставки AlphaFly публично не подтверждено.
Поэтому корректнее рассматривать:
🔸 BDU-разметку из IOC-набора;
🔸 AlphaFly MSI → PowerShell/VBS → Node.js → SoullessRAT
как связанные с одним кластером наблюдения, но не как доказанную единую цепочку эксплуатации.
Кроме того, IOC-файл относит к блоку RAT и кейлоггер, однако публичный разбор AlphaFly подтверждает SoullessRAT и не описывает отдельный кейлоггер в этой MSI-цепочке.
Техники MITRE ATT&CK
Для LNK-сценария:
📄 T1204.002 — User Execution: Malicious File
🛡 T1203 — Exploitation for Client Execution
Для подтверждённой AlphaFly-цепочки:
⚙️ T1218.007 — Msiexec
🧩 T1059.001 — PowerShell
📜 T1059.005 — Visual Basic
🌐 T1059.007 — JavaScript
📥 T1105 — Ingress Tool Transfer
T1204.001 обозначает переход по вредоносной ссылке, а не открытие LNK. Для самого ярлыка корректнее использовать T1204.002.
Характер текущей активности
В IOC-наборе CRATU зафиксированы:
🌐 2 домена
🔗 1 URL
🌍 3 IP-адреса
🧬 60 SHA256-хэшей
В том числе:
monkey[.]kyun[.]li
cherrymixtureinstrument[.]com
hxxps[:]//alphafly-drones[.]com/downloads/alphaflyinstallv1-2[.]msi
Роль двух доменов и трёх IP в самом файле не уточнена. Подтверждённой является роль alphafly-drones[.]com как ресурса распространения вредоносного MSI; остальные индикаторы следует использовать для hunting без автоматического присвоения им роли C2.
🛡 Рекомендации по детектированию
Для LNK:
🔸 открытие ярлыка из письма, архива или мессенджера;
🔸 длинное поле Target с пробелами и скрытыми командами;
🔸 запуск PowerShell, CMD или BAT непосредственно после открытия .lnk.
Для AlphaFly:
🔸 запуск msiexec.exe с MSI из Downloads или %TEMP%;
🔸 создание %LOCALAPPDATA%\AlphaFlyNew;
🔸 запуск helper.vbs → run-script.ps1;
🔸 PowerShell с -WindowStyle Hidden и -ExecutionPolicy Bypass;
🔸 загрузка Node.js неизвестным PowerShell-процессом;
🔸 запуск обфусцированного JavaScript через Node.js;
🔸 соединение с доменом или IP из IOC-набора.
Поведенческое условие
Подтверждённая AlphaFly-цепочка:
MSI → VBS → PowerShell → Node.js → JavaScript → внешнее соединение
Отдельный LNK-сценарий:
LNK → скрытая команда → PowerShell/CMD → загрузка payload
Если наблюдается одна из этих цепочек и совпадение с IOC CRATU — эскалировать как возможную активность Versatile Werewolf.