🛰 CRATU ThreatLens: неделя, когда один хэш получил несколько имён
📼 R&D CRATU подвело итоги мониторинга IOC.
📅 Период: 21.07.2026 09:18 UTC — 28.07.2026 09:18 UTC
В недельный дайджест вошло 953 IOC:
🌐 Domain — 316
🔗 URL — 61
🧬 SHA256 — 318
🧩 MD5 — 175
🧾 SHA1 — 83
По критичности: 41 критичный и 912 высоких.
Главная особенность недели — смещение от доменной инфраструктуры к файловым индикаторам. Все критичные IOC представлены SHA256-хэшами.
В выборке присутствуют ClearFake, IClickFix, Vidar, Remus, AsyncRAT, PureRAT, XWorm, Mirai, Formbook/XLoader, ValleyRAT, SmartApeSG, TAG-124/KongTuke, TonRAT, Phorpiex, INC и десятки стилеров, RAT и загрузчиков.
📟 Что увидел CRATU
1️⃣ ClearFake и IClickFix: доставка через широкую сеть сайтов
ClearFake использует большую доменную сетку: скомпрометированные сайты, поддомены интернет-магазинов, псевдопроверки авторизации и CAPTCHA.
IClickFix добавляет ещё десятки сайтов различной тематики. Общий сценарий остаётся знакомым:
страница → ложная проверка или инструкция → запуск команды/скрипта → загрузка payload.
Блокировка одного домена проблему не решает — важна корреляция с последующим запуском интерпретатора.
2️⃣ Vidar: короткие поддомены и ротация C2
В блоке Vidar повторяется шаблон из трёхбуквенных поддоменов на доменах 77zeus, 808skor, majusm188, luckyturbo88 и других.
Такая ротация позволяет быстро менять точки управления, сохраняя одинаковую структуру инфраструктуры.
3️⃣ Один файл — несколько названий
Неделя особенно хорошо показывает ограничения атрибуции только по метке источника.
Одинаковые SHA256 встречаются одновременно как:
🔸 Efimer и Kuiper;
🔸 RemusStealer и Venus Stealer;
🔸 ConnectWise и NetWire RC;
🔸 PureLogsStealer и Creal Stealer;
🔸 Quasar RAT и QuasarRAT;
🔸 WallStealer и LALALA Stealer.
Это не означает, что все названия равнозначны. Один образец может получить разные классификации из-за переименования семейства, общей кодовой базы, упаковщика или особенностей конкретного источника.
4️⃣ Стилеры остаются главным файловым шумом
В выборке представлены Remus/Lumma, ACR Stealer, Stealc, Phantom Stealer, PureLogs, Creal, Luca, BluStealer, RustyStealer, MaskGramStealer, VIP Keylogger и другие.
Для SOC важнее не название, а поведение:
чтение браузерных профилей → Telegram/Discord/кошельки → создание временного контейнера → внешнее соединение.
5️⃣ RAT, RMM и удалённое управление
AsyncRAT, PureRAT, Quasar, Remcos, DCRat, ValleyRAT, njRAT и ConnectWise формируют отдельный слой риска.
Легитимное средство удалённого управления и RAT могут выглядеть похоже на сетевом уровне. Контекст дают путь запуска, подпись, родительский процесс, механизм установки и согласованность с политикой организации.
🛡 Как детектировать в SIEM
🔸 IOC-домен → в течение 10 минут powershell.exe, cmd.exe, mshta.exe, wscript.exe, rundll32.exe, curl или wget.
🔸 Совпадение SHA256 → восстановление process tree, пути файла, подписи, первого появления и всех сетевых соединений.
🔸 Неизвестный процесс → чтение Login Data, Cookies, Local State, Telegram tdata, Discord или каталогов кошельков.
🔸 Новый RAT/RMM → создание службы, scheduled task, Run-key либо запуск из %TEMP%, %APPDATA% или Downloads.
🔸 Для Linux/IoT: загрузка файла → chmod → запуск ELF → внешнее соединение. В выборке присутствуют Mirai/Jackskid и URL доставки 47[.]239[.]127[.]71/lib/xxx.
📌 Условие корреляции
IOC CRATU ThreatLens + запуск payload или интерпретатора + credential access / persistence / C2 в течение 10 минут = высокоприоритетный инцидент.
🧠 Вывод
На этой неделе особенно заметно: метка семейства — это гипотеза, а не доказательство.
SOC должен опираться не только на название IOC, а на полный контекст:
где появился файл → кто его запустил → что он прочитал → как закрепился → куда подключился.
