В продолжение темы с LNK. Исследование TTP APT37 (ScarCruft, Reaper, Red Eyes)

🔤 Атака начинается с фишинга, содержащего ZIP-вложение, которое скрывает LNK
🔤 При выполнении файл LNK запускает multi-stage атаку с bat и PowerShell
🔤 Аргументы LNK проверяют рабочую директорию, затем рекурсивно ищут файл с определенным размером и расширением LNK в директории Temp
🔤 После обнаружения из LNK извлекается 1 hwpx (файл-приманка) и 3 dat-файла
🔤 Далее цепочка из скриптов загружает в память shellcode, для запуска RokRat. Для взаимодействия с C2 использовались API Dropbox, Yandex Disk и PCloud

Для поиска selfextracted-lnk можем похантить в аргументах cmd и powershell, вхождение Temp и LNK

#ttp@detectioneasy
#detection@detectioneasy