Анатомия фишинговой атаки: разбираем цепочку от вредоносного документа до компрометации

По данным Хабра, в практическом разборе на платформе Standoff Defend восстановлена фишинговая цепочка: сотрудник открыл документ Doc1.doc, был запущен WINWORD.EXE, а данные процесса указали на связь с PowerShell; вредоносное ПО доставили на хост 10.156.18.200. Сценарий полезен защитникам не описанием кликбейта, а последовательностью траблшутинга: точку входа, хеш, учётную запись и дерево процессов извлекают из SIEM. Проверяйте цепочку событий, а не ограничивайтесь фактом открытия письма.

Начать с артефактов выполнения

Имя исходного файла в сценарии: Doc1.doc. Начните с событий создания процесса Sysmon Event ID 1 и Windows Security 4688. Ограничьте выборку хостом tsantos.uf.city.stf, затем проверьте поле object.process.cmdline на наличие расширений .doc и .xls.

В выборке обнаруживается запуск WINWORD.EXE. Параллельно проверьте события песочницы:

event_src.host = 'sbx.city.stf' AND object = 'malware' AND object.name = 'Doc1.doc'

Из карточки объекта извлеките SHA-1. Хеш нужен для сопоставления файла с другими хостами и внешними данными Threat Intelligence.

Затем повторите поиск по командной строке с точным именем Doc1.doc. В subject.account.name будет указана учётная запись t_santos, а PID процесса WINWORD.EXE равен 1852. Используйте PID для восстановления родительско-дочерних связей.

Не считайте владельца учётной записи инициатором атаки. Событие фиксирует контекст выполнения процесса, но не намерение пользователя.

Проверить поддельное приглашение

По данным Dark Reading, исследователи Cofense выявили глобальную фишинговую кампанию с поддельными приглашениями к тестированию ИИ-моделей Anthropic. Атака обходит защитные шлюзы Proofpoint и Defender for Office 365. Для доставки используются легитимный сервисный адрес GoToWebinar, сокращатель ссылок Zapier и двойные CAPTCHA Cloudflare.

Проверьте четыре элемента:

1. Не считайте отправителя подтверждённым только по легитимному адресу GoToWebinar. Установите фактическую цепочку перехода.

2. Раскройте ссылку Zapier в безопасном контуре и проверьте конечный домен до перехода по ней.

3. Сведите SPF, DKIM и DMARC с фактическим маршрутом письма. Результат аутентификации не подтверждает назначение страницы.

4. Не трактуйте пропуск письма почтовым шлюзом как доказательство легитимности. В описанной кампании такие шлюзы обходились.

KnowBe4 сообщает об использовании злоумышленниками легитимной инфраструктуры для распространения фишинговых писем. BryanSkyToday отмечает поддельные письма с обещанием бонуса за лояльность от имени маркетплейсов. Сведение этих сообщений в одну кампанию источниками не подтверждено.

Действия после открытия

Если документ уже открыт, выполните последовательность:

1. Изолируйте рабочую станцию от корпоративной сети. Не перезагружайте хост до сохранения критичных артефактов.

2. Соберите Sysmon Event ID 1 и Windows Security 4688. Найдите процессы WINWORD.EXE, PowerShell и их дочерние процессы.

3. Извлеките SHA-1 вредоносного файла из песочницы и проверьте совпадения по другим хостам.

4. Сохраните исходное письмо, вложение, заголовки, цепочку URL и временные метки. Не удаляйте артефакты до завершения проверки.

5. Добавьте в MTA и антифишинговый шлюз подтверждённые URL, хеши и правила обнаружения. Не блокируйте целиком GoToWebinar, Zapier или Cloudflare без анализа фактической цепочки.

Легитимный посредник способен снизить воспринимаемый риск. Похожий сдвиг маршрута показан в материале о том, почему ранобэ читают в обход официальных релизов. В фишинговой схеме проверяйте цепочку целиком: сервисный адрес GoToWebinar, сокращатель Zapier, страницу с двойной CAPTCHA Cloudflare и форму сбора учётных данных.