Фишинговая атака с Remcos RAT не всегда начинается с очевидного вредоносного файла. Разбираем, как связать IOC, события Windows/Sysmon, сетевую активность и контекст Threat Intelligence в единое расследование.
Для SOC и специалистов по мониторингу ценность Threat Intelligence определяется не количеством индикаторов, а возможностью проверить их в инфраструктуре: увидеть событие, связать его с пользователем и хостом, сформировать инцидент и восстановить цепочку действий.
Почему Remcos RAT важен для практического мониторинга
Фишинговые атаки с использованием RAT-класса вредоносного ПО остаются одной из рабочих проблем для SOC. На ранних этапах такая активность может выглядеть как обычное письмо с вложением, открытие документа, запуск дочернего процесса или обращение к внешнему домену.
Отдельное событие не всегда выглядит критичным. Значение появляется тогда, когда аналитик видит цепочку: источник доставки, запуск процесса, сетевое соединение, возможную C2-инфраструктуру и связь с конкретным вредоносным семейством.
На примере Remcos RAT важно показать не сам факт наличия IOC, а способность службы ИБ проверить, фиксировались ли связанные признаки в событиях Windows, Sysmon, proxy, firewall, DNS, антивируса или почтового шлюза.
Что даёт CRATU ThreatLens
CRATU ThreatLens в таком сценарии выступает не как список отдельных индикаторов, а как источник аналитического контекста. Аналитик работает с сущностью Remcos: смотрит связанные IOC, домены, IP-адреса, URL, хеши, связи с кампаниями, смежными объектами и обновлениями.
Это позволяет перейти от вопроса «есть ли у нас этот IOC?» к более прикладному вопросу: «видим ли мы признаки этой цепочки в своей инфраструктуре?»
Какие фрагменты ThreatLens показать в публикации
Для публикации достаточно 1–3 фрагментов интерфейса ThreatLens. Их задача — показать, что у CRATU есть контекст по угрозе, а не только набор разрозненных IOC.
Сущность Remcos
Карточка угрозы: название семейства, краткое описание, тип угрозы, дата обновления и связанные объекты.
IOC
Список доменов, IP-адресов, URL или хешей, связанных с Remcos, с указанием статуса и актуальности.
Связи
Визуальная или табличная связь Remcos с IOC, смежными сущностями, кампаниями или инфраструктурой атакующих.
Пример события: IOC из ThreatLens в сетевом журнале
Первичная проверка может начинаться с событий от proxy, firewall, DNS, антивируса или почтового шлюза. Например, в SIEM поступает событие обращения к внешнему домену или IP-адресу, который присутствует в ThreatLens как связанный с Remcos.
В обычном сетевом журнале это может быть одна из тысяч записей за день. Но при наличии TI-контекста событие становится точкой входа в расследование.
Второй слой проверки: Windows и Sysmon
Для расследования важны не только сетевые обращения, но и действия на рабочей станции до них. Аналитик проверяет родительский процесс, командную строку, создание файла и сетевое соединение.
Если обращение к IOC из ThreatLens совпадает с подозрительным запуском дочернего процесса, гипотеза становится сильнее: пользователь открыл документ, документ инициировал запуск процесса, процесс выполнил сетевое соединение к внешней инфраструктуре.
От IOC к расследованию в SC SIEM
Практическая ценность появляется тогда, когда данные киберразведки становятся частью процесса мониторинга, корреляции и расследования.
- 01 События SC SIEM получает события от proxy, firewall, DNS, AV, Windows, Sysmon и других источников.
- 02 Корреляция Отдельные признаки связываются в цепочку: IOC, процесс, пользователь, хост, сетевое соединение.
- 03 Инцидент Аналитик получает не набор технических записей, а управляемый инцидент для проверки и обработки.
- 04 ThreatLens Контекст ThreatLens помогает понять, с каким семейством и инфраструктурой может быть связан индикатор.
- 05 Таймлайн В расследовании фиксируются события, комментарии, IOC, ссылки, действия аналитика и итоговые выводы.
- 06 Отчёт Результат расследования можно использовать для SOC, руководителя ИБ, пилота или последующей настройки правил.
IOC — это точка входа, а не итог расследования
IOC без контекста быстро устаревает и часто превращается в технический список для ручной проверки. Контекст Threat Intelligence делает индикатор прикладным: показывает, с каким семейством ВПО он связан, какие объекты могут быть смежными, какие обновления появились и какие источники событий стоит проверить.
Для Remcos RAT расследование должно строиться не вокруг одного домена, IP-адреса или хеша. Важно восстановить цепочку: фишинговое воздействие, запуск процесса, дочерние процессы, сетевое соединение, обращение к C2 и действия на конечном узле.
Как связаны SC SIEM и CRATU ThreatLens
В связке CRATU ThreatLens + Security Capsule SIEM внешний аналитический контекст становится частью практического мониторинга.
ThreatLens помогает аналитику понять, что означает индикатор: с каким семейством ВПО он связан, какие IOC относятся к той же сущности, какие связи и обновления доступны по угрозе.
SC SIEM позволяет проверить этот контекст на инфраструктурных событиях: от proxy, firewall, DNS, антивируса, Windows и Sysmon до событий Active Directory и других источников. После этого признаки могут быть связаны в инцидент, дополнены таймлайном расследования, комментариями, IOC и итоговым выводом.
Проверьте Threat Intelligence на реальных событиях
Если в организации уже используются SIEM, proxy, firewall, DNS, антивирус, Windows/Sysmon или другие источники событий, Threat Intelligence можно проверять не в отрыве от инфраструктуры, а в составе реального процесса мониторинга.
На демонстрации можно посмотреть, как контекст по угрозе превращается в проверяемую цепочку событий, инцидент и вывод для аналитика.