Sticky Werewolf и LummaStealer: IOC как повод для корреляции, а не атрибуции

По данным Подразделения CRATU, в сводке внешнего источника приведён набор индикаторов, отнесённый к Sticky Werewolf (Angry Likho) и LummaStealer. Для SOC это повод начать направленный hunting по доменам и файлам, но не основание считать узел скомпрометированным. У каждого опубликованного значения — одно наблюдение из одного источника. Роль доменов, назначение MD5, цепочка доставки и связка «домен → файл → фишинговая кампания» в текущем наборе не подтверждены.Текущее наблюдениеВ сводке есть доменные и файловые индикаторы, впервые и в последний раз отмеченные 15 октября 2026 года. Их стоит искать в DNS-, сетевой телеметрии и журналах прокси-сервера, а MD5 — в EDR, антивирусных событиях и файловом аудите. Однако инфраструктурный IOC без контекста часто даёт для расследования меньше, чем процесс и файл рядом с ним. Ниже приведена приоритетная выборка 7 из 55 индикаторов текущей сводки. Домены: • testdomain123123[.]shop • averageorganicfallfaw[.]shop • distincttangyflippan[.]shop • macabrecondfucews[.]shop MD5: • f8df6cf748cc3cf7c05ab18e798b3e91 • d8c6199b414bdf298b6a774e60515ba5 • ef8c77dc451f6c783d2c4ddb726de111 По имеющимся данным ни один домен нельзя называть C2, узлом доставки или эксфильтрации. По MD5 также нельзя установить, был ли объект архивом, загрузчиком, скриптом, LummaStealer либо вспомогательным компонентом.Исторический контекстKaspersky отслеживает Angry Likho также под именами Sticky Werewolf и Phaseshifters с 2023 года. В отдельной исторической кампании исследователи Kaspersky описали вредоносный SFX-архив с Lumma в качестве полезной нагрузки. Morphisec связывал историческую активность Sticky Werewolf с письмами-приманками для авиационной отрасли, Rhadamanthys Stealer и Ozone RAT. Это не описание текущего набора. Связь Angry Likho с Lumma была установлена в конкретно исследованной кампании и не переносится на каждый новый индикатор LummaStealer. Lumma — MaaS-семейство, поэтому совпадение с ним само по себе не атрибутирует инцидент группировке. MITRE ATT&CK исторически фиксирует для Lumma фишинговые вложения (T1566.001), исполнение пользователем (T1204), запуск через Mshta (T1218.005), сбор браузерных cookies (T1539) и передачу данных по существующему C2-каналу (T1041). В текущей сводке ни одна из этих техник не подтверждена. Рабочая гипотеза здесь — не «домен равен Lumma», а последовательность проверяемых событий: письмо или загрузка файла → появление вложения либо архива на узле → запуск LNK, скрипта или Mshta → сетевое обращение к индикатору. Каждый переход требует собственной телеметрии.Что проверить SOC1. В DNS, сетевой телеметрии и журналах прокси-сервера найдите обращения к четырём доменам. Для совпадения сохраните узел, пользователя, время, тип запроса, результат разрешения имени и последующие соединения. Обращения почтового шлюза, песочницы или средств защиты не равны пользовательскому запуску. 2. На тех же узлах поднимите почтовую телеметрию: письма, вложения, URL-переходы и результаты анализа файлов. Приоритет выше, если перед обращением к домену появилось вложение или была загрузка файла. 3. По трём MD5 проверьте EDR и файловый аудит. Запись или загрузка файла подтверждает наличие объекта, но не его исполнение. Запуск должен подтверждаться созданием процесса с путём, хешем, родительским процессом и командной строкой; затем проверьте дочерние процессы, включая LNK, скриптовые интерпретаторы, Mshta и PowerShell. 4. Повышайте приоритет, когда на одном узле сходятся файл, его запуск и последующее сетевое обращение. Одно DNS-совпадение или MD5-hit без процесса и соседних артефактов оставляйте в очереди на проверку, а не превращайте в инцидент по инерции. Такую корреляцию можно реализовать в SIEM; описание подхода: https://www.itb.spb.ru/products/Security_Capsule_SIEM/ Практический вывод: набор полезен для сужения поиска вокруг почты, файлов и запусков. Его доказательность начинается с корреляции наблюдений на конкретном узле, а не с блокировки домена по списку.