XWorm: два хэша без подтверждённой кампании

По данным Подразделения CRATU, в сводке внешнего источника приведены два файловых индикатора по теме XWorm. Это первое появление темы XWorm в текущем наборе CRATU: в предоставленном архиве нет прежней тематической публикации именно об этом RAT-семействе. Текущие данные не подтверждают активную кампанию, конкретную версию ВПО, оператора, C2-инфраструктуру или способ доставки. Каждый индикатор отмечен одним наблюдением из одного источника. Нет имени файла, SHA-256, метаданных образца, сетевых адресов, вложений и процессных артефактов. Связь между MD5 и SHA-1 как хэшами одного объекта также не доказана. Индикаторы MD5: bd43519650bf3de09d993e9f01560a78 SHA-1: 0babeadf546eee56b56c6054bd9fee28372c7411 Что проверить SOC 1. Проверить каждый хэш независимо в EDR, антивирусных событиях и карантине. Совпадение одного IOC — отдельный сигнал для ретрохантинга; совместное совпадение не требуется. 2. Для найденного файла разделить появление объекта на диске и его исполнение. Сохранить путь, имя, владельца, время создания и изменения, а также родительский процесс. Наличие объекта в карантине или хранилище само по себе не доказывает запуск. 3. Почтовые вложения и записи прокси-сервера использовать только как контекст для ручной проверки при независимой связи: того же узла, пользователя, имени файла или подтверждённого времени. Сами по себе эти записи не доказывают доставку или сетевую активность. 4. При совпадении передать образец на дополнительный разбор. Имеющихся данных недостаточно, чтобы определить версию XWorm или отличить переупакованную сборку от другого файла с тем же контекстом. Два хэша добавляют точечный сигнал для ретрохантинга, но не полноценный профиль инцидента. Связывать их с конкретной версией XWorm, оператором, C2 или цепочкой доставки не следует: в предоставленных данных такой связи нет.