Cloak

┌──────────────────────────────────────────────────────┐
│           Cloak 凭证驱动攻击模型                       │
├──────────────────────────────────────────────────────┤
│                                                        │
│  传统勒索组织：                                        │
│  漏洞利用 / 钓鱼邮件 → 初始访问                        │
│                                                        │
│  Cloak 模式：                                          │
│  信息窃取器（Lumma/Aurora/Redline）                    │
│         ↓                                              │
│  Russian Market 等地下市场购买合法凭证                 │
│         ↓                                              │
│  直接使用合法凭证登录目标网络                           │
│         ↓                                              │
│  绕过传统终端防护（无恶意文件执行）                     │
│                                                        │
│  优势：                                                │
│  ├── 无恶意文件，端点检测失效                          │
│  ├── 合法凭证，行为类似正常用户                        │
│  ├── 无需漏洞利用，降低攻击复杂度                      │
│  └── 高成功率，高支付率                                │
│                                                        │
└──────────────────────────────────────────────────────┘

Lumma/Aurora/Redline 信息窃取器
    ↓
Russian Market 等地下市场出售合法凭证
    ↓
Cloak 购买凭证
    ↓
直接使用合法凭证登录目标网络（VPN/RDP/邮件）
    ↓
无恶意文件执行，绕过端点检测
    ↓
Mimikatz 凭证转储（横向移动）
    ↓
RDP / SMB / PsExec（横向移动）
    ↓
Rclone / Mega（数据外传）
    ↓
Cloak 载荷（AES + RSA 混合加密 + 数据泄露威胁）

title: Cloak - Anomalous Login from Purchased Credentials
id: cl001-anomalous-login
status: experimental
description: 检测来自信息窃取器泄露凭证的异常登录行为
logsource:
  category: authentication
  product: windows
detection:
  selection:
    EventID: 4624
    LogonType: 10  # RDP
    AuthenticationPackageName: NTLM
  filter:
    IpAddress|startswith:
      - '10.'
      - '172.16.'
      - '192.168.'
  condition: selection and not filter
level: high
tags:
  - attack.initial_access
  - attack.t1078

title: Cloak - Volume Shadow Copy Deletion
id: cl002-vss-deletion
status: experimental
description: 检测 Cloak 删除卷影副本的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    CommandLine|contains|all:
      - 'vssadmin'
      - 'delete'
      - 'shadows'
  condition: selection
level: high
tags:
  - attack.defense_evasion
  - attack.t1490

title: Cloak - Data Exfiltration via Rclone
id: cl003-rclone-exfil
status: experimental
description: 检测使用 Rclone 进行数据外传的行为
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    Image|endswith: '\rclone.exe'
    CommandLine|contains:
      - 'copy'
      - 'sync'
  condition: selection
level: high
tags:
  - attack.exfiltration
  - attack.t1567.002

rule Cloak_Ransomware {
    meta:
        description = "检测 Cloak 勒索软件载荷"
        author = "Threat Intelligence Team"
        date = "2026-07-01"
        reference = "Cloak credential-driven ransomware"
    strings:
        $s1 = "Cloak" ascii
        $s2 = "vssadmin delete shadows" ascii
        $s3 = "rclone" ascii
        $hex1 = { 48 89 5C 24 08 48 89 6C 24 10 48 89 74 24 18 }
    condition:
        2 of ($s*) and $hex1
}