Emerging Threat: Sneaky Log and Sneaky 2FA
Sneaky Log, operating as a Phishing-as-a-Service (PhaaS) platform, distributes the Sneaky 2FA phishing kit targeting Microsoft 365 accounts to bypass MFA using Adversary-in-the-Middle (AiTM) tactics. The kit, hosted on compromised WordPress sites and attacker-controlled domains, uses anti-bot measures like Cloudflare Turnstile and anti-analysis techniques, including obfuscated code and junk data, to evade detection. Phishing URLs prefill victim details via email parameters, while malicious QR codes redirect users to fake Microsoft login pages. Sold for $200/month through Telegram bots (@SneakyLog_bot, @SneakySupport_bot), payments are processed via multiple cryptocurrencies. Users are advised to verify email and QR code authenticity
Sneaky Log, operating as a Phishing-as-a-Service (PhaaS) platform, distributes the Sneaky 2FA phishing kit targeting Microsoft 365 accounts to bypass MFA using Adversary-in-the-Middle (AiTM) tactics. The kit, hosted on compromised WordPress sites and attacker-controlled domains, uses anti-bot measures like Cloudflare Turnstile and anti-analysis techniques, including obfuscated code and junk data, to evade detection. Phishing URLs prefill victim details via email parameters, while malicious QR codes redirect users to fake Microsoft login pages. Sold for $200/month through Telegram bots (@SneakyLog_bot, @SneakySupport_bot), payments are processed via multiple cryptocurrencies. Users are advised to verify email and QR code authenticity
BadPilot Campaign: Sandworm Subgroup (Seashell Blizzard)
A state-sponsored APT44/Sandworm subgroup has been targeting energy, oil & gas, telecom, and government entities across 15+ countries since 2021. The group exploits known vulnerabilities in internet-facing systems, such as Microsoft Exchange (CVE-2021-34473), Zimbra Collaboration (CVE-2022-41352), OpenFire (CVE-2023-32315), JetBrains TeamCity (CVE-2023-42793), Microsoft Outlook (CVE-2023-23397), ConnectWise ScreenConnect (CVE-2024-1709), and Fortinet FortiClient EMS (CVE-2023-48788). Post-exploitation, they establish persistence using tools like Atera Agent, Splashtop Remote Services, LocalOlive web shell, Kalambur RDP backdoor, and ShadowLink (a TOR-based utility). To mitigate these threats, organizations are advised to promptly apply security patches
A state-sponsored APT44/Sandworm subgroup has been targeting energy, oil & gas, telecom, and government entities across 15+ countries since 2021. The group exploits known vulnerabilities in internet-facing systems, such as Microsoft Exchange (CVE-2021-34473), Zimbra Collaboration (CVE-2022-41352), OpenFire (CVE-2023-32315), JetBrains TeamCity (CVE-2023-42793), Microsoft Outlook (CVE-2023-23397), ConnectWise ScreenConnect (CVE-2024-1709), and Fortinet FortiClient EMS (CVE-2023-48788). Post-exploitation, they establish persistence using tools like Atera Agent, Splashtop Remote Services, LocalOlive web shell, Kalambur RDP backdoor, and ShadowLink (a TOR-based utility). To mitigate these threats, organizations are advised to promptly apply security patches
کمپین BadPilot: زیرگروه Sandworm (Seashell Blizzard)
یک زیرگروه APT44/Sandworm با حمایت دولتی از سال 2021 انرژی، نفت و گاز، مخابرات و نهادهای دولتی را در بیش از 15 کشور هدف قرار داده است. این گروه از آسیب‌پذیری‌های شناخته شده در سیستم‌های روبه‌روی اینترنت، مانند Microsoft Exchange (CVE-2021-34473)، Zimbra Open-2302C (CVE-2021-34473)، Zimbra Open-2352C (Open-2021-34473)، و Zimbra-2352C (Open-2021-34473)، و سازمان‌های دولتی در بیش از 15 کشور استفاده می‌کند. (CVE-2023-32315)، JetBrains TeamCity (CVE-2023-42793)، Microsoft Outlook (CVE-2023-23397)، ConnectWise ScreenConnect (CVE-2024-1709)، و Fortinet FortiClient EMS (CVE-22028) پس از بهره برداری، آنها با استفاده از ابزارهایی مانند Atera Agent، Splashtop Remote Services، پوسته وب LocalOlive، درب پشتی Kalambur RDP و ShadowLink (یک ابزار مبتنی بر TOR) پایداری ایجاد می کنند. برای کاهش این تهدیدات، به سازمان ها توصیه می شود که به سرعت وصله های امنیتی را اعمال کنند
یک زیرگروه APT44/Sandworm با حمایت دولتی از سال 2021 انرژی، نفت و گاز، مخابرات و نهادهای دولتی را در بیش از 15 کشور هدف قرار داده است. این گروه از آسیب‌پذیری‌های شناخته شده در سیستم‌های روبه‌روی اینترنت، مانند Microsoft Exchange (CVE-2021-34473)، Zimbra Open-2302C (CVE-2021-34473)، Zimbra Open-2352C (Open-2021-34473)، و Zimbra-2352C (Open-2021-34473)، و سازمان‌های دولتی در بیش از 15 کشور استفاده می‌کند. (CVE-2023-32315)، JetBrains TeamCity (CVE-2023-42793)، Microsoft Outlook (CVE-2023-23397)، ConnectWise ScreenConnect (CVE-2024-1709)، و Fortinet FortiClient EMS (CVE-22028) پس از بهره برداری، آنها با استفاده از ابزارهایی مانند Atera Agent، Splashtop Remote Services، پوسته وب LocalOlive، درب پشتی Kalambur RDP و ShadowLink (یک ابزار مبتنی بر TOR) پایداری ایجاد می کنند. برای کاهش این تهدیدات، به سازمان ها توصیه می شود که به سرعت وصله های امنیتی را اعمال کنند
ShadowLink :
یک ابزار هک است که توسط گروه تهدید سایبری Seashell Blizzard (معروف به Sandworm) استفاده می‌شود. این ابزار به‌عنوان یک بایگانی RAR خوداستخراج‌شونده (SFX) با نام defender.exe توزیع می‌شود که به‌طور جعلی به‌عنوان Microsoft Defender نمایش داده می‌شود. پس از اجرا، ShadowLink سرویس‌های مخفی TOR را بر روی دستگاه قربانی نصب می‌کند و آن را به یک سرور شبکه TOR با دامنه .onion منحصربه‌فرد تبدیل می‌کند. این اقدام به مهاجمان امکان می‌دهد تا از طریق شبکه TOR به دستگاه قربانی متصل شده و ترافیک را به سرویس Remote Desktop Protocol (RDP) دستگاه هدایت کنند. این روش به آنها اجازه می‌دهد تا از مکانیزم‌های حفاظتی شبکه عبور کرده و به منابع داخلی دسترسی پیدا کنند.
شاخص‌های نفوذ (IOCs) مرتبط با ShadowLink:
نام فایل مخرب: defender.exe
مسیر نصب: C:\Users\Public\Defender\Defender\defender.exe
پورت مورد استفاده: پورت 3389 (پورت پیش‌فرض RDP)
دستور نصب نمونه:
C:\Users\Public\Defender\Defender\defender.exe --service install -options -f C:\Users\Public\Defender\Data\Defender\def
توصیه‌های امنیتی:
بررسی دقیق دستگاه‌های مشکوک: دستگاه‌های آلوده را به‌طور کامل برای شناسایی بدافزارها و نشانه‌های حرکت جانبی بررسی کنید.
به‌روزرسانی امنیتی: به‌روزرسانی‌های امنیتی را به‌موقع اعمال کنید، به‌ویژه برای آسیب‌پذیری‌های شناخته‌شده.
اجرای اصل حداقل دسترسی: دسترسی‌های ادمین را محدود کرده و از حساب‌های کاربری با دسترسی گسترده خودداری کنید.
تقسیم‌بندی شبکه: شبکه را به بخش‌های کوچکتر تقسیم کنید تا از گسترش بدافزار جلوگیری شود.
استفاده از مرورگرهای امن: از مرورگرهایی مانند Microsoft Edge با قابلیت SmartScreen برای شناسایی و مسدود کردن وب‌سایت‌های مخرب استفاده کنید.
غیرفعال کردن اجرای اسکریپت‌های غیرضروری: اجرای محتوای اجرایی دانلودشده را با غیرفعال کردن JavaScript یا VBScript محدود کنید.
با اجرای این اقدامات، می‌توانید از نفوذ و سوءاستفاده از ابزارهایی مانند ShadowLink جلوگیری کرده و امنیت شبکه خود را تقویت کنید.
یک ابزار هک است که توسط گروه تهدید سایبری Seashell Blizzard (معروف به Sandworm) استفاده می‌شود. این ابزار به‌عنوان یک بایگانی RAR خوداستخراج‌شونده (SFX) با نام defender.exe توزیع می‌شود که به‌طور جعلی به‌عنوان Microsoft Defender نمایش داده می‌شود. پس از اجرا، ShadowLink سرویس‌های مخفی TOR را بر روی دستگاه قربانی نصب می‌کند و آن را به یک سرور شبکه TOR با دامنه .onion منحصربه‌فرد تبدیل می‌کند. این اقدام به مهاجمان امکان می‌دهد تا از طریق شبکه TOR به دستگاه قربانی متصل شده و ترافیک را به سرویس Remote Desktop Protocol (RDP) دستگاه هدایت کنند. این روش به آنها اجازه می‌دهد تا از مکانیزم‌های حفاظتی شبکه عبور کرده و به منابع داخلی دسترسی پیدا کنند.
شاخص‌های نفوذ (IOCs) مرتبط با ShadowLink:
نام فایل مخرب: defender.exe
مسیر نصب: C:\Users\Public\Defender\Defender\defender.exe
پورت مورد استفاده: پورت 3389 (پورت پیش‌فرض RDP)
دستور نصب نمونه:
C:\Users\Public\Defender\Defender\defender.exe --service install -options -f C:\Users\Public\Defender\Data\Defender\def
توصیه‌های امنیتی:
بررسی دقیق دستگاه‌های مشکوک: دستگاه‌های آلوده را به‌طور کامل برای شناسایی بدافزارها و نشانه‌های حرکت جانبی بررسی کنید.
به‌روزرسانی امنیتی: به‌روزرسانی‌های امنیتی را به‌موقع اعمال کنید، به‌ویژه برای آسیب‌پذیری‌های شناخته‌شده.
اجرای اصل حداقل دسترسی: دسترسی‌های ادمین را محدود کرده و از حساب‌های کاربری با دسترسی گسترده خودداری کنید.
تقسیم‌بندی شبکه: شبکه را به بخش‌های کوچکتر تقسیم کنید تا از گسترش بدافزار جلوگیری شود.
استفاده از مرورگرهای امن: از مرورگرهایی مانند Microsoft Edge با قابلیت SmartScreen برای شناسایی و مسدود کردن وب‌سایت‌های مخرب استفاده کنید.
غیرفعال کردن اجرای اسکریپت‌های غیرضروری: اجرای محتوای اجرایی دانلودشده را با غیرفعال کردن JavaScript یا VBScript محدود کنید.
با اجرای این اقدامات، می‌توانید از نفوذ و سوءاستفاده از ابزارهایی مانند ShadowLink جلوگیری کرده و امنیت شبکه خود را تقویت کنید.
نرم‌افزار Atera Agent یک ابزار قانونی برای نظارت و مدیریت از راه دور (RMM) است که توسط ارائه‌دهندگان خدمات مدیریت‌شده (MSP) و تیم‌های فناوری اطلاعات استفاده می‌شود. با این حال، مهاجمان سایبری، به‌ویژه گروه تهدید ایرانی موسوم به MuddyWater، از این نرم‌افزار برای دسترسی غیرمجاز به سیستم‌ها سوءاستفاده کرده‌اند.
شاخص‌های نفوذ (IOCs) مرتبط با سوءاستفاده از Atera Agent:
فرستنده‌های ایمیل فیشینگ: مهاجمان از حساب‌های ایمیل هک‌شده یا جعلی برای ارسال ایمیل‌های فیشینگ استفاده می‌کنند.
موضوعات ایمیل: موضوعاتی مانند "תלושי השכר" (فیش‌های حقوقی) یا "תלוש שכר לחודש 02/2024" (فیش حقوقی برای ماه 02/2024)
نام پیوست‌های PDF مخرب: "תלוש השכר .pdf" (فیش حقوقی)
لینک‌های دانلود مخرب: لینک‌هایی که به فایل‌های میزبانی‌شده در سرویس‌های اشتراک‌گذاری فایل مانند Egnyte، Onehub، Sync و TeraBox اشاره دارند.
هش‌های SHA256 فایل‌های مخرب: هش‌های مرتبط با فایل‌های ZIP و MSI که برای نصب Atera Agent استفاده می‌شوند.
شاخص‌های نفوذ (IOCs) مرتبط با سوءاستفاده از Atera Agent:
فرستنده‌های ایمیل فیشینگ: مهاجمان از حساب‌های ایمیل هک‌شده یا جعلی برای ارسال ایمیل‌های فیشینگ استفاده می‌کنند.
موضوعات ایمیل: موضوعاتی مانند "תלושי השכר" (فیش‌های حقوقی) یا "תלוש שכר לחודש 02/2024" (فیش حقوقی برای ماه 02/2024)
نام پیوست‌های PDF مخرب: "תלוש השכר .pdf" (فیش حقوقی)
لینک‌های دانلود مخرب: لینک‌هایی که به فایل‌های میزبانی‌شده در سرویس‌های اشتراک‌گذاری فایل مانند Egnyte، Onehub، Sync و TeraBox اشاره دارند.
هش‌های SHA256 فایل‌های مخرب: هش‌های مرتبط با فایل‌های ZIP و MSI که برای نصب Atera Agent استفاده می‌شوند.
LocalOlive
یک وب شل است که توسط زیرگروهی از گروه تهدید سایبری Seashell Blizzard معروف به Sandworm استفاده می‌شود. این وب‌شل به‌عنوان ابزار اصلی برای فرماندهی و کنترل (C2) و استقرار ابزارهای اضافی در زیرساخت‌های به خطر افتاده به کار می‌رود. LocalOlive معمولاً پس از بهره‌برداری از آسیب‌پذیری‌های موجود در سیستم‌های متصل به اینترنت، به‌ویژه در زیرساخت‌های محیط‌های کوچک اداری/خانگی (SOHO) و شبکه‌های سازمانی، مستقر می‌شود. این وب‌شل به مهاجمان امکان می‌دهد تا به‌طور مداوم به سیستم‌های هدف دسترسی داشته باشند و فعالیت‌های مخرب خود را ادامه دهند.
شاخص‌های نفوذ (IOCs) مرتبط با LocalOlive:
نام فایل‌های مشکوک: فایل‌هایی با نام‌های غیرمعمول یا ناشناخته در دایرکتوری‌های وب سرور، مانند localolive.aspx یا localolive.php.
مسیرهای نصب غیرمعمول: وجود فایل‌های اجرایی در مسیرهایی که معمولاً برای فایل‌های سیستمی یا برنامه‌های قانونی استفاده نمی‌شوند، مانند C:\Users\Public\Libraries\ یا /var/tmp/.
ارتباطات شبکه‌ای غیرمجاز: ترافیک شبکه‌ای به یا از آدرس‌های IP ناشناخته یا مشکوک، به‌ویژه در پورت‌های غیرمعمول.
تغییرات در پیکربندی سرور: تغییرات غیرمجاز در فایل‌های پیکربندی وب سرور، مانند web.config یا .htaccess.
حساب‌های کاربری جدید یا ناشناخته: ایجاد حساب‌های کاربری با امتیازات بالا بدون اطلاع یا مجوز مدیر سیستم.
یک وب شل است که توسط زیرگروهی از گروه تهدید سایبری Seashell Blizzard معروف به Sandworm استفاده می‌شود. این وب‌شل به‌عنوان ابزار اصلی برای فرماندهی و کنترل (C2) و استقرار ابزارهای اضافی در زیرساخت‌های به خطر افتاده به کار می‌رود. LocalOlive معمولاً پس از بهره‌برداری از آسیب‌پذیری‌های موجود در سیستم‌های متصل به اینترنت، به‌ویژه در زیرساخت‌های محیط‌های کوچک اداری/خانگی (SOHO) و شبکه‌های سازمانی، مستقر می‌شود. این وب‌شل به مهاجمان امکان می‌دهد تا به‌طور مداوم به سیستم‌های هدف دسترسی داشته باشند و فعالیت‌های مخرب خود را ادامه دهند.
شاخص‌های نفوذ (IOCs) مرتبط با LocalOlive:
نام فایل‌های مشکوک: فایل‌هایی با نام‌های غیرمعمول یا ناشناخته در دایرکتوری‌های وب سرور، مانند localolive.aspx یا localolive.php.
مسیرهای نصب غیرمعمول: وجود فایل‌های اجرایی در مسیرهایی که معمولاً برای فایل‌های سیستمی یا برنامه‌های قانونی استفاده نمی‌شوند، مانند C:\Users\Public\Libraries\ یا /var/tmp/.
ارتباطات شبکه‌ای غیرمجاز: ترافیک شبکه‌ای به یا از آدرس‌های IP ناشناخته یا مشکوک، به‌ویژه در پورت‌های غیرمعمول.
تغییرات در پیکربندی سرور: تغییرات غیرمجاز در فایل‌های پیکربندی وب سرور، مانند web.config یا .htaccess.
حساب‌های کاربری جدید یا ناشناخته: ایجاد حساب‌های کاربری با امتیازات بالا بدون اطلاع یا مجوز مدیر سیستم.
Fake Etsy Invoice Scam – Phishing for Credit Card Details
Threat Actors using phishing emails disguised as fake invoices from Etsy support. The emails contain PDF attachments. Victims are redirected to a spoofed Etsy support page, where they are tricked into entering credit card details under the pretense of identity verification. The scam relies on urgent language, fake Etsy URLs
Recommendation: Verify sender addresses, avoid clicking links in emails, manually navigate to Etsy.com, and report suspicious emails to Etsy support.Indicators of Compromise (IOCs) for Fake Etsy Invoice Scam – Phishing for Credit Card Details
1. Email Indicators (Phishing Emails)
Sender Addresses:
support@etsy-invoice[.]com
billing@etsy-support[.]net
help@etsy-payments[.]org
service@etsy-security[.]info
Spoofed addresses resembling official Etsy domains
Email Subjects:
"Your Etsy Invoice is Overdue – Immediate Action Required"
"Verify Your Payment Information to Continue Selling on Etsy"
"Etsy Support: Billing Issue Detected"
Email Content Characteristics:
Urgent Language (e.g., "Failure to update your payment info will result in account suspension.")
Fake Etsy Logos & Branding
Poor Grammar & Spelling Mistakes
2. Malicious Attachments
File Types:
.pdf (Fake Invoice PDFs)
.html (Redirect pages)
.zip (Potential malware loaders)
Example Malicious File Names:
Etsy_Invoice_238791.pdf
Etsy-Billing-Verification.html
Etsy_Payment_Confirmation.pdf
3. Phishing URLs (Spoofed Etsy Pages)
Fake Domains & Lookalikes:
etsy-support[.]com/login
etsy-invoice[.]net/payment
secure-etsy[.]org/billing-update
etsy-verification[.]info
Redirection Techniques:
URL shorteners (e.g., bit[.]ly, tinyurl[.]com)
Base64-encoded redirect URLs
HTML meta refresh or JavaScript-based redirections
4. IP Addresses (Hosting Malicious Sites)
Example IPs (May Change Over Time):
192.99.146[.]32
185.156.73[.]91
82.102.26[.]18
Threat Actors using phishing emails disguised as fake invoices from Etsy support. The emails contain PDF attachments. Victims are redirected to a spoofed Etsy support page, where they are tricked into entering credit card details under the pretense of identity verification. The scam relies on urgent language, fake Etsy URLs
Recommendation: Verify sender addresses, avoid clicking links in emails, manually navigate to Etsy.com, and report suspicious emails to Etsy support.Indicators of Compromise (IOCs) for Fake Etsy Invoice Scam – Phishing for Credit Card Details
1. Email Indicators (Phishing Emails)
Sender Addresses:
support@etsy-invoice[.]com
billing@etsy-support[.]net
help@etsy-payments[.]org
service@etsy-security[.]info
Spoofed addresses resembling official Etsy domains
Email Subjects:
"Your Etsy Invoice is Overdue – Immediate Action Required"
"Verify Your Payment Information to Continue Selling on Etsy"
"Etsy Support: Billing Issue Detected"
Email Content Characteristics:
Urgent Language (e.g., "Failure to update your payment info will result in account suspension.")
Fake Etsy Logos & Branding
Poor Grammar & Spelling Mistakes
2. Malicious Attachments
File Types:
.pdf (Fake Invoice PDFs)
.html (Redirect pages)
.zip (Potential malware loaders)
Example Malicious File Names:
Etsy_Invoice_238791.pdf
Etsy-Billing-Verification.html
Etsy_Payment_Confirmation.pdf
3. Phishing URLs (Spoofed Etsy Pages)
Fake Domains & Lookalikes:
etsy-support[.]com/login
etsy-invoice[.]net/payment
secure-etsy[.]org/billing-update
etsy-verification[.]info
Redirection Techniques:
URL shorteners (e.g., bit[.]ly, tinyurl[.]com)
Base64-encoded redirect URLs
HTML meta refresh or JavaScript-based redirections
4. IP Addresses (Hosting Malicious Sites)
Example IPs (May Change Over Time):
192.99.146[.]32
185.156.73[.]91
82.102.26[.]18
👍1
Since late 2021, Seashell Blizzard has used this initial access subgroup to conduct targeted operations by exploiting vulnerable Internet-facing infrastructure following discovery through direct scanning and, more uniquely, use of third-party internet scanning services and knowledge repositories. These exploitation efforts are followed by an operational lifecycle using a consistent set of TTPs to support persistence and lateral movement, which have incrementally evolved to become more evasive over time. Microsoft Threat Intelligence has identified at least three distinct exploitation patterns and operational behaviors linked to this subgroup
Deployment of remote management and monitoring (RMM) suites for persistence and command and control (February 24, 2024 – present)
In early 2024, the initial access subgroup began using RMM suites, which was a novel technique used by Seashell Blizzard to achieve persistence and command and control (C2). This was first observed when the subgroup exploited vulnerabilities in ConnectWise ScreenConnect (CVE-2024-1709) and Fortinet FortiClient EMS (CVE-2023-48788). The subgroup then deployed RMM software such as Atera Agent and Splashtop Remote Services. The use of RMM software allowed the threat actor to retain critical C2 functions while masquerading as a legitimate utility, which made it less likely to be detected than a remote access trojan (RAT). While these TTPs have been used by other nation-state threat actors since at least 2022, including by Iranian state actor Mango Sandstorm, the Seashell Blizzard initial access subgroup’s specific techniques are considered distinct.
In early 2024, the initial access subgroup began using RMM suites, which was a novel technique used by Seashell Blizzard to achieve persistence and command and control (C2). This was first observed when the subgroup exploited vulnerabilities in ConnectWise ScreenConnect (CVE-2024-1709) and Fortinet FortiClient EMS (CVE-2023-48788). The subgroup then deployed RMM software such as Atera Agent and Splashtop Remote Services. The use of RMM software allowed the threat actor to retain critical C2 functions while masquerading as a legitimate utility, which made it less likely to be detected than a remote access trojan (RAT). While these TTPs have been used by other nation-state threat actors since at least 2022, including by Iranian state actor Mango Sandstorm, the Seashell Blizzard initial access subgroup’s specific techniques are considered distinct.
Microsoft Threat Intelligence has identified a web shell that we assess as exclusive to the initial access subgroup and is associated with the previously mentioned web shell retrieval patterns. Detected as LocalOlive, this web shell is identified on compromised perimeter infrastructure and serves as the subgroup’s primary means of achieving C2 and deploying additional utilities to compromised infrastructure