Sekoia.io рапортует об интересной цепочке APT28

APT28 в 2025 использует гибрид open-source + легитимные облачные сервисы для скрытого C2: старт — weaponized Office (Signal ⟶ макросы) → COM-hijack DLL (prnfldr.dll) → извлечение shellcode из PNG (стеганография) → запуск .NET Grunt HTTP Stager (Covenant) → Koofr как C2 (C2Bridge) → последующие модули (PlaySndSrv.dll + sample-03.wav) декриптят и ставят BeardShell (icedrive C2). Параллельно обнаружен SlimAgent (keylogger/screenshots). Технично, стабильно, хитро — используют regsvr32 / COM hijack, PNG LSB-стеганографию, в-памяти загрузку .NET, ChaCha20-Poly1305 для BeardShell.


Стега в 2025 👀👀👀

Интересные техники, к прочтению:
🔗https://blog.sekoia.io/apt28-operation-phantom-net-voxel/

🦔 THF

🔍 Forensic journey: hunting evil within AmCache

AmCache.hve — один из ключевых forensic-артефактов Windows, фиксирующий метаданные о бинарях: путь, размер, версию, SHA-1 (до 31 MB), PE-LinkDate, Publisher и др. Его ценность в том, что даже удалённые или модифицированные файлы оставляют следы, а сами записи сложно подделать или стереть.

Основные forensic-ключи AmCache
• InventoryApplicationFile — все исполняемые файлы: путь, имя, версия, SHA-1, PE-LinkDate. Позволяет находить удалённые утилиты (пример: winscp.exe в Downloads).
• InventoryApplication — сведения об установленных приложениях: InstallDate, MSI-метаданные, UninstallString. Хорошо палит удалённый AnyDesk.
• InventoryDriverBinary — загруженные драйверы: хэш, путь, подпись, LastModified. Используется для ловли уязвимых/вредоносных драйверов (см. LOLDrivers, AV Killer).
• InventoryApplicationShortcut — .lnk-файлы (путь и цель), полезно для подтверждения использования стёртых приложений.

⚠️ Ограничения:
SHA-1 хранится только по первым ~31 MB бинаря → большие малвари не хэшируются полностью.
Не всё = факт запуска: часть записей фиксирует только присутствие файла.

🛠 AmCache-EvilHunter
Kaspersky🍿 выпустили CLI-утилиту для парсинга Amcache.hve:
фильтрация по дате (--start/--end),
поиск по ключевым словам (--search),
экспорт в CSV/JSON,
автоматический поиск “suspicious” бинарей (scvhost.exe, 1.exe, случайные hex-имена),
фильтры по Publisher (--missing-publisher) и системным компонентам (--exclude-os),
интеграция с VirusTotal и Kaspersky OpenTIP (--vt, --opentip).

🎯 Практические use-cases
Поиск удалённых бинарей (инсайдер использовал winscp.exe).
Фиксация временной установки AnyDesk для RMM.
Корреляция драйверов для выявления BYOVD и persistence.
Проверка ярлыков для подтверждения запуска софта.

📌 Вывод:
AmCache ≠ “история запусков”, но это must-have артефакт DFIR, особенно в связке с Prefetch, ShimCache и event-логами. Правильный парсинг + TI-lookup → IOC-генерация, восстановление таймлайна, обнаружение удалённых утилит и драйверов.

🔗 https://securelist.com/amcache-forensic-artifact/117622/
🦔 THF

🦖Velociraptor теперь в руках ransomware

Сisco Talos подтвердили: операторы ransomware используют Velociraptor как «тихий RMM/оркестратор» внутри сети жертвы 🐈‍⬛. В инциденте августа 2025 акторы связаны с Storm-2603 (mod. confidence) и параллельно катили Warlock, LockBit и Babuk: Windows шифровали с расширением .xlockxlock, ESXi — частично с .babyk. Развёртывание шло через тихий MSI (Blob Storage), дальнейшее — Impacket/Smbexec, правки GPO для глушения Defender, доступ к vSphere и fileless PowerShell для массового шифрования и эксфильтрации (тихий режим $ProgressPreference='SilentlyContinue', задержки Start-Sleep). Среди IOC — C2 на workers.dev. Начальный вектор с высокой вероятностью — эксплуатация цепочки SharePoint ToolShell. Это не баг Velociraptor — это злоупотребление его легит-функциями.

😁Отдельно про уязвимость: CVE-2025-6264
В Talos-кейсах злоумышленники ставили старый Velociraptor 0.73.4.0, уязвимый к CVE-2025-6264 (эскалация через артефакт Admin.Client.UpdateClientConfig при наличии прав COLLECT_CLIENT → произвольные команды/захват агента). Исправления опубликованы в ветке ≥ 0.74.3 — обновляйтесь.


🐈‍⬛Что делать, как защищаться

1️⃣ Инвентаризация и контроль установок
- Проверьте, что все серверы/агенты Velociraptor — ваши; «левых» инсталляций быть не должно.
- Запретите исполнение неподписанных бинарей Velociraptor; официальные билды Rapid7 — подписаны.
- Алерты на новые службы/таски с velociraptor.exe и исходящие к портам :8000 / :8001 / :8889; при сомнениях — ротируйте API/Auth-ключи.

2️⃣ Базовые детекты «чужого» Velociraptor
- При первом старте создаётся источник EventLog Velociraptor:
HKLM\SYSTEM\CurrentControlSet\Services\EventLog\Application\Velociraptor — mtime ≈ первый запуск.
- Каждый запуск пишет в Application Event ID 1000 с ARGV (--config, client.config.yaml, service run). Это ловит внезапные установки/рестарты и нестандартные аргументы.
- Если бинарь пересобрали и вырезали IOCs — он, как правило, без подписи Rapid7 → ловите политиками/EDR.
- Используйте готовые YARA (уникальные строки Velociraptor) и экспериментальное Sigma для детекта нестандартных путей/аргументов/unsigned.

3️⃣ Патч-менеджмент и «Golden» клиент
- Обновите сервер/агентов до ≥ 0.74.3 (CVE-2025-6264), перевыпустите «Golden» клиент и перепроверьте client.config.yaml (сервер, сертификаты, политики).

4️⃣ Закройте TTP из кейса Talos
- Блокируйте подозрительные MSI-загрузки (Blob/msiexec /q /i https://...), мониторьте Impacket/Smbexec-паттерны.
- Контролируйте GPO-правки, отключающие RTP/Behavior Monitoring/“monitor file & program activity” — это немедленный инцидент.
- Следите за доступом к vSphere и созданием/синком админ-аккаунтов в Entra ID.
- Охотьтесь на fileless PowerShell-шифратор и скрипт эксфильтрации (тихий режим + паузы).

5️⃣Охотьтесь Velociraptor-ом за Velociraptor-ом
- Если у вас уже развёрнут Velociraptor — используйте артефакт Velociraptor Inception (Rapid7 Labs) для поиска несанкционированных инстансов.

6️⃣ Политики, роли и артефакты
- Ограничьте доступ к «опасным» артефактам через required_permissions, не раздавайте широкие роли (ARTIFACT_WRITER) «кому попало», верифицируйте артефакты перед публикацией (artifacts verify)

🔗https://www.rapid7.com/blog/post/pt-identifying-and-mitigating-potential-velociraptor-abuse/
🔗https://docs.velociraptor.app/knowledge_base/tips/velocirator_misuse/
🔗https://blog.talosintelligence.com/velociraptor-leveraged-in-ransomware-attacks/

🦔THF

Rapid7 отдельно подчёркивает: это злоупотребление легит-инструментом, а не баг в продукте. Но без базовой гигиены вы рискуете потерять контроль над агентами и превратиться в C2-точку для APT/криминала. Включите детекты из их гайда (в т.ч. Sigma/YARA) и проведите экспресс-аудит прямо сегодня.