#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в кампании по борьбе с киберугрозами, обнаруженной аналитиками GDATA 9 мая 2024 года, которая заключалась в использовании вредоносного файла быстрого доступа для внедрения в системы бэкдора без файлов. В кампании, которую приписывают исполнителю угроз Turla или Uroburos, используются различные передовые методы, такие как исправление памяти, обход AMSI и отключение функций ведения журнала событий, чтобы избежать обнаружения и взлома системной защиты. Вредоносная программа использует новые методы, такие как использование файлов LNK и MSBuild для запуска бэкдоров, что представляет значительный риск для систем. Для защиты систем от таких вредоносных угроз предлагаются стратегии смягчения последствий и превентивные меры.
-----

9 мая 2024 года аналитики GDATA обнаружили потенциальную кампанию по борьбе с киберугрозами, в которой использовался вредоносный файл быстрого доступа для внедрения в системы бэкдора без файлов, используя преимущества платформы Microsoft для создания приложений. Вредоносная операция включает внесение исправлений в память, обход AMSI и отключение функций ведения журнала событий, чтобы повысить свою способность избегать обнаружения и ослабить защиту системы. Известный как Turla или Uroburos, злоумышленник, стоящий за этой кампанией, в прошлом был связан с подобными вредоносными программами.

Вредоносное ПО, выявленное в ходе этой кампании, имеет некоторые общие черты с предыдущими вредоносными программами семейства Turla APT, включая использование скомпрометированных веб-сайтов в качестве серверов управления, методы обхода AMSI и использование сценариев PowerShell для загрузки вредоносного кода в память, что помогает в тактике обхода.

Новые методы, обнаруженные в этом варианте вредоносного ПО, включают использование файлов LNK, использование MSBuild для запуска бэкдоров без файлов и отключение функций, связанных с событиями, путем исправления системных компонентов в памяти. Эти новые методы повышают способность вредоносного ПО сохраняться и выполнять вредоносные операции, которые нелегко обнаружить.

Чтобы снизить риск заражения систем такими вредоносными программами, рекомендуется принять несколько превентивных мер. К ним относятся настройка политик выполнения PowerShell, позволяющих использовать только подписанные скрипты, отключение или ограничение службы WinRM для предотвращения удаленного выполнения PowerShell, оценка необходимости MSBuild и ее удаление, если в этом нет необходимости, а также использование управления приложениями для блокировки выполнения MSBuild, если это не требуется.

Вредоносный файл-ярлык размещен на взломанном веб-сайте, принадлежащем известному новостному изданию на Филиппинах. В фишинговых электронных письмах может содержаться ссылка на вредоносный пакет, что побуждает ничего не подозревающих пользователей запускать файл и запускать бэкдор без файлов. Вредоносная программа маскируется под PDF-файл-ярлык, связанный с публичным рекомендательным письмом от Статистического управления Филиппин, используя различные тактики для сохранения постоянства и уклонения от обнаружения.

Бэкдор, установленный вредоносной программой, включает в себя функции для отключения отслеживания событий в Windows, выполнения исправления памяти в системных компонентах, обхода AMSI и установления соединений с сервером управления с помощью предопределенных URL-адресов. Вредоносная программа взаимодействует с сервером, получая команды, выполняя сценарии PowerShell и сообщая о состоянии системы, используя методы обфускации и защиты от отладки, чтобы избежать обнаружения.

#ParsedReport #CompletenessMedium
06-07-2024

Turning Jenkins Into a Cryptomining Machine From an Attacker's Perspective. Technical details

https://www.trendmicro.com/en_us/research/24/g/turning-jenkins-into-a-cryptomining-machine-from-an-attackers-pe.html

Report completeness: Medium

Threats:
Malxmr_miner

Industry:
Software_development

TTPs:
Tactics: 6
Technics: 10

IOCs:
Url: 3
Hash: 3

Soft:
Jenkins, OpenSSL, crontab, systemd

Algorithms:
aes-256, base64, sha256

Functions:
svalid

Win API:
decompress

Languages:
groovy

#ParsedReport #ExtractedSchema

Classified images:
windows: 22, schema: 1, code: 8

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: В тексте освещаются потенциальные угрозы, связанные с неправильно настроенной консолью сценариев Jenkins, с акцентом на то, как злоумышленники могут использовать такие неправильные настройки для майнинга криптовалют. В нем подчеркивается важность правильной настройки, строгой аутентификации и регулярных проверок безопасности для снижения риска взлома серверов Jenkins злоумышленниками. Кроме того, в нем рассматриваются различные тактические приемы, которые злоумышленники могут использовать для выполнения вредоносных сценариев и осуществления киберпреступной деятельности с использованием уязвимостей Jenkins.
-----

В записи блога подчеркивается потенциальная угроза, исходящая от неправильно настроенной консоли скриптов Jenkins, которая может быть использована злоумышленниками для криптомайнинга. Консоль скриптов Jenkins позволяет администраторам и авторизованным пользователям запускать скрипты Groovy с повышенными правами доступа непосредственно на сервере Jenkins. Хотя по умолчанию консоль доступна только прошедшим проверку подлинности пользователям с правами администратора, любые неправильные настройки могут привести к появлению уязвимостей.

Был приведен пример, когда злоумышленник воспользовался неправильной конфигурацией плагина Jenkins Groovy для запуска вредоносного скрипта в кодировке Base64 для майнинга криптовалюты. Этот вредоносный скрипт обладал возможностями для завершения процессов, использующих чрезмерные ресурсы процессора, загрузки и обслуживания майнера криптовалют и обеспечения одновременной работы только одного экземпляра майнера. Скрипт также сохранил записи задания cron в переменной, включая необходимые параметры, такие как адреса пула и кошелька, и добавил их в crontab для постоянного выполнения.

В тексте также подчеркивается, что Jenkins, известная своими мощными возможностями разработки программного обеспечения, может стать палкой о двух концах, если ее не исправить или неправильно настроить. В записи в блоге подчеркивается важность правильной настройки, строгой проверки подлинности и авторизации, регулярных проверок безопасности и ограничения доступа в Интернет к серверам Jenkins для снижения риска их использования злоумышленниками для осуществления вредоносных действий.

Кроме того, злоумышленники могут использовать консоль Jenkins Script Console для выполнения вредоносных скриптов Groovy, что позволяет им осуществлять киберпреступные действия, такие как развертывание майнеров криптовалюты. Неправильно настроенные механизмы аутентификации могут предоставлять доступ к конечным точкам, что потенциально может привести к удаленному выполнению кода и неправильному использованию злоумышленниками. Злоумышленники могут использовать уязвимости Jenkins для загрузки и выполнения двоичных файлов майнеров, поддерживать постоянство с помощью заданий cron и утилит systemd, а также использовать бэкдоры для несанкционированного доступа и утечки данных.

В случае сбоя первоначальных методов выполнения у злоумышленника есть дополнительные средства запуска майнера, такие как запись в файл для присвоения идентификатора установки, установка ловушек для игнорирования сигналов, которые могут преждевременно завершить работу скрипта, выполнение вложенных команд для применения мер по очистке и, в конечном счете, запуск майнера с помощью команды exec.

#ParsedReport #CompletenessLow
06-07-2024

Not just a black industry? Analysis of the attack activities of the "Silver Fox" group suspected of planning APT attacks

https://paper.seebug.org/3192

Report completeness: Low

Actors/Campaigns:
Silver_fox

Threats:
Winos

Victims:
Tax personnel, Finance personnel, National units, Security vendors, Key positions in finance, Key positions in accounting, Key positions in sales

Industry:
Financial

Geo:
China

ChatGPT TTPs:
do not use without manual check
T1027.002, T1059.001, T1112

IOCs:
Registry: 1
File: 2
Path: 1
Hash: 4
Domain: 3

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что команда Knowsec 404 Advanced Threat Intelligence обнаружила фишинговый веб-сайт, связанный с бандой Silver Fox, которая традиционно была известна тем, что нападала на сотрудников налоговой службы, но теперь сосредоточилась на национальных подразделениях и поставщиках систем безопасности. Это изменение их целей вызывает вопросы об их истинных мотивах и о том, могут ли они быть связаны с организацией APT. Группа Silver Fox использует сложные инструменты, такие как специальная команда для обфускации данных с открытым кодом Charonlycommand, и продемонстрировала эволюционирующий и целенаправленный подход к своей вредоносной деятельности. Бдительность в отношении фишинговых веб-сайтов подчеркивается как важнейшее условие безопасности, при этом особое внимание уделяется проверке легитимности веб-сайтов и привлечению сотрудников службы безопасности в случае неуверенности.
-----

Команда Knowsec 404 Advanced Threat Intelligence недавно обнаружила фишинговый веб-сайт, который выдавал себя за системы сотрудников важных национальных подразделений и поставщиков средств сетевой безопасности. При дальнейшем расследовании они подтвердили, что образцы, связанные с этим веб-сайтом, предположительно были образцами дистанционного управления Winos, которые обычно использовались бандой Silver Fox. В отличие от предыдущих разоблачений, в этих образцах использовались оболочки VMP для защиты кода и изменен стиль их олицетворения. Банда Silver Fox, известная в прошлом нападениями на сотрудников налоговой службы, в ходе этой атаки сосредоточила свое внимание на национальных подразделениях и поставщиках систем безопасности, что вызвало вопросы об истинных мотивах их деятельности - являются ли они просто командой из черной индустрии или атакующей организацией APT, скрывающейся в черной индустрии.

Дальнейший анализ показал, что группа использовала инструмент обфускации PowerShell под названием Out-EncodedSpecialCharOnlyCommand и ранее нераскрытый троян-загрузчик. Группа компаний Silver Fox, действующая с 2022 года, в основном использует электронную почту, фишинговые веб-сайты и программное обеспечение для обмена мгновенными сообщениями для распространения троянских вирусов, уделяя особое внимание ключевым позициям в сфере финансов, бухгалтерского учета и продаж в организациях с целью незаконного получения прибыли. Поставщики систем безопасности классифицируют их как организации, занимающиеся нелегальной деятельностью.

Обнаружение этой атаки Silver Fox было вызвано отслеживанием фишингового веб-сайта, выдававшего себя за национальное подразделение, и системы сотрудников поставщика услуг кибербезопасности. Вредоносные файлы, связанные с этим веб-сайтом, включали троян Winos, загрузчик UpdateDll и специальный инструмент Charonlycommand с открытым кодом. Образцы Winos, обнаруженные в ходе этого инцидента, использовали VMP для защиты кода и сохраняли свой шелл-код в определенном разделе реестра.

Специальный инструмент Charonlycommand с открытым кодом используется для преобразования кода скрипта PowerShell в символьный код для улучшения маскировки вредоносных программ. Атакующая группа, стоящая за этими действиями, продемонстрировала приверженность анализу и контрмерам, что говорит об активном расширении их тактики. Хотя в Китае Winos обычно связывают с группой "Серебряная лиса", смещение целей атак в сторону национальных подразделений и поставщиков систем безопасности указывает на потенциальную причастность организации APT к злонамеренным намерениям.

Команда Knowsec 404 Advanced Threat Intelligence подчеркивает важность бдительности в отношении фишинговых веб-сайтов и советует пользователям проверять легитимность веб-сайтов перед проведением конфиденциальных операций. Они предостерегают от перехода по ссылкам или электронным письмам из неизвестных источников и рекомендуют привлекать сотрудников службы безопасности в случае возникновения сомнений для обеспечения безопасности.

#ParsedReport #CompletenessLow
07-07-2024

Malicious code created by Konni, a North Korean hacking group impersonating the National Tax Service - Information on VAT corrections (Value-Added Tax Processing Regulations).hwp (2024.6.27).lnk

https://wezard4u.tistory.com/429221

Report completeness: Low

Actors/Campaigns:
Scarcruft
Kimsuky

Threats:
Konni_rat
Trojan/lnk.powershell.s2453
Powecod
Malware.lnk/dldr.agent

Victims:
Government agencies, Organizations

Industry:
Government

Geo:
Russia, Korea, Middle east, North korean, North korea, Asia

ChatGPT TTPs:
do not use without manual check
T1566.001, T1204.002, T1036.005, T1112, T1059.003, T1070.004

IOCs:
File: 7
Hash: 3
Registry: 1
Path: 3
Url: 1

Algorithms:
sha256, sha1, md5, zip

Functions:
Powershell, Downloads, Documents, Desktop

Languages:
powershell, php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что северокорейская хакерская группа Konni, связанная с Thallium и APT 37, разработала сложную вредоносную программу под названием Value-Value Tax Amendment Report Guide, предназначенную для правительственных учреждений и организаций в Южной Корее и Соединенных Штатах. Вредоносная программа, замаскированная под руководство по исправлению налоговых деклараций, распространяется с помощью фишинговых электронных писем и использует методы обфускации, чтобы избежать обнаружения. Она включает в себя скрипт VBS с различными функциональными возможностями, такими как сохранение работоспособности в зараженных системах и выполнение различных действий в зависимости от наличия или отсутствия файла.
-----

Вредоносный код под названием Value-Added Tax Amendment Report Guide (Правила уплаты налога на добавленную стоимость) был создан северокорейской хакерской группой Konni, которая связана с Thallium и APT 37. Известно, что эта группа атаковала правительственные учреждения и организации в Южной Корее и Соединенных Штатах. Трояны удаленного доступа Konni (RATs) обычно распространяются с помощью фишинговых сообщений или электронной почты для сбора конфиденциальной информации, создания скриншотов и установки удаленных интерактивных оболочек в целевых системах.

Вредоносная программа, замаскированная под руководство по корректировке деклараций по налогу на добавленную стоимость, поставляется в виде файла большого размера (62,8 МБ), чтобы избежать обнаружения антивирусным программным обеспечением. Она также может использовать методы обфускации, предполагающие наличие фиктивного файла, чтобы запутать меры безопасности. Вредоносный контент распространяется по ссылкам электронной почты, замаскированным под файлы HWP. С зараженным файлом связаны следующие конкретные значения хэша: MD5: 6eee6fa92a270b1f32390eec50512eea, SHA-1: e8b471c3d383fd44e53029676df3370f0504555f и SHA-256: 183fb85fc915017104cd473f8f3ad515a54603e38fd4463214adcbf84b421183.

Созданный вредоносным ПО скрипт VBS обладает различными функциональными возможностями. Он представляет собой пакетный скрипт для Windows, который проверяет наличие определенных файлов и выполняет различные действия в зависимости от наличия или отсутствия этих файлов. Сначала скрипт изменяет текущий рабочий каталог на тот, в котором он хранится. Затем он выполняет условные инструкции, такие как проверка существования определенных пакетных файлов и добавление разделов реестра для сохранения работоспособности зараженной системы.

Если определенный файл (61203333.bat) существует, скрипт добавляет раздел реестра, который гарантирует, что определенный файл VBS запускается каждый раз, когда зараженный пользователь перезагружает свое устройство. Это облегчает текущее заражение и позволяет создателю вредоносной программы сохранять контроль. Скрипт также вызывает другие пакетные файлы, такие как 38808439.bat, и выполняет такие действия, как удаление файлов и разрыв скриптов.

В сценариях, где определенные файлы не существуют, скрипт продолжает выполнять различные действия, включая вызов других пакетных файлов и ожидание определенного периода времени перед выполнением дополнительных операций. Скрипт использует метки и циклы для управления процессом выполнения, повторяя определенные действия в зависимости от наличия или отсутствия файла. В конечном счете, если определенный файл существует, сценарий завершает работу удалением файла и выполнением сценария explosion.

За JWT и дырки в нем.

#ParsedReport #CompletenessHigh
08-07-2024

CloudSorcerer - A new APT targeting Russian government entities

https://securelist.com/cloudsorcerer-new-apt-cloud-actor/113056

Report completeness: High

Actors/Campaigns:
Cloudsorcerer (motivation: cyber_espionage)
Groundbait

Threats:
Cloudwizard_tool
Commonmagic_tool

Victims:
Russian government entities

Industry:
Financial, Government

Geo:
Ukrainian, Russian, Russian federation

TTPs:
Tactics: 7
Technics: 17

IOCs:
File: 3
Url: 3
Hash: 1

Soft:
Microsoft COM, Windows service, Windows registry

Algorithms:
sha1, md5, sha256

Win API:
GetModuleFileNameA, ShellExecuteExW, NetUserSetInfo, InternetCrackUrlA, InternetSetOptionA, InternetOpenA, InternetConnectA, HttpOpenRequestA, HttpSendRequestA, InternetReadFile, have more...

Platforms:
x64, intel

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в описании недавно обнаруженной расширенной постоянной угрозы (APT) под названием CloudSorcerer, нацеленной на российские государственные структуры. APT использует облачную инфраструктуру различных поставщиков, использует сложные методы мониторинга, сбора и фильтрации данных, а также взаимодействует с облачными сервисами для выполнения функций командования и контроля. Выделяются модульная структура вредоносного ПО, специфические функциональные возможности, основанные на процессах, использование различных методов, таких как внедрение шеллкода и хеширование API, передача данных по именованным каналам и установление соединения с серверами C2, размещенными на страницах GitHub. Кроме того, в тексте упоминается сходство с CloudWizard APT, при этом подчеркиваются различные коды и функции, указывающие на нового исполнителя угрозы. Также обсуждается использование актером тактики обфускации, такой как создание вымышленной личности, и целенаправленный подход к шпионской деятельности.
-----

Недавно обнаруженная продвинутая постоянная угроза (APT) под названием CloudSorcerer нацелена на российские государственные учреждения.

CloudSorcerer использует облачную инфраструктуру Microsoft Graph, Yandex Cloud и Dropbox для скрытого мониторинга, сбора и эксфильтрации данных.

Вредоносная программа работает, используя облачные ресурсы в качестве серверов управления (C2), доступ к которым осуществляется через API с помощью токенов аутентификации.

Изначально CloudSorcerer, использующий GitHub в качестве сервера C2, имеет сходство с CloudWizard APT, хотя код вредоносного ПО отличается, что указывает на появление новой угрозы.

CloudSorcerer работает с отдельными модулями для обмена данными и сбора данных в рамках одного исполняемого файла.

Вредоносная программа использует такие методы, как внедрение шеллкода, использование PEB, хеширование Windows API, сбор системной информации и обмен данными по именованным каналам с модулем C2.

Соединения с серверами C2 устанавливаются на страницах GitHub, и актер создает вымышленную личность под именем "Алина Егорова" для обфускации.

Заметная активность на начальной странице сервера C2 показывает, что репозитории были разветвлены, но не затронуты с 13 мая 2024 года.

Использование CloudSorcerer передовых облачных сервисов, динамическая адаптация поведения и сложные механизмы коммуникации демонстрируют его индивидуальный подход к шпионажу, направленному против российских правительственных организаций.

#ParsedReport #CompletenessLow
08-07-2024

Decrypted: DoNex Ransomware and its Predecessors

https://decoded.avast.io/threatresearch/decrypted-donex-ransomware-and-its-predecessors

Report completeness: Low

Threats:
Darkrace

Geo:
Belgium, The us, Italy

ChatGPT TTPs:
do not use without manual check
T1486, T1140

IOCs:
Hash: 12

Soft:
Windows Explorer

Algorithms:
chacha20, rsa-4096, xor

Win API:
CryptGenRandom

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: исследователи Avast выявили криптографическую уязвимость в программе-вымогателе DoNex и ее предшественниках, что позволило им предоставлять жертвам инструменты для расшифровки с марта 2024 года. Программа-вымогатель использует целенаправленные атаки в США, Италии и Бельгии, шифруя файлы специальным методом, который включает в себя шифрование RSA-4096. Чтобы идентифицировать атаку DoNex, жертвы могут искать уведомление о требовании выкупа, которое отличается в разных версиях, но присутствует во всех версиях. Жертвам рекомендуется предоставлять примеры зашифрованных файлов для помощи в расшифровке, подчеркивая важность соблюдения бдительности в отношении атак программ-вымогателей, использующих криптографические уязвимости.
-----

Исследователи Avast обнаружили криптографическую уязвимость в программе-вымогателе DoNex и ее предшественниках, которая позволяла им тайно предоставлять жертвам инструменты для расшифровки с марта 2024 года. Уязвимость в криптографической схеме была обнаружена на конференции Recon 2024, что привело к раскрытию уязвимости. Были выявлены различные версии программы-вымогателя, включая первоначальную версию Muse в апреле 2022 года, которая привела к появлению финальной версии DoNex. По состоянию на апрель 2024 года DoNex, по-видимому, прекратил свое развитие, новых образцов обнаружено не было, и с тех пор его сайт TOR был неактивен.

Согласно данным телеметрии, DoNex использует целенаправленные атаки преимущественно в США, Италии и Бельгии. В процессе выполнения программы-вымогателя с помощью CryptGenRandom() генерируется ключ шифрования, который запускает шифрование файлов с использованием симметричного ключа ChaCha20. Затем файлы шифруются, а ключ к файлу дополнительно шифруется с помощью RSA-4096 и добавляется в конец файла. Программа-вымогатель выбирает файлы на основе их расширений, которые указаны в XML-файле конфигурации программы-вымогателя.

Образцы программ-вымогателей содержат конфигурационный файл, зашифрованный методом XOR, который содержит данные о расширениях, файлах, внесенных в белый список, и параметрах, связанных с шифрованием. Распознать атаку программы-вымогателя DoNex можно с помощью уведомления о требовании выкупа, которое варьируется в разных версиях, но присутствует в каждой итерации. Структура уведомлений о требовании выкупа у поддельных программ-вымогателей LockBit, DarkRace и DoNex имеет общие черты.

Кроме того, жертвам настоятельно рекомендуется предоставить примеры как оригинального файла, так и того же файла, зашифрованного любым брендом DoNex, чтобы помочь в расшифровке. Выбор пар файлов большого размера имеет решающее значение, поскольку ограничение на расшифровку, установленное инструментом, соответствует размеру зашифрованного файла в паре. Бдительность необходима для обнаружения атак программ-вымогателей и реагирования на них, особенно тех, которые используют уязвимости в криптографических механизмах.

#ParsedReport #CompletenessHigh
08-07-2024

Lifting Zmiy: hacking SCADA system controllers in pursuit of the main victims

https://rt-solar.ru/solar-4rays/blog/4506

Report completeness: High

Actors/Campaigns:
Lifting_zmiy
Shedding_zmiy
Red_delta
Axiom
Winnti

Threats:
Ssh-snake_tool
Kerbrute_tool
Mitm_technique
Proxychains3_tool
Crackmapexec_tool
Empire_loader
Lolbin_technique
Proxylogon_exploit
Shadowpad
Gs-netcat
Gsocket_tool
Uac_bypass_technique

Victims:
Organizations, Regional telecom operators

Industry:
Ics, Government, Telco

Geo:
Russia, Ukrainian, Russian

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1078, T1572, T1133, T1190, T1071.001, T1105

IOCs:
IP: 74
File: 6
Hash: 28
Url: 3
Domain: 4

Soft:
Active Directory, Windows authentication, sudo, nginx, Telegram, curl, Windows Defender

Algorithms:
xor, base64, md5, sha1, gzip, aes, sha256, aes-256

Languages:
lua, python

Platforms:
cross-platform

YARA: Found

Links:
https://github.com/haad/proxychains
https://github.com/Tekon-Avtomatika/KUN-IP8\_Plugins
https://github.com/hackerschoice/gsocket
https://github.com/NHAS/reverse\_ssh/commit/914d36ee2438672936425d45c155b1f26dff2f07
https://github.com/lgandx/Responder
https://github.com/ropnop/kerbrute
https://github.com/Kabot/mig-logcleaner-resurrected
https://github.com/byt3bl33d3r/CrackMapExec
https://github.com/NHAS/reverse\_ssh
https://github.com/MegaManSec/SSH-Snake

#ParsedReport #ExtractedSchema

Classified images:
windows: 3, code: 10, dump: 1, schema: 1