#ParsedReport #CompletenessMedium
04-02-2025

"LegionLoader" exposed !

https://tehtris.com/en/blog/legionloader-exposed

Report completeness: Medium

Threats:
Legionloader
Process_hollowing_technique

Geo:
Brazil

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1189, T1574.001, T1055.012, T1105, T1027

IOCs:
File: 10
Hash: 45
Url: 24

Soft:
BinDiff

Algorithms:
sha512, md5, xor, zip, 7zip, sha256

Functions:
CreateProcessInternalA, GetModuleFileName

Win API:
decompress, VirtualAlloc, getprocaddress, ReadProcessMemory, VirtualAllocEx, WriteProcessMemory, ZwQueryInformationProcess, NtResumeThread, WinHttpSendRequest, Wow64DisableWow64FsRedirection, have more...

Languages:
python, php

Platforms:
x64, intel

YARA: Found

Links:
https://github.com/google/bindiff

#ParsedReport #ExtractedSchema

Classified images:
windows: 5, chart: 1, schema: 1, dump: 4, code: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
LegionLoader, признанный активным загрузчиком вредоносных программ, использует метод "быстрой загрузки", используя опасные веб-сайты для распространения своей полезной нагрузки. Атака использует защищенный паролем архив 7zip, который запускает вредоносную библиотеку DLL, содержащую шелл-код, который использует удаление процесса для запуска вторичных полезных загрузок. Основные методы включают установление связи с сервером управления для загрузки дополнительного шеллкода, при этом в ходе кампании быстро появляется множество вредоносных сайтов.
-----

LegionLoader, также известный как Satacom, CurlyGate и RobotDropper, функционирует как активный загрузчик вредоносных программ, набирая популярность благодаря обнаружению более 2000 образцов за короткий период. Кампания, связанная с LegionLoader, началась 19 декабря 2024 года и была нацелена на компании по всему миру, особенно сильно пострадала Бразилия, на долю которой приходится около 10% всех обнаруженных образцов.

Основной способ доставки LegionLoader включает в себя метод "быстрой загрузки", использующий опасные веб-сайты, такие как нелегальные платформы для загрузки, которые перенаправляют ничего не подозревающих пользователей на вредоносные страницы. Как правило, эти вредоносные сайты работают всего несколько часов и побуждают пользователей загружать zip-файл с таких сервисов, как mega.io. Zip-файл содержит защищенный паролем архив 7zip, предназначенный для предотвращения анализа вредоносных программ, поскольку требует ввода пароля, который встроен в сопроводительный файл с изображением.

После извлечения MSI-файл инициирует выполнение obsffmpegmux.exe, которое загружает вредоносную библиотеку DLL с именем obs.dll. Анализ этой библиотеки DLL показывает, что она содержит в основном пустые файлы экспорта, и только четыре идентифицируемые функции отображают содержимое, которое, по-видимому, создано для того, чтобы ввести аналитиков в заблуждение. Сравнительный анализ различных obs.образцы библиотек dll выявили идентичные структуры функций, отличающиеся только полезной нагрузкой этапа 2 и атрибутами компиляции.

Вредоносная программа использует буфер, который после расшифровки открывает шеллкод. Этот шеллкод впоследствии запускается explorer.exe и использует методы "опустошения" процесса для запуска второго этапа, вызывая ряд функций Windows API, включая CreateProcessInternalA и VirtualAllocEx. Важно отметить, что stage 2 по своей сути не является частью LegionLoader, а представляет собой полезную нагрузку, которую может доставить механизм dropper.

На втором этапе вредоносная программа устанавливает связь с сервером управления (C2), который был неактивен во время анализа, что ограничивает дальнейшее изучение этого компонента. Домен сервера C2 жестко закодирован в исполняемом файле, а строка пользовательского агента скрыта с помощью операции XOR, что усложняет анализ. Вредоносная программа генерирует случайный параметр из 10 символов для передачи на сервер C2 и пытается установить соединение с помощью WinHttpSendRequest.

После успешного подключения к C2 вредоносная программа отключает перенаправление файловой системы и загружает дополнительный шеллкод, сохраняя его в виде файла .dat. Этот шеллкод расшифровывается с помощью алгоритма XTEA и выполняется в памяти. Далее вредоносная программа извлекает другой файл из C2, используя URLDownloadToFileA, который она переименовывает как "svchost" в произвольно выбранный каталог во временной папке и в конечном итоге запускается через ShellExecuteA. Учитывая стратегию выполнения с использованием rundll32, весьма вероятно, что конечная полезная нагрузка будет в формате DLL.

Было обнаружено значительное количество вредоносных URL-адресов, связанных с этой кампанией, и каждые 12 часов появлялись сообщения о появлении до 30 новых вредоносных сайтов, что свидетельствует о постоянной эволюции и стойкости этой угрозы.

#ParsedReport #CompletenessLow
05-02-2025

Fake SBI Reward APK Targets Victims with Trojan via WhatsApp

https://malwr-analysis.com/2025/01/20/fake-sbi-reward-apk-targets-victims-with-trojan-via-whatsapp/

Report completeness: Low

Victims:
Sbi bank customers

Industry:
Foodtech, Financial, Aerospace, Healthcare, Government, Transport

Geo:
Macau, Chinese, China, American, Hong kong

ChatGPT TTPs:
do not use without manual check
T1566.001, T1547, T1071.001, T1566

IOCs:
Hash: 1
File: 3
Domain: 2

Soft:
WhatsApp, Android

#ParsedReport #ExtractedSchema

Classified images:
dump: 1, schema: 1, code: 2, table: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Киберпреступники используют тактику фишинга с помощью поддельного APK-приложения для Android, выдающего себя за "приложение для вознаграждений SBI BANK", которое распространяется через WhatsApp с обещаниями обменять бонусные баллы. APK-файл запрашивает расширенные разрешения и содержит подозрительные компоненты, которые обычно ассоциируются с вредоносными программами, что указывает на потенциальную возможность сбора конфиденциальных пользовательских данных. Он содержит мошеннические экраны входа в систему, которые напоминают законные страницы SBI, для кражи учетных данных, и связан с несколькими вредоносными доменами, что подчеркивает его троянское поведение, направленное на кражу банковских учетных данных.
-----

Киберпреступники все чаще используют фишинговую тактику для эксплуатации пользователей, о чем свидетельствует недавний случай с APK-приложением для Android, замаскированным под "приложение для вознаграждений SBI BANK". В фишинговом сообщении, распространяемом через WhatsApp, утверждалось, что пользователи могут использовать бонусные баллы до истечения срока их действия, обещая внести депозит в размере 9980 рупий. Грамматические ошибки в сообщении и непрофессиональное оформление сразу же вызвали подозрения в его легитимности.

При анализе APK-файла было обнаружено, что файл запрашивал чрезмерные разрешения, такие как доступ к SMS, контактам, журналам вызовов и хранилищу, которые являются типичными признаками вредоносного программного обеспечения. Статический анализ показал, что файл манифеста содержит различные подозрительные компоненты, включая BackgroundService, SMSReceiver и BootBroadcastReceiver, которые обычно используются вредоносными программами для перехвата сообщений и выполнения процессов при загрузке устройства. Такое поведение указывает на намерение получить конфиденциальные данные пользователя.

В ходе анализа был обнаружен файл с именем publicsuffixes.gz, который содержал несвязанный текст на китайском языке, что указывает на возможную путаницу или иностранное участие в его разработке. Кроме того, были идентифицированы жестко закодированные URL-адреса, которые указывали на серверы управления (C2), со ссылками на финансовые API и такие термины, как "OTP" и "Банковское дело", что еще раз подтвердило злонамеренное намерение приложения извлечь банковские учетные данные.

Динамический анализ, проведенный в контролируемой среде, показал, что APK-файл отображал поддельные экраны входа в систему, имитирующие законные страницы SBI, предназначенные для кражи учетных данных пользователей. В последующих отчетах VirusTotal этот файл был помечен как вредоносный, а высокая частота обнаружения указывала на признаки, похожие на троян. Один идентифицированный домен, https://socket.missyou9.in, был связан с несколькими другими приложениями APK, имитирующими различные банковские приложения, в то время как другой домен, зарегистрированный всего за два месяца до этого, функционировал как конечная точка для фильтрации, но еще не был отмечен на общедоступных платформах анализа угроз.

#ParsedReport #CompletenessHigh
05-02-2025

Unmasking: Technological Advancement and Evolution of MuddyWater in 2024

https://www.gov.il/BlobFolder/reports/maddy_water_2024/en/ALERT_CERT_IL_W_1858.pdf

Report completeness: High

Actors/Campaigns:
Muddywater

Threats:
Muddyrot
Anchorrat
Cannonrat
Neshta
Sad_c2_tool
Havoc
Com_hijacking_technique
Lolbin_technique
Spear-phishing_technique
Dll_sideloading_technique
Dllsearchorder_hijacking_technique
Blackout_rat
Blackpos
Venom_proxy_tool
Simplehelp_tool
Upx_tool
Go-socks5_tool
Pheonix
Treasurebox
Mythic_c2
Chisel_tool

Industry:
Telco, Healthcare, Aerospace, Critical_infrastructure

Geo:
Nigeria, Middle east, Afghanistan, Azerbaijan, Iranian, Arab emirates, United arab emirates, Turkey, Israel, Iraq, Iran, Pakistan, United kingdom, Israeli, Egypt

TTPs:
Tactics: 2
Technics: 20

IOCs:
File: 21
Hash: 23
Domain: 4
IP: 2
Registry: 4
Url: 8
Path: 4

Soft:
Component Object Model, Windows Service, outlook

Algorithms:
cbc, aes-128, aes

Win API:
LoadLibrary, GetProcAddress, OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread

Languages:
python, golang, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Иранские хакеры MuddyWater, связанные с MOIS, специализируются на кибероперациях против Израиля, применяя сложные методы, такие как социальная инженерия и фишинг-атаки, которые используют вредоносные ссылки на законные сервисы для доступа к скомпрометированным системам. В их арсенале вредоносных программ есть специальные инструменты, такие как BugSleep и BlackPearl, для удаленного управления и утечки данных, а такие методы, как перехват COM и загрузка DLL на стороне, повышают устойчивость и скрытность. Группа демонстрирует адаптивность за счет использования передовых методов шифрования и модификаций общедоступных инструментов, что свидетельствует о постоянном совершенствовании ее оперативных стратегий, направленных на обеспечение безопасности критически важной инфраструктуры в условиях геополитической напряженности.
-----

MuddyWater - иранские хакеры, связанные с Министерством разведки и безопасности (MOIS) с 2017 года. Группа атакует критически важные объекты инфраструктуры, такие как телекоммуникации и здравоохранение, в первую очередь в Израиле и других странах. Их тактика включает в себя обширную социальную инженерию и различные методы фишинга, в частности, фишинговые кампании, направленные против израильских организаций. Они размещают вредоносные ссылки в электронных письмах, что позволяет использовать инструменты удаленного управления (RMM) для постоянного доступа к скомпрометированным системам.

MuddyWater использует арсенал вредоносных программ, состоящий из пользовательских инструментов и легального программного обеспечения. Они используют такие тактики, как перехват COM для сохранения работоспособности. Группа использует методы сторонней загрузки DLL для выполнения полезной нагрузки и использует протокол SOCKS5 для поддержания безопасных соединений и уклонения от обнаружения. Известные варианты вредоносных программ включают BugSleep и BlackPearl, которые позволяют осуществлять удаленное управление, эксфильтрацию данных и манипулирование системой через зашифрованную связь с серверами управления (C2).

Их платформы C2 включают Havoc и Sad C2, позволяющие осуществлять всесторонний контроль за скомпрометированными системами, и недавно они перешли к использованию модифицированных общедоступных инструментов наряду с пользовательскими вредоносными программами. Они используют бэкдор, поддерживающий связь по протоколам DNS и HTTP, что отражает гибкий и стратегический подход. MuddyWater использует передовые алгоритмы шифрования, такие как AES-128, и использует выделенные прослушиватели и скрипты динамического управления на своих серверах C2. Аналитики прогнозируют, что MuddyWater продолжит совершенствовать свои методы, сосредоточившись на улучшении методов проникновения для постоянного доступа к данным, продолжая при этом использовать известные уязвимости.

#ParsedReport #CompletenessLow
05-02-2025

ASyncRAT [IR/Malware Analysis\]

https://ventdrop.github.io/posts/asyncrat/

Report completeness: Low

Threats:
Asyncrat
3losh

ChatGPT TTPs:
do not use without manual check
T1059.001, T1105, T1053.005, T1055

IOCs:
File: 12
Url: 1
Command: 2
Path: 2
Hash: 4

Soft:
Velociraptor

Algorithms:
aes, sha256, md5, zip

Win API:
VirtualAllocEx, WriteProcessMemory

Languages:
python, powershell

Links:
https://github.com/Yara-Rules/rules/blob/master/malware/RAT\_Asyncrat.yar

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атака включает в себя выполнение скрипта под названием "Sat.bat", который использует PowerShell для загрузки и извлечения исполняемого файла с именем "AutoHotkey64.exe", который вводит данные в другие процессы и создает запланированную задачу для непрерывного выполнения. Исполняемый файл идентифицирован как 32-разрядный.СЕТЕВОЙ файл, напоминающий троянские программы удаленного доступа (RATs), с признаками функциональности ASyncRAT и подтвержденный как вредоносный с помощью соответствия правилам YARA. Рекомендации по обнаружению включают мониторинг выполнения "AutoHotkey64.exe", анализ исходящего трафика, тщательную проверку DNS-запросов и отслеживание известных форматов мьютексов, связанных с ASyncRAT.
-----

Атака начинается с того, что жертва запускает скрипт под названием "Sat.bat", который использует PowerShell для загрузки содержимого с указанного URL-адреса (hXXp://109.199.101.109:770/xx.jpg). Этот скрипт извлекает файлы с помощью командлета Expand-Archive, в результате чего получаются три файла, включая "AutoHotkey64.exe". Этот исполняемый файл предназначен для запуска три раза, автоматически запуская "AutoHotkey64.ahk", который затем вводит данные из "A.txt" в пять различных процессов.

Последняя часть пакетного сценария (строки 46-80) использует PowerShell для создания запланированной задачи с использованием расписания.Служебный COM-объект, который запускается каждые две минуты для выполнения "AutoHotkey64.exe." Анализ содержимого буфера показывает, что он содержит исполняемый файл, предназначенный для внедрения, которым можно манипулировать и декодировать с помощью пользовательского скрипта на Python. Такой подход позволяет извлекать и реконструировать полезную нагрузку из ее закодированного формата, что при дальнейшем изучении не дает результатов в обычных базах данных вредоносных программ.

При проверке результирующего исполняемого файла с помощью PEStudio становится очевидным, что это 32-разрядный файл.Сетевой файл демонстрирует поведение, обычно связанное с троянами удаленного доступа (RAT) или клавиатурными шпионами. Примечательные строки в исполняемом файле, в частности ссылки на расположение браузера и термины, связанные с криптовалютами, дают важные подсказки относительно его потенциальных вредоносных функций. Перевернутая строка, найденная в файле, указывает на ASyncRAT, известный RAT, который публикует код, доступный на GitHub.

Правило YARA, запущенное против образца, подтверждает его вредоносный характер, идентифицируя образец на основе совпадений незашифрованных строк, включая ту, которая ведет непосредственно к компонентам ASNasyncRAT. Также были расшифрованы данные о сервере C2 (Command and Control), что позволило выявить инфраструктуру, соответствующую существующим отчетам об угрозах.

Хотя ожидается, что антивирусные решения и средства обнаружения и реагирования на конечные точки (EDR) будут выявлять такие вредоносные действия, дополнительные рекомендации по обнаружению и предотвращению включают мониторинг создания "AutoHotKey64.exe", поскольку его использование в корпоративных системах является неоправданным. Внедрение таких продуктов для контроля приложений, как ThreatLocker, может повысить эффективность защиты, а тщательный анализ исходящего трафика на необычных портах может помочь выявить вредоносные действия. Кроме того, мониторинг DNS-запросов, нацеленных на необычные домены, или бесплатных DNS-сервисов может помочь выявить подозрительные действия, вызванные вредоносными процессами. Поиск известного формата мьютекса "AsyncMutex_*" и отслеживание поведения сети, связанного с типичными коммуникационными портами ASyncRAT, могут дополнительно помочь в обнаружении потенциальных заражений или текущих нарушений.

#ParsedReport #CompletenessLow
06-02-2025

Sacked or hacked? Unmasking employment termination scams

https://www.cloudflare.com/en-au/threat-intelligence/research/report/sacked-or-hacked-unmasking-employment-termination-scams/

Report completeness: Low

Threats:
Metamorfo

ChatGPT TTPs:
do not use without manual check
T1566.002, T1059.005, T1547.001, T1027, T1073

IOCs:
File: 9
Registry: 1
Domain: 2
Url: 3
Email: 4

Algorithms:
zip, base64

Languages:
visual_basic, php

Platforms:
arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ходе фишинговой кампании пользователям предлагалось перейти по вредоносной ссылке, ведущей на поддельную веб-страницу служб Microsoft, и обманом открыть документ, в котором использовался встроенный скрипт Visual Basic. Этот скрипт загружал RAR-архив, содержащий дополнительные компоненты вредоносного ПО и зарегистрированные исполняемые файлы, которые запускались при запуске, что позволяло осуществлять дальнейшие вредоносные действия, включая использование вредоносного ПО Ponteiro. В кампании также использовалась обфускация команд, чтобы избежать обнаружения, в то время как модели машинного обучения и службы репутации IP-адресов помогали идентифицировать угрозу.
-----

Новая фишинговая кампания была нацелена на пользователей, предлагая им перейти по вредоносной ссылке, а не отправлять вредоносное ПО в виде вложения по электронной почте. Конкретный шаблон ссылок, идентифицированный для атаки, - это "^(http\|https):\/\/inboxsender\.gxsearch\.club\/redir\d{1,2}\/serial\.php$`. Эта ссылка вела жертв на мошенническую веб-страницу, имитирующую службы Microsoft, на которой утверждалось, что на их текущем устройстве невозможно получить доступ к документу о расторжении трудового договора. Страница предлагала пользователям открыть документ на компьютере с Windows, чтобы обманом заставить их выполнить вредоносный скрипт Visual Basic (.vbs), встроенный в запрошенный файл.

Следуя инструкциям, пользователи загружали RAR-архив, содержащий вредоносный скрипт под названием "Processo Trabalhista.vbs". Этот скрипт использовал обфускацию команд, чтобы избежать обнаружения средствами безопасности, что является распространенной тактикой злоумышленников. Целью запутанного скрипта была загрузка ZIP-файла с URL-адреса, который соответствует шаблону регулярных выражений `^(http\|https):\/\/((250-5\|(204/1\d\|1-9)\d)\.?\b){4}\/скачать\/download\.phpx$`. ZIP-файл содержал дополнительные вредоносные компоненты: `avutil.dll `, `wima.exe `, `vamg.exe `, и библиотека DLL, идентифицированная как часть семейства вредоносных программ Ponteiro (в частности, `VCRUNTIME140.dll `).

VBScript, запущенный после загрузки в систему, создал разделы реестра в "HKCU\Software\Microsoft\Windows\CurrentVersion\Run\", которые гарантировали, что "wima.exe` и `vamg.exe" будут выполняться при запуске системы. Считается, что эти исполняемые файлы перегружают библиотеку DLL Ponteiro и запускают дальнейшие вредоносные процессы. Кроме того, вредоносная программа запрашивала страницу по другому шаблону URL-адреса "^(http\|https):\/\/roncluv\.com\/br1-9\/\w+\.php)", который продолжал манипуляции, предлагая жертвам использовать компьютер с Windows, если они этого еще не делали.

Обнаружению этой попытки фишинга способствовали модели машинного обучения, сопоставление сигнатур путей к каталогам и использование служб репутации IP-адресов. После этого инцидента в среде обнаружения были проанализированы случаи олицетворения брендов с целью усиления мер безопасности против подобных угроз в будущем. Организациям рекомендуется внедрять эффективные методы борьбы с фишинговыми атаками, такие как проверка неожиданных ссылок по электронной почте, соблюдение стандартных процедур, описанных в руководствах для сотрудников, и проведение регулярных симуляций фишинга, чтобы повысить осведомленность сотрудников о реальных тактиках, используемых злоумышленниками.

#ParsedReport #CompletenessMedium
06-02-2025

NOVA: blast from thepast

https://bi.zone/eng/expertise/blog/nova-khorosho-zabytoe-staroe/

Report completeness: Medium

Threats:
Steganography_technique
Process_injection_technique
Process_hollowing_technique
Nova_stealer
Snake_keylogger

Geo:
Polish, Russian

TTPs:
Tactics: 8
Technics: 0

IOCs:
Domain: 2
File: 2
Hash: 1

Soft:
Microsoft Defender, Firefox, Chrome, Outlook, Telegram, Windows Task Scheduler, Mozilla Firefox

Functions:
CreateProcessInternalA

Win API:
VirtualAllocEx, WriteProcessMemory, SetThreadContext, ResumeThread, VirtualAllocEx WriteProcessMemory SetThreadContext ResumeThread

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В киберкампании, нацеленной на российские организации, используется NOVA stealer, разновидность SnakeLogger, которая в основном распространяется с помощью фишинговых электронных писем, замаскированных под архивы контрактов. Вредоносная программа использует стеганографию для расшифровки скрытых данных и обеспечивает постоянство работы, манипулируя планировщиком задач Windows, при этом она способна красть учетные данные, перехватывать нажатия клавиш и делать скриншоты, хотя некоторые функции остаются незавершенными. В кодексе присутствуют указания на географическую направленность, и для его продвижения и поддержки была создана группа в Telegram.
-----

Масштабная киберкампания нацелена на российские организации с помощью нового варианта вредоносного ПО, известного как NOVA stealer, коммерческого ответвления SnakeLogger. По доступной цене, с подпиской от 50 долларов, это вредоносное ПО распространяется в основном через фишинговые электронные письма, которые маскируют вредоносное ПО под контрактные архивы, чтобы заманить жертв. Использование malware-as-a-service (MaaS) позволяет злоумышленникам повысить эффективность своей работы и сосредоточиться на распространении инфекции.

В этой кампании злоумышленники используют популярные имена файлов, чтобы повысить вероятность успеха, нацеливаясь на сотрудников организаций, которые регулярно обрабатывают значительные объемы электронной почты. Вредоносная программа NOVA скрывается в архивных вложениях и представляется в виде обычных файлов, таких как "Contract.exe", без использования обманчивых двойных расширений файлов или поддельных значков. Этот подход направлен на то, чтобы вредоносная полезная нагрузка выглядела как законный документ, чтобы обмануть потенциальных жертв.

После запуска вредоносная программа использует стеганографию для расшифровки скрытых данных. Он реплицируется в каталоге AppData\Roaming и использует Windows PowerShell для добавления себя в список исключений Microsoft Defender, обеспечивая постоянную работу в зараженной системе с помощью планировщика задач Windows. Кроме того, NOVA запускается в приостановленном состоянии перед вводом декодированной полезной нагрузки в дочерний процесс.

Несмотря на функциональность вредоносной программы, включая возможность кражи сохраненных учетных данных, перехвата нажатий клавиш, создания скриншотов и извлечения данных из буфера обмена, некоторые из ее функций реализованы не в полной мере. Существует также специальная функция, которая ограничивает выполнение вредоносного ПО до определенной даты, намекая на запланированные будущие активации. Примечательно, что вредоносное ПО содержит строки на польском языке, указывающие на возможный географический центр или происхождение.

В августе 2024 года для продвижения и поддержки the stealer была создана специальная группа в Telegram для NOVA, предлагающая различные варианты подписки. NOVA stealer доступен с 30-дневной лицензией по цене 50 долларов, а стоимость пожизненной лицензии увеличивается до 630 долларов, в то время как криптограф также предоставляется по конкурентоспособным ценам.

Для организаций, стремящихся защититься от этой вредоносной активности, команда BI.Команда ZONE Threat Intelligence разработала специальные правила в рамках своей платформы EDR (Endpoint Detection and Response), которые могут помочь в выявлении угроз, связанных с NOVA.

#ParsedReport #CompletenessLow
06-02-2025

Cyber Attacks on DeepSeek AI: What Really Happened? Full Timeline and Analysis

https://any.run/cybersecurity-blog/deepseek-cyber-attacks/

Report completeness: Low

Threats:
Hailbot
Rapperbot
Mirai
Xmrig_miner

Victims:
Deepseek

Geo:
China

CVEs:
CVE-2017-17215 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1190, T1110.003, T1136, T1496, T1071

Soft:
DeepSeek, OpenAI, ChatGPT, Linux

Crypto:
monero