#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Киберпреступники используют тактику фишинга с помощью поддельного APK-приложения для Android, выдающего себя за "приложение для вознаграждений SBI BANK", которое распространяется через WhatsApp с обещаниями обменять бонусные баллы. APK-файл запрашивает расширенные разрешения и содержит подозрительные компоненты, которые обычно ассоциируются с вредоносными программами, что указывает на потенциальную возможность сбора конфиденциальных пользовательских данных. Он содержит мошеннические экраны входа в систему, которые напоминают законные страницы SBI, для кражи учетных данных, и связан с несколькими вредоносными доменами, что подчеркивает его троянское поведение, направленное на кражу банковских учетных данных.
-----

Киберпреступники все чаще используют фишинговую тактику для эксплуатации пользователей, о чем свидетельствует недавний случай с APK-приложением для Android, замаскированным под "приложение для вознаграждений SBI BANK". В фишинговом сообщении, распространяемом через WhatsApp, утверждалось, что пользователи могут использовать бонусные баллы до истечения срока их действия, обещая внести депозит в размере 9980 рупий. Грамматические ошибки в сообщении и непрофессиональное оформление сразу же вызвали подозрения в его легитимности.

При анализе APK-файла было обнаружено, что файл запрашивал чрезмерные разрешения, такие как доступ к SMS, контактам, журналам вызовов и хранилищу, которые являются типичными признаками вредоносного программного обеспечения. Статический анализ показал, что файл манифеста содержит различные подозрительные компоненты, включая BackgroundService, SMSReceiver и BootBroadcastReceiver, которые обычно используются вредоносными программами для перехвата сообщений и выполнения процессов при загрузке устройства. Такое поведение указывает на намерение получить конфиденциальные данные пользователя.

В ходе анализа был обнаружен файл с именем publicsuffixes.gz, который содержал несвязанный текст на китайском языке, что указывает на возможную путаницу или иностранное участие в его разработке. Кроме того, были идентифицированы жестко закодированные URL-адреса, которые указывали на серверы управления (C2), со ссылками на финансовые API и такие термины, как "OTP" и "Банковское дело", что еще раз подтвердило злонамеренное намерение приложения извлечь банковские учетные данные.

Динамический анализ, проведенный в контролируемой среде, показал, что APK-файл отображал поддельные экраны входа в систему, имитирующие законные страницы SBI, предназначенные для кражи учетных данных пользователей. В последующих отчетах VirusTotal этот файл был помечен как вредоносный, а высокая частота обнаружения указывала на признаки, похожие на троян. Один идентифицированный домен, https://socket.missyou9.in, был связан с несколькими другими приложениями APK, имитирующими различные банковские приложения, в то время как другой домен, зарегистрированный всего за два месяца до этого, функционировал как конечная точка для фильтрации, но еще не был отмечен на общедоступных платформах анализа угроз.

#ParsedReport #CompletenessHigh
05-02-2025

Unmasking: Technological Advancement and Evolution of MuddyWater in 2024

https://www.gov.il/BlobFolder/reports/maddy_water_2024/en/ALERT_CERT_IL_W_1858.pdf

Report completeness: High

Actors/Campaigns:
Muddywater

Threats:
Muddyrot
Anchorrat
Cannonrat
Neshta
Sad_c2_tool
Havoc
Com_hijacking_technique
Lolbin_technique
Spear-phishing_technique
Dll_sideloading_technique
Dllsearchorder_hijacking_technique
Blackout_rat
Blackpos
Venom_proxy_tool
Simplehelp_tool
Upx_tool
Go-socks5_tool
Pheonix
Treasurebox
Mythic_c2
Chisel_tool

Industry:
Telco, Healthcare, Aerospace, Critical_infrastructure

Geo:
Nigeria, Middle east, Afghanistan, Azerbaijan, Iranian, Arab emirates, United arab emirates, Turkey, Israel, Iraq, Iran, Pakistan, United kingdom, Israeli, Egypt

TTPs:
Tactics: 2
Technics: 20

IOCs:
File: 21
Hash: 23
Domain: 4
IP: 2
Registry: 4
Url: 8
Path: 4

Soft:
Component Object Model, Windows Service, outlook

Algorithms:
cbc, aes-128, aes

Win API:
LoadLibrary, GetProcAddress, OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread

Languages:
python, golang, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Иранские хакеры MuddyWater, связанные с MOIS, специализируются на кибероперациях против Израиля, применяя сложные методы, такие как социальная инженерия и фишинг-атаки, которые используют вредоносные ссылки на законные сервисы для доступа к скомпрометированным системам. В их арсенале вредоносных программ есть специальные инструменты, такие как BugSleep и BlackPearl, для удаленного управления и утечки данных, а такие методы, как перехват COM и загрузка DLL на стороне, повышают устойчивость и скрытность. Группа демонстрирует адаптивность за счет использования передовых методов шифрования и модификаций общедоступных инструментов, что свидетельствует о постоянном совершенствовании ее оперативных стратегий, направленных на обеспечение безопасности критически важной инфраструктуры в условиях геополитической напряженности.
-----

MuddyWater - иранские хакеры, связанные с Министерством разведки и безопасности (MOIS) с 2017 года. Группа атакует критически важные объекты инфраструктуры, такие как телекоммуникации и здравоохранение, в первую очередь в Израиле и других странах. Их тактика включает в себя обширную социальную инженерию и различные методы фишинга, в частности, фишинговые кампании, направленные против израильских организаций. Они размещают вредоносные ссылки в электронных письмах, что позволяет использовать инструменты удаленного управления (RMM) для постоянного доступа к скомпрометированным системам.

MuddyWater использует арсенал вредоносных программ, состоящий из пользовательских инструментов и легального программного обеспечения. Они используют такие тактики, как перехват COM для сохранения работоспособности. Группа использует методы сторонней загрузки DLL для выполнения полезной нагрузки и использует протокол SOCKS5 для поддержания безопасных соединений и уклонения от обнаружения. Известные варианты вредоносных программ включают BugSleep и BlackPearl, которые позволяют осуществлять удаленное управление, эксфильтрацию данных и манипулирование системой через зашифрованную связь с серверами управления (C2).

Их платформы C2 включают Havoc и Sad C2, позволяющие осуществлять всесторонний контроль за скомпрометированными системами, и недавно они перешли к использованию модифицированных общедоступных инструментов наряду с пользовательскими вредоносными программами. Они используют бэкдор, поддерживающий связь по протоколам DNS и HTTP, что отражает гибкий и стратегический подход. MuddyWater использует передовые алгоритмы шифрования, такие как AES-128, и использует выделенные прослушиватели и скрипты динамического управления на своих серверах C2. Аналитики прогнозируют, что MuddyWater продолжит совершенствовать свои методы, сосредоточившись на улучшении методов проникновения для постоянного доступа к данным, продолжая при этом использовать известные уязвимости.

#ParsedReport #CompletenessLow
05-02-2025

ASyncRAT [IR/Malware Analysis\]

https://ventdrop.github.io/posts/asyncrat/

Report completeness: Low

Threats:
Asyncrat
3losh

ChatGPT TTPs:
do not use without manual check
T1059.001, T1105, T1053.005, T1055

IOCs:
File: 12
Url: 1
Command: 2
Path: 2
Hash: 4

Soft:
Velociraptor

Algorithms:
aes, sha256, md5, zip

Win API:
VirtualAllocEx, WriteProcessMemory

Languages:
python, powershell

Links:
https://github.com/Yara-Rules/rules/blob/master/malware/RAT\_Asyncrat.yar

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атака включает в себя выполнение скрипта под названием "Sat.bat", который использует PowerShell для загрузки и извлечения исполняемого файла с именем "AutoHotkey64.exe", который вводит данные в другие процессы и создает запланированную задачу для непрерывного выполнения. Исполняемый файл идентифицирован как 32-разрядный.СЕТЕВОЙ файл, напоминающий троянские программы удаленного доступа (RATs), с признаками функциональности ASyncRAT и подтвержденный как вредоносный с помощью соответствия правилам YARA. Рекомендации по обнаружению включают мониторинг выполнения "AutoHotkey64.exe", анализ исходящего трафика, тщательную проверку DNS-запросов и отслеживание известных форматов мьютексов, связанных с ASyncRAT.
-----

Атака начинается с того, что жертва запускает скрипт под названием "Sat.bat", который использует PowerShell для загрузки содержимого с указанного URL-адреса (hXXp://109.199.101.109:770/xx.jpg). Этот скрипт извлекает файлы с помощью командлета Expand-Archive, в результате чего получаются три файла, включая "AutoHotkey64.exe". Этот исполняемый файл предназначен для запуска три раза, автоматически запуская "AutoHotkey64.ahk", который затем вводит данные из "A.txt" в пять различных процессов.

Последняя часть пакетного сценария (строки 46-80) использует PowerShell для создания запланированной задачи с использованием расписания.Служебный COM-объект, который запускается каждые две минуты для выполнения "AutoHotkey64.exe." Анализ содержимого буфера показывает, что он содержит исполняемый файл, предназначенный для внедрения, которым можно манипулировать и декодировать с помощью пользовательского скрипта на Python. Такой подход позволяет извлекать и реконструировать полезную нагрузку из ее закодированного формата, что при дальнейшем изучении не дает результатов в обычных базах данных вредоносных программ.

При проверке результирующего исполняемого файла с помощью PEStudio становится очевидным, что это 32-разрядный файл.Сетевой файл демонстрирует поведение, обычно связанное с троянами удаленного доступа (RAT) или клавиатурными шпионами. Примечательные строки в исполняемом файле, в частности ссылки на расположение браузера и термины, связанные с криптовалютами, дают важные подсказки относительно его потенциальных вредоносных функций. Перевернутая строка, найденная в файле, указывает на ASyncRAT, известный RAT, который публикует код, доступный на GitHub.

Правило YARA, запущенное против образца, подтверждает его вредоносный характер, идентифицируя образец на основе совпадений незашифрованных строк, включая ту, которая ведет непосредственно к компонентам ASNasyncRAT. Также были расшифрованы данные о сервере C2 (Command and Control), что позволило выявить инфраструктуру, соответствующую существующим отчетам об угрозах.

Хотя ожидается, что антивирусные решения и средства обнаружения и реагирования на конечные точки (EDR) будут выявлять такие вредоносные действия, дополнительные рекомендации по обнаружению и предотвращению включают мониторинг создания "AutoHotKey64.exe", поскольку его использование в корпоративных системах является неоправданным. Внедрение таких продуктов для контроля приложений, как ThreatLocker, может повысить эффективность защиты, а тщательный анализ исходящего трафика на необычных портах может помочь выявить вредоносные действия. Кроме того, мониторинг DNS-запросов, нацеленных на необычные домены, или бесплатных DNS-сервисов может помочь выявить подозрительные действия, вызванные вредоносными процессами. Поиск известного формата мьютекса "AsyncMutex_*" и отслеживание поведения сети, связанного с типичными коммуникационными портами ASyncRAT, могут дополнительно помочь в обнаружении потенциальных заражений или текущих нарушений.

#ParsedReport #CompletenessLow
06-02-2025

Sacked or hacked? Unmasking employment termination scams

https://www.cloudflare.com/en-au/threat-intelligence/research/report/sacked-or-hacked-unmasking-employment-termination-scams/

Report completeness: Low

Threats:
Metamorfo

ChatGPT TTPs:
do not use without manual check
T1566.002, T1059.005, T1547.001, T1027, T1073

IOCs:
File: 9
Registry: 1
Domain: 2
Url: 3
Email: 4

Algorithms:
zip, base64

Languages:
visual_basic, php

Platforms:
arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ходе фишинговой кампании пользователям предлагалось перейти по вредоносной ссылке, ведущей на поддельную веб-страницу служб Microsoft, и обманом открыть документ, в котором использовался встроенный скрипт Visual Basic. Этот скрипт загружал RAR-архив, содержащий дополнительные компоненты вредоносного ПО и зарегистрированные исполняемые файлы, которые запускались при запуске, что позволяло осуществлять дальнейшие вредоносные действия, включая использование вредоносного ПО Ponteiro. В кампании также использовалась обфускация команд, чтобы избежать обнаружения, в то время как модели машинного обучения и службы репутации IP-адресов помогали идентифицировать угрозу.
-----

Новая фишинговая кампания была нацелена на пользователей, предлагая им перейти по вредоносной ссылке, а не отправлять вредоносное ПО в виде вложения по электронной почте. Конкретный шаблон ссылок, идентифицированный для атаки, - это "^(http\|https):\/\/inboxsender\.gxsearch\.club\/redir\d{1,2}\/serial\.php$`. Эта ссылка вела жертв на мошенническую веб-страницу, имитирующую службы Microsoft, на которой утверждалось, что на их текущем устройстве невозможно получить доступ к документу о расторжении трудового договора. Страница предлагала пользователям открыть документ на компьютере с Windows, чтобы обманом заставить их выполнить вредоносный скрипт Visual Basic (.vbs), встроенный в запрошенный файл.

Следуя инструкциям, пользователи загружали RAR-архив, содержащий вредоносный скрипт под названием "Processo Trabalhista.vbs". Этот скрипт использовал обфускацию команд, чтобы избежать обнаружения средствами безопасности, что является распространенной тактикой злоумышленников. Целью запутанного скрипта была загрузка ZIP-файла с URL-адреса, который соответствует шаблону регулярных выражений `^(http\|https):\/\/((250-5\|(204/1\d\|1-9)\d)\.?\b){4}\/скачать\/download\.phpx$`. ZIP-файл содержал дополнительные вредоносные компоненты: `avutil.dll `, `wima.exe `, `vamg.exe `, и библиотека DLL, идентифицированная как часть семейства вредоносных программ Ponteiro (в частности, `VCRUNTIME140.dll `).

VBScript, запущенный после загрузки в систему, создал разделы реестра в "HKCU\Software\Microsoft\Windows\CurrentVersion\Run\", которые гарантировали, что "wima.exe` и `vamg.exe" будут выполняться при запуске системы. Считается, что эти исполняемые файлы перегружают библиотеку DLL Ponteiro и запускают дальнейшие вредоносные процессы. Кроме того, вредоносная программа запрашивала страницу по другому шаблону URL-адреса "^(http\|https):\/\/roncluv\.com\/br1-9\/\w+\.php)", который продолжал манипуляции, предлагая жертвам использовать компьютер с Windows, если они этого еще не делали.

Обнаружению этой попытки фишинга способствовали модели машинного обучения, сопоставление сигнатур путей к каталогам и использование служб репутации IP-адресов. После этого инцидента в среде обнаружения были проанализированы случаи олицетворения брендов с целью усиления мер безопасности против подобных угроз в будущем. Организациям рекомендуется внедрять эффективные методы борьбы с фишинговыми атаками, такие как проверка неожиданных ссылок по электронной почте, соблюдение стандартных процедур, описанных в руководствах для сотрудников, и проведение регулярных симуляций фишинга, чтобы повысить осведомленность сотрудников о реальных тактиках, используемых злоумышленниками.

#ParsedReport #CompletenessMedium
06-02-2025

NOVA: blast from thepast

https://bi.zone/eng/expertise/blog/nova-khorosho-zabytoe-staroe/

Report completeness: Medium

Threats:
Steganography_technique
Process_injection_technique
Process_hollowing_technique
Nova_stealer
Snake_keylogger

Geo:
Polish, Russian

TTPs:
Tactics: 8
Technics: 0

IOCs:
Domain: 2
File: 2
Hash: 1

Soft:
Microsoft Defender, Firefox, Chrome, Outlook, Telegram, Windows Task Scheduler, Mozilla Firefox

Functions:
CreateProcessInternalA

Win API:
VirtualAllocEx, WriteProcessMemory, SetThreadContext, ResumeThread, VirtualAllocEx WriteProcessMemory SetThreadContext ResumeThread

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В киберкампании, нацеленной на российские организации, используется NOVA stealer, разновидность SnakeLogger, которая в основном распространяется с помощью фишинговых электронных писем, замаскированных под архивы контрактов. Вредоносная программа использует стеганографию для расшифровки скрытых данных и обеспечивает постоянство работы, манипулируя планировщиком задач Windows, при этом она способна красть учетные данные, перехватывать нажатия клавиш и делать скриншоты, хотя некоторые функции остаются незавершенными. В кодексе присутствуют указания на географическую направленность, и для его продвижения и поддержки была создана группа в Telegram.
-----

Масштабная киберкампания нацелена на российские организации с помощью нового варианта вредоносного ПО, известного как NOVA stealer, коммерческого ответвления SnakeLogger. По доступной цене, с подпиской от 50 долларов, это вредоносное ПО распространяется в основном через фишинговые электронные письма, которые маскируют вредоносное ПО под контрактные архивы, чтобы заманить жертв. Использование malware-as-a-service (MaaS) позволяет злоумышленникам повысить эффективность своей работы и сосредоточиться на распространении инфекции.

В этой кампании злоумышленники используют популярные имена файлов, чтобы повысить вероятность успеха, нацеливаясь на сотрудников организаций, которые регулярно обрабатывают значительные объемы электронной почты. Вредоносная программа NOVA скрывается в архивных вложениях и представляется в виде обычных файлов, таких как "Contract.exe", без использования обманчивых двойных расширений файлов или поддельных значков. Этот подход направлен на то, чтобы вредоносная полезная нагрузка выглядела как законный документ, чтобы обмануть потенциальных жертв.

После запуска вредоносная программа использует стеганографию для расшифровки скрытых данных. Он реплицируется в каталоге AppData\Roaming и использует Windows PowerShell для добавления себя в список исключений Microsoft Defender, обеспечивая постоянную работу в зараженной системе с помощью планировщика задач Windows. Кроме того, NOVA запускается в приостановленном состоянии перед вводом декодированной полезной нагрузки в дочерний процесс.

Несмотря на функциональность вредоносной программы, включая возможность кражи сохраненных учетных данных, перехвата нажатий клавиш, создания скриншотов и извлечения данных из буфера обмена, некоторые из ее функций реализованы не в полной мере. Существует также специальная функция, которая ограничивает выполнение вредоносного ПО до определенной даты, намекая на запланированные будущие активации. Примечательно, что вредоносное ПО содержит строки на польском языке, указывающие на возможный географический центр или происхождение.

В августе 2024 года для продвижения и поддержки the stealer была создана специальная группа в Telegram для NOVA, предлагающая различные варианты подписки. NOVA stealer доступен с 30-дневной лицензией по цене 50 долларов, а стоимость пожизненной лицензии увеличивается до 630 долларов, в то время как криптограф также предоставляется по конкурентоспособным ценам.

Для организаций, стремящихся защититься от этой вредоносной активности, команда BI.Команда ZONE Threat Intelligence разработала специальные правила в рамках своей платформы EDR (Endpoint Detection and Response), которые могут помочь в выявлении угроз, связанных с NOVA.

#ParsedReport #CompletenessLow
06-02-2025

Cyber Attacks on DeepSeek AI: What Really Happened? Full Timeline and Analysis

https://any.run/cybersecurity-blog/deepseek-cyber-attacks/

Report completeness: Low

Threats:
Hailbot
Rapperbot
Mirai
Xmrig_miner

Victims:
Deepseek

Geo:
China

CVEs:
CVE-2017-17215 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1190, T1110.003, T1136, T1496, T1071

Soft:
DeepSeek, OpenAI, ChatGPT, Linux

Crypto:
monero

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Китайская ИИ-компания DeepSeek столкнулась со значительными DDoS-атаками со стороны ботнетов HailBot и RapperBot вскоре после запуска своей модели DeepSeek-R1. HailBot использует уязвимости, такие как CVE-2017-17215, в устройствах Huawei для DDoS-атак, в то время как RapperBot использует методы перебора SSH для несанкционированного доступа, что приводит к взлому криптовалюты с использованием майнера XMRig. Инциденты выявляют уязвимости в организациях, использующих цифровую инфраструктуру, в условиях появления хакеров из сложных ботнетов.
-----

Китайская компания DeepSeek, специализирующаяся на искусственном интеллекте, запустившая свою модель DeepSeek-R1, столкнулась со значительными кибератаками вскоре после своего дебюта. В атаках, которые приписываются двум ботнетам — HailBot и RapperBot, — использовались методы распределенного отказа в обслуживании (DDoS), включая усиление отражения и методы грубой силы. Начиная с начала января 2025 года, DeepSeek столкнулся с участившимися DDoS-атаками, кульминация которых пришлась на 28 января, наряду с попытками грубой силы, которые, как сообщается, были предприняты с IP-адресов в США. Эти постоянные атаки побудили DeepSeek приостановить регистрацию новых пользователей и выявили организационные уязвимости в различных секторах, зависящих от надежной цифровой инфраструктуры.

Ботнеты HailBot и RapperBot являются вариантами печально известного ботнета Mirai. HailBot специально нацелен на уязвимости, такие как CVE-2017-17215, затрагивающие определенные устройства Huawei, что позволяет ему компрометировать широкий спектр подключенных устройств и проводить DDoS-атаки. Анализ с использованием интерактивной песочницы ANY.RUN продемонстрировал схемы подключения HailBot к своим командно-контрольным серверам (C2). Обнаружение активности HailBot облегчается с помощью специальных правил Suricata IDS, которые предупреждают пользователей о таких сетевых взаимодействиях.

RapperBot работает в основном с помощью SSH-атак методом перебора, которые можно идентифицировать по строке подписи "SSH-2.0-HELLOWORLD". Как только он получает доступ к устройству, он заменяет существующий файл authorized_keys, обеспечивая постоянный доступ. RapperBot также создает учетную запись суперпользователя под названием "suhelper", изменяя системные файлы, связанные с учетными данными пользователя, и постоянно проверяет наличие дополнительных целей, используя списки учетных данных, полученные со своего сервера C2. В дополнение к своим методам распространения, RapperBot обладает возможностями криптоджекинга, используя майнер XMRig Monero для использования скомпрометированных систем для майнинга криптовалют. Поведенческий анализ показал, что RapperBot продемонстрировал высокий объем трафика, попытавшись выполнить более 139 000 подключений всего за три минуты во время тестов в среде sandbox.

Инциденты, связанные с DeepSeek, подчеркивают меняющийся ландшафт угроз, создаваемых сложными ботнетами, что подчеркивает необходимость принятия организациями превентивных механизмов защиты от таких хакеров.

#ParsedReport #CompletenessLow
05-02-2025

Mobile Indian Cyber Heist: FatBoyPanel And His Massive Data Breach

https://www.zimperium.com/blog/mobile-indian-cyber-heist-fatboypanel-and-his-massive-data-breach/

Report completeness: Low

Actors/Campaigns:
Fatboypanel

Victims:
Indian banks, Government agencies

Industry:
Financial, Government

Geo:
Indian, India

TTPs:
Tactics: 8
Technics: 12

IOCs:
Hash: 891

Soft:
Android, WhatsApp

Links:
https://github.com/Zimperium/IOC/tree/master/2025-02-FatBoyPanel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Была выявлена масштабная кампания вредоносных программ для мобильных устройств, нацеленная на индийские банки, в которой было задействовано около 900 уникальных образцов троянских программ Banker, нацеленных на устройства Android. Эта вредоносная программа использует уязвимости мобильного банкинга посредством перехвата SMS-сообщений для кражи учетных данных, в частности одноразовых паролей (OTP), и перенаправляет SMS-сообщения с использованием реальных телефонных номеров. Она маскируется под законные приложения, распространяемые через WhatsApp, и включает в себя варианты, которые собирают и удаляют конфиденциальные данные, а структурированная организация поддерживает кампанию, создавая серьезную угрозу финансовой безопасности пользователей.
-----

Масштабная кампания вредоносных программ для мобильных устройств нацелена на пользователей индийских банков и содержит около 900 уникальных образцов троянской программы Banker, предназначенной для устройств Android. Вредоносная программа использует уязвимости мобильного банкинга и перехват SMS-сообщений для кражи учетных данных, в частности одноразовых паролей (OTP).

Для перенаправления SMS-сообщений вместо традиционных командно-контрольных серверов используются телефонные номера в реальном времени, что позволяет правоохранительным органам отслеживать их. Около 1000 уникальных телефонных номеров в основном зарегистрированы в таких индийских штатах, как Западная Бенгалия, Бихар и Джаркханд. Было обнаружено более 222 хранилищ Firebase, содержащих около 2,5 ГБ конфиденциальных данных примерно 50 000 пользователей, включая банковские и правительственные идентификаторы.

Распространение происходит через WhatsApp, при этом APK-файлы маскируются под легальные приложения, чтобы обманом заставить пользователей предоставлять конфиденциальную информацию. Вредоносная программа использует SMS-разрешения для фильтрации сообщений и проведения несанкционированных финансовых транзакций. Для скрытия значков и усложнения деинсталляции используются методы скрытности.

Вредоносная программа имеет три основных варианта: переадресация SMS (захватывает и пересылает сообщения), фильтрация с использованием Firebase (отправляет сообщения на конечную точку Firebase) и гибридный вариант, сочетающий оба метода. Чтобы избежать обнаружения, используется обфускация кода, а в некоторых вариантах вредоносного ПО содержатся жестко закодированные телефонные номера для эксфильтрации.

Анализ данных с конечных точек Firebase выявил доступ к конфиденциальной информации, включая учетные данные платформы C&C и номера телефонов для отправки SMS-сообщений. Хакеры действуют структурированно, что указывает на организацию и многопользовательские возможности. Доверие к банковским и государственным учреждениям эксплуатируется, а количество программ-вымогателей растет в связи с увеличением числа цифровых платежей и вредоносных программ для кражи SMS-сообщений, нацеленных на OTP, что облегчает несанкционированные транзакции.

#ParsedReport #CompletenessLow
06-02-2025

Kimsuky Group's Ongoing Threat Using RDP Wrapper

https://asec.ahnlab.com/ko/86082/

Report completeness: Low

Actors/Campaigns:
Kimsuky

Threats:
Spear-phishing_technique
Revsocks
Reflectiveloader
Rdpwrap_tool
Trojan/win.keylogger.c5687683
Trojan/win.keylogger.c5705213
Trojan/win.keylogger.c5705571
Trojan/win.injecter.c5705214
Uacme
Trojan/win.loader.c5716648
Infostealer/win.browser.r641029
Trojan/win.agent.c5687684
Powershell_keylogger_tool
Rdpwrapper_tool

ChatGPT TTPs:
do not use without manual check
T1566.001, T1090, T1056.001, T1555.003, T1055

IOCs:
Hash: 5
IP: 2

Soft:
Internet Explorer

Algorithms:
md5

Win API:
ReadFile

Languages:
powershell