#ParsedReport #CompletenessHigh
10-02-2025

Further insights into Ivanti CSA 4.6 vulnerabilities exploitation

https://harfanglab.io/insidethelab/insights-ivanti-csa-exploitation/

Report completeness: High

Threats:
Behinder
Godzilla_webshell
Arl_tool
Landesk_tool
Grok
Upx_tool
Supershell
Fscan_tool
Zerologon_vuln
Reversessh_tool
Any_support_tool

Industry:
Government, Chemical, Healthcare, Telco, Financial

Geo:
Germany, China, Turkey, French, France

CVEs:
CVE-2020-1472 [Vulners]
CVSS V3.1: 5.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows server 2008 (r2)
- microsoft windows server 2012 (r2)

CVE-2024-8190 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti cloud services appliance (4.6)

CVE-2024-8963 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (4.6)

CVE-2024-9379 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (<5.0.2)

CVE-2021-44529 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (le4.5, 4.6)

CVE-2022-1388 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- f5 big-ip access policy manager (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
- f5 big-ip advanced firewall manager (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
- f5 big-ip analytics (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
- f5 big-ip application acceleration manager (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
- f5 big-ip application security manager (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
have more...
CVE-2024-9381 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (<5.0.2)

CVE-2023-3519 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- citrix netscaler application delivery controller (<12.1-55.297, <13.0-91.13, <13.1-37.159, <13.1-49.13)
- citrix netscaler gateway (<13.0-91.13, <13.1-49.13)

CVE-2021-4034 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- polkit project polkit (<121)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1059.003, T1105, T1021.004, T1053.005, T1595, T1056.001, T1557.001

IOCs:
File: 6
Hash: 14
IP: 3
Domain: 4
Email: 1

Soft:
Ivanti, OpenSSH, Ubuntu, nginx, SystemD, openssl, Linux, PostgreSQL, curl, BIG-IP, have more...

Algorithms:
base64, aes-128, xor, sha256, md5, sha1

Functions:
RANDOM_NAME_VARIABLE2

Win Services:
bits

Languages:
golang, javascript, python, php

YARA: Found

Links:
have more...
https://github.com/NHAS/reverse\_ssh/blob/71420af670aebbe632f35ce8428cbfbd21dc5f53/internal/server/webserver/webserver.go#L51
https://github.com/NHAS/reverse\_ssh/blob/71420af670aebbe632f35ce8428cbfbd21dc5f53/pkg/mux/multiplexer.go#L53
https://github.com/dutchcoders/transfer.sh

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CVE-2024-8963 - это уязвимость для обхода критического пути в облачном сервисе Ivanti, позволяющая удаленным злоумышленникам получать доступ к ограниченным функциям через созданные URL-адреса из-за проблем с анализом URL-адресов. Использование может привести к удаленному выполнению команд и установке веб-оболочек, при этом злоумышленники нацеливаются на организации в различных секторах, особенно в США и Франции. Несмотря на исправления в системе безопасности, фундаментальные недостатки остаются, что подчеркивает необходимость постоянного повышения бдительности в области безопасности.
-----

CVE-2024-8963 - это серьезная уязвимость для обхода пути в облачном сервисе Ivanti (CSA). Она позволяет удаленным злоумышленникам, не прошедшим проверку подлинности, получать доступ к ограниченным функциональным возможностям. Уязвимость связана с проблемами синтаксического анализа URL-адресов на собственном веб-сервере Ivanti C++ "broker", который управляет HTTP/S запросами для CSA. Злоумышленники могут создавать вредоносные URL-адреса, которые брокер неправильно интерпретирует, обеспечивая доступ к файлам PHP с ограниченным доступом. Эта уязвимость может привести к удаленному выполнению команд операционной системы и SQL-запросов, используя уязвимости CVE-2024-8190 и CVE-2024-9379. Как правило, уязвимость нацелена на конечные точки PHP с ограниченным доступом, минуя стандартные средства контроля доступа. Сообщения об эксплуатации появились после первоначального обнаружения, после получения рекомендаций от Fortinet и совместного предупреждения от CISA и ФБР. В период с сентября по октябрь 2024 года были зафиксированы попытки развертывания веб-оболочек для обеспечения сохраняемости на скомпрометированных экземплярах CSA, что позволило злоумышленникам выполнять системные команды или произвольный PHP-код. Конструкция брокера облегчает доступ без проверки подлинности на основе конфигураций URL-путей. Несмотря на то, что Ivanti выпустила исправления для системы безопасности, фундаментальные недостатки в более поздних версиях CSA остались нераскрытыми. Злоумышленники систематически использовали инструменты удаленного управления и механизмы сбора учетных данных после первоначального использования. Целевыми секторами были производство, здравоохранение и финансы, с заметным акцентом на Соединенные Штаты и Францию. Организованный характер атак предполагает многоуровневую модель использования, потенциально предполагающую участие нескольких сторон. Уязвимость подчеркивает риски, связанные со сложной реализацией веб-сервера и неправильным анализом URL-адресов, что приводит к несанкционированному доступу к уязвимым технологиям.

#ParsedReport #CompletenessLow
10-02-2025

Akira ransomware attack case detection using Ahnlab EDR

https://asec.ahnlab.com/ko/86186/

Report completeness: Low

Threats:
Akira_ransomware
Netscan_tool
Nltest_tool
Adfind_tool
Bloodhound_tool
Mimikatz_tool
Minidump_tool
Lazagne_tool
Passview_tool
Anydesk_tool
Rustdesk_tool
Radmin_tool
Ngrok_tool
Wmiexec_tool
Impacket_tool
Rclone_tool
Ntdsutil_tool
Psexec_tool
Credential_dumping_technique
Cloudflared_tool

Geo:
Korea

CVEs:
CVE-2022-40684 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- fortinet fortiproxy (<7.0.7, 7.2.0)
- fortinet fortiswitchmanager (7.0.0, 7.2.0)
- fortinet fortios (<7.0.7, <7.2.2)

CVE-2019-6693 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- fortinet fortios (le5.6.10, le6.0.6, 6.2.0)

CVE-2020-3259 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco firepower threat defense (<6.2.3.16, <6.3.0.6, <6.4.0.9, <6.5.0.5)
- cisco adaptive security appliance software (<9.8.4.20, <9.9.2.67, <9.10.1.40, <9.12.3.9, <9.13.1.10)

CVE-2024-37085 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- vmware cloud foundation (<5.2)
- vmware esxi (7.0, 8.0)

CVE-2024-40766 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (<5.9.2.14-13o)

CVE-2023-20269 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco adaptive security appliance software (6.2.3, 6.2.3.1, 6.2.3.2, 6.2.3.3, 6.2.3.4)

CVE-2024-40711 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam backup & replication (<12.2.0.334)

CVE-2023-48788 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- fortinet forticlient enterprise management server (<7.0.11, <7.2.3)


TTPs:
Tactics: 9
Technics: 23

IOCs:
File: 6

Soft:
esxi, active directory, Chrome, PSEXEC, Winscp, Linux, Dropbox

#ParsedReport #ExtractedSchema

Classified images:
code: 1, schema: 4, windows: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Akira, группа программ-вымогателей, действующая с марта 2023 года, использует агрессивную тактику, связанную с кражей данных и шифрованием файлов. Они используют VPN, в которых отсутствует MFA, и известные уязвимости, такие как CVE-2019-6693 и CVE-2024-40766, используя инструменты для разведки и бокового перемещения. Их операции включают использование программ-вымогателей для шифрования файлов, помеченных расширением ".akira", а также использование средств удаленного управления для обеспечения доступа и контроля над сетями.
-----

Akira - это группа программ-вымогателей, которая начала свою деятельность в марте 2023 года, используя агрессивную тактику, включающую шифрование файлов и кражу данных в качестве рычага воздействия на переговоры. Группа в основном использует учетные записи VPN, в которых отсутствует многофакторная аутентификация, и использует известные уязвимости, такие как CVE-2019-6693 от Fortinet, CVE-2022-40684, CVE-2020-3259 от Cisco, CVE-2023-20269 от SonicWall, CVE-2024-40766 от VMware, CVE-2024-37085 от VMware, и CVE-2024-40711 от Veeam.

Злоумышленники собирают сетевую информацию с помощью таких инструментов, как Advanced IP Scanner и NetScan, а также используют NLTEST и ADFIND для исследования домена. BloodHound помогает им определить пути атаки для повышения привилегий. Для сбора учетных данных они используют Mimikatz для извлечения хэшей NT из процесса LSASS, используют COMSVC.DLL для автоматического создания дампов памяти и используют Lazagne для сохраненных учетных данных.

Они также обрабатывают учетные данные веб-браузера с помощью таких инструментов, как WebBrowserPassView от NIRSOFT. Инструменты удаленного управления, такие как AnyDesk, RustDesk и Radmin, обеспечивают постоянный доступ, в то время как передача команд и контроля осуществляется с помощью прокси-инструментов, таких как NGROK и Cloudflare. Akira создает скрытые учетные записи пользователей, чтобы оставаться незамеченной, облегчая основные усилия по перемещению данных с помощью таких методов, как RDP, WMIEXEC и PSEXEC.

Во время атак конфиденциальные данные сжимаются с помощью WinRAR, а файлы шифруются с расширением ".akira". Жертвы перенаправляются на платформу согласования на основе Tor. Для передачи файлов используются FTP-приложения, такие как WinSCP и FileZilla, или облачные сервисы, такие как MEGA, через RCLONE. Операции Akira направлены на эффективное управление целевыми сетями с помощью сложной разведки, сбора учетных данных и стратегий горизонтального перемещения, а также шифрования и эксфильтрации данных.

#ParsedReport #CompletenessLow
11-02-2025

Linux Detection Engineering - Approaching the Summit on Persistence Mechanisms

https://www.elastic.co/security-labs/approaching-the-summit-on-persistence

Report completeness: Low

Threats:
Panix_tool
Medusalocker
Azazel
Ebury
Skidmap

TTPs:
Tactics: 2
Technics: 4

IOCs:
IP: 3
File: 4

Soft:
Linux, Docker, sudo, SELinux, Kibana, curl, UNIX, Debian, Fedora, crontab, have more...

Links:
https://github.com/ldpreload/Medusa
have more...
https://github.com/Aegrah/PANIX
https://github.com/chokepoint/azazel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В статье рассматриваются продвинутые механизмы сохранения данных в Linux, используемые злоумышленниками, с акцентом на злонамеренные манипуляции с подключаемыми модулями аутентификации (PAM) и менеджерами пакетов для сохранения позиций. В нем рассказывается о руткитах, таких как Medusa и Azazel, использовании уязвимостей Docker и Kubernetes, а также об использовании вредоносных сценариев жизненного цикла для обеспечения сохраняемости. Инженерные решения для обнаружения и мониторинга являются важнейшими средствами защиты от этих сложных угроз.
-----

Злоумышленники используют подключаемые модули аутентификации (PAM) для создания вредоносных модулей, которые могут перехватывать учетные данные, изменять ведение журнала, разрешать несанкционированный доступ или выполнять вредоносный код.

Руткиты, такие как Medusa и Azazel, наряду с вредоносными программами, такими как Ebury и Skidmap, используют вредоносные методы PAM, классифицированные как T1556.003 в платформе MITRE ATT&CK framework.

Вредоносные скрипты жизненного цикла в менеджерах пакетов (DPKG для Debian и RPM для Red Hat) могут выполнять код во время установки или обновления программного обеспечения, который подпадает под T1546.016 в платформе MITRE ATT&CK framework.

Такие инструменты, как PANIX, могут имитировать манипуляции с менеджерами пакетов для выполнения произвольного кода.

Злоумышленники могут использовать платформы контейнеризации, такие как Docker и Kubernetes, с помощью методов эвакуации хоста, запуская привилегированные контейнеры или используя конфиденциальные подключения к каталогам хостов.

Вредоносные бэкдоры PAM можно настроить, введя жестко запрограммированные учетные данные в модули PAM, что позволяет выполнять сценарии бэкдора во время аутентификации.

Модуль pam_exec.so может выполнять произвольные скрипты, позволяя злоумышленникам запускать вредоносные скрипты после успешной аутентификации пользователя.

Обеспечение сохраняемости с помощью Docker включает в себя создание образов, которые поддерживают обратные подключения к оболочке и запускают контейнеры в привилегированном режиме для доступа к ресурсам хоста.

Разработка средств обнаружения имеет решающее значение для противодействия этим методам сохранения, уделяя особое внимание надежному мониторингу и поиску угроз для отслеживания ненормального поведения.

#ParsedReport #CompletenessMedium
11-02-2025

Inside a Malware Campaign: A Nigerian Hackers Perspective

https://cyberarmor.tech/inside-a-malware-campaign-a-nigerian-hackers-perspective/

Report completeness: Medium

Threats:
Redline_stealer
Xworm_rat

Industry:
E-commerce

Geo:
Malaysian, Nigerian, China, Malaysia, Chinese, Vietnam, Nigeria

ChatGPT TTPs:
do not use without manual check
T1589.002, T1566, T1059.001, T1543.003, T1003, T1041

IOCs:
Domain: 1
Email: 1
File: 2
Hash: 6

Soft:
instagram, chatgpt, Windows service, Telegram

Algorithms:
md5, sha256, sha1

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
7 февраля 2025 года была раскрыта вредоносная кампания нигерийского киберпреступника, которая включала сбор данных об адресах электронной почты с помощью скрейпинга и Google dorking. Злоумышленник использовал вредоносное ПО XLogger для кражи учетных данных с помощью скрипта PowerShell, отправляя данные в Telegram. Это демонстрирует развитие технологий и выявляет уязвимости пользователей при атаках социальной инженерии.
-----

7 февраля 2025 года интеллектуальная платформа DarkArmor собрала данные на основе скриншотов, полученных от вредоносного ПО, и раскрыла операции нигерийского киберпреступника, участвовавшего в вредоносной кампании. Выводы, полученные из этого дела, подчеркивают важность понимания методологий, используемых киберпреступниками для разработки стратегий обнаружения и контрмер.

Начальная фаза вредоносной кампании заключается в выявлении потенциальных целей, в первую очередь с помощью различных методов сбора адресов электронной почты. Известные методы, используемые этими киберпреступниками, включают в себя проверку общедоступных баз данных, где они извлекают электронные письма с веб-сайтов, форумов и платформ социальных сетей, таких как LinkedIn и Facebook. Кроме того, темная паутина служит источником массовых рассылок адресов электронной почты, полученных в результате утечек данных. Распространенной тактикой таких злоумышленников является использование Google dorking — расширенных поисковых запросов — для обнаружения адресов электронной почты на платформах социальных сетей. Например, один запрос позволяет им найти малазийские компании по адресам электронной почты на YouTube, в то время как другой нацелен на китайские компании, занимающиеся зернообрабатывающим производством, на Facebook. Публикация этой информации в Интернете создает значительные риски, предоставляя преступникам легкодоступные данные для атак с использованием социальной инженерии.

После составления обширного списка рассылки злоумышленник запускает кампанию по эффективному распространению вредоносного ПО. Использование установленного домена, потенциально скомпрометированного и перепрофилированного для рассылки спама, свидетельствует о сложной тактике, применяемой в этих кампаниях. Эффективность попыток фишинга в значительной степени зависит от качества обработанных сообщений электронной почты. В последнее время исследователи в области безопасности обеспокоены тем, что киберпреступники могут использовать инструменты искусственного интеллекта, такие как ChatGPT, для создания все более убедительных сообщений о мошенничестве.

Расследование действий киберпреступников показало, что они проводили несколько кампаний одновременно. По крайней мере, одна жертва была скомпрометирована, и злоумышленник получил логи своей вредоносной программы, свидетельствующие об успешном выполнении операции. В результате анализа sandbox вредоносный исполняемый файл был идентифицирован как Redline malware stealer, но позже был подтвержден как XLogger. После запуска вредоносная программа развертывает скрипт PowerShell, который расшифровывает полезную нагрузку и внедряет ее в службу Windows. После этого он захватывает конфиденциальные учетные данные с зараженного компьютера и передает собранные данные в Telegram-канал злоумышленника.

Постоянная эволюция тактики нигерийских хакеров свидетельствует о растущей изощренности их киберпреступной деятельности. Несмотря на сложные стратегии, основной процесс остается простым и эффективным, что подчеркивает сохраняющиеся уязвимости, с которыми сталкиваются пользователи, которые часто не обращают внимания на угрозы безопасности, связанные с доверием злоумышленникам. Этот случай служит ярким напоминанием о необходимости повышения осведомленности и применения надежных методов обеспечения безопасности для снижения угрозы, исходящей от таких целенаправленных вредоносных кампаний.

BABUK RANSOMWARE: A VICTIM OF INDODAX HACK

In this article, we are going to witness a case study where a Ransomware Group had lost their “hard-earned” ransom amount to another Crypto Exchange Heist.

https://theravenfile.com/2025/02/06/babuk-ransomware-a-victim-of-indodax-hack/

#ParsedReport #CompletenessHigh
11-02-2025

Sandworm APT Targets Ukrainian Users with Trojanized Microsoft KMS Activation Tools in Cyber Espionage Campaigns

https://blog.eclecticiq.com/sandworm-apt-targets-ukrainian-users-with-trojanized-microsoft-kms-activation-tools-in-cyber-espionage-campaigns

Report completeness: High

Actors/Campaigns:
Sandworm (motivation: information_theft, cyber_espionage)
Uac-0145
Unc4166

Threats:
Dcrat
Backorder
Kalambur
Kmsauto_tool
Typosquatting_technique
Lolbas_technique
Lolbin_technique
Dwagent_tool

Victims:
Ukrainian windows users, Ukrainian government, Utility companies

Industry:
Critical_infrastructure, Government, Ics

Geo:
Russia, Moscow, Ukrainian, Ukraine, Russian

TTPs:

IOCs:
Command: 1
File: 7
Path: 2
Url: 3
Domain: 11
IP: 2
Hash: 30

Soft:
TOR Browser, OpenSSH, ProtonMail, Windows Defender, PyInstaller, Windows security, Microsoft Defender, CURL, Microsoft Office

Algorithms:
base64, zip

Functions:
main_convert_B64_to_Str

Languages:
python, golang, php, powershell

YARA: Found
SIGMA: Found

#ParsedReport #ExtractedSchema

Classified images:
schema: 3, windows: 2, code: 9

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания по обновлению KMS, проводимая российским хакером Sandworm, нацелена на украинских пользователей Windows с помощью пиратских активаторов KMS, распространяющих загрузчик предварительных заказов для развертывания Dark Crystal RAT (DcRAT) для кибершпионажа. BACKORDER позволяет избежать обнаружения, отключив защитник Windows и используя PowerShell для сохранения, в то время как Kalambur, бэкдор RDP, имитирует Центр обновления Windows для скрытой связи. Такая тактика угрожает не только отдельным лицам, но и критически важной инфраструктуре в Украине.
-----

Кампания KMS Update нацелена на украинских пользователей Windows с помощью вредоносного программного обеспечения, в частности пиратских активаторов Microsoft Key Management Service (KMS) - тактики, используемой российским хакером Sandworm (APT44). Эта операция, судя по всему, проводилась с конца 2023 года, что совпало с продолжающейся войной на Украине. Sandworm использует эти пиратские инструменты для распространения BACKORDER - загрузчика, который в конечном итоге доставляет Dark Crystal RAT (DcRAT), облегчая кибершпионаж и вывоз конфиденциальных данных.

Использование троянского программного обеспечения значительно распространено из-за высокого уровня компьютерного пиратства в Украине, где около 70% программного обеспечения в государственном секторе является нелицензионным. Загрузчик BACKORDER особенно эффективен; он маскируется под законное средство активации KMS и запускает поддельный интерфейс активации Windows во время работы в фоновом режиме. Загрузчик эффективно отключает защитник Windows и манипулирует системными настройками, чтобы обеспечить незамеченное выполнение вредоносных программ.

Загрузчик BACKORDER демонстрирует сложные методы сохранения и обхода. В нем используются методы автономного использования двоичных файлов (LOLBA) и PowerShell для установки правил исключения в защитнике Windows, что позволяет обойти меры безопасности. Закодированная строка домена ведет к URL-адресу для загрузки DcRAT. После установки DcRAT подключается к серверу управления и переписки, где он может получать конфиденциальную информацию. Кроме того, DcRAT поддерживает свои позиции, создавая запланированные задачи, которые гарантируют, что вредоносная полезная нагрузка останется работоспособной даже после выхода пользователя из системы или перезагрузки системы.

Другой компонент этой кампании включает в себя новый RDP-бэкдор, Kalambur, предназначенный для имитации центра обновления Windows. Kalambur работает, загружая двоичный файл TOR для скрытой связи, в то время как задачи планировщика обеспечивают непрерывное выполнение. Его первоначальное действие заключается в установке прокси-сервера SOCKS5 для облегчения обмена командами через TOR. Эта вредоносная программа демонстрирует сложные методы, используемые Sandworm для поддержания контроля над сетями, в которые проникли злоумышленники.

Вредоносные действия, приписываемые Sandworm, нацелены не только на отдельных пользователей и предприятия, но и представляют угрозу для критически важной инфраструктуры в Украине. Инциденты, имевшие место в прошлом, такие как установка троянского программного обеспечения, в результате чего был получен несанкционированный доступ к технологиям коммунальной компании, свидетельствуют о потенциальных серьезных последствиях. Сочетание киберопераций с кинетической и экономической тактикой иллюстрирует более широкую стратегию, направленную на подрыв суверенитета Украины и дестабилизацию важнейших секторов экономики страны.

#technique

Path masquerading: Hide in plain sight

In this article, with a Standard User account, I will implement the masquerading attack technique to disguise the paths of payloads to closely resemble the path of the Antimalware Service Executable file.

https://www.zerosalarium.com/2025/01/path-masquerading-hide-in-plain-sight.html

#technique

Exploit Development: Investigating Kernel Mode Shadow Stacks on Windows

https://connormcgarr.github.io/km-shadow-stacks/

#ParsedReport #CompletenessHigh
11-02-2025

RATatouille: Cooking Up Chaos in the I2P Kitchen

https://blog.sekoia.io/ratatouille-cooking-up-chaos-in-the-i2p-kitchen/

Report completeness: High

Threats:
Clickfix_technique
I2prat
Dumpulator_tool
Dosvc
Typosquatting_technique
Process_injection_technique
Process_hollowing_technique

TTPs:
Tactics: 5
Technics: 18

IOCs:
File: 42
IP: 4
Command: 4
Hash: 1
Registry: 1

Soft:
Windows security, Process Explorer, Winlogon, Windows Defender, Microsoft Defender, Windows Service

Algorithms:
aes-128, aes, cbc, xor, sha256

Functions:
bytearray, RPC

Win API:
NtOpenProcess, NtOpenProcessToken, NtQueryInformationToken, GetSidSubAuthority, SeSecurityPrivilege, SeDebugPrivilege, AdjustTokenPrivileges, NtQuerySystemInformation, NtDuplicateObject, LdrLoadDll, have more...

Win Services:
Wuauserv, WaaSMedicSvc

Languages:
powershell, python

Links:
have more...
https://github.com/mrexodia/dumpulator
https://gist.github.com/lbpierre/318898548d9825d1a3610ee08c841916