#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 12, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания DEEP#DRIVE, связанная с северокорейским APT Kimsuky, нацелена на южнокорейские сектора, используя многоступенчатую тактику фишинга с использованием пользовательских приманок в форматах .hwp и .xlsx, используя PowerShell для выполнения полезной нагрузки из Dropbox. В кампании используется усовершенствованная система обфускации, позволяющая избежать обнаружения, путем фильтрации данных с помощью токенов OAuth, сохраняя при этом скрытность и постоянство.
-----

Продолжающаяся кампания DEEP#DRIVE attack, приписываемая северокорейской APT-группе Kimsuky, особенно нацелена на секторы в Южной Корее, включая предприятия, государственные учреждения и пользователей криптовалют. В этой сложной кампании используются многоэтапные операции, основанные на специальных фишинговых приманках, разработанных на корейском языке, которые маскируются под законные документы, такие как рабочие журналы и страховые полисы, для проникновения в целевую среду. Широкий выбор форматов файлов, включая .hwp, .xlsx и .pptx, наряду с надежными облачными сервисами, такими как Dropbox, для размещения вредоносной полезной нагрузки, облегчает обход традиционных мер безопасности.

В начале цепочки атак используется файл .lnk, замаскированный под законный документ. При запуске этот файл создает запланированную задачу с именем ChromeUpdateTaskMachine, обеспечивающую повторное выполнение вредоносных сценариев PowerShell. На этапе рекогносцировки используются сценарии (например, system_first.ps1) для сбора обширной системной информации, такой как сведения об операционной системе, запущенных процессах и антивирусных продуктах, с последующей отправкой этих данных обратно в Dropbox. Механизм доставки в значительной степени зависит от PowerShell, который загружает и выполняет полезную нагрузку с URL-адресов Dropbox, где реализованы методы обфускации, позволяющие скрыть вредоносный замысел кода.

Эксплойты PowerShell играют решающую роль в выполнении атаки. Например, скрипт temp.ps1 извлекает сжатую в Gzip сборку .NET (system_drive.dat), которая выполняется в памяти. Злоумышленники используют передовые методы обфускации, такие как бессмысленные имена переменных и чрезмерное заполнение кода командной строки, чтобы нарушить работу механизмов обнаружения, используемых антивирусами или аналитическими инструментами. Такая точность кода демонстрирует явное намерение обеспечить скрытность и устойчивость в зараженных системах.

Использование Dropbox не только служит эффективным методом распространения, но и усложняет обычный анализ, поскольку широко используемые платформы часто обходят протоколы обнаружения. Злоумышленники используют токены OAuth для беспрепятственного взаимодействия с API Dropbox, что позволяет эффективно извлекать разведывательные данные. В соответствии с методологией работы была обнаружена инфраструктура с динамичным недолговечием, а ссылки на Dropbox были быстро удалены после начальной стадии атаки, что свидетельствует о тщательном мониторинге операции.

Многогранная стратегия атаки, заложенная в DEEP#DRIVE, иллюстрирует методичный подход к кибератакам, в значительной степени основанный на использовании поведения пользователей с помощью вводящих в заблуждение документов. Используя различные тактики, Kimsuky продемонстрировала неизменную приверженность нацеливанию на интересы Южной Кореи с помощью изощренных фишинговых кампаний, о чем свидетельствует сходство с ранее выявленными операциями, такими как DEEP#GOSU. В целом, методы и цели этого хакера свидетельствуют о том, что он постоянно нацелен на южнокорейские компании, что подчеркивает необходимость повышенной бдительности в области кибербезопасности в отношении таких APT.

#ParsedReport #CompletenessHigh
16-02-2025

Don t Ghost the SocGholish: GhostWeaver Backdoor

https://trac-labs.com/dont-ghost-the-socgholish-ghostweaver-backdoor-574154dd9983

Report completeness: High

Actors/Campaigns:
Ta569
Unc4108

Threats:
Socgholish_loader
Ghostweaver
Mintsloader
Formgrabber
Mitm_technique
Netsupportmanager_rat
Boinc_tool
Juniper_stealer
Process_injection_technique
Pregrabber
Mmgrabber
Typosquatting_technique
Lolbin_technique
Credential_harvesting_technique
Process_hollowing_technique

Industry:
Financial

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1059.007, T1059.001, T1027, T1483, T1055.012, T1053.005, T1557.003, T1105, T1562.001

IOCs:
File: 45
Path: 3
Url: 5
Command: 3
Registry: 1
Hash: 8
Domain: 8

Soft:
Chrome, Firefox, Outlook, Active Directory, Chrome, Firefox, Chromium, Opera, Google Chrome, Yandex Browser, Comodo Dragon, have more...

Wallets:
bitcoincore, exodus_wallet, electrum, metamask

Algorithms:
ecdh, gzip, md5, aes-gcm, aes, zip, sha256, base64, bcrypt

Functions:
Get-DscResource, CreateInstance, InitializeClient, HandlePreGrabber, grabFF, FindExodusFolder, CreateFileMapping, DoStuff, Set-ItemProperty, InternetSetOption, have more...

Win API:
decompress, OpenProcess, DuplicateHandle, GetFileSizeEx, MapViewOfFile, AddClipboardFormatListener, WndProc, SetLastError, BCryptEnumContextFunctions, BCryptRemoveContextFunction, have more...

Languages:
rust, powershell, php, javascript

Platforms:
x86

Links:
have more...
https://github.com/RussianPanda95/Sigma-Rules/tree/main/UNC4108
https://github.com/RussianPanda95/Yara-Rules/tree/main/UNC4108
https://github.com/justcoding121/titanium-web-proxy/tree/develop

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная программа SocGholish с помощью поддельных запросов на обновление инициирует заражение вредоносным кодом JavaScript, что приводит к бэкдору GhostWeaver PowerShell, позволяющему передавать данные C2 и красть учетные данные. Он включает в себя запутанные соединения, генерацию доменов на основе DGA и продвинутые плагины, такие как Juniper Stealer для извлечения данных, что указывает на финансовую мотивацию хакера.
-----

Вредоносная программа SocGholish, также известная как FakeUpdates, инициирует заражение с помощью поддельных запросов на обновление браузера. Она загружает вредоносный файл JavaScript, который извлекает полезную нагрузку MintsLoader, которая запускает скрытый бэкдор PowerShell под названием GhostWeaver. GhostWeaver поддерживает связь со своим сервером управления (C2) и может выполнять удаленную полезную нагрузку с помощью команд PowerShell.

GhostWeaver обходит проверку сертификата для непроверенных соединений SSL/TLS, повышая скрытность. Он крадет конфиденциальную информацию из браузеров (Brave, Chrome, Firefox, Edge), Outlook и криптовалютных кошельков, используя методы веб-внедрения и настройки прокси-сервера man-in-the-middle.

Хакер, действующий под такими псевдонимами, как GOLD PRELUDE и TA569, использует кириллические символы в именах файлов вредоносных программ, указывая на их потенциальное происхождение. Бэкдор использует методы обфускации, генерирует домены DGA (например, .top, .fun) и изначально устанавливает неавторизованное соединение перед получением команд.

GhostWeaver выполняет команды, сжатые в формате GZIP, с помощью функции Invoke-Expression в PowerShell. Он поддерживает плагины, которые расширяют его функциональность и поддерживают постоянство за счет регулярного обмена сообщениями ping. Известные плагины включают Juniper Stealer и Formgrabber, которые обрабатывают данные криптовалютного кошелька с помощью динамического веб-внедрения и передовых методов уклонения.

Juniper Stealer использует внедрение процессов для извлечения файлов cookie браузера и расшифровки сохраненных данных Chrome с помощью DPAPI и CDP. Он собирает конфиденциальную информацию из Firefox, используя для расшифровки библиотеку NSS. Хакерская группа, стоящая за SocGholish, имеет финансовую мотивацию и стремится монетизировать конфиденциальные персональные данные, доступ к которым осуществляется с помощью этих сложных и систематических методов.

#ParsedReport #CompletenessHigh
15-02-2025

Lumma Stealer Chronicles: PDF-themed Campaign Using Compromised Educational Institutions' Infrastructure

https://www.cloudsek.com/blog/lumma-stealer-chronicles-pdf-themed-campaign-using-compromised-educational-institutions-infrastructure

Report completeness: High

Threats:
Lumma_stealer
Cloaking_technique

Victims:
Compromised educational institutions

Industry:
Education, Financial, Government, Healthcare

TTPs:
Tactics: 11
Technics: 16

IOCs:
File: 2
Url: 5
Hash: 3
Domain: 17
IP: 2

Soft:
Steam

Algorithms:
cbc, aes

Languages:
powershell, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная программа Lumma Stealer нацелена на различные сектора, используя вредоносные файлы LNK, замаскированные под PDF-файлы, используя социальную инженерию для инициирования многоэтапного заражения. Она извлекает конфиденциальные данные с помощью команд PowerShell и подключается к серверам управления, даже используя Steam, чтобы избежать обнаружения.
-----

Вредоносная кампания Lumma Stealer демонстрирует сложный подход к распространению вредоносной информации через взломанные образовательные учреждения, в частности, с использованием файлов LNK, которые маскируются под документы PDF. Эта атака в первую очередь нацелена на несколько секторов, включая образование, здравоохранение, финансы и технологии. Принцип действия кампании основан на тактике социальной инженерии, направленной на то, чтобы обманом заставить пользователей запускать вредоносные файлы LNK, что приводит к многоэтапному процессу заражения системы жертвы. После развертывания Lumma Stealer извлекает конфиденциальную информацию, такую как пароли, учетные данные браузера и данные криптовалютного кошелька.

Заражение обычно начинается с того, что пользователь заходит на взломанный веб-сайт, который перенаправляет его на сервер WebDAV, на котором размещены вредоносные файлы. Например, в одном конкретном случае URL-адрес, связанный со структурой школьных сборов, загружает вредоносный файл LNK, замаскированный под PDF. В этом файле используется значок, напоминающий подлинный документ, и используется тактика обмана, обычно используемая в фишинговых схемах. Сам файл LNK содержит команду PowerShell, которая подключается к удаленному серверу и выполняет следующий этап атаки. Точка входа использует законный исполняемый файл Microsoft "mshta.exe" для загрузки дополнительных полезных данных.

Технический анализ архитектуры Lumma Stealer показывает, что файл LNK запускает сценарий PowerShell, встроенный в обфускированный JavaScript, предназначенный для оценки и выполнения вредоносного кода. Этот скрипт использует шифрование AES и расшифровывает полезную нагрузку в режиме CBC с помощью жестко закодированного ключа, демонстрируя различные методы обфускации, что усложняет усилия по обнаружению. Конечной целью этой цепочки заражений является загрузка и запуск исполняемого файла Lumma Stealer с удаленных серверов.

После заражения Lumma Stealer устанавливает соединения с несколькими серверами управления (C2) для извлечения украденных данных. Однако в ходе анализа было обнаружено, что многие домены C2 недоступны, что вынуждает вредоносное ПО использовать альтернативные пути связи через профили Steam. Такие методы обхода используют надежную платформу Steam, где вредоносное ПО способно маскировать трафик C2. Попытки подключения показывают, что угрозы динамически адаптируются к своей среде, что затрудняет их эффективное обнаружение и перехват стандартными мерами безопасности.

Таким образом, кампания Lumma Stealer является ярким примером продолжающейся эволюции методов доставки вредоносных программ, подчеркивая важность осведомленности пользователей и корпоративной защиты от кибербезопасности. Используя распространенные типы файлов и законные веб-сервисы в неблаговидных целях, кампания подчеркивает значительные риски, связанные с APT, которые нацелены на конфиденциальную информацию в самых разных отраслях.

#ParsedReport #CompletenessLow
17-02-2025

LDAPNightmare Spoof Stealer

https://labs.k7computing.com/index.php/ldapnightmare-spoof-stealer/

Report completeness: Low

Threats:
Ldapnightmare_vuln
Upx_tool

Victims:
Security researchers

CVEs:
CVE-2024-49113 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20857)
- microsoft windows 10 1607 (<10.0.14393.7606)
- microsoft windows 10 1809 (<10.0.17763.6659)
- microsoft windows 10 21h2 (<10.0.19044.5247)
- microsoft windows 10 22h2 (<10.0.19045.5247)
have more...
CVE-2024-49112 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20857)
- microsoft windows 10 1607 (<10.0.14393.7606)
- microsoft windows 10 1809 (<10.0.17763.6659)
- microsoft windows 10 21h2 (<10.0.19044.5247)
- microsoft windows 10 22h2 (<10.0.19045.5247)
have more...

ChatGPT TTPs:
do not use without manual check
T1059.001, T1053.005, T1071.002, T1027, T1036

IOCs:
Path: 1
Hash: 3
Url: 2

Soft:
Twitter

Algorithms:
base64, zip

Languages:
python, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Типографская ошибка в эксплойте Safebreach Labs POC для CVE-2024-49112 привела к тому, что хакеры создали вредоносный репозиторий на GitHub, в котором, как утверждается, размещен эксплойт. Вредоносная программа, замаскированная под скрипт на Python, выполняет скрипт PowerShell для загрузки данных на FTP-сервер и устанавливает запланированное задание для сохранения.
-----

1 января 2025 года Safebreach Labs опубликовала эксплойт для проверки концепции (POC), относящийся к CVE-2024-49112, уязвимости, связанной с облегченным протоколом доступа к каталогам Microsoft (LDAP). Однако из-за типографской ошибки они неправильно обозначили POC как относящийся к CVE-2024-49113. Этой путаницей воспользовались хакеры, которые создали вредоносный репозиторий на GitHub, содержащий сфабрикованный файл эксплойта POC, и ложно утверждали, что он принадлежит Safebreach Labs.

Вредоносный файл, разработанный на PureBasic и сжатый с использованием UPX, маскируется под скрипт на Python. После выполнения он развертывает скрипт PowerShell с правами администратора из каталога %AppData%\Local\Temp. Этот скрипт загружает zip-файл на внешний FTP-сервер (ftp://ftp.drivehq.com/wwwhome), используя жестко заданные учетные данные, привязанные к автору вредоносной программы. Кроме того, он устанавливает запланированное задание, которое запускается ежедневно в 10:00 утра с повышенными разрешениями, обеспечивая постоянство и скрытое выполнение полезной нагрузки.

Этот инцидент подчеркивает уязвимости, связанные с типографскими ошибками в контексте кибербезопасности, и то, как они могут быть легко использованы злоумышленниками. Это подчеркивает острую необходимость для пользователей проверять подлинность репозиториев GitHub, оценивать источники файлов перед загрузкой и быть бдительными в отношении дат публикации таких файлов. Учитывая конфиденциальность информации, которая может быть скомпрометирована с помощью подобных вредоносных программ, поддержание надежных методов обеспечения безопасности имеет важное значение для снижения потенциальных рисков.

#ParsedReport #CompletenessLow
17-02-2025

EagerBee: Advanced Backdoor Attacks on Middle Eastern Governments and ISPs

https://socradar.io/eagerbee-backdoor-attacks-on-middle-eastern-governments-isps/

Report completeness: Low

Actors/Campaigns:
Coughingdown (motivation: cyber_espionage)

Threats:
Eagerbee
Credential_dumping_technique

Victims:
Government entities, Internet service providers

Industry:
Government, Telco

Geo:
United arab emirates, Saudi arabia, Oman, Bahrain, Qatar, Arab emirates, Middle east, Kuwait

ChatGPT TTPs:
do not use without manual check
T1003, T1219, T1057, T1059, T1566

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания EagerBee, приписываемая группе CoughingDown, нацелена на государственные учреждения и интернет-провайдеров на Ближнем Востоке, используя передовые технологии "черного хода" для удаленного доступа и манипулирования системами. Ключевые тактические приемы включают социальную инженерию, сброс учетных данных и выполнение команд для поддержания контроля над скомпрометированными системами.
-----

Кампания EagerBee приобрела известность как крупная хакерская атака, нацеленная в основном на государственные учреждения и интернет-провайдеров (ISP) на Ближнем Востоке. Эта кампания, приписываемая группе кибершпионажей, известной как CoughingDown, является примером сложного и изощренного подхода к кибератакам, особенно в регионах, характеризующихся геополитической напряженностью. Кампания была особенно разрушительной, поскольку в ней использовались передовые методы бэкдора, которые позволяют хакеру добиться широкого контроля над скомпрометированными системами, сводя к минимуму обнаруживаемые следы.

CoughingDown использует целый ряд тактик для проникновения в свои сети, в частности, социальную инженерию, утечку учетных данных и манипулирование системой. Эти методы позволяют им получать доступ к конфиденциальным системам и извлекать ценную информацию. Технические возможности кампании включают в себя расширенные возможности бэкдора, такие как манипулирование файловой системой, удаленный доступ и обнаружение процессов. Как только система скомпрометирована, вредоносное ПО, используемое в атаках, может выполнять команды и развертывать дополнительную полезную нагрузку, обеспечивая полный контроль над уязвимой средой.

В число конкретных целей кампании EagerBee входят ключевые страны Ближнего Востока, а именно Саудовская Аравия, Объединенные Арабские Эмираты, Катар, Кувейт, Бахрейн и Оман. В этих странах расположена критически важная инфраструктура, и они часто являются центрами кибершпионажа и нестабильности в регионе. Следовательно, последствия действий таких хакеров выходят за рамки отдельных организаций, создавая значительные риски для региональной безопасности в целом.

Организациям в этих целевых секторах необходимо принять комплексные стратегии защиты, чтобы защитить свои системы от изощренной тактики, используемой такими группами, как CoughingDown. Это включает в себя повышение их осведомленности о методах социальной инженерии, внедрение надежных методов управления учетными данными и укрепление возможностей мониторинга сети для эффективного выявления и устранения потенциальных вторжений. Понимание признаков компрометации, связанных с кампанией EagerBee, и постоянное информирование об изменяющихся методах атак имеют решающее значение для поддержания устойчивости кибербезопасности в условиях высокого риска.

#ParsedReport #CompletenessLow
17-02-2025

PirateFi Game on Steam Delivered Vidar Infostealer in Elaborate Crypto-Targeted Attack

https://www.secureblink.com/cyber-security-news/pirate-fi-game-on-steam-delivered-vidar-infostealer-in-elaborate-crypto-targeted-attack

Report completeness: Low

Threats:
Vidar_stealer
Epsilon

Victims:
Steam users

Industry:
Entertainment, Financial

ChatGPT TTPs:
do not use without manual check
T1195, T1555.003, T1027

IOCs:
File: 2

Soft:
Steam, InnoSetup, Chrome

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Платформа Steam была взломана игрой PirateFi, которая распространяла вредоносное ПО Vidar, нацеленное на шифрование данных, и затронула более 1500 пользователей. Вредоносное ПО, скрытое в легальном установщике, собирало конфиденциальную информацию и использовало тактику адаптивного C2. Были выявлены недостатки в системе безопасности Steam, что вызвало призывы к улучшению процессов проверки и анализа вредоносных программ.
-----

Игровая платформа Steam столкнулась со значительным нарушением безопасности из-за бесплатной игры под названием PirateFi, которая заразила более 1500 пользователей вредоносным ПО Vidar, специально предназначенным для шифрования данных. Игра была загружена 6 февраля под учетной записью разработчика Seaworth Interactive и была удалена 12 февраля после того, как Steam обнаружил вредоносное программное обеспечение. Пользователи были предупреждены о потенциальных рисках с рекомендациями сбросить пароли и рассмотреть возможность полной переустановки операционной системы.

Вредоносная программа использовала многоэтапный процесс развертывания, используя уязвимости в системе безопасности цифрового магазина. Первоначальный установщик был создан с использованием InnoSetup, легального инструмента, который использовался для сокрытия вредоносного ПО — Howard.exe, что затрудняло его первоначальное обнаружение. Динамический анализ подтвердил, что встроенная полезная нагрузка - это Vidar, печально известный тем, что собирает конфиденциальную информацию, такую как учетные данные браузера, данные крипто-кошелька и сессионные файлы cookie. Более того, злоумышленники использовали адаптивную стратегию командования и контроля (C2), часто меняя свои серверы C2 и используя методы обфускации, чтобы обойти защиту сети. Бренд PirateFi был разработан специально для привлечения жертв, связанных с блокчейном и криптовалютами, ориентируясь на пользователей с ценными цифровыми активами.

По мнению экспертов по кибербезопасности, этот инцидент выявил критические недостатки в мерах безопасности Steam. Несмотря на некоторые обновления в 2023 году, направленные на улучшение протоколов защиты, включая проверку на основе SMS, этих мер оказалось недостаточно для предотвращения взлома. Этот инцидент вызвал дискуссии о необходимости улучшения процессов проверки разработчиков игр и внедрения анализа вредоносных программ в режиме реального времени для всего загружаемого контента.

Последствия возможностей Vidar выходят за рамки воздействия на одного пользователя; они включают в себя захват учетных записей с помощью кражи файлов cookie браузера, кражу криптовалюты через доступ к учетным данным кошелька и мошенничество с личными данными в результате сбора электронных писем и паролей, которые часто продаются на темных веб-площадках. Пострадавшим пользователям рекомендуется внимательно следить за своими финансовыми и крипто-аккаунтами на предмет любой подозрительной активности и использовать средства защиты от вредоносных программ, такие как Malwarebytes или HitmanPro.

Исторически сложилось так, что Steam неоднократно сталкивался с инцидентами безопасности, что указывает на тенденцию к тому, что открытая экосистема моддинга платформы и широкий доступ разработчиков делают ее привлекательной мишенью для злоумышленников. Это нарушение, связанное с PirateFi, подчеркивает двойственный характер использования законных инструментов в злонамеренных целях и того, как тактика социальной инженерии, особенно тематические приманки, привлекательные для нишевых сообществ, еще больше повышают риски. После инцидента Steam временно приостановил отправку всех новых игр на проверку, а учетная запись разработчика PirateFi была заблокирована, поскольку Valve работает с правоохранительными органами над устранением нарушения. Напоминаем, что использование бесплатных игр часто может привести к скрытым рискам и затратам.

#ParsedReport #CompletenessMedium
18-02-2025

Zhong Stealer Analysis: New Malware Targeting Fintech and Cryptocurrency

https://any.run/cybersecurity-blog/zhong-stealer-malware-analysis/

Report completeness: Medium

Threats:
Zhong_stealer

Industry:
Financial

Geo:
Hong kong, Chinese

TTPs:

IOCs:
File: 15
Registry: 1
Hash: 4
Url: 4
Email: 1
Domain: 1
IP: 2

Soft:
Android, Task Scheduler, Windows registry, Linux

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В декабре 2024 года в рамках фишинговой кампании была запущена вредоносная программа Zhong Stealer, которая подключается к гонконгскому серверу C2 и использует для взлома учетные данные браузера. Он использует тактику обеспечения постоянства, такую как изменение разделов реестра и использование запланированных задач, при общении через нестандартный порт 1131, чтобы избежать обнаружения.
-----

В декабре 2024 года была выявлена фишинговая кампания, направленная на сектор криптовалют и финтех-технологий, в центре которой была недавно обнаруженная вредоносная программа, известная как Zhong Stealer. Эта кампания высветила угрозу, исходящую от этой вредоносной программы-похитителя, которая была примечательна своим отсутствием в предыдущих обсуждениях в сообществе хакерской разведки. После запуска Zhong Stealer устанавливает контакт с сервером управления (C2), расположенным в Гонконге, демонстрируя рассчитанный процесс выполнения, который облегчает масштабную фильтрацию данных. Вредоносная программа использует несколько тактик для обеспечения устойчивости и эффективного распространения своих возможностей.

Выполнение начинается с того, что вредоносная программа запрашивает сервер C2, размещенный в Alibaba Cloud, где она извлекает файл инвентаризации компонентов, который определяет последующие действия. Примечательно, что Zhong Stealer собирает системные языковые настройки — тактика, часто используемая в программах—вымогателях, - чтобы избежать нацеливания на нежелательные регионы. Он также интегрирует запланированные задачи с помощью планировщика задач Windows, что позволяет ему сохранять функциональность при перезагрузке системы, хотя это и не является основным методом сохранения. Кроме того, вредоносная программа изменяет разделы реестра, чтобы обеспечить выполнение во время запуска системы, что способствует ее сохранению.

Основной целью Zhong Stealer является кража учетных данных браузера и дополнительных конфиденциальных данных. Он запускает сбор данных с помощью таких браузеров, как Brave, а затем Edge и Internet Explorer, которые обычно предустановлены в большинстве систем Windows и представляют собой выгодные цели для злоумышленников. После сбора украденной информации вредоносная программа использует порт 1131 для связи со своим сервером C2, чтобы отфильтровать скомпрометированные данные. Использование нестандартного порта является тактикой уклонения, обычно применяемой для обхода обнаружения.

Вредоносная программа использует различные тактики, методы и процедуры (TTP), включая отключение ведения журнала событий, чтобы средства безопасности не могли эффективно документировать ее действия. Изменение параметров реестра Windows обеспечивает его запуск при загрузке системы, создание запланированных задач для поддержания постоянства и использование необычных портов для передачи данных - все это делает Zhong Stealer особенно опасной угрозой. Эффективность кампании повышается благодаря усилиям социальной инженерии, направленным, в частности, на группы поддержки клиентов, что отражает распространенную практику использования доверия людей для обхода обычных мер безопасности.