#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная программа SocGholish с помощью поддельных запросов на обновление инициирует заражение вредоносным кодом JavaScript, что приводит к бэкдору GhostWeaver PowerShell, позволяющему передавать данные C2 и красть учетные данные. Он включает в себя запутанные соединения, генерацию доменов на основе DGA и продвинутые плагины, такие как Juniper Stealer для извлечения данных, что указывает на финансовую мотивацию хакера.
-----

Вредоносная программа SocGholish, также известная как FakeUpdates, инициирует заражение с помощью поддельных запросов на обновление браузера. Она загружает вредоносный файл JavaScript, который извлекает полезную нагрузку MintsLoader, которая запускает скрытый бэкдор PowerShell под названием GhostWeaver. GhostWeaver поддерживает связь со своим сервером управления (C2) и может выполнять удаленную полезную нагрузку с помощью команд PowerShell.

GhostWeaver обходит проверку сертификата для непроверенных соединений SSL/TLS, повышая скрытность. Он крадет конфиденциальную информацию из браузеров (Brave, Chrome, Firefox, Edge), Outlook и криптовалютных кошельков, используя методы веб-внедрения и настройки прокси-сервера man-in-the-middle.

Хакер, действующий под такими псевдонимами, как GOLD PRELUDE и TA569, использует кириллические символы в именах файлов вредоносных программ, указывая на их потенциальное происхождение. Бэкдор использует методы обфускации, генерирует домены DGA (например, .top, .fun) и изначально устанавливает неавторизованное соединение перед получением команд.

GhostWeaver выполняет команды, сжатые в формате GZIP, с помощью функции Invoke-Expression в PowerShell. Он поддерживает плагины, которые расширяют его функциональность и поддерживают постоянство за счет регулярного обмена сообщениями ping. Известные плагины включают Juniper Stealer и Formgrabber, которые обрабатывают данные криптовалютного кошелька с помощью динамического веб-внедрения и передовых методов уклонения.

Juniper Stealer использует внедрение процессов для извлечения файлов cookie браузера и расшифровки сохраненных данных Chrome с помощью DPAPI и CDP. Он собирает конфиденциальную информацию из Firefox, используя для расшифровки библиотеку NSS. Хакерская группа, стоящая за SocGholish, имеет финансовую мотивацию и стремится монетизировать конфиденциальные персональные данные, доступ к которым осуществляется с помощью этих сложных и систематических методов.

#ParsedReport #CompletenessHigh
15-02-2025

Lumma Stealer Chronicles: PDF-themed Campaign Using Compromised Educational Institutions' Infrastructure

https://www.cloudsek.com/blog/lumma-stealer-chronicles-pdf-themed-campaign-using-compromised-educational-institutions-infrastructure

Report completeness: High

Threats:
Lumma_stealer
Cloaking_technique

Victims:
Compromised educational institutions

Industry:
Education, Financial, Government, Healthcare

TTPs:
Tactics: 11
Technics: 16

IOCs:
File: 2
Url: 5
Hash: 3
Domain: 17
IP: 2

Soft:
Steam

Algorithms:
cbc, aes

Languages:
powershell, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная программа Lumma Stealer нацелена на различные сектора, используя вредоносные файлы LNK, замаскированные под PDF-файлы, используя социальную инженерию для инициирования многоэтапного заражения. Она извлекает конфиденциальные данные с помощью команд PowerShell и подключается к серверам управления, даже используя Steam, чтобы избежать обнаружения.
-----

Вредоносная кампания Lumma Stealer демонстрирует сложный подход к распространению вредоносной информации через взломанные образовательные учреждения, в частности, с использованием файлов LNK, которые маскируются под документы PDF. Эта атака в первую очередь нацелена на несколько секторов, включая образование, здравоохранение, финансы и технологии. Принцип действия кампании основан на тактике социальной инженерии, направленной на то, чтобы обманом заставить пользователей запускать вредоносные файлы LNK, что приводит к многоэтапному процессу заражения системы жертвы. После развертывания Lumma Stealer извлекает конфиденциальную информацию, такую как пароли, учетные данные браузера и данные криптовалютного кошелька.

Заражение обычно начинается с того, что пользователь заходит на взломанный веб-сайт, который перенаправляет его на сервер WebDAV, на котором размещены вредоносные файлы. Например, в одном конкретном случае URL-адрес, связанный со структурой школьных сборов, загружает вредоносный файл LNK, замаскированный под PDF. В этом файле используется значок, напоминающий подлинный документ, и используется тактика обмана, обычно используемая в фишинговых схемах. Сам файл LNK содержит команду PowerShell, которая подключается к удаленному серверу и выполняет следующий этап атаки. Точка входа использует законный исполняемый файл Microsoft "mshta.exe" для загрузки дополнительных полезных данных.

Технический анализ архитектуры Lumma Stealer показывает, что файл LNK запускает сценарий PowerShell, встроенный в обфускированный JavaScript, предназначенный для оценки и выполнения вредоносного кода. Этот скрипт использует шифрование AES и расшифровывает полезную нагрузку в режиме CBC с помощью жестко закодированного ключа, демонстрируя различные методы обфускации, что усложняет усилия по обнаружению. Конечной целью этой цепочки заражений является загрузка и запуск исполняемого файла Lumma Stealer с удаленных серверов.

После заражения Lumma Stealer устанавливает соединения с несколькими серверами управления (C2) для извлечения украденных данных. Однако в ходе анализа было обнаружено, что многие домены C2 недоступны, что вынуждает вредоносное ПО использовать альтернативные пути связи через профили Steam. Такие методы обхода используют надежную платформу Steam, где вредоносное ПО способно маскировать трафик C2. Попытки подключения показывают, что угрозы динамически адаптируются к своей среде, что затрудняет их эффективное обнаружение и перехват стандартными мерами безопасности.

Таким образом, кампания Lumma Stealer является ярким примером продолжающейся эволюции методов доставки вредоносных программ, подчеркивая важность осведомленности пользователей и корпоративной защиты от кибербезопасности. Используя распространенные типы файлов и законные веб-сервисы в неблаговидных целях, кампания подчеркивает значительные риски, связанные с APT, которые нацелены на конфиденциальную информацию в самых разных отраслях.

#ParsedReport #CompletenessLow
17-02-2025

LDAPNightmare Spoof Stealer

https://labs.k7computing.com/index.php/ldapnightmare-spoof-stealer/

Report completeness: Low

Threats:
Ldapnightmare_vuln
Upx_tool

Victims:
Security researchers

CVEs:
CVE-2024-49113 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20857)
- microsoft windows 10 1607 (<10.0.14393.7606)
- microsoft windows 10 1809 (<10.0.17763.6659)
- microsoft windows 10 21h2 (<10.0.19044.5247)
- microsoft windows 10 22h2 (<10.0.19045.5247)
have more...
CVE-2024-49112 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20857)
- microsoft windows 10 1607 (<10.0.14393.7606)
- microsoft windows 10 1809 (<10.0.17763.6659)
- microsoft windows 10 21h2 (<10.0.19044.5247)
- microsoft windows 10 22h2 (<10.0.19045.5247)
have more...

ChatGPT TTPs:
do not use without manual check
T1059.001, T1053.005, T1071.002, T1027, T1036

IOCs:
Path: 1
Hash: 3
Url: 2

Soft:
Twitter

Algorithms:
base64, zip

Languages:
python, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Типографская ошибка в эксплойте Safebreach Labs POC для CVE-2024-49112 привела к тому, что хакеры создали вредоносный репозиторий на GitHub, в котором, как утверждается, размещен эксплойт. Вредоносная программа, замаскированная под скрипт на Python, выполняет скрипт PowerShell для загрузки данных на FTP-сервер и устанавливает запланированное задание для сохранения.
-----

1 января 2025 года Safebreach Labs опубликовала эксплойт для проверки концепции (POC), относящийся к CVE-2024-49112, уязвимости, связанной с облегченным протоколом доступа к каталогам Microsoft (LDAP). Однако из-за типографской ошибки они неправильно обозначили POC как относящийся к CVE-2024-49113. Этой путаницей воспользовались хакеры, которые создали вредоносный репозиторий на GitHub, содержащий сфабрикованный файл эксплойта POC, и ложно утверждали, что он принадлежит Safebreach Labs.

Вредоносный файл, разработанный на PureBasic и сжатый с использованием UPX, маскируется под скрипт на Python. После выполнения он развертывает скрипт PowerShell с правами администратора из каталога %AppData%\Local\Temp. Этот скрипт загружает zip-файл на внешний FTP-сервер (ftp://ftp.drivehq.com/wwwhome), используя жестко заданные учетные данные, привязанные к автору вредоносной программы. Кроме того, он устанавливает запланированное задание, которое запускается ежедневно в 10:00 утра с повышенными разрешениями, обеспечивая постоянство и скрытое выполнение полезной нагрузки.

Этот инцидент подчеркивает уязвимости, связанные с типографскими ошибками в контексте кибербезопасности, и то, как они могут быть легко использованы злоумышленниками. Это подчеркивает острую необходимость для пользователей проверять подлинность репозиториев GitHub, оценивать источники файлов перед загрузкой и быть бдительными в отношении дат публикации таких файлов. Учитывая конфиденциальность информации, которая может быть скомпрометирована с помощью подобных вредоносных программ, поддержание надежных методов обеспечения безопасности имеет важное значение для снижения потенциальных рисков.

#ParsedReport #CompletenessLow
17-02-2025

EagerBee: Advanced Backdoor Attacks on Middle Eastern Governments and ISPs

https://socradar.io/eagerbee-backdoor-attacks-on-middle-eastern-governments-isps/

Report completeness: Low

Actors/Campaigns:
Coughingdown (motivation: cyber_espionage)

Threats:
Eagerbee
Credential_dumping_technique

Victims:
Government entities, Internet service providers

Industry:
Government, Telco

Geo:
United arab emirates, Saudi arabia, Oman, Bahrain, Qatar, Arab emirates, Middle east, Kuwait

ChatGPT TTPs:
do not use without manual check
T1003, T1219, T1057, T1059, T1566

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания EagerBee, приписываемая группе CoughingDown, нацелена на государственные учреждения и интернет-провайдеров на Ближнем Востоке, используя передовые технологии "черного хода" для удаленного доступа и манипулирования системами. Ключевые тактические приемы включают социальную инженерию, сброс учетных данных и выполнение команд для поддержания контроля над скомпрометированными системами.
-----

Кампания EagerBee приобрела известность как крупная хакерская атака, нацеленная в основном на государственные учреждения и интернет-провайдеров (ISP) на Ближнем Востоке. Эта кампания, приписываемая группе кибершпионажей, известной как CoughingDown, является примером сложного и изощренного подхода к кибератакам, особенно в регионах, характеризующихся геополитической напряженностью. Кампания была особенно разрушительной, поскольку в ней использовались передовые методы бэкдора, которые позволяют хакеру добиться широкого контроля над скомпрометированными системами, сводя к минимуму обнаруживаемые следы.

CoughingDown использует целый ряд тактик для проникновения в свои сети, в частности, социальную инженерию, утечку учетных данных и манипулирование системой. Эти методы позволяют им получать доступ к конфиденциальным системам и извлекать ценную информацию. Технические возможности кампании включают в себя расширенные возможности бэкдора, такие как манипулирование файловой системой, удаленный доступ и обнаружение процессов. Как только система скомпрометирована, вредоносное ПО, используемое в атаках, может выполнять команды и развертывать дополнительную полезную нагрузку, обеспечивая полный контроль над уязвимой средой.

В число конкретных целей кампании EagerBee входят ключевые страны Ближнего Востока, а именно Саудовская Аравия, Объединенные Арабские Эмираты, Катар, Кувейт, Бахрейн и Оман. В этих странах расположена критически важная инфраструктура, и они часто являются центрами кибершпионажа и нестабильности в регионе. Следовательно, последствия действий таких хакеров выходят за рамки отдельных организаций, создавая значительные риски для региональной безопасности в целом.

Организациям в этих целевых секторах необходимо принять комплексные стратегии защиты, чтобы защитить свои системы от изощренной тактики, используемой такими группами, как CoughingDown. Это включает в себя повышение их осведомленности о методах социальной инженерии, внедрение надежных методов управления учетными данными и укрепление возможностей мониторинга сети для эффективного выявления и устранения потенциальных вторжений. Понимание признаков компрометации, связанных с кампанией EagerBee, и постоянное информирование об изменяющихся методах атак имеют решающее значение для поддержания устойчивости кибербезопасности в условиях высокого риска.

#ParsedReport #CompletenessLow
17-02-2025

PirateFi Game on Steam Delivered Vidar Infostealer in Elaborate Crypto-Targeted Attack

https://www.secureblink.com/cyber-security-news/pirate-fi-game-on-steam-delivered-vidar-infostealer-in-elaborate-crypto-targeted-attack

Report completeness: Low

Threats:
Vidar_stealer
Epsilon

Victims:
Steam users

Industry:
Entertainment, Financial

ChatGPT TTPs:
do not use without manual check
T1195, T1555.003, T1027

IOCs:
File: 2

Soft:
Steam, InnoSetup, Chrome

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Платформа Steam была взломана игрой PirateFi, которая распространяла вредоносное ПО Vidar, нацеленное на шифрование данных, и затронула более 1500 пользователей. Вредоносное ПО, скрытое в легальном установщике, собирало конфиденциальную информацию и использовало тактику адаптивного C2. Были выявлены недостатки в системе безопасности Steam, что вызвало призывы к улучшению процессов проверки и анализа вредоносных программ.
-----

Игровая платформа Steam столкнулась со значительным нарушением безопасности из-за бесплатной игры под названием PirateFi, которая заразила более 1500 пользователей вредоносным ПО Vidar, специально предназначенным для шифрования данных. Игра была загружена 6 февраля под учетной записью разработчика Seaworth Interactive и была удалена 12 февраля после того, как Steam обнаружил вредоносное программное обеспечение. Пользователи были предупреждены о потенциальных рисках с рекомендациями сбросить пароли и рассмотреть возможность полной переустановки операционной системы.

Вредоносная программа использовала многоэтапный процесс развертывания, используя уязвимости в системе безопасности цифрового магазина. Первоначальный установщик был создан с использованием InnoSetup, легального инструмента, который использовался для сокрытия вредоносного ПО — Howard.exe, что затрудняло его первоначальное обнаружение. Динамический анализ подтвердил, что встроенная полезная нагрузка - это Vidar, печально известный тем, что собирает конфиденциальную информацию, такую как учетные данные браузера, данные крипто-кошелька и сессионные файлы cookie. Более того, злоумышленники использовали адаптивную стратегию командования и контроля (C2), часто меняя свои серверы C2 и используя методы обфускации, чтобы обойти защиту сети. Бренд PirateFi был разработан специально для привлечения жертв, связанных с блокчейном и криптовалютами, ориентируясь на пользователей с ценными цифровыми активами.

По мнению экспертов по кибербезопасности, этот инцидент выявил критические недостатки в мерах безопасности Steam. Несмотря на некоторые обновления в 2023 году, направленные на улучшение протоколов защиты, включая проверку на основе SMS, этих мер оказалось недостаточно для предотвращения взлома. Этот инцидент вызвал дискуссии о необходимости улучшения процессов проверки разработчиков игр и внедрения анализа вредоносных программ в режиме реального времени для всего загружаемого контента.

Последствия возможностей Vidar выходят за рамки воздействия на одного пользователя; они включают в себя захват учетных записей с помощью кражи файлов cookie браузера, кражу криптовалюты через доступ к учетным данным кошелька и мошенничество с личными данными в результате сбора электронных писем и паролей, которые часто продаются на темных веб-площадках. Пострадавшим пользователям рекомендуется внимательно следить за своими финансовыми и крипто-аккаунтами на предмет любой подозрительной активности и использовать средства защиты от вредоносных программ, такие как Malwarebytes или HitmanPro.

Исторически сложилось так, что Steam неоднократно сталкивался с инцидентами безопасности, что указывает на тенденцию к тому, что открытая экосистема моддинга платформы и широкий доступ разработчиков делают ее привлекательной мишенью для злоумышленников. Это нарушение, связанное с PirateFi, подчеркивает двойственный характер использования законных инструментов в злонамеренных целях и того, как тактика социальной инженерии, особенно тематические приманки, привлекательные для нишевых сообществ, еще больше повышают риски. После инцидента Steam временно приостановил отправку всех новых игр на проверку, а учетная запись разработчика PirateFi была заблокирована, поскольку Valve работает с правоохранительными органами над устранением нарушения. Напоминаем, что использование бесплатных игр часто может привести к скрытым рискам и затратам.

#ParsedReport #CompletenessMedium
18-02-2025

Zhong Stealer Analysis: New Malware Targeting Fintech and Cryptocurrency

https://any.run/cybersecurity-blog/zhong-stealer-malware-analysis/

Report completeness: Medium

Threats:
Zhong_stealer

Industry:
Financial

Geo:
Hong kong, Chinese

TTPs:

IOCs:
File: 15
Registry: 1
Hash: 4
Url: 4
Email: 1
Domain: 1
IP: 2

Soft:
Android, Task Scheduler, Windows registry, Linux

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В декабре 2024 года в рамках фишинговой кампании была запущена вредоносная программа Zhong Stealer, которая подключается к гонконгскому серверу C2 и использует для взлома учетные данные браузера. Он использует тактику обеспечения постоянства, такую как изменение разделов реестра и использование запланированных задач, при общении через нестандартный порт 1131, чтобы избежать обнаружения.
-----

В декабре 2024 года была выявлена фишинговая кампания, направленная на сектор криптовалют и финтех-технологий, в центре которой была недавно обнаруженная вредоносная программа, известная как Zhong Stealer. Эта кампания высветила угрозу, исходящую от этой вредоносной программы-похитителя, которая была примечательна своим отсутствием в предыдущих обсуждениях в сообществе хакерской разведки. После запуска Zhong Stealer устанавливает контакт с сервером управления (C2), расположенным в Гонконге, демонстрируя рассчитанный процесс выполнения, который облегчает масштабную фильтрацию данных. Вредоносная программа использует несколько тактик для обеспечения устойчивости и эффективного распространения своих возможностей.

Выполнение начинается с того, что вредоносная программа запрашивает сервер C2, размещенный в Alibaba Cloud, где она извлекает файл инвентаризации компонентов, который определяет последующие действия. Примечательно, что Zhong Stealer собирает системные языковые настройки — тактика, часто используемая в программах—вымогателях, - чтобы избежать нацеливания на нежелательные регионы. Он также интегрирует запланированные задачи с помощью планировщика задач Windows, что позволяет ему сохранять функциональность при перезагрузке системы, хотя это и не является основным методом сохранения. Кроме того, вредоносная программа изменяет разделы реестра, чтобы обеспечить выполнение во время запуска системы, что способствует ее сохранению.

Основной целью Zhong Stealer является кража учетных данных браузера и дополнительных конфиденциальных данных. Он запускает сбор данных с помощью таких браузеров, как Brave, а затем Edge и Internet Explorer, которые обычно предустановлены в большинстве систем Windows и представляют собой выгодные цели для злоумышленников. После сбора украденной информации вредоносная программа использует порт 1131 для связи со своим сервером C2, чтобы отфильтровать скомпрометированные данные. Использование нестандартного порта является тактикой уклонения, обычно применяемой для обхода обнаружения.

Вредоносная программа использует различные тактики, методы и процедуры (TTP), включая отключение ведения журнала событий, чтобы средства безопасности не могли эффективно документировать ее действия. Изменение параметров реестра Windows обеспечивает его запуск при загрузке системы, создание запланированных задач для поддержания постоянства и использование необычных портов для передачи данных - все это делает Zhong Stealer особенно опасной угрозой. Эффективность кампании повышается благодаря усилиям социальной инженерии, направленным, в частности, на группы поддержки клиентов, что отражает распространенную практику использования доверия людей для обхода обычных мер безопасности.

#ParsedReport #CompletenessMedium
18-02-2025

Backdoored Executables for Signal, Line, and Gmail Target Chinese-Speaking Users

https://hunt.io/blog/backdoored-executables-for-signal-line-gmail-target-chinese-users

Report completeness: Medium

Threats:
Process_injection_technique
Microclip

Geo:
Hong kong, Taiwan, Japan, Asia, China

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1055, T1562.001, T1059.001, T1204, T1071.004

IOCs:
Domain: 17
File: 3
Path: 2
Command: 1
IP: 3
Hash: 10

Soft:
Gmail, Windows Defender

Win API:
WmiApSrv

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние хакеры используют поисковые системы и приложения для обмена сообщениями для распространения скрытых исполняемых файлов через обманчивые страницы загрузки. Злоумышленники создают мошеннические сайты, имитирующие популярные приложения, такие как Gmail и Line, используя несвязанные домены. Вредоносная программа, идентифицированная как "MicroClip", изменяет настройки защитника Windows, чтобы избежать обнаружения, и выполняет команды, связанные с серверами в Гонконге для связи C2.
-----

В последнее время хакеры используют поисковые системы и приложения для обмена сообщениями с целью распространения скрытых исполняемых файлов через обманчивые страницы загрузки. Злоумышленники манипулируют результатами поиска, отображая мошеннические сайты, имитирующие законные источники программного обеспечения, в частности, популярные приложения, такие как Signal, Line и Gmail. В отличие от традиционных методов фишинга, которые копируют официальные URL-адреса, эти угрозы используют, казалось бы, несвязанные доменные имена, чтобы ввести пользователей в заблуждение. Например, пользователи сталкиваются с такими доменами, как ggyxx.wenxinzhineng.top для Gmail и linoo.wenxinzhineng.top для Line, что предполагает широкую стратегию атаки, направленную на захват широкой базы пользователей.

Вредоносные веб-страницы для платформ обмена сообщениями доставляют исполняемые файлы, замаскированные под законные приложения. Известно, что для Line два домена, linoo.wenxinzhineng.top и linegut.com, содержат идентичные вредоносные страницы загрузки, на которых есть кнопка загрузки. Поддельная страница Gmail по адресу ggyxx.wenxinzhineng.top имеет минималистичный дизайн, на котором пользователям предлагается ввести свои имена пользователей. После этого ввода он отображает сообщение на китайском языке, указывающее на отсутствие средств контроля безопасности, и рекомендует установить вводящий в заблуждение файл с именем Goongeurut.zip, который извлекает и устанавливает "Gmail Notifier Pro" без каких-либо реальных функций входа в систему.

При запуске распространяемая вредоносная программа использует стандартный шаблон, который включает извлечение временного файла и внедрение процесса. Динамический анализ выявил вредоносную программу как “MicroClip”, механизм которой заключается в выполнении начальной полезной нагрузки, которая удаляет временный файл в каталоге AppData\Local\Temp. Этот временный файл впоследствии выполняет процесс, svrnezcm.exe который помещается в каталог с глубокой вложенностью в AppData\Roaming. Примечательно, что этот процесс также инициирует внесение изменений в систему с помощью PowerShell, изменяя настройки защитника Windows, чтобы исключить весь диск C:\ из сканирования — тактика, обычно используемая для того, чтобы избежать обнаружения и облегчить текущую вредоносную активность.

Сетевое поведение, связанное с этим вредоносным ПО, включает в себя разрешение DNS до zhzcm.star1ine.com и установление исходящих TCP-подключений к определенным IP-адресам, вероятно, для передачи командно-контрольных данных (C2) или фильтрации данных. Сообщается, что эта операция зависит от двух серверов, расположенных в Гонконге, которые, в частности, используют инфраструктуру Alibaba. Было обнаружено, что первый IP-адрес, 47.243.192.62, разрешает доступ к вышеупомянутым вредоносным доменам и к нему привязан сертификат TLS. Второй IP-адрес, 8.210.9.4, по-видимому, обслуживает порт 3389, возможно, используемый для доступа по протоколу удаленного рабочего стола (RDP).

#ParsedReport #CompletenessLow
18-02-2025

Fake BSOD Delivered by Malicious Python Script

https://isc.sans.edu/diary/31686

Report completeness: Low

ChatGPT TTPs:
do not use without manual check
T1059

IOCs:
Hash: 1

Algorithms:
sha256

Languages:
python