#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Auto-color - это новая вредоносная программа для Linux, которая использует передовые методы уклонения, такие как динамические хэши, вредоносные имена файлов и скрытый процесс установки, нацеленный на университеты и правительственные учреждения. Он использует вредоносную библиотеку libcext.so.2 для перехвата системных вызовов, обеспечивая удаленный доступ и связь с серверами C2, сохраняя при этом постоянство и обфускацию.
-----

Недавнее обнаружение новой вредоносной программы для Linux под названием Auto-color исследователями Palo Alto Networks подчеркивает ее передовые методы защиты и операционные возможности. Обнаруженная в период с начала ноября по декабрь 2024 года, программа Auto-color использует безопасные имена файлов, динамические хэши и шифрование для маскировки своей деятельности. Вредоносная программа в первую очередь нацелена на университеты и правительственные учреждения в Северной Америке и Азии, используя уникальные имена файлов для каждого экземпляра, такие как "door" или "egg", сохраняя при этом неизменный размер файлов. Он компрометирует системы, требуя явного выполнения от жертвы, а процесс его установки разработан таким образом, чтобы быть скрытым, часто с целью работы без прав суперпользователя, но при этом обеспечивая широкий удаленный доступ.

Ключевой особенностью Auto-color является установка вредоносного библиотечного импланта под названием libcext.so.2, который маскируется под обычную стандартную библиотеку C. Вредоносное ПО использует стандартные библиотечные функции для проверки условий установки и может изменять основные функциональные возможности с помощью сложного механизма перехвата. Он изменяет поведение системы при загрузке, записывая имя вредоносной библиотеки в файл /etc/ld.preload, гарантируя, что ее библиотека загружается первой при запуске любого исполняемого файла. Это позволяет Auto-color перехватывать и изменять системные вызовы, в частности, для мониторинга сетевых подключений через файл /proc/net/tcp и потенциально скрывать свою связь с серверами управления (C2).

Основная процедура работы Auto-color начинается с расшифровки глобальной полезной нагрузки, содержащей IP-адреса злоумышленников. Вредоносная программа может извлекать эту конфигурацию либо из определенных файлов, либо используя предварительно скомпилированные данные, встроенные в нее. Как только соединение с компьютером хакера установлено по протоколу подтверждения связи, вредоносное ПО переходит в командный цикл, ожидая инструкций в определенном формате сообщения. Каждая команда обрабатывается по структурированному протоколу, который требует преобразования форматов данных для обеспечения точной интерпретации. Возможности выполнения команд вредоносной программой позволяют ей создавать обратные оболочки и выполнять дополнительные вредоносные действия по указанию удаленного сервера.

Функция Auto-color представляет собой пример все более изощренного класса вредоносных программ, позволяющих избежать обнаружения и сохранять работоспособность в уязвимых средах. Ее уникальный подход к обработке системных вызовов и сетевых подключений, а также специальные методы шифрования для целевой полезной нагрузки создают значительные трудности при обнаружении и реагировании. Индикаторы компрометации, связанные с автоматическим выделением цвета, необходимы для обнаружения угроз, и пользователям рекомендуется отслеживать взаимодействие с системами, которые потенциально могут содержать эту угрозу. Передовые меры безопасности, такие как внедрение моделей машинного обучения и стратегическая защита от кибербезопасности, имеют решающее значение для противодействия новым угрозам, исходящим от автоматического окрашивания и аналогичных вредоносных программ.

#ParsedReport #CompletenessLow
25-02-2025

Silent Push Pivots into New Lazarus Group Infrastructure, Acquires Sensitive Intel Related to $1.4B ByBit Hack and Past Attacks

https://www.silentpush.com/blog/lazarus-bybit/

Report completeness: Low

Actors/Campaigns:
Lazarus
Scarcruft
Andariel
Kimsuky
Bluenoroff

Threats:
Credential_harvesting_technique

Victims:
Bybit

Geo:
Dprk, Korea, North korean

ChatGPT TTPs:
do not use without manual check
T1566, T1204.002

IOCs:
Domain: 21
Email: 2
IP: 29

Soft:
Astrill VPN, twitter, macos

Platforms:
intel

Links:
https://github.com/tayvano/lazarus-bluenoroff-research/blob/main/hacks-and-thefts/willo.md

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Компания Silent Push проникла в инфраструктуру Lazarus APT group, что связано с недавней кражей криптовалюты на сумму 1,4 миллиарда долларов. Группа использует мошеннические действия с трудоустройством на платформах, таких как LinkedIn, для распространения вредоносного ПО, используя такие тактики, как регистрация доменов-обманщиков перед атаками и усовершенствованные стратегии фишинга для сбора учетных данных.
-----

Группа Lazarus, связанная с кибероперациями в Северной Корее, зарегистрировала домен bybit-assessment.com до кражи криптовалюты на сумму 1,4 миллиарда долларов. Домен был связан с электронной почтой trevorgreer9312@gmail.com, ранее связанной с деятельностью Lazarus. Они использовали 27 различных IP-адресов, связанных с Astrill VPN, для оперативной настройки. Группа проводит мошеннические собеседования при приеме на работу на таких платформах, как LinkedIn, для распространения вредоносного ПО. Домен bybit-assessment.com был привязан к IP-адресу 91.222.173.30, связанному с многочисленными вредоносными действиями, включая крипто-мошенничество. Были обнаружены взломанные конфигурации, оптимизирующие стратегии фишинга по сбору учетных данных. Аналитики выявили закономерности "тестовых" отправлений, указывающие на постоянное совершенствование фишинговых операций. Вредоносные скрипты, маскирующиеся под законные обновления, являются обычной тактикой, используемой северокорейскими хакерами при мошенничестве с трудоустройством. Дополнительные домены, такие как api.nvidia-release.org, были связаны с аналогичными мошенническими действиями с трудоустройством, в ходе которых жертвы выполняли вредоносные программы.файлы sh. Был предоставлен общий доступ к индикаторам компрометации (IOFAC), чтобы помочь в обнаружении угроз, связанных с деятельностью Lazarus Group.

#ParsedReport #CompletenessMedium
25-02-2025

Chinese APT Target Royal Thai Police in Malware Campaign

https://www.cadosecurity.com/blog/chinese-apt-target-royal-thai-police-in-malware-campaign

Report completeness: Medium

Actors/Campaigns:
Red_delta (motivation: cyber_espionage)
Cerenakeeper

Threats:
Yokai
Dll_sideloading_technique
Wisprider

Victims:
Royal thai police, Thai officials

Industry:
Government, Ngo

Geo:
China, Chinese, Asia, Thailand

TTPs:

IOCs:
IP: 1
File: 6
Path: 1
Hash: 4

Algorithms:
md5

Functions:
send, connect

Win API:
GetProcAddress

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Cado Security Labs приписывает целенаправленную вредоносную кампанию против Королевской полиции Таиланда китайской APT-группе Mustang Panda. Атака использует фишинг с использованием вредоносного файла быстрого доступа для доставки бэкдора Yokai, замаскированного под установщик драйверов PDF-XChange, чтобы избежать обнаружения, и устанавливает постоянство путем регистрации при запуске Windows. Вредоносная программа действует именно в Таиланде, что согласуется с историей использования Mustang Panda в качестве мишени для шпионажа против правительственных организаций.
-----

Cado Security Labs выявила целенаправленную вредоносную кампанию, направленную против Королевской полиции Таиланда, которую приписывают китайской APT-группе, известной как Mustang Panda. Эта операция в основном использует тактику фишинга, используя, казалось бы, законные документы, содержащие контент, связанный с ФБР. Вектор атаки начинается с rar-архива с именем "FBI.rar", который, вероятно, был отправлен по электронной почте. Внутри файл быстрого доступа (FBI.docx.lnk) замаскирован под настоящий PDF и папку с именем $Recycle.bin. Этот ярлык предназначен для маскировки вредоносных намерений, в конечном счете запуская вредоносную программу Yokai backdoor после ее удаления, чтобы скрыть следы заражения.

Вредоносная программа, помеченная как PrnInstallerNew.exe, представляет собой троянскую версию установщика драйверов PDF-XChange. Она использует сложные методы обхода, чтобы избежать обнаружения. Динамически разрешая вызовы API с помощью функции GetProcAddress(), она обходит стандартные меры безопасности. Вместо жесткого кодирования имен вредоносная программа создает эти имена во время выполнения, собирая их по буквам из массива. Этот метод позволяет ей незаметно извлекать адреса функциональной памяти, не отображая их в таблице импорта, что значительно усложняет обнаружение средствами безопасности.

Чтобы обеспечить устойчивость в зараженных системах, вредоносная программа регистрирует себя как команду запуска в реестре Windows в разделе "MYAccUsrSysCmd_9EBC4579851B72EE312C449C". Это гарантирует выполнение при входе пользователя в систему. После этого он подключается к IP-адресу (154.90.47.77) через TCP-порт 443, используя функцию connect() для определения географического местоположения жертвы. Как отмечает Netskope, вредоносная программа действует только на территории Таиланда, связывая свои действия с предыдущими кампаниями, направленными против тайских чиновников.

Кампания, направленная против Королевской полиции Таиланда, представляет собой более широкую стратегию против правительственных структур Таиланда, которая продолжается в связи с геополитическими и экономическими интересами, имеющими место в регионе. "Мустанг Панда", действующая как минимум с 2014 года, постоянно нацелена на правительственные учреждения и неправительственные организации в Азии, Европе и США в целях шпионажа. Предыдущие операции показали, что они использовали аналогичные приманки, используя документы-приманки и файлы быстрого доступа. Хотя в данном конкретном случае не использовалась дополнительная загрузка библиотек DLL, еще один распространенный метод внедрения вредоносного ПО в легитимные процессы, в предыдущих кампаниях с использованием самораспространяющегося вредоносного ПО USB под названием WispRider в коде было обнаружено совпадение, что еще раз указывает на последовательные модели поведения группы при различных векторах атак.

#ParsedReport #CompletenessLow
25-02-2025

LCRYX Ransomware: How a VB Ransomware Locks Your System

https://labs.k7computing.com/index.php/lcryx-ransomware-how-a-vb-ransomware-locks-your-system/

Report completeness: Low

Threats:
Lcrypt
Shadow_copies_delete_technique
Vssadmin_tool

Victims:
Individuals, Organizations

ChatGPT TTPs:
do not use without manual check
T1059.005, T1547.001, T1548.002, T1562.001, T1490, T1561

IOCs:
File: 9
Hash: 2

Soft:
Windows registry, Windows Defender, Twitter

Crypto:
bitcoin

Algorithms:
xor

Functions:
IsLegacyWindows

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Программа-вымогатель LCRYX, написанная на VBScript, шифрует файлы с расширением .lcryx и требует выкуп в размере 500 долларов. Он использует передовые методы сохранения данных, изменяет критические системные настройки, отключает антивирусные функции и нарушает контроль пользователя, переназначая входные данные и завершая основные процессы, что усложняет обнаружение и восстановление.
-----

Программа-вымогатель LCRYX, впервые появившаяся в ноябре 2024 года, вновь появилась в феврале 2025 года, продолжая свою киберпреступную деятельность. Эта программа-вымогатель, реализованная на VBScript, шифрует файлы с расширением .lcryx и требует выкуп в размере 500 долларов в биткоинах за расшифровку. Технический анализ показывает различные изощренные тактики, используемые этой вредоносной программой для повышения устойчивости и сохранения контроля над зараженной системой.

Вредоносная программа вносит существенные изменения в реестр Windows, чтобы блокировать действия пользователя, такие как отключение диспетчера задач, командной строки и редактора реестра. Она также ограничивает доступ к панели управления и отключает настройки контроля учетных записей пользователей (UAC), что позволяет ей беспрепятственно работать с повышенными привилегиями. Это усугубляется отключением таймаута бездействия, гарантирующего, что система не заблокируется, что облегчает ее работу. Кроме того, специальные утилиты, такие как msconfig.exe, Autoruns.exe и gpedit.msc, предназначены для того, чтобы пользователи не могли управлять конфигурациями запуска или останавливать выполнение вредоносного ПО.

Чтобы обеспечить постоянство, LCRYX настраивает вредоносный скрипт как оболочку по умолчанию, гарантируя, что он запускается при входе пользователя в систему, и устанавливает его в качестве отладчика для cmd.exe, поэтому он запускается при каждом обращении к командной строке. Кроме того, он изменяет реестр для обработки HTTP- и HTTPS-ссылок, обеспечивая запуск скрипта при переходе по ссылкам и, таким образом, сохраняя контроль над действиями пользователя.

Хакер использует инструментарий управления Windows (WMI) для завершения критически важных системных процессов, таких как Taskmgr.exe и regedit.exe, эффективно препятствуя любым попыткам пользователей управлять программой-вымогателем или уничтожить ее. Вредоносная программа еще больше усложняет взаимодействие с пользователем, изменяя параметры ввода с клавиатуры и кнопки мыши, что нарушает нормальную работу. Атрибуты файлов изменяются на скрытые, системные и доступные только для чтения, что усложняет обнаружение и модификацию.

Одной из особенно вредоносных возможностей LCRYX является его способность выполнять команды PowerShell, которые перезаписывают главную загрузочную запись (MBR) дисков, тем самым потенциально нарушая процесс загрузки системы. Чтобы избежать обнаружения средствами защиты, программа-вымогатель отключает мониторинг основных антивирусных программ в режиме реального времени, таких как Защитник Windows и Антивирус Касперского. Это достигается путем выполнения специальных команд для деактивации их механизмов защиты.

LCRYX также включает проверки для выявления более старых версий Windows с помощью функции IsLegacyWindows() и нацелен на системные папки для работы с файлами. Он удаляет файлы резервных копий с такими расширениями, как .bak и .old, одновременно удаляя теневые копии и каталоги резервных копий с помощью таких команд, как vssadmin и wbadmin, что удаляет следы резервных копий, усложняя процесс восстановления.

Кроме того, скрипт предназначен для создания постоянных пакетных файлов, которые работают в цикле, выполняя команды, которые либо запускают безопасные приложения, такие как калькулятор, либо пытаются подключиться к вредоносным URL-адресам. Другая версия скрипта непрерывно отключает критически важные приложения, включая антивирусные программы, каждые пять секунд, гарантируя, что вредоносная активность останется необнаруженной и неконтролируемой.

#ParsedReport #CompletenessLow
25-02-2025

How an Attacker Drained $50M from a DeFi Protocol Through Role Escalation

https://research.checkpoint.com/2025/how-an-attacker-drained-50m-from-a-defi-protocol-through-role-escalation/

Report completeness: Low

Victims:
Infini

Industry:
Financial

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1566, T1204

IOCs:
Coin: 3

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атака на платформу Infini DeFi выявила критические уязвимости в защите секретных ключей. Злоумышленники используют фишинг, вредоносное ПО и другие сложные методы, подчеркивая необходимость более строгих мер безопасности в условиях меняющейся среды DeFi.
-----

24 февраля система Intel Check Point Blockchain Threat зафиксировала серьезную атаку, направленную на платформу Infini, децентрализованный финансовый протокол (DeFi), работающий в секторе криптовалют. Infini предоставляет цифровые банковские услуги, включая получение сбережений и другие финансовые функции, направленные на повышение практичности и доступности криптоактивов для повседневных транзакций.

Атака выявила уязвимости в защите секретных ключей, которые остаются серьезной проблемой в системах блокчейн-безопасности. Злоумышленники используют широкий спектр методов для компрометации конфиденциальных секретных ключей, включая фишинговые схемы, внедрение вредоносных программ и другие сложные методы. Хотя конкретный метод, использованный в этом инциденте, еще предстоит подтвердить из-за отсутствия всестороннего расследования, сложившаяся ситуация подчеркивает важность надежных мер безопасности для противодействия меняющимся стратегиям киберпреступников в пространстве DeFi.

По мере дальнейшего развития экосистемы DeFi становится все более очевидной необходимость в повышении осведомленности и улучшении защиты от атак, использующих слабые места в управлении закрытыми ключами.

#ParsedReport #CompletenessMedium
25-02-2025

Erudite Mogwai uses a custom Stowaway custom for secretly promotion on the network

https://rt-solar.ru/solar-4rays/blog/5261/

Report completeness: Medium

Actors/Campaigns:
Webworm (motivation: cyber_espionage)

Threats:
Stowaway_tool
Deed_rat
Shadowpad
Impacket_tool
Atexec_tool
Fscan_tool
Netspy
Ad_explorer_tool
Knot

Victims:
Russian it organization, Public sector customer

Industry:
Energy

Geo:
Asian, Russia, Russian, Chinese, Georgia, Mongolia

ChatGPT TTPs:
do not use without manual check
T1001, T1071, T1190, T1021

IOCs:
Path: 3
IP: 1
File: 40
Domain: 1
Hash: 8

Soft:
Sysinternals, Active Directory, Unix

Algorithms:
md5, sha256, gzip, aes, xxtea, sha1

Functions:
Run

Languages:
java, golang

Platforms:
arm

Links:
https://github.com/pierrec/lz4
have more...
https://github.com/ph4ntonn/Stowaway/blob/master/README\_EN.md
https://github.com/ph4ntonn/Stowaway

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ноябре 2024 года группа эрудитов Mogwai адаптировала инструмент Stowaway proxy для кибершпионажа против российской ИТ-организации, внедрив функции для улучшенной фильтрации данных и скрытности. Инструмент использует сжатие LZ4 и шифрование XXTEA, при этом функционируя в основном как прокси-сервер SOCKS5, что позволяет проводить незамеченные сетевые операции и обходить меры безопасности.
-----

В ноябре 2024 года команда Solar 4RAYS обнаружила использование модифицированного прокси-сервиса Stowaway в вредоносной кампании, нацеленной на российскую ИТ-организацию, обслуживающую государственный сектор. Stowaway, первоначально китайский инструмент для тестирования на проникновение, написанный на Golang, был адаптирован группой под названием Erudite Mogwai (также известной как Космические пираты) для расширения своих возможностей. Эта группа имеет опыт изощренного кибершпионажа, нацеленного на чувствительные секторы, включая государственные учреждения и высокотехнологичные отрасли промышленности в России, Грузии и Монголии, с момента их выявления в 2019 году.

Пользовательская версия Stowaway продемонстрировала расширенные возможности, направленные на улучшение фильтрации данных и методов обхода сети. Примечательно, что в последней версии интегрирован алгоритм сжатия LZ4 и используется метод шифрования XXTEA, а также поддерживается протокол QUIC. Эта адаптация Stowaway подчеркивает его функцию в качестве средства контроля трафика, что свидетельствует о стратегическом использовании запутывания и универсальности в сетевых операциях. Группа, по-видимому, разработала несколько вариантов, значительно изменив первоначальную структуру, чтобы избежать обнаружения с помощью мер безопасности.

В ходе операций, отслеживаемых Solar 4RAYS, злоумышленники сначала скомпрометировали незащищенный веб-сервис, используя его в качестве плацдарма для расширения инфраструктуры в период с марта 2023 по ноябрь 2024 года. Анализ показал, что Stowaway использовался в сочетании с Shadowpad Light, многофункциональным бэкдором, что демонстрирует высокий уровень операционной синергии между их инструментами. Злоумышленники могли оставаться незамеченными, используя пользовательские методы управления, не полагаясь на инфраструктуру открытого командования и контроля (C2).

На протяжении всей своей кампании эрудированные Могваи использовали различные другие инструменты, такие как агент Luckystrike, для достижения своих целей. Кроме того, многочисленные утилиты с открытым исходным кодом, созданные китайскими разработчиками, были идентифицированы как часть их инструментария, что указывает на принадлежность или имитацию работы восточноазиатских хакеров. Тенденция группы изменять и переименовывать функции и структуры в коде утилиты Stowaway еще раз указывает на попытки избежать обнаружения и анализа.

Подход злоумышленников к использованию Stowaway демонстрирует сосредоточенность на функциональности, относящейся исключительно к сетевому проксированию, что иллюстрирует расчетное сокращение ненужных возможностей, которые могли бы их раскрыть. Они использовали Stowaway в основном как прокси-сервер SOCKS5, тем самым скрывая свой трафик и поддерживая скрытое присутствие в скомпрометированных сетях. Компоненты программного обеспечения часто модифицирулись, чтобы скрыть его операционную сигнатуру и повысить защиту от криминалистического анализа.

#ParsedReport #CompletenessMedium
25-02-2025

PolarEdge: Unveiling an uncovered ORB network

https://blog.sekoia.io/polaredge-unveiling-an-uncovered-iot-botnet/

Report completeness: Medium

Threats:
Polaredge
Relay_boxes_techniue

Victims:
Cisco, Asus, Qnap, Synology

Geo:
Russian, Mexico, Latvia, Taiwan, Singapore, Russia, Chile, Ukraine, Usa, Asia, Hong kong

CVEs:
CVE-2023-20118 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco rv016 firmware (1.5.1.13, 4.2.3.08)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1210, T1505.003, T1105, T1573, T1543

IOCs:
IP: 6
File: 6
Hash: 7
Url: 6
Domain: 17

Soft:
ORB network, Mac OS, OpenSSL

Algorithms:
sha256, base64, gzip, xor

Functions:
command_listen

Platforms:
arm, intel, mips

#ParsedReport #ExtractedSchema

Classified images:
code: 4, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Бэкдор PolarEdge использует уязвимость CVE-2023-20118 в маршрутизаторах Cisco, позволяя использовать RCE посредством внедрения команд. Он устанавливает TLS-бэкдор для зашифрованной связи с сервером C2 и развертывает вредоносное ПО на различных устройствах, что указывает на широкомасштабную работу ботнета.
-----

Бэкдор PolarEdge является частью сложной ботнета, который действует как минимум с конца 2023 года, используя уязвимость CVE-2023-20118, которая затрагивает несколько моделей маршрутизаторов Cisco. Эта уязвимость возникает из-за неправильной проверки ввода в веб-интерфейсе управления, что позволяет злоумышленникам, не прошедшим проверку подлинности, выполнять удаленные команды (RCE), отправляя специально созданные HTTP-запросы. В частности, эксплойт манипулирует функцией delete_cert, которая объединяет вводимые пользователем данные в системный вызов без проверки, что делает ее уязвимой для атак с использованием командной строки.

В январе 2025 года злоумышленник неоднократно использовал эту уязвимость для развертывания webshell на скомпрометированных маршрутизаторах, добиваясь сохранения работоспособности путем замены CGI-скрипта маршрутизатора на webshell. Для выполнения команд webshell требовался правильный ключ аутентификации, что облегчало дальнейшие вредоносные действия. Одной из характерных особенностей этой атаки было использование определенного IP-адреса, 45.77.152.227, для эффективной проверки и развертывания webshell.

Позже, 10 февраля 2025 года, злоумышленник применил более скоординированный подход, отправив команды эксплойта одновременно с разных IP-адресов, что указывало на работу ботнета. Этот инцидент выявил использование нескольких периферийных устройств с одним и тем же пользовательским агентом для различных запросов, нацеленных на схожие уязвимости. Используя протокол FTP, злоумышленник получил сценарий оболочки, который инициировал установку бэкдора TLS, что указывает на методический подход к распространению вредоносного ПО.

Процесс заражения начался с выполнения сценария оболочки, разработанного специально для загрузки, установки и выполнения полезной нагрузки. Ключевые функциональные возможности этого вредоносного двоичного файла, получившего название cipher_log, включают возможности самоуничтожения, функции завершения процесса и механизм сохранения, обеспечивающий непрерывное выполнение даже после перезагрузки системы. Двоичный файл также устанавливает TLS-бэкдор с помощью библиотеки Mbed TLS, облегчая шифрованную связь с сервером управления и контроля (C2) злоумышленника.

Базовая инфраструктура демонстрирует значительную координацию, при этом различные идентифицированные IP-адреса работают аналогично и связаны с периферийными устройствами. Вредоносная программа передает информацию о заражении обратно на сервер злоумышленника в зашифрованном виде с помощью однобайтовых ключей для обеспечения безопасности. Были обнаружены различные полезные приложения, ориентированные на различные устройства, такие как продукты Asus, QNAP и Synology, что свидетельствует о широких эксплуатационных возможностях. Эти полезные ресурсы были выявлены на сайте VirusTotal совсем недавно, что свидетельствует об их низком уровне обнаружения и о том, что эти конкретные атаки находятся на начальной стадии разработки.

Более того, злоумышленник, по-видимому, использует инфраструктуру прокси-сервисов и облачных платформ, что еще больше усложняет отслеживание. Значительное количество скомпрометированных устройств в Азии и Южной Америке подчеркивает масштаб деятельности PolarEdge, что делает его заметной угрозой в сфере кибербезопасности. Хотя конечная цель этого ботнета остается неясной, согласно одной из теорий, скомпрометированные устройства могут служить оперативными ретрансляторами (ORB) для запуска будущих наступательных операций. Текущий анализ направлен на углубление понимания методов и общих целей, связанных с угрозой PolarEdge.