#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Larva-24005, подгруппа Kimsuky group, нацелена на лиц, связанных с Северной Кореей, в Корее и Японии с помощью фишинговых электронных писем, замаскированных под законные сообщения. Они используют уязвимости RDP, такие как Bluekeep (CVE-2019-0708), в незащищенных системах Windows, внедряют клавиатурные шпионы и управляют фишинговыми операциями с помощью таких инструментов, как XAMPP и PHPMailer. Их атаки включают в себя индивидуальные электронные письма с вредоносными URL-адресами, что указывает на акцент на тактике социальной инженерии.
-----

Larva-24005, подгруппа атакующей группы Kimsuky, взламывает серверы в Корее и отправляет фишинговые электронные письма местным и японским жертвам. Группа нацелена на лиц, связанных с Северной Кореей, особенно на ученых и исследователей. Фишинговые электронные письма часто маскируются под приглашения на собрания Zoom или законные логины на веб-портале. Первоначальное нарушение использует уязвимости протокола удаленного рабочего стола (RDP), в частности уязвимость Bluekeep (CVE-2019-0708), что позволяет удаленно выполнять код в незащищенных системах Windows. После взлома злоумышленники используют RDPWrap для включения подключений и развертывания кейлоггера собственной разработки для перехвата учетных данных.

Управление фишинговыми операциями осуществляется с помощью XAMPP, что позволяет выполнять функции управления. В Larva-24005 используется PHPMailer для создания и отправки фишинговых электронных писем, часто с подозрительными адресами отправителей. Учетные записи, используемые для отправки фишинговых электронных писем, были заблокированы. Чтобы привлечь внимание японских жертв, они устанавливают японский редактор методов ввода (IME) для обмена данными. Злоумышленники используют заранее разработанные фишинговые страницы для сбора учетных данных, имитируя такие сервисы, как Google и iCloud.

Larva-24005 проводит обширные онлайн-исследования, используя такие браузеры, как Chrome и MS Edge, для сбора информации об университетских преподавателях, связанных с Северной Кореей. Специально разработанные фишинговые электронные письма содержат личную информацию жертвы для повышения вовлеченности. Вредоносные URL-адреса в электронных письмах ссылаются на сервер C2, маскируясь под соответствующий контент. Злоумышленники подтверждают получение электронного письма, чтобы определить целевое взаимодействие с попытками фишинга. Группа использует социальную инженерию и технические уязвимости для компрометации пользователей.

#ParsedReport #CompletenessMedium
27-02-2025

Silver Fox raid! DeepSeek local deployment hides "fatal trap"

https://mp.weixin.qq.com/s/VUzwaR7eti2YoNebGFz80A

Report completeness: Medium

Actors/Campaigns:
Silver_fox (motivation: cyber_espionage)

Threats:
Hackbrian_rat
Winos
Valleyrat
Gh0st_rat
Watering_hole_technique
Dll_injection_technique
Process_injection_technique
Supply_chain_technique
Sparrow

Victims:
Deepseek users

Industry:
Financial, Government, Education

Geo:
Hong kong, China

CVEs:
CVE-2024-37032 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2024-39719 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2024-39721 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1055.012, T1059.001, T1562.001, T1027, T1071, T1566

IOCs:
Hash: 1
File: 6
Command: 2
IP: 3

Soft:
DeepSeek, WeChat, LM Studio, Ollama, Windows Defender, Linux, macOS, DeepSeek-R1, Docker, Nginx, have more...

Algorithms:
zip, base64

Functions:
TCGamerUpdateMain

Win API:
decompress

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Киберпреступники нацелены на системы искусственного интеллекта, такие как DeepSeek, в частности, с помощью атак Silver Fox group, которая использует сложные методы доставки вредоносных программ, в том числе методы внедрения отраженных библиотек DLL с помощью помощников по установке вредоносных программ. Их хакерская группа RAT может собирать конфиденциальную информацию и отслеживать действия пользователей. Уязвимости в связанных инструментах, такие как незашифрованные ключи API и слабые средства контроля доступа, также находятся под угрозой, что требует принятия строгих мер безопасности для организаций, использующих технологии искусственного интеллекта.
-----

Киберпреступники все чаще нацеливаются на локализованные модели искусственного интеллекта, такие как DeepSeek. Организация Silver Fox использовала традиционные методы фишинга для создания сложных вредоносных программ, ориентируясь на уязвимости в DeepSeek. Злоумышленники подключили вредоносный код к помощнику по установке DeepSeek, имитируя законную программу установки. Вредоносная программа выполняет внедрение библиотеки DLL с использованием шеллкода, что позволяет ей избежать обнаружения, не используя обычную загрузку библиотеки DLL для Windows. Идентифицированная вредоносная программа - это HackBrian RAT, связанная с Silver Fox, способная собирать конфиденциальную информацию, выполнять команды и отслеживать пользователей. Способы доставки вредоносного ПО включали фишинговые электронные письма и взломанные веб-сайты. Уязвимости в таких инструментах, как Ollama, включая незашифрованные ключи API и слабые средства контроля доступа, представляют значительный риск. Silver Fox появилась в марте 2023 года и расширила свою деятельность, превратив ее в универсальную экосистему киберпреступности. Регулярные обновления программного обеспечения и строгий контроль API-ключей и точек доступа необходимы для защиты систем искусственного интеллекта от этих угроз.

#ParsedReport #CompletenessLow
27-02-2025

Patch Now: Check Point Research Explains Shadow Pad, NailaoLocker, and its Protection

https://blog.checkpoint.com/security/check-point-research-explains-shadow-pad-nailaolocker-and-its-protection/

Report completeness: Low

Threats:
Shadowpad
Nailaolocker
Dll_sideloading_technique
Quantum_locker
Cloudguard

Geo:
Americas, Africa

CVEs:
CVE-2024-24919 [Vulners]
CVSS V3.1: 8.6,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- checkpoint quantum security gateway firmware (r80.40)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1212, T1078, T1021.001, T1021.002, T1574.001, T1071, T1486

IOCs:
Domain: 8
File: 7
Path: 4
Hash: 20
IP: 6

Wallets:
harmony_wallet

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавно выявленная угроза использует CVE-2024-24919 в программном обеспечении Check Point, позволяя злоумышленникам получать доступ к сетям с помощью украденных учетных данных. Кампания нацелена на производственный сектор и использует такие методы, как дополнительная загрузка библиотек DLL, для установки вредоносного ПО ShadowPad и, в некоторых случаях, программы-вымогателя NailaoLocker. Организациям рекомендуется отслеживать необычные входы в систему VPN и сеансы RDP, сбрасывать пароли и обновлять системы для противодействия этим угрозам.
-----

Недавно выявленный кластер действий с угрозами воспользовался ранее исправленной уязвимостью в программном обеспечении безопасности Check Point, известной как CVE-2024-24919. Эта уязвимость, исправленная в мае 2024 года, позволяет злоумышленникам получить доступ, похитив учетные данные пользователя и войдя в VPN с действительными учетными записями. Основными целями этой кампании, которая проводится с июня 2024 года, являются различные организации по всей Европе, Африке и Северной и Южной Америке, при этом особое внимание уделяется производственному сектору.

Злоумышленники используют уязвимость для получения начального доступа, после чего проводят сканирование сети и перемещение по сети с использованием протокола удаленного рабочего стола (RDP) или блока сообщений сервера (SMB) для получения более высоких привилегий, часто подключаясь к контроллеру домена. Известным используемым методом является боковая загрузка DLL, при которой выполняются законные программы для загрузки вредоносных динамически подключаемых библиотек, что приводит к установке вредоносного ПО ShadowPad на зараженные системы.

ShadowPad разработан с расширенными возможностями обфускации и защиты от отладки, что позволяет ему поддерживать связь с удаленным сервером для непрерывного удаленного доступа. В ограниченном числе случаев, связанных с заражением ShadowPad, злоумышленники также использовали программу-вымогатель NailaoLocker, что подчеркивает двойственный характер этой угрозы.

Чтобы обнаружить эту вредоносную активность и отреагировать на нее, организациям рекомендуется внедрить несколько стратегий мониторинга. К ним относятся отслеживание необычных входов в службу VPN, идентификация незнакомых устройств и тщательное изучение взаимодействий с нетипичными IP-адресами, которые могут указывать на присутствие хакеров. В частности, наличие компьютеров с соглашениями об именовании по умолчанию, такими как DESKTOP, за которыми следует буквенно-цифровая строка, является потенциальным тревожным сигналом. Кроме того, мониторинг сеансов RDP, подключающихся с IP-адресов, связанных с VPN, к критически важным ресурсам, в частности к контроллерам домена, имеет решающее значение для выявления горизонтальных перемещений.

Для усиления защиты компаниям рекомендуется обновить свои системы, включая конечную точку Harmony, до версии 88.50 или выше, сбросить пароли учетных записей VPN и обратиться к паролям пользователей LDAP Check Point, привязанным к шлюзам. Организациям, использующим решения Check Point, возможности IPS помогают защититься от использования уязвимости CVE-2024-24919, в то время как решения Check Point XDR и Harmony Endpoint защищают от вредоносного ПО ShadowPad и программ-вымогателей NailaoLocker. В целом, комплексный подход к обеспечению безопасности имеет жизненно важное значение в продолжающейся борьбе с этими появляющимися хакерами.

#ParsedReport #CompletenessMedium
27-02-2025

Lotus Blossom espionage group targets multiple industries with different versions of Sagerunex and hacking tools

https://blog.talosintelligence.com/lotus-blossom-espionage-group/

Report completeness: Medium

Actors/Campaigns:
Dragonfish (motivation: cyber_espionage)

Threats:
Sagerunex
Htran
Vmprotect_tool
Impacket_tool
Netstat_tool
Venom_proxy_tool

Industry:
Telco, Government

Geo:
Philippines, Hong kong, Taiwan, Vietnam

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1543.003, T1055.001, T1071.001, T1027, T1082

IOCs:
Path: 9
Registry: 4
File: 1
Hash: 37
IP: 28
Domain: 11

Soft:
Dropbox, Twitter, Zimbra, Pyinstaller, Chrome, Firefox

Algorithms:
zip, exhibit

Win API:
WaitForSingleObject

Links:
have more...
https://github.com/zyl-fun/blog/blob/master/%E6%8F%90%E5%8F%96%E6%B5%8F%E8%A7%88%E5%99%A8%E6%9C%AC%E5%9C%B0%E7%9A%84cookie%EF%BC%88%E6%9C%AC%E4%BE%8B%E5%AD%90chrome%E6%B5%8F%E8%A7%88%E5%99%A8%EF%BC%89.md
https://github.com/Dliv3/Venom.
https://github.com/HiwinCN/HTran

#ParsedReport #ExtractedSchema

Classified images:
code: 10, schema: 1, dump: 2, windows: 4

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Хакер Lotus Blossom занимается кибершпионажем, используя бэкдор Sagerunex, который работает скрытно с помощью внедрения библиотек DLL и облачных сервисов для связи C2. Он включает в себя варианты, которые облегчают кражу учетных данных и утечку данных через API, сохраняя при этом постоянство и адаптируясь к условиям хостинга. Версия Zimbra синхронизируется с учетными записями электронной почты для извлечения данных из черновиков электронных писем.
-----

Cisco Talos выявила серию кампаний кибершпионажа, которые приписываются хакеру Lotus Blossom, нацеленных на такие сектора, как правительство, производство, телекоммуникации и СМИ. В этих кампаниях используется бэкдор Sagerunex, инструмент удаленного доступа (RAT), специально используемый Lotus Blossom. Эта активность наблюдается, по крайней мере, с 2012 года, а Sagerunex стабильно присутствует в этих операциях с 2016 года. Вредоносная программа претерпела несколько модификаций, при этом в ее инфраструктуре управления (C2) произошли заметные изменения.

Бэкдор Sagerunex предназначен для внедрения в виде динамически подключаемой библиотеки (DLL) и выполнения в памяти, что позволяет осуществлять скрытую работу. Его постоянство достигается путем записи специальных записей в реестр для запуска в качестве службы на зараженных компьютерах. Компания Lotus Blossom разработала Sagerunex для использования сторонних облачных сервисов, таких как Dropbox, Twitter и Zimbra, для связи на уровне C2, отказавшись от традиционных настроек виртуального частного сервера (VPS). Такая адаптивность еще больше повышает способность злоумышленника избегать обнаружения.

Исследования Talos показали, что Lotus Blossom разрабатывает различные варианты бэкдора Sagerunex. Технические характеристики этих вариантов демонстрируют высокую степень сходства кода, что указывает на общее происхождение в семействе Sagerunex. Новые варианты включают бета-версию, отличающуюся более подробными строками отладки, которые собирают информацию о хосте и передают ее на сервер C2. Другой вариант использует API-интерфейсы Dropbox и Twitter для сбора и эксфильтрации данных, что свидетельствует о гибком подходе к передаче данных и распространению команд.

В их работе было отмечено использование пользовательских инструментов. Например, для сбора учетных данных использовалась программа для кражи файлов cookie в Chrome, а для облегчения взаимодействия с внешними сетями использовались модифицированные инструменты, такие как прокси—сервер Venom. Инструмент "mtrain V1.01", адаптированный к HTran, служил ретранслятором для подключения изолированных взломанных компьютеров к Интернету.

Бэкдор Sagerunex оценивает состояние хоста перед установлением соединения, оценивая такие аспекты, как системное время и настройки прокси-сервера, чтобы оптимизировать свой охват. Он систематически выполняет команды для разведки и перемещения в сети и размещает вредоносную полезную нагрузку в доступных каталогах, чтобы продлить доступ, не вызывая тревоги.

Версия Zimbra Sagerunex, обнаруженная Talos, использует API Zimbra для фильтрации данных путем синхронизации с учетной записью электронной почты пользователя. Этот вариант выполняет проверку хостинга и прикрепляет собранные данные к черновикам электронных писем перед отправкой, позволяя Lotus Blossom сохранять контроль над скомпрометированными компьютерами с помощью законных команд электронной почты.

#ParsedReport #CompletenessMedium
28-02-2025

The SOC files: Chasing the web shell

https://securelist.com/soc-files-web-shell-chase/115714/

Report completeness: Medium

Threats:
Potato_tool
Godpotato_tool
Behinder

Victims:
Government infrastructure sharepoint server

Industry:
Government

Geo:
Chinese, Asia

ChatGPT TTPs:
do not use without manual check
T1505.003, T1071.001, T1105, T1548.002, T1482, T1041

IOCs:
Command: 1
File: 9
Hash: 9
Path: 2

Soft:
SharePoint server, ASP.NET

Algorithms:
base64, aes

Functions:
getExtraData

Languages:
php, java

Platforms:
cross-platform

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Веб-оболочки превратились в сложные платформы для эксплуатации с такими функциями, как выполнение в оперативной памяти и зашифрованный обмен данными C2, что повышает гибкость для злоумышленников. Примечательный случай был связан с веб-оболочкой Behinder, позволяющей настраивать скомпрометированные серверы с помощью графического интерфейса пользователя и AES-шифрованной связи, в то время как модули, работающие только с памятью, способствовали повышению привилегий. Исследование выявило ограничения систем обнаружения на основе сигнатур в отношении этих адаптивных угроз, подчеркнув необходимость углубленного анализа памяти для обнаружения угроз.
-----

Веб-оболочки превратились в облегченные платформы эксплуатации, которые теперь поддерживают выполнение модулей в оперативной памяти и зашифрованную командно-управляющую связь.

Одна веб-оболочка, связанная с китайскоязычными хакерами, была обнаружена на правительственном сервере SharePoint в Юго-Восточной Азии, обнаруженном Kaspersky Endpoint Security.

Злоумышленники использовали различные инструменты Potato для получения системных привилегий, включая двоичный файл GodPotato для повышения привилегий и перечисления доверия к домену.

Веб-оболочка Behinder, также известная как Rebeyond или Ice Scorpion, представляет собой кроссплатформенный бэкдор, совместимый с PHP, Java или ASP.NET веб-серверами.

Behinder оснащен мощным графическим интерфейсом, системой связи с шифрованием AES для скрытных операций и модульной конструкцией, позволяющей значительно настраивать систему.

Веб-оболочка функционирует как полностью работоспособный бэкдор для безопасной коммуникации, обращения к библиотекам, проведения разведки и эксфильтрации данных, избегая при этом обнаружения.

Системы обнаружения, основанные на сигнатурах, с трудом справляются с этими развивающимися угрозами, что подчеркивает важность анализа артефактов памяти для выявления скрытых угроз.

Тщательная проверка артефактов памяти необходима для выявления изощренных хакеров и предотвращения недосмотра за вредоносными наборами инструментов.

#ParsedReport #CompletenessMedium
28-02-2025

Analysis of attack activities of belly-brained insects (APT-Q-38) using PDF document bait

https://www.ctfiot.com/229405.html

Report completeness: Medium

Actors/Campaigns:
Donot (motivation: cyber_espionage)

Threats:
Harpoon_technique

Victims:
Government agencies, Defense and military, Diplomatic departments, Business

Industry:
Military, Government

Geo:
Asian, Sri lanka, Bangladesh, Pakistan, Asia

ChatGPT TTPs:
do not use without manual check
T1566.001, T1036, T1204.002, T1053.005, T1071.001

IOCs:
Hash: 12
Domain: 5
File: 7
Url: 15

Soft:
Android, WeChat

Algorithms:
aes, md5, xor

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Belly Brainworm, группа APT, нацеленная на правительства и предприятия Южной Азии, использует фишинговые атаки с использованием вредоносных PDF-файлов и макросов Office для доставки полезной информации. Их недавний метод маскирует EXE-файлы под PDF-файлы, подключаясь к серверу C2 для получения полезных данных, таких как socker, для конкретной жертвы.dll-файлы при сборе конфиденциальной информации об устройстве. Группа адаптирует атаки на основе архитектуры системы, что свидетельствует об эволюции их тактики работы.
-----

Belly Brainworm, также известная как Donot и обозначаемая Qi'anxin как APT-Q-38, представляет собой группу кибершпионажа, которая в основном нацелена на страны Южной Азии, такие как Пакистан, Бангладеш и Шри-Ланка. Их операции сосредоточены на проникновении в правительственные, военные и важные деловые круги с целью получения конфиденциальной информации. Обладая возможностями двухплатформенной атаки как на Windows, так и на Android, группа использует различные тактики для доставки полезной информации, часто используя фишинговые методы, такие как электронные письма harpoon с вредоносными ссылками и APK-файлы Android, содержащие уязвимости Office или вредоносные макросы.

Недавние действия показали, что Belly Brainworm использует PDF-документы в качестве приманки для своих атак. Группа реализовала два основных направления атаки: одно из них заключается в маскировке вредоносных исполняемых файлов (EXE) под PDF-документы, заставляя жертв думать, что они получают доступ к законному файлу. Второй способ более сложный, он использует фишинговые ссылки, встроенные в PDF-файл, для загрузки вредоносных файлов PowerPoint (PPT), которые при открытии выполняют макрокоды. В одном из наблюдаемых процессов поддельный PDF-файл скрывает свое содержимое и предлагает пользователям загрузить дополнительные материалы, в конечном итоге перенаправляя на сайт, где могут быть загружены вредоносные PPT-файлы.

Важнейшим компонентом этих атак является манипулирование доставкой полезной нагрузки. После активации исполняемый файл, маскирующийся под PDF, подключается к серверу управления (C2) для принятия решения о дальнейших действиях. Последующая вредоносная полезная нагрузка, идентифицированная как socker.dll, настраивается с использованием идентификаторов конкретной жертвы и загружается с указанного URL-адреса. Наблюдаемое вредоносное поведение включает сбор метаданных устройства, таких как информация об операционной системе, учетные данные пользователя и установленное программное обеспечение, которые затем отправляются обратно на сервер C2 в зашифрованном виде.

Кроме того, вредоносные макросы в PPT различаются по исполнению в зависимости от архитектуры системы (32-разрядной или 64-разрядной), что дополнительно обеспечивает адаптивность атаки в зависимости от среды, в которой находится жертва. Кульминацией процесса являются запланированные задачи, которые облегчают непрерывную работу компонентов вредоносного ПО, отражая предыдущую тактику Belly Brainworm, а также внедряя новые методы доставки полезной нагрузки.

Сходство в коде и характеристиках выполнения между недавно обнаруженным EXE-файлом и существующими вариантами предполагает усовершенствование их операционного подхода, в частности, использование PDF-файлов в качестве средства атаки, которое отличается от их предыдущих методов, но сохраняет знакомые элементы. Такая эволюция указывает на потенциальный сдвиг в тактике, направленный на оптимизацию процесса атаки при сохранении эффективности проникновения в целевые системы. Центр анализа угроз Qi'anxin рекомендует пользователям сохранять бдительность в отношении таких фишинговых схем, рекомендуя избегать нежелательных вложений в электронную почту и проверять подлинность неизвестных файлов перед их запуском или установкой.

#ParsedReport #CompletenessMedium
28-02-2025

Fake DeepSeek Site Infects Mac Users with Atomic (AMOS) Stealer

https://www.esentire.com/blog/fake-deepseek-site-infects-mac-users-with-atomic-stealer

Report completeness: Medium

Actors/Campaigns:
Ping3r
Rodrigo4

Threats:
Amos_stealer
Meteor_wiper
Poseidon
Clickfix_technique

Industry:
Entertainment, Financial

ChatGPT TTPs:
do not use without manual check
T1059.004, T1041, T1005, T1189

IOCs:
Coin: 19
Domain: 7
Hash: 2
IP: 1
Url: 2

Soft:
DeepSeek, Bitwarden, macOS, Telegram, Mac OS, GateKeeper, Firefox, Ledger Live, curl, Chromium, have more...

Wallets:
aptos_wallet, finnie, bitfinity_wallet, zilpay, kardiachain, cyano, hycon, xverse_wallet, abc_wallet, solflare_wallet, have more...

Crypto:
bitcoin, ethereum, tezos, casper, solana, monero, dogecoin

Algorithms:
exhibit, zip, base64

Functions:
ptrace, sysctl, getpid, system

Languages:
applescript

Platforms:
apple

Links:
https://github.com/eSentire/iocs/blob/main/Atomic%20macOS%20(AMOS)%20Stealer/AMOS-Stealer-2-12-2025.txt
https://github.com/eSentire/iocs/blob/main/Atomic%20(AMOS)%20Stealer/AtomicStealer-2-12-2025.txt

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная программа AMOS Stealer, связанная с хакером "ping3r", использует AppleScript через osascript для обработки конфиденциальных данных браузера, используя такие методы, как вредоносная реклама для первоначального доступа. Он собирает обширную информацию о системе и сеансах Telegram, использует методы защиты от отладки и отправляет данные на сервер C2, подчеркивая эволюцию системы "Вредоносное ПО как услуга".
-----

В феврале 2025 года была обнаружена вредоносная программа AMOS Stealer, использующая osascript для выполнения AppleScript, что иллюстрирует меняющийся ландшафт угроз, в котором все большее распространение получают модели "Вредоносное ПО как услуга". AMOS Stealer стоимостью 3000 долларов в месяц связан с хакером, известным как "ping3r", и очень похож на Poseidon Stealer, который был разработан человеком, назвавшимся "Rodrigo4". Эта вредоносная программа специально нацелена на конфиденциальную информацию в таких браузерах, как Chromium и Firefox, захватывая важные данные, включая данные кредитных карт, пароли, закладки, данные автозаполнения и учетные данные криптовалютного кошелька.

AMOS Stealer собирает обширную системную информацию, а также данные о сеансах Telegram и извлекает файлы из трех основных каталогов: "Рабочий стол", "Загрузки" и "Документы", уделяя особое внимание конкретным расширениям файлов. Чтобы повысить свои возможности скрытности, вредоносная программа использует методы защиты от отладки; например, она использует системный вызов ptrace(), чтобы определить, отслеживается ли она отладчиком, и завершит работу, если такой мониторинг будет обнаружен. Первоначальный способ доступа для вредоносного ПО обычно включает в себя вредоносную рекламу, которая заставляет пользователей заходить на поддельный сайт DeepSeek. Эта мошенническая веб-страница предлагает жертвам загрузить замаскированный сценарий оболочки, встроенный в DMG-файл.

После загрузки скрипт оболочки выполняет команды, которые не только изменяют атрибуты файла, чтобы скрыть присутствие вредоносного ПО, но и помечают двоичный файл вредоносного ПО как исполняемый файл. AMOS Stealer проверяет наличие известных имен пользователей researcher и завершает работу, если обнаруживает какое-либо из них, тем самым снижая риск заражения. Кроме того, он управляет своим присутствием, прерывая сеансы терминала, чтобы скрыть свою активность во время сбора конфиденциальных данных. Фильтрация осуществляется путем архивирования собранной информации и передачи ее на сервер управления (C2) с помощью POST-запросов. К типам украденных данных относятся файлы cookie браузера, учетные данные для входа в систему, содержимое связки ключей и файлы с различными указанными расширениями.

Кроме того, в последних обновлениях была уточнена классификация вредоносного ПО. Первоначально оно было ошибочно отнесено к Poseidon Stealer, но теперь подтверждено как AMOS Stealer. Это изменение отражает сохраняющуюся потребность в точной информации об угрозах, подчеркивая вклад сообщества безопасности в уточнение причин возникновения и углубление коллективного понимания возникающих угроз. Различные домены, связанные с вредоносным ПО, включая поддельные сайты DeepSeek, способствуют распространению и реализации AMOS Stealer, подчеркивая оперативную тактику, используемую хакером, вплетенную в современные тенденции киберпреступности.