#ParsedReport #CompletenessMedium
28-02-2025

Analysis of attack activities of belly-brained insects (APT-Q-38) using PDF document bait

https://www.ctfiot.com/229405.html

Report completeness: Medium

Actors/Campaigns:
Donot (motivation: cyber_espionage)

Threats:
Harpoon_technique

Victims:
Government agencies, Defense and military, Diplomatic departments, Business

Industry:
Military, Government

Geo:
Asian, Sri lanka, Bangladesh, Pakistan, Asia

ChatGPT TTPs:
do not use without manual check
T1566.001, T1036, T1204.002, T1053.005, T1071.001

IOCs:
Hash: 12
Domain: 5
File: 7
Url: 15

Soft:
Android, WeChat

Algorithms:
aes, md5, xor

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Belly Brainworm, группа APT, нацеленная на правительства и предприятия Южной Азии, использует фишинговые атаки с использованием вредоносных PDF-файлов и макросов Office для доставки полезной информации. Их недавний метод маскирует EXE-файлы под PDF-файлы, подключаясь к серверу C2 для получения полезных данных, таких как socker, для конкретной жертвы.dll-файлы при сборе конфиденциальной информации об устройстве. Группа адаптирует атаки на основе архитектуры системы, что свидетельствует об эволюции их тактики работы.
-----

Belly Brainworm, также известная как Donot и обозначаемая Qi'anxin как APT-Q-38, представляет собой группу кибершпионажа, которая в основном нацелена на страны Южной Азии, такие как Пакистан, Бангладеш и Шри-Ланка. Их операции сосредоточены на проникновении в правительственные, военные и важные деловые круги с целью получения конфиденциальной информации. Обладая возможностями двухплатформенной атаки как на Windows, так и на Android, группа использует различные тактики для доставки полезной информации, часто используя фишинговые методы, такие как электронные письма harpoon с вредоносными ссылками и APK-файлы Android, содержащие уязвимости Office или вредоносные макросы.

Недавние действия показали, что Belly Brainworm использует PDF-документы в качестве приманки для своих атак. Группа реализовала два основных направления атаки: одно из них заключается в маскировке вредоносных исполняемых файлов (EXE) под PDF-документы, заставляя жертв думать, что они получают доступ к законному файлу. Второй способ более сложный, он использует фишинговые ссылки, встроенные в PDF-файл, для загрузки вредоносных файлов PowerPoint (PPT), которые при открытии выполняют макрокоды. В одном из наблюдаемых процессов поддельный PDF-файл скрывает свое содержимое и предлагает пользователям загрузить дополнительные материалы, в конечном итоге перенаправляя на сайт, где могут быть загружены вредоносные PPT-файлы.

Важнейшим компонентом этих атак является манипулирование доставкой полезной нагрузки. После активации исполняемый файл, маскирующийся под PDF, подключается к серверу управления (C2) для принятия решения о дальнейших действиях. Последующая вредоносная полезная нагрузка, идентифицированная как socker.dll, настраивается с использованием идентификаторов конкретной жертвы и загружается с указанного URL-адреса. Наблюдаемое вредоносное поведение включает сбор метаданных устройства, таких как информация об операционной системе, учетные данные пользователя и установленное программное обеспечение, которые затем отправляются обратно на сервер C2 в зашифрованном виде.

Кроме того, вредоносные макросы в PPT различаются по исполнению в зависимости от архитектуры системы (32-разрядной или 64-разрядной), что дополнительно обеспечивает адаптивность атаки в зависимости от среды, в которой находится жертва. Кульминацией процесса являются запланированные задачи, которые облегчают непрерывную работу компонентов вредоносного ПО, отражая предыдущую тактику Belly Brainworm, а также внедряя новые методы доставки полезной нагрузки.

Сходство в коде и характеристиках выполнения между недавно обнаруженным EXE-файлом и существующими вариантами предполагает усовершенствование их операционного подхода, в частности, использование PDF-файлов в качестве средства атаки, которое отличается от их предыдущих методов, но сохраняет знакомые элементы. Такая эволюция указывает на потенциальный сдвиг в тактике, направленный на оптимизацию процесса атаки при сохранении эффективности проникновения в целевые системы. Центр анализа угроз Qi'anxin рекомендует пользователям сохранять бдительность в отношении таких фишинговых схем, рекомендуя избегать нежелательных вложений в электронную почту и проверять подлинность неизвестных файлов перед их запуском или установкой.

#ParsedReport #CompletenessMedium
28-02-2025

Fake DeepSeek Site Infects Mac Users with Atomic (AMOS) Stealer

https://www.esentire.com/blog/fake-deepseek-site-infects-mac-users-with-atomic-stealer

Report completeness: Medium

Actors/Campaigns:
Ping3r
Rodrigo4

Threats:
Amos_stealer
Meteor_wiper
Poseidon
Clickfix_technique

Industry:
Entertainment, Financial

ChatGPT TTPs:
do not use without manual check
T1059.004, T1041, T1005, T1189

IOCs:
Coin: 19
Domain: 7
Hash: 2
IP: 1
Url: 2

Soft:
DeepSeek, Bitwarden, macOS, Telegram, Mac OS, GateKeeper, Firefox, Ledger Live, curl, Chromium, have more...

Wallets:
aptos_wallet, finnie, bitfinity_wallet, zilpay, kardiachain, cyano, hycon, xverse_wallet, abc_wallet, solflare_wallet, have more...

Crypto:
bitcoin, ethereum, tezos, casper, solana, monero, dogecoin

Algorithms:
exhibit, zip, base64

Functions:
ptrace, sysctl, getpid, system

Languages:
applescript

Platforms:
apple

Links:
https://github.com/eSentire/iocs/blob/main/Atomic%20macOS%20(AMOS)%20Stealer/AMOS-Stealer-2-12-2025.txt
https://github.com/eSentire/iocs/blob/main/Atomic%20(AMOS)%20Stealer/AtomicStealer-2-12-2025.txt

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная программа AMOS Stealer, связанная с хакером "ping3r", использует AppleScript через osascript для обработки конфиденциальных данных браузера, используя такие методы, как вредоносная реклама для первоначального доступа. Он собирает обширную информацию о системе и сеансах Telegram, использует методы защиты от отладки и отправляет данные на сервер C2, подчеркивая эволюцию системы "Вредоносное ПО как услуга".
-----

В феврале 2025 года была обнаружена вредоносная программа AMOS Stealer, использующая osascript для выполнения AppleScript, что иллюстрирует меняющийся ландшафт угроз, в котором все большее распространение получают модели "Вредоносное ПО как услуга". AMOS Stealer стоимостью 3000 долларов в месяц связан с хакером, известным как "ping3r", и очень похож на Poseidon Stealer, который был разработан человеком, назвавшимся "Rodrigo4". Эта вредоносная программа специально нацелена на конфиденциальную информацию в таких браузерах, как Chromium и Firefox, захватывая важные данные, включая данные кредитных карт, пароли, закладки, данные автозаполнения и учетные данные криптовалютного кошелька.

AMOS Stealer собирает обширную системную информацию, а также данные о сеансах Telegram и извлекает файлы из трех основных каталогов: "Рабочий стол", "Загрузки" и "Документы", уделяя особое внимание конкретным расширениям файлов. Чтобы повысить свои возможности скрытности, вредоносная программа использует методы защиты от отладки; например, она использует системный вызов ptrace(), чтобы определить, отслеживается ли она отладчиком, и завершит работу, если такой мониторинг будет обнаружен. Первоначальный способ доступа для вредоносного ПО обычно включает в себя вредоносную рекламу, которая заставляет пользователей заходить на поддельный сайт DeepSeek. Эта мошенническая веб-страница предлагает жертвам загрузить замаскированный сценарий оболочки, встроенный в DMG-файл.

После загрузки скрипт оболочки выполняет команды, которые не только изменяют атрибуты файла, чтобы скрыть присутствие вредоносного ПО, но и помечают двоичный файл вредоносного ПО как исполняемый файл. AMOS Stealer проверяет наличие известных имен пользователей researcher и завершает работу, если обнаруживает какое-либо из них, тем самым снижая риск заражения. Кроме того, он управляет своим присутствием, прерывая сеансы терминала, чтобы скрыть свою активность во время сбора конфиденциальных данных. Фильтрация осуществляется путем архивирования собранной информации и передачи ее на сервер управления (C2) с помощью POST-запросов. К типам украденных данных относятся файлы cookie браузера, учетные данные для входа в систему, содержимое связки ключей и файлы с различными указанными расширениями.

Кроме того, в последних обновлениях была уточнена классификация вредоносного ПО. Первоначально оно было ошибочно отнесено к Poseidon Stealer, но теперь подтверждено как AMOS Stealer. Это изменение отражает сохраняющуюся потребность в точной информации об угрозах, подчеркивая вклад сообщества безопасности в уточнение причин возникновения и углубление коллективного понимания возникающих угроз. Различные домены, связанные с вредоносным ПО, включая поддельные сайты DeepSeek, способствуют распространению и реализации AMOS Stealer, подчеркивая оперативную тактику, используемую хакером, вплетенную в современные тенденции киберпреступности.

#ParsedReport #CompletenessLow
28-02-2025

Your MFA Is No Match for Sneaky2FA

https://www.esentire.com/blog/your-mfa-is-no-match-for-sneaky2fa

Report completeness: Low

Threats:
Sneaky_2fa_tool
Aitm_technique

Victims:
Office 365 users

Geo:
Asia

ChatGPT TTPs:
do not use without manual check
T1566, T1111

IOCs:
Url: 1
IP: 20
Domain: 80

Soft:
Office 365, Telegram, Cloudflare Turnstile, Mac OS

Platforms:
x64, intel

Links:
https://github.com/eSentire/iocs/blob/main/Atomic%20(AMOS)%20Stealer/AtomicStealer-2-12-2025.txt

#ParsedReport #ExtractedSchema

Classified images:
code: 1, windows: 5, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Фишинговый набор Sneaky2FA нацелен на учетные записи Office 365 с помощью методов "Злоумышленник посередине", обходя 2FA путем перехвата сессионных файлов cookie. Он работает с помощью спам-рассылок, ведущих на поддельную страницу входа, что усложняет обнаружение с помощью таких методов, как обфускация и страницы с подлинными ошибками. Успешный сбор данных позволяет операторам получать постоянный доступ к учетным записям и контролировать их, используя VPN и прокси-серверы для обеспечения анонимности.
-----

В начале февраля 2025 года подразделение eSentire по реагированию на угрозы (TRU) выявило пользователя, который заходил на фишинговый сайт, связанный с набором Sneaky2FA. Этот набор работает по принципу "Фишинг как услуга" (PhaaS), в частности, нацелен на учетные записи жертв Office 365 в обход двухфакторной аутентификации (2FA) путем перехвата сеансовых файлов cookie. Набор продается пользователем по имени "Vanyaon" на различных хакерских платформах, стоимость подписки на него начинается от 150 долларов в месяц.

Атака обычно начинается с того, что жертва получает спам-сообщение по электронной почте, содержащее ссылку на фишинговый PDF-файл в OneDrive, который при взаимодействии перенаправляет пользователя на веб-страницу, предназначенную для входа в Office 365. URL-адрес, связанный с этой атакой, был идентифицирован как "hxxps://secure.toitoiiusa.com/". Фишинговый набор использует методы для маскировки своего присутствия, такие как использование Cloudflare Turnstile или Google reCAPTCHA для отпугивания сканеров и ботов, что затрудняет обнаружение исследователями threat intelligence.

TRU отметил, что в некоторых вариантах Sneaky2FA используются размытые фоновые изображения, которые еще больше затрудняют обнаружение. Ключевые технические детали указывают на то, что при взаимодействии с фишинговым HTML-кодом в конечной точке /index извлекается поддельная форма входа в систему, в то время как последующие HTTP-запросы GET к конечной точке /verify облегчают сбор данных. Если домен электронной почты жертвы распознан как относящийся к бизнесу и в нем отсутствует 2FA, он перенаправляется на страницу с допустимой ошибкой Office 365, что затрудняет раннее обнаружение.

После успешного перехвата кода 2FA фишинговые операторы используют HTTP POST-запросы к конечной точке /validate для получения сеансовых файлов cookie, которые позволяют продолжать доступ к скомпрометированным учетным записям. Выявленные операторы часто используют украденные сеансовые файлы cookie для установления дальнейшего контроля над учетными записями, включая добавление методов многофакторной аутентификации. Примечательно, что эти операторы, как было замечено, маскировали свою деятельность с помощью VPN и прокси-сервисов, размещенных на таких платформах, как Digital Ocean, Private Internet Access и других.

Было отслежено несколько внешних IP-адресов, связанных с операциями Sneaky2FA, что указывает на обширную инфраструктуру, используемую этими фишинговыми операторами. Анализ также показал, что они намеренно выбирают хостинг-провайдеров, которые обеспечивают анонимность, что усложняет отслеживание и меры по смягчению последствий. Усовершенствования инфраструктуры и методологий отслеживания фишинговых наборов имеют решающее значение для защиты организаций от таких изощренных атак, особенно тех, которые используют слабые места в системах двухфакторной аутентификации.

#ParsedReport #CompletenessLow
28-02-2025

PayPals no-code checkout abused by scammers

https://www.malwarebytes.com/blog/scams/2025/02/paypals-no-code-checkout-abused-by-scammers

Report completeness: Low

Victims:
Paypal customers

ChatGPT TTPs:
do not use without manual check
T1566

IOCs:
Url: 6

Soft:
Android

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Мошенники, нацеленные на клиентов PayPal, используют уязвимости в инфраструктурах Google и PayPal, используя вредоносную рекламу, имитирующую законные бренды. Эта тактика заключается в том, что вводящие в заблуждение целевые страницы совпадают с отображаемым URL-адресом рекламы, что позволяет мошенникам обойти обнаружение. Пользователям рекомендуется избегать спонсорской рекламы для защиты конфиденциальной информации.
-----

Недавние расследования выявили мошенничество, нацеленное на клиентов PayPal, которое использует уязвимости как в инфраструктурах Google, так и PayPal. В этом мошенничестве используются убедительно созданные рекламные объявления и целевые страницы, которые обманом заставляют пользователей обращаться к мошенникам, а не к законным представителям службы поддержки клиентов. Мошенничество основано на уязвимости в политике Google в отношении целевых страниц, также известных как конечные URL-адреса. Эта лазейка позволяет мошенникам выдавать себя за надежные веб-сайты, если целевая страница и отображаемый URL (URL, показанный в объявлении) находятся в одном домене.

Выявленная специфическая тактика заключалась в том, что вредоносная реклама появлялась в поисковых системах в качестве спонсорской рекламы, часто маскируясь под PayPal. В ходе расследования было выявлено несколько различных вредоносных объявлений, каждое из которых ссылалось на различные типы мошеннических страниц, что свидетельствует о различных тактиках, используемых мошенниками. Основным техническим механизмом, позволяющим этим мошенникам создавать рекламу, имитирующую официальные бренды, за счет того, что целевой URL-адрес совпадает с содержанием объявления, что позволяет избежать обнаружения пользователями, которые могут смотреть только на отображаемое название.

Эксперты по кибербезопасности рекомендуют пользователям проявлять осторожность, особенно при поиске официальной контактной информации или веб-сайтов. Рекомендуется просматривать рекламные объявления и выбирать более надежные результаты обычного поиска. Хотя такие меры безопасности, как блокировка рекламы, могут помочь снизить риск появления вредоносной рекламы, бдительность пользователей по-прежнему играет решающую роль в предотвращении подобных мошеннических действий. Поэтому знание этих тактик имеет важное значение для поддержания кибербезопасности и защиты конфиденциальной финансовой информации от использования киберпреступниками.

#ParsedReport #CompletenessLow
28-02-2025

INPS SMISHING: New scam threatens criminal consequences

https://cert-agid.gov.it/news/smishing-inps-nuova-truffa-minaccia-conseguenze-penali/

Report completeness: Low

Threats:
Smishing_technique

Industry:
Healthcare

ChatGPT TTPs:
do not use without manual check
T1566

IOCs:
Domain: 1
Url: 9

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Фишинговая кампания использует вредоносный веб-сайт для извлечения личной информации, ссылаясь на налоговые проблемы и требуя от жертв загрузить "видео с распознаванием". Украденные данные используются для кражи личных данных, что позволяет мошенникам манипулировать финансовыми счетами и переводить средства.
-----

Недавно была запущена фишинговая кампания с использованием вредоносного веб-сайта, который нацелен на пользователей с помощью всплывающего сообщения. В этом сообщении ложно утверждается о проблемах с налоговыми декларациями и грозит уголовными последствиями в случае непредставления личной информации. Злоумышленники запрашивают конфиденциальные документы, включая удостоверения личности, медицинские карты, водительские права и копии последних зарплатных чеков. Заметным изменением в этой кампании по сравнению с предыдущими является введение требования к жертве загрузить "видеозапись распознавания", что добавляет уровень манипуляций, направленных на то, чтобы убедить жертв в законности запроса.

Персональные данные, полученные с помощью этого мошеннического метода, используются в различных незаконных целях, преимущественно для создания цифровых идентификационных данных, таких как SPID (Sistema Pubblico di Identità Digitale), на имя жертвы. Этот тип кражи личных данных может быть успешным только в том случае, если соответствующие процессы проверки не выявят мошеннических действий. Как только мошенник успешно получит цифровое удостоверение личности, он сможет получить доступ к государственным службам и манипулировать важной информацией, включая изменение банковских идентификаторов (IBAN), привязанных к финансовым счетам жертвы. Эта манипуляция в конечном счете позволяет мошенникам перенаправлять финансовые ресурсы, такие как заработная плата и пенсии, на счета, которые они контролируют, что приводит к значительным финансовым потерям для жертв. Кампания демонстрирует сохраняющиеся угрозы, связанные с фишингом и мошенничеством с личными данными, подчеркивая необходимость повышения осведомленности о кибербезопасности и принятия защитных мер среди отдельных лиц и организаций.

#ParsedReport #CompletenessHigh
28-02-2025

The evolution of Dark Caracal tools: analysis of a campaign featuring PocoRAT

https://global.ptsecurity.com/analytics/pt-esc-threat-intelligence/the-evolution-of-dark-caracal-tools-analysis-of-a-campaign-featuring-poco-rat

Report completeness: High

Actors/Campaigns:
Darkcaracal (motivation: cyber_mercenary, cyber_espionage)

Threats:
Poco_rat
Bandok
Upx_tool
Trojan.win32.inject.a
Trojan.win32.generic.a
Spear-phishing_technique
Process_injection_technique

Victims:
Corporate networks, Government institutions, Military organizations, Activists, Journalists, Commercial entities

Industry:
E-commerce, Financial, Logistic, Government, Healthcare, Military

Geo:
Ecuador, Spain, Mexico, Chile, Peru, Latin american, Panama, Colombia, Latin america, Venezuela, Dominican republic, Spanish

TTPs:
Tactics: 7
Technics: 13

IOCs:
Hash: 966
File: 7
IP: 9

Soft:
Zoom, VirtualBox, Dropbox

Algorithms:
base64, ripemd-160

Win API:
ResumeThread, SetThreadContext

Languages:
delphi

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В начале 2024 года группа Dark Caracal использовала вредоносное ПО Poco RAT для атаки на испаноязычные корпоративные сети с помощью фишинговых электронных писем с поддельными документами, что привело к скрытой установке вредоносных файлов .rev. Poco RAT функционирует как бэкдор, обеспечивающий всесторонний доступ к системе, используя при этом шифрование и внедрение процессов, чтобы избежать обнаружения, при этом значительная концентрация атак приходится на Латинскую Америку.
-----

Poco RAT, обнаруженная в начале 2024 года, принадлежит хакерской группе Dark Caracal. Вредоносная программа обладает широкими шпионскими возможностями, такими как загрузка файлов, захват скриншотов и выполнение команд. Ее программа-дроппер очень похожа на ту, что использовалась в вредоносном ПО Bandook, ранее связанном с этой группой. Кампании в основном нацелены на корпоративные сети с помощью фишинговых электронных писем на испанском языке и вредоносных вложений, замаскированных под записи финансовых транзакций. Эти документы часто не обнаруживаются антивирусом и перенаправляют пользователей на загрузку архивов .rev с законных файлообменных сайтов, используя их в качестве скрытых контейнеров для вредоносного ПО. При запуске Poco RAT позволяет избежать видимых операций записи на диск, внедряясь в такие процессы, как iexplore.exe и cttune.exe. Dropper использует динамическое разрешение API и включает в себя такие методы, как манипулирование адресами памяти и шифрование строк с помощью Twofish и Base64 для обфускации. Poco RAT функционирует как черный ход, предоставляя полный доступ к системам при подключении к серверам управления (C2) для получения инструкций, проверяя их выполнение в виртуальных средах, чтобы избежать обнаружения. Он использует сжатие в формате UPX для сохранения небольшого объема - от 13 до 24 МБ. Серверы C2 используют методы обфускации, не имея открытых портов или четких идентификаторов. Большинство образцов крыс Poco получены из Латинской Америки, особенно из Венесуэлы, Колумбии и Чили, что свидетельствует о целенаправленном подходе к испаноязычным регионам. Исторически Dark Caracal был нацелен на целый ряд организаций, но в настоящее время переходит на Poco RAT, чтобы адаптироваться к меняющимся мерам безопасности, в связи с заметным увеличением числа фишинговых атак и развертывания вредоносного ПО.

#ParsedReport #CompletenessHigh
01-03-2025

Who are Hellcat Ransomware Group?

https://www.bridewell.com/insights/blogs/detail/who-are-hellcat-ransomware-group

Report completeness: High

Actors/Campaigns:
Anonbf
Morpheus

Threats:
Hellcat
Sliver_c2_tool
Morpheus
Lolbin_technique
Underground_team_ransomware
Spear-phishing_technique
Amsi_bypass_technique
Netcat_tool
Netscan_tool
Lumma_stealer
Cobalt_strike

Victims:
Schneider electric, Telefonica, Pinger, Dell, Capgemini, Knesset

Industry:
Energy, Transport, Telco, Healthcare, Government

Geo:
Israel

CVEs:
CVE-2024-9474 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- paloaltonetworks pan-os (<10.1.14, <10.2.12, <11.0.6, <11.1.5, <11.2.4)

CVE-2024-0012 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- paloaltonetworks pan-os (<10.2.12, <11.0.6, <11.1.5, <11.2.4)


TTPs:

IOCs:
IP: 9
Domain: 11
Url: 2
Hash: 6
Email: 2
File: 4
Registry: 1

Soft:
Twitter, BurpSuite, PAN-OS

Algorithms:
md5, sha256, zip

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 2, code: 11