#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Серверы веб-оболочки JSPSpy теперь используют модифицированный инструмент Filebroser, позволяющий избежать обнаружения и позволяющий управлять файлами в скомпрометированных системах. Анализ выявил четыре сервера, работающих в основном на порту 80, причем один сервер на 124.235.147.90, имеющий действующий сертификат TLS, что вызывает подозрения в компрометации сети. Эффективное обнаружение требует анализа множества показателей, включая HTTP-заголовки, поскольку злоумышленники, скорее всего, изменят заголовки веб-оболочки, чтобы обойти меры безопасности.
-----

Недавнее исследование показало, что серверы JSPSpy web shell используют модифицированный инструмент под названием Filebroser, ребрендированную версию файлового браузера project с открытым исходным кодом. Это изменение может свидетельствовать о попытке избежать обнаружения, поскольку роль инструмента может варьироваться от постоянного доступа к файлам до управления файлами в скомпрометированных системах. JSPSpy, разработанный на Java и впервые упомянутый в 2013 году, был использован различными хакерами, включая группу Lazarus, которая, как сообщается, атаковала исследовательскую организацию.

Анализ был сосредоточен на конкретном наборе инфраструктуры хостинга JSPSpy, на котором были идентифицированы четыре сервера с одинаковым названием веб-страницы, распределенные между несколькими хостинг-провайдерами как в Китае, так и в Соединенных Штатах. Эти серверы в основном работают через порт 80, чтобы обеспечить связь с законным HTTP-трафиком, а один сервер использует порт 8888. Мониторинг веб-оболочек на нестандартных портах может выявить аналогичные вредоносные настройки. Из этих серверов только на одном размещен действующий сертификат TLS от DigiCert, который был впервые обнаружен в середине сентября 2024 года и остается активным. Этот сервер, расположенный по адресу 124.235.147.90, на короткое время разрешил доступ к легитимному домену, что вызвало подозрения о возможных сетевых сбоях или неправильных настройках.

Поиск в Интернете серверов с надписью "Login - filebroser" дал минимальные результаты, что говорит об ограниченном распространении этого инструмента, вероятно, адаптированного для конкретного оператора. Существует неопределенность в отношении того, функционирует ли Filebroser идентично исходной версии, но его совместное использование с JSPSpy требует дальнейшего изучения. Серверы JSPSpy, как правило, имеют отличительный заголовок страницы входа в систему, и, хотя это может быть полезным показателем для обнаружения, злоумышленники могут легко изменить такие заголовки, чтобы обойти меры безопасности. Более надежные методы обнаружения включают анализ заголовков и поведения HTTP-ответов сервера.

Исследование подчеркивает сложность обнаружения вредоносных инфраструктур, подчеркивая, что эффективные стратегии обнаружения должны включать в себя множество показателей. Точное отслеживание JSPSpy и аналогичных веб-инструментов требует интеграции различных сигналов, включая заголовки HTTP и контекстную информацию, что повышает осведомленность защитников о потенциальных угрозах. В совокупности JSPSpy и Filebroser служат напоминанием о том, что злоумышленники умело используют веб-оболочки для обеспечения устойчивого доступа, часто маскируя свою деятельность в законных условиях.

#ParsedReport #CompletenessMedium
13-03-2025

Investigating Scam Crypto Investment Platforms Using Pyramid Schemes to Defraud Victims

https://unit42.paloaltonetworks.com/fraud-crypto-platforms-campaign/

Report completeness: Medium

Threats:
Pyramid_c2
Domain_fronting_technique
Smartbot_tool

Victims:
Crypto investors

Industry:
E-commerce, Retail, Financial

Geo:
Singapore, Middle east, Asia, Australia, African, India, Asian, Japan

ChatGPT TTPs:
do not use without manual check
T1071.001

IOCs:
Domain: 29
File: 4
Url: 3
Hash: 3

Soft:
Telegram, Android

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Сложная афера с инвестициями в криптовалюту была связана с одним хакером, который создает мошеннические платформы, используя схемы финансовых пирамид, массовую регистрацию доменов и методы оформления доменных имен. Их операции включают обманчивую рекламу в социальных сетях и единую структуру веб-сайтов, напоминающую схемы Понци и требующую от пользователей осторожности в отношении нереалистичных доходов.
-----

Недавний анализ аналитических данных об угрозах выявил сложную мошенническую кампанию по инвестированию в криптовалюту, приписываемую одному хакеру. Расследование выявило систематическое создание и продвижение многочисленных мошеннических платформ для инвестирования в криптовалюты, которые в основном размещаются на веб-сайтах и в мобильных приложениях на базе Android. Эти платформы часто используют популярные темы, такие как известные бренды, организации или текущие события, для привлечения жертв. Мошенники используют многоуровневую структуру партнерского маркетинга, которая напоминает финансовую пирамиду, где партнеры зарабатывают комиссионные, привлекая новых участников, а не за счет законной коммерческой деятельности.

Хакеры зарегистрировали значительное количество доменов, в среднем около 15 новых регистраций в день, преимущественно в Сингапуре, используя регистраторов со снисходительной политикой. Характерно, что они используют поддельные имена владельцев регистраций с очевидной автоматизацией процесса создания доменов. Домены используют бесплатные сертификаты HTTPS для шифрования, а также используют методы защиты доменов через общедоступный облачный сервис, чтобы скрыть свое истинное местоположение. Большой процент IP-адресов хостинга, связанных с этими мошенничествами, принадлежат одному поставщику облачных услуг, что способствует запутыванию их операций за счет смешивания с несвязанными безопасными доменами.

Мошенники активно продвигают свои платформы через популярные социальные сети и платформы для обмена видео, где они создают крупные Telegram-каналы с десятками тысяч подписчиков для привлечения потенциальных жертв. Анализ нескольких мошеннических платформ показывает, что они используют единый инструментарий, который упрощает разработку веб-сайтов и мобильных приложений. Рассмотренные приложения для Android, как правило, используют веб-интерфейс для подключения к соответствующим веб-сайтам, что вызывает вопросы относительно необходимости получения конфиденциальных разрешений, связанных с этими приложениями, таких как доступ к внешнему хранилищу и функциям камеры, хотя имеющиеся данные не указывают на злоупотребление этими разрешениями.

Цифровая инфраструктура, стоящая за этими мошенничествами, демонстрирует значительное структурное сходство, особенно в том, что касается использования общих фреймворков веб-дизайна, таких как Vue.js. Это сходство предполагает скоординированный подход и усиливает подозрения в целенаправленной работе, стоящей за мошеннической кампанией. Благодаря сочетанию вводящих в заблуждение обещаний высокой доходности и привлекательности популярных брендов, кампания работает аналогично финансовым пирамидам, поэтому частным лицам необходимо проводить тщательные исследования и проявлять бдительность в отношении подобных мошеннических возможностей. Обобщенная информация об этом инциденте служит предостерегающим напоминанием пользователям о том, что следует опасаться нереалистичной доходности инвестиций, поскольку они часто указывают на мошеннические действия.

#ParsedReport #CompletenessLow
13-03-2025

Threat Intelligence Snapshot: Week 11, 2025

https://quointelligence.eu/2025/03/threat-intelligence-snapshot-week-11-2025/

Report completeness: Low

Threats:
Lumma_stealer
Smartloader

Victims:
Israeli ships

Industry:
Government, Energy, Healthcare

Geo:
Israeli, Yemen

ChatGPT TTPs:
do not use without manual check
T1195

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносные программы SmartLoader и Lumma Stealer распространяются через GitHub, что позволяет киберпреступникам совершать кражи данных и онлайн-мошенничество. хакеры используют эти инструменты, чтобы избежать обнаружения и использовать скомпрометированные системы. Одновременно силы Хуситов, вероятно, активизируют хакерские атаки на израильские морские объекты, сочетая кинетическую и кибервойну, что вызывает обеспокоенность по поводу безопасности на море и требует усиления защиты.
-----

Недавние расследования выявили, что репозитории GitHub используются для распространения вредоносных программ SmartLoader и Lumma Stealer. SmartLoader - это платформа "вредоносное ПО как услуга", которая позволяет киберпреступникам эффективно создавать и развертывать вредоносное программное обеспечение, часто связанное с различными формами онлайн-мошенничества и кражи данных. Функциональность вредоносного ПО включает загрузку дополнительных полезных данных, которые часто используются для дальнейшей эксплуатации скомпрометированных систем. Lumma Stealer, с другой стороны, предназначен для извлечения конфиденциальной информации, включая учетные данные и персональные данные с зараженных компьютеров. Оба типа вредоносных программ набирают популярность среди хакеров благодаря своей способности избегать обнаружения и способствовать различным незаконным действиям.

Кроме того, сообщается, что поддерживаемые Ираном силы хуситов в Йемене намерены активизировать свои атаки на израильские морские объекты. Эта эскалация может быть связана с расширенными возможностями в киберпространстве, что предполагает потенциальное сочетание стратегий кинетической и кибервойны. Хуситы продемонстрировали свою способность проводить целенаправленные атаки с использованием беспилотных летательных аппаратов и ракет, и влияние новых хакеров на безопасность на море вызывает обеспокоенность. Потенциал киберопераций, направленных против морской инфраструктуры, представляет собой важный элемент современных геополитических конфликтов, что подчеркивает необходимость усиления мер кибербезопасности для военно-морских объектов.

Пересечение этих двух концепций высвечивает эволюционирующий хакерский ландшафт, характеризующийся распространением вредоносных программ, нацеленных на отдельных пользователей и организации, а также спонсируемых государством хакеров, нацеленных на критически важную национальную инфраструктуру. Организации и подразделения, занимающиеся кибербезопасностью, должны сохранять бдительность, обеспечивая достаточную надежность средств защиты для противодействия двойным угрозам, исходящим от сложных вредоносных программ, таких как SmartLoader и Lumma Stealer, а также от потенциальных агрессивных киберопераций, исходящих из зон конфликтов.

#ParsedReport #CompletenessMedium
13-03-2025

Detailed Analysis of DocSwap Malware Disguised as Security Document Viewer

https://medium.com/s2wblog/detailed-analysis-of-docswap-malware-disguised-as-security-document-viewer-218a728c36ff

Report completeness: Medium

Actors/Campaigns:
Kimsuky

Threats:
Docswap

Geo:
Korea, North korea

TTPs:
Tactics: 5
Technics: 15

IOCs:
File: 2
IP: 2
Hash: 5
Url: 2

Soft:
CoinSwap

Algorithms:
xor

Links:
https://github.com/yongyecc/LoadedApkPlugin
https://github.com/S2W-TALON/Threat-Intelligence-Report/blob/main/250313\_Detailed%20Analysis%20of%20DocSwap%20Disguised%20as%20Security%20Document%20Viewer/IoCs.md

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная программа "DocSwap", связанная с северокорейской APT-группой, нацелена на южнокорейских мобильных пользователей для кражи информации и кейлоггинга. Она использует передовые технологии, такие как динамическая загрузка файлов DEX, несанкционированные запросы разрешений и постоянные операции с сервисами, взаимодействуя с серверами C2 для утечки данных.
-----

21 января 2025 года на сайте VirusTotal был обнаружен образец вредоносного ПО, идентифицированный как "Приложение для проверки подлинности документов" и связанный с поддерживаемой Северной Кореей APT-группой. Вредоносная программа, получившая название "DocSwap", была впервые зарегистрирована 13 декабря 2024 года и обладает расширенными возможностями, расшифровывая файл "security.db" с помощью операции XOR, а затем динамически загружая файл DEX. Приложение в первую очередь предназначено для пользователей мобильных устройств в Южной Корее, о чем свидетельствует наличие в вредоносной программе строк на корейском языке.

Вредоносный функционал DocSwap основан на краже информации и кейлоггинге, которые осуществляются с помощью обмена данными с сервером управления (C2). При запуске вредоносная программа получает разрешения, указанные в файле AndroidManifest.xml, и предлагает пользователям предоставить несанкционированные разрешения. Чтобы включить функцию кейлоггинга, приложение генерирует постоянные уведомления с запросом разрешений на доступ к специальным возможностям, в которых указывается, что такие разрешения необходимы для правильной работы. Служба "com.security.library.MainService" имеет решающее значение для ее работы, обеспечивая непрерывность за счет перезапуска даже после перезагрузки устройства, и отвечает за взаимодействие с сокетами для ретрансляции команд и выполнения вредоносных действий.

Ключевые особенности вредоносной программы включают жестко закодированную информацию об IP-адресах и портах для связи с сокетами, а также библиотеку из 57 идентифицированных вредоносных команд. Функция кейлоггинга активно собирает данные, включая название используемого пакета, значки приложений и текст, связанный с событиями, и передает эту информацию обратно на сервер C2, одновременно сохраняя ее локально.

21 февраля 2025 года по адресу C2, связанному с вредоносной программой, была обнаружена фишинговая страница, похожая на CoinSwap. Однако к 27 февраля на странице появился измененный значок Naver и текст "Миллион в порядке!", что указывает на потенциальную связь с группой Kimsuky — северокорейским хакером, известным аналогичной тактикой фишинга. Хакеры, стоящие за DocSwap, были обозначены как puNK-004 Центром исследования угроз и разведки S2W, который отслеживает различные неопознанные хакерские группы, связанные с интересами Северной Кореи. Учитывая природу DocSwap и тактику его внедрения, пользователям рекомендуется проявлять осторожность при работе со ссылками или вложениями электронной почты из неопределенных источников, чтобы не стать жертвами таких обманчивых приложений.

#ParsedReport #CompletenessMedium
14-03-2025

Android Banking Trojan - OctoV2, masquerading as Deepseek AI

https://labs.k7computing.com/index.php/android-banking-trojan-octov2-masquerading-as-deepseek-ai/

Report completeness: Medium

Threats:
Exobot

Victims:
Mobile device users

Industry:
Financial

Geo:
Chinese

TTPs:
Tactics: 5
Technics: 0

IOCs:
Url: 2
Hash: 2
File: 1

Soft:
Android, Deepseek, Deepseek-R1, twitter, Deepseek Android, APKTool, Google Play

Algorithms:
7zip

#ParsedReport #CompletenessMedium
14-03-2025

The Sidewinder APT group has updated the tools and attacks the sea and nuclear industries

https://securelist.ru/sidewinder-apt-updates-its-toolset-and-targets-nuclear-sector/112064/

Report completeness: Medium

Actors/Campaigns:
Sidewinder (motivation: cyber_espionage)

Threats:
Stealerbot

Victims:
Government organizations, Military organizations, Diplomatic institutions

Industry:
Military, Energy, Government, Telco, Logistic, Maritime, Nuclear_power

Geo:
Uganda, United arab emirates, Africa, Egypt, Middle east, India, Turkey, Mozambique, Indonesia, Asia, Algeria, Pakistan, Myanmar, China, Austria, Philippines, Vietnam, Arab emirates, Bangladesh, Saudi arabia, Nepal, Sri lanka, Afghanistan, Cambodia, Maldives, Bulgaria

CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)


ChatGPT TTPs:
do not use without manual check
T1566.001, T1203, T1059.007, T1027, T1071.001

IOCs:
File: 3
Url: 1
Hash: 11
Domain: 34

Soft:
Microsoft Office

Algorithms:
base64

Win API:
Globalmemorystatusex

Languages:
javascript

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 3, code: 7

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 1, chart: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Sidewinder, APT, нацелен на военные и правительственные организации в Южной и Юго-Восточной Азии, уделяя все больше внимания логистике и ядерной энергетике. Они эксплуатируют CVE-2017-11882 с помощью фишинга с использованием файлов DOCX, используя сложные вредоносные программы, такие как Stealerbot, и обновленные загрузчики бэкдоров, написанные на .NET и C++. Их тактика требует принятия срочных мер безопасности и постоянного мониторинга.
-----

Sidewinder, группа APT, проявила значительную активность, нацелившись на военные и правительственные организации в таких регионах, как Пакистан, Шри-Ланка, Китай и Непал, с заметной экспансией в логистическую и морскую инфраструктуру по всей Южной и Юго-Восточной Азии, на Ближнем Востоке и в Африке. Во второй половине 2024 года группа начала наращивать темпы своей работы, внедряя обновления в свои инструменты и создавая обширную инфраструктуру для распространения вредоносных программ и контроля скомпрометированных систем. Примечательно, что произошло заметное увеличение числа нападений, направленных на военно-морскую инфраструктуру и логистические компании, особенно в связи с новыми операциями, проводимыми в Джибути, и повышенным интересом к объектам ядерной энергетики в Южной Азии и за ее пределами.

Было замечено, что Sidewinder постоянно внедряет новшества в свое вредоносное ПО, чтобы обойти стратегии обнаружения. Обнаружив свои инструменты, группа быстро перерабатывает новые или модифицированные версии вредоносного ПО, часто в течение нескольких часов, используя методы сокрытия своего присутствия в зараженных системах путем изменения имен и местоположений файлов, тем самым усложняя отслеживание. Основным выявленным методом заражения является фишинговая кампания с использованием вредоносных файлов DOCX, которые используют хорошо известную уязвимость Microsoft CVE-2017-11882. Эта уязвимость способствует многоэтапному заражению, завершающемуся развертыванием загрузчика с черного хода, который затем устанавливает Stealerbot - инструмент, предназначенный исключительно для Sidewinder для действий после взлома.

В недавних атаках использовались обновленные эксплойты, которые выполняют шелл-код, позволяющий загружать дополнительные вредоносные программы. Механизм включает в себя RTF-файл, который при открытии активирует утилиту Windows Mshta.exe для извлечения дополнительных вредоносных компонентов с удаленных серверов. Заражение тщательно спланировано; загрузчик оценивает технические характеристики системы, прежде чем приступить к каким-либо дополнительным действиям по установке импланта Stealerbot, который работает скрытно в памяти.

Кроме того, гремучник предпринимает различные штаммы своего погрузчик бэкдор, написанный на обоих .NET и C++, демонстрирующая сдвиг в его методов кодирования с повышенной уклонение функции от реверс-инжиниринга и анализа. Цели группы четко охватывают целый ряд секторов, постоянно фокусируясь на правительственных и военных учреждениях, в то же время все чаще ориентируясь на организации, занимающиеся ядерной энергетикой и различными логистическими операциями в растущем списке пострадавших стран, включая Египет, Индонезию и ОАЭ.

Учитывая сложность и оперативность Sidewinder, необходимость своевременного обновления системы безопасности и внедрения надежных механизмов обнаружения и реагирования имеет решающее значение. Векторы атак подчеркивают необходимость бдительности в корпоративной практике обеспечения безопасности, особенно в том, что касается электронной почты и обработки документов. Меняющийся характер тактики Sidewinder подчеркивает важность постоянного мониторинга и обновления стратегий обнаружения, чтобы учитывать меняющийся ландшафт угроз, создаваемых этой группой.

#ParsedReport #CompletenessMedium
14-03-2025

Android Banking Trojan - OctoV2, masquerading as Deepseek AI

https://labs.k7computing.com/index.php/android-banking-trojan-octov2-masquerading-as-deepseek-ai/

Report completeness: Medium

Threats:
Exobot

Victims:
Mobile device users

Industry:
Financial

Geo:
Chinese

TTPs:
Tactics: 5
Technics: 0

IOCs:
Url: 2
Hash: 2
File: 1

Soft:
Android, Deepseek, Deepseek-R1, twitter, Deepseek Android, APKTool, Google Play

Algorithms:
7zip

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 3, code: 7

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Новая вредоносная программа нацелена на пользователей, имитируя чат-бота Deepseek с искусственным интеллектом, распространяясь по фишинговым ссылкам и устанавливая два вредоносных пакета для Android. Эта вредоносная программа использует алгоритм генерации домена для связи C2 и собирает данные разведки устройств, выявляя риски, связанные с мошенническими приложениями.
-----

Недавний анализ выявил тревожную тенденцию, связанную с распространением вредоносного ПО, имитирующего законные приложения искусственного интеллекта, в частности, нацеленного на недавно выпущенного чат-бота Deepseek AI. В этой вредоносной кампании используются обманные методы, чтобы заманить пользователей к установке вредоносного приложения, маскирующегося под подлинное программное обеспечение Deepseek.

Обнаруженная вредоносная программа распространяется по фишинговой ссылке, что приводит к загрузке вредоносного пакета для Android (DeepSeek.apk) с подозрительного веб-сайта. После загрузки этого файла в панели приложений пользователя используется значок Deepseek, который создает иллюзию подлинности. При запуске приложения пользователям предлагается разрешить установку из неизвестных источников, и в дальнейшем их обманом заставляют установить дополнительный компонент, в результате чего на их устройствах появляются два экземпляра вредоносного ПО, каждый из которых идентифицируется под другим именем пакета.

Анализ родительского APK-файла выявил необычные характеристики, в частности, то, что он был защищен паролем, - тенденция, которая все чаще наблюдается у вредоносных APK-файлов. В то время как стандартные средства реверс-инжиниринга не могли проанализировать этот файл, инструмент Android SDK смог успешно его проанализировать. Вредоносная программа сканирует свой собственный каталог ресурсов в поисках файла с определенным расширением и затем устанавливает дополнительный вредоносный пакет, который также остается защищенным паролем. Установленное дочернее приложение использует алгоритм генерации доменов (DGA), который динамически генерирует доменные имена для связи Command & Control (C2), что позволяет обойти занесение домена в черный список и поддерживать постоянные операции.

После активации вредоносная программа проводит разведку на устройстве жертвы, собирая список всех установленных приложений, который затем передает на сервер C2. Операционные данные, включая команды бота и информацию C2, хранятся в общем файле настроек вредоносного приложения.

Этот случай подчеркивает значительный риск, связанный с мошенническими приложениями, и необходимость для пользователей проявлять бдительность при загрузке программного обеспечения. Для пользователей крайне важно использовать надежные платформы для приобретения приложений, активно следить за безопасностью устройств и обеспечивать исправление всех известных уязвимостей, чтобы снизить риск таких сложных атак.

#ParsedReport #CompletenessLow
14-03-2025

Negative Exposure: Edimax Network Cameras Used to Spread Mirai

https://www.akamai.com/blog/security-research/2025/mar/march-edimax-cameras-command-injection-mirai

Report completeness: Low

Threats:
Mirai

TTPs:
Tactics: 1
Technics: 0

IOCs:
Domain: 4
Url: 1

Algorithms:
sha256

YARA: Found