#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная программа Atomic Stealer нацелена на пользователей macOS, маскируясь под программу для взлома Evernote, используя скомпрометированные установочные файлы и манипулируя пользовательскими командами для выполнения. Она собирает конфиденциальную системную информацию и учетные данные, фильтруя данные с помощью POST-запросов и самоудаляя post-файлы. Пользователям следует избегать загрузки из непроверенных источников, чтобы снизить риск.
-----

Аналитический центр безопасности AhnLab (ASEC) выявил серьезного хакера, использующего вредоносную программу Atomic Stealer, которая маскируется под программу для взлома Evernote в системах macOS. Эта вредоносная программа для macOS, предназначенная для кражи информации, распространяется через скомпрометированные установочные файлы, такие как pkg и dmg, используя методы, позволяющие заманить ничего не подозревающих пользователей к загрузке вредоносного программного обеспечения. При посещении сайта, распространяющего вредоносное ПО, пользователям предлагается загрузить установочный файл crack, при этом сайт выполняет проверку пользовательского интерфейса браузера посетителя. При обнаружении пользователя macOS сайт перенаправляется на страницу установки Atomic Stealer; если пользователь Windows зарегистрирован, это приводит к появлению вредоносной программы LummaC2.

В среде macOS вредоносная операция начинается с того, что злоумышленник уговаривает пользователя выполнить команду в терминале, которая впоследствии загружает и запускает вредоносную программу Atomic Stealer. Этот метод, по-видимому, является стратегией обхода предупреждений macOS GateKeeper, которые обычно срабатывают при запуске загруженных исполняемых файлов. Распространяемый в виде файла dmg, пользователь должен щелкнуть правой кнопкой мыши на файле установщика и выбрать "Открыть", чтобы запустить вредоносную программу.

После активации Atomic Stealer собирает важную системную информацию, используя такие команды, как "system_profiler" и "SPMemoryDataType", а также проверяет наличие определенных идентификаторов, относящихся к средам виртуальных машин, таких как "QEMU" или "VMware", чтобы предотвратить выполнение в таких контекстах. Чтобы расширить свои возможности по вводу в заблуждение, вредоносная программа может отображать окно предупреждения, которое выглядит как официальное, и запрашивать у пользователя системный пароль. После того, как пользователь вводит свой пароль, Atomic Stealer использует команду "dscl . только для авторизации" для проверки и сохранения учетных данных.

Вредоносная программа также использует AppleScript через OSA-скрипт для поиска интересующих файлов с целью извлечения конфиденциальной информации. Он собирает различные данные, включая браузеры, системные данные, связку ключей, заметки, данные Telegram и криптовалютные кошельки, в сжатый файл с именем "out.zip" после создания подкаталога в пути "/tmp". Украденная информация передается обратно на сервер злоумышленника с помощью POST-запроса, выполненного с помощью команды "curl", и вредоносная программа самоудаляется после отправки информации.

Atomic Stealer в основном распространяется либо в виде поддельной программы для взлома, либо через веб-сайты, на которых размещено вредоносное ПО, иногда распространяемое через рекламную платформу Google. В связи с этим пользователям настоятельно рекомендуется проявлять осторожность при загрузке программного обеспечения из непроверенных источников и использовать официальные платформы распространения, чтобы свести к минимуму риск заражения.

#ParsedReport #CompletenessLow
30-04-2025

Active Subscription Scam Campaigns Flooding the Internet

https://www.bitdefender.com/en-us/blog/labs/active-subscription-scam-campaigns-flooding-the-internet

Report completeness: Low

Threats:
Homoglyph_technique

Industry:
E-commerce, Aerospace

Geo:
Chinese, Canada, Romania, Cyprus

ChatGPT TTPs:
do not use without manual check
T1071, T1566, T1036, T1199, T1564

IOCs:
Domain: 139
File: 1
IP: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Киберпреступники все чаще прибегают к изощренным онлайн-мошенничествам, особенно с помощью поддельных сайтов электронной коммерции, которые вводят пользователей в заблуждение, заставляя их предоставлять конфиденциальную платежную информацию. Эти сайты используют обманчивую рекламу в социальных сетях, часто работают по модели подписки и привязаны к центральному адресу на Кипре, что указывает на хорошо организованную работу.
-----

Киберпреступники значительно усовершенствовали свою тактику, особенно в сфере онлайн-мошенничества, направленного на получение конфиденциальной информации от жертв, такой как данные кредитных карт. Среди них появилась изощренная версия аферы с "таинственной коробкой", характеризующаяся созданием устрашающе убедительных веб-сайтов электронной коммерции, которые продвигают различные товары, начиная от одежды и заканчивая электроникой. Эти сайты, привязанные к центральному адресу на Кипре, часто работают по модели подписки, скрытой за мелким шрифтом, заставляя жертв предоставлять свою платежную информацию под ложным предлогом.

Мошенническая среда изобилует более чем 200 веб-сайтами, использующими аналогичные модели и элементы дизайна, чтобы убедить пользователей, что они сотрудничают с законным бизнесом. Многие из этих сайтов все еще работают, предлагая множество вводящих в заблуждение предложений, которые часто включают некачественные продукты по завышенным ценам. Исследователи выявили около 140 сайтов, использующих эту бизнес—модель, а соответствующий адрес, расположенный в Лимассоле, связан с известными оффшорными документами, что указывает на хорошо организованную мошенническую операцию.

Мошенники используют социальные сети, в первую очередь Facebook, для распространения своих мошеннических действий. Они создают поддельные страницы, выдающие себя за популярных создателей контента, и размещают целевую рекламу, которая приводит пользователей на мошеннические веб-сайты. Тактика заключается в использовании привлекательной, но вводящей в заблуждение рекламы, которая обещает значительную экономию на различных продуктах, при этом в процессе оплаты условия корректируются с учетом периодических платежей. Такой уровень мошенничества — от первоначального убеждения до постоянной финансовой эксплуатации — подчеркивает возросшую изощренность стратегий мошенничества.

Кроме того, реклама тщательно продумана, часто в значительной степени опирается на визуальные элементы без сопровождающих текстовых описаний, что облегчает им задачу избежать проверки. В своих изображениях они используют методы обрезки и гомоглифы, чтобы ввести в заблуждение потенциальных жертв и сохранить видимость законности.

Поскольку экосистема онлайн-мошенничества продолжает расширяться за счет заманчивых, но мошеннических предложений, пользователям важно сохранять бдительность в отношении этих развивающихся угроз, особенно по мере того, как они становятся все более искусными в манипулировании распространенным цифровым поведением и факторами доверия в своих интересах. Хитросплетения этих мошеннических действий демонстрируют согласованные усилия киберпреступников по эксплуатации ничего не подозревающих людей, что говорит о том, что без регулирования и обучения пользователей такие угрозы, скорее всего, усугубятся.

#ParsedReport #CompletenessLow
30-04-2025

SAP NetWeaver CVE-2025-31324 Exploitation

https://labs.withsecure.com/publications/netweaver-cve-2025-31324

Report completeness: Low

Actors/Campaigns:
Thewizards

Threats:
Xmrig_miner
Slaac_spoofing_technique
Aitm_technique
Wizardnet
Spellbinder
Rozena
Darknights

CVEs:
CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown


IOCs:
Command: 2
Path: 3
Url: 6
File: 4
IP: 3
Hash: 10

Soft:
SAP NetWeaver, Linux, Android

Algorithms:
base64, zip, sha1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Критическая уязвимость нулевого дня (CVE-2025-31324) в SAP NetWeaver позволяет загружать файлы без проверки подлинности и выполнять произвольный код, что приводит к развертыванию веб-оболочек для вредоносных действий, включая установку майнеров XMRig coin. Эксплуатация происходила с марта 2025 года по 26 апреля, когда был выпущен патч; организациям рекомендуется отслеживать JSP-файлы, неправильное использование инструментов и поддерживать управление исправлениями.
-----

29 апреля 2025 года в каталог известных эксплуатируемых уязвимостей CISA была добавлена критическая уязвимость нулевого дня CVE-2025-31324. Это влияет на компонент Visual Composer в SAP NetWeaver версии 7.50, позволяя злоумышленникам, не прошедшим проверку подлинности, загружать вредоносные файлы и выполнять произвольный код. Уязвимость связана с недостаточной проверкой файлов в конечной точке /developmentserver/metadatauploader, куда злоумышленники могут загружать веб-оболочки JavaServer Pages (JSP), облегчая удаленное выполнение команд. В отчетах указывалось, что эта уязвимость активно использовалась с марта 2025 года, до того как SAP выпустила исправление 26 апреля 2025 года.

В ходе операции по поиску угроз WithSecure Incident Response (IR) обнаружила вредоносные действия, исходящие из веб-оболочки helper.jsp на серверах SAP NetWeaver. Вредоносные команды, выполняемые через эту веб-оболочку, использовали законную утилиту Windows certutil для загрузки и запуска XMRig coin miner с подозрительного IP-адреса (23.95.123.5:666). Веб-оболочка была первоначально развернута 18 марта 2025 года после загрузки с помощью специального POST-запроса, который обеспечил постоянный доступ к скомпрометированной системе.

Последующие действия включали многократное развертывание полезной нагрузки и попытки разведки, что указывает на то, что различные хакеры использовали webshell в своих интересах. 26 апреля 2025 года другая команда загрузила другую полезную нагрузку (s.exe), выявив цепочку вредоносных действий, связанных с той же инфраструктурой. Примечательно, что позже, 28 апреля 2025 года, были предприняты попытки выполнить команды Bash в кодировке base64 в системе Windows, что позволяет предположить, что другие злоумышленники воспользовались существованием webshell для дальнейшей эксплуатации.

Чтобы смягчить последствия, скомпрометированная система была изолирована, а для предотвращения дальнейшего использования были применены исправления, касающиеся CVE-2025-31324. Развернутая webshell и все связанные с ней вредоносные программы были удалены. Основные рекомендации для организаций включают мониторинг несанкционированных JSP-файлов, выявление случаев неправомерного использования законных инструментов, таких как certutil, поддержание оперативного управления исправлениями и регулярное выявление угроз для выявления потенциальных угроз до их возникновения.

Этот инцидент подчеркивает изощренность и эволюционирующую природу хакеров, в частности, использование законных инструментов и уязвимостей для получения постоянного доступа и установки вредоносных программ. Организации должны сохранять бдительность и проактивность в своих мерах безопасности, чтобы адаптироваться к динамичному ландшафту угроз.

#ParsedReport #CompletenessHigh
01-05-2025

TheWizards APT group uses SLAAC spoofing to perform adversary-in-the-middle attacks

https://www.welivesecurity.com/en/eset-research/thewizards-apt-group-slaac-spoofing-adversary-in-the-middle-attacks/

Report completeness: High

Actors/Campaigns:
Thewizards
Earth_minotaur

Threats:
Slaac_spoofing_technique
Aitm_technique
Spellbinder
Wizardnet
Rozena
Darknights
Mango
Moonshine
Darknimbus
Badbazaar
Process_injection_technique
Polymorphism_technique

Victims:
Individuals, Gambling companies, Tibetan communities, Uyghur communities

Industry:
Media, Telco

Geo:
Arab emirates, China, Philippines, Cambodia, Tibetan, United arab emirates, Chinese, Hong kong, Ukraine

TTPs:
Tactics: 7
Technics: 20

IOCs:
File: 14
Hash: 7
IP: 5
Url: 2
Path: 1
Registry: 1
Domain: 5

Soft:
Android, Sogou

Algorithms:
md5, aes, zip, xor, aes-ecb

Functions:
GetAdapterInfo

Win API:
GetBestInterface, AmsiScanBuffer, EtwEventWrite, CreateProcessA, QueueUserApc

Win Services:
egui,

Links:
https://github.com/eset/malware-ioc/tree/master/thewizards

#ParsedReport #ExtractedSchema

Classified images:
code: 4, schema: 2, dump: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Компания ESET проанализировала Spellbinder, инструмент бокового перемещения, используемый китайскими хакерами TheWizards для атак AitM, использующий подмену IPv6 SLAAC для перехвата трафика обновлений программного обеспечения. Она перенаправляет законные обновления для загрузки вредоносных программ, в частности, бэкдора WizardNet, который использует шеллкод и обходит систему безопасности Windows. С 2022 года группа атакует такие регионы, как Филиппины, Китай и ОАЭ, что свидетельствует о скоординированных усилиях по кибершпионажу.
-----

Исследователи ESET проанализировали инструмент бокового перемещения под названием Spellbinder, используемый китайским хакером, известным как TheWizards, для выполнения атак типа "противник посередине" (AitM). Spellbinder использует автоконфигурацию IPv6-адресов без учета состояния (SLAAC) для навигации по скомпрометированным сетям. Этот инструмент перехватывает законный трафик обновления программного обеспечения, специально предназначенный для китайских программных систем, перенаправляя его на загрузку вредоносных обновлений с серверов, контролируемых злоумышленниками. Примечательно, что после такой атаки AitM развертывается загрузчик, который устанавливает модульный бэкдор под названием WizardNet.

Исследование выявило подозрительную библиотеку DLL, связанную с программным обеспечением Sogou Pinyin input method от 2022 года, которое использовалось в качестве загрузчика, содержащего зашифрованную полезную информацию. Эта полезная нагрузка обеспечивает бэкдор WizardNet, иллюстрирующий сложную цепочку выполнения, инициированную после компрометации. Злоумышленники также внедряют легальные программные компоненты, такие как AVGApplicationFrameHost.exe, чтобы облегчить это перемещение, используя их для запуска инструмента Spellbinder и перехвата пакетов с помощью библиотеки WinPcap.

Spellbinder работает, отправляя многоадресные рекламные пакеты маршрутизатора ICMPv6, чтобы побудить хосты с поддержкой IPv6 подключиться к вредоносному сетевому интерфейсу. Этот метод использует часто упускаемую из виду конфигурацию сети, подкрепленную устоявшимся пониманием протоколов взаимодействия IPv6, как описано ранее. Инструмент фиксирует сетевой трафик, обрабатывает DNS-запросы для определенных жестко запрограммированных доменов и отвечает с помощью IP-адресов, контролируемых злоумышленником, на запросы об обновлении. Например, во время недавней операции в 2024 году Spellbinder перехватывал DNS-запросы, связанные с программным обеспечением Tencent QQ, и перенаправлял их на вредоносный сервер, на котором размещалось скомпрометированное обновление.

Основная полезная нагрузка, WizardNet, обладает рядом функций, включая возможность обхода механизмов безопасности Windows, таких как AMSI, и облегчает дальнейший контроль над взломанным компьютером. Он вводит шелл-код через загрузчик, который активируется в зависимости от имени процесса, обеспечивая связь с сервером управления (C&C). Функциональность WizardNet включает поддержку модулей .NET и использует асимметричное шифрование для обмена данными.

С 2022 года TheWizards последовательно нацеливается на такие регионы, как Филиппины, Камбоджа, ОАЭ и Китай, и ESET с помощью телеметрии тщательно отслеживает их операции. Эта группа работает бок о бок с другими организациями, такими как Earth Minotaur от Trend Micro, которая также использует их вредоносное ПО в отдельных контекстах. Причастность китайской компании Dianke Network Security Technology, которая была идентифицирована как поставщик вредоносного ПО и участвовала в сомнительных процессах обновления, еще больше связывает этих хакеров, что свидетельствует о скоординированных усилиях в области кибершпионажа. ESET продолжает независимое отслеживание деятельности волшебников, выделяя различные инструменты и цели, связанные с их кампаниями.

#ParsedReport #CompletenessHigh
01-05-2025

Operation Deceptive Prospect: RomCom Targeting UK Organisations through Customer Feedback Portals

https://www.bridewell.com/insights/blogs/detail/operation-deceptive-prospect-romcom-targeting-uk-organisations-through-customer-feedback-portals

Report completeness: High

Actors/Campaigns:
Deceptive_prospect (motivation: financially_motivated, cyber_espionage)
Void_rabisu (motivation: financially_motivated, cyber_espionage)
Unc2596 (motivation: financially_motivated, cyber_espionage)
Uac_0180 (motivation: financially_motivated, cyber_espionage)

Threats:
Spear-phishing_technique
Underground_ransomware
Cuba_ransomware
Peapod
Snipbot
Com_hijacking_technique
Romcom_rat
Pe32_ransomware

Industry:
Entertainment, Military, Energy, Aerospace, Retail, Foodtech, Healthcare

Geo:
Ukraine, Bulgaria, Portugal, Russian, Germany, America, France, Croatia, Usa, Polish, Russia, Ukrainian

CVEs:
CVE-2024-49039 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20826)
- microsoft windows 10 1607 (<10.0.14393.7515)
- microsoft windows 10 1809 (<10.0.17763.6532)
- microsoft windows 10 21h2 (<10.0.19044.5131)
- microsoft windows 10 22h2 (<10.0.19045.5131)
have more...
CVE-2023-36884 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20107)
- microsoft windows 10 1607 (<10.0.14393.6167)
- microsoft windows 10 1809 (<10.0.17763.4737)
- microsoft windows 10 21h2 (<10.0.19044.3324)
- microsoft windows 10 22h2 (<10.0.19044.3324)
have more...
CVE-2024-9680 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- mozilla firefox (<115.16.1, <131.0.2, <128.3.1)
- mozilla thunderbird (<115.16.0, <128.3.1, 131.0)


TTPs:

IOCs:
Domain: 28
Hash: 9
Email: 5
File: 3
IP: 6

Soft:
Microsoft OneDrive, Microsoft Word, Mozilla Firefox, Firefox

Algorithms:
sha256

Languages:
swift

Links:
https://github.com/Bridewell-CTI/IOCs/blob/main/2025/04/Operation\_Deceptive\_Prospect.txt
https://github.com/Bridewell-CTI/

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
"Operation Deceptive Prospect", приписываемая хакеру RomCom, использовала порталы обратной связи с клиентами для рассылки фишинговых электронных писем, содержащих вредоносные ссылки и троянский файл PDF. В кампании использовались передовые методы социальной инженерии, многоэтапное перенаправление и новейшие вредоносные программы, такие как SnipBot, с методами обхода, нацеленные на такие сектора, как правительство и энергетика в Украине и США.
-----

В марте 2025 года была раскрыта операция "Operation Deceptive Prospect", которую приписывают российскому хакеру RomCom. RomCom занимается в основном шпионажем и финансово мотивированными операциями. В ходе кампании использовались порталы отзывов клиентов двух британских компаний розничной торговли и гостиничного бизнеса. Для рассылки фишинговых электронных писем, адресованных представителям службы поддержки клиентов, использовались методы социальной инженерии. Фишинговые электронные письма содержали жалобы пользователей и запросы о приеме на работу со ссылками на вредоносные документы в доменах-имитаторах.

Для доставки исполняемого файла, замаскированного под PDF, подписанного скомпрометированным сертификатом, был использован многоэтапный процесс перенаправления. Компания RomCom разработала и оптимизировала несколько разновидностей вредоносных программ, последней из которых является SnipBot, использующий передовые методы обхода. Они используют критические уязвимости, в том числе CVE в Microsoft Word в июне 2023 года и атаку с нулевым щелчком мыши в Mozilla Firefox в конце 2024 года. Целями были правительственный и энергетический секторы в Украине, а также различные сектора в США и Европе.

В фишинговых электронных письмах RomCom использовались правдоподобные персонажи и часто содержался контент, созданный с помощью искусственного интеллекта, для повышения доверия. Ссылки вели на службы перенаправления, прежде чем попасть на сайты, размещающие вредоносную полезную нагрузку. Часто использовались дешевые нерегулируемые домены верхнего уровня для повышения операционной безопасности. Статический и динамический анализ вредоносного ПО выявил методы обхода, позволяющие избежать обнаружения в ходе предварительного анализа. Необходимо продолжить расследование в связи с растущей угрозой, связывающей киберпреступность с целями государственного шпионажа.

#ParsedReport #CompletenessLow
01-05-2025

wget to Wipeout: Malicious Go Modules Fetch Destructive Payload

https://socket.dev/blog/wget-to-wipeout-malicious-go-modules-fetch-destructive-payload

Report completeness: Low

Threats:
Supply_chain_technique
Typosquatting_technique

TTPs:

IOCs:
Url: 3
File: 2

Soft:
Unix, Outlook, linux

Functions:
eGtROk

Links:
https://socket.dev/go/package/github.com/blankloggia/go-mcp?section=files&version=v0.0.0-20250410110046-894efeed42d9&path=client.go
https://socket.dev/go/package/github.com/truthfulpharm/prototransform?section=files&version=v0.0.0-20250129021817-f1957e9010e9&path=cache%2Ffilecache%2Ffilecache.go
have more...
https://socket.dev/go/package/github.com/steelpoor/tlsproxy?section=files&version=v0.0.0-20250304082521-29051ed19c60&path=certmanager%2Fcertmanager.go

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние исследования выявили вредоносные модули Go, которые содержат скрытое вредоносное ПО для очистки диска, использующее уязвимости цепочки поставок в децентрализованной экосистеме Go. Эти модули используют передовые методы обфускации и нацелены на системы Linux для перезаписи устройств хранения, что может привести к полной потере данных и функциональности. Разработчикам настоятельно рекомендуется принимать превентивные меры безопасности против подобных угроз, возникающих из-за путаницы в пространстве имен и опечаток.
-----

Недавнее исследование показало, что три вредоносных модуля Go были идентифицированы как носители скрытого вредоносного ПО для очистки диска, представляющего значительную угрозу целостности данных для разработчиков, использующих эти ресурсы. Эта атака характеризуется компрометацией цепочки поставок, при которой злоумышленники используют децентрализованный характер экосистемы Go. В отличие от централизованных менеджеров пакетов, разработчики могут создавать модули Go непосредственно с GitHub, создавая среду, благоприятную для путаницы в пространстве имен. Такая путаница возникает из-за сходства в именовании модулей, что позволяет злоумышленникам маскировать вредоносную полезную нагрузку под законные библиотеки, увеличивая риск непреднамеренной интеграции в проекты разработки.

Выявленные вредоносные модули Go используют сложные методы обфускации, предназначенные для маскировки их разрушительных возможностей. Основной метод заключается в обфускации строк на основе массива в сочетании с динамическим выполнением полезной нагрузки. Например, один вредоносный модуль, обычно предназначенный для систем Linux, использует команду, которая вызывает утилиту Unix "dd" для перезаписи основного запоминающего устройства (/dev/sda) нулями из /dev/zero. Эта операция является катастрофической, поскольку она систематически удаляет все данные, включая операционную систему и пользовательские файлы, что приводит к полной потере функциональности и восстановлению данных.

Описанные сценарии атак указывают на то, что вредоносные модули специально проверяют операционную систему перед выполнением полезной нагрузки, гарантируя, что их воздействие в основном ограничивается средами Linux. Такая схема не только повышает эффективность атаки, но и расширяет возможности злоумышленников по созданию модулей, которые на первый взгляд кажутся надежными. Следовательно, вероятность того, что разработчики по ошибке включат такой вредоносный код в свои проекты, значительно возрастает.

Полученные результаты демонстрируют настоятельную необходимость принятия упреждающих мер безопасности в цепочке поставок программного обеспечения, особенно в отношении угроз, связанных с использованием децентрализованных систем управления пакетами. Методы, используемые в этой атаке, соответствуют устоявшейся тактике, такой как компрометация цепочки поставок, уничтожение данных с помощью средств очистки дисков, обфускация файлов или информации и маскировка с помощью опечаток в пространстве имен. В исследовании подчеркивается необходимость повышения бдительности и многоуровневой защиты для снижения рисков, создаваемых этими растущими хакерами в сфере разработки программного обеспечения.

#ParsedReport #CompletenessLow
01-05-2025

Fake Social Security Statement emails trick users into installing remote tool

https://www.malwarebytes.com/blog/news/2025/04/fake-social-security-statement-emails-trick-users-into-installing-remote-tool

Report completeness: Low

Actors/Campaigns:
Molatori

Threats:
Screenconnect_tool
Connectwise_tool

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1566, T1204.002, T1219, T1059, T1119, T1036.005

IOCs:
File: 5
Domain: 17

Soft:
WordPress

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа компаний Molatori проводит фишинговую кампанию, используя электронные письма от имени Администрации социального обеспечения США для распространения вредоносной версии программного обеспечения для удаленного доступа ScreenConnect. После установки оно обеспечивает несанкционированный доступ к системам жертв, что позволяет красть конфиденциальную информацию для целей финансового мошенничества. Пользователям рекомендуется проверять источники электронной почты и использовать обновленные решения для защиты от вредоносных программ, чтобы снизить риск.
-----

Появилась фишинговая кампания, возглавляемая группой, известной как Molatori, которая использует электронные письма, маскирующиеся под сообщения Администрации социального обеспечения США (SSA), чтобы обманом заставить людей установить ScreenConnect, программное обеспечение для удаленного доступа. Этот законный инструмент, который теперь называется ConnectWise Control, широко используется в ИТ-службе поддержки для удаленного устранения неполадок и управления. Однако его возможности удаленного управления представляют значительную угрозу безопасности, если они используются киберпреступниками. Неавторизованный пользователь может использовать ScreenConnect для выполнения команд, запуска сценариев, передачи файлов и установки дополнительных вредоносных программ, часто без ведома жертвы.

Группа Molatori нацелена на жертв, отправляя электронные письма, содержащие ссылки на вредоносную версию клиента ScreenConnect, замаскированную под такими именами, как ReceiptApirl2025Pdfc.exe и SSAstatement11April.exe. После установки на компьютер жертвы киберпреступники могут немедленно получить доступ к системе, что способствует краже конфиденциальной информации, включая банковские реквизиты и личные идентификационные номера. Основная цель группы - бороться с финансовым мошенничеством, используя взломанные сайты WordPress для размещения своих фишинговых электронных писем и тем самым повышая легитимность своих доменов. Кроме того, они часто используют содержимое электронной почты в виде изображений, чтобы избежать обнаружения традиционными фильтрами электронной почты.

Чтобы снизить риски, связанные с такими попытками фишинга, пользователям рекомендуется принять меры предосторожности. К ним относятся самостоятельная проверка источника электронного письма перед переходом по ссылкам или открытием вложений, а также использование обновленных антивирусных решений для обнаружения и блокирования потенциальных угроз. В частности, Malwarebytes идентифицирует вредоносные экземпляры клиента ScreenConnect как опасные программы.ConnectWise.CST. Постоянная угроза, исходящая от этой фишинговой кампании, подчеркивает важность бдительности в отношении нежелательных электронных писем и подчеркивает необходимость принятия строгих мер кибербезопасности для защиты персональных данных в Интернете.

#ParsedReport #CompletenessHigh
01-05-2025

Investigating Iranian Intrusion into Strategic Middle East Critical Infrastructure

https://www.fortinet.com/content/dam/fortinet/assets/reports/report-incident-response-middle-east.pdf

Report completeness: High

Actors/Campaigns:
Fox_kitten
Bohrium
Unc1878

Threats:
Havoc
Hanifnet
Hxlibrary
Neoexpressrat
Plink_tool
Ngrok_tool
Meshcentral_tool
Systembc
Credential_harvesting_technique
Remoteinjector_tool
Credinterceptor_tool
Psexec_tool
Reversesocks5_tool
Darkloadlibrary
Recshell
Dropshell
Mimikatz_tool
Netstat_tool
Shadow_copies_delete_technique
Vssadmin_tool
Nanodump_tool
Credential_dumping_technique
Netcat_tool
Angry_ip_scanner_tool
Lolbin_technique
Discordgo
Redline_stealer
Cobra
Anydesk_tool
Netpass_tool
Process_injection_technique
Advanced-port-scanner_tool
Putty_tool
W64/injector.d!6btr
W32/agent.d49str!tr
W64/injector.d!bttr
Powershell_shell_tool
Netscan_tool
Winpeas_tool
W64/agent.06d9!tr
W64/agent.2ebc!tr
W64/agent.0b8d!tr
Hacc2_tool

Victims:
Cni network

Industry:
Critical_infrastructure, Government, Transport, Religion, Financial, Energy, Healthcare, Telco

Geo:
Palestine, Lebanon, Syria, Iran, German, Israel, Canadian, Middle east, Iranian, Africa

CVEs:
CVE-2023-38950 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- zkteco biotime (8.5.5)

CVE-2023-38951 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- zkteco biotime (8.5.5)

CVE-2023-3895138 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2023-3895229 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2023-3895037 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2023-38952 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- zkteco biotime (8.5.5)


TTPs:
Tactics: 6
Technics: 18

IOCs:
File: 126
Path: 124
Coin: 1
Domain: 20
Url: 24
IP: 33
Command: 6
Hash: 16

Soft:
Microsoft Exchange server, PsExec, Microsoft Exchange, Active Directory, NET Framework, Tight VNC, Discord, SoftEther, icrosoft Exchange se, Local Security Authority, have more...

Algorithms:
base64, sha1, sha256, aes, xor, md5, zip

Functions:
GetPathSeparator, GetDrives, GetWebRoot, GetBasicServerInfo, FindWhat, GetBasicServerApplicationInfo, HXX0012, HXX0013, HXX0014, HXX0018, have more...

Languages:
powershell, golang, javascript

Platforms:
x86, x64