#ParsedReport #CompletenessMedium
07-05-2025

Backdooring the IDE: Malicious npm Packages Hijack Cursor Editor on macOS

https://socket.dev/blog/malicious-npm-packages-hijack-cursor-editor-on-macos

Report completeness: Medium

Actors/Campaigns:
Gtr2018

Threats:
Swcur
Supply_chain_technique

Victims:
Cursor ide users

Geo:
Chinese

TTPs:
Tactics: 1
Technics: 8

IOCs:
File: 4
Email: 2
Domain: 4
Url: 2

Soft:
macOS, Outlook, OpenAI

Algorithms:
aes, base64

Functions:
disableAutoUpdate

Languages:
javascript

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Обнаружены вредоносные пакеты npm, нацеленные на пользователей macOS, использующих редактор кода Cursor AI, предназначенные для кражи учетных данных и обеспечения доступа через черный ход. Они изменяют файлы приложений, отключают обновления и внедряют логику черного хода в среду IDE, выявляя серьезные угрозы для цепочки поставок.
-----

Недавние расследования выявили вредоносные пакеты npm под названием swcur, swcur1 и aiide-cur, предназначенные специально для пользователей macOS, использующих редактор кода Cursor AI. Эти пакеты, маскирующиеся под инструменты разработчика и предлагающие экономичный доступ к API Cursor, предназначены для кражи учетных данных пользователей и обеспечения постоянного доступа с помощью бэкдоров. Хакер, стоящий за этими пакетами, действует под псевдонимами gtr2018 и aiide, используя адреса электронной почты, связанные с регистрациями. С момента их выпуска эти пакеты были загружены более 3200 раз и на момент обнаружения все еще были активны в реестре npm.

После запуска вредоносные пакеты собирают учетные данные пользователя и загружают зашифрованную полезную информацию с сервера, контролируемого хакерами. Эти пакеты изменяют файл приложения main.js и отключают функции автоматического обновления, чтобы обеспечить постоянный доступ. Кража и перезапись критически важной логики создает потенциальные долгосрочные уязвимости. Пакет swcur также включает механизм прерывания существующих процессов управления курсором, тем самым гарантируя, что при следующем запуске приложения будет загружен скомпрометированный код.

Механизм атаки нацелен конкретно на установки macOS, внедряя логику бэкдора непосредственно в доверенную среду выполнения Cursor IDE. Это позволяет злоумышленнику использовать доверие, присущее IDE от разработчиков, для получения постоянного контроля. Каждый пакет работает аналогично, но подключается к разным доменам хоста для фильтрации данных и доставки полезной нагрузки. Пакеты swcur и swcur1 отправляют украденные учетные данные на сайт, созданный таким образом, чтобы он напоминал безопасную страницу входа в систему, в то время как aiidecur направляет эти данные в другое место, демонстрируя разнообразный подход к сбору учетных данных.

Наличие этих вредоносных пакетов подчеркивает более широкую угрозу для цепочки поставок, поскольку злоумышленники используют доверие, заложенное в экосистемы разработчиков, для внедрения скомпрометированных программных компонентов. Нацеливаясь на основные инструменты разработки, эти хакеры создают точки входа не только для кражи учетных данных, но и для потенциального взлома цепочек поставок программного обеспечения посредством будущих внедрений кода или вредоносных зависимостей. Это представляет значительную опасность как для отдельных разработчиков, так и для организаций, особенно в средах, где используются закрытые базы кода или конфиденциальные рабочие процессы. Возможности этих вредоносных пакетов соответствуют устоявшимся методам атаки, включающим компрометацию цепочки поставок, выполнение команд и утечку данных, что иллюстрирует эволюцию тактики, используемой хакерами.

#ParsedReport #CompletenessLow
08-05-2025

Malicious npm Packages Use Telegram to Exfiltrate BullX Credentials

https://socket.dev/blog/malicious-npm-packages-use-telegram-to-exfiltrate-bullx-credentials

Report completeness: Low

Actors/Campaigns:
Olumideyo

Threats:
Debugdogs
Supply_chain_technique

Victims:
Crypto wallet holders, Bullx traders

TTPs:

IOCs:
File: 12
Email: 1

Soft:
Telegram, Linux, macOS

Algorithms:
base64, base58

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавнее исследование выявило вредоносные пакеты npm, предназначенные для кражи информации о криптовалютах и нацеленные на Linux и macOS. Вредоносное ПО осуществляет эксфильтрацию данных через Telegram, перечисляет конфиденциальные каталоги и использует регулярные выражения для поиска ключей кошельков. Этот инцидент подчеркивает уязвимости в цепочках поставок программного обеспечения, особенно на криптовалютных платформах.
-----

Недавнее исследование, проведенное Socket, выявило два вредоносных пакета npm, pumptoolforvolumeandcomment и его оболочку debugdogs, созданную хакером под псевдонимом olumideyo. Эти пакеты предназначены для кражи конфиденциальной информации о криптовалютах и учетных данных платформы BullX. Основная полезная нагрузка доставляется с помощью pumptoolforvolumeandcomment, который расшифровывает скрытый вредоносный код. Этот код нацелен на криптовалютные ключи, файлы кошельков и торговые данные, закодированные в Base58, в частности, с торговой платформы BullX. Утечка происходит с помощью Telegram-бота, что позволяет быстро передавать украденные данные.

Вредоносная программа работает в UNIX-подобных средах и нацелена как на операционные системы Linux, так и на macOS. Она выполняет проверку конфиденциальных каталогов путем поиска критически важных файлов по определенным пользовательским путям, таким как \~/Documents, /media и /Volumes. Идентифицированные типы файлов включают .txt, .env, .docs, .log, .cfg и .ini, которые могут содержать ценные учетные данные. Хакер использует регулярные выражения для идентификации шаблонов, указывающих на ключи криптовалютного кошелька, подтверждая намерение получить учетные данные, связанные с криптографией. После успешного обнаружения вредоносная программа компилирует украденные данные в структурированный JSON-файл (fss.json) и загружает его через Telegram, облегчая фильтрацию в режиме реального времени.

Пакет debugdogs работает как дополнительный вектор, гарантируя, что когда пользователи устанавливают эту оболочку, они непреднамеренно активируют вредоносную функциональность pumptoolforvolumeandcomment. Эта тактика иллюстрирует растущую тенденцию, когда злоумышленники используют доверие к пакетам npm, демонстрируя уязвимость цепочки поставок программного обеспечения, которая специально нацелена на криптовалютных трейдеров и платформы.

Более того, использование Telegram для утечки данных подчеркивает его привлекательность для злоумышленников благодаря простоте использования и быстрой настройке для получения украденной информации. Задокументированные методы атаки соответствуют признанным тактикам, таким как утечка данных через веб-сервисы, использование запутанных файлов и написание сценариев с помощью JavaScript.

Этот инцидент подчеркивает острую необходимость в усиленных мерах безопасности в экосистемах разработки программного обеспечения, особенно для приложений, работающих с криптовалютами. Внедрение автоматизированных инструментов анализа безопасности может значительно снизить риски, связанные с атаками на цепочки поставок, защищая пользователей от потенциальных финансовых потерь и несанкционированного доступа к активам.

#ParsedReport #CompletenessHigh
08-05-2025

Interlock Intrusion: How Interlock Achieves Encryption

https://www.guidepointsecurity.com/blog/interesting-interlock-intrusion-how-interlock-achieves-encryption/

Report completeness: High

Actors/Campaigns:
Bianlian

Threats:
Interlock
Socgholish_loader
Netsupportmanager_rat
Azcopy_tool
Bitsadmin_tool
Advanced-port-scanner_tool
Dumplsass_tool
Rclone_tool
Rhysida
Anydesk_tool
Psexec_tool
Spear-phishing_technique
Credential_dumping_technique
Smuggling_technique

Industry:
Education

TTPs:
Tactics: 2
Technics: 14

IOCs:
Url: 6
Command: 4
Path: 31
File: 5
Domain: 6
IP: 3
Registry: 4

Soft:
PSExec, Active Directory, Mastodon, Hyper-V, Local Security Authority, LastPass, Windows Defender, Microsoft Defender, Sysinternals, TOR Browser, have more...

Algorithms:
zip, base64

Functions:
Set-MpPreference

Languages:
php, javascript, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ходе атаки программы-вымогателя Interlock использовался сложный многоэтапный подход, начиная с вредоносного ПО SocGholish через взломанный веб-сайт, что привело к утечке данных и контролю через NetSupportRAT. Атака включала в себя социальную инженерию для первоначального доступа, манипулирование учетными данными в Active Directory и такие инструменты, как AzCopy для кражи данных и PsExec для развертывания программ-вымогателей, что указывает на изменение тактики вымогателей.
-----

Инцидент с участием группы программ-вымогателей, известной как "Interlock", иллюстрирует сложную многоэтапную атаку, в ходе которой использовались различные методы для компрометации и утечки данных из сети организации-жертвы. Злоумышленники использовали взломанный легальный веб-сайт для распространения вредоносного ПО SocGholish, которое использовалось для получения первоначального доступа к системе жертвы. Подход включал социальную инженерию, направлявшую пользователей к вредоносному PHP-скрипту, замаскированному под проверку подлинности человеком. Когда пользователи взаимодействовали с этой поддельной проверкой, она запускала загрузку полезной нагрузки JavaScript, что в конечном итоге облегчало развертывание SocGholish.

Как только вредоносная программа получила доступ, она позволила злоумышленнику загрузить и запустить приложение NodeJS, создав HTTP-туннель для доставки дополнительной полезной нагрузки. Вредоносная программа установила бэкдор с использованием NetSupportRAT, троянца удаленного доступа, который обеспечивал постоянный контроль над зараженными устройствами. Это было достигнуто благодаря использованию BITSAdmin для загрузки вредоносного ПО с указанных URL-адресов. Атака также включала в себя разведывательные действия с использованием таких инструментов, как сканеры портов, а также тактику повышения привилегий для взлома учетных записей администраторов.

После использования хакерская тактика включала изменение учетных данных сервера Active Directory, что привело к массовому сбросу паролей, что фактически лишило организацию доступа к клиенту Microsoft 365. Злоумышленники осуществили эксфильтрацию данных с помощью AzCopy, законного инструмента управления данными Azure, который передавал конфиденциальные файлы в управляемый злоумышленником большой двоичный объект Azure, что свидетельствует о тенденции среди операторов программ-вымогателей использовать облачные сервисы для кражи данных. На этапе шифрования атаки программа-вымогатель Interlock была распространена по сети через PsExec, что привело к масштабному шифрованию файлов и созданию уведомлений о требовании выкупа.

Использование таких распространенных инструментов, как PsExec и AzCopy, для вредоносных целей подчеркивает эволюцию тактики вымогателей. Кроме того, интеграция SocGholish, которая обычно ассоциируется с вредоносными программами, похищающими информацию, и непосредственно приводит к внедрению программ-вымогателей, указывает на изменение стратегий атак. Компонент социальной инженерии, характеризующийся тактикой "проверки человеком", представляет собой инновационный подход, ранее не наблюдавшийся в подобных случаях с программами-вымогателями.

#ParsedReport #CompletenessLow
08-05-2025

Hacker Exploit Social Security Statement Theme to Target Over 2,000 Victims with Malware

https://cyberarmor.tech/hacker-exploit-social-security-statement-theme-to-target-over-2000-victims-with-malware/

Report completeness: Low

Threats:
Screenconnect_tool

Victims:
Individuals

Industry:
Financial, Healthcare

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1566.001, T1573.002, T1204.002, T1547.001

IOCs:
File: 1
Hash: 2
Domain: 1
Url: 1

Algorithms:
md5, sha1, sha256

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В фишинговой кампании, имитирующей SSA, использовались сайты, размещенные на AWS, чтобы обманом заставить пользователей загрузить загрузчик .NET, что позволило подключиться к серверу C2 с помощью бэкдора для удаленного доступа. Более 2000 пользователей подключились к этой кампании, что позволило выявить уязвимости в осведомленности пользователей.
-----

В ходе недавнего расследования, проведенного компанией CyberArmor, была выявлена изощренная фишинговая кампания, целью которой были отдельные лица, имитирующие официальные сообщения Управления социального обеспечения (SSA). Хакеры создали электронные письма, содержащие URL-адрес, который перенаправлял пользователей на фишинговый сайт, размещенный на Amazon Web Services (AWS), используя доверие, связанное с брендом Amazon, для повышения вероятности привлечения пользователей. Эта фишинговая страница побуждала пользователей загружать, казалось бы, законный файл, замаскированный под заявление о социальном страховании.

После взаимодействия пользователям предлагалось загрузить загрузчик приложений .NET, который при запуске функционировал не как обычное вредоносное ПО, а скорее как загрузчик дополнительных компонентов, необходимых для вредоносной деятельности. Загрузчик запустил программу распознавания .NET для извлечения и запуска файлов, расположенных в определенной папке, обозначенной как "FILES", которая важна для работы инструмента удаленного доступа ScreenConnect. Этот инструмент позволил киберпреступникам установить бэкдор-соединение, что облегчило скрытый доступ к зараженным системам. Файл ENTRYPOINT загрузчика инициировал это подключение к серверу управления (C2), к которому вредоносная программа была запрограммирована на подключение без ведома пользователя.

Телеметрия CyberArmor показала, что более 2000 пользователей взаимодействовали с фишинговой программой, и значительная часть из них приступила к установке вредоносного ПО, что свидетельствует об эффективности стратегии фишинга и мощном сочетании социальной инженерии и технического исполнения, используемых злоумышленниками. Использование надежных сервисов хостинга, таких как AWS, и подробные инструкции, предоставленные для запуска загруженного файла, способствовали успеху кампании, подчеркнув уязвимости в осведомленности пользователей о таких искусственно созданных попытках фишинга.

#ParsedReport #CompletenessMedium
08-05-2025

FreeDrain Unmasked \| Uncovering an Industrial-Scale Crypto Theft Network

https://www.sentinelone.com/labs/freedrain-unmasked-uncovering-an-industrial-scale-crypto-theft-network/

Report completeness: Medium

Actors/Campaigns:
Freedrain (motivation: financially_motivated)

Industry:
Education

Geo:
India, Korean, Indian

ChatGPT TTPs:
do not use without manual check
T1189, T1566, T1552, T1564

IOCs:
File: 7
Domain: 71
Url: 192

Soft:
OpenAI, WordPress, Gmail, Outlook, ProtonMail

Wallets:
trezor, metamask

Algorithms:
exhibit

Languages:
javascript, php

Platforms:
cross-platform, intel

Links:
https://github.com/Validin/indicators/tree/master/FreeDrain

#ParsedReport #ExtractedSchema

Classified images:
windows: 9, schema: 1, code: 4, chart: 3, table: 2, dump: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
FreeDrain - это глобальная криптовалютная фишинговая операция, использующая более 38 000 поддоменов на таких платформах, как GitHub, для имитации законных кошельков. Она использует SEO-манипуляции для получения высоких позиций в результатах поиска. Схемы фишинга упрощены и позволяют избежать обнаружения благодаря размещению на надежных доменах, часто с использованием живого чата, управляемого человеком, для большей достоверности.
-----

FreeDrain - это глобальная криптовалютная фишинговая операция, которая началась в 2022 году и использует более 38 000 уникальных поддоменов на таких платформах, как GitBook, Webflow и GitHub. Операция имитирует законные криптовалютные кошельки для кражи цифровых активов. Жертвы часто перенаправляются через несколько уровней перенаправления с вредоносных результатов поиска с высоким рейтингом на фишинговые сайты. Фишинговые сайты запрашивают у пользователей конфиденциальную информацию, такую как начальные фразы, и размещаются в облачных сервисах, таких как Amazon S3 и Azure Web Apps.

Такие страницы-приманки часто содержат крупные изображения реальных интерфейсов кошельков, а также текст, созданный с помощью искусственного интеллекта, для повышения доверия. Операторы используют SEO-манипуляции и спам в комментариях, чтобы обеспечить высокую видимость в результатах поиска, избегая традиционных каналов фишинга, таких как электронная почта. Метаданные предполагают, что операторы могут находиться в часовом поясе UTC+05:30, возможно, в Индии, и вручную создавать учетные записи и электронные письма.

Фишинговые страницы содержат интерактивные изображения и вводящие в заблуждение инструкции, что затрудняет их обнаружение. На некоторых страницах есть виджеты чата, в которых работают отдельные пользователи, чтобы повысить доверие пользователей. В экосистеме бесплатных издательских платформ есть существенные недостатки, в том числе отсутствие эффективных процессов оповещения о злоупотреблениях, что препятствует своевременному реагированию системы безопасности. Меняющаяся тактика FreeDrain подчеркивает необходимость более эффективных мер защиты от таких вредоносных операций.

#ParsedReport #CompletenessLow
08-05-2025

Spam campaign targeting Brazil abuses Remote Monitoring and Management tools

https://blog.talosintelligence.com/spam-campaign-targeting-brazil-abuses-rmm-tools/

Report completeness: Low

Threats:
N-able_remote_access_tool
Pdq_connect_tool

Victims:
C-level executives, Financial accounts, Human resources accounts

Industry:
Government, Financial

Geo:
Brazilian, Brazil

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1078, T1219, T1133, T1105, T1566, T1071

IOCs:
Domain: 1
Hash: 25

Soft:
Dropbox, Gmail

Links:
https://github.com/Cisco-Talos/IOCs/tree/main/2025/05