#ParsedReport #CompletenessMedium
11-05-2025

New Noodlophile Stealer Distributes Via Fake AI Video Generation Platforms

https://www.morphisec.com/blog/new-noodlophile-stealer-fake-ai-video-generation-platforms/

Report completeness: Medium

Threats:
Noodlophile_stealer
Xworm_rat
Capcutloader
Lolbin_technique
Credential_harvesting_technique

Victims:
Creators, Small businesses

ChatGPT TTPs:
do not use without manual check
T1566.002, T1204.002, T1036.005, T1055.012, T1027, T1140, T1059.001, T1059.006, T1218.010, T1547.001, have more...

IOCs:
File: 25
Url: 7
IP: 2
Hash: 21

Soft:
Telegram, CapCut, Windows Registry

Algorithms:
base64, zip

Functions:
DownloadString, exec

Languages:
python, powershell, cpython

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Киберпреступники используют платформы, ориентированные на искусственный интеллект, для распространения программ infostealer и XWorm RAT, скрывающих вредоносное ПО в загружаемых инструментах искусственного интеллекта. Вредоносное ПО собирает конфиденциальные данные с помощью Telegram-бота, используя при этом такие методы обхода, как выполнение команд DLL и внесение изменений в реестр Windows для обеспечения сохраняемости.
-----

В соответствии с новой тенденцией кибератакеры используют растущий интерес общественности к искусственному интеллекту (ИИ) для распространения вредоносных программ через, казалось бы, законные платформы, основанные на ИИ. Вместо того чтобы использовать традиционные методы, такие как фишинг или пиратское программное обеспечение, злоумышленники создают убедительную рекламу в социальных сетях, ориентируясь на пользователей, которые ищут бесплатные инструменты искусственного интеллекта для редактирования видео и изображений. Эти платформы, продвигаемые в группах Facebook, привлекающих большое количество пользователей, заманивают жертв, обещая видеоролики, созданные с помощью искусственного интеллекта на основе загруженных пользователем изображений. Однако, отправляя свои изображения, пользователи непреднамеренно загружают вредоносное ПО вместо ожидаемого результата.

Используемая вредоносная программа идентифицирована как Noodlophile Stealer, ранее недокументированный инфокрад, способный собирать учетные данные браузера, криптовалютные кошельки и различные конфиденциальные данные. Он часто поставляется в комплекте с XWorm, трояном удаленного доступа, который расширяет контроль злоумышленника над скомпрометированной системой. Эта двойная угроза включает в себя более изощренный метод использования ИИ в качестве приманки для социальной инженерии, нацеленный на создателей и малые предприятия, которые используют ИИ для повышения производительности, что представляет собой отход от старой тактики вредоносных программ, нацеленной на более скептически настроенную аудиторию.

Процесс заражения начинается, как только пользователи пытаются загрузить свой контент, предположительно обработанный искусственным интеллектом. Вредоносные программы, такие как Noodlophile и XWorm, скрыты в файлах, замаскированных под инструменты искусственного интеллекта. Анализ выявил детальную структуру, включающую множество компонентов, включая большой исполняемый файл на C++ (CapCut.exe), который включает среду выполнения .NET для выполнения встроенного вредоносного кода. При распространении вредоносного ПО используются такие методы, как стратегия вредоносного переименования, чтобы избежать обнаружения и обхода с помощью общих системных атрибутов файлов.

По мере запуска вредоносная программа пытается установить подключение, в первую очередь используя Telegram-бота в качестве скрытого канала для утечки данных. Ряд сложных шагов включает в себя использование скрытых папок для хранения компонентов, выполнение команд с помощью библиотек DLL и доставку полезной нагрузки с помощью ряда методов обфускации, таких как кодирование в Base64 и динамическое выполнение в памяти. Сценарии на основе Python, используемые в связи с этой операцией, иллюстрируют намерение злоумышленников не привлекать к себе внимания, чтобы затруднить судебно-медицинский анализ.

Примечательно, что во время своей работы вредоносная программа обеспечивает постоянство, используя изменения в реестре Windows, обеспечивая постоянный доступ к уязвимым системам. Возможности XWorm в рамках этой кампании включают в себя различные методы распространения, такие как внедрение шеллкода и удаление PE-файлов, которые используют преимущества запуска законных процессов, чтобы избежать обнаружения, особенно в отношении некоторых антивирусных продуктов.

#ParsedReport #CompletenessLow
10-05-2025

Weekly Threat Infrastructure Investigation(Week18)

https://disconinja.hatenablog.com/entry/2025/05/10/223942

Report completeness: Low

Threats:
Brc4_tool
Asyncrat
Netsupportmanager_rat
Cobalt_strike

Geo:
Japan

ChatGPT TTPs:
do not use without manual check
T1071, T1583.006, T1105

IOCs:
IP: 6

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В Японии были обнаружены шесть серверов управления, использующих платформу Brute Ratel C4, что указывает на наличие в регионе крупных хакеров с потенциальными вредоносными действиями и APTS.
-----

В ходе расследования с использованием поисковой функции Censys в период с 28 апреля по 4 мая 2025 года в Японии было выявлено шесть серверов управления (C2). Примечательно, что среди этих серверов C2 было подтверждено использование платформы Brute Ratel C4. Это указывает на наличие в регионе значительной хакерской инфраструктуры, включающей множество систем C2, которые облегчают потенциально вредоносную деятельность. Хакеры часто используют Brute Ratel C4 из-за его возможностей по поддержанию контроля над скомпрометированными системами, проведению операций после их использования и уклонению от обнаружения с помощью мер безопасности. Обнаружение этих серверов C2 подчеркивает текущую ситуацию с хакерством в Японии, где APT могут использовать такие инфраструктуры для скоординированных атак.

#ParsedReport #CompletenessLow
11-05-2025

How North Korea Uses Cybercrime to Fund Weapons

https://reliaquest.com/blog/threat-spotlight-identifying-north-korean-insider-threats/

Report completeness: Low

Actors/Campaigns:
Lazarus

Threats:
Anydesk_tool
Rustdesk_tool

Victims:
Western companies, Financial institutions, Reliaquest customers

Industry:
Telco, Financial, E-commerce

Geo:
Russian, North korea, Asia, China, Chinese, North korean, Russia, Moscow, Australia

ChatGPT TTPs:
do not use without manual check
T1078.004, T1199, T1071.001, T1204.002, T1566.002, T1036.005, T1090.003, T1136.003, T1110.001, T1518.001, have more...

IOCs:
File: 3
IP: 11
Email: 1

Soft:
Astrill VPN, Microsoft Teams, Chrome, sudo, MacOS

Languages:
rust, typescript

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Северокорейские киберпреступники используют поддельные ИТ-профили для проникновения в западные компании, используя резюме, созданные с помощью искусственного интеллекта, и такие инструменты, как Astrill VPN, для сокрытия личных данных. Они используют уязвимости BYOD, требуя ужесточения корпоративной политики безопасности для борьбы с их тактикой.
-----

Северокорейские киберпреступники разработали изощренную тактику проникновения в западные компании, выдавая себя за высококвалифицированных ИТ-специалистов, особенно занимающихся веб-разработкой. Эта деятельность в первую очередь обусловлена потребностью режима в финансировании, учитывая ужесточение санкций, наложенных на традиционные финансовые ресурсы. Одним из основных используемых методов является создание поддельных профилей на таких платформах, как LinkedIn, которые содержат раздутые резюме и завышенную квалификацию. В этих профилях часто используется контент, созданный с помощью искусственного интеллекта, и их можно найти на нескольких сайтах по трудоустройству, где представлены идентичные резюме, но разные фотографии. После приема на работу эти оперативники часто сохраняют свои профили в режиме "#OpenToWork", чтобы продолжать подавать заявки на работу, одновременно совершая свои мошеннические действия.

Чтобы избежать обнаружения, северокорейские хакеры используют различные инструменты, в частности Astrill VPN, который помогает скрыть их истинное местоположение. Однако бывают случаи, когда это VPN-соединение прерывается, непреднамеренно раскрывая их реальное географическое местоположение. Кроме того, хакеры используют клавиатуру, видео и мышь поверх IP-устройств (IP-KVM) для доступа к сетям компании незамеченными, что обеспечивает постоянный контроль даже при сбоях системы. Эти устройства более незаметны, чем традиционные средства удаленного управления, и используются в сочетании с другими инструментами для обеспечения скрытности.

Недавние расследования северокорейских инсайдерских угроз показали, что оперативники часто используют услуги по проверке подлинности у российских интернет-провайдеров (ISP), таких как "ТрансТелеком", и китайские соединения через China Unicom. Такой двойной доступ создает более сложную оперативную среду, в которой множество участников могут действовать под прикрытием одной учетной записи. Это вызывает обеспокоенность по поводу их способности проводить операции как из Китая, так и из России, что предполагает скоординированные трансграничные усилия.

В дополнение к технологическим мерам, северокорейские оперативники обычно используют уязвимости в корпоративной среде, нацеливаясь на компании с политикой "Принеси свое собственное устройство" (BYOD). Это обострило необходимость применения предприятиями более строгих политик, таких как корпоративные системы, предназначенные только для бизнеса (COBO), для повышения прозрачности деятельности сотрудников и предотвращения несанкционированного доступа.

Организациям рекомендуется внедрить надежные процедуры найма, включая тщательную проверку биографических данных и личную проверку на удаленные должности. Им также следует отслеживать необычные географические данные для входа в систему, особенно с известных российских и китайских IP-адресов, что указывает на возможную активность Северной Кореи. Более того, внедрение средств контроля для блокирования несанкционированных средств удаленного управления и введение ограничений на использование USB-устройств являются важными стратегиями защиты от этих киберугроз.

Поскольку северокорейские оперативники адаптируют свои стратегии, чтобы избежать обнаружения, организациям крайне важно усилить свою защиту от этих развивающихся угроз. Проактивный и динамичный подход к поиску угроз и мониторингу будет иметь жизненно важное значение для противодействия изощренным методам, используемым этими инсайдерами, спонсируемыми государством.

#ParsedReport #CompletenessMedium
10-05-2025

Lumma Stealer, coming and going

https://news.sophos.com/en-us/2025/05/09/lumma-stealer-coming-and-going/

Report completeness: Medium

Threats:
Lumma_stealer

Industry:
Education

ChatGPT TTPs:
do not use without manual check
T1566.002, T1204.002, T1059.001, T1027, T1055.001, T1218.005, T1105, T1071.001, T1560.001, T1005, have more...

IOCs:
Url: 15
Path: 2
File: 23
Hash: 3
Domain: 10
IP: 4
Command: 1

Soft:
Telegram, Windows Explorer, Chrome, Firefox

Crypto:
bitcoin

Algorithms:
md5, aes, base64, sha256, sha1, zip

Functions:
JavaScript

Win API:
GetProcAddress, VirtualProtect, AmsiInitialize

Win Services:
WebClient

Languages:
autoit, powershell

Links:
https://github.com/sophoslabs/IoCs
https://github.com/sophoslabs/IoCs/blob/master/2025%20Lumma%20Stealer.csv

#ParsedReport #ExtractedSchema

Classified images:
windows: 4, schema: 1, code: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Русскоязычный инфокрад Lumma Stealer атакует конфиденциальные данные с помощью фишинговых сайтов, которые используют доверие для проверки с помощью CAPTCHA. Для установки вредоносного ПО используется вредоносная команда PowerShell, которая затем отправляет данные на серверы C2. В активной кампании используются тысячи поддельных сайтов с капчей, что подчеркивает необходимость улучшения обнаружения и повышения осведомленности пользователей.
-----

В сентябре 2024 года в ходе разведки системы безопасности была выявлена активная кампания с участием Lumma Stealer, широко известного инфокрада, впервые выявленного в середине 2022 года и приписываемого русскоязычному разработчику. Эта вредоносная программа работает по модели "Вредоносное ПО как услуга" (MaaS), а ее доступность и обновления рекламируются через Telegram и на специальном сайте Gitbook. Lumma Stealer нацелен на получение конфиденциальной информации, включая пароли, токены сеансов, криптовалютные кошельки и личные данные из скомпрометированных систем, используя сложные методы доставки, которые используют поведение пользователей, в частности манипулируя доверием к вызовам CAPTCHA.

Хакеры, стоящие за Lumma Stealer, используют новую тактику, при которой жертвы направляются на фишинговые сайты с помощью того, что кажется законной проверкой с помощью CAPTCHA. После этого пользователям предлагается ввести вредоносную команду PowerShell в интерфейс командной строки. Эта команда активирует скрытую функцию JavaScript, которая извлекает сценарий PowerShell с сервера управления (C2), по сути, инициируя процесс установки вредоносного ПО. После выполнения скрипт PowerShell загружает Lumma Stealer на зараженный компьютер, обычно сохраняя его как ArtistSponsorship.exe в каталоге пользователя %AppData%.

Сообщалось, что вредоносное ПО подключалось к различным доменам C2, в том числе к домену, обнаруженному в ходе расследования, которое было связано с утечкой конфиденциальной информации, такой как учетные данные браузера и файлы cookie, в частности, из Chrome, Firefox и Edge. Примечательно, что Lumma Stealer может извлекать данные из взломанной системы с помощью одного скрипта AutoIt, эффективно собирая и передавая эту информацию на выделенный сервер C2.

Особую обеспокоенность вызывает использование тактики введения в заблуждение, когда злоумышленники создают вредоносные сайты, маскирующиеся под доброкачественные, с предложениями загрузить, казалось бы, законные файлы, такие как документы. Метод доставки включает в себя запутанные скрипты, которые выполняют дополнительные уровни команд, что затрудняет обнаружение присутствия вредоносного ПО. Сама вредоносная программа разумно управляет загрузкой запрошенных данных, используя динамические параметры, указанные хакером, что еще больше совершенствует ее методы уклонения.

На момент публикации этого отчета, есть признаки того, что для этих кампаний используются тысячи поддельных сайтов с капчей, а различные охранные фирмы проводят совместные исследования. Для защитников крайне важно тщательно изучать индикаторы компрометации (IOCs), связанные с Lumma Stealer, и применять надежные технологии обнаружения конечных точек. Кроме того, важно обучать пользователей навыкам манипулирования системами CAPTCHA, поскольку эта развивающаяся угроза использует знакомые функции безопасности весьма обманчивыми способами.

#ParsedReport #CompletenessLow
10-05-2025

Black Bastas blunder: exploiting the gangs leaked chats

https://www.cloudflare.com/en-au/threat-intelligence/research/report/black-bastas-blunder-exploiting-the-gangs-leaked-chats/

Report completeness: Low

Threats:
Blackbasta
Ryuk
Conti
Lumma_stealer
Qakbot
Icedid

Victims:
Enterprises, Us business

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1589, T1078, T1071, T1566.001, T1555, T1620, T1059, T1543.003, T1053, T1087, have more...

IOCs:
Domain: 1
File: 1

Soft:
Telegram

Crypto:
bitcoin

Platforms:
arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Утечка данных с сервера чата Black Basta Matrix раскрывает их оперативную тактику, в том числе нацеливание на хорошо финансируемые предприятия с помощью скомпрометированных учетных данных, часто получаемых от брокеров. Они используют вредоносные программы-предшественники, такие как Qakbot, для первоначального доступа и используют различные методы последующей эксплуатации, такие как повышение привилегий и поддержание постоянства, наряду с зависимостью от криптовалюты для финансовых транзакций.
-----

Недавняя утечка данных с сервера чата Black Basta Matrix позволила получить существенное представление об оперативной тактике, методах и процедурах (TTP) этой печально известной группы программ-вымогателей, которая связана с преступными группировками Ryuk и Conti. Утечка произошла из Telegram-канала и включает в себя файлы в формате JSON, которые содержат ключевую информацию, такую как временные метки, участники и содержание сообщений между членами группы. Эти данные имеют решающее значение не только для понимания конкретных методик Black Basta, но и для более широкой динамики распространения программ-вымогателей.

Один из важных выводов, сделанных в результате утечки, касается процесса отбора жертв группы. Black Basta обычно выбирает хорошо финансируемые предприятия из числа уже скомпрометированных компьютеров, вместо того чтобы выбирать жертв на основе определенных критериев. Эта методология показывает экосистему, в которой первоначальный доступ часто приобретается у брокеров, которые составляют списки скомпрометированных учетных данных, полученных с помощью вредоносных программ, таких как LummaC2. Такие учетные данные обычно принадлежат системам удаленного доступа, таким как RDWeb и Citrix, что подчеркивает необходимость повышения безопасности учетных данных для предотвращения атак программ-вымогателей.

До этой утечки Black Basta, как утверждается, провела множество успешных операций с использованием программ-вымогателей, что привело к существенному финансовому ущербу для различных организаций. Информация, собранная из журналов чатов, проливает свет на методы утечки их данных и структуру их операционной инфраструктуры. В ходе анализа было обнаружено, что Black Basta использует последовательный подход к созданию учетной записи, часто используя домены корпоративного типа вместо бесплатных почтовых сервисов и регулярно делясь конфиденциальными данными учетной записи в своих сообщениях.

В ходе расследования также было обнаружено, что Black Basta использовала вредоносные программы-предшественники, такие как Qakbot, для проникновения в целевые системы. После получения доступа к сети они используют различные методы последующей эксплуатации для выявления и эксплуатации особо важных целей, которые включают в себя поддержание постоянства с помощью установленных маяков и маневров повышения привилегий. Кроме того, полученные данные свидетельствуют о том, что эти хакеры взаимозаменяемо используют скомпрометированные учетные записи, полученные из коллекций, продаваемых на киберпреступных рынках, что повышает их способность проникать в системы незамеченными.

Кроме того, утечка информации из чатов позволяет получить представление о финансовых операциях Black Basta, демонстрируя их зависимость от криптовалют, в частности, биткоина, при выплате выкупа и операционных расходах. В обсуждениях указывается на ряд криптовалютных адресов, используемых в качестве мест назначения платежей, и предлагается стратегическое управление финансами как для выплат выкупа, так и для покупки услуг.

#ParsedReport #CompletenessLow
10-05-2025

NICKEL TAPESTRY expands fraudulent worker operations

https://news.sophos.com/en-us/2025/05/08/nickel-tapestry-expands-fraudulent-worker-operations/

Report completeness: Low

Actors/Campaigns:
Famous_chollima (motivation: information_theft)
Wagemole

Industry:
Transport, Education, Government, Software_development, Financial

Geo:
Vietnamese, Korea, North korean, Japanese, Japan, American, North korea, Asia

ChatGPT TTPs:
do not use without manual check
T1078, T1036, T1076, T1219, T1566, T1098, T1027

Soft:
Astrill VPN

Functions:
Zoom

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа NICKEL TAPESTRY, связанная с Северной Кореей, нацелена на организации в Европе и Азии с помощью мошеннических схем с сотрудниками для финансирования операций. Они используют такие тактики, как кража учетных данных и вымогательство данных, используя такие инструменты, как VPN для удаленного доступа. Организациям следует усилить проверку личности и мониторинг, чтобы смягчить эти внутренние угрозы.
-----

Хакерская группа NICKEL TAPESTRY, связанная с Северной Кореей, расширила свою схему мошенничества с работниками за пределы технологического сектора и теперь нацелена на организации по всей Европе и Азии с момента своего создания в 2016 году, а публичное отслеживание началось в 2018 году. Эта кампания, известная как Wagemole, в основном направлена на финансовую поддержку Северной Кореи путем привлечения этих мошенников, которые выдают себя за специалистов из таких стран, как Вьетнам, Япония и Сингапур, для трудоустройства на различные должности, в том числе в сфере кибербезопасности. Было замечено, что хакеры со временем адаптировали свои фальшивые удостоверения личности, чтобы противостоять усилиям по обнаружению.

Одной из серьезных проблем является двойной метод получения дохода, используемый этими субъектами, при котором они не только получают заработную плату, но и занимаются вымогательством данных. В отчетах за 2024 год указывалось на попытки этих мошеннических работников украсть исходный код и интеллектуальную собственность, чтобы вымогать деньги у своих работодателей после увольнения. Их тактика включает несанкционированный доступ к облачным системам и интерфейсам API, кражу учетных данных и получение организационных знаний, таких как коммерческая тайна. Период после приема на работу особенно опасен, поскольку украденные данные часто используются для принуждения вскоре после окончания работы.

Внедрившись в организации, мошенники используют такие инструменты, как устройства для перемещения мыши и программное обеспечение VPN, для обеспечения удаленного доступа и манипулирования системными настройками. Также известно, что они часто используют масштабирование для совместного использования экрана и могут настаивать на использовании персональных устройств, которые, как правило, не имеют надежных средств корпоративной безопасности. Вызывает тревогу тот факт, что эти ИТ-работники могут открыть возможности для других северокорейских хакеров использовать полученный доступ для совершения вредоносных действий.

Чтобы противостоять этой сложной угрозе, организациям следует принять повышенные меры по проверке личности в процессе найма на работу. Отделы кадров должны быть осведомлены о специфических тактиках, используемых северокорейскими хакерами, таких как мониторинг непоследовательного присутствия в Сети, проверка историй кандидатов по официальным каналам и бдительность в отношении подозрительных приложений, содержащих одинаковые номера телефонов или резюме. Крайне важно провести тщательную проверку данных, подтвердить личность и тщательно изучить запросы на изменение адресов или платежной информации. Профилактические меры включают ограничение удаленного доступа, мониторинг ноутбуков с помощью средств обнаружения конечных точек и обеспечение надлежащей проверки устройств, используемых новыми сотрудниками.

Угроза, исходящая от NICKEL TAPESTRY, подчеркивает необходимость того, чтобы организации проявляли повышенную бдительность и внедряли строгие процедуры проверки для снижения инсайдерских угроз и предотвращения доступа к конфиденциальной информации.

#ParsedReport #CompletenessHigh
10-05-2025

Multilayered Email Attack: How a PDF Invoice and Geo-Fencing Led to RAT Malware

https://www.fortinet.com/blog/threat-research/multilayered-email-attack-how-a-pdf-invoice-and-geofencing-led-to-rat-malware

Report completeness: High

Threats:
Ngrok_tool
Rattyrat
Cloaking_technique

Victims:
Medinova health group, Organizations, Users on systems with java runtime environment installed

Industry:
Healthcare

Geo:
Italy, Portugal, Spain, Spanish

ChatGPT TTPs:
do not use without manual check
T1566.001, T1566.002, T1055, T1218.007, T1204.002, T1105, T1573.001, T1090.002, T1036.005, T1192, have more...

IOCs:
File: 1
Url: 1
IP: 4
Domain: 2
Hash: 7

Soft:
Linux, macOS, Dropbox

Algorithms:
sha256

Languages:
java

Platforms:
cross-platform

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 2, windows: 2