#ParsedReport #CompletenessMedium
27-05-2025

New Russia-affiliated actor Void Blizzard targets critical sectors for espionage

https://www.microsoft.com/en-us/security/blog/2025/05/27/new-russia-affiliated-actor-void-blizzard-targets-critical-sectors-for-espionage/

Report completeness: Medium

Actors/Campaigns:
Void_blizzard (motivation: cyber_espionage)
Fancy_bear
Duke
Turla
Sandworm

Threats:
Spear-phishing_technique
Password_spray_technique
Aitm_technique
Typosquatting_technique
Evilginx_tool
Azurehound_tool
Sim_swapping_technique

Industry:
Government, E-commerce, Transport, Aerospace, Military, Healthcare, Telco, Ngo, Education

Geo:
Russia, America, Ukraine, Ukrainian, Netherlands, Russian

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1078, T1110.003, T1566.002, T1556.003, T1114.002, T1567.002, T1557.002, T1584.001, T1087.004

IOCs:
Domain: 1

Soft:
Microsoft Defender, Microsoft Defender for Endpoint, Microsoft Teams, Graph API

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Void Blizzard - российская хакерская группа, занимающаяся кибершпионажем, нацеленная на НАТО и Украину, использующая украденные учетные данные и сложные методы фишинга, такие как вредоносные QR-коды. Они используют облачные сервисы, такие как Exchange Online, для извлечения данных и сосредоточены на таких важных секторах, как правительство и здравоохранение. Такие меры безопасности, как защита от несанкционированного доступа и мониторинг, необходимы для смягчения их угроз.
-----

Void Blizzard - начинающий хакер, связанный с Россией, который в основном занимается кибершпионажем в таких критически важных секторах, как правительство, оборона, транспорт, СМИ, НПО и здравоохранение по всей Европе и Северной Америке. Microsoft Threat Intelligence отслеживала этого субъекта как минимум с апреля 2024 года и определила, что его операции в основном нацелены на государства-члены НАТО и Украину. Это говорит о том, что деятельность Void Blizzard согласуется с целями российского стратегического шпионажа, при этом цели значительно совпадают с целями других известных российских государственных группировок.

Как правило, злоумышленники получают доступ к организациям, используя украденные учетные данные, приобретенные на онлайн-рынках и в экосистемах инфокрадов. Первоначально они использовали базовые методы для получения начального доступа, но к апрелю 2025 года Void Blizzard начала применять более сложные методы фишинга, предназначенные для сбора паролей. Примером этого может служить кампания, нацеленная на более чем двадцать неправительственных организаций, в ходе которой по электронной почте рассылались мошеннические сообщения с вредоносным QR-кодом, перенаправлявшим жертв на фишинговый сайт, имитирующий портал аутентификации Microsoft Entra. Компания Void Blizzard подозревается в использовании инструмента Evilginx с открытым исходным кодом для проведения продвинутых фишинговых атак, отличающихся возможностью беспрепятственного сбора аутентификационных данных и файлов cookie.

Попав в взломанную сеть, Void Blizzard использует легальные облачные сервисы, такие как Exchange Online и Microsoft Graph, для извлечения информации, включая электронные письма и файлы из почтовых ящиков пользователей. Их операции часто основаны на существующих разрешениях, что позволяет осуществлять быструю и масштабную кражу данных. Кроме того, было замечено, что они пытались перечислить конфигурации Microsoft Entra для определения ролей и разрешений пользователей, что может облегчить дальнейший доступ и сбор информации.

Несмотря на относительно простые методы, такие как разбрасывание паролей и использование украденных учетных данных, Void Blizzard продемонстрировала эффективность в взломе организаций, представляющих стратегический интерес. Их значительная оперативная ориентация на сектора, поддерживающие Украину и государства-члены НАТО, свидетельствует о постоянном стремлении использовать уязвимости в этих средах. Меры безопасности, включая многофакторную аутентификацию (MFA), политики доступа, основанные на оценке рисков, и централизованное управление идентификационными данными, имеют решающее значение для организаций, стремящихся смягчить угрозы, исходящие от Void Blizzard и аналогичных субъектов. Организациям также рекомендуется активно отслеживать аномальные действия и использовать инструменты обнаружения для эффективного реагирования на потенциальные нарушения и их предотвращения.

#ParsedReport #CompletenessLow
27-05-2025

Velvet Chollima APT adversary simulation

https://www.ctfiot.com/249745.html

Report completeness: Low

Actors/Campaigns:
Kimsuky (motivation: information_theft)

Threats:
Spear-phishing_technique
Clickfix_technique

Victims:
Government officials, Non-governmental organizations, Media companies, Government agencies

Industry:
Government, Ngo

Geo:
Asia, Koreans, Korean, North korean, America

ChatGPT TTPs:
do not use without manual check
T1566.001, T1204.002, T1059.001, T1071.001, T1059, T1105, T1027, T1053.005, T1547.001, T1041, have more...

Soft:
Windows registry, WeChat

Functions:
verify

Languages:
javascript, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Связанная с Северной Кореей группа Velvet Chollima APT проводит сложные фишинговые атаки, используя специально созданные электронные письма с вложениями в формате PDF, которые приводят жертв на поддельную страницу с капчей. Это перенаправление побуждает жертв выполнять вредоносные команды PowerShell, создавая обратную оболочку для удаленного доступа, кражи данных и сохранения данных путем внесения изменений в реестр Windows.
-----

В мае 2025 года анализ, проведенный Абдулрехманом Али, выявил изощренные кибератаки, приписываемые связанной с Северной Кореей группе Velvet Chollima APT, которые были направлены против южнокорейских чиновников, глобальных НПО и средств массовой информации. В отчете, основанном на исследованиях Microsoft Threat Intelligence и Bleeping Computer, описывается серия кампаний, начатых в январе 2025 года, в которых в основном использовались методы скрытого фишинга. Злоумышленники использовали специально созданные электронные письма с вложениями в формате PDF, чтобы заманить жертв, которые при взаимодействии перенаправляли их на страницу с вводящей в заблуждение капчей.

Используя инновационную тактику социальной инженерии "ClickFix", злоумышленники воспользовались доверием людей. Жертвы, пытавшиеся получить доступ к PDF-файлам, были перенаправлены на поддельную страницу подтверждения, которая предлагала им выполнять команды PowerShell от имени администратора. Этот метод эффективно облегчал установление обратного командного соединения с сервером управления (C2) злоумышленника, обеспечивая удаленное управление, кражу данных и сохранение их в скомпрометированных системах.

Цепочка атак начинается с рассылки фишингового электронного письма, за которым следует PDF-файл, который приводит пользователя к вредоносному интерфейсу CAPTCHA. В процессе поддельной проверки используются всплывающие окна, предписывающие объекту выполнить определенную команду, при этом вредоносная команда PowerShell автоматически копируется в буфер обмена для удобства выполнения жертвой. Если жертва придерживается этих инструкций, команда создает обратную оболочку, позволяющую злоумышленнику удаленно выполнять команды, извлекать конфиденциальную информацию и потенциально внедрять в сеть дополнительные вредоносные программы, если жертва подключена к корпоративной среде.

Чтобы обеспечить сохранность своего эксплойта, злоумышленники модифицируют реестр Windows. Они добавляют ключ запуска, который гарантирует выполнение вредоносной команды при загрузке системы, сохраняя доступ даже после перезагрузки. Общая архитектура этой атаки иллюстрирует уязвимости, присущие тактике социальной инженерии, и подчеркивает серьезные риски, связанные с человеческими ошибками в сфере кибербезопасности.

Подход Velvet Chollima APT group, в частности, технология ClickFix, подчеркивает необходимость повышения осведомленности потенциальных клиентов о кибербезопасности для снижения рисков, связанных с такой тактикой обмана, особенно в государственных структурах и организациях с высокими ставками.

#ParsedReport #CompletenessMedium
27-05-2025

TikTok Videos Promise Pirated Apps, Deliver Vidar and StealC Infostealers Instead

https://www.trendmicro.com/en_us/research/25/e/tiktok-videos-infostealers.html

Report completeness: Medium

Threats:
Vidar_stealer
Stealc
Dead_drop_technique

Industry:
Education

ChatGPT TTPs:
do not use without manual check
T1566.002, T1059.001, T1105, T1005, T1562.001, T1547.001, T1070.004, T1204.001

IOCs:
Url: 7
Hash: 3

Soft:
TikTok, Microsoft Office, CapCut, Windows Defender, Steam, Telegram

Algorithms:
sha256

Languages:
javascript, powershell

#ParsedReport #ExtractedSchema

Classified images:
windows: 10, code: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В рамках кампании социальной инженерии на TikTok распространяется вредоносное ПО Vidar и StealC, которое инструктирует пользователей выполнять команды PowerShell, замаскированные под активацию программного обеспечения. Вредоносное ПО избегает обнаружения, создавая скрытые каталоги и изменяя параметры реестра, при этом общаясь через законные платформы. Традиционных мер безопасности при таком подходе может оказаться недостаточно, что требует усиленного мониторинга поведения пользователей и обучения распознаванию таких угроз.
-----

Исследование Trend Research выявило новую кампанию социальной инженерии, использующую TikTok для распространения вредоносных программ, похищающих информацию, в частности, Vidar и StealC. Кампания творчески использует широкий охват TikTok с помощью видеороликов, в которых пользователям предлагается выполнять команды PowerShell, замаскированные под процедуры активации программного обеспечения. Эти видеоролики могут быть сгенерированы с помощью искусственного интеллекта, что повышает их эффективность, создавая у пользователей ощущение легитимности. Поскольку одно видео набрало почти 500 000 просмотров, существует значительная вероятность широкого распространения и последующей утечки данных и кражи учетных данных, что подвергает предприятия риску взлома конфиденциальных систем.

Методология атаки знаменует собой значительный отход от традиционной тактики, такой как поддельная кампания с использованием CAPTCHA, которая основывалась на обмане пользователей с помощью встроенного JavaScript. Вместо этого этот подход, ориентированный на TikTok, полностью использует социальную инженерию в видеоконтенте, избегая традиционного обнаружения вредоносного кода. Злоумышленники устно инструктируют пользователей о выполнении команд PowerShell, тем самым обходя механизмы, предназначенные для обнаружения вредоносных программ. Это изменение подчеркивает, что злоумышленники готовы использовать популярные платформы социальных сетей для распространения своей полезной информации.

Технические подробности кампании показывают, что в видеороликах пользователям предлагается запускать команды PowerShell, которые загружают и выполняют сценарии с указанных URL-адресов. После выполнения эти скрипты создают скрытые каталоги в папках APPDATA и LOCALAPPDATA пользователя и добавляют эти каталоги в список исключений Защитника Windows, чтобы избежать обнаружения. Полезная нагрузка, идентифицируемая как Vidar или StealC, затем загружается и запускается как скрытый процесс. Кроме того, скрипты настраивают постоянство работы с помощью изменений реестра и обеспечивают надежную обработку ошибок, что обеспечивает успешное выполнение вредоносного ПО при минимизации следов криминалистической экспертизы.

Вредоносная программа проникает на серверы управления (C&C), используя для связи легальные сервисы, такие как Steam и Telegram, что еще больше запутывает ее деятельность. Такой подход требует переоценки стратегий защиты от подобных угроз, поскольку традиционные методы, ориентированные на сканирование ссылок и обнаружение вредоносного кода, менее эффективны против социально спланированных атак, которые используют доверие пользователей и скрывают злой умысел.

Для противодействия таким кампаниям необходима комплексная стратегия безопасности. Это включает в себя расширенный мониторинг поведения пользователей для выявления аномальных действий, прямых загрузок с неизвестных URL-адресов или несанкционированных изменений в системе. Кроме того, существует острая необходимость в обновленных программах обучения, которые фокусируются на рисках социальной инженерии с помощью визуальных и слуховых средств, призывая пользователей критически оценивать незапрашиваемые технические инструкции и выявлять потенциальных мошенников.

#ParsedReport #CompletenessLow
27-05-2025

Webrat spying for a victim through a webcam and kidnaps accounts and cryptocolines

https://rt-solar.ru/solar-4rays/blog/5540/

Report completeness: Low

Threats:
Webrat
Keilger

Victims:
Gamers, Organizations, Private users, Corporate users, Pirate prs

Geo:
Russian, Russian federation

ChatGPT TTPs:
do not use without manual check
T1189, T1071, T1083, T1005, T1056.001, T1113, T1125, T1123, T1078, T1547.001, have more...

IOCs:
Hash: 19
File: 5
Domain: 6

Soft:
Firefox, SeaMonkey, Waterfox, K-Meleon, IceDragon, Cyberfox, Pale Moon, Chromium, Chrome, Chrome Amigo, have more...

Wallets:
zcash, jaxx, exodus_wallet, electrum, atomicwallet, coinomi, mymonero, bitapp, boltx, coinbase, have more...

Crypto:
ethereum, binance

Algorithms:
md5, aes, sha256, sha1

Languages:
python, powershell

Platforms:
intel, x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
VPO, работающий под названием Webrat, представляет собой сложную вредоносную программу, распространяемую в виде читов для игр или обхода запрещенных приложений и предназначенную для защиты конфиденциальных данных из браузеров и учетных записей. Он обладает возможностями RAT, включая доступ к веб-камере и ведение кейлогга, и использует обманчивые методы установки через такие платформы, как YouTube и GitHub, что создает значительные риски, особенно для российских пользователей.
-----

VPO - это вредоносное ПО, работающее по модели "Вредоносное ПО как услуга", замаскированное под пиратские игры или инструменты для взлома. Оно извлекает данные из браузеров, Steam, Discord и криптовалютных кошельков. VPO позволяет злоумышленникам без задержек контролировать системы и мониторы жертв с помощью трансляции с настольных компьютеров и доступа к веб-камере. Основная цель - кража учетной записи с потенциальным использованием для шантажа и мошенничества. VPO распространяется под псевдонимом Webrat и ориентирован в основном на российских интернет-пользователей. Он часто появляется в виде игровых читов или обходных программ и устанавливается с помощью обучающих программ YouTube, маскирующих вредоносное ПО под защищенные файлы. Webrat использует методы распространения, включая GitHub, представляя себя как утилиту. Он оснащен функциями RAT, позволяющими управлять системой, прокси-серверами и просматривать файлы, а также скрытыми функциями для удаленного доступа к рабочему столу, записи с веб-камеры и регистрации нажатий клавиш. После запуска он отправляет данные на сервер C2 по протоколу QUIC со встроенными сертификатами подключения. Установка включает в себя случайный выбор папки в локальных данных приложения, переименование процессов для маскировки и добавление в реестр Windows для сохранения. Webrat использует нетипичный путь к файлу (например, nissrv.exe) и импровизированные шифры для повышения скрытности. Он собирает такие данные, как системные спецификации и сеансы работы приложений, используя FFMPEG для потоковой передачи с веб-камеры и прослушивания микрофонов. Эволюция VPO создает все более высокие риски для частных лиц и корпораций в отношении компрометации конфиденциальной информации. Надежные антивирусные решения и предотвращение загрузки ненадежных файлов имеют решающее значение для снижения рисков.

#ParsedReport #CompletenessLow
26-05-2025

Analysis of the case case of domestic PC room T-Rex coin minor attack

https://asec.ahnlab.com/ko/88147/

Report completeness: Low

Threats:
T-rex
Gh0st_rat
Themida_tool
Mpress_tool
Xmrig_miner
Killproc
Coinminer

Victims:
Pc rooms, Pc room management program operators

Geo:
China, Chinese

ChatGPT TTPs:
do not use without manual check
T1059.003, T1218.011, T1027, T1569.002, T1055.002, T1105, T1071.001, T1496, T1082, T1056.001, have more...

IOCs:
File: 19
Hash: 5
Url: 5
IP: 5

Soft:
chrome

Crypto:
monero, ethereum

Algorithms:
md5

Platforms:
x86

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атаки, нацеленные на компьютерные залы с конца 2024 года, использовали GH0ST RAT для управления системой и устанавливали майнеры монет T-Rex для эксплуатации высокопроизводительных игровых систем. Хакер использует методы обфускации и разрабатывает упреждающие меры против конкурирующих майнеров, выделяя целенаправленную стратегию против конкретного программного обеспечения для управления в этих средах.
-----

Аналитический центр безопасности Ahnlab (ASEC) подтвердил недавнюю серию атак, связанных с установкой майнеров монет в домашних компьютерных залах, которые приписываются злоумышленнику, действующему с 2022 года. Выявленные атаки начались во второй половине 2024 года, при этом особое внимание было уделено системам, интегрированным с программой управления компьютерными залами. Хотя способ первоначального проникновения в эти системы остается неизвестным, в первую очередь речь идет об этих приложениях для управления, которые облегчают эффективное отслеживание рабочего времени и управление платежами для клиентов.

Центральное место в инфраструктуре атаки занимает использование GH0ST RAT, троянца удаленного доступа (RAT), разработанного китайской службой безопасности C. Rufus. Это вредоносное ПО используется для контроля скомпрометированных систем. Злоумышленник обычно использует дропперы, устанавливающие GH0ST RAT или связанное с ним программное обеспечение, которые упакованы с использованием методов обфускации, таких как Themida или MPRESS. После выполнения GH0ST RAT загружается в память и становится устойчивым, регистрируясь как служба, что позволяет злоумышленнику выполнять команды, полученные с сервера управления (C&C). Эта вредоносная программа обладает различными функциональными возможностями, включая управление файлами и сбор информации с помощью регистрации нажатий клавиш и снимков экрана. Примечательно, что для обмена данными вредоносная программа использует строку подписи с надписью "Level", которая отличается от ее названия "GH0ST"..

Конечной целью этих атак, в частности, является майнер монет T-Rex, который злоумышленник использует для майнинга криптовалют, таких как Ethereum и Ravencoin. Эти майнеры подходят для высокопроизводительных игровых систем, которые обычно используются в компьютерных залах, что делает их идеальными мишенями. Майнер T-Rex устанавливается путем последовательного изменения пути его установки, чтобы избежать обнаружения, особенно после обновления программы управления.

Кроме того, злоумышленник использует вредоносный код, способный идентифицировать и завершать процессы, связанные с майнингом монет, что предполагает активные усилия по устранению угроз, которые могут быть восприняты как риск для их деятельности. Общие векторы атак подчеркивают целенаправленную стратегию борьбы с домашними компьютерными залами, использующими определенное программное обеспечение для управления, подчеркивая необходимость того, чтобы администраторы строго поддерживали программное обеспечение и меры безопасности. Регулярные обновления как операционных систем, так и программ управления, наряду с упреждающим мониторингом известных признаков компрометации (IOCs), связанных с вредоносным ПО, являются важнейшими стратегиями защиты от таких целенаправленных атак.

#ParsedReport #CompletenessLow
27-05-2025

Reborn in Rust: AsyncRAT

https://www.gdatasoftware.com/blog/2025/05/38207-asyncrat-rust

Report completeness: Low

Threats:
Asyncrat

ChatGPT TTPs:
do not use without manual check
T1059, T1027, T1053.005, T1112, T1219, T1071.001, T1083, T1005

IOCs:
Registry: 1
Hash: 1

Soft:
Node.js, Electron

Languages:
rust, visual_basic

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
AsyncRat - это троян для удаленного доступа (RAT), который внедряется с помощью вредоносных ссылок или фишинга и предназначен для кражи данных и выполнения команд. Последние версии Rust поддерживают функциональность, аналогичную версиям на C#, но обладают повышенной устойчивостью к обратному проектированию. К ним относятся жестко запрограммированные серверы с ЧПУ и возможности для запуска и сохранения подключаемых модулей, что указывает на постоянное развитие и потенциальную эволюцию тактики борьбы с угрозами.
-----

AsyncRat - это троян для удаленного доступа (RAT), который находится под наблюдением с 2019 года и предназначен в первую очередь для того, чтобы позволить киберпреступникам осуществлять контроль над скомпрометированными компьютерами. Это вредоносное ПО, как правило, распространяется с помощью вредоносных ссылок или фишинговых кампаний, что облегчает такие действия, как кража данных, выполнение команд и мониторинг активности пользователей. Его модульная архитектура обеспечивает широкие возможности настройки, что делает его гибким инструментом для различных хакеров.

Хотя исходные образцы AsyncRat были разработаны на C#, недавно были обнаружены варианты, созданные на Rust. В этих новых образцах сохраняются некоторые характеристики, характерные для AsyncRat, включая параметры конфигурации, протоколы связи с командно-управляющим управлением (CnC) и поддерживаемые команды. Хотя Rust пока не является основным средством разработки вредоносных программ, среди хакеров наметилась заметная тенденция использовать Rust для своих программных преимуществ. Это включает в себя повышенную сложность обратного проектирования вредоносного ПО из-за ограниченной поддержки в современных инструментах анализа, что делает двоичные файлы Rust более сложными для декодирования, чем те, которые написаны на традиционных языках, таких как C++.

Варианты AsyncRat на основе Rust не имеют каких-либо функциональных отличий от своих аналогов на C#. Они способны устанавливать плагины, выполнять код из этих плагинов и поддерживать постоянство. В зависимости от того, обладает ли вредоносная программа правами администратора, она может настроить запланированную задачу или реплицироваться во временном каталоге и запускаться с помощью пакетного файла — поведение, соответствующее версии .NET. Примечательно, что плагины не хранятся в виде традиционных двоичных файлов; вместо этого они регистрируются в разделе HKCU\Software\C2C\Plugins\ и динамически загружаются вредоносной программой.

Вредоносная программа имеет жестко запрограммированный список серверов с ЧПУ, позволяющий ей последовательно подключаться к этим серверам до тех пор, пока не будет установлено успешное соединение. Связь защищена через TLS. При анализе последнего примера были идентифицированы три уникальных сервера с ЧПУ, и порт подключения также был жестко запрограммирован.

С точки зрения функциональности, вариант Rust реализует более ограниченный набор команд по сравнению с версией C#, что предполагает постоянную разработку. Он собирает и передает системную информацию на свой сервер, которая включает идентификатор оборудования, сведения об операционной системе, установленном антивирусном программном обеспечении, административный статус, версию клиента и показатели производительности, такие как загрузка процессора. Интересно, что наличие отладочных строк в проанализированных образцах указывает на активную разработку и усовершенствование. Несмотря на эти недавние обнаружения, варианты Rust еще не были классифицированы поставщиками систем безопасности как часть семейства AsyncRat, что указывает на потенциально формирующийся ландшафт угроз.

#ParsedReport #CompletenessHigh
27-05-2025

Malware orLLM? Silent Werewolf employs newloaders toattack Russian andMoldovan organizations

https://bi.zone/eng/expertise/blog/silent-werewolf-ispolzuet-novye-zagruzchiki-v-atakakh-na-rossiyskie-i-moldavskie-organizatsii/

Report completeness: High

Actors/Campaigns:
Silent_werewolf (motivation: cyber_espionage)

Threats:
Spear-phishing_technique
Dll_sideloading_technique
Xdigo

Victims:
Russian organizations, Moldovan organizations

Industry:
Energy

Geo:
Moldova, Russian, Russia

TTPs:
Tactics: 5
Technics: 0

IOCs:
File: 38
Path: 13
Url: 3
Command: 5
Hash: 28
Domain: 5

Soft:
DirectX

Algorithms:
zip, base64, xor

Functions:
TaskCreator

Languages:
powershell

Platforms:
x64