#ParsedReport #CompletenessHigh
04-06-2025
The Bitter End: Unraveling Eight Years of Espionage AnticsPart One
https://www.proofpoint.com/us/blog/threat-insight/bitter-end-unraveling-eight-years-espionage-antics-part-one
Report completeness: High
Actors/Campaigns:
Bitter (motivation: cyber_espionage)
Mysterious_elephant
Apt59
Threats:
Spear-phishing_technique
Artradownloader
Grimresource_technique
Wmrat
Miyarat
Havoc
Kugelblitz
Bdarkrat
Orpcbackdoor
Industry:
Financial, Maritime, Government, Energy, Military
Geo:
Turkish, America, Asia, Mauritius, China, Bangladesh, Asian, Chinese, Pakistan, India, Madagascar, Korea, Indian
CVEs:
CVE-2024-43572 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20796)
- microsoft windows 10 1607 (<10.0.14393.7428)
- microsoft windows 10 1809 (<10.0.17763.6414)
- microsoft windows 10 21h2 (<10.0.19044.5011)
- microsoft windows 10 22h2 (<10.0.19045.5011)
have more...
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1036, T1041, T1053.005, T1059.001, T1059.003, T1071.001, T1095, T1105, T1190, T1204.002, have more...
IOCs:
File: 16
Domain: 8
Command: 7
Url: 13
IP: 1
Hash: 10
Soft:
ProtonMail, Android, curl, Ubuntu, LiteSpeed, confluence, Microsoft Access
Algorithms:
exhibit, sha256, zip
Functions:
Get-Content
Languages:
powershell, php
Links:
04-06-2025
The Bitter End: Unraveling Eight Years of Espionage AnticsPart One
https://www.proofpoint.com/us/blog/threat-insight/bitter-end-unraveling-eight-years-espionage-antics-part-one
Report completeness: High
Actors/Campaigns:
Bitter (motivation: cyber_espionage)
Mysterious_elephant
Apt59
Threats:
Spear-phishing_technique
Artradownloader
Grimresource_technique
Wmrat
Miyarat
Havoc
Kugelblitz
Bdarkrat
Orpcbackdoor
Industry:
Financial, Maritime, Government, Energy, Military
Geo:
Turkish, America, Asia, Mauritius, China, Bangladesh, Asian, Chinese, Pakistan, India, Madagascar, Korea, Indian
CVEs:
CVE-2024-43572 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20796)
- microsoft windows 10 1607 (<10.0.14393.7428)
- microsoft windows 10 1809 (<10.0.17763.6414)
- microsoft windows 10 21h2 (<10.0.19044.5011)
- microsoft windows 10 22h2 (<10.0.19045.5011)
have more...
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1036, T1041, T1053.005, T1059.001, T1059.003, T1071.001, T1095, T1105, T1190, T1204.002, have more...
IOCs:
File: 16
Domain: 8
Command: 7
Url: 13
IP: 1
Hash: 10
Soft:
ProtonMail, Android, curl, Ubuntu, LiteSpeed, confluence, Microsoft Access
Algorithms:
exhibit, sha256, zip
Functions:
Get-Content
Languages:
powershell, php
Links:
https://github.com/EmergingThreats/threatresearch/blob/master/ta397/ta397.csvProofpoint
The Bitter End: Unraveling Eight Years of Espionage Antics—Part One | Proofpoint US
This is a two-part blog series, detailing research undertaken in collaboration with Threatray. Part two of this blog series can be found on their website here. Analyst note: Throughout
CTT Report Hub
#ParsedReport #CompletenessHigh 04-06-2025 The Bitter End: Unraveling Eight Years of Espionage AnticsPart One https://www.proofpoint.com/us/blog/threat-insight/bitter-end-unraveling-eight-years-espionage-antics-part-one Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TA397 - поддерживаемый государством хакер, связанный с индийской разведкой, нацеленный на правительственные и оборонные структуры в Европе и Азии. Они внедряют вредоносное ПО с помощью фишинга и используют запланированные задачи с различными типами файлов для доставки полезной нагрузки, используя CVE-2024-43572. Их деятельность отражает систематический подход к шпионажу, который со временем адаптирует методы и интегрирует такие инструменты, как Kugelblitz, сохраняя при этом согласованную структуру инфраструктуры.
-----
TA397 идентифицирован как хакер, поддерживаемый государством, который, вероятно, действует от имени индийских спецслужб и занимается сбором разведданных, уделяя основное внимание правительственным и оборонным структурам в Европе и Азии, особенно тем, которые связаны с Китаем, Пакистаном и соседними странами. Оперативная деятельность группы характеризуется предсказуемой методологией, включая использование электронных писем для шпионажа в качестве основного средства получения первоначального доступа. Хотя возможности TA397 не так велики по сравнению с другими действующими лицами, поддерживаемыми государством, группа демонстрирует высокий уровень активности и креативности в своей оперативной тактике.
Со временем TA397 адаптировал свои технологии, перейдя от использования известных CVE к использованию запланированных задач для доставки полезной нагрузки. Современные методологии включают использование различных типов файлов, таких как архивы MSC, LNK, CHM и RAR, для создания запланированных задач, которые облегчают дальнейшее развертывание вредоносного ПО. Эти задачи предназначены для скрытого выполнения команд, загрузки полезной нагрузки и регулярного мониторинга систем-жертв, что позволяет использовать скрытые типы файлов, такие как файлы MSC, для задания запланированных задач для выполнения в PowerShell. Кампании группы были нацелены на организации, специализирующиеся на дипломатических и военных вопросах, и привязывали тематику фишинговых электронных писем к актуальным геополитическим событиям, чтобы повысить эффективность их использования для обмана.
Вредоносное ПО, используемое TA397, включая такие инструменты, как Kugelblitz и различные RATs, еще раз демонстрирует их изощренность в работе. Их инфраструктура отличается высокой степенью достоверности — она была выбрана благодаря последовательным схемам, включая структурированное использование URI на PHP, содержащих имя компьютера и логин жертвы, и использование сертификатов Let's Encrypt на их серверах. Эти факторы позволяют надежно обнаруживать действия TA397. Анализ временных меток их операций в основном соотносится с индийским стандартным временем, что подтверждает оценку их географических и временных характеристик.
Уязвимости, используемые TA397, включают CVE-2024-43572, известную как GrimResource, которая позволяет удаленно выполнять код в контексте mmc.exe, что они активно использовали в недавних кампаниях. Примечательно, что они исторически полагались на вредоносные программы, такие как ArtraDownloader, хотя недавние инновации включают интеграцию новых методов доставки последующих полезных загрузок после первоначального заражения.
В конечном счете, TA397 является примером настойчивого хакера, который сочетает систематические методы шпионажа с постоянно развивающимся набором инструментов и подходов. Их стратегии нацеливания основаны на глубоком понимании геополитических условий и оперативной безопасности, что делает их важным игроком в сфере государственного кибершпионажа. Их инфраструктура частично совпадает с инфраструктурой других известных индийских хакеров, что свидетельствует о совместной работе по сбору разведданных в рамках операций, проводимых при поддержке государства. Такая интеграция усилий различных групп подчеркивает общие цели кибершпионажа в Южной Азии, особенно в вопросах национальной безопасности и дипломатической значимости.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TA397 - поддерживаемый государством хакер, связанный с индийской разведкой, нацеленный на правительственные и оборонные структуры в Европе и Азии. Они внедряют вредоносное ПО с помощью фишинга и используют запланированные задачи с различными типами файлов для доставки полезной нагрузки, используя CVE-2024-43572. Их деятельность отражает систематический подход к шпионажу, который со временем адаптирует методы и интегрирует такие инструменты, как Kugelblitz, сохраняя при этом согласованную структуру инфраструктуры.
-----
TA397 идентифицирован как хакер, поддерживаемый государством, который, вероятно, действует от имени индийских спецслужб и занимается сбором разведданных, уделяя основное внимание правительственным и оборонным структурам в Европе и Азии, особенно тем, которые связаны с Китаем, Пакистаном и соседними странами. Оперативная деятельность группы характеризуется предсказуемой методологией, включая использование электронных писем для шпионажа в качестве основного средства получения первоначального доступа. Хотя возможности TA397 не так велики по сравнению с другими действующими лицами, поддерживаемыми государством, группа демонстрирует высокий уровень активности и креативности в своей оперативной тактике.
Со временем TA397 адаптировал свои технологии, перейдя от использования известных CVE к использованию запланированных задач для доставки полезной нагрузки. Современные методологии включают использование различных типов файлов, таких как архивы MSC, LNK, CHM и RAR, для создания запланированных задач, которые облегчают дальнейшее развертывание вредоносного ПО. Эти задачи предназначены для скрытого выполнения команд, загрузки полезной нагрузки и регулярного мониторинга систем-жертв, что позволяет использовать скрытые типы файлов, такие как файлы MSC, для задания запланированных задач для выполнения в PowerShell. Кампании группы были нацелены на организации, специализирующиеся на дипломатических и военных вопросах, и привязывали тематику фишинговых электронных писем к актуальным геополитическим событиям, чтобы повысить эффективность их использования для обмана.
Вредоносное ПО, используемое TA397, включая такие инструменты, как Kugelblitz и различные RATs, еще раз демонстрирует их изощренность в работе. Их инфраструктура отличается высокой степенью достоверности — она была выбрана благодаря последовательным схемам, включая структурированное использование URI на PHP, содержащих имя компьютера и логин жертвы, и использование сертификатов Let's Encrypt на их серверах. Эти факторы позволяют надежно обнаруживать действия TA397. Анализ временных меток их операций в основном соотносится с индийским стандартным временем, что подтверждает оценку их географических и временных характеристик.
Уязвимости, используемые TA397, включают CVE-2024-43572, известную как GrimResource, которая позволяет удаленно выполнять код в контексте mmc.exe, что они активно использовали в недавних кампаниях. Примечательно, что они исторически полагались на вредоносные программы, такие как ArtraDownloader, хотя недавние инновации включают интеграцию новых методов доставки последующих полезных загрузок после первоначального заражения.
В конечном счете, TA397 является примером настойчивого хакера, который сочетает систематические методы шпионажа с постоянно развивающимся набором инструментов и подходов. Их стратегии нацеливания основаны на глубоком понимании геополитических условий и оперативной безопасности, что делает их важным игроком в сфере государственного кибершпионажа. Их инфраструктура частично совпадает с инфраструктурой других известных индийских хакеров, что свидетельствует о совместной работе по сбору разведданных в рамках операций, проводимых при поддержке государства. Такая интеграция усилий различных групп подчеркивает общие цели кибершпионажа в Южной Азии, особенно в вопросах национальной безопасности и дипломатической значимости.
#ParsedReport #CompletenessLow
05-06-2025
Fake WordPress Caching Plugin Used to Steal Admin Credentials
https://blog.sucuri.net/2025/06/fake-wordpress-caching-plugin-used-to-steal-admin-credentials.html
Report completeness: Low
Victims:
Wordpress sites
Geo:
Hong kong
TTPs:
ChatGPT TTPs:
T1036, T1041, T1140, T1195.002, T1564.006
IOCs:
File: 2
Url: 1
Domain: 1
Soft:
WordPress, Linux
Algorithms:
base64
Languages:
php
05-06-2025
Fake WordPress Caching Plugin Used to Steal Admin Credentials
https://blog.sucuri.net/2025/06/fake-wordpress-caching-plugin-used-to-steal-admin-credentials.html
Report completeness: Low
Victims:
Wordpress sites
Geo:
Hong kong
TTPs:
ChatGPT TTPs:
do not use without manual checkT1036, T1041, T1140, T1195.002, T1564.006
IOCs:
File: 2
Url: 1
Domain: 1
Soft:
WordPress, Linux
Algorithms:
base64
Languages:
php
Sucuri Blog
Fake WordPress Caching Plugin Used to Steal Admin Credentials
Uncover the dangers of a malicious plugin that can steal admin credentials and compromise your WordPress site security.
CTT Report Hub
#ParsedReport #CompletenessLow 05-06-2025 Fake WordPress Caching Plugin Used to Steal Admin Credentials https://blog.sucuri.net/2025/06/fake-wordpress-caching-plugin-used-to-steal-admin-credentials.html Report completeness: Low Victims: Wordpress sites…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Киберпреступники используют сайты WordPress, загружая вредоносные плагины, такие как "wp-runtime-cache", которые крадут учетные данные администратора. Этот плагин содержит запутанный PHP-код, активируется при входе в систему и передает пользовательские данные на внешние серверы, выявляя критические уязвимости в системе безопасности WordPress. Регулярные проверки и надежные методы обеспечения безопасности необходимы для устранения этих угроз.
-----
Недавние инциденты продемонстрировали тревожную тенденцию среди киберпреступников, которые эксплуатируют сайты WordPress, загружая вредоносные плагины, которые могут служить различным гнусным целям, включая кражу учетных данных администратора. Одна конкретная угроза была связана с плагином под названием "wp-runtime-cache", найденным в каталоге wp-content/plugins, который изначально казался безобидным из-за его функции кэширования, обычно используемой для оптимизации производительности. Однако отсутствие стандартных опций управления кэшем и отсутствие плагина в списке плагинов администратора вызвали подозрения в его злом умысле.
В результате расследования было обнаружено, что wp-runtime-cache содержит только один PHP-файл, что нетипично для легальных плагинов, которые обычно содержат несколько файлов. Ключевыми признаками вредоносного поведения были пустые поля для описания плагина, автора и URL-адреса службы поддержки в сочетании с наличием запутанного кода, использующего кодировку base64 и имена случайных переменных. Особую тревогу вызвала функция под названием "infiltrateDocumentStore0460", предполагающая намерение тайно проникнуть в системный контент — что-то без законного обоснования в действующих плагинах.
Каждый раз, когда страница загружается, вредоносное ПО активируется в среде сайта, особенно во время сеансов входа в систему с помощью wp-администратора. Вредоносное ПО собирает регистрационные данные пользователя и оценивает возможности вошедшего в систему пользователя в соответствии с предопределенными ролями. Эта функциональность выполняется с помощью встроенной функции WordPress wp_remote_post, которая передает массивы данных на внешние серверы, тем самым облегчая извлечение данных злоумышленниками. Кроме того, функция с именем "detachConcurrency0788" проверяет наличие предварительно сгенерированного хэш-значения, чтобы отличать законных пользователей от злоумышленников. Если злоумышленник идентифицирован, плагин остается видимым; в противном случае он скрывается из списка плагинов, сохраняя скрытность.
При отслеживании домена, связанного с этой вредоносной активностью, в последних регистрационных данных были обнаружены расхождения, свидетельствующие о тактике злоумышленников — домен зарегистрирован в Арканзасе, но привязан к телефонному коду Гонконга, что свидетельствует о намеренной попытке избежать обнаружения. Полученные данные указывают на критические уязвимости, возникающие, когда злоумышленники получают безопасный доступ к сайту, используя скрытые вредоносные действия для сбора учетных данных администратора и передачи этих данных на внешние серверы для дальнейшего использования.
Следовательно, регулярные проверки плагинов и пользователей становятся обязательными для обслуживания веб-сайта, наряду с такими рекомендациями, как поддержание обновленных паролей администратора, использование двухфакторной аутентификации и применение ограничений IP на странице входа в WordPress, которые могут предотвратить несанкционированный доступ. В случае любой компрометации, связанной с учетными данными администратора, ключевой мерой противодействия является обновление настроек WordPress, содержащихся в файле wp-config.php, чтобы защитить данные для входа в систему от повторной компрометации с помощью ранее полученных хэшированных паролей. Эти меры предосторожности жизненно важны для повышения безопасности установок WordPress от возникающих угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Киберпреступники используют сайты WordPress, загружая вредоносные плагины, такие как "wp-runtime-cache", которые крадут учетные данные администратора. Этот плагин содержит запутанный PHP-код, активируется при входе в систему и передает пользовательские данные на внешние серверы, выявляя критические уязвимости в системе безопасности WordPress. Регулярные проверки и надежные методы обеспечения безопасности необходимы для устранения этих угроз.
-----
Недавние инциденты продемонстрировали тревожную тенденцию среди киберпреступников, которые эксплуатируют сайты WordPress, загружая вредоносные плагины, которые могут служить различным гнусным целям, включая кражу учетных данных администратора. Одна конкретная угроза была связана с плагином под названием "wp-runtime-cache", найденным в каталоге wp-content/plugins, который изначально казался безобидным из-за его функции кэширования, обычно используемой для оптимизации производительности. Однако отсутствие стандартных опций управления кэшем и отсутствие плагина в списке плагинов администратора вызвали подозрения в его злом умысле.
В результате расследования было обнаружено, что wp-runtime-cache содержит только один PHP-файл, что нетипично для легальных плагинов, которые обычно содержат несколько файлов. Ключевыми признаками вредоносного поведения были пустые поля для описания плагина, автора и URL-адреса службы поддержки в сочетании с наличием запутанного кода, использующего кодировку base64 и имена случайных переменных. Особую тревогу вызвала функция под названием "infiltrateDocumentStore0460", предполагающая намерение тайно проникнуть в системный контент — что-то без законного обоснования в действующих плагинах.
Каждый раз, когда страница загружается, вредоносное ПО активируется в среде сайта, особенно во время сеансов входа в систему с помощью wp-администратора. Вредоносное ПО собирает регистрационные данные пользователя и оценивает возможности вошедшего в систему пользователя в соответствии с предопределенными ролями. Эта функциональность выполняется с помощью встроенной функции WordPress wp_remote_post, которая передает массивы данных на внешние серверы, тем самым облегчая извлечение данных злоумышленниками. Кроме того, функция с именем "detachConcurrency0788" проверяет наличие предварительно сгенерированного хэш-значения, чтобы отличать законных пользователей от злоумышленников. Если злоумышленник идентифицирован, плагин остается видимым; в противном случае он скрывается из списка плагинов, сохраняя скрытность.
При отслеживании домена, связанного с этой вредоносной активностью, в последних регистрационных данных были обнаружены расхождения, свидетельствующие о тактике злоумышленников — домен зарегистрирован в Арканзасе, но привязан к телефонному коду Гонконга, что свидетельствует о намеренной попытке избежать обнаружения. Полученные данные указывают на критические уязвимости, возникающие, когда злоумышленники получают безопасный доступ к сайту, используя скрытые вредоносные действия для сбора учетных данных администратора и передачи этих данных на внешние серверы для дальнейшего использования.
Следовательно, регулярные проверки плагинов и пользователей становятся обязательными для обслуживания веб-сайта, наряду с такими рекомендациями, как поддержание обновленных паролей администратора, использование двухфакторной аутентификации и применение ограничений IP на странице входа в WordPress, которые могут предотвратить несанкционированный доступ. В случае любой компрометации, связанной с учетными данными администратора, ключевой мерой противодействия является обновление настроек WordPress, содержащихся в файле wp-config.php, чтобы защитить данные для входа в систему от повторной компрометации с помощью ранее полученных хэшированных паролей. Эти меры предосторожности жизненно важны для повышения безопасности установок WordPress от возникающих угроз.
#ParsedReport #CompletenessLow
05-06-2025
Decoding ClickFix: Lessons from the Latest Browser-Based Phish
https://slashnext.com/blog/decoding-clickfix-lessons-from-the-latest-browser-based-phish/
Report completeness: Low
Threats:
Clickfix_technique
Fakecaptcha_technique
Clipboard_injection_technique
Lumma_stealer
Stealc
Netsupportmanager_rat
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1059.001, T1071.001, T1140, T1204.001, T1566, T1566.002
IOCs:
File: 2
Soft:
Cloudflare Turnstile
Algorithms:
base64
Languages:
powershell
05-06-2025
Decoding ClickFix: Lessons from the Latest Browser-Based Phish
https://slashnext.com/blog/decoding-clickfix-lessons-from-the-latest-browser-based-phish/
Report completeness: Low
Threats:
Clickfix_technique
Fakecaptcha_technique
Clipboard_injection_technique
Lumma_stealer
Stealc
Netsupportmanager_rat
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1059.001, T1071.001, T1140, T1204.001, T1566, T1566.002
IOCs:
File: 2
Soft:
Cloudflare Turnstile
Algorithms:
base64
Languages:
powershell
SlashNext | Complete Generative AI Security for Email, Mobile, and Browser
Decoding ‘ClickFix’: Latest Browser-Based Phish Lessons| SlashNext
ClickFix tricks users into pasting malware via fake CAPTCHAs. Learn how this low-tech phishing scam works—and how SlashNext stops it at zero hour.
CTT Report Hub
#ParsedReport #CompletenessLow 05-06-2025 Decoding ClickFix: Lessons from the Latest Browser-Based Phish https://slashnext.com/blog/decoding-clickfix-lessons-from-the-latest-browser-based-phish/ Report completeness: Low Threats: Clickfix_technique Fak…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
ClickFix - это фишинговый метод, который имитирует законный процесс проверки безопасности, заставляя пользователей выполнять вредоносные команды PowerShell с помощью поддельной капчи. Он использует тактику обфускации и социальной инженерии, чтобы использовать "усталость от проверки", в результате чего жертвы непреднамеренно устанавливают вредоносное ПО, обходя традиционные меры безопасности.
-----
ClickFix - это новый метод социальной инженерии фишинга, который заставляет пользователей выполнять вредоносные команды на своих устройствах, маскируясь под законный процесс проверки безопасности. Атака часто принимает форму поддельной капчи, напоминающей такие сервисы, как Turnstile от Cloudflare, и убеждает жертв вставлять и запускать вредоносный код, не осознавая присущего им риска. Когда пользователи сталкиваются с этим мошенническим интерфейсом, они приходят к выводу, что им необходимо убедиться в своей человечности, выполнив шаги по обеспечению безопасности. Однако за кулисами при разработке атаки используется сценарий, который незаметно вводит вредоносную команду в буфер обмена пользователя.
На практике, как только пользователь взаимодействует с установленным флажком, ему предлагается выполнить команду в диалоговом окне запуска Windows, нажав Windows+R и используя Ctrl+V, чтобы вставить встроенную команду PowerShell, а затем нажать Enter. Эта команда, которая часто представляет собой простую строку кода, обычно извлекает и запускает вредоносные программы второго этапа, минуя традиционную проверку антивирусом и запросы на загрузку. Пользователь невольно становится инициатором установки вредоносного ПО, что значительно повышает эффективность атаки.
Фишинговая страница ClickFix сама по себе представляет собой автономный HTML-файл, который воспроизводит внешний вид законного интерфейса Cloudflare. Злоумышленники часто запутывают код, чтобы замаскировать его вредоносную функциональность, и используют различные методы для поддержания иллюзии легитимности, такие как генерация случайных идентификаторов Cloudflare Ray и настройка доменных имен. Эта путаница скрывает встроенную команду PowerShell, которая обычно кодируется во избежание обнаружения. Когда пользователи выполняют поддельные шаги проверки, их, по сути, обманом заставляют запускать законные утилиты Windows с вредоносной полезной нагрузкой, что позволяет избежать проверки со стороны средств веб-безопасности.
Несмотря на свою простоту, ClickFix использует феномен, известный как "усталость от проверки", при котором современные интернет-пользователи вынуждены быстро выполнять запросы, с которыми они регулярно сталкиваются. Злоумышленники используют этот психологический фактор, отправляя фишинговые страницы с, казалось бы, безобидных URL-адресов или даже с взломанных законных сайтов. Отсутствие быстро обнаруживаемых предупреждающих знаков, таких как загрузка файлов или необычные приглашения, создает у пользователей ложное чувство безопасности, способствуя успеху атак с помощью ClickFix.
По мере развития ClickFix традиционные меры безопасности могут с трудом поспевать за ними. Тактика, используемая в этих кампаниях, подчеркивает необходимость тщательного соблюдения мер безопасности, особенно при распознавании обманчивой природы таких методов социальной инженерии. Понимание механизма, лежащего в основе таких атак, как ClickFix, имеет решающее значение для разработки эффективных контрмер и повышения осведомленности пользователей о потенциальных рисках.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
ClickFix - это фишинговый метод, который имитирует законный процесс проверки безопасности, заставляя пользователей выполнять вредоносные команды PowerShell с помощью поддельной капчи. Он использует тактику обфускации и социальной инженерии, чтобы использовать "усталость от проверки", в результате чего жертвы непреднамеренно устанавливают вредоносное ПО, обходя традиционные меры безопасности.
-----
ClickFix - это новый метод социальной инженерии фишинга, который заставляет пользователей выполнять вредоносные команды на своих устройствах, маскируясь под законный процесс проверки безопасности. Атака часто принимает форму поддельной капчи, напоминающей такие сервисы, как Turnstile от Cloudflare, и убеждает жертв вставлять и запускать вредоносный код, не осознавая присущего им риска. Когда пользователи сталкиваются с этим мошенническим интерфейсом, они приходят к выводу, что им необходимо убедиться в своей человечности, выполнив шаги по обеспечению безопасности. Однако за кулисами при разработке атаки используется сценарий, который незаметно вводит вредоносную команду в буфер обмена пользователя.
На практике, как только пользователь взаимодействует с установленным флажком, ему предлагается выполнить команду в диалоговом окне запуска Windows, нажав Windows+R и используя Ctrl+V, чтобы вставить встроенную команду PowerShell, а затем нажать Enter. Эта команда, которая часто представляет собой простую строку кода, обычно извлекает и запускает вредоносные программы второго этапа, минуя традиционную проверку антивирусом и запросы на загрузку. Пользователь невольно становится инициатором установки вредоносного ПО, что значительно повышает эффективность атаки.
Фишинговая страница ClickFix сама по себе представляет собой автономный HTML-файл, который воспроизводит внешний вид законного интерфейса Cloudflare. Злоумышленники часто запутывают код, чтобы замаскировать его вредоносную функциональность, и используют различные методы для поддержания иллюзии легитимности, такие как генерация случайных идентификаторов Cloudflare Ray и настройка доменных имен. Эта путаница скрывает встроенную команду PowerShell, которая обычно кодируется во избежание обнаружения. Когда пользователи выполняют поддельные шаги проверки, их, по сути, обманом заставляют запускать законные утилиты Windows с вредоносной полезной нагрузкой, что позволяет избежать проверки со стороны средств веб-безопасности.
Несмотря на свою простоту, ClickFix использует феномен, известный как "усталость от проверки", при котором современные интернет-пользователи вынуждены быстро выполнять запросы, с которыми они регулярно сталкиваются. Злоумышленники используют этот психологический фактор, отправляя фишинговые страницы с, казалось бы, безобидных URL-адресов или даже с взломанных законных сайтов. Отсутствие быстро обнаруживаемых предупреждающих знаков, таких как загрузка файлов или необычные приглашения, создает у пользователей ложное чувство безопасности, способствуя успеху атак с помощью ClickFix.
По мере развития ClickFix традиционные меры безопасности могут с трудом поспевать за ними. Тактика, используемая в этих кампаниях, подчеркивает необходимость тщательного соблюдения мер безопасности, особенно при распознавании обманчивой природы таких методов социальной инженерии. Понимание механизма, лежащего в основе таких атак, как ClickFix, имеет решающее значение для разработки эффективных контрмер и повышения осведомленности пользователей о потенциальных рисках.
#ParsedReport #CompletenessMedium
05-06-2025
DuplexSpy RAT: Stealthy Windows Malware Enabling Full Remote Control and Surveillance
https://www.cyfirma.com/research/duplexspy-rat-stealthy-windows-malware-enabling-full-remote-control-and-surveillance/
Report completeness: Medium
Threats:
Duplexspy_rat
Process_injection_technique
Dll_sideloading_technique
Dll_injection_technique
TTPs:
Tactics: 9
Technics: 34
IOCs:
File: 13
Registry: 1
Hash: 2
Soft:
Windows Registry, MariaDB, Microsoft SQL Server, MySQL, Redis, Linux, Ubuntu, Visual Studio, Chrome, Firefox, Active Directory, have more...
Algorithms:
aes, cbc, base64
Functions:
Main, Connect, BringToFront, Activate, Windows, UAC, LoadToMemory
Win API:
SetSuspendState, OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread, GetCurrentProcess
Languages:
java, python, php, perl, javascript, powershell
Platforms:
cross-platform
YARA: Found
05-06-2025
DuplexSpy RAT: Stealthy Windows Malware Enabling Full Remote Control and Surveillance
https://www.cyfirma.com/research/duplexspy-rat-stealthy-windows-malware-enabling-full-remote-control-and-surveillance/
Report completeness: Medium
Threats:
Duplexspy_rat
Process_injection_technique
Dll_sideloading_technique
Dll_injection_technique
TTPs:
Tactics: 9
Technics: 34
IOCs:
File: 13
Registry: 1
Hash: 2
Soft:
Windows Registry, MariaDB, Microsoft SQL Server, MySQL, Redis, Linux, Ubuntu, Visual Studio, Chrome, Firefox, Active Directory, have more...
Algorithms:
aes, cbc, base64
Functions:
Main, Connect, BringToFront, Activate, Windows, UAC, LoadToMemory
Win API:
SetSuspendState, OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread, GetCurrentProcess
Languages:
java, python, php, perl, javascript, powershell
Platforms:
cross-platform
YARA: Found
CYFIRMA
DuplexSpy RAT: Stealthy Windows Malware Enabling Full Remote Control and Surveillance - CYFIRMA
EXECUTIVE SUMMARY At CYFIRMA, we are committed to delivering timely intelligence on emerging cyber threats and adversarial tactics targeting individuals...
CTT Report Hub
#ParsedReport #CompletenessMedium 05-06-2025 DuplexSpy RAT: Stealthy Windows Malware Enabling Full Remote Control and Surveillance https://www.cyfirma.com/research/duplexspy-rat-stealthy-windows-malware-enabling-full-remote-control-and-surveillance/ Report…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
DuplexSpy RAT - это троян для удаленного доступа с возможностью регистрации нажатий клавиш, захвата экрана, доступа к веб-камере и аудиозаписи. Он использует методы сохранения данных, такие как изменение реестра и внедрение DLL-библиотеки, для скрытности, а также имеет командную оболочку для выполнения команд в режиме реального времени. Его бесфайловые технологии позволяют ему избегать обнаружения, что требует повышения осведомленности о безопасности и средств защиты.
-----
DuplexSpy RAT - это многогранный троян для удаленного доступа (RAT), предназначенный для наблюдения за зараженными системами и контроля над ними. Его возможности включают регистрацию нажатий клавиш, захват экрана, доступ к веб-камере, аудиозапись и удаленное выполнение командной строки. RAT известен своими стратегиями сохранения, использующими методы, которые включают копирование самого себя в папку автозагрузки и изменение реестра Windows для обеспечения автоматического запуска при запуске системы. В частности, он добавляет запись с именем "Центр обновления Windows" в разделе HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, имитируя законный процесс Windows, чтобы избежать подозрений пользователя.
Компонент keylogger перехватывает ввод с клавиатуры низкого уровня с помощью перехватчика Windows, фиксирует нажатия клавиш и сохраняет их во временном RTF-файле. Этот файл периодически отправляется на удаленный сервер, зашифрованный для скрытности с использованием протоколов AES и RSA. Кроме того, DuplexSpy использует внедрение библиотеки DLL для выполнения кода в памяти, используя различные функции Windows API для динамической загрузки вредоносных сборок, не оставляя следов на диске, что расширяет возможности скрытности.
DuplexSpy включает в себя бэкдор командной оболочки, который позволяет выполнять команды на компьютере жертвы в режиме реального времени. Вредоносная программа отправляет и получает закодированные команды на свой сервер управления (C2) и с него и может выполнять системные команды, такие как завершение работы или перезапуск, тем самым нарушая доступность системы. RAT оснащен модулем защиты от процессов, который постоянно отслеживает наличие программного обеспечения безопасности, завершая все процессы, которые соответствуют предопределенному черному списку, для поддержания контроля над системной средой.
Кроме того, DuplexSpy включает в себя класс AudioPlayer, который позволяет вести аудионаблюдение путем воспроизведения звуков или использования микрофона устройства для записи, что представляет собой расширенные возможности в области психологических манипуляций и сбора информации. Класс Webcam обеспечивает непрерывную потоковую передачу видеоматериалов, превращая зараженное устройство в инструмент наблюдения.
Функциональность графического интерфейса вредоносного ПО позволяет злоумышленникам настраивать свою полезную нагрузку с минимальными техническими знаниями. Его открытый исходный код, созданный в образовательных целях, но активно используемый злоумышленниками, способствует росту популярности удобных в использовании модульных вредоносных программ, которые представляют значительный риск для отдельных лиц и организаций.
Внедрение бесфайловых технологий позволяет DuplexSpy избегать обнаружения с помощью традиционных средств защиты, что делает важными механизмы проактивной защиты. По мере развития ситуации с угрозами потенциал таких продвинутых RAT в обход традиционных средств защиты подчеркивает необходимость повышения осведомленности пользователей и разработки многоуровневых стратегий защиты от изощренных хакеров.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
DuplexSpy RAT - это троян для удаленного доступа с возможностью регистрации нажатий клавиш, захвата экрана, доступа к веб-камере и аудиозаписи. Он использует методы сохранения данных, такие как изменение реестра и внедрение DLL-библиотеки, для скрытности, а также имеет командную оболочку для выполнения команд в режиме реального времени. Его бесфайловые технологии позволяют ему избегать обнаружения, что требует повышения осведомленности о безопасности и средств защиты.
-----
DuplexSpy RAT - это многогранный троян для удаленного доступа (RAT), предназначенный для наблюдения за зараженными системами и контроля над ними. Его возможности включают регистрацию нажатий клавиш, захват экрана, доступ к веб-камере, аудиозапись и удаленное выполнение командной строки. RAT известен своими стратегиями сохранения, использующими методы, которые включают копирование самого себя в папку автозагрузки и изменение реестра Windows для обеспечения автоматического запуска при запуске системы. В частности, он добавляет запись с именем "Центр обновления Windows" в разделе HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run, имитируя законный процесс Windows, чтобы избежать подозрений пользователя.
Компонент keylogger перехватывает ввод с клавиатуры низкого уровня с помощью перехватчика Windows, фиксирует нажатия клавиш и сохраняет их во временном RTF-файле. Этот файл периодически отправляется на удаленный сервер, зашифрованный для скрытности с использованием протоколов AES и RSA. Кроме того, DuplexSpy использует внедрение библиотеки DLL для выполнения кода в памяти, используя различные функции Windows API для динамической загрузки вредоносных сборок, не оставляя следов на диске, что расширяет возможности скрытности.
DuplexSpy включает в себя бэкдор командной оболочки, который позволяет выполнять команды на компьютере жертвы в режиме реального времени. Вредоносная программа отправляет и получает закодированные команды на свой сервер управления (C2) и с него и может выполнять системные команды, такие как завершение работы или перезапуск, тем самым нарушая доступность системы. RAT оснащен модулем защиты от процессов, который постоянно отслеживает наличие программного обеспечения безопасности, завершая все процессы, которые соответствуют предопределенному черному списку, для поддержания контроля над системной средой.
Кроме того, DuplexSpy включает в себя класс AudioPlayer, который позволяет вести аудионаблюдение путем воспроизведения звуков или использования микрофона устройства для записи, что представляет собой расширенные возможности в области психологических манипуляций и сбора информации. Класс Webcam обеспечивает непрерывную потоковую передачу видеоматериалов, превращая зараженное устройство в инструмент наблюдения.
Функциональность графического интерфейса вредоносного ПО позволяет злоумышленникам настраивать свою полезную нагрузку с минимальными техническими знаниями. Его открытый исходный код, созданный в образовательных целях, но активно используемый злоумышленниками, способствует росту популярности удобных в использовании модульных вредоносных программ, которые представляют значительный риск для отдельных лиц и организаций.
Внедрение бесфайловых технологий позволяет DuplexSpy избегать обнаружения с помощью традиционных средств защиты, что делает важными механизмы проактивной защиты. По мере развития ситуации с угрозами потенциал таких продвинутых RAT в обход традиционных средств защиты подчеркивает необходимость повышения осведомленности пользователей и разработки многоуровневых стратегий защиты от изощренных хакеров.
#ParsedReport #CompletenessLow
05-06-2025
Android Spyware Alert! Fake government app targeting Android users in India!
https://labs.k7computing.com/index.php/android-spyware-alert-fake-government-app-targeting-android-users-in-india/
Report completeness: Low
Industry:
Government
Geo:
India
ChatGPT TTPs:
T1036.005, T1406, T1407, T1410, T1417, T1420, T1433
IOCs:
File: 2
Hash: 8
Soft:
Android, Apktool, Twitter
05-06-2025
Android Spyware Alert! Fake government app targeting Android users in India!
https://labs.k7computing.com/index.php/android-spyware-alert-fake-government-app-targeting-android-users-in-india/
Report completeness: Low
Industry:
Government
Geo:
India
ChatGPT TTPs:
do not use without manual checkT1036.005, T1406, T1407, T1410, T1417, T1420, T1433
IOCs:
File: 2
Hash: 8
Soft:
Android, Apktool, Twitter
K7 Labs
Android Spyware Alert! Fake government app targeting Android users in India!
Recently, we came across a detection in our telemetry report named “PM KISAN YOJNA”, masquerading as the official government application […]
CTT Report Hub
#ParsedReport #CompletenessLow 05-06-2025 Android Spyware Alert! Fake government app targeting Android users in India! https://labs.k7computing.com/index.php/android-spyware-alert-fake-government-app-targeting-android-users-in-india/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Новая вредоносная программа для Android, выдающая себя за приложение "PM KISAN YOJNA", использует многоступенчатый дроппер для развертывания полезной нагрузки для кражи данных, обходя меры безопасности и предлагая пользователям включить VPN для утечки данных. Также появляется вариант под названием "Сальвадор", что указывает на постоянную эволюцию тактики хакеров.
-----
В недавних отчетах о телеметрии была обнаружена новая вредоносная программа для Android, замаскированная под официальное приложение "PM KISAN YOJNA". Эта вредоносная программа работает как дроппер, способный размещать дополнительную полезную нагрузку, которая выполняет функции перехватчика, предназначенного для извлечения конфиденциальной информации пользователя. Примечательно, что вредоносная программа использует многоступенчатую технологию дроппинга, намеренно искаженную в своей конструкции, чтобы обойти традиционные меры безопасности. Это включает в себя успешный обход методов статического анализа и декомпиляции APK, используемых такими инструментами, как Apktool и Jadx, что усложняет процесс анализа для экспертов по кибербезопасности.
После установки вредоносная программа предлагает пользователям загрузить "обновление", которое запрашивает разрешения на установку VPN-соединения. Обоснование этого запроса заключается в том, что "PM KISAN YOJNA" необходимо настроить VPN для управления сетевым трафиком. Такая тактика, вероятно, служит злоумышленной цели - обеспечить возможность утечки данных. Если пользователи подтверждают это подключение, им предлагается разрешить установку из неизвестных источников, что облегчает дальнейшие действия вредоносного ПО. Впоследствии он подключается к серверам управления (C2) без ведома пользователя и имеет возможность получать доступ к этим серверам и отправлять на них SMS-сообщения. На момент проведения анализа указанный сервер C2 был отключен.
Новая разновидность этой вредоносной программы, получившая название "Salvador", также находится на подъеме, что указывает на то, что хакеры постоянно совершенствуют свои стратегии, чтобы имитировать законные приложения, избегать обнаружения и расширять возможности кражи данных. Чтобы снизить риски, связанные с такими сложными угрозами, пользователям настоятельно рекомендуется воздерживаться от загрузки приложений из неофициальных источников и следить за тем, чтобы их устройства регулярно обновлялись и исправлялись. Кроме того, использование надежных решений для обеспечения безопасности может помочь защититься от новых тактик, используемых киберпреступниками.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Новая вредоносная программа для Android, выдающая себя за приложение "PM KISAN YOJNA", использует многоступенчатый дроппер для развертывания полезной нагрузки для кражи данных, обходя меры безопасности и предлагая пользователям включить VPN для утечки данных. Также появляется вариант под названием "Сальвадор", что указывает на постоянную эволюцию тактики хакеров.
-----
В недавних отчетах о телеметрии была обнаружена новая вредоносная программа для Android, замаскированная под официальное приложение "PM KISAN YOJNA". Эта вредоносная программа работает как дроппер, способный размещать дополнительную полезную нагрузку, которая выполняет функции перехватчика, предназначенного для извлечения конфиденциальной информации пользователя. Примечательно, что вредоносная программа использует многоступенчатую технологию дроппинга, намеренно искаженную в своей конструкции, чтобы обойти традиционные меры безопасности. Это включает в себя успешный обход методов статического анализа и декомпиляции APK, используемых такими инструментами, как Apktool и Jadx, что усложняет процесс анализа для экспертов по кибербезопасности.
После установки вредоносная программа предлагает пользователям загрузить "обновление", которое запрашивает разрешения на установку VPN-соединения. Обоснование этого запроса заключается в том, что "PM KISAN YOJNA" необходимо настроить VPN для управления сетевым трафиком. Такая тактика, вероятно, служит злоумышленной цели - обеспечить возможность утечки данных. Если пользователи подтверждают это подключение, им предлагается разрешить установку из неизвестных источников, что облегчает дальнейшие действия вредоносного ПО. Впоследствии он подключается к серверам управления (C2) без ведома пользователя и имеет возможность получать доступ к этим серверам и отправлять на них SMS-сообщения. На момент проведения анализа указанный сервер C2 был отключен.
Новая разновидность этой вредоносной программы, получившая название "Salvador", также находится на подъеме, что указывает на то, что хакеры постоянно совершенствуют свои стратегии, чтобы имитировать законные приложения, избегать обнаружения и расширять возможности кражи данных. Чтобы снизить риски, связанные с такими сложными угрозами, пользователям настоятельно рекомендуется воздерживаться от загрузки приложений из неофициальных источников и следить за тем, чтобы их устройства регулярно обновлялись и исправлялись. Кроме того, использование надежных решений для обеспечения безопасности может помочь защититься от новых тактик, используемых киберпреступниками.
#ParsedReport #CompletenessHigh
05-06-2025
TTPs of Cyber Partisans activity aimed at espionage and disruption
https://ics-cert.kaspersky.com/publications/reports/2025/06/05/ttps-of-cyber-partisans-activity-aimed-at-espionage-and-disruption/
Report completeness: High
Actors/Campaigns:
Cyber_partisans (motivation: cyber_criminal, cyber_espionage, hacktivism)
It_army (motivation: hacktivism)
C0met (motivation: hacktivism)
Threats:
Dnscat2_tool
Vasilek
Pryanik
Byovd_technique
Zemana_tool
Credential_stealing_technique
Mimikatz_tool
Powersploit
Metasploit_tool
Remcom_tool
Psexec_tool
Trojan.win64.agent.qwkbkz
Trojan.win32.agentb.lnij
Trojan.win32.agent.gen
Trojan.win64.agent.qwkciw
Trojan.win32.agent.xbnfrj
Trojan.win32.agent.ildg
Trojan.win64.agentb.kyfw
Zapchast
Trojan.win64.agentb.kyfv
Trojan.win64.agent.qwkswp
Trojan.win32.agent.xbdvtb
Trojan.win32.agent.ildf
Kryptik
Trojan.win32.agentb.live
Trojan.win32.agentb.lnii
Trojan.win32.agentb.miyo
Victims:
Government agencies, Industrial enterprises, Fertilizer production plant
Industry:
Energy, Government, Ics
Geo:
Ukraine, Belarus, Russia, Ukrainian
CVEs:
CVE-2021-31728 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- malwarefox antimalware (2.74.0.150)
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1001, T1003.001, T1007, T1021.001, T1021.002, T1033, T1036.005, T1041, T1047, T1053.005, have more...
IOCs:
Path: 35
Registry: 3
File: 26
Command: 1
Domain: 12
Hash: 82
IP: 1
Soft:
Telegram, Windows service, Internet Explorer, elegram ch, egram chat, TightVNC, PSExec, Sysinternals, 3proxy
Algorithms:
salsa20, md5, ecdh, sha256
Functions:
getUpdates, Vasilek
Win API:
CreateProcessA
Languages:
powershell
Platforms:
x86, x64
Links:
have more...
05-06-2025
TTPs of Cyber Partisans activity aimed at espionage and disruption
https://ics-cert.kaspersky.com/publications/reports/2025/06/05/ttps-of-cyber-partisans-activity-aimed-at-espionage-and-disruption/
Report completeness: High
Actors/Campaigns:
Cyber_partisans (motivation: cyber_criminal, cyber_espionage, hacktivism)
It_army (motivation: hacktivism)
C0met (motivation: hacktivism)
Threats:
Dnscat2_tool
Vasilek
Pryanik
Byovd_technique
Zemana_tool
Credential_stealing_technique
Mimikatz_tool
Powersploit
Metasploit_tool
Remcom_tool
Psexec_tool
Trojan.win64.agent.qwkbkz
Trojan.win32.agentb.lnij
Trojan.win32.agent.gen
Trojan.win64.agent.qwkciw
Trojan.win32.agent.xbnfrj
Trojan.win32.agent.ildg
Trojan.win64.agentb.kyfw
Zapchast
Trojan.win64.agentb.kyfv
Trojan.win64.agent.qwkswp
Trojan.win32.agent.xbdvtb
Trojan.win32.agent.ildf
Kryptik
Trojan.win32.agentb.live
Trojan.win32.agentb.lnii
Trojan.win32.agentb.miyo
Victims:
Government agencies, Industrial enterprises, Fertilizer production plant
Industry:
Energy, Government, Ics
Geo:
Ukraine, Belarus, Russia, Ukrainian
CVEs:
CVE-2021-31728 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- malwarefox antimalware (2.74.0.150)
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1001, T1003.001, T1007, T1021.001, T1021.002, T1033, T1036.005, T1041, T1047, T1053.005, have more...
IOCs:
Path: 35
Registry: 3
File: 26
Command: 1
Domain: 12
Hash: 82
IP: 1
Soft:
Telegram, Windows service, Internet Explorer, elegram ch, egram chat, TightVNC, PSExec, Sysinternals, 3proxy
Algorithms:
salsa20, md5, ecdh, sha256
Functions:
getUpdates, Vasilek
Win API:
CreateProcessA
Languages:
powershell
Platforms:
x86, x64
Links:
https://ics-cert.kaspersky.com/away?url=https%3A%2F%2Fgithub.com%2F3proxy%2F3proxy%2Freleases&hs=6f4922f45568161a8cdf4ad2299f6d23https://ics-cert.kaspersky.com/away?url=https%3A%2F%2Fgithub.com%2Fiagox86%2Fdnscat2&hs=6f4922f45568161a8cdf4ad2299f6d23https://ics-cert.kaspersky.com/away?url=https%3A%2F%2Fgithub.com%2Frsmudge%2Fvncdll&hs=6f4922f45568161a8cdf4ad2299f6d23have more...
Kaspersky ICS CERT | Kaspersky Industrial Control Systems Cyber Emergency Response Team
TTPs of Cyber Partisans activity aimed at espionage and disruption | Kaspersky ICS CERT
Kaspersky ICS CERT experts managed to find and analyze the malware and utilities most probably used by the actors. The key finding was a previously unknown backdoor.
CTT Report Hub
#ParsedReport #CompletenessHigh 05-06-2025 TTPs of Cyber Partisans activity aimed at espionage and disruption https://ics-cert.kaspersky.com/publications/reports/2025/06/05/ttps-of-cyber-partisans-activity-aimed-at-espionage-and-disruption/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Киберпартизаны атакуют российские и белорусские правительственные и промышленные предприятия, используя новый бэкдор под названием Vasilek, который взаимодействует через Telegram вместо традиционных C& C серверов. Они используют методы фишинга с помощью таких инструментов, как DNSCat2 для удаленного доступа и бокового перемещения, а также используют вредоносное ПО Pryanik, которое использует уязвимость Zemana для удаления журналов. Их сложный подход включает в себя сбор учетных данных с помощью Mimikatz и скрытное выполнение полезной нагрузки, что затрудняет обнаружение и указывает на меняющийся ландшафт угроз в политически чувствительных областях.
-----
Хакерская группа Cyber Partisans атакует правительственные учреждения и промышленные предприятия в России и Беларуси. Они внедрили бэкдор под названием Vasilek, который взаимодействует через специальную группу в Telegram вместо традиционных C&C серверов. Переносчиками заражения являются фишинговые электронные письма, выдающие себя за законных установщиков программного обеспечения, таких как FortiClient VPN, который устанавливает утилиту под названием DNSCat2. DNSCat2 позволяет осуществлять удаленное управление с помощью обфускации сети по протоколу DNS, минуя стандартные меры сетевой безопасности. После выполнения DNSCat2 распаковывается в системном каталоге с использованием уникального ключа дешифрования, полученного из имени хоста скомпрометированной системы, и использует усовершенствованный обфускатор для сохранения полезной нагрузки в зашифрованном виде до выполнения. Группа также использует вредоносную программу-очиститель под названием Pryanik, которая представляет собой логическую бомбу замедленного действия, использующую уязвимость (CVE-2021-31728) в Zemana Anti-Malware для получения повышенных привилегий, завершения процессов обеспечения безопасности и удаления журналов событий перед выполнением процедур перезаписи данных. Для обеспечения широкого доступа используются инструменты сбора учетных данных, такие как Mimikatz, которые используют передовые технологии для выполнения полезной нагрузки в памяти, минуя обнаружение диска. Они используют инструменты удаленного управления и прокси-серверы для управления, сохраняя анонимность. Vasilek усложняет обнаружение, поскольку запускается только в системах определенных жертв и проверяет имена хостов на наличие хэшей, чтобы избежать аварийных сигналов. Злоумышленники поддерживают постоянство с помощью нескольких инструментов доступа на уровне администратора и продвинутых утилит туннелирования, таких как GOST и 3proxy, для маскировки сетевого трафика.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Киберпартизаны атакуют российские и белорусские правительственные и промышленные предприятия, используя новый бэкдор под названием Vasilek, который взаимодействует через Telegram вместо традиционных C& C серверов. Они используют методы фишинга с помощью таких инструментов, как DNSCat2 для удаленного доступа и бокового перемещения, а также используют вредоносное ПО Pryanik, которое использует уязвимость Zemana для удаления журналов. Их сложный подход включает в себя сбор учетных данных с помощью Mimikatz и скрытное выполнение полезной нагрузки, что затрудняет обнаружение и указывает на меняющийся ландшафт угроз в политически чувствительных областях.
-----
Хакерская группа Cyber Partisans атакует правительственные учреждения и промышленные предприятия в России и Беларуси. Они внедрили бэкдор под названием Vasilek, который взаимодействует через специальную группу в Telegram вместо традиционных C&C серверов. Переносчиками заражения являются фишинговые электронные письма, выдающие себя за законных установщиков программного обеспечения, таких как FortiClient VPN, который устанавливает утилиту под названием DNSCat2. DNSCat2 позволяет осуществлять удаленное управление с помощью обфускации сети по протоколу DNS, минуя стандартные меры сетевой безопасности. После выполнения DNSCat2 распаковывается в системном каталоге с использованием уникального ключа дешифрования, полученного из имени хоста скомпрометированной системы, и использует усовершенствованный обфускатор для сохранения полезной нагрузки в зашифрованном виде до выполнения. Группа также использует вредоносную программу-очиститель под названием Pryanik, которая представляет собой логическую бомбу замедленного действия, использующую уязвимость (CVE-2021-31728) в Zemana Anti-Malware для получения повышенных привилегий, завершения процессов обеспечения безопасности и удаления журналов событий перед выполнением процедур перезаписи данных. Для обеспечения широкого доступа используются инструменты сбора учетных данных, такие как Mimikatz, которые используют передовые технологии для выполнения полезной нагрузки в памяти, минуя обнаружение диска. Они используют инструменты удаленного управления и прокси-серверы для управления, сохраняя анонимность. Vasilek усложняет обнаружение, поскольку запускается только в системах определенных жертв и проверяет имена хостов на наличие хэшей, чтобы избежать аварийных сигналов. Злоумышленники поддерживают постоянство с помощью нескольких инструментов доступа на уровне администратора и продвинутых утилит туннелирования, таких как GOST и 3proxy, для маскировки сетевого трафика.