CTT Report Hub
#ParsedReport #CompletenessLow 08-06-2025 Cobalt on the weekends https://intelinsights.substack.com/p/cobalt-on-the-weekends Report completeness: Low Threats: Cobalt_strike_tool Geo: Chinese ChatGPT TTPs: do not use without manual check T1036, T1071…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавний анализ позволил внедрить новые индикаторы компрометации (IOCs) для улучшения обнаружения Cobalt Strike, инструмента, которым злоупотребляют хакеры. Метод JARM в сочетании со специфическими HTTP-заголовками помогает идентифицировать уникальные сигнатуры, связанные с Cobalt Strike.
-----
Недавние исследования Cobalt Strike hunting выявили новые индикаторы компрометации (IOCs), которые могут расширить возможности обнаружения. Уточняя и обновляя существующие правила поиска, аналитики могут лучше выявлять случаи использования Cobalt Strike, широко используемого инструмента тестирования на проникновение, который также использовался хакерами в злонамеренных целях.
Одним из ключевых методов, использованных в ходе этого анализа, было применение JARM, которое позволяет эффективно обнаруживать уникальные сигнатуры. В сочетании с ранее идентифицированными HTTP-заголовками, связанными с Cobalt Strike, метод JARM предлагает многообещающий способ обнаружения дополнительных экземпляров инструмента в различных средах. Совместное использование IOCs и JARM означает проактивный подход к поиску угроз, позволяющий использовать новые данные для усиления защиты от потенциальных атак злоумышленников, использующих Cobalt Strike в неблаговидных целях.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавний анализ позволил внедрить новые индикаторы компрометации (IOCs) для улучшения обнаружения Cobalt Strike, инструмента, которым злоупотребляют хакеры. Метод JARM в сочетании со специфическими HTTP-заголовками помогает идентифицировать уникальные сигнатуры, связанные с Cobalt Strike.
-----
Недавние исследования Cobalt Strike hunting выявили новые индикаторы компрометации (IOCs), которые могут расширить возможности обнаружения. Уточняя и обновляя существующие правила поиска, аналитики могут лучше выявлять случаи использования Cobalt Strike, широко используемого инструмента тестирования на проникновение, который также использовался хакерами в злонамеренных целях.
Одним из ключевых методов, использованных в ходе этого анализа, было применение JARM, которое позволяет эффективно обнаруживать уникальные сигнатуры. В сочетании с ранее идентифицированными HTTP-заголовками, связанными с Cobalt Strike, метод JARM предлагает многообещающий способ обнаружения дополнительных экземпляров инструмента в различных средах. Совместное использование IOCs и JARM означает проактивный подход к поиску угроз, позволяющий использовать новые данные для усиления защиты от потенциальных атак злоумышленников, использующих Cobalt Strike в неблаговидных целях.
#ParsedReport #CompletenessHigh
09-06-2025
Analysis of the Triple Combo Threat of the Kimsuky Group
https://www.genians.co.kr/en/blog/threat_intelligence/triple-combo?hsCtaAttrib=190648287073
Report completeness: High
Actors/Campaigns:
Kimsuky
Threats:
Spear-phishing_technique
Appleseed
Babyshark
Randomquery
Flowerpower
Gold_dragon
Vmprotect_tool
Victims:
Defense industry, Military, Vaccine manufacturers, Cryptocurrency exchanges, North korea-related activists, North korea defector volunteers, Korea air force academy graduates, Korea naval academy graduates
Industry:
Maritime, Military
Geo:
Korea, Usa, North korean, Korean, North korea
ChatGPT TTPs:
T1005, T1027, T1036.005, T1041, T1059.001, T1059.005, T1071.001, T1140, T1218.010, T1497.001, have more...
IOCs:
File: 9
Domain: 13
Path: 6
Registry: 2
Hash: 24
Soft:
Slack, Instagram, Telegram
Algorithms:
base64, zip, md5, xor, rc4
Win API:
DllInstall, CreateProcessW, CreatePipe, OpenProcessToken, GetTokenInformation, CryptGenRandom, CryptDeriveKey, CryptImportKey, GetTickCount, InternetReadFile, have more...
Languages:
powershell, jscript, swift
09-06-2025
Analysis of the Triple Combo Threat of the Kimsuky Group
https://www.genians.co.kr/en/blog/threat_intelligence/triple-combo?hsCtaAttrib=190648287073
Report completeness: High
Actors/Campaigns:
Kimsuky
Threats:
Spear-phishing_technique
Appleseed
Babyshark
Randomquery
Flowerpower
Gold_dragon
Vmprotect_tool
Victims:
Defense industry, Military, Vaccine manufacturers, Cryptocurrency exchanges, North korea-related activists, North korea defector volunteers, Korea air force academy graduates, Korea naval academy graduates
Industry:
Maritime, Military
Geo:
Korea, Usa, North korean, Korean, North korea
ChatGPT TTPs:
do not use without manual checkT1005, T1027, T1036.005, T1041, T1059.001, T1059.005, T1071.001, T1140, T1218.010, T1497.001, have more...
IOCs:
File: 9
Domain: 13
Path: 6
Registry: 2
Hash: 24
Soft:
Slack, Instagram, Telegram
Algorithms:
base64, zip, md5, xor, rc4
Win API:
DllInstall, CreateProcessW, CreatePipe, OpenProcessToken, GetTokenInformation, CryptGenRandom, CryptDeriveKey, CryptImportKey, GetTickCount, InternetReadFile, have more...
Languages:
powershell, jscript, swift
www.genians.co.kr
Analysis of the Triple Combo Threat of the Kimsuky Group
Kimsuki Group conducted APT attacks via Facebook, email, and Telegram in the AppleSeed campaign, distributing malware mainly in EGG ALZIP file format.
CTT Report Hub
#ParsedReport #CompletenessHigh 09-06-2025 Analysis of the Triple Combo Threat of the Kimsuky Group https://www.genians.co.kr/en/blog/threat_intelligence/triple-combo?hsCtaAttrib=190648287073 Report completeness: High Actors/Campaigns: Kimsuky Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Kimsuky, связанная с Северной Кореей, использует мультиплатформенную стратегию APT для отслеживания лиц, связанных с Северной Кореей, используя фишинг-атаки через Facebook, электронную почту и Telegram. Их вредоносное ПО, замаскированное в защищенных паролем архивах EGG, содержит запутанные файлы JScript, которые создают ложные документы во время выполнения вредоносных действий и взаимодействуют с сервером C2 для утечки данных.
-----
Хакерская группа Kimsuky, спонсируемая государством хакерская организация, связанная с Северной Кореей, реализует сложную трехэтапную стратегию проникновения через Facebook, электронную почту и Telegram. В период с марта по апрель 2025 года компания Kimsuky запустила кампанию APT (АПТ), направленную против лиц, причастных к деятельности, связанной с Северной Кореей. Злоумышленники использовали аккаунты в Facebook, выдавая себя за благотворителей или лиц, занимающихся научными исследованиями, для установления контактов с целями, постепенно заставляя их загружать вредоносные файлы, замаскированные под документы, связанные с волонтерской деятельностью северокорейских перебежчиков.
Вредоносные файлы часто доставлялись в виде защищенных паролем архивов EGG, в которых использовались специальные корейские сжатые форматы, позволяющие избежать обнаружения средствами защиты на основе сигнатур. Для привлечения пользователей к работе с вредоносным контентом применялась тактика скрытого фишинга, при этом злоумышленники отдавали предпочтение вложениям электронной почты, для распаковки которых требовались специальные инструменты. Такой подход препятствовал доступу с мобильных устройств, поскольку вредоносное ПО было разработано для работы в среде Windows. Кампания под названием "AppleSeed", ранее ассоциировавшаяся с Kimsuky, постоянно нацелена на такие отрасли, как оборона, вооруженные силы и производители вакцин.
Ключевым компонентом вредоносной программы является расширение файла JSE, в котором содержится замаскированный файл JScript, выполняемый под управлением Microsoft Windows Script Host. При запуске эти файлы создают ложный документ и одновременно генерируют вредоносный DLL-файл, который выполняет реальные вредоносные действия. Библиотека DLL, защищенная VMProtect для предотвращения обратного проектирования, выполняет различные вредоносные функции, включая автоматическую загрузку самой себя при запуске системы с помощью манипуляций с реестром. Он взаимодействует с сервером управления (C2) с помощью структурированных HTTP-запросов, обеспечивая непрерывное выполнение команд и фильтрацию данных.
Тактика Kimsuky демонстрирует скоординированное использование нескольких платформ для целенаправленных атак и эволюцию их методов, о чем свидетельствуют последовательные схемы использования вредоносных скриптов в различных инцидентах. Активные усилия Genians по выявлению и мониторингу, использующие технологию EDR и машинное обучение, подчеркивают постоянные риски, связанные с такими активными кампаниями. В целом, подход Kimsuky является примером сочетания социальной инженерии, изощренного вредоносного ПО и интеграции стратегической платформы, направленной на проникновение в определенные группы, что подчеркивает важность передовых мер по обнаружению угроз для снижения этих рисков.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Kimsuky, связанная с Северной Кореей, использует мультиплатформенную стратегию APT для отслеживания лиц, связанных с Северной Кореей, используя фишинг-атаки через Facebook, электронную почту и Telegram. Их вредоносное ПО, замаскированное в защищенных паролем архивах EGG, содержит запутанные файлы JScript, которые создают ложные документы во время выполнения вредоносных действий и взаимодействуют с сервером C2 для утечки данных.
-----
Хакерская группа Kimsuky, спонсируемая государством хакерская организация, связанная с Северной Кореей, реализует сложную трехэтапную стратегию проникновения через Facebook, электронную почту и Telegram. В период с марта по апрель 2025 года компания Kimsuky запустила кампанию APT (АПТ), направленную против лиц, причастных к деятельности, связанной с Северной Кореей. Злоумышленники использовали аккаунты в Facebook, выдавая себя за благотворителей или лиц, занимающихся научными исследованиями, для установления контактов с целями, постепенно заставляя их загружать вредоносные файлы, замаскированные под документы, связанные с волонтерской деятельностью северокорейских перебежчиков.
Вредоносные файлы часто доставлялись в виде защищенных паролем архивов EGG, в которых использовались специальные корейские сжатые форматы, позволяющие избежать обнаружения средствами защиты на основе сигнатур. Для привлечения пользователей к работе с вредоносным контентом применялась тактика скрытого фишинга, при этом злоумышленники отдавали предпочтение вложениям электронной почты, для распаковки которых требовались специальные инструменты. Такой подход препятствовал доступу с мобильных устройств, поскольку вредоносное ПО было разработано для работы в среде Windows. Кампания под названием "AppleSeed", ранее ассоциировавшаяся с Kimsuky, постоянно нацелена на такие отрасли, как оборона, вооруженные силы и производители вакцин.
Ключевым компонентом вредоносной программы является расширение файла JSE, в котором содержится замаскированный файл JScript, выполняемый под управлением Microsoft Windows Script Host. При запуске эти файлы создают ложный документ и одновременно генерируют вредоносный DLL-файл, который выполняет реальные вредоносные действия. Библиотека DLL, защищенная VMProtect для предотвращения обратного проектирования, выполняет различные вредоносные функции, включая автоматическую загрузку самой себя при запуске системы с помощью манипуляций с реестром. Он взаимодействует с сервером управления (C2) с помощью структурированных HTTP-запросов, обеспечивая непрерывное выполнение команд и фильтрацию данных.
Тактика Kimsuky демонстрирует скоординированное использование нескольких платформ для целенаправленных атак и эволюцию их методов, о чем свидетельствуют последовательные схемы использования вредоносных скриптов в различных инцидентах. Активные усилия Genians по выявлению и мониторингу, использующие технологию EDR и машинное обучение, подчеркивают постоянные риски, связанные с такими активными кампаниями. В целом, подход Kimsuky является примером сочетания социальной инженерии, изощренного вредоносного ПО и интеграции стратегической платформы, направленной на проникновение в определенные группы, что подчеркивает важность передовых мер по обнаружению угроз для снижения этих рисков.
#ParsedReport #CompletenessHigh
09-06-2025
Follow the Smoke \| China-nexus Threat Actors Hammer At the Doors of Top Tier Targets
https://www.sentinelone.com/labs/follow-the-smoke-china-nexus-threat-actors-hammer-at-the-doors-of-top-tier-targets/
Report completeness: High
Actors/Campaigns:
Purplehaze (motivation: cyber_espionage)
Playful_taurus (motivation: cyber_espionage)
Unc5174 (motivation: cyber_espionage)
Winnti
Mysterious_elephant
Threats:
Smokeloader
Shadowpad
Scatterbrain_tool
Nailaolocker
Goreshell
Goreverse
Nimbo-c2
Dll_hijacking_technique
Garble_tool
Timestomp_technique
Victims:
Sentinelone, It services and logistics company, South asian government entity, European media organization, Over 70 organizations
Industry:
Logistic, Government, Telco, Financial
Geo:
Asian, Chinese, Asia, Middle east, Iran, French, China
CVEs:
CVE-2024-8963 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (4.6)
CVE-2023-46747 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- f5 big-ip access policy manager (le13.1.5, le14.1.5, le15.1.10, le16.1.4, le17.1.1)
CVE-2024-1709 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- connectwise screenconnect (<23.9.8)
CVE-2024-8190 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti cloud services appliance (4.6)
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1005, T1027, T1033, T1036.005, T1059.001, T1070.001, T1070.006, T1071.001, T1078, T1105, have more...
IOCs:
File: 11
Path: 4
Url: 1
Domain: 13
IP: 8
Coin: 1
Hash: 13
Soft:
ORB networks, ORB network, curl, Windows service, OPENSSH, Linux, Windows Telephony Server, sudo, Ivanti
Algorithms:
base64, sha1, exhibit
Win Services:
VGAuthService
Languages:
php, powershell
Links:
have more...
09-06-2025
Follow the Smoke \| China-nexus Threat Actors Hammer At the Doors of Top Tier Targets
https://www.sentinelone.com/labs/follow-the-smoke-china-nexus-threat-actors-hammer-at-the-doors-of-top-tier-targets/
Report completeness: High
Actors/Campaigns:
Purplehaze (motivation: cyber_espionage)
Playful_taurus (motivation: cyber_espionage)
Unc5174 (motivation: cyber_espionage)
Winnti
Mysterious_elephant
Threats:
Smokeloader
Shadowpad
Scatterbrain_tool
Nailaolocker
Goreshell
Goreverse
Nimbo-c2
Dll_hijacking_technique
Garble_tool
Timestomp_technique
Victims:
Sentinelone, It services and logistics company, South asian government entity, European media organization, Over 70 organizations
Industry:
Logistic, Government, Telco, Financial
Geo:
Asian, Chinese, Asia, Middle east, Iran, French, China
CVEs:
CVE-2024-8963 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (4.6)
CVE-2023-46747 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- f5 big-ip access policy manager (le13.1.5, le14.1.5, le15.1.10, le16.1.4, le17.1.1)
CVE-2024-1709 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- connectwise screenconnect (<23.9.8)
CVE-2024-8190 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti cloud services appliance (4.6)
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1027, T1033, T1036.005, T1059.001, T1070.001, T1070.006, T1071.001, T1078, T1105, have more...
IOCs:
File: 11
Path: 4
Url: 1
Domain: 13
IP: 8
Coin: 1
Hash: 13
Soft:
ORB networks, ORB network, curl, Windows service, OPENSSH, Linux, Windows Telephony Server, sudo, Ivanti
Algorithms:
base64, sha1, exhibit
Win Services:
VGAuthService
Languages:
php, powershell
Links:
https://github.com/burrowers/garblehttps://github.com/NHAS/reverse\_sshhave more...
https://github.com/itaymigdal/Nimbo-C2SentinelOne
Follow the Smoke | China-nexus Threat Actors Hammer At the Doors of Top Tier Targets
This report uncovers a set of related threat clusters linked to PurpleHaze and ShadowPad operators targeting organizations, including cybersecurity vendors.
CTT Report Hub
#ParsedReport #CompletenessHigh 09-06-2025 Follow the Smoke \| China-nexus Threat Actors Hammer At the Doors of Top Tier Targets https://www.sentinelone.com/labs/follow-the-smoke-china-nexus-threat-actors-hammer-at-the-doors-of-top-tier-targets/ Report…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Китайские хакеры из кластеров PurpleHaze и ShadowPad осуществляли кибератаки, используя вредоносное ПО ShadowPad с передовыми методами обфускации и нацеливаясь на различные сектора и организации. Они воспользовались уязвимостями (CVE-2024-8963, CVE-2024-8190), используя такие инструменты, как AppSov.exe и GOREshell, для утечки данных и обхода C2, что указывает на сложную оперативную тактику.
-----
Во второй половине 2024 года и в начале 2025 года SentinelLabs сообщала о многочисленных совместных хакерских действиях, приписываемых китайским хакерам в кластерах PurpleHaze и ShadowPad. Эти действия включали в себя разведку и попытки проникновения в организации, в том числе в SentinelOne и фирму, предоставляющую ИТ-услуги, отвечающую за материально-техническое обеспечение сотрудников SentinelOne. Примечательно, что злоумышленникам не удалось взломать системы SentinelOne.
Вредоносная программа ShadowPad, модульный бэкдор, который часто ассоциируется с китайским кибершпионажем, была использована при атаках на правительственное учреждение Южной Азии в июне 2024 года. Вредоносная программа использовала метод обфускации, известный как ScatterBrain, и артефакты выявили более широкую кампанию, нацеленную на широкий спектр секторов, затронувшую более 70 организаций по всему миру в период с июля 2024 по март 2025 года. Считается, что первоначальный вектор доступа для этих вторжений связан с использованием сетевых устройств, таких как шлюзы Check Point.
В исследовании также освещаются методы, тактики и процедуры (TTP), используемые злоумышленниками. Например, вредоносное программное обеспечение AppSov.exe было запущено с помощью команды PowerShell, которая включала загрузку и запуск полезной нагрузки с последующей перезагрузкой системы. После заражения он удалил конфиденциальные данные из скомпрометированных систем и использовал DNS через HTTPS, чтобы скрыть свои коммуникации командования и контроля (C2), что свидетельствует о сложном уровне уклонения.
Дополнительные инциденты включали развертывание бэкдоров GOREshell, которые были установлены с использованием методов перехвата библиотек DLL в законных службах, что позволяло выполнять команды удаленно. Каждый шаг в последовательности атаки указывал на тщательный подход к обфускации и удалению доказательств, например, использование манипуляций с метками времени для вредоносных исполняемых файлов и развертывание средств удаления журналов.
Данные разведки также свидетельствуют о том, что число атак на поставщиков услуг кибербезопасности растет, и китайские хакеры сосредоточивают свои усилия на компаниях, которые управляют критически важной инфраструктурой безопасности. Используемые уязвимости, в частности CVE-2024-8963 и CVE-2024-8190, были использованы для получения доступа до публичного раскрытия, что подчеркивает своевременность и серьезность таких угроз.
С помощью этого анализа SentinelLabs стремится повысить осведомленность об уязвимостях, с которыми сталкиваются компании, занимающиеся кибербезопасностью, и выступает за улучшение сотрудничества в отрасли и повышение прозрачности. По мере развития хакерских атак сохраняется значительная потребность в постоянной бдительности и обмене разведывательной информацией, чтобы лучше снизить будущие риски, связанные с постоянными противниками со стороны национальных государств.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Китайские хакеры из кластеров PurpleHaze и ShadowPad осуществляли кибератаки, используя вредоносное ПО ShadowPad с передовыми методами обфускации и нацеливаясь на различные сектора и организации. Они воспользовались уязвимостями (CVE-2024-8963, CVE-2024-8190), используя такие инструменты, как AppSov.exe и GOREshell, для утечки данных и обхода C2, что указывает на сложную оперативную тактику.
-----
Во второй половине 2024 года и в начале 2025 года SentinelLabs сообщала о многочисленных совместных хакерских действиях, приписываемых китайским хакерам в кластерах PurpleHaze и ShadowPad. Эти действия включали в себя разведку и попытки проникновения в организации, в том числе в SentinelOne и фирму, предоставляющую ИТ-услуги, отвечающую за материально-техническое обеспечение сотрудников SentinelOne. Примечательно, что злоумышленникам не удалось взломать системы SentinelOne.
Вредоносная программа ShadowPad, модульный бэкдор, который часто ассоциируется с китайским кибершпионажем, была использована при атаках на правительственное учреждение Южной Азии в июне 2024 года. Вредоносная программа использовала метод обфускации, известный как ScatterBrain, и артефакты выявили более широкую кампанию, нацеленную на широкий спектр секторов, затронувшую более 70 организаций по всему миру в период с июля 2024 по март 2025 года. Считается, что первоначальный вектор доступа для этих вторжений связан с использованием сетевых устройств, таких как шлюзы Check Point.
В исследовании также освещаются методы, тактики и процедуры (TTP), используемые злоумышленниками. Например, вредоносное программное обеспечение AppSov.exe было запущено с помощью команды PowerShell, которая включала загрузку и запуск полезной нагрузки с последующей перезагрузкой системы. После заражения он удалил конфиденциальные данные из скомпрометированных систем и использовал DNS через HTTPS, чтобы скрыть свои коммуникации командования и контроля (C2), что свидетельствует о сложном уровне уклонения.
Дополнительные инциденты включали развертывание бэкдоров GOREshell, которые были установлены с использованием методов перехвата библиотек DLL в законных службах, что позволяло выполнять команды удаленно. Каждый шаг в последовательности атаки указывал на тщательный подход к обфускации и удалению доказательств, например, использование манипуляций с метками времени для вредоносных исполняемых файлов и развертывание средств удаления журналов.
Данные разведки также свидетельствуют о том, что число атак на поставщиков услуг кибербезопасности растет, и китайские хакеры сосредоточивают свои усилия на компаниях, которые управляют критически важной инфраструктурой безопасности. Используемые уязвимости, в частности CVE-2024-8963 и CVE-2024-8190, были использованы для получения доступа до публичного раскрытия, что подчеркивает своевременность и серьезность таких угроз.
С помощью этого анализа SentinelLabs стремится повысить осведомленность об уязвимостях, с которыми сталкиваются компании, занимающиеся кибербезопасностью, и выступает за улучшение сотрудничества в отрасли и повышение прозрачности. По мере развития хакерских атак сохраняется значительная потребность в постоянной бдительности и обмене разведывательной информацией, чтобы лучше снизить будущие риски, связанные с постоянными противниками со стороны национальных государств.
#ParsedReport #CompletenessHigh
09-06-2025
Sleep with one eye open: how Librarian Ghouls steal data by night
https://securelist.com/librarian-ghouls-apt-wakes-up-computers-to-steal-data-and-mine-crypto/116536/
Report completeness: High
Actors/Campaigns:
Librarian_ghouls (motivation: hacktivism, information_theft)
Sticky_werewolf
Threats:
Xmrig_miner
Anydesk_tool
Defendercontrol_tool
Mipko_tool
Passview_tool
Ngrok_tool
Nircmd_tool
Spear-phishing_technique
Victims:
Russian companies, Industrial enterprises, Engineering schools, Russian users, Users in belarus, Users in kazakhstan
Geo:
Russian, Belarus, Russia, Kazakhstan
TTPs:
ChatGPT TTPs:
T1005, T1027, T1059.001, T1059.003, T1070.004, T1071.001, T1078.004, T1086, T1090.001, T1105, have more...
IOCs:
File: 21
Domain: 25
Path: 1
Registry: 2
Url: 2
IP: 1
Hash: 32
Soft:
curl, Windows Defender, Task Scheduler, Microsoft Edge
Crypto:
bitcoin, ethereum
Algorithms:
exhibit
Functions:
TaskSettings, TaskName
Languages:
php, powershell
Platforms:
x86, intel
09-06-2025
Sleep with one eye open: how Librarian Ghouls steal data by night
https://securelist.com/librarian-ghouls-apt-wakes-up-computers-to-steal-data-and-mine-crypto/116536/
Report completeness: High
Actors/Campaigns:
Librarian_ghouls (motivation: hacktivism, information_theft)
Sticky_werewolf
Threats:
Xmrig_miner
Anydesk_tool
Defendercontrol_tool
Mipko_tool
Passview_tool
Ngrok_tool
Nircmd_tool
Spear-phishing_technique
Victims:
Russian companies, Industrial enterprises, Engineering schools, Russian users, Users in belarus, Users in kazakhstan
Geo:
Russian, Belarus, Russia, Kazakhstan
TTPs:
ChatGPT TTPs:
do not use without manual checkT1005, T1027, T1059.001, T1059.003, T1070.004, T1071.001, T1078.004, T1086, T1090.001, T1105, have more...
IOCs:
File: 21
Domain: 25
Path: 1
Registry: 2
Url: 2
IP: 1
Hash: 32
Soft:
curl, Windows Defender, Task Scheduler, Microsoft Edge
Crypto:
bitcoin, ethereum
Algorithms:
exhibit
Functions:
TaskSettings, TaskName
Languages:
php, powershell
Platforms:
x86, intel
Securelist
Librarian Ghouls carry out attacks with data theft and crypto miner deployment
According to Kaspersky, Librarian Ghouls APT continues its series of attacks on Russian entities. A detailed analysis of a malicious campaign utilizing RAR archives and BAT scripts.
CTT Report Hub
#ParsedReport #CompletenessHigh 09-06-2025 Sleep with one eye open: how Librarian Ghouls steal data by night https://securelist.com/librarian-ghouls-apt-wakes-up-computers-to-steal-data-and-mine-crypto/116536/ Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Librarian Ghouls, группа APT, действовавшая до мая 2025 года, нацелена на российские организации, использующие фишинговые электронные письма для развертывания сценариев PowerShell и командных файлов. Их тактика включает удаленный доступ, кражу учетных данных и использование законного программного обеспечения во вредоносных целях, демонстрируя адаптивность и постоянное совершенствование своей деятельности.
-----
Librarian Ghouls, также известные как Rare Werewolf или Rezet, - это группа APT, которая нацелена на организации в России и странах СНГ. Действуя до мая 2025 года, эта группа проявляла постоянную активность против российских компаний, используя в своих атаках законное стороннее программное обеспечение вместо разработки пользовательских вредоносных программ. Стратегия атаки включает в себя развертывание командных файлов и сценариев PowerShell для достижения различных вредоносных целей, таких как установление удаленного доступа, кража учетных данных и установка криптомайнера XMRig.
Злоумышленники в первую очередь используют фишинговые электронные письма в качестве источника заражения, которые обычно содержат архивы, защищенные паролем. Эти архивы маскируют вредоносные исполняемые файлы под официальные документы. Когда жертвы извлекают и запускают эти файлы, они инициируют ряд шагов, которые устанавливают удаленную связь с серверами командования и контроля (C2) злоумышленников.
Одна из наблюдаемых тактик предполагает использование самораспаковывающегося установщика, созданного с помощью Smart Install Maker. Установщик запускает командный файл, который загружает с сервера C2 несколько вредоносных утилит, включая модифицированную версию WinRAR для выполнения команд без подсказок пользователя, Blat для отправки украденных данных по электронной почте, AnyDesk для удаленного доступа и Defender Control для отключения защитника Windows. После установки злоумышленники устанавливают пароль для AnyDesk, чтобы обеспечить неконтролируемый удаленный доступ. Скрипты запускают запланированную задачу, которая ежедневно открывает Microsoft Edge, предоставляя злоумышленникам возможность использовать систему в своих целях.
Дополнительные инструменты в арсенале злоумышленника включают систему предотвращения потери данных (DLP) для мониторинга и ведения кейлоггинга, утилиту для восстановления пароля для извлечения сохраненных в браузере учетных данных и ngrok для туннелирования на целевые компьютеры, что свидетельствует о предпочтении группы использовать законное программное обеспечение для вредоносных целей.
Со временем группа продемонстрировала гибкость в своей тактике, часто обновляя конфигурации вредоносных программ и пакеты утилит с конца 2024 года. Их фишинговые кампании специально разработаны на русском языке и нацелены как на русскоязычных пользователей, так и на организации, чтобы облегчить сбор учетных данных и эксфильтрацию.
Инфраструктура, поддерживающая библиотечных гулей, включает домены, связанные с их кампаниями, такие как downdown.ru и dragonfires.ru, которые продемонстрировали активные функции управления. Постоянное совершенствование и выполнение сложных операций этой APT group свидетельствует об их стремлении поставить под угрозу промышленные предприятия и образовательные учреждения по всей России, Беларуси и Казахстану. Постоянный и эволюционирующий характер их атак требует тщательного мониторинга и анализа, поскольку они демонстрируют черты, обычно присущие группам хактивистов, но при этом сохраняют четкую оперативную направленность на шпионаж и финансовую выгоду.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Librarian Ghouls, группа APT, действовавшая до мая 2025 года, нацелена на российские организации, использующие фишинговые электронные письма для развертывания сценариев PowerShell и командных файлов. Их тактика включает удаленный доступ, кражу учетных данных и использование законного программного обеспечения во вредоносных целях, демонстрируя адаптивность и постоянное совершенствование своей деятельности.
-----
Librarian Ghouls, также известные как Rare Werewolf или Rezet, - это группа APT, которая нацелена на организации в России и странах СНГ. Действуя до мая 2025 года, эта группа проявляла постоянную активность против российских компаний, используя в своих атаках законное стороннее программное обеспечение вместо разработки пользовательских вредоносных программ. Стратегия атаки включает в себя развертывание командных файлов и сценариев PowerShell для достижения различных вредоносных целей, таких как установление удаленного доступа, кража учетных данных и установка криптомайнера XMRig.
Злоумышленники в первую очередь используют фишинговые электронные письма в качестве источника заражения, которые обычно содержат архивы, защищенные паролем. Эти архивы маскируют вредоносные исполняемые файлы под официальные документы. Когда жертвы извлекают и запускают эти файлы, они инициируют ряд шагов, которые устанавливают удаленную связь с серверами командования и контроля (C2) злоумышленников.
Одна из наблюдаемых тактик предполагает использование самораспаковывающегося установщика, созданного с помощью Smart Install Maker. Установщик запускает командный файл, который загружает с сервера C2 несколько вредоносных утилит, включая модифицированную версию WinRAR для выполнения команд без подсказок пользователя, Blat для отправки украденных данных по электронной почте, AnyDesk для удаленного доступа и Defender Control для отключения защитника Windows. После установки злоумышленники устанавливают пароль для AnyDesk, чтобы обеспечить неконтролируемый удаленный доступ. Скрипты запускают запланированную задачу, которая ежедневно открывает Microsoft Edge, предоставляя злоумышленникам возможность использовать систему в своих целях.
Дополнительные инструменты в арсенале злоумышленника включают систему предотвращения потери данных (DLP) для мониторинга и ведения кейлоггинга, утилиту для восстановления пароля для извлечения сохраненных в браузере учетных данных и ngrok для туннелирования на целевые компьютеры, что свидетельствует о предпочтении группы использовать законное программное обеспечение для вредоносных целей.
Со временем группа продемонстрировала гибкость в своей тактике, часто обновляя конфигурации вредоносных программ и пакеты утилит с конца 2024 года. Их фишинговые кампании специально разработаны на русском языке и нацелены как на русскоязычных пользователей, так и на организации, чтобы облегчить сбор учетных данных и эксфильтрацию.
Инфраструктура, поддерживающая библиотечных гулей, включает домены, связанные с их кампаниями, такие как downdown.ru и dragonfires.ru, которые продемонстрировали активные функции управления. Постоянное совершенствование и выполнение сложных операций этой APT group свидетельствует об их стремлении поставить под угрозу промышленные предприятия и образовательные учреждения по всей России, Беларуси и Казахстану. Постоянный и эволюционирующий характер их атак требует тщательного мониторинга и анализа, поскольку они демонстрируют черты, обычно присущие группам хактивистов, но при этом сохраняют четкую оперативную направленность на шпионаж и финансовую выгоду.
#ParsedReport #CompletenessMedium
09-06-2025
From Ideology to Financial Gain: Exploring the Convergence from Hacktivism to Cybercrime
https://www.rapid7.com/blog/post/2025/06/03/from-ideology-to-financial-gain-exploring-the-convergence-from-hacktivism-to-cybercrime/
Report completeness: Medium
Actors/Campaigns:
Killsec (motivation: cyber_criminal, financially_motivated, politically_motivated, hacktivism)
Ghostsec (motivation: cyber_criminal, financially_motivated, politically_motivated, hacktivism)
Funksec (motivation: cyber_criminal, financially_motivated, politically_motivated, hacktivism)
Ghost_algeria (motivation: hacktivism)
Cyb3r_fl00d (motivation: hacktivism)
Scorpion
El_farado
Blako
Bjorka
Opisis (motivation: hacktivism)
Opparis (motivation: hacktivism)
Oplebanon
Opnigeria
Opmyanmar
Opecuador
Opcolombia
Stormous
Threatsec
Blackforums
Siegedsec
Cybervolk
Ikaruz_red_team (motivation: hacktivism)
Threats:
Funklocker
Killsec
Ghostlocker
Ghoststealer
Lockbit
Clop
Industry:
Financial, Retail, Foodtech, Education, Energy, Transport, Telco, Government
Geo:
Israel, Russia, Bangladesh, Indonesian, Brazil, Germany, Algeria, France, Brazilian, Italy, Australia, Palestine, India, Usa, Poland, Romania
ChatGPT TTPs:
T1059, T1071, T1485, T1486, T1491, T1499, T1566, T1567, T1587, T1588, have more...
IOCs:
Domain: 3
Url: 4
Hash: 5
IP: 3
Soft:
ESXi, Telegram, instagram, twitter
Algorithms:
sha256
09-06-2025
From Ideology to Financial Gain: Exploring the Convergence from Hacktivism to Cybercrime
https://www.rapid7.com/blog/post/2025/06/03/from-ideology-to-financial-gain-exploring-the-convergence-from-hacktivism-to-cybercrime/
Report completeness: Medium
Actors/Campaigns:
Killsec (motivation: cyber_criminal, financially_motivated, politically_motivated, hacktivism)
Ghostsec (motivation: cyber_criminal, financially_motivated, politically_motivated, hacktivism)
Funksec (motivation: cyber_criminal, financially_motivated, politically_motivated, hacktivism)
Ghost_algeria (motivation: hacktivism)
Cyb3r_fl00d (motivation: hacktivism)
Scorpion
El_farado
Blako
Bjorka
Opisis (motivation: hacktivism)
Opparis (motivation: hacktivism)
Oplebanon
Opnigeria
Opmyanmar
Opecuador
Opcolombia
Stormous
Threatsec
Blackforums
Siegedsec
Cybervolk
Ikaruz_red_team (motivation: hacktivism)
Threats:
Funklocker
Killsec
Ghostlocker
Ghoststealer
Lockbit
Clop
Industry:
Financial, Retail, Foodtech, Education, Energy, Transport, Telco, Government
Geo:
Israel, Russia, Bangladesh, Indonesian, Brazil, Germany, Algeria, France, Brazilian, Italy, Australia, Palestine, India, Usa, Poland, Romania
ChatGPT TTPs:
do not use without manual checkT1059, T1071, T1485, T1486, T1491, T1499, T1566, T1567, T1587, T1588, have more...
IOCs:
Domain: 3
Url: 4
Hash: 5
IP: 3
Soft:
ESXi, Telegram, instagram, twitter
Algorithms:
sha256
Rapid7
Exploring the Convergence from Hacktivism to Cybercrime | Rapid7 Blog
CTT Report Hub
#ParsedReport #CompletenessMedium 09-06-2025 From Ideology to Financial Gain: Exploring the Convergence from Hacktivism to Cybercrime https://www.rapid7.com/blog/post/2025/06/03/from-ideology-to-financial-gain-exploring-the-convergence-from-hacktivism-to…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группы хактивистов объединяются с финансово мотивированными киберпреступниками, занимаясь вымогательством. FunkSec, KillSec и GhostSec переключили внимание на модели RaaS, используя тактику двойного вымогательства и настраиваемые решения, расширяя свои методы атак и повышая прибыльность.
-----
К концу 2024 года FunkSec перешла от хактивистской группы к программе-вымогателю как услуге (RaaS). Группа заявляет о по меньшей мере 172 жертвах по всему миру, включая правительственный сектор и сектор образования. Программа-вымогатель FunkSec, FunkLocker, использует генеративный искусственный интеллект для быстрого поиска жертв. Изначально занимаясь DDoS-атаками и взломом, FunkSec теперь предлагает своим партнерам настраиваемые решения для борьбы с программами-вымогателями. KillSec, работающая с 2021 года, перешла от методов DDoS-атак к программам-вымогателям, запустив модель RaaS в июне 2024 года. KillSec использует тактику двойного вымогательства, извлекая данные жертв наряду с шифрованием. GhostSec прошла путь от хактивизма к партнерству с киберпреступными организациями, включая сотрудничество с группой вымогателей Stormous для скоординированного вымогательства у государственных органов Кубы. GhostSec запустила собственное предложение RaaS, GhostLocker, с панелью управления для аффилированных лиц. Совпадение мотиваций у FunkSec, KillSec и GhostSec указывает на более широкую тенденцию к тому, что хактивисты стремятся к финансовой выгоде с помощью моделей RaaS и сложных тактик вымогательства.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группы хактивистов объединяются с финансово мотивированными киберпреступниками, занимаясь вымогательством. FunkSec, KillSec и GhostSec переключили внимание на модели RaaS, используя тактику двойного вымогательства и настраиваемые решения, расширяя свои методы атак и повышая прибыльность.
-----
К концу 2024 года FunkSec перешла от хактивистской группы к программе-вымогателю как услуге (RaaS). Группа заявляет о по меньшей мере 172 жертвах по всему миру, включая правительственный сектор и сектор образования. Программа-вымогатель FunkSec, FunkLocker, использует генеративный искусственный интеллект для быстрого поиска жертв. Изначально занимаясь DDoS-атаками и взломом, FunkSec теперь предлагает своим партнерам настраиваемые решения для борьбы с программами-вымогателями. KillSec, работающая с 2021 года, перешла от методов DDoS-атак к программам-вымогателям, запустив модель RaaS в июне 2024 года. KillSec использует тактику двойного вымогательства, извлекая данные жертв наряду с шифрованием. GhostSec прошла путь от хактивизма к партнерству с киберпреступными организациями, включая сотрудничество с группой вымогателей Stormous для скоординированного вымогательства у государственных органов Кубы. GhostSec запустила собственное предложение RaaS, GhostLocker, с панелью управления для аффилированных лиц. Совпадение мотиваций у FunkSec, KillSec и GhostSec указывает на более широкую тенденцию к тому, что хактивисты стремятся к финансовой выгоде с помощью моделей RaaS и сложных тактик вымогательства.
#ParsedReport #CompletenessHigh
10-06-2025
CVE-2025-33053, Stealth Falcon and Horus: A Saga of Middle Eastern Cyber Espionage
https://research.checkpoint.com/2025/stealth-falcon-zero-day/
Report completeness: High
Actors/Campaigns:
Stealth_falcon (motivation: cyber_espionage)
Threats:
Horus_loader
Horus_agent
Mythic_c2
Apollo
Lolbin_technique
Spear-phishing_technique
Dll_hijacking_technique
Code_virtualizer_tool
Themida_tool
Ollvm_tool
Process_injection_technique
Confuserex_tool
Victims:
Defense company, Government, High-profile entity
Industry:
Government
Geo:
Middle east, Yemen, Turkish, Egypt, Turkey, Egyptian, Qatar, Africa
CVEs:
CVE-2025-33053 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1001, T1003.006, T1016, T1021.002, T1027, T1027.002, T1027.003, T1027.009, T1033, T1036, have more...
IOCs:
File: 45
Hash: 27
Domain: 11
Command: 3
Path: 4
Soft:
Internet Explorer, Active Directory, Windows service
Wallets:
harmony_wallet
Algorithms:
xor, gzip, base64, aes, hmac, rc4, zip
Win API:
RtlIpv6StringToAddressA, ZwAllocateVirtualMemory, ZwWriteVirtualMemory, NtProtectVirtualMemory, GetThreadContext, SetThreadContext, NtResumeThread, CloseHandle, GetSystemPowerStatus, StartServiceCtrlDispatcherA, have more...
Platforms:
x86, amd64
Links:
have more...
10-06-2025
CVE-2025-33053, Stealth Falcon and Horus: A Saga of Middle Eastern Cyber Espionage
https://research.checkpoint.com/2025/stealth-falcon-zero-day/
Report completeness: High
Actors/Campaigns:
Stealth_falcon (motivation: cyber_espionage)
Threats:
Horus_loader
Horus_agent
Mythic_c2
Apollo
Lolbin_technique
Spear-phishing_technique
Dll_hijacking_technique
Code_virtualizer_tool
Themida_tool
Ollvm_tool
Process_injection_technique
Confuserex_tool
Victims:
Defense company, Government, High-profile entity
Industry:
Government
Geo:
Middle east, Yemen, Turkish, Egypt, Turkey, Egyptian, Qatar, Africa
CVEs:
CVE-2025-33053 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1001, T1003.006, T1016, T1021.002, T1027, T1027.002, T1027.003, T1027.009, T1033, T1036, have more...
IOCs:
File: 45
Hash: 27
Domain: 11
Command: 3
Path: 4
Soft:
Internet Explorer, Active Directory, Windows service
Wallets:
harmony_wallet
Algorithms:
xor, gzip, base64, aes, hmac, rc4, zip
Win API:
RtlIpv6StringToAddressA, ZwAllocateVirtualMemory, ZwWriteVirtualMemory, NtProtectVirtualMemory, GetThreadContext, SetThreadContext, NtResumeThread, CloseHandle, GetSystemPowerStatus, StartServiceCtrlDispatcherA, have more...
Platforms:
x86, amd64
Links:
https://github.com/DiscUtils/DiscUtilshave more...
https://github.com/hasherezade/tiny\_tracerhttps://github.com/MythicC2Profiles/httpxCheck Point Research
Stealth Falcon's Exploit of Microsoft Zero Day Vulnerability - Check Point Research
Check Point Research uncovers Stealth Falcon's cyber espionage campaign exploiting a Microsoft Zero Day Vulnerability
CTT Report Hub
#ParsedReport #CompletenessHigh 10-06-2025 CVE-2025-33053, Stealth Falcon and Horus: A Saga of Middle Eastern Cyber Espionage https://research.checkpoint.com/2025/stealth-falcon-zero-day/ Report completeness: High Actors/Campaigns: Stealth_falcon (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Stealth Falcon, группа APT, использовала уязвимость нулевого дня CVE-2025-33053 для удаленного выполнения кода с помощью spear-фишинга. В ходе атаки использовался многоступенчатый загрузчик, который ускользал от обнаружения с помощью обфускации, предоставляя бэкдор Horus Agent, который использовал передовые методы обхода для связи с сервером C2, оставаясь при этом необнаруженным.
-----
Исследовательская компания Check Point Research (CPR) сообщила о новой киберкампании, проводимой APT-группой Stealth Falcon, использующей уязвимость нулевого дня CVE-2025-33053, которая позволяет удаленно выполнять код с помощью манипуляций с рабочим каталогом. В ходе атаки, нацеленной в первую очередь на правительственный и оборонный секторы на Ближнем Востоке и в Африке, использовался URL-файл, отправленный по электронной почте с помощью фишинга, для запуска вредоносного загрузчика с сервера WebDAV, контролируемого злоумышленниками.
Загрузчик выполняется с помощью законного средства Windows. После активации он функционирует как многоэтапный загрузчик, предназначенный для маскировки своих действий с помощью Code Virtualizer. Такая практика значительно усложняет обратное проектирование при проведении различных проверок безопасности системы, чтобы избежать обнаружения средствами безопасности. Кроме того, он обладает уникальными характеристиками, такими как ручное сопоставление системных библиотек Windows и сканирование на наличие антивирусных процессов. Полезная нагрузка, получаемая с помощью этого метода, включает в себя Horus Agent, специальный имплантат, разработанный для платформы Mythic Command and Control (C2), и другие нераскрытые модули, такие как клавиатурные шпионы, пассивные бэкдоры и устройства для сброса учетных данных.
Агент Horus работает как бэкдор, используя для защиты своего кода передовые технологии, такие как шифрование строк и сглаживание потока управления. Он специально использует хеширование API и динамическое преобразование функций, чтобы скрыть свои функциональные возможности от статического анализа. Бэкдор поддерживает связь с сервером C2 с помощью зашифрованных сообщений, которые предназначены для поддержания целостности с помощью контрольных сумм HMAC-SHA256. Во время командного цикла агент может собирать информацию о пользователях, процессах и сетевых конфигурациях, а также выполнять шелл-код с помощью сложного пользовательского метода внедрения.
Операции Stealth Falcon продемонстрировали свою непрерывную эволюцию, включив в себя такие элементы, как многоступенчатые загрузчики и использование LOLBins (бинарных систем, работающих вне земли) для усложнения обнаружения. Злоумышленники используют методы обфускации и покупку законных устаревших доменов для улучшения своих стратегий заражения, что еще больше усложняет их инфраструктуру и затрудняет установление авторства. Недавнее использование CVE-2025-33053 является примером стратегического использования уязвимостей нулевого дня для закрепления в целевых сетях и обеспечения того, чтобы их инструменты оставались незамеченными в защищенных средах. В целом, методы группы и техническая изощренность ее полезной нагрузки отражают ее давнюю ориентацию на кибершпионаж и способность адаптироваться к контрмерам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Stealth Falcon, группа APT, использовала уязвимость нулевого дня CVE-2025-33053 для удаленного выполнения кода с помощью spear-фишинга. В ходе атаки использовался многоступенчатый загрузчик, который ускользал от обнаружения с помощью обфускации, предоставляя бэкдор Horus Agent, который использовал передовые методы обхода для связи с сервером C2, оставаясь при этом необнаруженным.
-----
Исследовательская компания Check Point Research (CPR) сообщила о новой киберкампании, проводимой APT-группой Stealth Falcon, использующей уязвимость нулевого дня CVE-2025-33053, которая позволяет удаленно выполнять код с помощью манипуляций с рабочим каталогом. В ходе атаки, нацеленной в первую очередь на правительственный и оборонный секторы на Ближнем Востоке и в Африке, использовался URL-файл, отправленный по электронной почте с помощью фишинга, для запуска вредоносного загрузчика с сервера WebDAV, контролируемого злоумышленниками.
Загрузчик выполняется с помощью законного средства Windows. После активации он функционирует как многоэтапный загрузчик, предназначенный для маскировки своих действий с помощью Code Virtualizer. Такая практика значительно усложняет обратное проектирование при проведении различных проверок безопасности системы, чтобы избежать обнаружения средствами безопасности. Кроме того, он обладает уникальными характеристиками, такими как ручное сопоставление системных библиотек Windows и сканирование на наличие антивирусных процессов. Полезная нагрузка, получаемая с помощью этого метода, включает в себя Horus Agent, специальный имплантат, разработанный для платформы Mythic Command and Control (C2), и другие нераскрытые модули, такие как клавиатурные шпионы, пассивные бэкдоры и устройства для сброса учетных данных.
Агент Horus работает как бэкдор, используя для защиты своего кода передовые технологии, такие как шифрование строк и сглаживание потока управления. Он специально использует хеширование API и динамическое преобразование функций, чтобы скрыть свои функциональные возможности от статического анализа. Бэкдор поддерживает связь с сервером C2 с помощью зашифрованных сообщений, которые предназначены для поддержания целостности с помощью контрольных сумм HMAC-SHA256. Во время командного цикла агент может собирать информацию о пользователях, процессах и сетевых конфигурациях, а также выполнять шелл-код с помощью сложного пользовательского метода внедрения.
Операции Stealth Falcon продемонстрировали свою непрерывную эволюцию, включив в себя такие элементы, как многоступенчатые загрузчики и использование LOLBins (бинарных систем, работающих вне земли) для усложнения обнаружения. Злоумышленники используют методы обфускации и покупку законных устаревших доменов для улучшения своих стратегий заражения, что еще больше усложняет их инфраструктуру и затрудняет установление авторства. Недавнее использование CVE-2025-33053 является примером стратегического использования уязвимостей нулевого дня для закрепления в целевых сетях и обеспечения того, чтобы их инструменты оставались незамеченными в защищенных средах. В целом, методы группы и техническая изощренность ее полезной нагрузки отражают ее давнюю ориентацию на кибершпионаж и способность адаптироваться к контрмерам.
#ParsedReport #CompletenessLow
10-06-2025
Luckystrike Agent: Poker bleached from Erudite Mogwaii
https://rt-solar.ru/solar-4rays/blog/5603/
Report completeness: Low
Actors/Campaigns:
Webworm
Threats:
Costura_tool
Shadowpad
Victims:
Russian state organization, It companies
Geo:
Chinese, Russian, Asian
TTPs:
ChatGPT TTPs:
T1027, T1071.001, T1074.002, T1140, T1574.014
IOCs:
File: 22
Coin: 1
Path: 1
Hash: 11
Algorithms:
md5, pbkdf2, base64, sha256, aes, cbc, xor, aes-256-cbc
10-06-2025
Luckystrike Agent: Poker bleached from Erudite Mogwaii
https://rt-solar.ru/solar-4rays/blog/5603/
Report completeness: Low
Actors/Campaigns:
Webworm
Threats:
Costura_tool
Shadowpad
Victims:
Russian state organization, It companies
Geo:
Chinese, Russian, Asian
TTPs:
ChatGPT TTPs:
do not use without manual checkT1027, T1071.001, T1074.002, T1140, T1574.014
IOCs:
File: 22
Coin: 1
Path: 1
Hash: 11
Algorithms:
md5, pbkdf2, base64, sha256, aes, cbc, xor, aes-256-cbc
CTT Report Hub
#ParsedReport #CompletenessLow 10-06-2025 Luckystrike Agent: Poker bleached from Erudite Mogwaii https://rt-solar.ru/solar-4rays/blog/5603/ Report completeness: Low Actors/Campaigns: Webworm Threats: Costura_tool Shadowpad Victims: Russian state organization…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Агент Luckystrike, используемый APT group Erudite Mogwai, нацелен на российскую ИТ-инфраструктуру с помощью внедрения Appdomain Manager с использованием OneDrive для C2. Особенности включают модульную архитектуру, использование законных файлов Windows для внедрения и уникальную систему идентификации агента для скрытности. Он собирает и шифрует конфиденциальную системную информацию, что отражает переход APTs к решениям для защиты от вредоносных программ профессионального уровня.
-----
Агент Luckystrike, используемый компанией APT group Erudite Mogwai, нацелен на ИТ-инфраструктуру в России, используя технологию внедрения Appdomain Manager для выполнения различных команд. Примечательно, что он использует OneDrive в качестве канала управления (C2), что указывает на потенциал использования и других облачных сервисов. Структура и информация об отладке указывают на то, что Luckystrike является коммерческим продуктом; он обладает модульной архитектурой и имеет признаки "платной версии", что следует из строк отладки, найденных в PDB-файле.
Агент работает с использованием нескольких специальных файлов, включая "Luckystrike.dll", который служит загрузчиком для запуска основной полезной нагрузки, а также ключей шифрования и конфигураций, встроенных в "log.cache" и "NETFXSBS9.HKF". Кроме того, он использует "Uevappmonitor.exe ," законный файл Windows, чтобы облегчить загрузка его вредоносна .СЕТЕВАЯ сборка. Вредоносное ПО разработано с использованием технологии внедрения в диспетчере доменов приложений (T1574.014), позволяющей внедрять вредоносный код в область памяти законных приложений, при этом Uevappmonitor.exe выбран в качестве цели внедрения.
Конфигурационный файл вредоносной программы, "Uevappmonitor.config", содержит параметры для загрузки вредоносной полезной нагрузки. Важной особенностью вредоносной программы является использование уникальной системы идентификации агента, которая позволяет нескольким экземплярам бэкдора запускаться одновременно на одном компьютере, повышая его скрытность. Он собирает различную системную информацию, включая учетные данные пользователя, сведения о процессе и данные операционной системы, которые сериализуются и шифруются для последующей фильтрации.
Его дизайн предполагает сложную взаимосвязь с экосистемой киберпреступников, что позволяет отказаться от типичных инструментов с открытым исходным кодом, которые часто адаптируются APT groups. Вместо этого он ориентирован на избранную клиентскую базу, что подтверждается его структурированной разработкой, возможным коммерческим происхождением и четкими признаками статуса собственности. Благодаря этим характеристикам, Luckystrike Agent является примером угрозы профессионального уровня, что потенциально указывает на дальнейшую эволюцию рынка вредоносного программного обеспечения, способствующую внедрению APTS. Этот многогранный подход демонстрирует растущую сложность хакерских атак и адаптивные стратегии, используемые хакерами.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Агент Luckystrike, используемый APT group Erudite Mogwai, нацелен на российскую ИТ-инфраструктуру с помощью внедрения Appdomain Manager с использованием OneDrive для C2. Особенности включают модульную архитектуру, использование законных файлов Windows для внедрения и уникальную систему идентификации агента для скрытности. Он собирает и шифрует конфиденциальную системную информацию, что отражает переход APTs к решениям для защиты от вредоносных программ профессионального уровня.
-----
Агент Luckystrike, используемый компанией APT group Erudite Mogwai, нацелен на ИТ-инфраструктуру в России, используя технологию внедрения Appdomain Manager для выполнения различных команд. Примечательно, что он использует OneDrive в качестве канала управления (C2), что указывает на потенциал использования и других облачных сервисов. Структура и информация об отладке указывают на то, что Luckystrike является коммерческим продуктом; он обладает модульной архитектурой и имеет признаки "платной версии", что следует из строк отладки, найденных в PDB-файле.
Агент работает с использованием нескольких специальных файлов, включая "Luckystrike.dll", который служит загрузчиком для запуска основной полезной нагрузки, а также ключей шифрования и конфигураций, встроенных в "log.cache" и "NETFXSBS9.HKF". Кроме того, он использует "Uevappmonitor.exe ," законный файл Windows, чтобы облегчить загрузка его вредоносна .СЕТЕВАЯ сборка. Вредоносное ПО разработано с использованием технологии внедрения в диспетчере доменов приложений (T1574.014), позволяющей внедрять вредоносный код в область памяти законных приложений, при этом Uevappmonitor.exe выбран в качестве цели внедрения.
Конфигурационный файл вредоносной программы, "Uevappmonitor.config", содержит параметры для загрузки вредоносной полезной нагрузки. Важной особенностью вредоносной программы является использование уникальной системы идентификации агента, которая позволяет нескольким экземплярам бэкдора запускаться одновременно на одном компьютере, повышая его скрытность. Он собирает различную системную информацию, включая учетные данные пользователя, сведения о процессе и данные операционной системы, которые сериализуются и шифруются для последующей фильтрации.
Его дизайн предполагает сложную взаимосвязь с экосистемой киберпреступников, что позволяет отказаться от типичных инструментов с открытым исходным кодом, которые часто адаптируются APT groups. Вместо этого он ориентирован на избранную клиентскую базу, что подтверждается его структурированной разработкой, возможным коммерческим происхождением и четкими признаками статуса собственности. Благодаря этим характеристикам, Luckystrike Agent является примером угрозы профессионального уровня, что потенциально указывает на дальнейшую эволюцию рынка вредоносного программного обеспечения, способствующую внедрению APTS. Этот многогранный подход демонстрирует растущую сложность хакерских атак и адаптивные стратегии, используемые хакерами.