#ParsedReport #CompletenessHigh
10-06-2025
CVE-2025-33053, Stealth Falcon and Horus: A Saga of Middle Eastern Cyber Espionage
https://research.checkpoint.com/2025/stealth-falcon-zero-day/
Report completeness: High
Actors/Campaigns:
Stealth_falcon (motivation: cyber_espionage)
Threats:
Horus_loader
Horus_agent
Mythic_c2
Apollo
Lolbin_technique
Spear-phishing_technique
Dll_hijacking_technique
Code_virtualizer_tool
Themida_tool
Ollvm_tool
Process_injection_technique
Confuserex_tool
Victims:
Defense company, Government, High-profile entity
Industry:
Government
Geo:
Middle east, Yemen, Turkish, Egypt, Turkey, Egyptian, Qatar, Africa
CVEs:
CVE-2025-33053 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1001, T1003.006, T1016, T1021.002, T1027, T1027.002, T1027.003, T1027.009, T1033, T1036, have more...
IOCs:
File: 45
Hash: 27
Domain: 11
Command: 3
Path: 4
Soft:
Internet Explorer, Active Directory, Windows service
Wallets:
harmony_wallet
Algorithms:
xor, gzip, base64, aes, hmac, rc4, zip
Win API:
RtlIpv6StringToAddressA, ZwAllocateVirtualMemory, ZwWriteVirtualMemory, NtProtectVirtualMemory, GetThreadContext, SetThreadContext, NtResumeThread, CloseHandle, GetSystemPowerStatus, StartServiceCtrlDispatcherA, have more...
Platforms:
x86, amd64
Links:
have more...
10-06-2025
CVE-2025-33053, Stealth Falcon and Horus: A Saga of Middle Eastern Cyber Espionage
https://research.checkpoint.com/2025/stealth-falcon-zero-day/
Report completeness: High
Actors/Campaigns:
Stealth_falcon (motivation: cyber_espionage)
Threats:
Horus_loader
Horus_agent
Mythic_c2
Apollo
Lolbin_technique
Spear-phishing_technique
Dll_hijacking_technique
Code_virtualizer_tool
Themida_tool
Ollvm_tool
Process_injection_technique
Confuserex_tool
Victims:
Defense company, Government, High-profile entity
Industry:
Government
Geo:
Middle east, Yemen, Turkish, Egypt, Turkey, Egyptian, Qatar, Africa
CVEs:
CVE-2025-33053 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1001, T1003.006, T1016, T1021.002, T1027, T1027.002, T1027.003, T1027.009, T1033, T1036, have more...
IOCs:
File: 45
Hash: 27
Domain: 11
Command: 3
Path: 4
Soft:
Internet Explorer, Active Directory, Windows service
Wallets:
harmony_wallet
Algorithms:
xor, gzip, base64, aes, hmac, rc4, zip
Win API:
RtlIpv6StringToAddressA, ZwAllocateVirtualMemory, ZwWriteVirtualMemory, NtProtectVirtualMemory, GetThreadContext, SetThreadContext, NtResumeThread, CloseHandle, GetSystemPowerStatus, StartServiceCtrlDispatcherA, have more...
Platforms:
x86, amd64
Links:
https://github.com/DiscUtils/DiscUtilshave more...
https://github.com/hasherezade/tiny\_tracerhttps://github.com/MythicC2Profiles/httpxCheck Point Research
Stealth Falcon's Exploit of Microsoft Zero Day Vulnerability - Check Point Research
Check Point Research uncovers Stealth Falcon's cyber espionage campaign exploiting a Microsoft Zero Day Vulnerability
CTT Report Hub
#ParsedReport #CompletenessHigh 10-06-2025 CVE-2025-33053, Stealth Falcon and Horus: A Saga of Middle Eastern Cyber Espionage https://research.checkpoint.com/2025/stealth-falcon-zero-day/ Report completeness: High Actors/Campaigns: Stealth_falcon (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Stealth Falcon, группа APT, использовала уязвимость нулевого дня CVE-2025-33053 для удаленного выполнения кода с помощью spear-фишинга. В ходе атаки использовался многоступенчатый загрузчик, который ускользал от обнаружения с помощью обфускации, предоставляя бэкдор Horus Agent, который использовал передовые методы обхода для связи с сервером C2, оставаясь при этом необнаруженным.
-----
Исследовательская компания Check Point Research (CPR) сообщила о новой киберкампании, проводимой APT-группой Stealth Falcon, использующей уязвимость нулевого дня CVE-2025-33053, которая позволяет удаленно выполнять код с помощью манипуляций с рабочим каталогом. В ходе атаки, нацеленной в первую очередь на правительственный и оборонный секторы на Ближнем Востоке и в Африке, использовался URL-файл, отправленный по электронной почте с помощью фишинга, для запуска вредоносного загрузчика с сервера WebDAV, контролируемого злоумышленниками.
Загрузчик выполняется с помощью законного средства Windows. После активации он функционирует как многоэтапный загрузчик, предназначенный для маскировки своих действий с помощью Code Virtualizer. Такая практика значительно усложняет обратное проектирование при проведении различных проверок безопасности системы, чтобы избежать обнаружения средствами безопасности. Кроме того, он обладает уникальными характеристиками, такими как ручное сопоставление системных библиотек Windows и сканирование на наличие антивирусных процессов. Полезная нагрузка, получаемая с помощью этого метода, включает в себя Horus Agent, специальный имплантат, разработанный для платформы Mythic Command and Control (C2), и другие нераскрытые модули, такие как клавиатурные шпионы, пассивные бэкдоры и устройства для сброса учетных данных.
Агент Horus работает как бэкдор, используя для защиты своего кода передовые технологии, такие как шифрование строк и сглаживание потока управления. Он специально использует хеширование API и динамическое преобразование функций, чтобы скрыть свои функциональные возможности от статического анализа. Бэкдор поддерживает связь с сервером C2 с помощью зашифрованных сообщений, которые предназначены для поддержания целостности с помощью контрольных сумм HMAC-SHA256. Во время командного цикла агент может собирать информацию о пользователях, процессах и сетевых конфигурациях, а также выполнять шелл-код с помощью сложного пользовательского метода внедрения.
Операции Stealth Falcon продемонстрировали свою непрерывную эволюцию, включив в себя такие элементы, как многоступенчатые загрузчики и использование LOLBins (бинарных систем, работающих вне земли) для усложнения обнаружения. Злоумышленники используют методы обфускации и покупку законных устаревших доменов для улучшения своих стратегий заражения, что еще больше усложняет их инфраструктуру и затрудняет установление авторства. Недавнее использование CVE-2025-33053 является примером стратегического использования уязвимостей нулевого дня для закрепления в целевых сетях и обеспечения того, чтобы их инструменты оставались незамеченными в защищенных средах. В целом, методы группы и техническая изощренность ее полезной нагрузки отражают ее давнюю ориентацию на кибершпионаж и способность адаптироваться к контрмерам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Stealth Falcon, группа APT, использовала уязвимость нулевого дня CVE-2025-33053 для удаленного выполнения кода с помощью spear-фишинга. В ходе атаки использовался многоступенчатый загрузчик, который ускользал от обнаружения с помощью обфускации, предоставляя бэкдор Horus Agent, который использовал передовые методы обхода для связи с сервером C2, оставаясь при этом необнаруженным.
-----
Исследовательская компания Check Point Research (CPR) сообщила о новой киберкампании, проводимой APT-группой Stealth Falcon, использующей уязвимость нулевого дня CVE-2025-33053, которая позволяет удаленно выполнять код с помощью манипуляций с рабочим каталогом. В ходе атаки, нацеленной в первую очередь на правительственный и оборонный секторы на Ближнем Востоке и в Африке, использовался URL-файл, отправленный по электронной почте с помощью фишинга, для запуска вредоносного загрузчика с сервера WebDAV, контролируемого злоумышленниками.
Загрузчик выполняется с помощью законного средства Windows. После активации он функционирует как многоэтапный загрузчик, предназначенный для маскировки своих действий с помощью Code Virtualizer. Такая практика значительно усложняет обратное проектирование при проведении различных проверок безопасности системы, чтобы избежать обнаружения средствами безопасности. Кроме того, он обладает уникальными характеристиками, такими как ручное сопоставление системных библиотек Windows и сканирование на наличие антивирусных процессов. Полезная нагрузка, получаемая с помощью этого метода, включает в себя Horus Agent, специальный имплантат, разработанный для платформы Mythic Command and Control (C2), и другие нераскрытые модули, такие как клавиатурные шпионы, пассивные бэкдоры и устройства для сброса учетных данных.
Агент Horus работает как бэкдор, используя для защиты своего кода передовые технологии, такие как шифрование строк и сглаживание потока управления. Он специально использует хеширование API и динамическое преобразование функций, чтобы скрыть свои функциональные возможности от статического анализа. Бэкдор поддерживает связь с сервером C2 с помощью зашифрованных сообщений, которые предназначены для поддержания целостности с помощью контрольных сумм HMAC-SHA256. Во время командного цикла агент может собирать информацию о пользователях, процессах и сетевых конфигурациях, а также выполнять шелл-код с помощью сложного пользовательского метода внедрения.
Операции Stealth Falcon продемонстрировали свою непрерывную эволюцию, включив в себя такие элементы, как многоступенчатые загрузчики и использование LOLBins (бинарных систем, работающих вне земли) для усложнения обнаружения. Злоумышленники используют методы обфускации и покупку законных устаревших доменов для улучшения своих стратегий заражения, что еще больше усложняет их инфраструктуру и затрудняет установление авторства. Недавнее использование CVE-2025-33053 является примером стратегического использования уязвимостей нулевого дня для закрепления в целевых сетях и обеспечения того, чтобы их инструменты оставались незамеченными в защищенных средах. В целом, методы группы и техническая изощренность ее полезной нагрузки отражают ее давнюю ориентацию на кибершпионаж и способность адаптироваться к контрмерам.
#ParsedReport #CompletenessLow
10-06-2025
Luckystrike Agent: Poker bleached from Erudite Mogwaii
https://rt-solar.ru/solar-4rays/blog/5603/
Report completeness: Low
Actors/Campaigns:
Webworm
Threats:
Costura_tool
Shadowpad
Victims:
Russian state organization, It companies
Geo:
Chinese, Russian, Asian
TTPs:
ChatGPT TTPs:
T1027, T1071.001, T1074.002, T1140, T1574.014
IOCs:
File: 22
Coin: 1
Path: 1
Hash: 11
Algorithms:
md5, pbkdf2, base64, sha256, aes, cbc, xor, aes-256-cbc
10-06-2025
Luckystrike Agent: Poker bleached from Erudite Mogwaii
https://rt-solar.ru/solar-4rays/blog/5603/
Report completeness: Low
Actors/Campaigns:
Webworm
Threats:
Costura_tool
Shadowpad
Victims:
Russian state organization, It companies
Geo:
Chinese, Russian, Asian
TTPs:
ChatGPT TTPs:
do not use without manual checkT1027, T1071.001, T1074.002, T1140, T1574.014
IOCs:
File: 22
Coin: 1
Path: 1
Hash: 11
Algorithms:
md5, pbkdf2, base64, sha256, aes, cbc, xor, aes-256-cbc
CTT Report Hub
#ParsedReport #CompletenessLow 10-06-2025 Luckystrike Agent: Poker bleached from Erudite Mogwaii https://rt-solar.ru/solar-4rays/blog/5603/ Report completeness: Low Actors/Campaigns: Webworm Threats: Costura_tool Shadowpad Victims: Russian state organization…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Агент Luckystrike, используемый APT group Erudite Mogwai, нацелен на российскую ИТ-инфраструктуру с помощью внедрения Appdomain Manager с использованием OneDrive для C2. Особенности включают модульную архитектуру, использование законных файлов Windows для внедрения и уникальную систему идентификации агента для скрытности. Он собирает и шифрует конфиденциальную системную информацию, что отражает переход APTs к решениям для защиты от вредоносных программ профессионального уровня.
-----
Агент Luckystrike, используемый компанией APT group Erudite Mogwai, нацелен на ИТ-инфраструктуру в России, используя технологию внедрения Appdomain Manager для выполнения различных команд. Примечательно, что он использует OneDrive в качестве канала управления (C2), что указывает на потенциал использования и других облачных сервисов. Структура и информация об отладке указывают на то, что Luckystrike является коммерческим продуктом; он обладает модульной архитектурой и имеет признаки "платной версии", что следует из строк отладки, найденных в PDB-файле.
Агент работает с использованием нескольких специальных файлов, включая "Luckystrike.dll", который служит загрузчиком для запуска основной полезной нагрузки, а также ключей шифрования и конфигураций, встроенных в "log.cache" и "NETFXSBS9.HKF". Кроме того, он использует "Uevappmonitor.exe ," законный файл Windows, чтобы облегчить загрузка его вредоносна .СЕТЕВАЯ сборка. Вредоносное ПО разработано с использованием технологии внедрения в диспетчере доменов приложений (T1574.014), позволяющей внедрять вредоносный код в область памяти законных приложений, при этом Uevappmonitor.exe выбран в качестве цели внедрения.
Конфигурационный файл вредоносной программы, "Uevappmonitor.config", содержит параметры для загрузки вредоносной полезной нагрузки. Важной особенностью вредоносной программы является использование уникальной системы идентификации агента, которая позволяет нескольким экземплярам бэкдора запускаться одновременно на одном компьютере, повышая его скрытность. Он собирает различную системную информацию, включая учетные данные пользователя, сведения о процессе и данные операционной системы, которые сериализуются и шифруются для последующей фильтрации.
Его дизайн предполагает сложную взаимосвязь с экосистемой киберпреступников, что позволяет отказаться от типичных инструментов с открытым исходным кодом, которые часто адаптируются APT groups. Вместо этого он ориентирован на избранную клиентскую базу, что подтверждается его структурированной разработкой, возможным коммерческим происхождением и четкими признаками статуса собственности. Благодаря этим характеристикам, Luckystrike Agent является примером угрозы профессионального уровня, что потенциально указывает на дальнейшую эволюцию рынка вредоносного программного обеспечения, способствующую внедрению APTS. Этот многогранный подход демонстрирует растущую сложность хакерских атак и адаптивные стратегии, используемые хакерами.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Агент Luckystrike, используемый APT group Erudite Mogwai, нацелен на российскую ИТ-инфраструктуру с помощью внедрения Appdomain Manager с использованием OneDrive для C2. Особенности включают модульную архитектуру, использование законных файлов Windows для внедрения и уникальную систему идентификации агента для скрытности. Он собирает и шифрует конфиденциальную системную информацию, что отражает переход APTs к решениям для защиты от вредоносных программ профессионального уровня.
-----
Агент Luckystrike, используемый компанией APT group Erudite Mogwai, нацелен на ИТ-инфраструктуру в России, используя технологию внедрения Appdomain Manager для выполнения различных команд. Примечательно, что он использует OneDrive в качестве канала управления (C2), что указывает на потенциал использования и других облачных сервисов. Структура и информация об отладке указывают на то, что Luckystrike является коммерческим продуктом; он обладает модульной архитектурой и имеет признаки "платной версии", что следует из строк отладки, найденных в PDB-файле.
Агент работает с использованием нескольких специальных файлов, включая "Luckystrike.dll", который служит загрузчиком для запуска основной полезной нагрузки, а также ключей шифрования и конфигураций, встроенных в "log.cache" и "NETFXSBS9.HKF". Кроме того, он использует "Uevappmonitor.exe ," законный файл Windows, чтобы облегчить загрузка его вредоносна .СЕТЕВАЯ сборка. Вредоносное ПО разработано с использованием технологии внедрения в диспетчере доменов приложений (T1574.014), позволяющей внедрять вредоносный код в область памяти законных приложений, при этом Uevappmonitor.exe выбран в качестве цели внедрения.
Конфигурационный файл вредоносной программы, "Uevappmonitor.config", содержит параметры для загрузки вредоносной полезной нагрузки. Важной особенностью вредоносной программы является использование уникальной системы идентификации агента, которая позволяет нескольким экземплярам бэкдора запускаться одновременно на одном компьютере, повышая его скрытность. Он собирает различную системную информацию, включая учетные данные пользователя, сведения о процессе и данные операционной системы, которые сериализуются и шифруются для последующей фильтрации.
Его дизайн предполагает сложную взаимосвязь с экосистемой киберпреступников, что позволяет отказаться от типичных инструментов с открытым исходным кодом, которые часто адаптируются APT groups. Вместо этого он ориентирован на избранную клиентскую базу, что подтверждается его структурированной разработкой, возможным коммерческим происхождением и четкими признаками статуса собственности. Благодаря этим характеристикам, Luckystrike Agent является примером угрозы профессионального уровня, что потенциально указывает на дальнейшую эволюцию рынка вредоносного программного обеспечения, способствующую внедрению APTS. Этот многогранный подход демонстрирует растущую сложность хакерских атак и адаптивные стратегии, используемые хакерами.
#ParsedReport #CompletenessMedium
10-06-2025
APT 41: Threat Intelligence Report and Malware Analysis
https://www.resecurity.com/blog/article/apt-41-threat-intelligence-report-and-malware-analysis
Report completeness: Medium
Actors/Campaigns:
Winnti (motivation: financially_motivated, cyber_espionage)
Threats:
Plusdrop
Plusinject
Toughprogress
Spear-phishing_technique
Process_injection_technique
Process_hollowing_technique
Supply_chain_technique
Industry:
Government, Telco, Healthcare
Geo:
Taiwan, China, Chinese
TTPs:
Tactics: 8
Technics: 18
IOCs:
File: 7
Domain: 6
Soft:
Windows Service, trycloudflare
Algorithms:
zip, xor
Functions:
GetModuleHandle
Win API:
LoadLibrary, VirtualAlloc
Win Services:
bits
10-06-2025
APT 41: Threat Intelligence Report and Malware Analysis
https://www.resecurity.com/blog/article/apt-41-threat-intelligence-report-and-malware-analysis
Report completeness: Medium
Actors/Campaigns:
Winnti (motivation: financially_motivated, cyber_espionage)
Threats:
Plusdrop
Plusinject
Toughprogress
Spear-phishing_technique
Process_injection_technique
Process_hollowing_technique
Supply_chain_technique
Industry:
Government, Telco, Healthcare
Geo:
Taiwan, China, Chinese
TTPs:
Tactics: 8
Technics: 18
IOCs:
File: 7
Domain: 6
Soft:
Windows Service, trycloudflare
Algorithms:
zip, xor
Functions:
GetModuleHandle
Win API:
LoadLibrary, VirtualAlloc
Win Services:
bits
CTT Report Hub
#ParsedReport #CompletenessMedium 10-06-2025 APT 41: Threat Intelligence Report and Malware Analysis https://www.resecurity.com/blog/article/apt-41-threat-intelligence-report-and-malware-analysis Report completeness: Medium Actors/Campaigns: Winnti (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Китайская государственная группа APT41 использует шпионскую и финансовую тактику, используя вредоносное ПО, подобное ToughProgress. Это вредоносное ПО использует Google Calendar для управления, имеет модули для скрытого выполнения и взлома процессов, а также нацелено на компоненты ОС Windows для повышения привилегий.
-----
APT41, также известный как BARIUM, Wicked Panda и Brass Typhoon, является китайским хакером, спонсируемым государством, который занимается как шпионажем, так и кибератаками на финансовой основе. Компания APT41, ориентированная на такие отрасли, как здравоохранение, телекоммуникации, программное обеспечение и государственные учреждения по всему миру, известна тем, что объединяет традиционные методы кибершпионажа с криминальной тактикой, используя пользовательские вредоносные программы и программы-вымогатели. Группа, действующая как минимум с 2012 года, недавно была замечена в использовании Google Calendar в качестве механизма управления (C2) в своей деятельности, что было особо отмечено в кампании, направленной на веб-сайт правительства Тайваня.
Кампания использовала фишинговые электронные письма, чтобы заманить жертв к ZIP-архиву, размещенному на взломанном сайте, который содержал файл ярлыка Windows, замаскированный под PDF, а также несколько изображений, два из которых были помечены как "6.jpg " и"7.jpg ," на самом деле были частью полезной нагрузки вредоносного ПО. После запуска структура вредоносной программы под названием ToughProgress раскрывалась в виде трех отдельных модулей: PLUSDROP, PLUSINJECT и TOUGHPROGRESS. PLUSDROP отвечает за расшифровку "6.jpg" и выполнение ее с помощью Rundll32.exe. PLUSINJECT использует методы взлома процессов, чтобы внедрить вредоносное ПО в легитимный процесс svchost.exe, тем самым избегая обнаружения.
Основная вредоносная программа, ToughProgress, запускается скрытно, загружая свой путь в память, считывая его закодированное содержимое в буфер и применяя процедуру расшифровки на основе исключения, прежде чем запустить расшифрованный код непосредственно из памяти. Этот метод выполнения позволяет ToughProgress работать, не сохраняя свою полезную информацию в формате, доступном на диске. Кроме того, он позволяет вредоносному ПО незаметно внедрять расшифрованный код в действующие системные процессы, избегая распространенных предупреждений системы безопасности, связанных с несанкционированными исполняемыми строками.
ToughProgress систематически атакует критически важные компоненты операционной системы Windows, в том числе ntoskrnl.exe, с помощью продвинутых низкоуровневых операций, направленных на повышение привилегий и защиту от криминалистической экспертизы. Инновационный метод взаимодействия с Google Calendar предполагает создание и изменение событий календаря для обмена зашифрованными данными и командами со злоумышленниками. Этот процесс включает в себя встраивание отфильтрованных данных в описания событий календаря, которые вредоносная программа извлекает, расшифровывает, выполняет и записывает результаты обратно в новые события.
Для борьбы с этой угрозой Google внедрила механизмы обнаружения, предназначенные для выявления и удаления вредоносных программ, связанных с Google Calendar, и для отключения скомпрометированных проектов Workspace. Возможности и тактика APT41 делают его заметной и постоянной угрозой в сфере кибербезопасности, сочетающей передовые методы с криминальными целями в различных отраслях.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Китайская государственная группа APT41 использует шпионскую и финансовую тактику, используя вредоносное ПО, подобное ToughProgress. Это вредоносное ПО использует Google Calendar для управления, имеет модули для скрытого выполнения и взлома процессов, а также нацелено на компоненты ОС Windows для повышения привилегий.
-----
APT41, также известный как BARIUM, Wicked Panda и Brass Typhoon, является китайским хакером, спонсируемым государством, который занимается как шпионажем, так и кибератаками на финансовой основе. Компания APT41, ориентированная на такие отрасли, как здравоохранение, телекоммуникации, программное обеспечение и государственные учреждения по всему миру, известна тем, что объединяет традиционные методы кибершпионажа с криминальной тактикой, используя пользовательские вредоносные программы и программы-вымогатели. Группа, действующая как минимум с 2012 года, недавно была замечена в использовании Google Calendar в качестве механизма управления (C2) в своей деятельности, что было особо отмечено в кампании, направленной на веб-сайт правительства Тайваня.
Кампания использовала фишинговые электронные письма, чтобы заманить жертв к ZIP-архиву, размещенному на взломанном сайте, который содержал файл ярлыка Windows, замаскированный под PDF, а также несколько изображений, два из которых были помечены как "6.jpg " и"7.jpg ," на самом деле были частью полезной нагрузки вредоносного ПО. После запуска структура вредоносной программы под названием ToughProgress раскрывалась в виде трех отдельных модулей: PLUSDROP, PLUSINJECT и TOUGHPROGRESS. PLUSDROP отвечает за расшифровку "6.jpg" и выполнение ее с помощью Rundll32.exe. PLUSINJECT использует методы взлома процессов, чтобы внедрить вредоносное ПО в легитимный процесс svchost.exe, тем самым избегая обнаружения.
Основная вредоносная программа, ToughProgress, запускается скрытно, загружая свой путь в память, считывая его закодированное содержимое в буфер и применяя процедуру расшифровки на основе исключения, прежде чем запустить расшифрованный код непосредственно из памяти. Этот метод выполнения позволяет ToughProgress работать, не сохраняя свою полезную информацию в формате, доступном на диске. Кроме того, он позволяет вредоносному ПО незаметно внедрять расшифрованный код в действующие системные процессы, избегая распространенных предупреждений системы безопасности, связанных с несанкционированными исполняемыми строками.
ToughProgress систематически атакует критически важные компоненты операционной системы Windows, в том числе ntoskrnl.exe, с помощью продвинутых низкоуровневых операций, направленных на повышение привилегий и защиту от криминалистической экспертизы. Инновационный метод взаимодействия с Google Calendar предполагает создание и изменение событий календаря для обмена зашифрованными данными и командами со злоумышленниками. Этот процесс включает в себя встраивание отфильтрованных данных в описания событий календаря, которые вредоносная программа извлекает, расшифровывает, выполняет и записывает результаты обратно в новые события.
Для борьбы с этой угрозой Google внедрила механизмы обнаружения, предназначенные для выявления и удаления вредоносных программ, связанных с Google Calendar, и для отключения скомпрометированных проектов Workspace. Возможности и тактика APT41 делают его заметной и постоянной угрозой в сфере кибербезопасности, сочетающей передовые методы с криминальными целями в различных отраслях.
#ParsedReport #CompletenessMedium
10-06-2025
Understanding CYBEREYE RAT Builder: Capabilities and Implications
https://www.cyfirma.com/research/understanding-cybereye-rat-builder-capabilities-and-implications/
Report completeness: Medium
Threats:
Telegramrat
Credential_harvesting_technique
Uac_bypass_technique
File_melt_technique
Autostealer
Telegramgrabber
Discordgrabber
Grabdesktop
Industry:
Financial, Entertainment
Geo:
Russian
TTPs:
Tactics: 10
Technics: 14
IOCs:
Hash: 3
File: 23
Registry: 1
Path: 1
Soft:
Chromium, Telegram, Windows Defender, Discord, VirtualBox, Chrome, Gmail, Steam
Crypto:
bitcoin, ethereum, monero
Algorithms:
exhibit, zip, aes-gcm, md5
Functions:
runAntiAnalysis, GetModuleHandle, setAutorun, installSelf, DisableDefenderFeatures, CheckDefenderSettings, sendText
Win API:
AddClipboardFormatListener
Win Services:
WinDefend
Languages:
powershell
10-06-2025
Understanding CYBEREYE RAT Builder: Capabilities and Implications
https://www.cyfirma.com/research/understanding-cybereye-rat-builder-capabilities-and-implications/
Report completeness: Medium
Threats:
Telegramrat
Credential_harvesting_technique
Uac_bypass_technique
File_melt_technique
Autostealer
Telegramgrabber
Discordgrabber
Grabdesktop
Industry:
Financial, Entertainment
Geo:
Russian
TTPs:
Tactics: 10
Technics: 14
IOCs:
Hash: 3
File: 23
Registry: 1
Path: 1
Soft:
Chromium, Telegram, Windows Defender, Discord, VirtualBox, Chrome, Gmail, Steam
Crypto:
bitcoin, ethereum, monero
Algorithms:
exhibit, zip, aes-gcm, md5
Functions:
runAntiAnalysis, GetModuleHandle, setAutorun, installSelf, DisableDefenderFeatures, CheckDefenderSettings, sendText
Win API:
AddClipboardFormatListener
Win Services:
WinDefend
Languages:
powershell
CYFIRMA
Understanding CyberEYE RAT Builder: Capabilities and Implications - CYFIRMA
EXECUTIVE SUMMARY CyberEye (also distributed under names like TelegramRAT) is a modular, .NET-based Remote Access Trojan (RAT) that provides a...
CTT Report Hub
#ParsedReport #CompletenessMedium 10-06-2025 Understanding CYBEREYE RAT Builder: Capabilities and Implications https://www.cyfirma.com/research/understanding-cybereye-rat-builder-capabilities-and-implications/ Report completeness: Medium Threats: Telegramrat…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CyberEye, троянец для удаленного доступа на базе .NET, использует Telegram для связи C2, повышая скрытность и доступность. Он имеет настраиваемую полезную нагрузку для кражи данных, использует меры защиты от "песочницы", отключает защитник Windows и облегчает передачу данных через Telegram Bot API, что создает значительные риски для безопасности из-за простоты доступа и постоянного развития.
-----
CyberEye, также известный как TelegramRAT, представляет собой модульный троян удаленного доступа (RAT), созданный с помощью .NET, который специализируется на краже данных и слежке. Он использует Telegram в качестве платформы управления (C2), позволяя злоумышленникам избегать обслуживания собственной инфраструктуры, что повышает скрытность и доступность вредоносного ПО. Злоумышленники используют графический интерфейс разработчика для настройки полезной нагрузки, вводя учетные данные и выбирая различные функции, включая клавиатурные шпионы и средства захвата файлов, что обеспечивает простоту использования даже для тех, кто обладает ограниченными техническими навыками.
После запуска CyberEye инициализирует несколько процессов, направленных на то, чтобы избежать обнаружения, таких как скрытие интерфейса, выполнение проверок на защиту от "песочницы" и обеспечение сохраняемости. Он отключает защитник Windows с помощью PowerShell и редактирования реестра и использует механизм антианализа, который может завершиться сам по себе, если обнаружит выполнение в изолированной среде или виртуальной среде. Эта функциональность включает проверку характеристик, типичных для виртуальных машин, и обычных инструментов изолированной среды, что значительно усложняет попытки анализа безопасности аналитиками.
Стратегии сохранения данных CyberEye включают в себя развертывание в скрытом каталоге и создание запланированной задачи, которая запускается при входе пользователя в систему, маскируя свое присутствие под видом процесса обновления системы. Его возможности по удалению данных облегчаются с помощью Telegram Bot API, где он может отправлять украденную информацию, такую как системные данные и учетные данные пользователя, обратно злоумышленнику в режиме реального времени. Вредоносная программа оснащена модулями, способными извлекать конфиденциальную информацию из браузеров, игровых профилей и платформ обмена сообщениями, что еще больше улучшает ее тактику сбора данных.
Особую обеспокоенность вызывает простота доступа к CyberEye, о чем свидетельствует его публичное распространение через такие источники, как GitHub. Разработчики, связанные с вредоносным ПО, создали обширную документацию и каналы поддержки сообщества, что позволяет начинающим киберпреступникам эффективно внедрять его. Существование частного Telegram-канала предполагает постоянное развитие, которое, возможно, приведет к выпуску расширенных версий с дополнительной функциональностью.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CyberEye, троянец для удаленного доступа на базе .NET, использует Telegram для связи C2, повышая скрытность и доступность. Он имеет настраиваемую полезную нагрузку для кражи данных, использует меры защиты от "песочницы", отключает защитник Windows и облегчает передачу данных через Telegram Bot API, что создает значительные риски для безопасности из-за простоты доступа и постоянного развития.
-----
CyberEye, также известный как TelegramRAT, представляет собой модульный троян удаленного доступа (RAT), созданный с помощью .NET, который специализируется на краже данных и слежке. Он использует Telegram в качестве платформы управления (C2), позволяя злоумышленникам избегать обслуживания собственной инфраструктуры, что повышает скрытность и доступность вредоносного ПО. Злоумышленники используют графический интерфейс разработчика для настройки полезной нагрузки, вводя учетные данные и выбирая различные функции, включая клавиатурные шпионы и средства захвата файлов, что обеспечивает простоту использования даже для тех, кто обладает ограниченными техническими навыками.
После запуска CyberEye инициализирует несколько процессов, направленных на то, чтобы избежать обнаружения, таких как скрытие интерфейса, выполнение проверок на защиту от "песочницы" и обеспечение сохраняемости. Он отключает защитник Windows с помощью PowerShell и редактирования реестра и использует механизм антианализа, который может завершиться сам по себе, если обнаружит выполнение в изолированной среде или виртуальной среде. Эта функциональность включает проверку характеристик, типичных для виртуальных машин, и обычных инструментов изолированной среды, что значительно усложняет попытки анализа безопасности аналитиками.
Стратегии сохранения данных CyberEye включают в себя развертывание в скрытом каталоге и создание запланированной задачи, которая запускается при входе пользователя в систему, маскируя свое присутствие под видом процесса обновления системы. Его возможности по удалению данных облегчаются с помощью Telegram Bot API, где он может отправлять украденную информацию, такую как системные данные и учетные данные пользователя, обратно злоумышленнику в режиме реального времени. Вредоносная программа оснащена модулями, способными извлекать конфиденциальную информацию из браузеров, игровых профилей и платформ обмена сообщениями, что еще больше улучшает ее тактику сбора данных.
Особую обеспокоенность вызывает простота доступа к CyberEye, о чем свидетельствует его публичное распространение через такие источники, как GitHub. Разработчики, связанные с вредоносным ПО, создали обширную документацию и каналы поддержки сообщества, что позволяет начинающим киберпреступникам эффективно внедрять его. Существование частного Telegram-канала предполагает постоянное развитие, которое, возможно, приведет к выпуску расширенных версий с дополнительной функциональностью.
#ParsedReport #CompletenessLow
10-06-2025
A comprehensive analysis of India's apt espionage activities against my country
https://mp.weixin.qq.com/s?__biz=MzkzNDIzNDUxOQ==&mid=2247499422&idx=2&sn=1313fc72a2c2122f08fba5179c78dd55
Report completeness: Low
Actors/Campaigns:
Bitter (motivation: cyber_espionage)
Threats:
Spear-phishing_technique
Grimresource_technique
Artradownloader
Wscspl
Bdarkrat
Muuymdownloader
Zxxz_loader
Almond_rat
Wmrat
Trurat
Orpcbackdoor
Miyarat
Kiwistealer
Kugelblitz
Havoc
Victims:
Government organizations, Diplomatic organizations, Defense organizations, Entities associated with china, Entities associated with pakistan, Entities in neighboring countries of the indian subcontinent
Industry:
Government
Geo:
Bangladesh, Pakistan, China, America, India, Indian, Madagascar
CVEs:
CVE-2024-43572 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20796)
- microsoft windows 10 1607 (<10.0.14393.7428)
- microsoft windows 10 1809 (<10.0.17763.6414)
- microsoft windows 10 21h2 (<10.0.19044.5011)
- microsoft windows 10 22h2 (<10.0.19045.5011)
have more...
ChatGPT TTPs:
T1027, T1053.005, T1059.001, T1059.003, T1071.001, T1203, T1566.001, T1566.002
IOCs:
Command: 3
Path: 1
File: 1
Domain: 1
Soft:
ProtonMail
Algorithms:
aes-256-cbc, base64, xor
Functions:
Get-Content
Languages:
powershell, php
10-06-2025
A comprehensive analysis of India's apt espionage activities against my country
https://mp.weixin.qq.com/s?__biz=MzkzNDIzNDUxOQ==&mid=2247499422&idx=2&sn=1313fc72a2c2122f08fba5179c78dd55
Report completeness: Low
Actors/Campaigns:
Bitter (motivation: cyber_espionage)
Threats:
Spear-phishing_technique
Grimresource_technique
Artradownloader
Wscspl
Bdarkrat
Muuymdownloader
Zxxz_loader
Almond_rat
Wmrat
Trurat
Orpcbackdoor
Miyarat
Kiwistealer
Kugelblitz
Havoc
Victims:
Government organizations, Diplomatic organizations, Defense organizations, Entities associated with china, Entities associated with pakistan, Entities in neighboring countries of the indian subcontinent
Industry:
Government
Geo:
Bangladesh, Pakistan, China, America, India, Indian, Madagascar
CVEs:
CVE-2024-43572 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20796)
- microsoft windows 10 1607 (<10.0.14393.7428)
- microsoft windows 10 1809 (<10.0.17763.6414)
- microsoft windows 10 21h2 (<10.0.19044.5011)
- microsoft windows 10 22h2 (<10.0.19045.5011)
have more...
ChatGPT TTPs:
do not use without manual checkT1027, T1053.005, T1059.001, T1059.003, T1071.001, T1203, T1566.001, T1566.002
IOCs:
Command: 3
Path: 1
File: 1
Domain: 1
Soft:
ProtonMail
Algorithms:
aes-256-cbc, base64, xor
Functions:
Get-Content
Languages:
powershell, php
CTT Report Hub
#ParsedReport #CompletenessLow 10-06-2025 A comprehensive analysis of India's apt espionage activities against my country https://mp.weixin.qq.com/s?__biz=MzkzNDIzNDUxOQ==&mid=2247499422&idx=2&sn=1313fc72a2c2122f08fba5179c78dd55 Report completeness: Low…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TA397, или Bitter, - это спонсируемая индийским государством группа кибершпионажа, нацеленная на правительственный и оборонный секторы, в основном использующая скрытый фишинг с помощью вложений CHM, сжатых в формате RAR. С 2016 года их вредоносное ПО превратилось в сложные трояны удаленного доступа (RATs), использующие CVE-2024-43572 и сохраняющие выполнение запланированных задач. Они работают через обширную инфраструктуру доменов C2 и имеют развитые TTP, что указывает на высокоорганизованность хакера.
-----
TA397, также известная как Bitter, - это группа кибершпионажа, которая, как полагают, спонсируется правительством Индии и направлена на сбор разведданных об организациях в стратегически важных регионах. Эта группа действует уже не менее восьми лет и в первую очередь нацелена на правительственный, дипломатический и оборонный секторы, в частности на организации, связанные с Китаем, Пакистаном и соседними с Индией странами, в том числе в Европе и Южной Америке.
Технические операции TA397 включают в себя использование уязвимостей и сложных методологий для поддержания постоянства в среде жертвы. Первоначальный доступ часто получают с помощью фишинговых электронных писем, которые имитируют законные сообщения от правительственных или дипломатических учреждений. Эти электронные письма, как правило, содержат вложения в формате CHM, сжатые в формате RAR, или ссылки на файлообменные сервисы, и приходят от взломанных учетных записей или сервисов, таких как 163.com, 126.com и ProtonMail. Заметные строки в теме письма указывают на авторизацию или приглашения к участию в проекте, что указывает на то, что группа сосредоточена на сборе конфиденциальной информации.
С 2016 года вредоносная программа TA397 прошла путь от простых методов загрузки до усовершенствованных троянских программ удаленного доступа (RATs), демонстрируя значительную техническую изощренность. Операционная инфраструктура группы работает в соответствии с индийским стандартным временем (IST), что указывает на возможное местоположение в Индии. Их цепочка заражения основана на запланированных задачах, созданных с помощью команд для регулярного выполнения вредоносных программ, которые взаимодействуют с серверами управления (C2), оснащенными сертификатами Let's Encrypt.
Недавние результаты показали, что TA397 воспользовался уязвимостью CVE-2024-43572 и использовал в своих операциях файлы нескольких типов, включая файлы LNK, CHM, MSC, IQY и MS Access. Их запланированные задачи, выполняемые каждые 16-18 минут, являются примером целенаправленного подхода к обеспечению постоянства и обеспечению непрерывного доступа. Вредоносная программа характеризуется последовательными шаблонами кодирования, связанными со сбором системной информации, и использованием методов обфускации, которые предполагают единую разработку.
Анализ TA397 выявил примечательную инфраструктуру, состоящую из 122 доменов C2 и промежуточных доменов, в которых обычно используются шаблоны URL-адресов PHP, соответствующие распространяемому ими вредоносному ПО. Регулярное выполнение запланированных задач и соблюдение графика работы, согласованного с IST, подчеркивают настойчивые и организованные усилия группы в области кибершпионажа. Изощренность, демонстрируемая их развивающимися тактиками, техниками и процедурами (TTP), укрепляет представление о хорошо обеспеченных ресурсами и методично работающих хакерах.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TA397, или Bitter, - это спонсируемая индийским государством группа кибершпионажа, нацеленная на правительственный и оборонный секторы, в основном использующая скрытый фишинг с помощью вложений CHM, сжатых в формате RAR. С 2016 года их вредоносное ПО превратилось в сложные трояны удаленного доступа (RATs), использующие CVE-2024-43572 и сохраняющие выполнение запланированных задач. Они работают через обширную инфраструктуру доменов C2 и имеют развитые TTP, что указывает на высокоорганизованность хакера.
-----
TA397, также известная как Bitter, - это группа кибершпионажа, которая, как полагают, спонсируется правительством Индии и направлена на сбор разведданных об организациях в стратегически важных регионах. Эта группа действует уже не менее восьми лет и в первую очередь нацелена на правительственный, дипломатический и оборонный секторы, в частности на организации, связанные с Китаем, Пакистаном и соседними с Индией странами, в том числе в Европе и Южной Америке.
Технические операции TA397 включают в себя использование уязвимостей и сложных методологий для поддержания постоянства в среде жертвы. Первоначальный доступ часто получают с помощью фишинговых электронных писем, которые имитируют законные сообщения от правительственных или дипломатических учреждений. Эти электронные письма, как правило, содержат вложения в формате CHM, сжатые в формате RAR, или ссылки на файлообменные сервисы, и приходят от взломанных учетных записей или сервисов, таких как 163.com, 126.com и ProtonMail. Заметные строки в теме письма указывают на авторизацию или приглашения к участию в проекте, что указывает на то, что группа сосредоточена на сборе конфиденциальной информации.
С 2016 года вредоносная программа TA397 прошла путь от простых методов загрузки до усовершенствованных троянских программ удаленного доступа (RATs), демонстрируя значительную техническую изощренность. Операционная инфраструктура группы работает в соответствии с индийским стандартным временем (IST), что указывает на возможное местоположение в Индии. Их цепочка заражения основана на запланированных задачах, созданных с помощью команд для регулярного выполнения вредоносных программ, которые взаимодействуют с серверами управления (C2), оснащенными сертификатами Let's Encrypt.
Недавние результаты показали, что TA397 воспользовался уязвимостью CVE-2024-43572 и использовал в своих операциях файлы нескольких типов, включая файлы LNK, CHM, MSC, IQY и MS Access. Их запланированные задачи, выполняемые каждые 16-18 минут, являются примером целенаправленного подхода к обеспечению постоянства и обеспечению непрерывного доступа. Вредоносная программа характеризуется последовательными шаблонами кодирования, связанными со сбором системной информации, и использованием методов обфускации, которые предполагают единую разработку.
Анализ TA397 выявил примечательную инфраструктуру, состоящую из 122 доменов C2 и промежуточных доменов, в которых обычно используются шаблоны URL-адресов PHP, соответствующие распространяемому ими вредоносному ПО. Регулярное выполнение запланированных задач и соблюдение графика работы, согласованного с IST, подчеркивают настойчивые и организованные усилия группы в области кибершпионажа. Изощренность, демонстрируемая их развивающимися тактиками, техниками и процедурами (TTP), укрепляет представление о хорошо обеспеченных ресурсами и методично работающих хакерах.
#ParsedReport #CompletenessLow
09-06-2025
GhostVendors Exposed: Silent Push Uncovers Massive Network of 4000+ Fraudulent Domains Masquerading as Major Brands
https://www.silentpush.com/blog/ghostvendors/
Report completeness: Low
Actors/Campaigns:
Ghostvendors
Ice_breaker
Industry:
Foodtech, E-commerce, Retail, Entertainment
Geo:
German, Australian
ChatGPT TTPs:
T1562.002, T1566.002, T1583.001, T1585, T1585.001, T1588.002, T1648
IOCs:
Domain: 134
Email: 1
File: 2
Languages:
php
09-06-2025
GhostVendors Exposed: Silent Push Uncovers Massive Network of 4000+ Fraudulent Domains Masquerading as Major Brands
https://www.silentpush.com/blog/ghostvendors/
Report completeness: Low
Actors/Campaigns:
Ghostvendors
Ice_breaker
Industry:
Foodtech, E-commerce, Retail, Entertainment
Geo:
German, Australian
ChatGPT TTPs:
do not use without manual checkT1562.002, T1566.002, T1583.001, T1585, T1585.001, T1588.002, T1648
IOCs:
Domain: 134
Email: 1
File: 2
Languages:
php
Silent Push
GhostVendors Exposed: Silent Push Uncovers Massive Network of 4000+ Fraudulent Domains Masquerading as Major Brands
Silent Push has uncovered a malicious global campaign abusing an advertising policy loophole to target major brands.
CTT Report Hub
#ParsedReport #CompletenessLow 09-06-2025 GhostVendors Exposed: Silent Push Uncovers Massive Network of 4000+ Fraudulent Domains Masquerading as Major Brands https://www.silentpush.com/blog/ghostvendors/ Report completeness: Low Actors/Campaigns: Ghostvendors…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания "Продавцы призраков" управляет мошенническими торговыми площадками, использующими более 4000 доменов, чтобы выдавать себя за известные бренды и обманывать потребителей низкими ценами. Эта тактика включает в себя быстрое удаление рекламы на таких платформах, как Facebook, что усложняет усилия по обнаружению, в то время как алгоритмы генерации доменов помогают им обходить блокировки.
-----
Аналитики Silent Push Threat выявили крупного хакера, известного как "GhostVendors", который проводит масштабную мошенническую кампанию, создавая тысячи мошеннических торговых площадок. Эти веб-сайты выдают себя за известные бренды и размещают объявления о поддельных товарах, используя более 4000 доменов для облегчения своей работы. Кампания включает в себя покупку рекламы на Facebook для продвижения этих мошеннических сайтов, ориентированных, в частности, на такие компании, как Amazon, Costco и Rolex. Примечательным аспектом этой операции является быстрое удаление рекламы через несколько дней, что позволяет использовать рекламную политику Meta для удаления любых следов кампании, что усложняет усилия по отслеживанию и устранению этих угроз.
Хакеры, связанные с GhostVendors, используют различные тактики, типичные для мошенничества с поддельными торговыми площадками. Они предлагают реальные товары по необычно низким ценам, чтобы обманом заставить потребителей совершать покупки, которые часто приводят к недоставке или краже платежных реквизитов. Использование алгоритмов генерации доменов (DGA) позволяет им быстро создавать множество доменов, вводящих в заблуждение, что способствует высокой текучести кадров, направленной на то, чтобы избежать обнаружения и блокировок со стороны социальных сетей.
В одном случае аналитики заметили рекламу на Facebook, рекламирующую набор инструментов Milwaukee Tool Box под измененным названием “Millaeke”, что указывало на прямую попытку подделки бренда. Реклама привела к искусно замаскированному домену, демонстрирующему общую стратегию этих хакеров. Команда отметила, что после завершения рекламной кампании весь связанный контент и реклама удаляются из библиотеки мета-рекламы, что создает препятствия для аналитиков кибербезопасности, пытающихся отслеживать эти вредоносные действия.
Кроме того, в рекламе используются определенные шаблоны метаданных, которые можно отследить с помощью поисковых систем. Запрашивая точные названия продуктов, связанных с мошенничеством, исследователи могут выявить закономерности и связать несколько доменов с одним и тем же субъектом, что облегчает понимание тактики действий этих мошенников. Например, была обнаружена еще одна реклама на странице Facebook “Rabx-B”, рекламирующая различные сомнительные домены, что дало дополнительное представление о подходе хакера.
Аналитики Silent Push подчеркивают сохраняющуюся угрозу, исходящую от этих поддельных торговых площадок, которые представляют собой обширный и рассеянный по всему миру ландшафт угроз. Несмотря на разнообразие видов мошенничества, они часто используют общие структурные шаблоны, которые обеспечивают быстрое внедрение, что подчеркивает необходимость тщательного мониторинга и принятия контрмер против таких хакеров, использующих платформы социальной коммерции. Эти операции не только угрожают брендам и их репутации, но и подвергают потребителей риску финансового мошенничества, поскольку многие процессы онлайн-покупок, скорее всего, направлены на использование платежной информации без предоставления обещанных товаров.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания "Продавцы призраков" управляет мошенническими торговыми площадками, использующими более 4000 доменов, чтобы выдавать себя за известные бренды и обманывать потребителей низкими ценами. Эта тактика включает в себя быстрое удаление рекламы на таких платформах, как Facebook, что усложняет усилия по обнаружению, в то время как алгоритмы генерации доменов помогают им обходить блокировки.
-----
Аналитики Silent Push Threat выявили крупного хакера, известного как "GhostVendors", который проводит масштабную мошенническую кампанию, создавая тысячи мошеннических торговых площадок. Эти веб-сайты выдают себя за известные бренды и размещают объявления о поддельных товарах, используя более 4000 доменов для облегчения своей работы. Кампания включает в себя покупку рекламы на Facebook для продвижения этих мошеннических сайтов, ориентированных, в частности, на такие компании, как Amazon, Costco и Rolex. Примечательным аспектом этой операции является быстрое удаление рекламы через несколько дней, что позволяет использовать рекламную политику Meta для удаления любых следов кампании, что усложняет усилия по отслеживанию и устранению этих угроз.
Хакеры, связанные с GhostVendors, используют различные тактики, типичные для мошенничества с поддельными торговыми площадками. Они предлагают реальные товары по необычно низким ценам, чтобы обманом заставить потребителей совершать покупки, которые часто приводят к недоставке или краже платежных реквизитов. Использование алгоритмов генерации доменов (DGA) позволяет им быстро создавать множество доменов, вводящих в заблуждение, что способствует высокой текучести кадров, направленной на то, чтобы избежать обнаружения и блокировок со стороны социальных сетей.
В одном случае аналитики заметили рекламу на Facebook, рекламирующую набор инструментов Milwaukee Tool Box под измененным названием “Millaeke”, что указывало на прямую попытку подделки бренда. Реклама привела к искусно замаскированному домену, демонстрирующему общую стратегию этих хакеров. Команда отметила, что после завершения рекламной кампании весь связанный контент и реклама удаляются из библиотеки мета-рекламы, что создает препятствия для аналитиков кибербезопасности, пытающихся отслеживать эти вредоносные действия.
Кроме того, в рекламе используются определенные шаблоны метаданных, которые можно отследить с помощью поисковых систем. Запрашивая точные названия продуктов, связанных с мошенничеством, исследователи могут выявить закономерности и связать несколько доменов с одним и тем же субъектом, что облегчает понимание тактики действий этих мошенников. Например, была обнаружена еще одна реклама на странице Facebook “Rabx-B”, рекламирующая различные сомнительные домены, что дало дополнительное представление о подходе хакера.
Аналитики Silent Push подчеркивают сохраняющуюся угрозу, исходящую от этих поддельных торговых площадок, которые представляют собой обширный и рассеянный по всему миру ландшафт угроз. Несмотря на разнообразие видов мошенничества, они часто используют общие структурные шаблоны, которые обеспечивают быстрое внедрение, что подчеркивает необходимость тщательного мониторинга и принятия контрмер против таких хакеров, использующих платформы социальной коммерции. Эти операции не только угрожают брендам и их репутации, но и подвергают потребителей риску финансового мошенничества, поскольку многие процессы онлайн-покупок, скорее всего, направлены на использование платежной информации без предоставления обещанных товаров.
#ParsedReport #CompletenessMedium
10-06-2025
Say Hi to HelloTDS: The Infrastructure Behind FakeCaptcha
https://www.gendigital.com/blog/insights/research/inside-hellotds-malware-network
Report completeness: Medium
Threats:
Hellotds
Fakecaptcha_technique
Lumma_stealer
Emmenhtal
Industry:
Telco, Healthcare
Geo:
Kenya, Czechia, Egypt, Panama, Tanzania, India, Rwanda, Iceland, Brazil, Africa
ChatGPT TTPs:
T1027, T1071.001, T1082, T1132.002, T1189, T1204.001, T1204.002, T1518.001, T1564.003
IOCs:
Domain: 13
File: 4
IP: 7
Url: 2
Soft:
Chrome, Opera
Algorithms:
base64
Languages:
javascript
Links:
10-06-2025
Say Hi to HelloTDS: The Infrastructure Behind FakeCaptcha
https://www.gendigital.com/blog/insights/research/inside-hellotds-malware-network
Report completeness: Medium
Threats:
Hellotds
Fakecaptcha_technique
Lumma_stealer
Emmenhtal
Industry:
Telco, Healthcare
Geo:
Kenya, Czechia, Egypt, Panama, Tanzania, India, Rwanda, Iceland, Brazil, Africa
ChatGPT TTPs:
do not use without manual checkT1027, T1071.001, T1082, T1132.002, T1189, T1204.001, T1204.002, T1518.001, T1564.003
IOCs:
Domain: 13
File: 4
IP: 7
Url: 2
Soft:
Chrome, Opera
Algorithms:
base64
Languages:
javascript
Links:
https://github.com/avast/ioc/tree/master/HelloTDSGendigital
Say hi to HelloTDS: The infrastructure behind FakeCaptcha
A behind-the-scenes look at HelloTDS: the stealthy infrastructure driving FakeCaptcha scams, malware and more across millions of devices