#ParsedReport #CompletenessMedium
11-06-2025

Cato CTRL Threat Research: Uncovering Nytheon AI A New Platform of Uncensored LLMs

https://www.catonetworks.com/blog/cato-ctrl-nytheon-ai-a-new-platform-of-uncensored-llms/

Report completeness: Medium

Threats:
Wormgpt_tool
Blackhatgpt_tool
Fraudgpt_tool
Ghostgpt_tool
Spear-phishing_technique
Polymorphism_technique
Hellcat
Prokyc_tool

Industry:
Entertainment, Energy, Government, Critical_infrastructure

Geo:
Russian, Israel

ChatGPT TTPs:
do not use without manual check
T1059.001, T1140, T1518.001, T1566.001, T1583.001, T1587.001, T1595.002, T1598, T1608.001

IOCs:
Url: 1
File: 3

Soft:
Nytheon AI, Telegram, DeepSeek, Ollama, Hugging Face, OpenAI, SvelteKit, Nytheon AI Telegram

Functions:
REST

Languages:
typescript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Nytheon AI - это незаконная платформа в даркнете, используемая хакерами и использующая нецензурируемые большие языковые модели для вредоносных действий, таких как фишинг и распространение вредоносных программ. Ее надежная архитектура позволяет быстро генерировать контент и выполнять автоматизированные атаки, что создает уникальные проблемы для защиты кибербезопасности.
-----

Платформа искусственного интеллекта Nytheon стала изощренным инструментом, используемым хакерами, которые используют нецензурируемые большие языковые модели (LLM) в незаконных целях. Платформа работает в даркнете, доступ к ней в основном осуществляется через Tor, а общение - через каналы Telegram. Она объединяет несколько LLM с открытым исходным кодом, у которых были отменены меры безопасности, и предлагает набор инструментов для вредоносной деятельности. На основе лингвистического анализа сообщений, связанных с платформой, предполагается, что среди операторов есть русскоязычный человек из постсоветского региона.

Nytheon AI создан на основе множества контрольных точек с открытым исходным кодом, упакованных в формат GGUF для упрощения развертывания. Наиболее заметной моделью в рамках этой архитектуры является Nytheon Coder с 18,4 миллиардами параметров MoE (набор экспертов), созданный на основе Llama 3.2 от Meta и предназначенный для высокопроизводительной генерации креативного текста. В дополнение к этому, Nytheon GMA обеспечивает многоязычную обработку текста, в то время как Nytheon Vision предоставляет возможности обработки изображений, что имеет решающее значение для таких задач, как анализ фишингового контента. Другие модели пакета расширяют его функциональность для решения конкретных задач, таких как логические рассуждения и генерация кода, адаптированного для сценариев быстрого использования.

Обновления платформы демонстрируют быстрый цикл разработки, благодаря функциям, которые поддерживают мультимодальный доступ к данным (включая распознавание текста и голоса) и возможность выполнения внешних команд с помощью интеграции OpenAPI. Эта платформа позволяет платформе генерировать вредоносный контент и реагировать на него практически мгновенно. Эти модели предварительно настроены на игнорирование протоколов безопасности, что повышает их полезность для хакеров, стремящихся проводить автоматизированные атаки, такие как фишинг и распространение вредоносных программ.

Технические компоненты указывают на то, что Nytheon AI работает как хорошо сконструированное SaaS-приложение, предназначенное для облегчения взаимодействия с пользователем и маскирующее свои незаконные намерения за фасадом законных операционных возможностей. Такой подход не только повышает эффективность, но и ставит перед защитниками уникальные задачи, требующие применения стратегий, выходящих за рамки простого блокирования самих платформ. Организации должны сосредоточиться на повышении осведомленности и контроле над потенциальными угрозами, создаваемыми сложными и разнообразными результатами, которые может генерировать Nytheon AI.

Таким образом, платформа искусственного интеллекта Nytheon знаменует собой значительную эволюцию в среде хакеров, где конвергенция технологий искусственного интеллекта позволяет хакерам эффективно и в больших масштабах организовывать широкий спектр вредоносных действий.

#ParsedReport #CompletenessMedium
11-06-2025

ConnectWise ScreenConnect Attacks: Continued Surge in RMM Tool Abuse

https://www.cyberproof.com/blog/connectwise-screenconnect-attacks-continued-surge-in-rmm-tool-abuse/

Report completeness: Medium

Actors/Campaigns:
Unc5952 (motivation: financially_motivated)

Threats:
Screenconnect_tool
Chainverb
Spear-phishing_technique

Victims:
Connectwise, Global financial organizations

Geo:
Brazilian

ChatGPT TTPs:
do not use without manual check
T1027, T1036.005, T1071.001, T1087, T1105, T1113, T1204.002, T1219, T1553.002, T1566.001, have more...

IOCs:
Email: 1
Url: 1
File: 3
Hash: 162
Domain: 6
IP: 1

Algorithms:
sha1, md5, sha256

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Уязвимость в ConnectWise ScreenConnect (версии 23.9.7 и более ранних) была связана с фишинговыми кампаниями хакерской группы UNC5952, использующей загрузчик CHAINVERB для атак на финансовые учреждения. CHAINVERB использует цифровые подписи в исполняемых файлах Windows и скрытые URL-адреса C2 для выполнения полезной нагрузки, что указывает на скоординированный подход к атаке. Организациям настоятельно рекомендуется обновить программное обеспечение и усилить меры безопасности для снижения рисков.
-----

13 февраля 2024 года независимый исследователь сообщил о существенной уязвимости в ConnectWise ScreenConnect версий 23.9.7 и более ранних в рамках программы раскрытия уязвимостей ConnectWise. Позже эта уязвимость была связана с инцидентами в сфере кибербезопасности, которые произошли в мае 2025 года, когда были обнаружены вредоносные программы, связанные с бэкдором CHAINVERB, вероятно, управляемые хакерской группой UNC5952. Эти дропперы использовались в фишинговых кампаниях, нацеленных на глобальные финансовые организации, где злоумышленники использовали темы электронной почты, связанные со счетами, чтобы заманить жертв.

CHAINVERB работает как загрузчик, использующий цифровые подписи в исполняемых файлах Windows. Расследования выявили тревожную тенденцию, когда вредоносные программы, используемые хакерами, обычно используют домены верхнего уровня или dns.net TLD в своих кампаниях. Загрузчик CHAINVERB использует встроенный URL-адрес управления (C2), тщательно скрытый в его цифровом сертификате, для извлечения и выполнения последующих полезных загрузок. Связи с инструментом удаленного доступа ConnectWise Control подразумевают, что после заражения систем злоумышленники могут инициировать удаленные сеансы связи с их инфраструктурой C2, что позволяет проводить внутреннюю разведку и потенциально получать конфиденциальную информацию, такую как снимки экрана.

Свидетельством недавних инцидентов стало фишинговое электронное письмо, отправленное с узнаваемого адреса, содержащее вредоносный PDF-файл со ссылкой, которая вела к загрузке троянского исполняемого файла, подписанного ConnectWise. Домены категории C2, обнаруженные в ходе этих операций, такие как kasin22.anondns.net и yertoje.uzhelp.top, свидетельствуют о скоординированном и целенаправленном подходе к финансовым учреждениям. Кроме того, в ходе расследования была обнаружена вредоносная веб-страница, выдававшая себя за службу поддержки клиентов, которая способствовала загрузке и выполнению вредоносных дропперов CHAINVERB.

Для противодействия этим угрозам организациям рекомендуется перейти на исправленные версии ScreenConnect и внедрить надежные меры безопасности. Лучшие методы снижения рисков включают блокировку фишинговых сообщений электронной почты, аудит средств удаленного доступа, проверку журналов выполнения на наличие аномалий и применение средств контроля приложений для управления выполнением только авторизованного программного обеспечения. Кроме того, организации должны информировать пользователей о рисках взаимодействия с подозрительным контентом и усиливать соответствующие действия в ответ на попытки фишинга. Эти превентивные меры направлены на минимизацию потенциального ущерба от таких целенаправленных киберкампаний.

#ParsedReport #CompletenessLow
11-06-2025

Tracing Silver Fox The Winos 4.0 Campaign Behind Operation Holding Hands

https://somedieyoungzz.github.io/posts/silver-fox/

Report completeness: Low

Actors/Campaigns:
Silver_fox (motivation: cyber_espionage)

Threats:
Winos
Uac_bypass_technique

Victims:
Japanese users

Geo:
Taiwan, Chinese, China, Japan, Japanese

ChatGPT TTPs:
do not use without manual check
T1005, T1012, T1027, T1036.005, T1055, T1056.001, T1059.003, T1071.001, T1083, T1105, have more...

IOCs:
File: 13
Path: 2
IP: 5

Soft:
Discord, Twitter

Algorithms:
zip

Functions:
TaskServer

Win API:
WriteFile, LoadLibrary, CreateProcessW, ShellExecuteExA, CoInitialize, CoCreateInstance, GetModuleFileNameA, CreateFileA, ReadFile, VirtualFree, have more...

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносное ПО, использующее украденные цифровые подписи, нацелено на японских пользователей с помощью фишинга, используя бэкдор с проверкой повышенных привилегий и методами обфускации. Он взаимодействует с сервером C2, подключенным к вредоносному ПО "Winos 4.0", связанному с китайской группой "Silver Fox", что указывает на продолжающуюся шпионскую деятельность.
-----

Авторы вредоносных программ все чаще используют законные цифровые подписи, чтобы избежать обнаружения и повысить доверие пользователей. Недавний анализ был сосредоточен на образце бэкдора, известном как ".exe" (переводится как Уведомление о системе оплаты труда Revision.exe ), который распространялся через фишинговые сайты, ориентированные на японских пользователей. Эта вредоносная программа подписана украденным сертификатом от "Sid Narayanan Ltd" и является частью более широкой кампании, в которой используются различные цифровые сертификаты. Во время технической проверки с помощью PE Studio было обнаружено несколько подозрительных импортных файлов, указывающих на вредоносное поведение, включая ShellExecute, WriteFile и LoadLibrary.

Пример ".exe" содержит путь к базе данных встроенной программы (PDB), что указывает на ее функциональность в качестве бэкдора. Анализ показал, что вредоносная программа инициализирует идентификатор безопасности (SID) с предопределенными значениями и проверяет, запущен ли процесс с правами администратора, что указывает на необходимость повышения привилегий. Затем она извлекает локальный каталог данных приложения и создает в нем подкаталог с именем "a". Создается ZIP-файл 'a.zip', в котором полезная нагрузка перед записью на диск обфускируется с помощью многобайтового преобразования, основанного на фиксированном ключе в памяти.

Бэкдор предназначен для запуска другого исполняемого файла, "Run.exe", из указанного каталога с определенными параметрами запуска, чтобы обеспечить чистое выполнение. Он использует такие методы, как CreateProcessW, и использует ShellExecuteExA, чтобы обойти контроль учетных записей пользователей (UAC) для повышения привилегий, когда это необходимо. Вредоносная программа поддерживает связь со своим командно-контрольным сервером (C2), ежеминутно отправляя импульсные пакеты для подтверждения подключения.

Дальнейшее расследование установило связь между IP-адресом сервера C2 и вредоносной программой "Winos 4.0", нацеленной преимущественно на пользователей на Тайване, и данными, указывающими на то, что она также нацелена на Японию. Платформа Winos 4.0, известная своей причастностью к недавней шпионской деятельности на китайском языке, была связана с китайской хакерской группой, известной как "Silver Fox". Охранные фирмы подтвердили эту связь, подчеркнув характеристики вредоносного ПО и его оперативную связь с китайской киберпреступностью. Примечательно, что наряду с китайским аналогом был замечен инструмент удаленного доступа с совпадающими идентификаторами, что подчеркивает обширный спектр угроз, создаваемых этим вредоносным ПО.

#ParsedReport #CompletenessHigh
11-06-2025

Toxic trend: Another malware threat targets DeepSeek

https://securelist.com/browservenom-mimicks-deepseek-to-use-malicious-proxy/115728/

Report completeness: High

Threats:
Browservenom_tool
Fakecaptcha_technique
Trojan.win32.generic
Selfdel

Geo:
Egypt, India, Brazil, Mexico, Nepal, South africa, Russian

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1001, T1027, T1036.005, T1041, T1059.001, T1070.006, T1071.001, T1090.001, T1112, T1140, have more...

IOCs:
Url: 3
File: 13
Path: 1
Domain: 5
IP: 1
Hash: 2

Soft:
DeepSeek, DeepSeek-R1, deepseek r1, Ollama, LM Studio, Windows Defender, Chrome, Microsoft Edge, Tor Browser, opera, have more...

Algorithms:
aes-256-cbc, aes

Functions:
GetTempPath, GetSystemVersion, WriteAllBytes, ReadWrite

Win Services:
WebClient

Languages:
javascript, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Новая киберкампания использует языковую модель DeepSeek-R1, используя фишинговые сайты для распространения вредоносного ПО, замаскированного под законное программное обеспечение. Атака включает загрузку вредоносного файла, AI_Launcher_1.21.exe который устанавливает BrowserVenom для перехвата трафика браузера через настройки прокси-сервера, что влияет на пользователей по всему миру.
-----

Недавняя аналитическая информация от хакеров выявила появление новой вредоносной кампании, использующей популярность языковой модели DeepSeek-R1. хакеры в настоящее время используют методы вредоносной рекламы, нацеливаясь на пользователей, которые ищут контент, связанный с DeepSeek. В этих атаках используется фишинговый сайт, который выдает себя за официальную домашнюю страницу DeepSeek, продвигаемую в результатах поиска с помощью рекламы Google, для распространения вредоносного ПО, замаскированного под законную программу установки среды DeepSeek.

Фишинговый веб-сайт, расположенный по адресу https://deepseek-platform.com, использует процесс, в ходе которого определяется операционная система пользователя. Для пользователей Windows вводящая в заблуждение кнопка "Попробуйте сейчас" перенаправляет их на экран ввода капчи, предназначенный для подтверждения того, что они являются людьми, и использующий запутанный JavaScript для проверки на боты. После успешной проверки пользователи перенаправляются на загрузку вредоносного файла с именем AI_Launcher_1.21.exe с другого вредоносного домена. Этот файл идентифицируется как установщик для последующего этапа внедрения вредоносного ПО.

После выполнения AI_Launcher_1.21.exe запускает окно с поддельным вводом капчи и пытается обойти защиту Windows Defender, отключив папку пользователя от защиты. Это достигается с помощью команды PowerShell, для которой требуются права администратора. После этого вредоносная программа запускает другую команду PowerShell для загрузки дополнительного исполняемого файла из динамически созданного домена, сохраняя его в каталоге профиля пользователя.

Полезная нагрузка второго этапа, идентифицированная как BrowserVenom, значительно расширяет вредоносные возможности атаки. Эта вредоносная программа перестраивает веб-браузеры в зараженной системе для маршрутизации трафика через прокси-сервер, контролируемый злоумышленниками. Он устанавливает жестко запрограммированный SSL-сертификат и изменяет настройки прокси-сервера как в браузерах на базе Chromium, так и в браузерах на базе Gecko, чтобы облегчить перехват данных, позволяя злоумышленникам отслеживать все действия в интернете и манипулировать ими, одновременно расшифровывая данные о трафике.

Геопространственный анализ показывает, что эти атаки географически разнообразны: случаи заражения зарегистрированы в Бразилии, на Кубе, в Мексике, Индии, Непале, Южной Африке и Египте, что отражает широкий спектр международных угроз. Использование сложных инструментов, таких как BrowserVenom, усложняет работу по обнаружению, поэтому пользователям крайне важно тщательно проверять результаты поиска и быть уверенными в том, что они загружают программное обеспечение из законных источников. Продукты безопасности, такие как Kaspersky, характеризуют эту угрозу как Trojan.Win32.Generic и Trojan.Win32.SelfDel.iwcv, что свидетельствует о необходимости принятия надежных мер кибербезопасности для предотвращения подобных заражений.

#ParsedReport #CompletenessMedium
11-06-2025

Beware of AI pickpockets: Pickai backdoor is spreading through ComfyUI vulnerabilities

https://blog.xlab.qianxin.com/pickai_backdoor_exploits_comfyui-is-your-ai-at-risk_cn/

Report completeness: Medium

Threats:
Pickai
Supply_chain_technique

Industry:
E-commerce, Education, Retail

Geo:
Singapore, Rwanda, China, Egypt, American, Hong kong, Middle east, Germany, Egyptian, Switzerland, Tanzania, India

TTPs:
Tactics: 1
Technics: 0

IOCs:
IP: 3
File: 6
Hash: 7

Soft:
systemd, docker

Algorithms:
md5

Languages:
javascript

Platforms:
x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Троянец Pickai использует уязвимости в ComfyUI для кражи данных искусственного интеллекта и выполнения удаленных команд. Он обладает надежными методами маскировки, сохраняемостью через системные службы и взаимодействует с несколькими серверами C2 для получения инструкций, что затрудняет обнаружение.
-----

В статье рассматривается недавно обнаруженный троян-бэкдор под названием Pickai, также известный как AI pickpocket, который использует уязвимости в ComfyUI. Он распространяется через, казалось бы, безобидные конфигурационные файлы, такие как настройки JSON и TMUX, и характеризуется возможностью кражи конфиденциальных данных искусственного интеллекта. Разработанный на C++, Pickai предназначен для удаленного выполнения команд и установки оболочек восстановления, демонстрируя надежные функции маскировки и сохранения. Он использует методы защиты от отладки и маскировки процессов, используя различные механизмы для сохранения на скомпрометированных хостах.

Pickai взаимодействует с несколькими серверами управления (C2), встроенными в его код, что обеспечивает избыточность, которая помогает поддерживать управление, даже если некоторые серверы становятся неактивными. В ходе обратного анализа было установлено, что домен C2 h67t48ehfth8e.com изначально был незарегистрирован, но позже был приобретен исследователями в области безопасности, что позволило раскрыть подробности активности вредоносного ПО, включая статистику заражения, указывающую на почти 700 скомпрометированных серверов по всему миру, в основном в Германии, Соединенных Штатах и Китае.

Анализ также выявил хронологию активности Pickai. Как и другие вредоносные программы, он подвергся обновлениям, причем одна из версий использует сервер C2 с номером 78.47.151.49. Охранная компания XLab попыталась уведомить Rubick.ai платформу, на которой предположительно размещалась вредоносная программа, но ответа не получила. В мае 2025, было обнаружено, что образцы Pickai причинно связанные с развивающимся риск нападение на сеть снабжения, учитывая Рубик.обширная клиентская база ИИ в электронной коммерции.

Технические подробности указывают на то, что после запуска Pickai расшифровывает свои строки конфигурации, чтобы установить связь C2 и реализовать механизмы сохранения. Примечательно, что он использует службы init.d и systemd в Linux для обеспечения надежной работы в системах. Стратегия сохранения данных Pickai предполагает дублирование по нескольким путям к файлам и привязку измененных временных меток к легитимным системным двоичным файлам, что снижает затраты на обнаружение.

Кроме того, цикл взаимодействия вредоносного ПО включает регулярные проверки на серверах C2 по точному расписанию, включая предоставление информации об устройстве каждые 20 минут и подключение для получения дальнейших инструкций каждые две минуты. Это постоянство отражается в тщательной разработке коммуникационных протоколов, которые усложняют обнаружение за счет создания различных названий процессов и активных подключений к нескольким C2s.

# technique

dark-kill
A user-mode code and its rootkit that will Kill EDR Processes permanently by leveraging the power of Process Creation Blocking Kernel Callback Routine registering and ZwTerminateProcess.

https://github.com/SaadAhla/dark-kill

FYI

Apache Kafka 客户端：任意文件读取和 SSRF 漏洞 POC
https://github.com/kk12-30/CVE-2025-27817
#poc #github #漏洞情报

#ParsedReport #CompletenessLow
12-06-2025

Call Stacks: No More Free Passes ForMalware

https://www.elastic.co/security-labs/call-stacks-no-more-free-passes-for-malware

Report completeness: Low

Threats:
Silentmoonwalk_technique

ChatGPT TTPs:
do not use without manual check
T1036, T1055.002, T1055.004, T1106, T1129, T1546.010, T1562.001, T1620

IOCs:
File: 14
Hash: 3

Soft:
Event Tracing for Windows, Windows Error Reporting

Algorithms:
sha256

Functions:
Win32StartAddress, Native, Get-InjectedThreadEx, Windows

Win API:
VirtualProtect, RtlUserThreadStart, RtlUserFiberStart

Platforms:
x64, intel

Links:
https://github.com/jdu2600/conference\_talks/blob/main/2022-04-csidescbr-StackWalking.pdf
have more...
https://github.com/elastic/protections-artifacts/blob/3537aa4ed9c7ed9dcd04da2efafbad38af47a017/behavior/rules/windows/defense\_evasion\_virtualprotect\_via\_vectored\_exception\_handling.toml
https://github.com/search?q=repo%3Aelastic%2Fprotections-artifacts+call\_stack\_final\_user\_module&type=code

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Анализ стека вызовов улучшает обнаружение вредоносных программ в Windows, выявляя пути выполнения и источники действий, улучшая идентификацию вредоносного поведения. Злоумышленники используют неоднозначность выполнения процессов, чтобы избежать обнаружения, манипулируя API и структурами для сокрытия своих действий. Такое тщательное изучение аномалий стека вызовов помогает отличить законное поведение от вредоносного, способствуя более эффективным стратегиям обнаружения возникающих угроз.
-----

Стеки вызовов при обнаружении вредоносных программ позволяют получить представление о путях выполнения в системах Windows, улучшая идентификацию вредоносного поведения. Разработчики вредоносных программ используют такие методы, как фреймы стека trampoline, чтобы скрыть свои действия. Эффективное обнаружение преобразует адреса памяти в смещения для лучшей ситуационной осведомленности. Обычные стеки вызовов обычно начинаются с ntdll.dll, за которыми следует kernel32.dll, завершаясь пользовательским модулем. Аномалии в этом потоке могут указывать на вредоносную активность. Elastic анализирует конечную информацию о пользовательском модуле, включая хэши и сигнатуры, для оценки нормальности поведения. Компоненты начального стека, такие как LdrInitializeThunk, имеют решающее значение, поскольку они предоставляют вредоносному ПО возможность запуска до обнаружения. Функции обработки исключений в пользовательском режиме могут быть использованы вредоносным ПО для уклонения от обнаружения. Механизмы обратного вызова ядра могут указывать на потенциальный захват потока. Тщательная проверка стеков вызовов выявляет методы уклонения, такие как подмена адреса возврата, и помогает установить базовые параметры поведения легитимных приложений, что затрудняет маскировку вредоносных программ. Постоянное совершенствование анализа стека вызовов позволяет разрабатывать стратегии обнаружения в соответствии с меняющейся тактикой вредоносных программ.