#ParsedReport #CompletenessHigh
28-06-2025
Zoom & doom: BlueNoroff call opens the door
https://fieldeffect.com/blog/zoom-doom-bluenoroff-call-opens-the-door#2t4re
Report completeness: High
Actors/Campaigns:
Bluenoroff (motivation: financially_motivated)
Lazarus (motivation: financially_motivated)
Threats:
Process_injection_technique
Credential_harvesting_technique
Victims:
Canadian online gambling provider, Cryptocurrency-related users and organizations
Industry:
Entertainment, Financial
Geo:
Japan, Canadian, North korea, America, Ukraine, Korea, North korean
TTPs:
Tactics: 3
Technics: 19
IOCs:
Url: 6
File: 10
Domain: 143
Email: 1
IP: 1
Hash: 10
Soft:
Zoom, curl, sudo, macOS, sysctl, Telegram, rsync, macOS Gatekeeper
Algorithms:
zip, sha1, sha256, md5
Functions:
BlueNoroff
Languages:
applescript, javascript
Platforms:
apple
Links:
28-06-2025
Zoom & doom: BlueNoroff call opens the door
https://fieldeffect.com/blog/zoom-doom-bluenoroff-call-opens-the-door#2t4re
Report completeness: High
Actors/Campaigns:
Bluenoroff (motivation: financially_motivated)
Lazarus (motivation: financially_motivated)
Threats:
Process_injection_technique
Credential_harvesting_technique
Victims:
Canadian online gambling provider, Cryptocurrency-related users and organizations
Industry:
Entertainment, Financial
Geo:
Japan, Canadian, North korea, America, Ukraine, Korea, North korean
TTPs:
Tactics: 3
Technics: 19
IOCs:
Url: 6
File: 10
Domain: 143
Email: 1
IP: 1
Hash: 10
Soft:
Zoom, curl, sudo, macOS, sysctl, Telegram, rsync, macOS Gatekeeper
Algorithms:
zip, sha1, sha256, md5
Functions:
BlueNoroff
Languages:
applescript, javascript
Platforms:
apple
Links:
https://github.com/stamparm/maltrail/blob/master/trails/static/malware/apt\_lazarus.txtFieldeffect
Zoom & doom: BlueNoroff call opens the door
Field Effect Analysis team investigates a targeted campaign using spoofed domains, social engineering, and malware tied to APT BlueNoroff.
CTT Report Hub
#ParsedReport #CompletenessHigh 28-06-2025 Zoom & doom: BlueNoroff call opens the door https://fieldeffect.com/blog/zoom-doom-bluenoroff-call-opens-the-door#2t4re Report completeness: High Actors/Campaigns: Bluenoroff (motivation: financially_motivated)…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа BlueNoroff APT нацелилась на канадского провайдера онлайн-гемблинга, используя социальную инженерию с помощью поддельного вызова Zoom для доставки вредоносной программы infostealer. Вредоносная программа использовала мошеннические скрипты, замаскированные под законные инструменты, что привело к сбору учетных данных и утечке конфиденциальной информации, особенно связанной с криптовалютой. Организациям рекомендуется усовершенствовать протоколы безопасности для противодействия таким сложным угрозам.
-----
Хакерская группа BlueNoroff, связанная с кибератаками Северной Кореи, атаковала канадского провайдера онлайн-гемблинга. В ходе атаки использовалась социальная инженерия, в ходе которой злоумышленники выдавали себя за доверенных лиц во время вызова Zoom для развертывания вредоносного ПО. Жертв обманом заставили запустить вводящий в заблуждение скрипт, который представлялся как инструмент для восстановления звука Zoom. Этот скрипт загружал вредоносное ПО с поддельного домена, похожего на официальный сайт Zoom. Первоначальный скрипт скрывал свои вредоносные намерения, используя примерно 10 000 пустых строк.
Вредоносная программа infostealer выполняла команды командной строки для получения дополнительной полезной нагрузки и, возможно, сохраняла учетные данные жертвы для последующей фильтрации. Она быстро извлекала конфиденциальную информацию, включая файлы связки ключей и профили браузера. Уникальные идентификаторы привязывали вредоносную программу к целевой организации, позволяя выполнять индивидуальные команды и осуществлять фильтрацию данных.
Он использовал законные системные пути для сокрытия действий и использовал методы внедрения процессов. Вредоносное ПО отслеживало действия браузера, связанные с криптовалютой, и использовало rsync для фильтрации данных. Оно также включало сбор учетных данных на ранней стадии для обеспечения дальнейшего доступа к конфиденциальным ресурсам.
Кампания демонстрирует усовершенствованные методы финансово мотивированных хакеров, а также усовершенствованную социальную инженерию и тактику вредоносного ПО, фокусируясь на криптовалютах и извлечении конфиденциальных данных. В ней использовались методы борьбы с криминалистикой и инфраструктура для скрытой коммуникации, нацеленные на проведение скрытных операций. Организациям следует ограничить несанкционированное выполнение сценариев, использовать функции безопасности macOS и внедрять решения EDR для отслеживания вредоносного поведения. Для снижения рисков важно разработать строгие протоколы взаимодействия с пользователями и проводить постоянный аудит системных действий.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа BlueNoroff APT нацелилась на канадского провайдера онлайн-гемблинга, используя социальную инженерию с помощью поддельного вызова Zoom для доставки вредоносной программы infostealer. Вредоносная программа использовала мошеннические скрипты, замаскированные под законные инструменты, что привело к сбору учетных данных и утечке конфиденциальной информации, особенно связанной с криптовалютой. Организациям рекомендуется усовершенствовать протоколы безопасности для противодействия таким сложным угрозам.
-----
Хакерская группа BlueNoroff, связанная с кибератаками Северной Кореи, атаковала канадского провайдера онлайн-гемблинга. В ходе атаки использовалась социальная инженерия, в ходе которой злоумышленники выдавали себя за доверенных лиц во время вызова Zoom для развертывания вредоносного ПО. Жертв обманом заставили запустить вводящий в заблуждение скрипт, который представлялся как инструмент для восстановления звука Zoom. Этот скрипт загружал вредоносное ПО с поддельного домена, похожего на официальный сайт Zoom. Первоначальный скрипт скрывал свои вредоносные намерения, используя примерно 10 000 пустых строк.
Вредоносная программа infostealer выполняла команды командной строки для получения дополнительной полезной нагрузки и, возможно, сохраняла учетные данные жертвы для последующей фильтрации. Она быстро извлекала конфиденциальную информацию, включая файлы связки ключей и профили браузера. Уникальные идентификаторы привязывали вредоносную программу к целевой организации, позволяя выполнять индивидуальные команды и осуществлять фильтрацию данных.
Он использовал законные системные пути для сокрытия действий и использовал методы внедрения процессов. Вредоносное ПО отслеживало действия браузера, связанные с криптовалютой, и использовало rsync для фильтрации данных. Оно также включало сбор учетных данных на ранней стадии для обеспечения дальнейшего доступа к конфиденциальным ресурсам.
Кампания демонстрирует усовершенствованные методы финансово мотивированных хакеров, а также усовершенствованную социальную инженерию и тактику вредоносного ПО, фокусируясь на криптовалютах и извлечении конфиденциальных данных. В ней использовались методы борьбы с криминалистикой и инфраструктура для скрытой коммуникации, нацеленные на проведение скрытных операций. Организациям следует ограничить несанкционированное выполнение сценариев, использовать функции безопасности macOS и внедрять решения EDR для отслеживания вредоносного поведения. Для снижения рисков важно разработать строгие протоколы взаимодействия с пользователями и проводить постоянный аудит системных действий.
#ParsedReport #CompletenessLow
28-06-2025
The New Face of Remcos: Path Bypass and Masquerading
https://www.forcepoint.com/blog/x-labs/remcos-malware-new-face
Report completeness: Low
Threats:
Remcos_rat
Process_injection_technique
Geo:
Japanese
ChatGPT TTPs:
T1012, T1027, T1036.005, T1041, T1053.005, T1055, T1059.001, T1070.004, T1071.001, T1082, have more...
IOCs:
File: 5
Path: 1
Command: 1
Domain: 1
Hash: 5
Soft:
Windows registry
Algorithms:
base64
Languages:
delphi, powershell
28-06-2025
The New Face of Remcos: Path Bypass and Masquerading
https://www.forcepoint.com/blog/x-labs/remcos-malware-new-face
Report completeness: Low
Threats:
Remcos_rat
Process_injection_technique
Geo:
Japanese
ChatGPT TTPs:
do not use without manual checkT1012, T1027, T1036.005, T1041, T1053.005, T1055, T1059.001, T1070.004, T1071.001, T1082, have more...
IOCs:
File: 5
Path: 1
Command: 1
Domain: 1
Hash: 5
Soft:
Windows registry
Algorithms:
base64
Languages:
delphi, powershell
Forcepoint
The New Face of Remcos: Path Bypass and Masquerading
Remcos malware proves that hackers are getting better at blending seamlessly with everyday files and processes to hide its true intentions.
CTT Report Hub
#ParsedReport #CompletenessLow 28-06-2025 The New Face of Remcos: Path Bypass and Masquerading https://www.forcepoint.com/blog/x-labs/remcos-malware-new-face Report completeness: Low Threats: Remcos_rat Process_injection_technique Geo: Japanese ChatGPT…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносная программа Remcos распространяется с помощью фишинговых электронных писем с вредоносными файлами LNK, которые используют передовые методы обхода для маскировки своего присутствия. После запуска она загружает запутанный сценарий PowerShell, который обеспечивает постоянный доступ и выполняет вредоносные действия, такие как кража пароля, маскируясь под законные системные процессы. Он подключается к серверу C2 через нестандартный порт, что подчеркивает его сложную тактику уклонения от обнаружения.
-----
Недавние кампании с использованием вредоносного ПО Remcos сохранили высокий уровень активности и адаптивности, что позволяет избежать обнаружения. Злоумышленники обычно используют фишинговые электронные письма, содержащие вредоносные файлы, такие как файлы быстрого доступа к Windows, скрипты или документы. Когда жертва открывает эти файлы, программа загрузки Remcos незаметно развертывается, часто скрываясь в каталогах, имитирующих законные системные папки Windows. Этот метод не только облегчает длительный доступ к зараженному компьютеру, но и позволяет вредоносной программе выполнять ряд вредоносных действий, включая кражу пароля и регистрацию нажатий клавиш.
В качестве характерной тактики эти кампании используют скомпрометированные учетные записи электронной почты малых предприятий или образовательных учреждений для распространения вредоносных файлов LNK, которые часто упаковываются в сжатые вложения. В файлах LNK используются передовые методы обхода, в частности, префикс пути в пространстве имен NT "\\?\". Это позволяет вредоносной программе создавать ложный каталог Windows, обходя типичные ограничения на разбор путей, установленные средствами безопасности.
Технический анализ показывает, что эти файлы LNK содержат встроенные сценарии PowerShell, закодированные случайным потоком данных, что увеличивает размер файла и усложняет усилия по обнаружению. Сценарий PowerShell загружает файл .dat в кодировке Base64, который при декодировании создает исполняемый файл, сохраненный с расширением .pif. Несмотря на свой внешний вид, этот исполняемый файл, разработанный с использованием компилятора Borland Delphi, маскируется под документ со значком PDF. После выполнения он реплицируется и генерирует ярлык .URL вместе с четырьмя сильно запутанными пакетными файлами .cmd, предназначенными для выполнения дальнейших вредоносных задач и обеспечения сохраняемости.
Для обфускации этих пакетных файлов используются нетрадиционные символы и бессмысленный текст, что усложняет их анализ и препятствует механизмам обнаружения антивирусом. Эта инновационная стратегия маскировки сочетается со способностью вредоносного ПО маскироваться под легитимный системный каталог, в частности, имитируя "C:\Windows\SysWOW64" (с добавленным пробелом). Этот преднамеренный обман повышает вероятность того, что вредоносное ПО сохранится в скомпрометированных системах.
После установки основной исполняемый файл не только выполняет внедрение процесса в SndVol.exe, законный процесс Windows, но и подключается к серверу управления (C2), размещенному на OVHcloud, используя нетипичный коммуникационный порт (32583). Протокол работы вредоносной программы включает в себя проверку активного подключения к Интернету и оценку языковых настроек системы, чтобы настроить ее работу в зависимости от местоположения жертвы.
Вредоносная программа Remcos является примером растущей сложности угроз, которые могут маскироваться под обычные системные операции, используя обманную тактику, чтобы избежать обнаружения и сохранить долгосрочный доступ. Защитники должны проявлять бдительность в отношении необычных ярлыков для файлов, подозрительных манипуляций с путями доступа и нетипичных соглашений об именовании папок в рамках своих мер безопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносная программа Remcos распространяется с помощью фишинговых электронных писем с вредоносными файлами LNK, которые используют передовые методы обхода для маскировки своего присутствия. После запуска она загружает запутанный сценарий PowerShell, который обеспечивает постоянный доступ и выполняет вредоносные действия, такие как кража пароля, маскируясь под законные системные процессы. Он подключается к серверу C2 через нестандартный порт, что подчеркивает его сложную тактику уклонения от обнаружения.
-----
Недавние кампании с использованием вредоносного ПО Remcos сохранили высокий уровень активности и адаптивности, что позволяет избежать обнаружения. Злоумышленники обычно используют фишинговые электронные письма, содержащие вредоносные файлы, такие как файлы быстрого доступа к Windows, скрипты или документы. Когда жертва открывает эти файлы, программа загрузки Remcos незаметно развертывается, часто скрываясь в каталогах, имитирующих законные системные папки Windows. Этот метод не только облегчает длительный доступ к зараженному компьютеру, но и позволяет вредоносной программе выполнять ряд вредоносных действий, включая кражу пароля и регистрацию нажатий клавиш.
В качестве характерной тактики эти кампании используют скомпрометированные учетные записи электронной почты малых предприятий или образовательных учреждений для распространения вредоносных файлов LNK, которые часто упаковываются в сжатые вложения. В файлах LNK используются передовые методы обхода, в частности, префикс пути в пространстве имен NT "\\?\". Это позволяет вредоносной программе создавать ложный каталог Windows, обходя типичные ограничения на разбор путей, установленные средствами безопасности.
Технический анализ показывает, что эти файлы LNK содержат встроенные сценарии PowerShell, закодированные случайным потоком данных, что увеличивает размер файла и усложняет усилия по обнаружению. Сценарий PowerShell загружает файл .dat в кодировке Base64, который при декодировании создает исполняемый файл, сохраненный с расширением .pif. Несмотря на свой внешний вид, этот исполняемый файл, разработанный с использованием компилятора Borland Delphi, маскируется под документ со значком PDF. После выполнения он реплицируется и генерирует ярлык .URL вместе с четырьмя сильно запутанными пакетными файлами .cmd, предназначенными для выполнения дальнейших вредоносных задач и обеспечения сохраняемости.
Для обфускации этих пакетных файлов используются нетрадиционные символы и бессмысленный текст, что усложняет их анализ и препятствует механизмам обнаружения антивирусом. Эта инновационная стратегия маскировки сочетается со способностью вредоносного ПО маскироваться под легитимный системный каталог, в частности, имитируя "C:\Windows\SysWOW64" (с добавленным пробелом). Этот преднамеренный обман повышает вероятность того, что вредоносное ПО сохранится в скомпрометированных системах.
После установки основной исполняемый файл не только выполняет внедрение процесса в SndVol.exe, законный процесс Windows, но и подключается к серверу управления (C2), размещенному на OVHcloud, используя нетипичный коммуникационный порт (32583). Протокол работы вредоносной программы включает в себя проверку активного подключения к Интернету и оценку языковых настроек системы, чтобы настроить ее работу в зависимости от местоположения жертвы.
Вредоносная программа Remcos является примером растущей сложности угроз, которые могут маскироваться под обычные системные операции, используя обманную тактику, чтобы избежать обнаружения и сохранить долгосрочный доступ. Защитники должны проявлять бдительность в отношении необычных ярлыков для файлов, подозрительных манипуляций с путями доступа и нетипичных соглашений об именовании папок в рамках своих мер безопасности.
#ParsedReport #CompletenessLow
28-06-2025
China-Linked Hackers Exploit Cisco Flaw in Escalating Espionage Campaign
https://www.secureblink.com/cyber-security-news/china-linked-hackers-exploit-cisco-flaw-in-escalating-espionage-campaign
Report completeness: Low
Actors/Campaigns:
Ghostemperor (motivation: cyber_espionage)
Victims:
Canadian telecom company, Eight us telecom firms, Government officials, Political figures
Industry:
Telco, Government, Critical_infrastructure
Geo:
American, Russian, Chinese, America, Canadian, Canada, China
CVEs:
CVE-2023-20198 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- rockwellautomation allen-bradley_stratix_5200_firmware (<17.12.02)
ChatGPT TTPs:
T1005, T1041, T1046, T1098, T1136, T1190
28-06-2025
China-Linked Hackers Exploit Cisco Flaw in Escalating Espionage Campaign
https://www.secureblink.com/cyber-security-news/china-linked-hackers-exploit-cisco-flaw-in-escalating-espionage-campaign
Report completeness: Low
Actors/Campaigns:
Ghostemperor (motivation: cyber_espionage)
Victims:
Canadian telecom company, Eight us telecom firms, Government officials, Political figures
Industry:
Telco, Government, Critical_infrastructure
Geo:
American, Russian, Chinese, America, Canadian, Canada, China
CVEs:
CVE-2023-20198 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- rockwellautomation allen-bradley_stratix_5200_firmware (<17.12.02)
ChatGPT TTPs:
do not use without manual checkT1005, T1041, T1046, T1098, T1136, T1190
Secureblink
China-Linked Hackers Exploit Cisco Flaw in Escalating Espionage Campaign
Chinese hackers breached a Canadian telecom via a Cisco flaw, exposing critical infrastructure to major cyber-espionage. Learn more about the attack.
CTT Report Hub
#ParsedReport #CompletenessLow 28-06-2025 China-Linked Hackers Exploit Cisco Flaw in Escalating Espionage Campaign https://www.secureblink.com/cyber-security-news/china-linked-hackers-exploit-cisco-flaw-in-escalating-espionage-campaign Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Спонсируемая государством группа Salt Typhoon использовала CVE-2023-20198 в Cisco IOS XE для взлома канадского телекоммуникационного провайдера, компрометируя устройства и перехватывая конфиденциальный трафик. Группа нацелена на критически важную инфраструктуру и проводит аналогичные операции по всему миру, подчеркивая необходимость своевременного исправления ошибок и повышения осведомленности о безопасности.
-----
В результате серьезного нарушения кибербезопасности спонсируемая государством китайская хакерская группа, известная как Salt Typhoon, успешно проникла в систему крупного канадского телекоммуникационного провайдера, воспользовавшись известной уязвимостью в Cisco IOS XE, а именно CVE-2023-20198. Эта уязвимость позволяет удаленным злоумышленникам, не прошедшим проверку подлинности, создавать привилегированные учетные записи и получать контроль над уязвимыми устройствами. Первоначальное обнаружение взлома произошло в феврале 2025 года, когда выяснилось, что три сетевых устройства канадской компании были взломаны. Эта уязвимость уже способствовала глобальным атакам на более чем 10 000 устройств с момента ее обнаружения в октябре 2023 года, однако канадский провайдер не смог применить необходимые исправления безопасности, оставив свою инфраструктуру незащищенной.
Проникнув внутрь, злоумышленники извлекли файлы конфигурации со взломанных устройств и перенастроили по крайней мере одно из них для создания туннеля GRE. Это позволило им перехватывать и собирать конфиденциальный сетевой трафик, подчеркивая риск, который эти нарушения представляют для критически важной инфраструктуры. Однако масштабы операций Salt Typhoon выходят за рамки одного телекоммуникационного провайдера; попытки разведки и проникновения были обнаружены в различных секторах Канады, что указывает на более широкую кампанию против критически важных цифровых активов.
Власти Канадского центра кибербезопасности и ФБР выпустили предупреждения о том, что "Солт Тайфун" почти наверняка действует в соответствии с директивами Китайской Народной Республики и, вероятно, продолжит наносить удары по канадским организациям, особенно в сфере телекоммуникаций, по крайней мере в течение следующих двух лет. Параллельно эта группа взломала многочисленные телекоммуникационные компании США, что свидетельствует о широкой и устойчивой кампании, охватывающей множество стран, и некоторые официальные лица США признают, что китайские агенты по-прежнему задействованы в определенных сетях.
Шпионские цели Salt Typhoon сосредоточены в первую очередь на перехвате сообщений, связанных с важными объектами, включая правительственных чиновников и политических деятелей, а также на извлечении конфиденциальных записей телефонных разговоров и метаданных. В ответ и Канада, и США призвали к немедленному усилению защиты сетей и исправлению уязвимых систем. Хотя Пекин отрицает свою причастность, международное сообщество уже начало вводить санкции против причастных к этому китайских компаний.
Сохраняющийся риск, связанный с Salt Typhoon, очевиден, поскольку способность группы использовать известные уязвимости в сочетании с медленным подходом к исправлению представляет постоянную угрозу для критически важной инфраструктуры. Чтобы снизить риски, организациям рекомендуется проводить тщательный аудит своих периферийных устройств, внедрять протоколы быстрой установки исправлений и проявлять бдительность в отношении действий, связанных с методами атаки Salt Typhoon. Канадский центр кибербезопасности подчеркнул, что ответственными за эти нарушения, скорее всего, являются сотрудники Китайской Народной Республики, спонсируемые государством, что подчеркивает необходимость повышения осведомленности и активной защиты от таких APT.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Спонсируемая государством группа Salt Typhoon использовала CVE-2023-20198 в Cisco IOS XE для взлома канадского телекоммуникационного провайдера, компрометируя устройства и перехватывая конфиденциальный трафик. Группа нацелена на критически важную инфраструктуру и проводит аналогичные операции по всему миру, подчеркивая необходимость своевременного исправления ошибок и повышения осведомленности о безопасности.
-----
В результате серьезного нарушения кибербезопасности спонсируемая государством китайская хакерская группа, известная как Salt Typhoon, успешно проникла в систему крупного канадского телекоммуникационного провайдера, воспользовавшись известной уязвимостью в Cisco IOS XE, а именно CVE-2023-20198. Эта уязвимость позволяет удаленным злоумышленникам, не прошедшим проверку подлинности, создавать привилегированные учетные записи и получать контроль над уязвимыми устройствами. Первоначальное обнаружение взлома произошло в феврале 2025 года, когда выяснилось, что три сетевых устройства канадской компании были взломаны. Эта уязвимость уже способствовала глобальным атакам на более чем 10 000 устройств с момента ее обнаружения в октябре 2023 года, однако канадский провайдер не смог применить необходимые исправления безопасности, оставив свою инфраструктуру незащищенной.
Проникнув внутрь, злоумышленники извлекли файлы конфигурации со взломанных устройств и перенастроили по крайней мере одно из них для создания туннеля GRE. Это позволило им перехватывать и собирать конфиденциальный сетевой трафик, подчеркивая риск, который эти нарушения представляют для критически важной инфраструктуры. Однако масштабы операций Salt Typhoon выходят за рамки одного телекоммуникационного провайдера; попытки разведки и проникновения были обнаружены в различных секторах Канады, что указывает на более широкую кампанию против критически важных цифровых активов.
Власти Канадского центра кибербезопасности и ФБР выпустили предупреждения о том, что "Солт Тайфун" почти наверняка действует в соответствии с директивами Китайской Народной Республики и, вероятно, продолжит наносить удары по канадским организациям, особенно в сфере телекоммуникаций, по крайней мере в течение следующих двух лет. Параллельно эта группа взломала многочисленные телекоммуникационные компании США, что свидетельствует о широкой и устойчивой кампании, охватывающей множество стран, и некоторые официальные лица США признают, что китайские агенты по-прежнему задействованы в определенных сетях.
Шпионские цели Salt Typhoon сосредоточены в первую очередь на перехвате сообщений, связанных с важными объектами, включая правительственных чиновников и политических деятелей, а также на извлечении конфиденциальных записей телефонных разговоров и метаданных. В ответ и Канада, и США призвали к немедленному усилению защиты сетей и исправлению уязвимых систем. Хотя Пекин отрицает свою причастность, международное сообщество уже начало вводить санкции против причастных к этому китайских компаний.
Сохраняющийся риск, связанный с Salt Typhoon, очевиден, поскольку способность группы использовать известные уязвимости в сочетании с медленным подходом к исправлению представляет постоянную угрозу для критически важной инфраструктуры. Чтобы снизить риски, организациям рекомендуется проводить тщательный аудит своих периферийных устройств, внедрять протоколы быстрой установки исправлений и проявлять бдительность в отношении действий, связанных с методами атаки Salt Typhoon. Канадский центр кибербезопасности подчеркнул, что ответственными за эти нарушения, скорее всего, являются сотрудники Китайской Народной Республики, спонсируемые государством, что подчеркивает необходимость повышения осведомленности и активной защиты от таких APT.
#ParsedReport #CompletenessMedium
28-06-2025
Excessors filed a complaint: F6 discovered new attacks of the Werewolves group
https://habr.com/ru/companies/F6/articles/922208/
Report completeness: Medium
Actors/Campaigns:
Werewolves
Threats:
Anydesk_tool
Netscan_tool
Cobalt_strike_tool
Meterpreter_tool
Lockbit
Victims:
Industrial enterprises, Telecommunications companies, It companies, Financial organizations, Insurance organizations, Banks, Retail companies, Logistics companies, Energy organizations, Russian airport, have more...
Industry:
Energy, Logistic, Retail, Financial, Aerospace, Telco
Geo:
Russian
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 9.3,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)
ChatGPT TTPs:
T1036.007, T1059, T1071.001, T1105, T1133, T1203, T1204.002, T1486, T1490, T1566.001, have more...
IOCs:
Domain: 14
File: 10
Hash: 19
Email: 3
Soft:
Microsoft Office
Algorithms:
sha1
28-06-2025
Excessors filed a complaint: F6 discovered new attacks of the Werewolves group
https://habr.com/ru/companies/F6/articles/922208/
Report completeness: Medium
Actors/Campaigns:
Werewolves
Threats:
Anydesk_tool
Netscan_tool
Cobalt_strike_tool
Meterpreter_tool
Lockbit
Victims:
Industrial enterprises, Telecommunications companies, It companies, Financial organizations, Insurance organizations, Banks, Retail companies, Logistics companies, Energy organizations, Russian airport, have more...
Industry:
Energy, Logistic, Retail, Financial, Aerospace, Telco
Geo:
Russian
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 9.3,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)
ChatGPT TTPs:
do not use without manual checkT1036.007, T1059, T1071.001, T1105, T1133, T1203, T1204.002, T1486, T1490, T1566.001, have more...
IOCs:
Domain: 14
File: 10
Hash: 19
Email: 3
Soft:
Microsoft Office
Algorithms:
sha1
Хабр
Вымогатели подали претензию: F6 обнаружила новые атаки группы Werewolves
Аналитики Центра кибербезопасности компании F6 обнаружили новую волну вредоносных рассылок от группы Werewolves . Злоумышленники направляют фейковые досудебные претензии с вредоносными...
CTT Report Hub
#ParsedReport #CompletenessMedium 28-06-2025 Excessors filed a complaint: F6 discovered new attacks of the Werewolves group https://habr.com/ru/companies/F6/articles/922208/ Report completeness: Medium Actors/Campaigns: Werewolves Threats: Anydesk_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Werewolves активизировала вредоносные кампании по электронной почте, нацеленные на промышленный и финансовый секторы России, используя такие инструменты, как Cobalt Strike и Lockbit ransomware. Они используют CVE-2017-11882 для доставки вредоносных программ и используют обманчивые вложения с вводящими в заблуждение расширениями, чтобы заманить жертв. Последние методы включают социальную инженерию с помощью поддельных юридических угроз и подмены адреса отправителя.
-----
Центр кибербезопасности F6 выявил возобновление вредоносных рассылок по электронной почте, организованных хакерской группой, известной как Werewolves, которая действует с 2023 года. Эта группа в основном нацелена на промышленные предприятия, телекоммуникационные и IT-компании, а также финансовые и страховые организации в России. Группа Werewolves использует различные инструменты для своей деятельности, в частности Anydesk, Netscan, Cobalt Strike, Meterpreter и программу-вымогатель Lockbit.
Оборотни применяют двойную стратегию вымогательства, используя как шифрование данных, так и тактику публичного позора, раскрывая информацию о жертвах, которые отказываются платить. Их последние кампании по электронной почте включают в себя поддельные юридические угрозы, в частности досудебные иски, и используют социально ориентированный контент, чтобы побудить жертв открывать вредоносные вложения. Группа была отмечена за использование метода, при котором они маскируют вредоносные вложения под законные документы, используя уязвимость CVE-2017-11882, которая позволяет выполнять произвольный код при открытии файла.
В ходе своей последней работы аналитики обнаружили электронные письма, содержащие файлы с вводящими в заблуждение расширениями, такими как .pdf.LNK, которые кажутся безобидными, побуждают жертв открывать их. Эта тактика основана на склонности пользователей не замечать истинные расширения файлов, поскольку стандартные настройки Windows могут их скрывать. Примечательно, что группа "Оборотни" также внедрила методы подмены, маскируя адреса отправителей, чтобы электронные письма выглядели правдоподобно; например, одно электронное письмо якобы пришло от главного бухгалтера российского аэропорта.
Последняя волна атак, зафиксированная в июне 2025 года, была связана с рассылкой электронных писем в различные секторы, включая финансы, энергетику и розничную торговлю, содержащих сжатые архивы с несколькими уровнями вредоносных расширений файлов. Эти полезные устройства настроены на развертывание Cobalt Strike Beacon при получении доступа к вредоносным вложениям, что способствует дальнейшей компрометации целевых систем. Неоднократное использование группой CVE-2017-11882 свидетельствует о последовательной стратегии использования известных уязвимостей для достижения своих вредоносных целей. Своевременное вмешательство кибераналитиков F6 в блокирование этих рассылок по электронной почте демонстрирует постоянную необходимость принятия упреждающих мер кибербезопасности против растущих угроз со стороны групп эксплуатации, таких как оборотни.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Werewolves активизировала вредоносные кампании по электронной почте, нацеленные на промышленный и финансовый секторы России, используя такие инструменты, как Cobalt Strike и Lockbit ransomware. Они используют CVE-2017-11882 для доставки вредоносных программ и используют обманчивые вложения с вводящими в заблуждение расширениями, чтобы заманить жертв. Последние методы включают социальную инженерию с помощью поддельных юридических угроз и подмены адреса отправителя.
-----
Центр кибербезопасности F6 выявил возобновление вредоносных рассылок по электронной почте, организованных хакерской группой, известной как Werewolves, которая действует с 2023 года. Эта группа в основном нацелена на промышленные предприятия, телекоммуникационные и IT-компании, а также финансовые и страховые организации в России. Группа Werewolves использует различные инструменты для своей деятельности, в частности Anydesk, Netscan, Cobalt Strike, Meterpreter и программу-вымогатель Lockbit.
Оборотни применяют двойную стратегию вымогательства, используя как шифрование данных, так и тактику публичного позора, раскрывая информацию о жертвах, которые отказываются платить. Их последние кампании по электронной почте включают в себя поддельные юридические угрозы, в частности досудебные иски, и используют социально ориентированный контент, чтобы побудить жертв открывать вредоносные вложения. Группа была отмечена за использование метода, при котором они маскируют вредоносные вложения под законные документы, используя уязвимость CVE-2017-11882, которая позволяет выполнять произвольный код при открытии файла.
В ходе своей последней работы аналитики обнаружили электронные письма, содержащие файлы с вводящими в заблуждение расширениями, такими как .pdf.LNK, которые кажутся безобидными, побуждают жертв открывать их. Эта тактика основана на склонности пользователей не замечать истинные расширения файлов, поскольку стандартные настройки Windows могут их скрывать. Примечательно, что группа "Оборотни" также внедрила методы подмены, маскируя адреса отправителей, чтобы электронные письма выглядели правдоподобно; например, одно электронное письмо якобы пришло от главного бухгалтера российского аэропорта.
Последняя волна атак, зафиксированная в июне 2025 года, была связана с рассылкой электронных писем в различные секторы, включая финансы, энергетику и розничную торговлю, содержащих сжатые архивы с несколькими уровнями вредоносных расширений файлов. Эти полезные устройства настроены на развертывание Cobalt Strike Beacon при получении доступа к вредоносным вложениям, что способствует дальнейшей компрометации целевых систем. Неоднократное использование группой CVE-2017-11882 свидетельствует о последовательной стратегии использования известных уязвимостей для достижения своих вредоносных целей. Своевременное вмешательство кибераналитиков F6 в блокирование этих рассылок по электронной почте демонстрирует постоянную необходимость принятия упреждающих мер кибербезопасности против растущих угроз со стороны групп эксплуатации, таких как оборотни.
#ParsedReport #CompletenessMedium
28-06-2025
Snake Keylogger in Geopolitical Affairs: Abuse of Trusted Java Utilities in Cybercrime Operations
https://lab52.io/blog/snake-keylogger-in-geopolitical-affairs-abuse-of-trusted-java-utilities-in-cybercrime-operations/
Report completeness: Medium
Actors/Campaigns:
Ta558
Threats:
Snake_keylogger
Spear-phishing_technique
Agent_tesla
Dll_sideloading_technique
Victims:
Companies, Governments, Individuals, Llp ksk petroleum ltd oil and gas, Energy organisations
Industry:
Petroleum, Logistic, Government, Energy
Geo:
Kazakhstan, Asia, Iran, Israel, Middle east, Russian, China, Ukraine
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1082, T1555, T1566.001, T1574.002, T1588.002
IOCs:
File: 6
Email: 2
Hash: 31
Soft:
Google Chrome, Google Chrome Canary, Chromium, Vivaldi, Blisk, Torch, xVast, Microsoft Edge, Nichrome, Kometa, have more...
Algorithms:
zip
Languages:
java
28-06-2025
Snake Keylogger in Geopolitical Affairs: Abuse of Trusted Java Utilities in Cybercrime Operations
https://lab52.io/blog/snake-keylogger-in-geopolitical-affairs-abuse-of-trusted-java-utilities-in-cybercrime-operations/
Report completeness: Medium
Actors/Campaigns:
Ta558
Threats:
Snake_keylogger
Spear-phishing_technique
Agent_tesla
Dll_sideloading_technique
Victims:
Companies, Governments, Individuals, Llp ksk petroleum ltd oil and gas, Energy organisations
Industry:
Petroleum, Logistic, Government, Energy
Geo:
Kazakhstan, Asia, Iran, Israel, Middle east, Russian, China, Ukraine
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1082, T1555, T1566.001, T1574.002, T1588.002
IOCs:
File: 6
Email: 2
Hash: 31
Soft:
Google Chrome, Google Chrome Canary, Chromium, Vivaldi, Blisk, Torch, xVast, Microsoft Edge, Nichrome, Kometa, have more...
Algorithms:
zip
Languages:
java
CTT Report Hub
#ParsedReport #CompletenessMedium 28-06-2025 Snake Keylogger in Geopolitical Affairs: Abuse of Trusted Java Utilities in Cybercrime Operations https://lab52.io/blog/snake-keylogger-in-geopolitical-affairs-abuse-of-trusted-java-utilities-in-cybercrime-operations/…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Новая фишинговая кампания, связанная с кейлоггером Snake, использующая электронную почту для шпионажа и загрузку DLL-файлов, нацелена на различных жертв, которые выдают себя за поставщиков нефти. В кампании используется новая тактика, включающая jsadebugd.exe развертывание вредоносного ПО, которое крадет конфиденциальные данные и скрывает двоичные файлы, используя методы обфускации.
-----
Разведывательная группа S2 Group задокументировала новую фишинговую кампанию, связанную с использованием Snake Keylogger, .NET-взломщика, созданного в России. В этой кампании используются электронные письма с предложением нефтепродуктов, предназначенные для широкого круга жертв, включая корпорации, государственные учреждения и частных лиц. Электронные письма содержат сжатые вложения, которые используют легальную утилиту jsadebugd.exe наряду с технологией дополнительной загрузки DLL для запуска кейлоггера Snake внутри InstallUtil.exe. Вредоносное использование jsadebugd, обычно используемого для отладки на Java, является новой тактикой в этой кампании.
Кейлоггер Snake работает по модели "Вредоносное ПО как услуга" (MaaS), которая ранее применялась в операциях против Украины такими хакерскими группами, как UAC-0041 и TA558. Контекст кампании связан с усилением геополитической напряженности на Ближнем Востоке, в частности, конфликтом между Ираном и Израилем, и потенциальными сбоями в логистике нефти, влияющими на мировые рынки. Используя темы, связанные с этими геополитическими проблемами, такими как боязнь роста цен на нефть и проблемы с цепочками поставок, которые могут возникнуть в результате гипотетической блокады Ормузского пролива, кампания призвана найти отклик у целевой аудитории.
В электронных письмах, предназначенных для шпионажа, пытаются выдать себя за казахстанское ТОО "КСК ПЕТРОЛЕУМ ЛТД ОЙЛ ЭНД ГАЗ" — крупного игрока в области добычи нефти в регионе. После выполнения вредоносное вложение разархивируется, и в нем обнаруживаются двоичные файлы, содержащие переименованный файл jsadebugd.exe, который активирует вредоносную библиотеку DLL jli.dll. Примечательно, что эта библиотека DLL содержит двоичный код Snake Keylogger, скрытый внутри concrt141.dll, дополненный методами обфускации для обхода мер безопасности путем добавления посторонних двоичных данных перед заголовком MZ.
С точки зрения функциональности, кейлоггер Snake, как известно, извлекает конфиденциальные данные, включая пароли от различных приложений и веб-браузеров, и захватывает ключ продукта Windows зараженного компьютера. Кроме того, вредоносная программа сообщает IP-адрес и источник взломанной системы, используя легальные сервисы, такие как reallyfreegeoip.org и checkip.dyndns.org. Обнаружение 29 других образцов, использующих аналогичные методы, подтверждает связь этих действий с одним хакером, что указывает на систематический и скоординированный подход к заражению.
Такое растущее использование jsadebugd в злонамеренных целях свидетельствует об изменении тактики группы кейлоггеров Snake, предполагающей сложную адаптацию для использования геополитической неопределенности и слабых мест в традиционных средствах защиты. Поскольку международный интерес к нефти в условиях ближневосточного кризиса растет, цель этой кампании - использовать эту динамику для эффективного воздействия на энергетические организации.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Новая фишинговая кампания, связанная с кейлоггером Snake, использующая электронную почту для шпионажа и загрузку DLL-файлов, нацелена на различных жертв, которые выдают себя за поставщиков нефти. В кампании используется новая тактика, включающая jsadebugd.exe развертывание вредоносного ПО, которое крадет конфиденциальные данные и скрывает двоичные файлы, используя методы обфускации.
-----
Разведывательная группа S2 Group задокументировала новую фишинговую кампанию, связанную с использованием Snake Keylogger, .NET-взломщика, созданного в России. В этой кампании используются электронные письма с предложением нефтепродуктов, предназначенные для широкого круга жертв, включая корпорации, государственные учреждения и частных лиц. Электронные письма содержат сжатые вложения, которые используют легальную утилиту jsadebugd.exe наряду с технологией дополнительной загрузки DLL для запуска кейлоггера Snake внутри InstallUtil.exe. Вредоносное использование jsadebugd, обычно используемого для отладки на Java, является новой тактикой в этой кампании.
Кейлоггер Snake работает по модели "Вредоносное ПО как услуга" (MaaS), которая ранее применялась в операциях против Украины такими хакерскими группами, как UAC-0041 и TA558. Контекст кампании связан с усилением геополитической напряженности на Ближнем Востоке, в частности, конфликтом между Ираном и Израилем, и потенциальными сбоями в логистике нефти, влияющими на мировые рынки. Используя темы, связанные с этими геополитическими проблемами, такими как боязнь роста цен на нефть и проблемы с цепочками поставок, которые могут возникнуть в результате гипотетической блокады Ормузского пролива, кампания призвана найти отклик у целевой аудитории.
В электронных письмах, предназначенных для шпионажа, пытаются выдать себя за казахстанское ТОО "КСК ПЕТРОЛЕУМ ЛТД ОЙЛ ЭНД ГАЗ" — крупного игрока в области добычи нефти в регионе. После выполнения вредоносное вложение разархивируется, и в нем обнаруживаются двоичные файлы, содержащие переименованный файл jsadebugd.exe, который активирует вредоносную библиотеку DLL jli.dll. Примечательно, что эта библиотека DLL содержит двоичный код Snake Keylogger, скрытый внутри concrt141.dll, дополненный методами обфускации для обхода мер безопасности путем добавления посторонних двоичных данных перед заголовком MZ.
С точки зрения функциональности, кейлоггер Snake, как известно, извлекает конфиденциальные данные, включая пароли от различных приложений и веб-браузеров, и захватывает ключ продукта Windows зараженного компьютера. Кроме того, вредоносная программа сообщает IP-адрес и источник взломанной системы, используя легальные сервисы, такие как reallyfreegeoip.org и checkip.dyndns.org. Обнаружение 29 других образцов, использующих аналогичные методы, подтверждает связь этих действий с одним хакером, что указывает на систематический и скоординированный подход к заражению.
Такое растущее использование jsadebugd в злонамеренных целях свидетельствует об изменении тактики группы кейлоггеров Snake, предполагающей сложную адаптацию для использования геополитической неопределенности и слабых мест в традиционных средствах защиты. Поскольку международный интерес к нефти в условиях ближневосточного кризиса растет, цель этой кампании - использовать эту динамику для эффективного воздействия на энергетические организации.
#ParsedReport #CompletenessHigh
28-06-2025
ODYSSEY STEALER : THE REBRAND OF POSEIDON STEALER
https://www.cyfirma.com/research/odyssey-stealer-the-rebrand-of-poseidon-stealer/
Report completeness: High
Actors/Campaigns:
Ping3r
Threats:
Odyssey_stealer
Poseidon
Clickfix_technique
Typosquatting_technique
Amos_stealer
Industry:
Financial
Geo:
Russian, Russia
TTPs:
Tactics: 6
Technics: 14
IOCs:
Url: 2
File: 7
Domain: 14
IP: 11
Hash: 1
Soft:
macOS, Opera, Firefox, curl, Chrome, Firefox
Wallets:
electrum, coinomi, exodus_wallet, metamask, tron
Crypto:
binance
Algorithms:
base64, zip
Languages:
applescript
Platforms:
apple
28-06-2025
ODYSSEY STEALER : THE REBRAND OF POSEIDON STEALER
https://www.cyfirma.com/research/odyssey-stealer-the-rebrand-of-poseidon-stealer/
Report completeness: High
Actors/Campaigns:
Ping3r
Threats:
Odyssey_stealer
Poseidon
Clickfix_technique
Typosquatting_technique
Amos_stealer
Industry:
Financial
Geo:
Russian, Russia
TTPs:
Tactics: 6
Technics: 14
IOCs:
Url: 2
File: 7
Domain: 14
IP: 11
Hash: 1
Soft:
macOS, Opera, Firefox, curl, Chrome, Firefox
Wallets:
electrum, coinomi, exodus_wallet, metamask, tron
Crypto:
binance
Algorithms:
base64, zip
Languages:
applescript
Platforms:
apple
CYFIRMA
ODYSSEY STEALER : THE REBRAND OF POSEIDON STEALER - CYFIRMA
EXECUTIVE SUMMARY The CYFIRMA research team has uncovered multiple websites employing Clickfix tactics to deliver malicious AppleScripts (osascripts). These scripts...
CTT Report Hub
#ParsedReport #CompletenessHigh 28-06-2025 ODYSSEY STEALER : THE REBRAND OF POSEIDON STEALER https://www.cyfirma.com/research/odyssey-stealer-the-rebrand-of-poseidon-stealer/ Report completeness: High Actors/Campaigns: Ping3r Threats: Odyssey_stealer…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Odyssey Stealer - это инфокрад для macOS, который использует Clickfix для доставки вредоносных AppleScripts через финансовые и криптосайты с опечатками. Он вводит пользователей в заблуждение с помощью поддельной CAPTCHA, позволяя незаметно перехватывать учетные данные и нацеливаясь на конфиденциальные данные, включая информацию о крипто-кошельке. Вредоносная программа использует надежные методы сбора данных и эксфильтрации, повторяет попытки загрузки для обеспечения сохраняемости и связана с другими вредоносными программами, такими как Poseidon Stealer, и связана с российскими киберпреступниками.
-----
Odyssey Stealer - это инфокрад, ориентированный на macOS, который использует Clickfix для доставки вредоносных скриптов AppleScripts. Он нацелен на людей, занимающихся финансами и криптовалютой, размещая скрипты на веб-сайтах с опечатками. Вредоносная программа использует вводящую в заблуждение капчу, чтобы ввести пользователей в заблуждение при выполнении команд. В первую очередь она поражает macOS, но может распространяться и на устройства Windows.
Odyssey Stealer перехватывает учетные данные пользователя с помощью команды macOS dscl с параметром authonly, действуя скрытно. Он крадет конфиденциальные данные, включая файлы cookie браузера, сохраненные пароли и информацию о криптовалютном кошельке. Специально для этого предназначены файлы для связок ключей из macOS, а также популярные кошельки, такие как Electrum и MetaMask.
Вредоносная программа собирает данные из нескольких браузеров, включая Chrome, Firefox и Safari, извлекая учетные данные, финансовые данные и токены сеанса. Она загружает украденные данные на сервер злоумышленника, используя повторяющиеся POST-запросы со встроенными механизмами повторных попыток для сохранения.
Структура управления поддерживает пользовательские варианты вредоносных программ и подключена к экосистеме malware-a-a-service, относящейся к Poseidon Stealer и AMOS Stealer. Операторы избегают таргетинга на пользователей в странах СНГ, следуя примеру российских киберпреступных группировок.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Odyssey Stealer - это инфокрад для macOS, который использует Clickfix для доставки вредоносных AppleScripts через финансовые и криптосайты с опечатками. Он вводит пользователей в заблуждение с помощью поддельной CAPTCHA, позволяя незаметно перехватывать учетные данные и нацеливаясь на конфиденциальные данные, включая информацию о крипто-кошельке. Вредоносная программа использует надежные методы сбора данных и эксфильтрации, повторяет попытки загрузки для обеспечения сохраняемости и связана с другими вредоносными программами, такими как Poseidon Stealer, и связана с российскими киберпреступниками.
-----
Odyssey Stealer - это инфокрад, ориентированный на macOS, который использует Clickfix для доставки вредоносных скриптов AppleScripts. Он нацелен на людей, занимающихся финансами и криптовалютой, размещая скрипты на веб-сайтах с опечатками. Вредоносная программа использует вводящую в заблуждение капчу, чтобы ввести пользователей в заблуждение при выполнении команд. В первую очередь она поражает macOS, но может распространяться и на устройства Windows.
Odyssey Stealer перехватывает учетные данные пользователя с помощью команды macOS dscl с параметром authonly, действуя скрытно. Он крадет конфиденциальные данные, включая файлы cookie браузера, сохраненные пароли и информацию о криптовалютном кошельке. Специально для этого предназначены файлы для связок ключей из macOS, а также популярные кошельки, такие как Electrum и MetaMask.
Вредоносная программа собирает данные из нескольких браузеров, включая Chrome, Firefox и Safari, извлекая учетные данные, финансовые данные и токены сеанса. Она загружает украденные данные на сервер злоумышленника, используя повторяющиеся POST-запросы со встроенными механизмами повторных попыток для сохранения.
Структура управления поддерживает пользовательские варианты вредоносных программ и подключена к экосистеме malware-a-a-service, относящейся к Poseidon Stealer и AMOS Stealer. Операторы избегают таргетинга на пользователей в странах СНГ, следуя примеру российских киберпреступных группировок.
#ParsedReport #CompletenessHigh
28-06-2025
Anubis Ransomware Targets Global Victims with Wiper Functionality
https://www.picussecurity.com/resource/blog/anubis-ransomware-targets-global-victims-with-wiper-functionality
Report completeness: High
Threats:
Anubis
Spear-phishing_technique
Sphinx
Shadow_copies_delete_technique
Vssadmin_tool
Industry:
Healthcare
Geo:
Canada, Peru, Australia
TTPs:
Tactics: 1
Technics: 8
IOCs:
File: 24
Command: 1
Registry: 1
Hash: 1
Soft:
nuget, vscode, Defwatch, wordpad, onenote, outlook, firefox, thebat, QuickBooks, MSExchange, have more...
Algorithms:
aes, md5, sha256, sha1
Functions:
checkAdmin, IsUserAnAdmin, Windows
Win API:
CreateProcessWithTokenW
Win Services:
sqlbrowser, Sqlservr, SQLAgent, SQLAgent$SHAREPOINT, sqladhlp, SQLWriter, dbeng50, dbsnmp, isqlplussvc, msmdsrv, have more...
Languages:
dotnet
Platforms:
x86, intel
28-06-2025
Anubis Ransomware Targets Global Victims with Wiper Functionality
https://www.picussecurity.com/resource/blog/anubis-ransomware-targets-global-victims-with-wiper-functionality
Report completeness: High
Threats:
Anubis
Spear-phishing_technique
Sphinx
Shadow_copies_delete_technique
Vssadmin_tool
Industry:
Healthcare
Geo:
Canada, Peru, Australia
TTPs:
Tactics: 1
Technics: 8
IOCs:
File: 24
Command: 1
Registry: 1
Hash: 1
Soft:
nuget, vscode, Defwatch, wordpad, onenote, outlook, firefox, thebat, QuickBooks, MSExchange, have more...
Algorithms:
aes, md5, sha256, sha1
Functions:
checkAdmin, IsUserAnAdmin, Windows
Win API:
CreateProcessWithTokenW
Win Services:
sqlbrowser, Sqlservr, SQLAgent, SQLAgent$SHAREPOINT, sqladhlp, SQLWriter, dbeng50, dbsnmp, isqlplussvc, msmdsrv, have more...
Languages:
dotnet
Platforms:
x86, intel
Picussecurity
Anubis Ransomware Targets Global Victims with Wiper Functionality
Analysis of an Anubis ransomware sample showing encryption, file wiping, and mapped MITRE ATT&CK techniques.