#ParsedReport #CompletenessLow
14-07-2025
Forensic journey: Breaking down the UserAssist artifact structure
https://securelist.com/userassist-artifact-forensic-value-for-incident-response/116911/
Report completeness: Low
ChatGPT TTPs:
T1059, T1569.002
IOCs:
File: 6
Hash: 1
Soft:
Windows Explorer, Process Explorer, Sysinternals, PsExec, Chrome
Functions:
FireEvent
Links:
14-07-2025
Forensic journey: Breaking down the UserAssist artifact structure
https://securelist.com/userassist-artifact-forensic-value-for-incident-response/116911/
Report completeness: Low
ChatGPT TTPs:
do not use without manual checkT1059, T1569.002
IOCs:
File: 6
Hash: 1
Soft:
Windows Explorer, Process Explorer, Sysinternals, PsExec, Chrome
Functions:
FireEvent
Links:
https://github.com/PacktPublishing/Learning-Python-for-Forensics/blob/master/Chapter%206/userassist\_parser.pyhttps://github.com/Awad93/Userassist\_parserSecurelist
What is UserAssist and how to use it in IR activities?
A Kaspersky GERT expert describes the UserAssist Windows artifact, including previously undocumented binary data structure, and shares a useful parsing tool.
CTT Report Hub
#ParsedReport #CompletenessLow 14-07-2025 Forensic journey: Breaking down the UserAssist artifact structure https://securelist.com/userassist-artifact-forensic-value-for-incident-response/116911/ Report completeness: Low ChatGPT TTPs: do not use without…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
UserAssist - это криминалистический артефакт, который отслеживает использование приложения и может выявлять враждебные действия с помощью регистрации параметров выполнения. Анализ выявляет роль значения UEME_CTLSESSION в представлении пользовательских данных и идентифицирует неизвестную структуру данных, которая помогает различать поведение доброкачественного и вредоносного программного обеспечения на основе количества запусков и методов выполнения.
-----
UserAssist - это ценный криминалистический инструмент, используемый в кибер-расследованиях, в частности, для отслеживания враждебных действий и выявления вредоносных программ. Несмотря на его значимость, UserAssist изучался ограниченно, что привело к пробелам в понимании его интерпретации данных, условий ведения журнала и триггеров. Этот анализ углубляется в UserAssist, проясняя его представление данных и процессы, связанные с его созданием и обновлением. В нем особо подчеркивается значение UEME_CTLSESSION и его роль в регистрации данных UserAssist, а также представлена ранее неизвестная структура данных UserAssist.
Записи UserAssist содержат различные параметры. В первом сценарии используются четыре параметра: количество запусков, количество фокусов, время фокусировки и время последнего выполнения, которые обычно указывают на приложение с графическим интерфейсом, запускаемое обычными способами, такими как двойной щелчок в проводнике Windows. Второй сценарий характеризуется записями, содержащими только количество запусков и время последнего выполнения, указывающими на программу, запущенную двойным щелчком по ярлыку LNK, или программу установки, которая переключает фокус на другой графический интерфейс. В качестве примера можно привести выполнение копии calc.exe, где отображаемый графический интерфейс был приложением UWP для калькулятора, а не ожидаемым настольным приложением.
В третьем сценарии присутствуют записи, содержащие только количество фокусов и время фокусировки, когда программа с графическим интерфейсом выполняется с помощью нестандартных средств, таких как командная строка. Например, при выполнении копии Process Explorer с помощью cmd записываются только количество фокусов и время фокусировки. Кроме того, проверка с помощью whoami.exe через PsExec показала, что инструмент появился как дочерний процесс, удовлетворяющий определенным условиям, необходимым для регистрации в UserAssist.
Класс CUASession, расположенный в shell32.dll, управляет статистикой, относящейся к сеансам ведения журнала UserAssist, включая общее количество выполненных сеансов и количество фокусов. Свойства CUASession заключены в значение UEME_CTLSESSION. Часто появляющиеся программы с большим количеством запусков указывают на предпочтения пользователей, в то время как программы с низким или нулевым количеством запусков предполагают отказ от них. Это различие служит не только для оценки опыта пользователей, но и помогает в поиске угроз, поскольку позволяет идентифицировать потенциально вредоносное программное обеспечение, которое может быть упущено из виду. Программы, отнесенные к категории с высоким значением -1, как правило, являются новыми, что указывает на отсутствие сброшенных данных в течение двух дней после взаимодействия с пользователем. Подробное изучение записей пользователей может облегчить расследование поведения как доброкачественных, так и вредоносных программ.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
UserAssist - это криминалистический артефакт, который отслеживает использование приложения и может выявлять враждебные действия с помощью регистрации параметров выполнения. Анализ выявляет роль значения UEME_CTLSESSION в представлении пользовательских данных и идентифицирует неизвестную структуру данных, которая помогает различать поведение доброкачественного и вредоносного программного обеспечения на основе количества запусков и методов выполнения.
-----
UserAssist - это ценный криминалистический инструмент, используемый в кибер-расследованиях, в частности, для отслеживания враждебных действий и выявления вредоносных программ. Несмотря на его значимость, UserAssist изучался ограниченно, что привело к пробелам в понимании его интерпретации данных, условий ведения журнала и триггеров. Этот анализ углубляется в UserAssist, проясняя его представление данных и процессы, связанные с его созданием и обновлением. В нем особо подчеркивается значение UEME_CTLSESSION и его роль в регистрации данных UserAssist, а также представлена ранее неизвестная структура данных UserAssist.
Записи UserAssist содержат различные параметры. В первом сценарии используются четыре параметра: количество запусков, количество фокусов, время фокусировки и время последнего выполнения, которые обычно указывают на приложение с графическим интерфейсом, запускаемое обычными способами, такими как двойной щелчок в проводнике Windows. Второй сценарий характеризуется записями, содержащими только количество запусков и время последнего выполнения, указывающими на программу, запущенную двойным щелчком по ярлыку LNK, или программу установки, которая переключает фокус на другой графический интерфейс. В качестве примера можно привести выполнение копии calc.exe, где отображаемый графический интерфейс был приложением UWP для калькулятора, а не ожидаемым настольным приложением.
В третьем сценарии присутствуют записи, содержащие только количество фокусов и время фокусировки, когда программа с графическим интерфейсом выполняется с помощью нестандартных средств, таких как командная строка. Например, при выполнении копии Process Explorer с помощью cmd записываются только количество фокусов и время фокусировки. Кроме того, проверка с помощью whoami.exe через PsExec показала, что инструмент появился как дочерний процесс, удовлетворяющий определенным условиям, необходимым для регистрации в UserAssist.
Класс CUASession, расположенный в shell32.dll, управляет статистикой, относящейся к сеансам ведения журнала UserAssist, включая общее количество выполненных сеансов и количество фокусов. Свойства CUASession заключены в значение UEME_CTLSESSION. Часто появляющиеся программы с большим количеством запусков указывают на предпочтения пользователей, в то время как программы с низким или нулевым количеством запусков предполагают отказ от них. Это различие служит не только для оценки опыта пользователей, но и помогает в поиске угроз, поскольку позволяет идентифицировать потенциально вредоносное программное обеспечение, которое может быть упущено из виду. Программы, отнесенные к категории с высоким значением -1, как правило, являются новыми, что указывает на отсутствие сброшенных данных в течение двух дней после взаимодействия с пользователем. Подробное изучение записей пользователей может облегчить расследование поведения как доброкачественных, так и вредоносных программ.
#ParsedReport #CompletenessLow
14-07-2025
Behind the Clouds: Attackers Targeting Governments in Southeast Asia Implement Novel Covert C2 Communication
https://unit42.paloaltonetworks.com/windows-backdoor-for-novel-c2-communication/
Report completeness: Low
Actors/Campaigns:
Cl-sta-1020
Threats:
Dll_sideloading_technique
Hazybeacon
Victims:
Governmental entities, Government agencies
Industry:
Government
Geo:
Asia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1005, T1036.005, T1071.001, T1071.004, T1074.001, T1082, T1105, T1543.003, T1567.002, T1573.001, have more...
IOCs:
Path: 8
File: 7
Hash: 7
Soft:
Dropbox, Windows service
Algorithms:
sha256, zip
14-07-2025
Behind the Clouds: Attackers Targeting Governments in Southeast Asia Implement Novel Covert C2 Communication
https://unit42.paloaltonetworks.com/windows-backdoor-for-novel-c2-communication/
Report completeness: Low
Actors/Campaigns:
Cl-sta-1020
Threats:
Dll_sideloading_technique
Hazybeacon
Victims:
Governmental entities, Government agencies
Industry:
Government
Geo:
Asia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1036.005, T1071.001, T1071.004, T1074.001, T1082, T1105, T1543.003, T1567.002, T1573.001, have more...
IOCs:
Path: 8
File: 7
Hash: 7
Soft:
Dropbox, Windows service
Algorithms:
sha256, zip
Unit 42
Behind the Clouds: Attackers Targeting Governments in Southeast Asia Implement Novel Covert C2 Communication
CL-STA-1020 targets Southeast Asian governments using a novel Microsoft backdoor we call HazyBeacon. It misuses AWS Lambda URLs for C2. CL-STA-1020 targets Southeast Asian governments using a novel Microsoft backdoor we call HazyBeacon. It misuses AWS Lambda…
CTT Report Hub
#ParsedReport #CompletenessLow 14-07-2025 Behind the Clouds: Attackers Targeting Governments in Southeast Asia Implement Novel Covert C2 Communication https://unit42.paloaltonetworks.com/windows-backdoor-for-novel-c2-communication/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С конца 2024 года кластер угроз CL-STA-1020 нацелен на правительственные учреждения Юго-Восточной Азии с помощью бэкдора HazyBeacon, который использует URL-адреса AWS Lambda для управления. HazyBeacon использует дополнительную загрузку библиотек DLL для развертывания, компрометируя системы с помощью mscorsvc.dll и поддерживает постоянство работы с помощью службы Windows под названием msdnetsvc. Он пытается отфильтровать данные через Google Диск и Dropbox, выявляя сложные методы обхода в рамках законного облачного трафика.
-----
С конца 2024 года исследователи наблюдали за хакерской группой, идентифицированной как CL-STA-1020, которая нацелена на правительственные учреждения в Юго-Восточной Азии. Злоумышленники, стоящие за этой деятельностью, в основном сосредоточились на сборе конфиденциальных данных, связанных с тарифами и торговыми спорами. Примечательно, что они применили новый инновационный бэкдор для Windows под названием HazyBeacon, который использует лямбда-URL-адреса Amazon Web Services (AWS) для обмена данными между командами и контролерами (C2). Такой подход позволяет хакерам использовать законные облачные функции, скрывая свои вредоносные действия и создавая надежный канал связи, который в то же время трудно обнаружить.
Тщательное расследование показало, что HazyBeacon использует дополнительную загрузку библиотек DLL в качестве метода развертывания. Злоумышленники взломали систему, разместив вредоносную библиотеку динамических ссылок (DLL) в каталоге сборки Windows, специально предназначенном для mscorsvc.dll, и разместив ее рядом с подлинным исполняемым файлом mscorsvw.exe. При запуске легитимного исполняемого файла он непреднамеренно загрузил вредоносную библиотеку DLL, в результате чего было установлено соединение C2 с вредоносным лямбда-URL. Этот метод не только инициирует контакт с инфраструктурой злоумышленника, но и создает значительные трудности для традиционных методов обнаружения.
Чтобы сохранить работоспособность на зараженных компьютерах, злоумышленники создали службу Windows под названием msdnetsvc, гарантирующую, что DLL-библиотека HazyBeacon будет запускаться во время перезагрузки системы. Эта манипуляция важна, поскольку она позволяет злоумышленникам закрепиться на постоянной основе, позволяя их пользовательскому серверу C2 беспрепятственно обрабатывать запросы на использование маяков от скомпрометированных систем. Кроме того, злоумышленники использовали сервисы AWS для маскировки своих действий, используя либо свои собственные, либо скомпрометированные учетные записи AWS, чтобы обеспечить определенную степень легитимности, которая может ввести в заблуждение как механизмы обнаружения, так и усилия по мониторингу сети.
Во время атаки бэкдор HazyBeacon установил свой канал C2 через URL AWS Lambda, что позволило ему смешивать свой трафик с подлинными коммуникациями AWS. После создания этого канала вредоносная программа начала получать команды и дополнительные полезные файлы для загрузки, которые она сохраняла в каталоге C:\ProgramData. Исходная полезная нагрузка, обозначенная как igfx.exe, действовала как сборщик файлов, который аккуратно архивировал собранные файлы в соответствии с указанными расширениями и временными диапазонами.
Злоумышленники также попытались получить доступ к данным, используя инструменты для подключения к Google Диску и Dropbox, маскируя свои операции в рамках обычного сетевого трафика. Однако эти попытки загрузки были обнаружены и заблокированы принятыми мерами безопасности. Кампания иллюстрирует сложные методы, позволяющие избежать обнаружения при осуществлении шпионской деятельности за счет использования законных облачных сервисов как для связи C2, так и для утечки данных, подчеркивая проблемы, с которыми сталкиваются службы безопасности при выявлении и противодействии начинающим хакерам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С конца 2024 года кластер угроз CL-STA-1020 нацелен на правительственные учреждения Юго-Восточной Азии с помощью бэкдора HazyBeacon, который использует URL-адреса AWS Lambda для управления. HazyBeacon использует дополнительную загрузку библиотек DLL для развертывания, компрометируя системы с помощью mscorsvc.dll и поддерживает постоянство работы с помощью службы Windows под названием msdnetsvc. Он пытается отфильтровать данные через Google Диск и Dropbox, выявляя сложные методы обхода в рамках законного облачного трафика.
-----
С конца 2024 года исследователи наблюдали за хакерской группой, идентифицированной как CL-STA-1020, которая нацелена на правительственные учреждения в Юго-Восточной Азии. Злоумышленники, стоящие за этой деятельностью, в основном сосредоточились на сборе конфиденциальных данных, связанных с тарифами и торговыми спорами. Примечательно, что они применили новый инновационный бэкдор для Windows под названием HazyBeacon, который использует лямбда-URL-адреса Amazon Web Services (AWS) для обмена данными между командами и контролерами (C2). Такой подход позволяет хакерам использовать законные облачные функции, скрывая свои вредоносные действия и создавая надежный канал связи, который в то же время трудно обнаружить.
Тщательное расследование показало, что HazyBeacon использует дополнительную загрузку библиотек DLL в качестве метода развертывания. Злоумышленники взломали систему, разместив вредоносную библиотеку динамических ссылок (DLL) в каталоге сборки Windows, специально предназначенном для mscorsvc.dll, и разместив ее рядом с подлинным исполняемым файлом mscorsvw.exe. При запуске легитимного исполняемого файла он непреднамеренно загрузил вредоносную библиотеку DLL, в результате чего было установлено соединение C2 с вредоносным лямбда-URL. Этот метод не только инициирует контакт с инфраструктурой злоумышленника, но и создает значительные трудности для традиционных методов обнаружения.
Чтобы сохранить работоспособность на зараженных компьютерах, злоумышленники создали службу Windows под названием msdnetsvc, гарантирующую, что DLL-библиотека HazyBeacon будет запускаться во время перезагрузки системы. Эта манипуляция важна, поскольку она позволяет злоумышленникам закрепиться на постоянной основе, позволяя их пользовательскому серверу C2 беспрепятственно обрабатывать запросы на использование маяков от скомпрометированных систем. Кроме того, злоумышленники использовали сервисы AWS для маскировки своих действий, используя либо свои собственные, либо скомпрометированные учетные записи AWS, чтобы обеспечить определенную степень легитимности, которая может ввести в заблуждение как механизмы обнаружения, так и усилия по мониторингу сети.
Во время атаки бэкдор HazyBeacon установил свой канал C2 через URL AWS Lambda, что позволило ему смешивать свой трафик с подлинными коммуникациями AWS. После создания этого канала вредоносная программа начала получать команды и дополнительные полезные файлы для загрузки, которые она сохраняла в каталоге C:\ProgramData. Исходная полезная нагрузка, обозначенная как igfx.exe, действовала как сборщик файлов, который аккуратно архивировал собранные файлы в соответствии с указанными расширениями и временными диапазонами.
Злоумышленники также попытались получить доступ к данным, используя инструменты для подключения к Google Диску и Dropbox, маскируя свои операции в рамках обычного сетевого трафика. Однако эти попытки загрузки были обнаружены и заблокированы принятыми мерами безопасности. Кампания иллюстрирует сложные методы, позволяющие избежать обнаружения при осуществлении шпионской деятельности за счет использования законных облачных сервисов как для связи C2, так и для утечки данных, подчеркивая проблемы, с которыми сталкиваются службы безопасности при выявлении и противодействии начинающим хакерам.
#ParsedReport #CompletenessMedium
14-07-2025
DarkWatchman malware: SFX archives, XOR encryption and domain generation algorithm
https://habr.com/ru/companies/usergate/articles/927442/
Report completeness: Medium
Threats:
Darkwatchman
Buhtrap
Process_hacker_tool
Dynamicwrapperx
Shadow_copies_delete_technique
Keilger
ChatGPT TTPs:
T1027, T1059.001, T1059.007, T1070.003, T1105, T1106, T1140, T1204.002, T1218.005, T1566.001, have more...
IOCs:
File: 13
Registry: 1
Url: 120
Hash: 38
Soft:
Outlook, Windows Explorer, Chrome, Firefox
Algorithms:
zip, xor, crc-32
Functions:
get_actually_url
Languages:
php, python, javascript, powershell
14-07-2025
DarkWatchman malware: SFX archives, XOR encryption and domain generation algorithm
https://habr.com/ru/companies/usergate/articles/927442/
Report completeness: Medium
Threats:
Darkwatchman
Buhtrap
Process_hacker_tool
Dynamicwrapperx
Shadow_copies_delete_technique
Keilger
ChatGPT TTPs:
do not use without manual checkT1027, T1059.001, T1059.007, T1070.003, T1105, T1106, T1140, T1204.002, T1218.005, T1566.001, have more...
IOCs:
File: 13
Registry: 1
Url: 120
Hash: 38
Soft:
Outlook, Windows Explorer, Chrome, Firefox
Algorithms:
zip, xor, crc-32
Functions:
get_actually_url
Languages:
php, python, javascript, powershell
Хабр
ВПО DarkWatchman: SFX-архивы, XOR-шифрование и алгоритм генерации доменов
Привет, Хабр! На связи снова команда UserGate uFactor , и мы продолжаем делиться нашими исследованиями в области кибербезопасности. В прошлом материале мы рассказали о двух сценариях атаки: об атаке...
CTT Report Hub
#ParsedReport #CompletenessMedium 14-07-2025 DarkWatchman malware: SFX archives, XOR encryption and domain generation algorithm https://habr.com/ru/companies/usergate/articles/927442/ Report completeness: Medium Threats: Darkwatchman Buhtrap Process_hacker_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносная программа DarkWatchman (Buhtrap) распространяется через фишинговые электронные письма с обманчивыми ZIP-файлами и самораспаковывающимися скриптами. Для выполнения она использует PowerShell, алгоритмы динамической генерации доменов для взаимодействия с сервером и методы обфускации, позволяющие избежать обнаружения. Вредоносная программа может стирать историю посещенных страниц и использует эффективную стратегию обхода средств безопасности.
-----
В основе анализа лежит вредоносная программа DarkWatchman (Buhtrap), которая распространяется с помощью фишинговых электронных писем, содержащих ZIP-архив, маскирующийся под обычный файл. ZIP-файл представляет собой самораспаковывающийся (SFX) архив, содержащий установочный скрипт на JavaScript и основной вредоносный модуль. Вредоносная программа использует тактику социальной инженерии, используя значок PDF-файла и функцию "Скрыть расширение для известных типов файлов", которая может ввести потенциальных жертв в заблуждение и побудить их запустить вредоносное ПО.
Чтобы изучить электронное письмо и его отправителя, аналитикам рекомендуется ознакомиться с заголовком электронного письма, чтобы убедиться в легитимности почтового сервера отправителя. В примере DarkWatchman, в частности, используется процесс выполнения скрипта, инициируемый командой PowerShell, которая запускает основной вредоносный файл, идентифицированный как 4157934657, через Windows Script Host (WSCRIPT), который выполняет такие скрипты, как JavaScript и VBS.
Дальнейший анализ извлеченного скрипта показывает его сложность и многофункциональность, в частности, благодаря алгоритму генерации домена (DGA), который он реализует для облегчения взаимодействия с командным сервером. Это позволяет выполнять команды динамически, когда вредоносная программа может выделять память и запускать дополнительные модули, поставляемые сервером. Кроме того, скрипт использует криптографические методы, такие как XOR-сдвиг, чтобы запутать свое поведение и избежать обнаружения автоматизированными системами безопасности.
Вредоносная программа обладает широкими возможностями, включая возможность удалять историю посещений различных веб-браузеров, таких как Chrome, Yandex, Firefox и Edge. Она инициирует атаку, внедряясь в кажущееся безобидным вложение в фишинговых письмах, тем самым подвергая опасности пользователей, не подозревающих о ее истинной природе. Для поддержания стабильного сетевого взаимодействия DarkWatchman использует свой DGA, улучшающий методы обхода по сравнению с методами статического анализа и инструментами обнаружения. Такой многоуровневый подход делает DarkWatchman серьезной угрозой в сфере киберпреступности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносная программа DarkWatchman (Buhtrap) распространяется через фишинговые электронные письма с обманчивыми ZIP-файлами и самораспаковывающимися скриптами. Для выполнения она использует PowerShell, алгоритмы динамической генерации доменов для взаимодействия с сервером и методы обфускации, позволяющие избежать обнаружения. Вредоносная программа может стирать историю посещенных страниц и использует эффективную стратегию обхода средств безопасности.
-----
В основе анализа лежит вредоносная программа DarkWatchman (Buhtrap), которая распространяется с помощью фишинговых электронных писем, содержащих ZIP-архив, маскирующийся под обычный файл. ZIP-файл представляет собой самораспаковывающийся (SFX) архив, содержащий установочный скрипт на JavaScript и основной вредоносный модуль. Вредоносная программа использует тактику социальной инженерии, используя значок PDF-файла и функцию "Скрыть расширение для известных типов файлов", которая может ввести потенциальных жертв в заблуждение и побудить их запустить вредоносное ПО.
Чтобы изучить электронное письмо и его отправителя, аналитикам рекомендуется ознакомиться с заголовком электронного письма, чтобы убедиться в легитимности почтового сервера отправителя. В примере DarkWatchman, в частности, используется процесс выполнения скрипта, инициируемый командой PowerShell, которая запускает основной вредоносный файл, идентифицированный как 4157934657, через Windows Script Host (WSCRIPT), который выполняет такие скрипты, как JavaScript и VBS.
Дальнейший анализ извлеченного скрипта показывает его сложность и многофункциональность, в частности, благодаря алгоритму генерации домена (DGA), который он реализует для облегчения взаимодействия с командным сервером. Это позволяет выполнять команды динамически, когда вредоносная программа может выделять память и запускать дополнительные модули, поставляемые сервером. Кроме того, скрипт использует криптографические методы, такие как XOR-сдвиг, чтобы запутать свое поведение и избежать обнаружения автоматизированными системами безопасности.
Вредоносная программа обладает широкими возможностями, включая возможность удалять историю посещений различных веб-браузеров, таких как Chrome, Yandex, Firefox и Edge. Она инициирует атаку, внедряясь в кажущееся безобидным вложение в фишинговых письмах, тем самым подвергая опасности пользователей, не подозревающих о ее истинной природе. Для поддержания стабильного сетевого взаимодействия DarkWatchman использует свой DGA, улучшающий методы обхода по сравнению с методами статического анализа и инструментами обнаружения. Такой многоуровневый подход делает DarkWatchman серьезной угрозой в сфере киберпреступности.
#ParsedReport #CompletenessLow
07-07-2025
Mellow Drama: Turning Browsers Into Request Brokers
https://medium.com/@johnatsecureannex/mellow-drama-turning-browsers-into-request-brokers-c25bdd3e6455
Report completeness: Low
Actors/Campaigns:
Mellowtel (motivation: financially_motivated)
Threats:
Mitm_technique
Victims:
Perceptron networks, Blockmesh networks, Browser extension users
ChatGPT TTPs:
T1021, T1036.005, T1041, T1071.001, T1176
IOCs:
File: 1
Domain: 6
Soft:
chrome, Firefox, Electron, Flutter
Functions:
removeRuleIds
Languages:
javascript
Links:
have more...
07-07-2025
Mellow Drama: Turning Browsers Into Request Brokers
https://medium.com/@johnatsecureannex/mellow-drama-turning-browsers-into-request-brokers-c25bdd3e6455
Report completeness: Low
Actors/Campaigns:
Mellowtel (motivation: financially_motivated)
Threats:
Mitm_technique
Victims:
Perceptron networks, Blockmesh networks, Browser extension users
ChatGPT TTPs:
do not use without manual checkT1021, T1036.005, T1041, T1071.001, T1176
IOCs:
File: 1
Domain: 6
Soft:
chrome, Firefox, Electron, Flutter
Functions:
removeRuleIds
Languages:
javascript
Links:
https://github.com/PlasmoHQ/docs/pull/137#issuecomment-2448769654https://github.com/mellowtel-inc/mellowtel-jshave more...
https://github.com/PlasmoHQ/docs/pull/137Medium
Mellow Drama: Turning Browsers Into Request Brokers
How the Mellowtel library transforms browser extensions into a distributed web scraping network, making nearly one million devices an…
CTT Report Hub
#ParsedReport #CompletenessLow 07-07-2025 Mellow Drama: Turning Browsers Into Request Brokers https://medium.com/@johnatsecureannex/mellow-drama-turning-browsers-into-request-brokers-c25bdd3e6455 Report completeness: Low Actors/Campaigns: Mellowtel (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Mellowtel, библиотека JavaScript для расширений браузера, передает конфиденциальную информацию об устройстве через WebSocket в AWS Lambda, позволяя выполнять операции очистки, которые нарушают конфиденциальность пользователей. Ее дизайн позволяет проводить потенциальные атаки с использованием повторных учетных данных, удаляя важные заголовки безопасности HTTP, что повышает уязвимость при веб-взаимодействиях. Несмотря на то, что он был помечен как вредоносное ПО, он по-прежнему используется в нескольких браузерах, и Google начинает удалять связанные с ним расширения.
-----
Mellowtel - это библиотека, предназначенная для использования в расширениях браузера, в основном построенных на JavaScript, что позволяет разработчикам легко интегрировать ее в свои проекты с помощью npm. Чтобы использовать Mellowtel, разработчики должны внести изменения в манифест расширения, включив в него такие разрешения, как declarativeNetRequest и all_urls для доступа. Примечательно, что процесс интеграции обеспечивает минимальное взаимодействие с пользователем в отношении конфиденциальности, поскольку библиотека может быть внедрена без явного уведомления пользователя, что вызывает опасения по поводу прозрачности и согласия.
После активации Mellowtel устанавливает канал WebSocket для функции AWS Lambda, передавая конфиденциальную информацию об устройстве, включая местоположение и доступную полосу пропускания. Библиотека может выполнять операции очистки, используя сетевые характеристики хост-устройства, что потенциально подвергает пользователей, подключенных через VPN на основе IP, уязвимостям этой сети. Несмотря на то, что Mellowtel включает в себя меры на стороне клиента для ограничения доступа к файлам cookie и аутентификационным данным, разработчики сохраняют за собой возможность изменять этот код, что создает дополнительные проблемы с безопасностью.
Архитектура Mellowtel предполагает, что она может допускать повторное использование учетных данных, что часто используется хакерами, использующими брокеры объектных запросов (ORB). В отличие от традиционных ORB, связанных со взломанными серверами, Mellowtel использует браузерные расширения, расширяющие возможности для атаки. Для корректной работы Mellowtel удаляет важные заголовки безопасности HTTP, защищающие от различных атак путем внедрения, создавая значительный риск при просмотре веб-страниц пользователем. Хотя сообщается, что эти заголовки восстанавливаются после запроса, период, в течение которого они отсутствуют, может быть критичным для использования.
Несмотря на свои возможности, присутствие Mellowtel вызвало споры, и многие разработчики назвали его вредоносным ПО, что привело к его удалению из интеграции с такими платформами, как PlasmoHQ. В настоящее время библиотека была обнаружена в многочисленных расширениях браузеров Chrome, Edge и Firefox, и, по оценкам, она может быть установлена почти у миллиона пользователей. Google инициировала удаление нескольких расширений, содержащих Mellowtel, что свидетельствует о выявлении потенциального вредоносного поведения, связанного с этим.
Индикаторы компрометации (IOCs), относящиеся к Mellowtel, доступны из его репозитория на GitHub, что свидетельствует о постоянном мониторинге его развертывания и угрозах безопасности, которые оно представляет. Несмотря на проблемы с разработкой и негативную реакцию на его использование, Mellowtel продолжает активно работать с несколькими дополнениями, предоставляя исследователям и аналитикам в области безопасности возможность внимательно следить за его влиянием и любыми возникающими угрозами, связанными с его интеграцией.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Mellowtel, библиотека JavaScript для расширений браузера, передает конфиденциальную информацию об устройстве через WebSocket в AWS Lambda, позволяя выполнять операции очистки, которые нарушают конфиденциальность пользователей. Ее дизайн позволяет проводить потенциальные атаки с использованием повторных учетных данных, удаляя важные заголовки безопасности HTTP, что повышает уязвимость при веб-взаимодействиях. Несмотря на то, что он был помечен как вредоносное ПО, он по-прежнему используется в нескольких браузерах, и Google начинает удалять связанные с ним расширения.
-----
Mellowtel - это библиотека, предназначенная для использования в расширениях браузера, в основном построенных на JavaScript, что позволяет разработчикам легко интегрировать ее в свои проекты с помощью npm. Чтобы использовать Mellowtel, разработчики должны внести изменения в манифест расширения, включив в него такие разрешения, как declarativeNetRequest и all_urls для доступа. Примечательно, что процесс интеграции обеспечивает минимальное взаимодействие с пользователем в отношении конфиденциальности, поскольку библиотека может быть внедрена без явного уведомления пользователя, что вызывает опасения по поводу прозрачности и согласия.
После активации Mellowtel устанавливает канал WebSocket для функции AWS Lambda, передавая конфиденциальную информацию об устройстве, включая местоположение и доступную полосу пропускания. Библиотека может выполнять операции очистки, используя сетевые характеристики хост-устройства, что потенциально подвергает пользователей, подключенных через VPN на основе IP, уязвимостям этой сети. Несмотря на то, что Mellowtel включает в себя меры на стороне клиента для ограничения доступа к файлам cookie и аутентификационным данным, разработчики сохраняют за собой возможность изменять этот код, что создает дополнительные проблемы с безопасностью.
Архитектура Mellowtel предполагает, что она может допускать повторное использование учетных данных, что часто используется хакерами, использующими брокеры объектных запросов (ORB). В отличие от традиционных ORB, связанных со взломанными серверами, Mellowtel использует браузерные расширения, расширяющие возможности для атаки. Для корректной работы Mellowtel удаляет важные заголовки безопасности HTTP, защищающие от различных атак путем внедрения, создавая значительный риск при просмотре веб-страниц пользователем. Хотя сообщается, что эти заголовки восстанавливаются после запроса, период, в течение которого они отсутствуют, может быть критичным для использования.
Несмотря на свои возможности, присутствие Mellowtel вызвало споры, и многие разработчики назвали его вредоносным ПО, что привело к его удалению из интеграции с такими платформами, как PlasmoHQ. В настоящее время библиотека была обнаружена в многочисленных расширениях браузеров Chrome, Edge и Firefox, и, по оценкам, она может быть установлена почти у миллиона пользователей. Google инициировала удаление нескольких расширений, содержащих Mellowtel, что свидетельствует о выявлении потенциального вредоносного поведения, связанного с этим.
Индикаторы компрометации (IOCs), относящиеся к Mellowtel, доступны из его репозитория на GitHub, что свидетельствует о постоянном мониторинге его развертывания и угрозах безопасности, которые оно представляет. Несмотря на проблемы с разработкой и негативную реакцию на его использование, Mellowtel продолжает активно работать с несколькими дополнениями, предоставляя исследователям и аналитикам в области безопасности возможность внимательно следить за его влиянием и любыми возникающими угрозами, связанными с его интеграцией.
#ParsedReport #CompletenessLow
14-07-2025
Adversary Infrastructure and Indicators Behind the SAP NetWeaver 0-Day Exploitation
https://research.kudelskisecurity.com/2025/07/14/adversary-infrastructure-and-indicators-behind-the-sap-netweaver-0-day-exploitation/
Report completeness: Low
Threats:
Cobalt_strike_tool
CVEs:
CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sap netweaver (7.50)
ChatGPT TTPs:
T1059.004, T1190, T1505.003
IOCs:
IP: 5
Domain: 5
Hash: 5
Url: 7
Soft:
SAP NetWeaver
14-07-2025
Adversary Infrastructure and Indicators Behind the SAP NetWeaver 0-Day Exploitation
https://research.kudelskisecurity.com/2025/07/14/adversary-infrastructure-and-indicators-behind-the-sap-netweaver-0-day-exploitation/
Report completeness: Low
Threats:
Cobalt_strike_tool
CVEs:
CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sap netweaver (7.50)
ChatGPT TTPs:
do not use without manual checkT1059.004, T1190, T1505.003
IOCs:
IP: 5
Domain: 5
Hash: 5
Url: 7
Soft:
SAP NetWeaver
Kudelski Security Research
Adversary Infrastructure and Indicators Behind the SAP NetWeaver 0-Day Exploitation
On the 27th of March 2025, we’ve seen a previously unknown vulnerability (now tagged as CVE-2025-31324) in SAP NetWeaver Visual Composer being exploited in the wild, targeting exposed enterprise sy…
CTT Report Hub
#ParsedReport #CompletenessLow 14-07-2025 Adversary Infrastructure and Indicators Behind the SAP NetWeaver 0-Day Exploitation https://research.kudelskisecurity.com/2025/07/14/adversary-infrastructure-and-indicators-behind-the-sap-netweaver-0-day-exploitation/…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2025-31324 - это критическая уязвимость в SAP NetWeaver Visual Composer, которая позволяет злоумышленникам, не прошедшим проверку подлинности, загружать вредоносные JSP-файлы для удаленного выполнения кода, создавая значительный риск для незащищенных корпоративных систем.
-----
27 марта 2025 года в SAP NetWeaver Visual Composer была обнаружена новая уязвимость, получившая обозначение CVE-2025-31324. Этот конкретный недостаток активно использовался в дикой природе, создавая серьезную угрозу для корпоративных систем, которые оставались незащищенными. Уязвимость позволяет злоумышленникам, не прошедшим проверку подлинности, загружать вредоносные файлы JavaServer Pages (JSP), что облегчает удаленное выполнение кода. Возможность выполнения произвольного кода в уязвимых системах представляет собой критический риск для организаций, особенно для тех операционных экземпляров программного обеспечения, которые не были защищены от этой уязвимости. Специалистам по безопасности следует уделять приоритетное внимание оценке своей среды на наличие незащищенных систем и внедрять необходимые обновления для снижения рисков, связанных с этим эксплойтом.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2025-31324 - это критическая уязвимость в SAP NetWeaver Visual Composer, которая позволяет злоумышленникам, не прошедшим проверку подлинности, загружать вредоносные JSP-файлы для удаленного выполнения кода, создавая значительный риск для незащищенных корпоративных систем.
-----
27 марта 2025 года в SAP NetWeaver Visual Composer была обнаружена новая уязвимость, получившая обозначение CVE-2025-31324. Этот конкретный недостаток активно использовался в дикой природе, создавая серьезную угрозу для корпоративных систем, которые оставались незащищенными. Уязвимость позволяет злоумышленникам, не прошедшим проверку подлинности, загружать вредоносные файлы JavaServer Pages (JSP), что облегчает удаленное выполнение кода. Возможность выполнения произвольного кода в уязвимых системах представляет собой критический риск для организаций, особенно для тех операционных экземпляров программного обеспечения, которые не были защищены от этой уязвимости. Специалистам по безопасности следует уделять приоритетное внимание оценке своей среды на наличие незащищенных систем и внедрять необходимые обновления для снижения рисков, связанных с этим эксплойтом.
#ParsedReport #CompletenessLow
11-07-2025
Malware Found in Official GravityForms Plugin Indicating Supply Chain Breach
https://patchstack.com/articles/critical-malware-found-in-gravityforms-official-plugin-site/
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Groundhogg, Gravity forms, Wordpress servers
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1036.004, T1041, T1059.001, T1070.004, T1071.001, T1087, T1105, T1136.001, T1195, T1204.002, have more...
IOCs:
IP: 2
Domain: 2
File: 2
Soft:
WordPress, Discord, curl
Algorithms:
base64
Functions:
update_entry_detail, list_sections
Languages:
php
11-07-2025
Malware Found in Official GravityForms Plugin Indicating Supply Chain Breach
https://patchstack.com/articles/critical-malware-found-in-gravityforms-official-plugin-site/
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Groundhogg, Gravity forms, Wordpress servers
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1036.004, T1041, T1059.001, T1070.004, T1071.001, T1087, T1105, T1136.001, T1195, T1204.002, have more...
IOCs:
IP: 2
Domain: 2
File: 2
Soft:
WordPress, Discord, curl
Algorithms:
base64
Functions:
update_entry_detail, list_sections
Languages:
php
Patchstack
Malware Found in Official GravityForms Plugin Indicating Supply Chain Breach - Patchstack
Update 7-12-2025 06:00 UTC: We have observed some activity in regard to one of the backdoors that involves a gf_api_token parameter. The IP address 193.160.101.6 tries to request, for every site, the following URLs with a spoofed user agent: Update 7-11-2025…
CTT Report Hub
#ParsedReport #CompletenessLow 11-07-2025 Malware Found in Official GravityForms Plugin Indicating Supply Chain Breach https://patchstack.com/articles/critical-malware-found-in-gravityforms-official-plugin-site/ Report completeness: Low Threats: Suppl…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Целью атаки на цепочку поставок был плагин Gravity Forms для WordPress, который в версии 2.9.12 внедрил бэкдор для выполнения вредоносных действий, таких как создание учетных записей администратора и сбор конфиденциальных данных. Была выпущена исправленная версия, но пользователи должны сохранять бдительность в отношении потенциальных IOCs и других эксплойтов.
-----
Недавний анализ уязвимостей в плагине Gravity Forms для WordPress выявил целенаправленную атаку на цепочку поставок, которая повлияла на версии плагина и привела к внедрению вредоносного кода. Наиболее важные находки указывают на то, что в версии 2.9.12 был внедрен бэкдор, что побудило разработчиков из RocketGenius немедленно провести расследование. Вредоносный код изначально был обнаружен в gravityforms/common.файл php, загруженный с официального сайта Gravity Forms. Выявленная вредоносная программа использует среду WordPress, выполняя HTTP-запросы, которые собирают конфиденциальную информацию, такую как URL сайта и настройки сервера. Ответ на эти запросы обрабатывается с помощью механизма декодирования base64 и сохраняется на целевом сервере, как правило, в формате 'wp-includes/bookmark-canonical.php'.
Вредоносная программа использует функцию, зарегистрированную для действия "plugins_loaded", гарантирующую, что она активируется всякий раз, когда используется плагин. Примечательно, что код допускает несколько вредоносных функций, таких как создание учетных записей администратора, выполнение функций eval на входных данных в кодировке base64, загрузка произвольных файлов, перечисление учетных записей пользователей и удаление учетных записей пользователей. Наличие определенных функций, таких как "update_entry_detail" и "list_sections", запускает эти вредоносные действия, тем самым ставя под угрозу установку WordPress.
В свете этого были предприняты шаги по исправлению ситуации, включая приостановку действия домена gravityapi.org с помощью Namecheap для снижения рисков использования. Позже была выпущена исправленная версия Gravity Forms для устранения выявленных уязвимостей, в частности, для обеспечения удаления вредоносного ПО при повторной загрузке плагина пользователями. Несмотря на эту превентивную меру, службы безопасности продолжают отслеживать ситуацию из-за потенциального остаточного воздействия на пострадавшую среду и прогнозировать возможные новые варианты атаки. Анализ подчеркивает настоятельную необходимость того, чтобы пользователи установили последнюю версию плагина и проверили наличие признаков компрометации (IOCs), связанных с атакой, включая любые сообщения с известными вредоносными доменами или IP-адресами. Patchstack по-прежнему внимательно следит за развитием событий, связанных с этой атакой на цепочку поставок, и предлагает рекомендации по дальнейшим мерам безопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Целью атаки на цепочку поставок был плагин Gravity Forms для WordPress, который в версии 2.9.12 внедрил бэкдор для выполнения вредоносных действий, таких как создание учетных записей администратора и сбор конфиденциальных данных. Была выпущена исправленная версия, но пользователи должны сохранять бдительность в отношении потенциальных IOCs и других эксплойтов.
-----
Недавний анализ уязвимостей в плагине Gravity Forms для WordPress выявил целенаправленную атаку на цепочку поставок, которая повлияла на версии плагина и привела к внедрению вредоносного кода. Наиболее важные находки указывают на то, что в версии 2.9.12 был внедрен бэкдор, что побудило разработчиков из RocketGenius немедленно провести расследование. Вредоносный код изначально был обнаружен в gravityforms/common.файл php, загруженный с официального сайта Gravity Forms. Выявленная вредоносная программа использует среду WordPress, выполняя HTTP-запросы, которые собирают конфиденциальную информацию, такую как URL сайта и настройки сервера. Ответ на эти запросы обрабатывается с помощью механизма декодирования base64 и сохраняется на целевом сервере, как правило, в формате 'wp-includes/bookmark-canonical.php'.
Вредоносная программа использует функцию, зарегистрированную для действия "plugins_loaded", гарантирующую, что она активируется всякий раз, когда используется плагин. Примечательно, что код допускает несколько вредоносных функций, таких как создание учетных записей администратора, выполнение функций eval на входных данных в кодировке base64, загрузка произвольных файлов, перечисление учетных записей пользователей и удаление учетных записей пользователей. Наличие определенных функций, таких как "update_entry_detail" и "list_sections", запускает эти вредоносные действия, тем самым ставя под угрозу установку WordPress.
В свете этого были предприняты шаги по исправлению ситуации, включая приостановку действия домена gravityapi.org с помощью Namecheap для снижения рисков использования. Позже была выпущена исправленная версия Gravity Forms для устранения выявленных уязвимостей, в частности, для обеспечения удаления вредоносного ПО при повторной загрузке плагина пользователями. Несмотря на эту превентивную меру, службы безопасности продолжают отслеживать ситуацию из-за потенциального остаточного воздействия на пострадавшую среду и прогнозировать возможные новые варианты атаки. Анализ подчеркивает настоятельную необходимость того, чтобы пользователи установили последнюю версию плагина и проверили наличие признаков компрометации (IOCs), связанных с атакой, включая любые сообщения с известными вредоносными доменами или IP-адресами. Patchstack по-прежнему внимательно следит за развитием событий, связанных с этой атакой на цепочку поставок, и предлагает рекомендации по дальнейшим мерам безопасности.
#ParsedReport #CompletenessLow
10-07-2025
Detecting defendnot: A Tool for Silently Disabling Windows Defender
https://stairwell.com/resources/detecting-defendnot-a-tool-for-silently-disabling-windows-defender/
Report completeness: Low
Threats:
Defendnot_tool
ChatGPT TTPs:
T1562.001, T1588.002
IOCs:
Hash: 2
File: 1
Soft:
Windows Defender, Microsoft Defender, Windows Security Center
YARA: Found
Links:
10-07-2025
Detecting defendnot: A Tool for Silently Disabling Windows Defender
https://stairwell.com/resources/detecting-defendnot-a-tool-for-silently-disabling-windows-defender/
Report completeness: Low
Threats:
Defendnot_tool
ChatGPT TTPs:
do not use without manual checkT1562.001, T1588.002
IOCs:
Hash: 2
File: 1
Soft:
Windows Defender, Microsoft Defender, Windows Security Center
YARA: Found
Links:
https://github.com/es3n1n/defendnotStairwell
Detecting defendnot: A Tool for Silently Disabling Windows Defender — Stairwell