CTT Report Hub
#ParsedReport #CompletenessMedium 17-07-2025 Chinese Malware Delivery Domains: Part III https://dti.domaintools.com/chinese-malware-delivery-domains-part-iii/ Report completeness: Medium Actors/Campaigns: Silver_fox Victims: Chinese-speaking individuals…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
SilverFox, хакер, действующий с июня 2023 года, нацелен на носителей китайского языка, использующих более 2800 доменов, для распространения вредоносного ПО для Windows с помощью поддельных загрузок и вводящих в заблуждение запросов. Их вредоносная программа поставляется в виде zip-файла с установщиком .msi и загрузчиком (`svchost.13.exe`), использующим XOR-шифрование для получения дополнительной полезной информации. Несмотря на повышенную безопасность браузера, обнаружение угроз SilverFox остается сложной задачей, что подчеркивает необходимость более тщательного обучения пользователей и принятия мер безопасности.
-----
SilverFox активно занимается хакерской деятельностью с июня 2023 года, нацеливаясь на физических и юридических лиц, говорящих на китайском языке. Они работают в основном в рабочее время на китайском языке. Злоумышленник создал более 2800 доменов для распространения вредоносного ПО с помощью поддельных загрузок приложений и вводящих в заблуждение запросов на обновление. Они специализируются на атаках с финансовой подоплекой, в частности, на краже учетных данных и финансовых средств. Их мишенями являются сотрудники отдела продаж и маркетинга, связанные с китайскоязычным рынком.
По состоянию на июнь 2025 года 266 доменов остаются активными, что свидетельствует о постоянном характере кампании. SilverFox использует средства защиты от автоматизации и проверки на эмуляцию браузера в своих доменах. Один из доменов, "googeyxvot.top", использует ложные ошибки, чтобы обманом заставить пользователей загружать вредоносное ПО. Для доставки вредоносного ПО используется вредоносный zip-файл с установщиком .msi, который развертывает исполняемые файлы, включая `svchost.13.exe", который действует как загрузчик.
Этот загрузчик использует сложные методы, такие как расшифровка шеллкода с помощью XOR-шифрования, для получения дополнительных данных с удаленного сервера. Современные защитные меры в веб-браузерах, таких как Chrome и Edge, включают расширенные функции безопасности, но скорость обнаружения полезных данных в SilverFox остается сложной задачей. Для снижения рисков рекомендуется применять усиленные меры безопасности, обучать пользователей борьбе с фишингом и использовать многофакторную аутентификацию.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
SilverFox, хакер, действующий с июня 2023 года, нацелен на носителей китайского языка, использующих более 2800 доменов, для распространения вредоносного ПО для Windows с помощью поддельных загрузок и вводящих в заблуждение запросов. Их вредоносная программа поставляется в виде zip-файла с установщиком .msi и загрузчиком (`svchost.13.exe`), использующим XOR-шифрование для получения дополнительной полезной информации. Несмотря на повышенную безопасность браузера, обнаружение угроз SilverFox остается сложной задачей, что подчеркивает необходимость более тщательного обучения пользователей и принятия мер безопасности.
-----
SilverFox активно занимается хакерской деятельностью с июня 2023 года, нацеливаясь на физических и юридических лиц, говорящих на китайском языке. Они работают в основном в рабочее время на китайском языке. Злоумышленник создал более 2800 доменов для распространения вредоносного ПО с помощью поддельных загрузок приложений и вводящих в заблуждение запросов на обновление. Они специализируются на атаках с финансовой подоплекой, в частности, на краже учетных данных и финансовых средств. Их мишенями являются сотрудники отдела продаж и маркетинга, связанные с китайскоязычным рынком.
По состоянию на июнь 2025 года 266 доменов остаются активными, что свидетельствует о постоянном характере кампании. SilverFox использует средства защиты от автоматизации и проверки на эмуляцию браузера в своих доменах. Один из доменов, "googeyxvot.top", использует ложные ошибки, чтобы обманом заставить пользователей загружать вредоносное ПО. Для доставки вредоносного ПО используется вредоносный zip-файл с установщиком .msi, который развертывает исполняемые файлы, включая `svchost.13.exe", который действует как загрузчик.
Этот загрузчик использует сложные методы, такие как расшифровка шеллкода с помощью XOR-шифрования, для получения дополнительных данных с удаленного сервера. Современные защитные меры в веб-браузерах, таких как Chrome и Edge, включают расширенные функции безопасности, но скорость обнаружения полезных данных в SilverFox остается сложной задачей. Для снижения рисков рекомендуется применять усиленные меры безопасности, обучать пользователей борьбе с фишингом и использовать многофакторную аутентификацию.
#ParsedReport #CompletenessHigh
17-07-2025
From a Teams Call to a Ransomware Threat: Matanbuchus 3.0 MaaS Levels Up
https://www.morphisec.com/blog/ransomware-threat-matanbuchus-3-0-maas-levels-up/
Report completeness: High
Threats:
Matanbuchus_maas
Microsoft_quick_assist_tool
Lolbin_technique
Process_hollowing_technique
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1036, T1047, T1053.005, T1055, T1055.012, T1059.001, T1059.003, T1059.005, T1071.001, have more...
IOCs:
File: 20
Domain: 5
IP: 1
Hash: 5
Soft:
Windows Defender, task scheduler
Algorithms:
salsa20, murmur3, fnv1-a, rc4, zip
Functions:
Teams, COM, GetVolumeInformation, HttpOpenRequest, HttpSendReques
Win API:
DLLInstall, DllRegisterServer, IsWow64Process, CoCreateInstance, ExpandEnvironmentStringsW, CreateMutexW, RegQueryValueW, CoCreateGuid, GetTempFileNameW, GetEnvironmentVariableW, have more...
Win Services:
bits, msmpeng, savadminservice, mcshield, ekrn
Languages:
powershell
Platforms:
x64
17-07-2025
From a Teams Call to a Ransomware Threat: Matanbuchus 3.0 MaaS Levels Up
https://www.morphisec.com/blog/ransomware-threat-matanbuchus-3-0-maas-levels-up/
Report completeness: High
Threats:
Matanbuchus_maas
Microsoft_quick_assist_tool
Lolbin_technique
Process_hollowing_technique
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1047, T1053.005, T1055, T1055.012, T1059.001, T1059.003, T1059.005, T1071.001, have more...
IOCs:
File: 20
Domain: 5
IP: 1
Hash: 5
Soft:
Windows Defender, task scheduler
Algorithms:
salsa20, murmur3, fnv1-a, rc4, zip
Functions:
Teams, COM, GetVolumeInformation, HttpOpenRequest, HttpSendReques
Win API:
DLLInstall, DllRegisterServer, IsWow64Process, CoCreateInstance, ExpandEnvironmentStringsW, CreateMutexW, RegQueryValueW, CoCreateGuid, GetTempFileNameW, GetEnvironmentVariableW, have more...
Win Services:
bits, msmpeng, savadminservice, mcshield, ekrn
Languages:
powershell
Platforms:
x64
Morphisec
Teams Call to Ransomware: Matanbuchus 3.0 MaaS Levels Up
Morphisec threat researchers share an in-depth analysis on Matanbuchus, a stealthy malware loader that has advanced its techniques in 2025.
CTT Report Hub
#ParsedReport #CompletenessHigh 17-07-2025 From a Teams Call to a Ransomware Threat: Matanbuchus 3.0 MaaS Levels Up https://www.morphisec.com/blog/ransomware-threat-matanbuchus-3-0-maas-levels-up/ Report completeness: High Threats: Matanbuchus_maas Mi…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Matanbuchus - это загрузчик вредоносных программ, доступный как Malware-as-a-Service с 2021 года, последняя версия которого расширяет его возможности для целенаправленных кибератак, включая программы-вымогатели. Ключевые особенности включают в себя сложные методы обхода, динамическую загрузку библиотек DLL и связь через порт 443 с инфраструктурой управления. Его выполнение начинается со сценария, который запускает скрытую загрузку архива, используя передовые методы шифрования и сохранения данных, чтобы сохранить точку опоры в скомпрометированных системах.
-----
Matanbuchus - это вредоносный загрузчик, предлагаемый как Malware-as-a-Service (MaaS) с 2021 года, предназначенный в первую очередь для загрузки и выполнения дополнительной полезной нагрузки в скомпрометированных системах Windows. С появлением Matanbuchus 3.0 ряд важных обновлений расширил его возможности, сделав его жизненно важным инструментом при целенаправленных кибератаках, ведущих к потенциальным инцидентам с программами-вымогателями. Последние тенденции указывают на тревожный рост его использования, особенно в таких кампаниях, как кампания, нацеленная на клиентов Morphisec в июле 2025 года, когда злоумышленники выдавали себя за ИТ-службу поддержки через Microsoft Teams для развертывания вредоносного ПО.
В обновленной версии Matanbuchus используются новые методы доставки с улучшенными протоколами связи и возможностями скрытности, в которых особое внимание уделяется усовершенствованным стратегиям обфускации, шифрования и уклонения. Известные функции включают поддержку запросов WQL, возможности обратной оболочки CMD и PowerShell, а также различные методы для выполнения последующих полезных нагрузок, таких как EXE, DLL, MSI и шеллкод. Вредоносная программа использует сложные средства, чтобы избежать обнаружения, часто используя косвенные системные вызовы и модифицированные методы сохранения данных.
Типичный процесс выполнения начинается с того, что жертва запускает скрипт, запускающий загрузку архива, замаскированного под программу обновления Notepad++ (GUP). Этот архив содержит загрузчик Matanbuchus, а также измененный XML-файл конфигурации и вредоносную DLL-библиотеку. Загрузчик инициирует свои действия, динамически разрешая библиотеки DLL, используя API-интерфейсы для обхода мер безопасности и используя расширенный шелл-код для выполнения. Расшифровка данных выполняется с использованием шифрования Salsa20, что является заметным улучшением по сравнению с более ранними версиями, в которых использовался RC4.
В Matanbuchus 3.0 реализованы методы для проведения разведки системы, выявления элементов управления безопасностью и определения текущих привилегий на выполнение. Эта информация определяет последующие действия вредоносного ПО и регистрацию команд в его инфраструктуре управления и переподготовки (C2). Вредоносная программа взаимодействует через порт 443, устанавливая сеанс и используя HTTP-запросы для передачи собранных данных обратно на C2 для получения дальнейших инструкций, корректируя свою тактику в зависимости от настроек безопасности жертвы.
Постоянство достигается за счет передовых методов планирования задач, использующих COM для внедрения шелл-кода, который взаимодействует со службой системного планировщика задач. Такой многоуровневый подход позволяет Matanbuchus закрепиться в скомпрометированных системах, способствуя выполнению вредоносных команд с помощью различных законных системных процессов, таких как regsvr32 и rundll32.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Matanbuchus - это загрузчик вредоносных программ, доступный как Malware-as-a-Service с 2021 года, последняя версия которого расширяет его возможности для целенаправленных кибератак, включая программы-вымогатели. Ключевые особенности включают в себя сложные методы обхода, динамическую загрузку библиотек DLL и связь через порт 443 с инфраструктурой управления. Его выполнение начинается со сценария, который запускает скрытую загрузку архива, используя передовые методы шифрования и сохранения данных, чтобы сохранить точку опоры в скомпрометированных системах.
-----
Matanbuchus - это вредоносный загрузчик, предлагаемый как Malware-as-a-Service (MaaS) с 2021 года, предназначенный в первую очередь для загрузки и выполнения дополнительной полезной нагрузки в скомпрометированных системах Windows. С появлением Matanbuchus 3.0 ряд важных обновлений расширил его возможности, сделав его жизненно важным инструментом при целенаправленных кибератаках, ведущих к потенциальным инцидентам с программами-вымогателями. Последние тенденции указывают на тревожный рост его использования, особенно в таких кампаниях, как кампания, нацеленная на клиентов Morphisec в июле 2025 года, когда злоумышленники выдавали себя за ИТ-службу поддержки через Microsoft Teams для развертывания вредоносного ПО.
В обновленной версии Matanbuchus используются новые методы доставки с улучшенными протоколами связи и возможностями скрытности, в которых особое внимание уделяется усовершенствованным стратегиям обфускации, шифрования и уклонения. Известные функции включают поддержку запросов WQL, возможности обратной оболочки CMD и PowerShell, а также различные методы для выполнения последующих полезных нагрузок, таких как EXE, DLL, MSI и шеллкод. Вредоносная программа использует сложные средства, чтобы избежать обнаружения, часто используя косвенные системные вызовы и модифицированные методы сохранения данных.
Типичный процесс выполнения начинается с того, что жертва запускает скрипт, запускающий загрузку архива, замаскированного под программу обновления Notepad++ (GUP). Этот архив содержит загрузчик Matanbuchus, а также измененный XML-файл конфигурации и вредоносную DLL-библиотеку. Загрузчик инициирует свои действия, динамически разрешая библиотеки DLL, используя API-интерфейсы для обхода мер безопасности и используя расширенный шелл-код для выполнения. Расшифровка данных выполняется с использованием шифрования Salsa20, что является заметным улучшением по сравнению с более ранними версиями, в которых использовался RC4.
В Matanbuchus 3.0 реализованы методы для проведения разведки системы, выявления элементов управления безопасностью и определения текущих привилегий на выполнение. Эта информация определяет последующие действия вредоносного ПО и регистрацию команд в его инфраструктуре управления и переподготовки (C2). Вредоносная программа взаимодействует через порт 443, устанавливая сеанс и используя HTTP-запросы для передачи собранных данных обратно на C2 для получения дальнейших инструкций, корректируя свою тактику в зависимости от настроек безопасности жертвы.
Постоянство достигается за счет передовых методов планирования задач, использующих COM для внедрения шелл-кода, который взаимодействует со службой системного планировщика задач. Такой многоуровневый подход позволяет Matanbuchus закрепиться в скомпрометированных системах, способствуя выполнению вредоносных команд с помощью различных законных системных процессов, таких как regsvr32 и rundll32.
#ParsedReport #CompletenessHigh
17-07-2025
Threat Analysis: SquidLoader - Still Swimming Under the Radar
https://www.trellix.com/blogs/research/threat-analysis-squidLoader-still-swimming-under-the-radar/
Report completeness: High
Threats:
Squidloader
Cobalt_strike_tool
Spear-phishing_technique
Uacme_tool
Victims:
Financial services institutions
Industry:
Entertainment, Financial
Geo:
Hong kong, Chinese, Australia, Singapore
ChatGPT TTPs:
T1027, T1036.005, T1055, T1057, T1063, T1071.001, T1105, T1106, T1140, T1204.002, have more...
IOCs:
File: 28
Path: 1
Url: 1
IP: 1
Soft:
Microsoft Word, Windows Defender
Algorithms:
exhibit
Functions:
SquidLoader
Win API:
winmain, GetEnvironmentVariableA, NtQueryInformationProcess, NtQuerySystemInformation, NtTerminateProcess, NtCreateThreadEx, SleepEx, NtQueueApcThread, NtWaitForSingleObject, NtClose, have more...
Win Services:
MsMpEng
17-07-2025
Threat Analysis: SquidLoader - Still Swimming Under the Radar
https://www.trellix.com/blogs/research/threat-analysis-squidLoader-still-swimming-under-the-radar/
Report completeness: High
Threats:
Squidloader
Cobalt_strike_tool
Spear-phishing_technique
Uacme_tool
Victims:
Financial services institutions
Industry:
Entertainment, Financial
Geo:
Hong kong, Chinese, Australia, Singapore
ChatGPT TTPs:
do not use without manual checkT1027, T1036.005, T1055, T1057, T1063, T1071.001, T1105, T1106, T1140, T1204.002, have more...
IOCs:
File: 28
Path: 1
Url: 1
IP: 1
Soft:
Microsoft Word, Windows Defender
Algorithms:
exhibit
Functions:
SquidLoader
Win API:
winmain, GetEnvironmentVariableA, NtQueryInformationProcess, NtQuerySystemInformation, NtTerminateProcess, NtCreateThreadEx, SleepEx, NtQueueApcThread, NtWaitForSingleObject, NtClose, have more...
Win Services:
MsMpEng
Trellix
Threat Analysis: SquidLoader - Still Swimming Under the Radar
A new wave of SquidLoader malware samples are actively targeting financial services institutions in Hong Kong. This sophisticated malware exhibits significant evasion capabilities, achieving near-zero detection rates on VirusTotal at the time of analysis.
CTT Report Hub
#ParsedReport #CompletenessHigh 17-07-2025 Threat Analysis: SquidLoader - Still Swimming Under the Radar https://www.trellix.com/blogs/research/threat-analysis-squidLoader-still-swimming-under-the-radar/ Report completeness: High Threats: Squidloader …
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносная программа SquidLoader нацелена на финансовые учреждения Гонконга с помощью передовых методов уклонения и пятиэтапной цепочки заражения, начиная с фишинговых электронных писем с вредоносными вложениями. Он использует такие тактики, как бинарная маскировка PE и связь с сервером C2 для постоянного доступа, используя методы, позволяющие избежать обнаружения и анализа, что указывает на более широкую региональную кампанию атак.
-----
Недавние действия, связанные с вредоносным ПО SquidLoader, свидетельствуют о целенаправленной атаке на учреждения финансовых услуг в Гонконге, для которой характерны передовые методы уклонения, обеспечивающие практически нулевой уровень обнаружения на таких платформах, как VirusTotal. В своей работе вредоносная программа проходит пятиэтапную цепочку заражения, которая начинается с рассылки фишингового электронного письма, которое служит отправной точкой для атаки. Это электронное письмо, написанное на китайском языке, содержит защищенный паролем архив RAR, замаскированный под счет-фактуру. После извлечения вложение содержит вредоносный двоичный файл Portable Executable (PE), который выдает себя за подлинный документ Microsoft Word, хотя на самом деле обладает свойствами, аналогичными подлинному компоненту "AMDRSServ.exe", связанному с настройками Radeon.
Вредоносная программа SquidLoader использует ряд продвинутых тактик, направленных на то, чтобы скрыть свои вредоносные намерения. После запуска двоичного файла PE она копирует себя в указанный каталог на компьютере пользователя. На следующем этапе вредоносная программа подключается к серверу управления (C2) и загружает Cobalt Strike Beacon, который позволяет злоумышленникам сохранять постоянный доступ к скомпрометированной системе. На протяжении всей цепочки атак SquidLoader использует множество сложных методов уклонения, включая перехват функции __scrt_common_main_seh для скрытого запуска вредоносного кода, выполнение его полезной нагрузки с помощью пользовательского метода распаковки XOR и использование динамического разрешения вызовов Windows API для дальнейшего уклонения от статического анализа.
Чтобы еще больше усложнить работу по обнаружению, SquidLoader включает в себя различные меры по предотвращению анализа, такие как проверка имен конкретных пользователей и процессов и завершение работы, если он идентифицирует какие-либо процессы, занесенные в черный список. Он также включает механизмы противодействия изолированным средам, включая длительные интервалы ожидания и вводящие в заблуждение сообщения об ошибках, призванные сбить с толку автоматизированные системы обнаружения. Связь с основным сервером C2 осуществляется по URL-адресу, связанному с Kubernetes, что наводит на мысль о закономерности среди недавних образцов SquidLoader, которые демонстрировали столь же низкие показатели обнаружения и обменивались данными с различными хостами C2.
Содержимое электронной почты, предназначенной для фишинга, направлено на то, чтобы обмануть получателей, используя знакомые контексты и выдавая себя за безобидный запрос на проверку документов. Результаты недавних анализов указывают на то, что эти образцы SquidLoader могут быть сосредоточены не только в Гонконге, но и распространяться на такие регионы, как Сингапур и Австралия, что подразумевает более широкую кампанию атак с изменяемыми стратегиями регионального таргетинга. Продуманные действия социальной инженерии в сочетании со сложными техническими возможностями вредоносного ПО подчеркивают значительный масштаб угроз, с которыми финансовые организации должны иметь дело для защиты от потенциальных взломов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносная программа SquidLoader нацелена на финансовые учреждения Гонконга с помощью передовых методов уклонения и пятиэтапной цепочки заражения, начиная с фишинговых электронных писем с вредоносными вложениями. Он использует такие тактики, как бинарная маскировка PE и связь с сервером C2 для постоянного доступа, используя методы, позволяющие избежать обнаружения и анализа, что указывает на более широкую региональную кампанию атак.
-----
Недавние действия, связанные с вредоносным ПО SquidLoader, свидетельствуют о целенаправленной атаке на учреждения финансовых услуг в Гонконге, для которой характерны передовые методы уклонения, обеспечивающие практически нулевой уровень обнаружения на таких платформах, как VirusTotal. В своей работе вредоносная программа проходит пятиэтапную цепочку заражения, которая начинается с рассылки фишингового электронного письма, которое служит отправной точкой для атаки. Это электронное письмо, написанное на китайском языке, содержит защищенный паролем архив RAR, замаскированный под счет-фактуру. После извлечения вложение содержит вредоносный двоичный файл Portable Executable (PE), который выдает себя за подлинный документ Microsoft Word, хотя на самом деле обладает свойствами, аналогичными подлинному компоненту "AMDRSServ.exe", связанному с настройками Radeon.
Вредоносная программа SquidLoader использует ряд продвинутых тактик, направленных на то, чтобы скрыть свои вредоносные намерения. После запуска двоичного файла PE она копирует себя в указанный каталог на компьютере пользователя. На следующем этапе вредоносная программа подключается к серверу управления (C2) и загружает Cobalt Strike Beacon, который позволяет злоумышленникам сохранять постоянный доступ к скомпрометированной системе. На протяжении всей цепочки атак SquidLoader использует множество сложных методов уклонения, включая перехват функции __scrt_common_main_seh для скрытого запуска вредоносного кода, выполнение его полезной нагрузки с помощью пользовательского метода распаковки XOR и использование динамического разрешения вызовов Windows API для дальнейшего уклонения от статического анализа.
Чтобы еще больше усложнить работу по обнаружению, SquidLoader включает в себя различные меры по предотвращению анализа, такие как проверка имен конкретных пользователей и процессов и завершение работы, если он идентифицирует какие-либо процессы, занесенные в черный список. Он также включает механизмы противодействия изолированным средам, включая длительные интервалы ожидания и вводящие в заблуждение сообщения об ошибках, призванные сбить с толку автоматизированные системы обнаружения. Связь с основным сервером C2 осуществляется по URL-адресу, связанному с Kubernetes, что наводит на мысль о закономерности среди недавних образцов SquidLoader, которые демонстрировали столь же низкие показатели обнаружения и обменивались данными с различными хостами C2.
Содержимое электронной почты, предназначенной для фишинга, направлено на то, чтобы обмануть получателей, используя знакомые контексты и выдавая себя за безобидный запрос на проверку документов. Результаты недавних анализов указывают на то, что эти образцы SquidLoader могут быть сосредоточены не только в Гонконге, но и распространяться на такие регионы, как Сингапур и Австралия, что подразумевает более широкую кампанию атак с изменяемыми стратегиями регионального таргетинга. Продуманные действия социальной инженерии в сочетании со сложными техническими возможностями вредоносного ПО подчеркивают значительный масштаб угроз, с которыми финансовые организации должны иметь дело для защиты от потенциальных взломов.
#ParsedReport #CompletenessMedium
17-07-2025
Massistant: A Successor to Meiya Pico s MFSocket
https://security.lookout.com/threat-intelligence/article/massistant-chinese-mobile-forensics
Report completeness: Medium
Threats:
Massistant_tool
Mfsocket_tool
Victims:
Tourists, Business travelers, Persons of interest, Russian military investigative committee, Tibet police college
Industry:
Software_development, Military, Education, Government
Geo:
Russian, Russian federation, Tibet, Chinese, China
ChatGPT TTPs:
T1410, T1411, T1420, T1435, T1436, T1466, T1476
IOCs:
File: 2
Hash: 23
Url: 1
Soft:
Twitter, Android, Telegram, Google Play, Instagram
Algorithms:
sha1
17-07-2025
Massistant: A Successor to Meiya Pico s MFSocket
https://security.lookout.com/threat-intelligence/article/massistant-chinese-mobile-forensics
Report completeness: Medium
Threats:
Massistant_tool
Mfsocket_tool
Victims:
Tourists, Business travelers, Persons of interest, Russian military investigative committee, Tibet police college
Industry:
Software_development, Military, Education, Government
Geo:
Russian, Russian federation, Tibet, Chinese, China
ChatGPT TTPs:
do not use without manual checkT1410, T1411, T1420, T1435, T1436, T1466, T1476
IOCs:
File: 2
Hash: 23
Url: 1
Soft:
Twitter, Android, Telegram, Google Play, Instagram
Algorithms:
sha1
Lookout
Lookout Discovers Massistant Chinese Mobile Forensic Tooling | Threat Intel
Massistant is a mobile forensics application used by law enforcement in China to collect extensive information from mobile devices.
CTT Report Hub
#ParsedReport #CompletenessMedium 17-07-2025 Massistant: A Successor to Meiya Pico s MFSocket https://security.lookout.com/threat-intelligence/article/massistant-chinese-mobile-forensics Report completeness: Medium Threats: Massistant_tool Mfsocket_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
MFSocket и его преемник Massistant - это инструменты наблюдения, связанные с китайской Meiya Pico, которые позволяют извлекать обширные данные с мобильных устройств. Massistant может собирать данные о сообщениях из таких приложений, как Signal и Telegram, для установки требуется физический доступ, а для обхода разрешений используются специальные сервисы. Пользователи сталкиваются с риском перехвата данных во время взаимодействия с китайскими правоохранительными органами, даже после возврата устройств.
-----
MFSocket - это инструмент мобильного наблюдения, который, как сообщается, используется китайской полицией и принадлежит компании Xiamen Meiya Pico Information Co., Ltd. Исследователи в области кибербезопасности подтвердили свою причастность к этой компании, подписав сертификаты. Приложение-преемник, Massistant, также было подключено к Meiya Pico с помощью сертификата подписи Android. Это приложение предназначено для работы с программным обеспечением для настольной криминалистики для извлечения данных с мобильных устройств, работающих через локальный хост на порту 10102. Пользователи должны предоставить разрешения на доступ к различным функциям, включая GPS, SMS, изображения, аудио, контакты и телефонные услуги. Кроме того, Massistant включает в себя BroadcastReceiver, который может удалить приложение, если устройство отключено от USB-порта, и использует службы специальных возможностей для автоматического обхода запросов безопасности и предоставления разрешений.
Последняя версия Massistant (версия 8.5.7) обеспечивает подключение через Android Debug Bridge по Wi-Fi и возможность загрузки файлов. Ее функциональность распространяется на сбор данных о сообщениях из таких приложений, как Signal, Letstalk и Telegram. Примечательно, что оно недоступно в Google Play Store и требует физического доступа для установки. В отчетах указывается, что возможности этих инструментов для наблюдения могут сохраняться на устройствах, возвращенных правоохранительными органами после конфискации.
В ходе расследования руководство по устранению неполадок для MFSocket показало, что его можно перенести на мобильные устройства, используя определенные модели систем сбора доказательств Meiya Pico. Эти модели, обозначенные как серии DC-4501, DC-4700 и FL-900, продаются через веб-сайт компании. В руководстве указывалось, что Meiya Pico отказалась от более ранних версий своих продуктов в пользу обновленных версий, что позволяет предположить, что MFSocket, возможно, был заменен на Massistant примерно в середине 2020 года.
Meiya Pico - китайская технологическая компания, торгуемая на бирже, работающая на рынке коммерческого видеонаблюдения, и ее продукция часто демонстрируется на международных выставках для правоохранительных органов. Они также были связаны с иностранными организациями, в частности, с российскими военными, хотя, как сообщается, крупная закупка средств наблюдения была аннулирована из-за мошенничества с лицензированием.
С декабря 2023 года компания Meiya Pico претерпела ребрендинг на SDIC Intelligence Xiamen Information Co., Ltd. Несмотря на это изменение названия, в существующих версиях программного обеспечения Meiya Pico по-прежнему упоминается как компания-разработчик. Учитывая активное взаимодействие компании с Министерством общественной безопасности Китая и международными инициативами по обучению сотрудников правоохранительных органов, пользователи, путешествующие в материковый Китай или в пределах материковой части Китая, серьезно обеспокоены возможностью перехвата их мобильных данных в рамках законных операций по слежке.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
MFSocket и его преемник Massistant - это инструменты наблюдения, связанные с китайской Meiya Pico, которые позволяют извлекать обширные данные с мобильных устройств. Massistant может собирать данные о сообщениях из таких приложений, как Signal и Telegram, для установки требуется физический доступ, а для обхода разрешений используются специальные сервисы. Пользователи сталкиваются с риском перехвата данных во время взаимодействия с китайскими правоохранительными органами, даже после возврата устройств.
-----
MFSocket - это инструмент мобильного наблюдения, который, как сообщается, используется китайской полицией и принадлежит компании Xiamen Meiya Pico Information Co., Ltd. Исследователи в области кибербезопасности подтвердили свою причастность к этой компании, подписав сертификаты. Приложение-преемник, Massistant, также было подключено к Meiya Pico с помощью сертификата подписи Android. Это приложение предназначено для работы с программным обеспечением для настольной криминалистики для извлечения данных с мобильных устройств, работающих через локальный хост на порту 10102. Пользователи должны предоставить разрешения на доступ к различным функциям, включая GPS, SMS, изображения, аудио, контакты и телефонные услуги. Кроме того, Massistant включает в себя BroadcastReceiver, который может удалить приложение, если устройство отключено от USB-порта, и использует службы специальных возможностей для автоматического обхода запросов безопасности и предоставления разрешений.
Последняя версия Massistant (версия 8.5.7) обеспечивает подключение через Android Debug Bridge по Wi-Fi и возможность загрузки файлов. Ее функциональность распространяется на сбор данных о сообщениях из таких приложений, как Signal, Letstalk и Telegram. Примечательно, что оно недоступно в Google Play Store и требует физического доступа для установки. В отчетах указывается, что возможности этих инструментов для наблюдения могут сохраняться на устройствах, возвращенных правоохранительными органами после конфискации.
В ходе расследования руководство по устранению неполадок для MFSocket показало, что его можно перенести на мобильные устройства, используя определенные модели систем сбора доказательств Meiya Pico. Эти модели, обозначенные как серии DC-4501, DC-4700 и FL-900, продаются через веб-сайт компании. В руководстве указывалось, что Meiya Pico отказалась от более ранних версий своих продуктов в пользу обновленных версий, что позволяет предположить, что MFSocket, возможно, был заменен на Massistant примерно в середине 2020 года.
Meiya Pico - китайская технологическая компания, торгуемая на бирже, работающая на рынке коммерческого видеонаблюдения, и ее продукция часто демонстрируется на международных выставках для правоохранительных органов. Они также были связаны с иностранными организациями, в частности, с российскими военными, хотя, как сообщается, крупная закупка средств наблюдения была аннулирована из-за мошенничества с лицензированием.
С декабря 2023 года компания Meiya Pico претерпела ребрендинг на SDIC Intelligence Xiamen Information Co., Ltd. Несмотря на это изменение названия, в существующих версиях программного обеспечения Meiya Pico по-прежнему упоминается как компания-разработчик. Учитывая активное взаимодействие компании с Министерством общественной безопасности Китая и международными инициативами по обучению сотрудников правоохранительных органов, пользователи, путешествующие в материковый Китай или в пределах материковой части Китая, серьезно обеспокоены возможностью перехвата их мобильных данных в рамках законных операций по слежке.
#ParsedReport #CompletenessHigh
17-07-2025
Phish and Chips: China-Aligned Espionage Actors Ramp Up Taiwan Semiconductor Industry Targeting
https://www.proofpoint.com/us/blog/threat-insight/phish-china-aligned-espionage-actors-ramp-up-taiwan-semiconductor-targeting
Report completeness: High
Actors/Campaigns:
Unk_fistbump (motivation: cyber_espionage)
Unk_droppitch
Unk_sparkycarp
Winnti
Ta415 (motivation: cyber_espionage)
Tag-100
Storm-2077
Threats:
Supply_chain_technique
Cobalt_strike_tool
Voldemort
Aitm_technique
Spear-phishing_technique
Dll_sideloading_technique
Healthkick
Faketls_tool
Sidewalk
Scramblecross
Moonbounce
Malleable_c2_tool
Spark_rat
Victims:
Semiconductor organizations, Investment analysts, Investment firms, Manufacturing organizations, Design organizations, Testing organizations, Supply chain entities, Financial institutions, Packaging organizations, Universities, have more...
Industry:
Ngo, Government, Aerospace, Education, Financial, Semiconductor_industry
Geo:
Russian, Chinese, China, Taiwanese, Taiwan
ChatGPT TTPs:
T1005, T1027, T1055.012, T1059.005, T1071.001, T1071.003, T1071.004, T1078, T1105, T1106, have more...
IOCs:
Url: 11
File: 7
Command: 1
IP: 8
Domain: 8
Path: 1
Registry: 1
Email: 5
Hash: 21
Soft:
SoftEther, MACOSX
Algorithms:
sha256, zip, chacha20, exhibit, xor, rc4, base64
Platforms:
intel
Links:
have more...
17-07-2025
Phish and Chips: China-Aligned Espionage Actors Ramp Up Taiwan Semiconductor Industry Targeting
https://www.proofpoint.com/us/blog/threat-insight/phish-china-aligned-espionage-actors-ramp-up-taiwan-semiconductor-targeting
Report completeness: High
Actors/Campaigns:
Unk_fistbump (motivation: cyber_espionage)
Unk_droppitch
Unk_sparkycarp
Winnti
Ta415 (motivation: cyber_espionage)
Tag-100
Storm-2077
Threats:
Supply_chain_technique
Cobalt_strike_tool
Voldemort
Aitm_technique
Spear-phishing_technique
Dll_sideloading_technique
Healthkick
Faketls_tool
Sidewalk
Scramblecross
Moonbounce
Malleable_c2_tool
Spark_rat
Victims:
Semiconductor organizations, Investment analysts, Investment firms, Manufacturing organizations, Design organizations, Testing organizations, Supply chain entities, Financial institutions, Packaging organizations, Universities, have more...
Industry:
Ngo, Government, Aerospace, Education, Financial, Semiconductor_industry
Geo:
Russian, Chinese, China, Taiwanese, Taiwan
ChatGPT TTPs:
do not use without manual checkT1005, T1027, T1055.012, T1059.005, T1071.001, T1071.003, T1071.004, T1078, T1105, T1106, have more...
IOCs:
Url: 11
File: 7
Command: 1
IP: 8
Domain: 8
Path: 1
Registry: 1
Email: 5
Hash: 21
Soft:
SoftEther, MACOSX
Algorithms:
sha256, zip, chacha20, exhibit, xor, rc4, base64
Platforms:
intel
Links:
https://github.com/xx0hcd/Malleable-C2-Profiles/blob/master/normal/gotomeeting.profilehave more...
https://github.com/PwCUK-CTO/TheSAS2021-Red-Kelpie/blob/main/SASatHome2021\_Learning\_to\_ChaCha\_with\_APT41.pdfProofpoint
Phish and Chips: China-Aligned Espionage Actors Ramp Up Taiwan Semiconductor Industry Targeting | Proofpoint US
Key findings Between March and June 2025, Proofpoint Threat Research observed three Chinese state-sponsored threat actors conduct targeted phishing campaigns against the Taiwanese
CTT Report Hub
#ParsedReport #CompletenessHigh 17-07-2025 Phish and Chips: China-Aligned Espionage Actors Ramp Up Taiwan Semiconductor Industry Targeting https://www.proofpoint.com/us/blog/threat-insight/phish-china-aligned-espionage-actors-ramp-up-taiwan-semiconductor…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С марта по июнь 2025 года спонсируемые китайским государством хакеры атаковали тайваньскую полупроводниковую промышленность с помощью фишинговых кампаний, направленных на шпионаж, используя такие тактики, как фишинг на тему трудоустройства и вредоносные вложения для распространения вредоносного ПО, включая Cobalt Strike и пользовательские бэкдоры. Эти атаки свидетельствуют о стратегическом стремлении к самообеспечению полупроводников и адаптивным методологиям, а также о передовых методах обфускации и краже учетных данных, предпринимаемых различными участниками.
-----
В период с марта по июнь 2025 года три китайских хакера, спонсируемых государством, атаковали тайваньскую полупроводниковую промышленность с помощью фишинговых кампаний, направленных на шпионаж.
Актер UNK_FistBump использовал методы фишинга на тему трудоустройства, выдавая себя за соискателей с взломанными университетскими аккаунтами для отправки фишинговых электронных писем.
Эти электронные письма содержали защищенные паролем вложения, которые содержали вредоносное ПО, такое как Cobalt Strike Beacon и пользовательский бэкдор Voldemort.
Заражение было связано с файлами быстрого доступа Microsoft, которые вызывали загрузку вредоносных программ после того, как пользователи открывали документы, выглядевшие безобидно.
Другой участник, UNK_DropPitch, нацелился на инвестиционных аналитиков, используя ZIP-файлы с вредоносным исполняемым файлом и вредоносную DLL-библиотеку, которые создали бэкдор HealthKick, который передавал данные через TCP-порт 465, указывая методы обхода.
Вредоносные программы из этих кампаний использовали различные методы сохранения данных и методы дополнительной загрузки библиотек DLL.
Методы загрузки UNK_FistBump предполагают потенциальный сдвиг в стратегиях китайских шпионов, поскольку они менее сложны, чем ранее известные методы.
Схожая инфраструктура командования и контроля между участниками может свидетельствовать о сотрудничестве или совместном использовании ресурсов.
Кроме того, UNK_SparkyCarp проводил кампании по фишингу учетных данных с использованием продвинутой платформы "противник посередине", нацеленной на учетные данные полупроводникового сектора.
У UNK_ColtCentury уже были попытки скомпрометировать юристов полупроводниковой промышленности, используя безобидные коммуникационные фасады.
Этот сдвиг в сторону полупроводникового сектора отражает стратегическое внимание китайских государственных структур к важнейшим отраслям промышленности, представляющим интерес для национальной безопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С марта по июнь 2025 года спонсируемые китайским государством хакеры атаковали тайваньскую полупроводниковую промышленность с помощью фишинговых кампаний, направленных на шпионаж, используя такие тактики, как фишинг на тему трудоустройства и вредоносные вложения для распространения вредоносного ПО, включая Cobalt Strike и пользовательские бэкдоры. Эти атаки свидетельствуют о стратегическом стремлении к самообеспечению полупроводников и адаптивным методологиям, а также о передовых методах обфускации и краже учетных данных, предпринимаемых различными участниками.
-----
В период с марта по июнь 2025 года три китайских хакера, спонсируемых государством, атаковали тайваньскую полупроводниковую промышленность с помощью фишинговых кампаний, направленных на шпионаж.
Актер UNK_FistBump использовал методы фишинга на тему трудоустройства, выдавая себя за соискателей с взломанными университетскими аккаунтами для отправки фишинговых электронных писем.
Эти электронные письма содержали защищенные паролем вложения, которые содержали вредоносное ПО, такое как Cobalt Strike Beacon и пользовательский бэкдор Voldemort.
Заражение было связано с файлами быстрого доступа Microsoft, которые вызывали загрузку вредоносных программ после того, как пользователи открывали документы, выглядевшие безобидно.
Другой участник, UNK_DropPitch, нацелился на инвестиционных аналитиков, используя ZIP-файлы с вредоносным исполняемым файлом и вредоносную DLL-библиотеку, которые создали бэкдор HealthKick, который передавал данные через TCP-порт 465, указывая методы обхода.
Вредоносные программы из этих кампаний использовали различные методы сохранения данных и методы дополнительной загрузки библиотек DLL.
Методы загрузки UNK_FistBump предполагают потенциальный сдвиг в стратегиях китайских шпионов, поскольку они менее сложны, чем ранее известные методы.
Схожая инфраструктура командования и контроля между участниками может свидетельствовать о сотрудничестве или совместном использовании ресурсов.
Кроме того, UNK_SparkyCarp проводил кампании по фишингу учетных данных с использованием продвинутой платформы "противник посередине", нацеленной на учетные данные полупроводникового сектора.
У UNK_ColtCentury уже были попытки скомпрометировать юристов полупроводниковой промышленности, используя безобидные коммуникационные фасады.
Этот сдвиг в сторону полупроводникового сектора отражает стратегическое внимание китайских государственных структур к важнейшим отраслям промышленности, представляющим интерес для национальной безопасности.
#ParsedReport #CompletenessMedium
17-07-2025
MaaS operation using Emmenhtal and Amadey linked to threats against Ukrainian entities
https://blog.talosintelligence.com/maas-operation-using-emmenhtal-and-amadey-linked-to-threats-against-ukrainian-entities/
Report completeness: Medium
Threats:
Emmenhtal
Amadey
Smokeloader
Redline_stealer
Lumma_stealer
Stealc
Credential_harvesting_technique
Rhadamanthys
Dinvoke_tool
Process_injection_technique
Asyncrat
Putty_tool
Victims:
Ukrainian entities
Industry:
Software_development
Geo:
Ukrainian
ChatGPT TTPs:
T1005, T1027, T1036.008, T1055.001, T1056.001, T1059.001, T1059.006, T1059.007, T1071.001, T1087.001, have more...
IOCs:
File: 5
Url: 3
IP: 1
Soft:
Selenium, Microsoft Edge, Google Chrome
Algorithms:
7zip, aes, base64, zip
Languages:
powershell, python, javascript
Links:
17-07-2025
MaaS operation using Emmenhtal and Amadey linked to threats against Ukrainian entities
https://blog.talosintelligence.com/maas-operation-using-emmenhtal-and-amadey-linked-to-threats-against-ukrainian-entities/
Report completeness: Medium
Threats:
Emmenhtal
Amadey
Smokeloader
Redline_stealer
Lumma_stealer
Stealc
Credential_harvesting_technique
Rhadamanthys
Dinvoke_tool
Process_injection_technique
Asyncrat
Putty_tool
Victims:
Ukrainian entities
Industry:
Software_development
Geo:
Ukrainian
ChatGPT TTPs:
do not use without manual checkT1005, T1027, T1036.008, T1055.001, T1056.001, T1059.001, T1059.006, T1059.007, T1071.001, T1087.001, have more...
IOCs:
File: 5
Url: 3
IP: 1
Soft:
Selenium, Microsoft Edge, Google Chrome
Algorithms:
7zip, aes, base64, zip
Languages:
powershell, python, javascript
Links:
https://github.com/Cisco-Talos/IOCs/tree/main/2025/07Cisco Talos Blog
MaaS operation using Emmenhtal and Amadey linked to threats against Ukrainian entities
Cisco Talos uncovered a stealthy Malware-as-a-Service (MaaS) operation that used fake GitHub accounts to distribute a variety of dangerous payloads and evade security defenses.
CTT Report Hub
#ParsedReport #CompletenessMedium 17-07-2025 MaaS operation using Emmenhtal and Amadey linked to threats against Ukrainian entities https://blog.talosintelligence.com/maas-operation-using-emmenhtal-and-amadey-linked-to-threats-against-ukrainian-entities/…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В апреле 2025 года Cisco Talos обнаружила операцию MaaS с использованием вредоносного ПО Amadey, распространяемого через фишинговые электронные письма и нацеленного на украинских пользователей. В ходе операции были использованы замаскированные файлы JavaScript и скрипты PowerShell для загрузки вредоносного ПО, а также поддельные учетные записи GitHub для размещения полезной нагрузки и уклонения от обнаружения. Amadey функционирует как модульный загрузчик, позволяющий операторам настраивать заражение различными вредоносными программами.
-----
В апреле 2025 года Cisco Talos раскрыла операцию "Вредоносное ПО как услуга" (MaaS), использующую вредоносное ПО Amadey для доставки различных полезных данных. Эта операция была примечательна использованием поддельных аккаунтов на GitHub для размещения этих полезных данных и связанных с ними инструментов, возможно, с целью обойти механизмы веб-фильтрации и упростить доступ. Тактика, методы и процедуры (TTP), применяемые этими операторами, напоминают фишинговую кампанию SmokeLoader, запущенную ранее в 2025 году, которая в основном была нацелена на украинские компании. Вариант Emmenhtal, представленный в ходе предыдущей кампании, также использовался операторами MaaS для облегчения загрузки полезных данных Amadey.
Начальная фаза этой операции MaaS была отмечена распространением фишинговых электронных писем, посвященных оплате счетов и выставлению счетов-фактур, специально разработанных для привлечения пользователей из Украины. Эти электронные письма содержали сжатые файловые вложения (ZIP, 7Zip или RAR), в которых был зашифрован по крайней мере один файл JavaScript, умело замаскированный под загрузчик PowerShell. После выполнения этот JavaScript и связанный с ним сценарий PowerShell успешно загрузили SmokeLoader в целевую систему. Загрузчик Emmenhtal, многоступенчатый загрузчик, использующий сложные методы обфускации на четырех уровнях, занимал центральное место в работе MaaS. Эти методы позволили идентифицировать его в различных образцах, найденных на таких платформах, как VirusTotal, где были установлены взаимосвязи с файлами, размещенными на GitHub, но без очевидной связи с первоначальной кампанией.
Сам Amadey, впервые появившийся в конце 2018 года среди русскоязычных хакеров, функционирует в основном как загрузчик, способный извлекать различные семейства вредоносных программ из своей инфраструктуры. Его операционная модель позволяет операторам выбирать различные полезные приложения после заражения из репозиториев GitHub, демонстрируя степень настройки в зависимости от потребностей злоумышленника. Примечательно, что Amadey является модульным, расширяющим его возможности за счет плагинов, которые могут выполнять такие задачи, как сбор учетных данных или создание скриншотов.
Исследователи из Talos отметили, что TTP, представленные в ходе операции Amadey MaaS и кампании SmokeLoader, имеют значительное сходство. Например, несколько файлов JavaScript, размещенных в учетной записи GitHub под названием "Milidmdds", точно отражали скрипты Emmenhtal, использовавшиеся при фишинге. Уровни запутывания, используемые при загрузке JavaScript и сценариев PowerShell из украденных репозиториев, были в значительной степени согласованы, что указывало на общую операционную структуру.
Также были обнаружены аномалии, такие как загрузчики Emmenhtal, маскирующиеся под безопасные файлы MP4, что отражает упреждающий подход к обходу механизмов обнаружения. Кроме того, вредоносный скрипт на Python, обнаруженный в аккаунте "Milidmdds" на GitHub, продемонстрировал сходство в методе выполнения с предыдущими вредоносными скриптами, демонстрируя эволюцию возможностей загрузчика, адаптированных для конкретных кампаний. В конечном счете, эти операции облегчают доставку различных типов вредоносных программ, включая настраиваемую полезную нагрузку Amadey, демонстрирующую универсальность и адаптивность современных хакеров.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В апреле 2025 года Cisco Talos обнаружила операцию MaaS с использованием вредоносного ПО Amadey, распространяемого через фишинговые электронные письма и нацеленного на украинских пользователей. В ходе операции были использованы замаскированные файлы JavaScript и скрипты PowerShell для загрузки вредоносного ПО, а также поддельные учетные записи GitHub для размещения полезной нагрузки и уклонения от обнаружения. Amadey функционирует как модульный загрузчик, позволяющий операторам настраивать заражение различными вредоносными программами.
-----
В апреле 2025 года Cisco Talos раскрыла операцию "Вредоносное ПО как услуга" (MaaS), использующую вредоносное ПО Amadey для доставки различных полезных данных. Эта операция была примечательна использованием поддельных аккаунтов на GitHub для размещения этих полезных данных и связанных с ними инструментов, возможно, с целью обойти механизмы веб-фильтрации и упростить доступ. Тактика, методы и процедуры (TTP), применяемые этими операторами, напоминают фишинговую кампанию SmokeLoader, запущенную ранее в 2025 году, которая в основном была нацелена на украинские компании. Вариант Emmenhtal, представленный в ходе предыдущей кампании, также использовался операторами MaaS для облегчения загрузки полезных данных Amadey.
Начальная фаза этой операции MaaS была отмечена распространением фишинговых электронных писем, посвященных оплате счетов и выставлению счетов-фактур, специально разработанных для привлечения пользователей из Украины. Эти электронные письма содержали сжатые файловые вложения (ZIP, 7Zip или RAR), в которых был зашифрован по крайней мере один файл JavaScript, умело замаскированный под загрузчик PowerShell. После выполнения этот JavaScript и связанный с ним сценарий PowerShell успешно загрузили SmokeLoader в целевую систему. Загрузчик Emmenhtal, многоступенчатый загрузчик, использующий сложные методы обфускации на четырех уровнях, занимал центральное место в работе MaaS. Эти методы позволили идентифицировать его в различных образцах, найденных на таких платформах, как VirusTotal, где были установлены взаимосвязи с файлами, размещенными на GitHub, но без очевидной связи с первоначальной кампанией.
Сам Amadey, впервые появившийся в конце 2018 года среди русскоязычных хакеров, функционирует в основном как загрузчик, способный извлекать различные семейства вредоносных программ из своей инфраструктуры. Его операционная модель позволяет операторам выбирать различные полезные приложения после заражения из репозиториев GitHub, демонстрируя степень настройки в зависимости от потребностей злоумышленника. Примечательно, что Amadey является модульным, расширяющим его возможности за счет плагинов, которые могут выполнять такие задачи, как сбор учетных данных или создание скриншотов.
Исследователи из Talos отметили, что TTP, представленные в ходе операции Amadey MaaS и кампании SmokeLoader, имеют значительное сходство. Например, несколько файлов JavaScript, размещенных в учетной записи GitHub под названием "Milidmdds", точно отражали скрипты Emmenhtal, использовавшиеся при фишинге. Уровни запутывания, используемые при загрузке JavaScript и сценариев PowerShell из украденных репозиториев, были в значительной степени согласованы, что указывало на общую операционную структуру.
Также были обнаружены аномалии, такие как загрузчики Emmenhtal, маскирующиеся под безопасные файлы MP4, что отражает упреждающий подход к обходу механизмов обнаружения. Кроме того, вредоносный скрипт на Python, обнаруженный в аккаунте "Milidmdds" на GitHub, продемонстрировал сходство в методе выполнения с предыдущими вредоносными скриптами, демонстрируя эволюцию возможностей загрузчика, адаптированных для конкретных кампаний. В конечном счете, эти операции облегчают доставку различных типов вредоносных программ, включая настраиваемую полезную нагрузку Amadey, демонстрирующую универсальность и адаптивность современных хакеров.
#ParsedReport #CompletenessMedium
17-07-2025
APT PROFILE FANCY BEAR
https://www.cyfirma.com/research/apt-profile-fancy-bear-2/
Report completeness: Medium
Actors/Campaigns:
Fancy_bear (motivation: cyber_espionage, disinformation)
Threats:
Athena_botnet
Qilin_ransomware
Computrace_tool
Dealerschoice_tool
Sedkit_tool
Mimikatz_tool
Xagent
Steelhook
Headlace
Sedreco
Oceanmap
Oldbait
Procdump_tool
Downdelph
Advstoreshell
Gooseegg_tool
Xtunnel
Cannon
Usbstealer
Foozer
Vpnfilter
Koadic_tool
Coreshell
Komplex
Slimagent_tool
Sedup_loader
Zebrocy
Beardshell_tool
Pocodown
Masepie_tool
Nimcy
Lojax
Supply_chain_technique
Spear-phishing_technique
Hatvibe
Cherryspy
Credential_harvesting_technique
Password_spray_technique
Credential_dumping_technique
Victims:
Governments, Military entities, High ranking ukrainian officials, Defense contractors, Logistics companies, Technology companies, Government officials
Industry:
Military, Logistic, Government
Geo:
Afghanistan, Kazakhstan, Thailand, Brazil, France, Cambodia, Georgia, Turkey, Mongolia, Latin america, India, South africa, Russian, Indonesia, Germany, Asia, Vietnam, Moldova, Ukraine, Australia, Ukrainian, Pakistan, America, Romania, Norwegian, Russia, Syria, Kyrgyzstan, Israel, Malaysia
CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- rarlab winrar (<6.23)
CVE-2023-43770 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- roundcube webmail (<1.4.14, <1.5.4, <1.6.3)
CVE-2023-20085 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco identity_services_engine (3.2)
TTPs:
Tactics: 12
Technics: 80
Soft:
Roundcube, MDaemon, Zimbra
Languages:
javascript, powershell
17-07-2025
APT PROFILE FANCY BEAR
https://www.cyfirma.com/research/apt-profile-fancy-bear-2/
Report completeness: Medium
Actors/Campaigns:
Fancy_bear (motivation: cyber_espionage, disinformation)
Threats:
Athena_botnet
Qilin_ransomware
Computrace_tool
Dealerschoice_tool
Sedkit_tool
Mimikatz_tool
Xagent
Steelhook
Headlace
Sedreco
Oceanmap
Oldbait
Procdump_tool
Downdelph
Advstoreshell
Gooseegg_tool
Xtunnel
Cannon
Usbstealer
Foozer
Vpnfilter
Koadic_tool
Coreshell
Komplex
Slimagent_tool
Sedup_loader
Zebrocy
Beardshell_tool
Pocodown
Masepie_tool
Nimcy
Lojax
Supply_chain_technique
Spear-phishing_technique
Hatvibe
Cherryspy
Credential_harvesting_technique
Password_spray_technique
Credential_dumping_technique
Victims:
Governments, Military entities, High ranking ukrainian officials, Defense contractors, Logistics companies, Technology companies, Government officials
Industry:
Military, Logistic, Government
Geo:
Afghanistan, Kazakhstan, Thailand, Brazil, France, Cambodia, Georgia, Turkey, Mongolia, Latin america, India, South africa, Russian, Indonesia, Germany, Asia, Vietnam, Moldova, Ukraine, Australia, Ukrainian, Pakistan, America, Romania, Norwegian, Russia, Syria, Kyrgyzstan, Israel, Malaysia
CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- rarlab winrar (<6.23)
CVE-2023-43770 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- roundcube webmail (<1.4.14, <1.5.4, <1.6.3)
CVE-2023-20085 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco identity_services_engine (3.2)
TTPs:
Tactics: 12
Technics: 80
Soft:
Roundcube, MDaemon, Zimbra
Languages:
javascript, powershell
CYFIRMA
APT PROFILE – FANCY BEAR - CYFIRMA
Fancy Bear, also known as APT28, is a notorious Russian cyberespionage group with a long history of targeting governments, military...