CTT Report Hub
#ParsedReport #CompletenessHigh 19-08-2025 Pay2Keys Resurgence https://engage.morphisec.com/hubfs/Pay2Key_Iranian_Cyber_Warfare_Targets_the_West_Whitepaper.pdf Report completeness: High Actors/Campaigns: Fox_kitten Threats: Pay2key Mimic_ransomware Defendnot_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Pay2Key.I2P (связанный с Fox Kitten) - это возрожденный RaaS, повторно использующий компоненты Mimic и предоставляющий аффилированным лицам панель мониторинга для создания пользовательских шифровальщиков и управления кошельками. При доставке используются доброкачественные файлы и многоуровневые скрипты, которые извлекают data2.bin/data3.bin и запускают enc-build.exe (Защищенный Фемидой имитационный вариант с несколькими встроенными ключами). Evasion использует гибридный трюк с комментариями CMD/PowerShell, спящий режим \~10 секунд, затем самоудаление; переименованный powrprof (NoDefender) изменяет реестр, чтобы отключить Defender; в нем отсутствует самораспространение.
-----
Pay2Key.I2P - это возрожденный связанный с Ираном RaaS, привязанный к Fox Kitten и наблюдаемый за повторным использованием или включением компонентов Mimic ransomware. Операторы рекламировали услугу на русскоязычных и китайскоязычных форумах даркнета и на X с января 2025 года, привлекая партнеров с помощью веб-панели мониторинга, которая выдает уникальные идентификаторы оператора, позволяет партнерам создавать пользовательские шифровальщики, настраивать криптовалютные кошельки и общаться с жертвами. Банда сообщила о более чем 50 успешных выплатах и \~ 4 миллионах долларов выкупа в течение четырех месяцев. Были замечены операторы, предлагающие льготное распределение доходов (80% против 70%) для акторов, нацеленных на определенных геополитических противников.
Техническая цепочка: при первоначальной доставке используются безобидные на вид файлы и многоуровневые скрипты/инструменты для сокрытия намерений, затем извлекаются связанные двоичные файлы (data2.bin/data3.bin), отключается защита конечных точек и, наконец, развертывается шифровальщик, производный от Mimic. Развертывание полезной нагрузки включает в себя выполнение enc-build.exe (Mimic encryptor), который защищен с помощью Themida, что усложняет статический анализ и распаковку. Mimic поддерживает режимы шифрования и не-шифрования; шифровальщик встраивает несколько “ключей” и выбирает один случайным образом при запуске. Инструменты восстановления расшифровывают только файлы, зашифрованные одним и тем же ключом; операторам дается указание управлять стеками ключей или конфигурациями с одним ключом в зависимости от желаемой области восстановления.
Уклонение и закрепление: установщики используют трюк с гибридным сценарием CMD/PowerShell, заключающий логику CMD в разделители комментариев в стиле PowerShell, поэтому PowerShell пропускает разделы CMD, а затем повторно вызывает себя в PowerShell. Скрипт устанавливает переменные среды, распаковывает и исправляет большие двоичные объекты данных, запускает программу-вымогатель, ожидает (≈10 секунд) и самоудаляется, чтобы свести к минимуму следы криминалистической проверки и избежать “песочниц” (был отмечен метод "раннего завершения" обхода "песочницы"). После извлечения переименованный “powrprof/powerprof.exe ” двоичный файл (копия NoDefender) вносит изменения в реестр, чтобы отключить Microsoft Defender. RaaS не распространяется самостоятельно; ожидается, что филиалы запустят шифровальщик на каждом целевом хосте, чтобы повлиять на сети.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Pay2Key.I2P (связанный с Fox Kitten) - это возрожденный RaaS, повторно использующий компоненты Mimic и предоставляющий аффилированным лицам панель мониторинга для создания пользовательских шифровальщиков и управления кошельками. При доставке используются доброкачественные файлы и многоуровневые скрипты, которые извлекают data2.bin/data3.bin и запускают enc-build.exe (Защищенный Фемидой имитационный вариант с несколькими встроенными ключами). Evasion использует гибридный трюк с комментариями CMD/PowerShell, спящий режим \~10 секунд, затем самоудаление; переименованный powrprof (NoDefender) изменяет реестр, чтобы отключить Defender; в нем отсутствует самораспространение.
-----
Pay2Key.I2P - это возрожденный связанный с Ираном RaaS, привязанный к Fox Kitten и наблюдаемый за повторным использованием или включением компонентов Mimic ransomware. Операторы рекламировали услугу на русскоязычных и китайскоязычных форумах даркнета и на X с января 2025 года, привлекая партнеров с помощью веб-панели мониторинга, которая выдает уникальные идентификаторы оператора, позволяет партнерам создавать пользовательские шифровальщики, настраивать криптовалютные кошельки и общаться с жертвами. Банда сообщила о более чем 50 успешных выплатах и \~ 4 миллионах долларов выкупа в течение четырех месяцев. Были замечены операторы, предлагающие льготное распределение доходов (80% против 70%) для акторов, нацеленных на определенных геополитических противников.
Техническая цепочка: при первоначальной доставке используются безобидные на вид файлы и многоуровневые скрипты/инструменты для сокрытия намерений, затем извлекаются связанные двоичные файлы (data2.bin/data3.bin), отключается защита конечных точек и, наконец, развертывается шифровальщик, производный от Mimic. Развертывание полезной нагрузки включает в себя выполнение enc-build.exe (Mimic encryptor), который защищен с помощью Themida, что усложняет статический анализ и распаковку. Mimic поддерживает режимы шифрования и не-шифрования; шифровальщик встраивает несколько “ключей” и выбирает один случайным образом при запуске. Инструменты восстановления расшифровывают только файлы, зашифрованные одним и тем же ключом; операторам дается указание управлять стеками ключей или конфигурациями с одним ключом в зависимости от желаемой области восстановления.
Уклонение и закрепление: установщики используют трюк с гибридным сценарием CMD/PowerShell, заключающий логику CMD в разделители комментариев в стиле PowerShell, поэтому PowerShell пропускает разделы CMD, а затем повторно вызывает себя в PowerShell. Скрипт устанавливает переменные среды, распаковывает и исправляет большие двоичные объекты данных, запускает программу-вымогатель, ожидает (≈10 секунд) и самоудаляется, чтобы свести к минимуму следы криминалистической проверки и избежать “песочниц” (был отмечен метод "раннего завершения" обхода "песочницы"). После извлечения переименованный “powrprof/powerprof.exe ” двоичный файл (копия NoDefender) вносит изменения в реестр, чтобы отключить Microsoft Defender. RaaS не распространяется самостоятельно; ожидается, что филиалы запустят шифровальщик на каждом целевом хосте, чтобы повлиять на сети.
#ParsedReport #CompletenessHigh
19-08-2025
The Coordinated Embassy Hunt: Unmasking the DPRK-linked GitHub C2 Espionage Campaign
https://www.trellix.com/blogs/research/dprk-linked-github-c2-espionage-campaign/
Report completeness: High
Actors/Campaigns:
Kimsuky (motivation: cyber_espionage)
Deep_drive
Threats:
Spear-phishing_technique
Xenorat
Confuser_tool
Moonpeak
Victims:
Embassies, Foreign ministries, Diplomatic missions
Industry:
Petroleum, Military, Healthcare, Education
Geo:
Poland, Russian, America, Koreas, Asia, Korean, French, China, North korean, Iranian, Polish, American, Chinese, North korea, Dprk, Russia, Iran, Korea
TTPs:
Tactics: 6
Technics: 24
IOCs:
File: 24
IP: 6
Domain: 1
Hash: 30
Url: 6
Soft:
Dropbox, Gmail, Chrome, Windows Defender, Task Scheduler
Algorithms:
gzip, zip, sha256, base64, md5
Win API:
Arc
Languages:
powershell
19-08-2025
The Coordinated Embassy Hunt: Unmasking the DPRK-linked GitHub C2 Espionage Campaign
https://www.trellix.com/blogs/research/dprk-linked-github-c2-espionage-campaign/
Report completeness: High
Actors/Campaigns:
Kimsuky (motivation: cyber_espionage)
Deep_drive
Threats:
Spear-phishing_technique
Xenorat
Confuser_tool
Moonpeak
Victims:
Embassies, Foreign ministries, Diplomatic missions
Industry:
Petroleum, Military, Healthcare, Education
Geo:
Poland, Russian, America, Koreas, Asia, Korean, French, China, North korean, Iranian, Polish, American, Chinese, North korea, Dprk, Russia, Iran, Korea
TTPs:
Tactics: 6
Technics: 24
IOCs:
File: 24
IP: 6
Domain: 1
Hash: 30
Url: 6
Soft:
Dropbox, Gmail, Chrome, Windows Defender, Task Scheduler
Algorithms:
gzip, zip, sha256, base64, md5
Win API:
Arc
Languages:
powershell
Trellix
The Coordinated Embassy Hunt: Unmasking the DPRK-linked GitHub C2 Espionage Campaign
The Trellix Advanced Research Center uncovered a sophisticated espionage operation targeting diplomatic missions across several regions in South Korea during early 2025.
CTT Report Hub
#ParsedReport #CompletenessHigh 19-08-2025 The Coordinated Embassy Hunt: Unmasking the DPRK-linked GitHub C2 Espionage Campaign https://www.trellix.com/blogs/research/dprk-linked-github-c2-espionage-campaign/ Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Март–июль 2025 Целевой фишинг, связанный с КНДР, отправлял почтовые сообщения с паролем .сочетания клавиш lnk для запуска запутанного PowerShell, который декодировал полезные нагрузки base64 в памяти, собирал данные хоста и поддерживал закрепление. Используемый загрузчик raw.githubusercontent.com и GitHub Contents API с жестко закодированными токенами для извлечения и эксфильтрации через PUT, ссылающийся на измененные URL-адреса Dropbox. Полезной нагрузкой был GZIP .Сетевые сборки загружаются в память в виде запутанного XenoRAT (mutex Dansweit_Hk65-PSAccerdle), обеспечивающего Регистрацию нажатий клавиш, скриншоты, камеру/ микрофон, передачу файлов и удаленную оболочку.
-----
В период с марта по июль 2025 года операторы, предположительно связанные с КНДР, провели по меньшей мере 19 целенаправленных атак с использованием Целевого фишинга против сотрудников посольства и министерства иностранных дел в Сеуле. Приманки выдавали себя за дипломатов и сотрудников протокола и доставляли защищенные паролем ZIP-архивы по облачным ссылкам (Dropbox, Google Drive) и корейским почтовым сервисам (Daum). Архивы содержали ярлыки Windows с двойным расширением (например, "Срочное письмо от посла.pdf.lnk"), замаскированные значками PDF/хангыль; пароли ZIP (например, "USProtocol") были включены в электронное письмо, чтобы избежать сканирования и повысить достоверность.
Тот самый .Файлы LNK выполняли запутанные команды PowerShell, которые декодировали полезные нагрузки base64 в памяти, выполняли разведку хоста (собирали версию ОС, номер сборки, архитектуру ОС, время последней загрузки, дату установки, тип системы, запущенные процессы, IP-адрес и т.д.) и устанавливали закрепление с помощью запланированных задач. Загрузчик запросил контролируемые злоумышленником репозитории GitHub (raw.githubusercontent.com ) для получения управляющих инструкций и использовал GitHub Contents API для эксфильтрации данных с помощью запросов PUT с использованием жестко закодированных токенов личного доступа. Украденные артефакты были закодированы в base64, названы с использованием шаблонов timestamp/IP (например, "IP - MMDD_HHMM -0956_info.txt "), загружается в каталоги репозитория злоумышленника, а затем удаляется локально. В репозитории GitHub также размещался управляющий текстовый файл (onf.txt ), указывающие на URL-адреса полезной нагрузки в Dropbox; операторы быстро меняли эти URL-адреса для развертывания или удаления полезной нагрузки.
Полезные данные хранились в облаке в виде доброкачественных файлов .rtf, содержащих сжатые полезные данные GZIP. Загрузчик PowerShell исправил заголовок GZIP, перезаписав первые семь байт магической последовательностью (0x1F8B08...), распакованной с помощью System.IO.Compression.GZipStream, и загрузил полученный результат .СЕТЕВАЯ сборка в памяти через систему.Отражение.Сборка::Загрузить(). Окончательной полезной нагрузкой был Confuser Core 1.6.0-запутанный вариант XenoRAT (подобный MoonPeak), содержащий уникальный GUID ("12DE1212-167D-45BA-1284-780DA98CF901") и мьютекс ("Dansweit_Hk65-PSAccerdle"). RAT обеспечивал ведение журнала нажатий клавиш, захват скриншотов, доступ к веб-камере/микрофону, передачу файлов и удаленную оболочку, избегая при этом закрепления исполняемых артефактов на диске. Инфраструктура атаки включала в себя несколько учетных записей GitHub и многоязычные документы-приманки (54 PDF-файла на корейском, английском, персидском, арабском, французском, русском языках). Показатели соответствуют определению Kimsuky, хотя операционные модели показали нетипичное планирование, что предполагает возможную внешнюю поддержку или координацию.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Март–июль 2025 Целевой фишинг, связанный с КНДР, отправлял почтовые сообщения с паролем .сочетания клавиш lnk для запуска запутанного PowerShell, который декодировал полезные нагрузки base64 в памяти, собирал данные хоста и поддерживал закрепление. Используемый загрузчик raw.githubusercontent.com и GitHub Contents API с жестко закодированными токенами для извлечения и эксфильтрации через PUT, ссылающийся на измененные URL-адреса Dropbox. Полезной нагрузкой был GZIP .Сетевые сборки загружаются в память в виде запутанного XenoRAT (mutex Dansweit_Hk65-PSAccerdle), обеспечивающего Регистрацию нажатий клавиш, скриншоты, камеру/ микрофон, передачу файлов и удаленную оболочку.
-----
В период с марта по июль 2025 года операторы, предположительно связанные с КНДР, провели по меньшей мере 19 целенаправленных атак с использованием Целевого фишинга против сотрудников посольства и министерства иностранных дел в Сеуле. Приманки выдавали себя за дипломатов и сотрудников протокола и доставляли защищенные паролем ZIP-архивы по облачным ссылкам (Dropbox, Google Drive) и корейским почтовым сервисам (Daum). Архивы содержали ярлыки Windows с двойным расширением (например, "Срочное письмо от посла.pdf.lnk"), замаскированные значками PDF/хангыль; пароли ZIP (например, "USProtocol") были включены в электронное письмо, чтобы избежать сканирования и повысить достоверность.
Тот самый .Файлы LNK выполняли запутанные команды PowerShell, которые декодировали полезные нагрузки base64 в памяти, выполняли разведку хоста (собирали версию ОС, номер сборки, архитектуру ОС, время последней загрузки, дату установки, тип системы, запущенные процессы, IP-адрес и т.д.) и устанавливали закрепление с помощью запланированных задач. Загрузчик запросил контролируемые злоумышленником репозитории GitHub (raw.githubusercontent.com ) для получения управляющих инструкций и использовал GitHub Contents API для эксфильтрации данных с помощью запросов PUT с использованием жестко закодированных токенов личного доступа. Украденные артефакты были закодированы в base64, названы с использованием шаблонов timestamp/IP (например, "IP - MMDD_HHMM -0956_info.txt "), загружается в каталоги репозитория злоумышленника, а затем удаляется локально. В репозитории GitHub также размещался управляющий текстовый файл (onf.txt ), указывающие на URL-адреса полезной нагрузки в Dropbox; операторы быстро меняли эти URL-адреса для развертывания или удаления полезной нагрузки.
Полезные данные хранились в облаке в виде доброкачественных файлов .rtf, содержащих сжатые полезные данные GZIP. Загрузчик PowerShell исправил заголовок GZIP, перезаписав первые семь байт магической последовательностью (0x1F8B08...), распакованной с помощью System.IO.Compression.GZipStream, и загрузил полученный результат .СЕТЕВАЯ сборка в памяти через систему.Отражение.Сборка::Загрузить(). Окончательной полезной нагрузкой был Confuser Core 1.6.0-запутанный вариант XenoRAT (подобный MoonPeak), содержащий уникальный GUID ("12DE1212-167D-45BA-1284-780DA98CF901") и мьютекс ("Dansweit_Hk65-PSAccerdle"). RAT обеспечивал ведение журнала нажатий клавиш, захват скриншотов, доступ к веб-камере/микрофону, передачу файлов и удаленную оболочку, избегая при этом закрепления исполняемых артефактов на диске. Инфраструктура атаки включала в себя несколько учетных записей GitHub и многоязычные документы-приманки (54 PDF-файла на корейском, английском, персидском, арабском, французском, русском языках). Показатели соответствуют определению Kimsuky, хотя операционные модели показали нетипичное планирование, что предполагает возможную внешнюю поддержку или координацию.
#ParsedReport #CompletenessMedium
19-08-2025
Ransomware incidents in Japan during the first half of 2025
https://blog.talosintelligence.com/ransomware_incidents_in_japan_during_the_first_half_of_2025/
Report completeness: Medium
Actors/Campaigns:
Spacebears
Threats:
Qilin_ransomware
Kawalocker
Lockbit
8base
Hunters_international
Ransomhub
Lynx
Nightspire
Akira_ransomware
Cicada_ransomware
Gunra
Royal_ransomware
Clop
Devman
Fog_ransomware
Shadow_copies_delete_technique
Wevtutil_tool
Victims:
Small and medium sized enterprises, Manufacturing, Automotive, Trading companies, Construction, Transportation, Japanese companies, Japan
Industry:
Transport
Geo:
Japanese, Japan
ChatGPT TTPs:
T1041, T1047, T1059.003, T1106, T1486, T1489
IOCs:
Path: 1
Registry: 1
Command: 3
Hash: 4
Algorithms:
salsa20
Win API:
FindResourceW, CreateFileW, MiniDumpWriteDump, CreateProcessW, CreateMutexA
19-08-2025
Ransomware incidents in Japan during the first half of 2025
https://blog.talosintelligence.com/ransomware_incidents_in_japan_during_the_first_half_of_2025/
Report completeness: Medium
Actors/Campaigns:
Spacebears
Threats:
Qilin_ransomware
Kawalocker
Lockbit
8base
Hunters_international
Ransomhub
Lynx
Nightspire
Akira_ransomware
Cicada_ransomware
Gunra
Royal_ransomware
Clop
Devman
Fog_ransomware
Shadow_copies_delete_technique
Wevtutil_tool
Victims:
Small and medium sized enterprises, Manufacturing, Automotive, Trading companies, Construction, Transportation, Japanese companies, Japan
Industry:
Transport
Geo:
Japanese, Japan
ChatGPT TTPs:
do not use without manual checkT1041, T1047, T1059.003, T1106, T1486, T1489
IOCs:
Path: 1
Registry: 1
Command: 3
Hash: 4
Algorithms:
salsa20
Win API:
FindResourceW, CreateFileW, MiniDumpWriteDump, CreateProcessW, CreateMutexA
Cisco Talos Blog
Ransomware incidents in Japan during the first half of 2025
Ransomware attackers continue to primarily target small and medium-sized manufacturing businesses in Japan.
CTT Report Hub
#ParsedReport #CompletenessMedium 19-08-2025 Ransomware incidents in Japan during the first half of 2025 https://blog.talosintelligence.com/ransomware_incidents_in_japan_during_the_first_half_of_2025/ Report completeness: Medium Actors/Campaigns: Spacebears…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Число программ—вымогателей в Японии выросло в 1,4 раза в первом полугодии 2025 года, причем больше всего пострадали малые и средние предприятия, особенно обрабатывающая промышленность; Qilin нанес наибольший ущерб, а новичок Kawa4096 появился в июне. Kawa4096 загружает конфигурацию из своего PE-ресурса через FindResourceW, указывая целевые расширения, исключения, процессы/службы для уничтожения и команды пост‑шифрования (например, cmd_post=calc); он считывает новое расширение из ресурса (смещение 8, 9 байт) и принимает аргумент "all". Актор использует двойное вымогательство, сбрасывая "!!Restore-My-file-Kavva.txt " в C:\ и зашифрованных папках; KaWaLocker 2.0 в июле изменил уведомление о выкупе, указав новый контакт.
-----
Число случаев использования программ-вымогателей в Японии увеличилось примерно в 1,4 раза в первом полугодии 2025 года по сравнению с предыдущим годом, причем основными мишенями были малые и средние предприятия. Обрабатывающая промышленность оставалась наиболее пострадавшим сектором (18,2% инцидентов), за ней следовали автомобилестроение (5 случаев, 5,7%), а также торговля, строительство и транспорт (по 4 случая, 4,6%). Было установлено, что Qilin group нанесла наибольший ущерб внутри страны. LockBit и 8base — ранее распространенные — не наблюдались в 2025 году после проверок правоохранительными органами в феврале 2024 и феврале 2025 годов. Новый актор, Kawa4096, появился в конце июня и, возможно, оказал воздействие на две японские компании.
Технический анализ Kawa4096 показывает, что программа-вымогатель загружает файл конфигурации из раздела ресурсов PE, используя FindResourceW. Встроенная конфигурация определяет целевые расширения файлов, каталоги и папки для исключения, процессы и службы для завершения и произвольные команды для выполнения (примеры включают cmd_post="calc", используемый в качестве шага проверки после шифрования). Другие наблюдаемые конфигурации приводят к принудительной перезагрузке (shutdown /r /t 0) после шифрования. Расширение, добавляемое к зашифрованным файлам, также берется из данных ресурса: код считывает данные, начинающиеся с 8 байт, в загруженное значение и использует следующие 9 байт в качестве нового расширения. Двоичный файл проверяет наличие аргумента командной строки "all" при выполнении.
Программа-вымогатель реализует поведение двойного вымогательства: она отправляет записку с требованием выкупа под названием "!!Restore-My-file-Kavva.txt " в C:\ и в каждой зашифрованной папке, требуя эксфильтрации данных и угрожая публикацией в случае отказа в связи, а также перечисляя типы украденных данных (информация о сотрудниках и клиентах), чтобы оказать давление на жертв. Похожий вариант, KaWaLocker 2.0, был замечен в конце июля 2025 года; он включает измененное уведомление о выкупе с недавно добавленным контактом по электронной почте, что предполагает активную разработку и продолжение развертывания актором.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Число программ—вымогателей в Японии выросло в 1,4 раза в первом полугодии 2025 года, причем больше всего пострадали малые и средние предприятия, особенно обрабатывающая промышленность; Qilin нанес наибольший ущерб, а новичок Kawa4096 появился в июне. Kawa4096 загружает конфигурацию из своего PE-ресурса через FindResourceW, указывая целевые расширения, исключения, процессы/службы для уничтожения и команды пост‑шифрования (например, cmd_post=calc); он считывает новое расширение из ресурса (смещение 8, 9 байт) и принимает аргумент "all". Актор использует двойное вымогательство, сбрасывая "!!Restore-My-file-Kavva.txt " в C:\ и зашифрованных папках; KaWaLocker 2.0 в июле изменил уведомление о выкупе, указав новый контакт.
-----
Число случаев использования программ-вымогателей в Японии увеличилось примерно в 1,4 раза в первом полугодии 2025 года по сравнению с предыдущим годом, причем основными мишенями были малые и средние предприятия. Обрабатывающая промышленность оставалась наиболее пострадавшим сектором (18,2% инцидентов), за ней следовали автомобилестроение (5 случаев, 5,7%), а также торговля, строительство и транспорт (по 4 случая, 4,6%). Было установлено, что Qilin group нанесла наибольший ущерб внутри страны. LockBit и 8base — ранее распространенные — не наблюдались в 2025 году после проверок правоохранительными органами в феврале 2024 и феврале 2025 годов. Новый актор, Kawa4096, появился в конце июня и, возможно, оказал воздействие на две японские компании.
Технический анализ Kawa4096 показывает, что программа-вымогатель загружает файл конфигурации из раздела ресурсов PE, используя FindResourceW. Встроенная конфигурация определяет целевые расширения файлов, каталоги и папки для исключения, процессы и службы для завершения и произвольные команды для выполнения (примеры включают cmd_post="calc", используемый в качестве шага проверки после шифрования). Другие наблюдаемые конфигурации приводят к принудительной перезагрузке (shutdown /r /t 0) после шифрования. Расширение, добавляемое к зашифрованным файлам, также берется из данных ресурса: код считывает данные, начинающиеся с 8 байт, в загруженное значение и использует следующие 9 байт в качестве нового расширения. Двоичный файл проверяет наличие аргумента командной строки "all" при выполнении.
Программа-вымогатель реализует поведение двойного вымогательства: она отправляет записку с требованием выкупа под названием "!!Restore-My-file-Kavva.txt " в C:\ и в каждой зашифрованной папке, требуя эксфильтрации данных и угрожая публикацией в случае отказа в связи, а также перечисляя типы украденных данных (информация о сотрудниках и клиентах), чтобы оказать давление на жертв. Похожий вариант, KaWaLocker 2.0, был замечен в конце июля 2025 года; он включает измененное уведомление о выкупе с недавно добавленным контактом по электронной почте, что предполагает активную разработку и продолжение развертывания актором.
#ParsedReport #CompletenessMedium
19-08-2025
GodRAT New RAT targeting financial institutions
https://securelist.com/godrat/117119/
Report completeness: Medium
Actors/Campaigns:
Winnti
Threats:
Godrat
Gh0st_rat
Steganography_technique
Asyncrat
Awesomepuppet
Dll_hijacking_technique
Victims:
Financial trading and brokerage firms, Financial sector
Geo:
Malaysia, United arab emirates, Arab emirates, Jordan, Lebanon, Hong kong
ChatGPT TTPs:
T1001.003, T1027, T1036.005, T1041, T1055, T1059.003, T1102, T1105, T1105, T1106, have more...
IOCs:
Hash: 25
File: 16
Registry: 1
Path: 13
IP: 6
Domain: 1
Url: 1
Soft:
curl, Internet Explorer, chrome
Algorithms:
sha2, deflate, xor, md5, zip, 7zip
Win API:
CreateProcessA, ShellExecuteA, EtwEventWrite
19-08-2025
GodRAT New RAT targeting financial institutions
https://securelist.com/godrat/117119/
Report completeness: Medium
Actors/Campaigns:
Winnti
Threats:
Godrat
Gh0st_rat
Steganography_technique
Asyncrat
Awesomepuppet
Dll_hijacking_technique
Victims:
Financial trading and brokerage firms, Financial sector
Geo:
Malaysia, United arab emirates, Arab emirates, Jordan, Lebanon, Hong kong
ChatGPT TTPs:
do not use without manual checkT1001.003, T1027, T1036.005, T1041, T1055, T1059.003, T1102, T1105, T1105, T1106, have more...
IOCs:
Hash: 25
File: 16
Registry: 1
Path: 13
IP: 6
Domain: 1
Url: 1
Soft:
curl, Internet Explorer, chrome
Algorithms:
sha2, deflate, xor, md5, zip, 7zip
Win API:
CreateProcessA, ShellExecuteA, EtwEventWrite
Securelist
Gh0st RAT-based GodRAT attacks financial organizations
Kaspersky experts analyze GodRAT, a new Gh0st RAT-based tool attacking financial firms. It is likely a successor of the AwesomePuppet RAT connected to the Winnti group.
CTT Report Hub
#ParsedReport #CompletenessMedium 19-08-2025 GodRAT New RAT targeting financial institutions https://securelist.com/godrat/117119/ Report completeness: Medium Actors/Campaigns: Winnti Threats: Godrat Gh0st_rat Steganography_technique Asyncrat Awesomepuppet…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания сентября 2024 года доставила вредоносный .scr через Skype с использованием Стеганографии; два варианта загрузчика (шеллкод, встроенный в двоичный файл, или считанный из образа) вводят шеллкод в свой собственный процесс. На первом этапе выполняется поиск "godinfo", XOR-декодирует config с помощью 0x63, чтобы получить C2/порт, отправляет "GETGOD" для получения bootstrap и библиотеки DLL GodRAT, упакованной в UPX (ONLINE.dll ) затем вызывает свой единственный экспортный "запуск". FileManager от GodRAT поддерживает широкие операции с файлами, выполнение и встроенный 7zip; на втором этапе удаляются средства для кражи паролей Chrome / Edge и инжектор AsyncRAT; builder / source и автоматически сгенерированные UID ссылаются на наборы инструментов Gh0st / AwesomePuppet и несколько IP-адресов/доменов C2.
-----
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания сентября 2024 года доставила вредоносный .scr через Skype с использованием Стеганографии; два варианта загрузчика (шеллкод, встроенный в двоичный файл, или считанный из образа) вводят шеллкод в свой собственный процесс. На первом этапе выполняется поиск "godinfo", XOR-декодирует config с помощью 0x63, чтобы получить C2/порт, отправляет "GETGOD" для получения bootstrap и библиотеки DLL GodRAT, упакованной в UPX (ONLINE.dll ) затем вызывает свой единственный экспортный "запуск". FileManager от GodRAT поддерживает широкие операции с файлами, выполнение и встроенный 7zip; на втором этапе удаляются средства для кражи паролей Chrome / Edge и инжектор AsyncRAT; builder / source и автоматически сгенерированные UID ссылаются на наборы инструментов Gh0st / AwesomePuppet и несколько IP-адресов/доменов C2.
-----
#ParsedReport #CompletenessMedium
19-08-2025
Analysis of Kimsuky (APT) leaked toolkit, with network disk download address
https://www.ctfiot.com/265616.html
Report completeness: Medium
Actors/Campaigns:
Kimsuky (motivation: government_sponsored, cyber_espionage)
Threats:
Cobalt_strike_tool
Rootrot
Spawnchimera
Victims:
Government, Defense
Industry:
Government, Telco, Nuclear_power
Geo:
North korean, Taiwan, Korean, Korea, China, Hong kong, Singapore, North korea
ChatGPT TTPs:
T1041, T1078, T1105, T1589
IOCs:
File: 23
IP: 6
Hash: 4
Soft:
Linux, Chrome, curl
Algorithms:
base64, zip, crc-32
Functions:
PluginManager, syn_active_check, master_main_handle
Languages:
javascript, php, java
19-08-2025
Analysis of Kimsuky (APT) leaked toolkit, with network disk download address
https://www.ctfiot.com/265616.html
Report completeness: Medium
Actors/Campaigns:
Kimsuky (motivation: government_sponsored, cyber_espionage)
Threats:
Cobalt_strike_tool
Rootrot
Spawnchimera
Victims:
Government, Defense
Industry:
Government, Telco, Nuclear_power
Geo:
North korean, Taiwan, Korean, Korea, China, Hong kong, Singapore, North korea
ChatGPT TTPs:
do not use without manual checkT1041, T1078, T1105, T1589
IOCs:
File: 23
IP: 6
Hash: 4
Soft:
Linux, Chrome, curl
Algorithms:
base64, zip, crc-32
Functions:
PluginManager, syn_active_check, master_main_handle
Languages:
javascript, php, java
CTF导航
Kimsuky（APT）泄漏工具包分析，附网盘下载地址 | CTF导航
前言本文分析了一个APT工作站的数据泄露内容。这些数据和源代码来自针对韩国和中国台湾的威胁行为者的工作站。 我们相信这是朝鲜“Kimsuky”组织的一员（参考文献#14）。Kimsuky是一个由朝鲜政府支持的高级持续性威...
CTT Report Hub
#ParsedReport #CompletenessMedium 19-08-2025 Analysis of Kimsuky (APT) leaked toolkit, with network disk download address https://www.ctfiot.com/265616.html Report completeness: Medium Actors/Campaigns: Kimsuky (motivation: government_sponsored, cyber_espionage)…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Утечка исходного кода и артефактов оператора, приписываемых северокорейскому Kimsuky, раскрывает инструменты эксфильтрации данных, включая код загрузчика/ конфигурации и адреса сетевых дисков, используемые в качестве конечных точек передачи. Восстановленные журналы и украденный контент нацелены на южнокорейские оборонные и правительственные сети (DCC, Министерство иностранных дел) и Тайвань. Пути, такие как vps/var/www/html, указывают на использование VPS webroot или размещенного хранилища для промежуточного/общедоступного поиска.
-----
Анализ охватывает утечку инструментария и данных, восстановленных с рабочих станций злоумышленников, приписываемых северокорейской сложной целенаправленной атаке Kimsuky (ссылка №14). Исследователи восстановили исходный код и артефакты из скомпрометированных операторских систем, причем набор данных был сосредоточен на компонентах эксфильтрации данных и эксплуатационных материалах. Сообщается, что утечка включает адреса загрузки с сетевого диска, используемые инструментарием для промежуточной загрузки или извлечения отфильтрованного контента.
Изъятые материалы, задокументированные в утечке, включают записи об атаках и журналы доступа южнокорейских объектов: Командования военной контрразведки (DCC), Министерства иностранных дел и других внутренних правительственных сетей Южной Кореи, а также информацию о таргетинге, связанную с Тайванем. Один явный путь к артефакту показывает агрегированные данные, хранящиеся в vps/var/www/html/, что указывает на использование VPS webroot или аналогичного размещенного хранилища для промежуточного или общедоступного поиска украденных файлов.
Поскольку исходный код присутствовал на рабочих станциях операторов, материал может раскрыть детали реализации инструментария Kimsuky, включая то, как автоматизируется эксфильтрация, используемые конечные точки передачи (адреса сетевых дисков) и методы промежуточной обработки файлов. Наличие записей о посещениях и доступе предполагает как подтвержденный доступ, так и сбор конфиденциальных внутренних документов. Эти артефакты указывают на оперативное поведение: целенаправленный сбор данных против правительства Южной Кореи и оборонных структур, использование размещенного веб-хранилища для промежуточной эксфильтрации и включение сведений о загрузчике/конфигурации в системы операторов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Утечка исходного кода и артефактов оператора, приписываемых северокорейскому Kimsuky, раскрывает инструменты эксфильтрации данных, включая код загрузчика/ конфигурации и адреса сетевых дисков, используемые в качестве конечных точек передачи. Восстановленные журналы и украденный контент нацелены на южнокорейские оборонные и правительственные сети (DCC, Министерство иностранных дел) и Тайвань. Пути, такие как vps/var/www/html, указывают на использование VPS webroot или размещенного хранилища для промежуточного/общедоступного поиска.
-----
Анализ охватывает утечку инструментария и данных, восстановленных с рабочих станций злоумышленников, приписываемых северокорейской сложной целенаправленной атаке Kimsuky (ссылка №14). Исследователи восстановили исходный код и артефакты из скомпрометированных операторских систем, причем набор данных был сосредоточен на компонентах эксфильтрации данных и эксплуатационных материалах. Сообщается, что утечка включает адреса загрузки с сетевого диска, используемые инструментарием для промежуточной загрузки или извлечения отфильтрованного контента.
Изъятые материалы, задокументированные в утечке, включают записи об атаках и журналы доступа южнокорейских объектов: Командования военной контрразведки (DCC), Министерства иностранных дел и других внутренних правительственных сетей Южной Кореи, а также информацию о таргетинге, связанную с Тайванем. Один явный путь к артефакту показывает агрегированные данные, хранящиеся в vps/var/www/html/, что указывает на использование VPS webroot или аналогичного размещенного хранилища для промежуточного или общедоступного поиска украденных файлов.
Поскольку исходный код присутствовал на рабочих станциях операторов, материал может раскрыть детали реализации инструментария Kimsuky, включая то, как автоматизируется эксфильтрация, используемые конечные точки передачи (адреса сетевых дисков) и методы промежуточной обработки файлов. Наличие записей о посещениях и доступе предполагает как подтвержденный доступ, так и сбор конфиденциальных внутренних документов. Эти артефакты указывают на оперативное поведение: целенаправленный сбор данных против правительства Южной Кореи и оборонных структур, использование размещенного веб-хранилища для промежуточной эксфильтрации и включение сведений о загрузчике/конфигурации в системы операторов.
#ParsedReport #CompletenessMedium
19-08-2025
Dawn and Swift Sunset of the Banking Troyan Gorilla
https://rt-solar.ru/solar-4rays/blog/5824/
Report completeness: Medium
Threats:
Gorilla
Victims:
Banking
Industry:
Financial
Geo:
Asia, Russian
IOCs:
File: 1
IP: 38
Hash: 205
Soft:
Telegram, Android, Django
Algorithms:
sha1, sha256, md5
Languages:
swift, kotlin
19-08-2025
Dawn and Swift Sunset of the Banking Troyan Gorilla
https://rt-solar.ru/solar-4rays/blog/5824/
Report completeness: Medium
Threats:
Gorilla
Victims:
Banking
Industry:
Financial
Geo:
Asia, Russian
IOCs:
File: 1
IP: 38
Hash: 205
Soft:
Telegram, Android, Django
Algorithms:
sha1, sha256, md5
Languages:
swift, kotlin
CTT Report Hub
#ParsedReport #CompletenessMedium 19-08-2025 Dawn and Swift Sunset of the Banking Troyan Gorilla https://rt-solar.ru/solar-4rays/blog/5824/ Report completeness: Medium Threats: Gorilla Victims: Banking Industry: Financial Geo: Asia, Russian IOCs: File:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Наблюдаемая кампания по фишингу использовала Telegram-каналы / контакты для доставки приманок и полезной нагрузки. Полезная нагрузка представляет собой ранее не сообщавшийся банковский троян, получивший название "Gorilla", реализованный в Kotlin — предполагающий JVM / Android или кроссплатформенные компоненты Java ‑ и описанный как многофункциональный и коммерчески ориентированный, подразумевающий модульную монетизацию / потенциал MaaS. В отчете опускаются подробности о конкретных целях, C2, закреплении и возможностях.
-----
В марте 2025 года команда Solar 4rays выявила кампанию фишинга, которая использовала Telegram в качестве вектора распространения вредоносного программного обеспечения. Изначально кампания напоминала обычный фишинг на основе обмена сообщениями, но более глубокий технический анализ выявил присутствие ранее не зарегистрированного банковского трояна под названием "Gorilla". Способ доставки использовал каналы Telegram / контакты для распространения приманки и полезной нагрузки, скрывая вредоносное ПО за обычным контентом социальной инженерии.
Gorilla описывается как многофункциональный, коммерчески ориентированный банковский троян, реализованный на Kotlin. Выбор Kotlin в качестве языка реализации указывает на разработку на платформах, совместимых с JVM, и согласуется с ориентированным на Android вредоносным ПО или кроссплатформенными компонентами на основе Java, хотя в отчете не перечисляются конкретные целевые платформы или API. Характеристика вредоносного ПО как многофункционального и коммерчески ориентированного предполагает модульную архитектуру с множеством возможностей монетизации и потенциальную доступность для других акторов (например, MaaS или платное лицензирование), что подразумевает функциональность, выходящую за рамки простой кражи учетных данных.
В оперативном плане использование Telegram в кампании для фишинга подчеркивает тенденцию к распространению сообщений на основе приложений и методов социальной инженерии, использующих надежные каналы связи. Ключевыми техническими моментами являются: Telegram в качестве вектора, приманки для фишинга для инициирования установки, Gorilla в качестве банковского трояна с кодировкой Kotlin и коммерческий / многофункциональный дизайн, который может обеспечить разнообразные возможности мошенничества и повторного использования другими злоумышленниками. Дополнительные технические подробности (конкретные возможности, механизмы управления, закрепления или индикаторы) в резюме представлены не были.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Наблюдаемая кампания по фишингу использовала Telegram-каналы / контакты для доставки приманок и полезной нагрузки. Полезная нагрузка представляет собой ранее не сообщавшийся банковский троян, получивший название "Gorilla", реализованный в Kotlin — предполагающий JVM / Android или кроссплатформенные компоненты Java ‑ и описанный как многофункциональный и коммерчески ориентированный, подразумевающий модульную монетизацию / потенциал MaaS. В отчете опускаются подробности о конкретных целях, C2, закреплении и возможностях.
-----
В марте 2025 года команда Solar 4rays выявила кампанию фишинга, которая использовала Telegram в качестве вектора распространения вредоносного программного обеспечения. Изначально кампания напоминала обычный фишинг на основе обмена сообщениями, но более глубокий технический анализ выявил присутствие ранее не зарегистрированного банковского трояна под названием "Gorilla". Способ доставки использовал каналы Telegram / контакты для распространения приманки и полезной нагрузки, скрывая вредоносное ПО за обычным контентом социальной инженерии.
Gorilla описывается как многофункциональный, коммерчески ориентированный банковский троян, реализованный на Kotlin. Выбор Kotlin в качестве языка реализации указывает на разработку на платформах, совместимых с JVM, и согласуется с ориентированным на Android вредоносным ПО или кроссплатформенными компонентами на основе Java, хотя в отчете не перечисляются конкретные целевые платформы или API. Характеристика вредоносного ПО как многофункционального и коммерчески ориентированного предполагает модульную архитектуру с множеством возможностей монетизации и потенциальную доступность для других акторов (например, MaaS или платное лицензирование), что подразумевает функциональность, выходящую за рамки простой кражи учетных данных.
В оперативном плане использование Telegram в кампании для фишинга подчеркивает тенденцию к распространению сообщений на основе приложений и методов социальной инженерии, использующих надежные каналы связи. Ключевыми техническими моментами являются: Telegram в качестве вектора, приманки для фишинга для инициирования установки, Gorilla в качестве банковского трояна с кодировкой Kotlin и коммерческий / многофункциональный дизайн, который может обеспечить разнообразные возможности мошенничества и повторного использования другими злоумышленниками. Дополнительные технические подробности (конкретные возможности, механизмы управления, закрепления или индикаторы) в резюме представлены не были.
#ParsedReport #CompletenessMedium
19-08-2025
The emergence of MountBot, which hides its processes
https://blog.nicter.jp/2025/08/mountbot_2025aug/
Report completeness: Medium
Threats:
Mountbot
Rapperbot
Socat_tool
Victims:
Iot devices, Online game servers, Minecraft servers, Asus wifi routers, Hikvision devices
Industry:
Entertainment, Iot
Geo:
Japan, Taiwan, China, Chinese, German
CVEs:
CVE-2021-362603 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 1
ChatGPT TTPs:
T1046, T1095, T1210, T1498, T1562.001, T1564.001, T1595
IOCs:
Url: 1
Hash: 5
Soft:
Linux, QEMU, curl, FiveM
Functions:
AiCloud
19-08-2025
The emergence of MountBot, which hides its processes
https://blog.nicter.jp/2025/08/mountbot_2025aug/
Report completeness: Medium
Threats:
Mountbot
Rapperbot
Socat_tool
Victims:
Iot devices, Online game servers, Minecraft servers, Asus wifi routers, Hikvision devices
Industry:
Entertainment, Iot
Geo:
Japan, Taiwan, China, Chinese, German
CVEs:
CVE-2021-362603 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 1
ChatGPT TTPs:
do not use without manual checkT1046, T1095, T1210, T1498, T1562.001, T1564.001, T1595
IOCs:
Url: 1
Hash: 5
Soft:
Linux, QEMU, curl, FiveM
Functions:
AiCloud
NICTER Blog
プロセスを隠蔽するMountBotの出現
今年の4月に、「ASUS製WiFiルーターのAiCloud機能の脆弱性を悪用する攻撃に関する注意喚起」1 を報告していますが、その攻撃の中には、これまでに見たことのない、新しいマルウェアへの感染が含まれていました。このマルウェアは、その後も更新されながら活動を続けており、RapperBot と同一のネットワーク基盤を利用しています。最大の特徴は、プロセスディレクトリの mount を行うことにより …
CTT Report Hub
#ParsedReport #CompletenessMedium 19-08-2025 The emergence of MountBot, which hides its processes https://blog.nicter.jp/2025/08/mountbot_2025aug/ Report completeness: Medium Threats: Mountbot Rapperbot Socat_tool Victims: Iot devices, Online game servers…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
MountBot - это ботнет интернета вещей, привязанный к хостингу 204.76.203.192/27, совместно используемому RapperBot. Он скрывает процессы, монтируя каталоги процессов, запускает подпрограммы-убийцы для завершения работы инструментов анализа (Wireshark, QEMU) и выдает команды iptables. Распространение использует настраиваемые сканеры (no-scanner, Telnet on 23, Hikvision), включает модули DoS/DDoS-атак, а C2 использует проприетарный зашифрованный протокол с целями, сосредоточенными на TCP 80 и 25565, в основном в Китае.
-----
MountBot - это продолжающееся семейство ботнет Интернета вещей, впервые обнаруженное в апреле и отслеживаемое как использующее ту же немецкую хостинговую сеть (204.76.203.192/27), что и недавняя инфраструктура загрузчика RapperBot, что указывает на вероятную совместную разработку или повторное использование инфраструктуры. Он активно обновлялся с момента первоначального обнаружения и повторно использует сетевую инфраструктуру, связанную с RapperBot.
Наиболее отличительной технической возможностью вредоносного ПО является скрытие процессов, достигаемое путем установки каталогов процессов, эффективно скрывающих его собственные процессы из стандартных списков процессов. Он также реализует множество подпрограмм-убийц, предназначенных для инструментов, связанных с "песочницей" и аналитикой, явно завершая процессы, связанные с Wireshark, QEMU и аналогичными средами анализа. MountBot выдает команды iptables как часть своего поведения, указывая на манипуляции с локальной фильтрацией пакетов или сетевыми конфигурациями, связанными с закреплением.
Распространение происходит с помощью настраиваемых модулей сканера. Подтвержденные режимы сканирования включают сборку без сканера, сканер Telnet, который нацелен на порт 23 для автоматического заражения, и сканер разведки, специально предназначенный для устройств Hikvision. Все варианты, поддерживающие сканер, включают модули DoS/DDoS-атак. Система управления использует запатентованный зашифрованный протокол; анализ и расшифровка протокола трафика C2 в период с 16 июля по 8 августа 2025 года выявили телеметрию цели атаки. На долю Китая приходилось более 50% наблюдаемых целей за этот период, в то время как на долю Японии приходилось примерно 4%, в основном из-за атак на серверы Minecraft. Наиболее часто атакуемыми портами были TCP 80 (HTTP) и TCP 25565 (Minecraft), что соответствовало автоматическим атакам на веб-инфраструктуру и инфраструктуру игровых серверов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
MountBot - это ботнет интернета вещей, привязанный к хостингу 204.76.203.192/27, совместно используемому RapperBot. Он скрывает процессы, монтируя каталоги процессов, запускает подпрограммы-убийцы для завершения работы инструментов анализа (Wireshark, QEMU) и выдает команды iptables. Распространение использует настраиваемые сканеры (no-scanner, Telnet on 23, Hikvision), включает модули DoS/DDoS-атак, а C2 использует проприетарный зашифрованный протокол с целями, сосредоточенными на TCP 80 и 25565, в основном в Китае.
-----
MountBot - это продолжающееся семейство ботнет Интернета вещей, впервые обнаруженное в апреле и отслеживаемое как использующее ту же немецкую хостинговую сеть (204.76.203.192/27), что и недавняя инфраструктура загрузчика RapperBot, что указывает на вероятную совместную разработку или повторное использование инфраструктуры. Он активно обновлялся с момента первоначального обнаружения и повторно использует сетевую инфраструктуру, связанную с RapperBot.
Наиболее отличительной технической возможностью вредоносного ПО является скрытие процессов, достигаемое путем установки каталогов процессов, эффективно скрывающих его собственные процессы из стандартных списков процессов. Он также реализует множество подпрограмм-убийц, предназначенных для инструментов, связанных с "песочницей" и аналитикой, явно завершая процессы, связанные с Wireshark, QEMU и аналогичными средами анализа. MountBot выдает команды iptables как часть своего поведения, указывая на манипуляции с локальной фильтрацией пакетов или сетевыми конфигурациями, связанными с закреплением.
Распространение происходит с помощью настраиваемых модулей сканера. Подтвержденные режимы сканирования включают сборку без сканера, сканер Telnet, который нацелен на порт 23 для автоматического заражения, и сканер разведки, специально предназначенный для устройств Hikvision. Все варианты, поддерживающие сканер, включают модули DoS/DDoS-атак. Система управления использует запатентованный зашифрованный протокол; анализ и расшифровка протокола трафика C2 в период с 16 июля по 8 августа 2025 года выявили телеметрию цели атаки. На долю Китая приходилось более 50% наблюдаемых целей за этот период, в то время как на долю Японии приходилось примерно 4%, в основном из-за атак на серверы Minecraft. Наиболее часто атакуемыми портами были TCP 80 (HTTP) и TCP 25565 (Minecraft), что соответствовало автоматическим атакам на веб-инфраструктуру и инфраструктуру игровых серверов.
#ParsedReport #CompletenessMedium
19-08-2025
Phantomcore Exchange Ceilger Phantomcore attribution
https://habr.com/ru/companies/pt/articles/936878/
Report completeness: Medium
Actors/Campaigns:
Phantomcore
Threats:
Phantomcore
Keilger
Phantomdl
Opendir_technique
Victims:
It consulting, It solutions development
Industry:
Logistic
Geo:
Russia
ChatGPT TTPs:
T1071.001, T1566.002, T1583.001
IOCs:
IP: 2
File: 4
Path: 1
Hash: 1
Soft:
DJango, Telegram, outlook, microsoft exchange
Algorithms:
xor
Platforms:
x86
19-08-2025
Phantomcore Exchange Ceilger Phantomcore attribution
https://habr.com/ru/companies/pt/articles/936878/
Report completeness: Medium
Actors/Campaigns:
Phantomcore
Threats:
Phantomcore
Keilger
Phantomdl
Opendir_technique
Victims:
It consulting, It solutions development
Industry:
Logistic
Geo:
Russia
ChatGPT TTPs:
do not use without manual checkT1071.001, T1566.002, T1583.001
IOCs:
IP: 2
File: 4
Path: 1
Hash: 1
Soft:
DJango, Telegram, outlook, microsoft exchange
Algorithms:
xor
Platforms:
x86
Хабр
Атрибуция Exchange-кейлоггеров к группировке PhantomCore
Салют, Хабр! На связи вновь команда киберразведки экспертного центра безопасности Positive Technologies и мы с новым расследованием, которое... как любое, наверно, детективное дело имеет свои...