CTT Report Hub
#ParsedReport #CompletenessLow 20-08-2025 DIANNA Explains 3DBatLoader: Master of Disguise https://www.deepinstinct.com/blog/dianna-explains-3-dbatloader-master-of-disguise Report completeness: Low Threats: Dbatloader Industry: Software_development IOCs:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
DBatLoader - это сложное вредоносное ПО на базе Delphi, которое использует мощные методы запутывания, чтобы избежать обнаружения и усложнить анализ. Его разработка отражает тенденцию, когда злоумышленники используют законные структуры для создания продвинутых киберугроз, что свидетельствует об их адаптивности и находчивости. Появление DBatLoader подчеркивает растущую сложность и анонимность разработки вредоносного ПО, что создает проблемы для специалистов по кибербезопасности при выявлении таких угроз и борьбе с ними.
-----
DBatLoader - это сложное вредоносное ПО, разработанное с использованием языка программирования Delphi, демонстрирующее тенденцию, когда злоумышленники используют широко используемые фреймворки для создания продвинутых киберугроз. В качестве примечательного аспекта своей функциональности DBatLoader демонстрирует мощные методы запутывания, позволяющие ему избегать обнаружения и усложняющие анализ. Дизайн этого вредоносного ПО отражает значительный сдвиг в том, как действуют киберпреступники, указывая на то, что они используют законные технологии для создания вводящих в заблуждение и мощных угроз.
Возможности вредоносного ПО предполагают определенный уровень адаптивности, поскольку его создатели, похоже, выбирают среды разработки, основанные на эффективности, а не на традиционных ассоциациях с разработкой вредоносного ПО. Выбор Delphi, часто связанного с устаревшими бизнес-приложениями, подчеркивает универсальность и изобретательность злоумышленников в их стремлении к запутыванию и скрытности.
Хронология обнаружения DBatLoader's подчеркивает текущие проблемы, с которыми сталкиваются специалисты по кибербезопасности при выявлении возникающих угроз и борьбе с ними. По мере того как разработка вредоносного ПО становится все более сложной и анонимной, это вызывает тревогу по поводу прогнозируемой эволюции киберугроз, подчеркивая необходимость постоянного мониторинга и инновационных стратегий обнаружения. Поведение DBatLoader служит напоминанием об опасностях, связанных с таким продвинутым запутыванием, усиливая важность бдительности в практиках кибербезопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
DBatLoader - это сложное вредоносное ПО на базе Delphi, которое использует мощные методы запутывания, чтобы избежать обнаружения и усложнить анализ. Его разработка отражает тенденцию, когда злоумышленники используют законные структуры для создания продвинутых киберугроз, что свидетельствует об их адаптивности и находчивости. Появление DBatLoader подчеркивает растущую сложность и анонимность разработки вредоносного ПО, что создает проблемы для специалистов по кибербезопасности при выявлении таких угроз и борьбе с ними.
-----
DBatLoader - это сложное вредоносное ПО, разработанное с использованием языка программирования Delphi, демонстрирующее тенденцию, когда злоумышленники используют широко используемые фреймворки для создания продвинутых киберугроз. В качестве примечательного аспекта своей функциональности DBatLoader демонстрирует мощные методы запутывания, позволяющие ему избегать обнаружения и усложняющие анализ. Дизайн этого вредоносного ПО отражает значительный сдвиг в том, как действуют киберпреступники, указывая на то, что они используют законные технологии для создания вводящих в заблуждение и мощных угроз.
Возможности вредоносного ПО предполагают определенный уровень адаптивности, поскольку его создатели, похоже, выбирают среды разработки, основанные на эффективности, а не на традиционных ассоциациях с разработкой вредоносного ПО. Выбор Delphi, часто связанного с устаревшими бизнес-приложениями, подчеркивает универсальность и изобретательность злоумышленников в их стремлении к запутыванию и скрытности.
Хронология обнаружения DBatLoader's подчеркивает текущие проблемы, с которыми сталкиваются специалисты по кибербезопасности при выявлении возникающих угроз и борьбе с ними. По мере того как разработка вредоносного ПО становится все более сложной и анонимной, это вызывает тревогу по поводу прогнозируемой эволюции киберугроз, подчеркивая необходимость постоянного мониторинга и инновационных стратегий обнаружения. Поведение DBatLoader служит напоминанием об опасностях, связанных с таким продвинутым запутыванием, усиливая важность бдительности в практиках кибербезопасности.
#ParsedReport #CompletenessHigh
20-08-2025
Warlock: From SharePoint Vulnerability Exploit to Enterprise Ransomware
https://www.trendmicro.com/en_us/research/25/h/warlock-ransomware.html
Report completeness: High
Actors/Campaigns:
Emissary_panda
Apt31
Storm-2603
Threats:
X2anylock
Rclone_tool
Blackbasta
Toolshell_vuln
Trojan.bat.killlav.h
Trojan.win64.killlav.i
Cloudflared_tool
Nltest_tool
Credential_dumping_technique
Mimikatz_tool
Crackmapexec_tool
Secretsdump_tool
Lockbit
Dll_sideloading_technique
Cobalt_strike_tool
Xiebroc2_tool
Ransom.win32.warlock.a
Jadtre
Victims:
Technology, Critical infrastructure, Finance, Electronics, Amea region
Industry:
Critical_infrastructure, Government, Financial
Geo:
Portugal, Africa, Turkey, America, Middle east, Asia, Croatia
CVEs:
CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam_backup_\&_replication (<11.0.1.1261, 12.0.0.1420)
TTPs:
Tactics: 9
Technics: 0
IOCs:
File: 89
Command: 16
Path: 7
Registry: 1
Hash: 4
Soft:
Microsoft SharePoint, Microsoft SharePoint server, nginx, PccNTMon, SharePoint server, Active Directory, Windows registry, QuickBooks, DefWatch, firefox, have more...
Algorithms:
7zip
Functions:
Get-Veeam-Creds
Win Services:
Ntrtscan, CNTAoSMgr, ccSetMgr, VeeamNFSSvc, SavRoam, RTVscan, PDVFSService, QBFCService, BackupExecVSSProvider, QBIDPService, have more...
Languages:
powershell, swift, java
Platforms:
x86
20-08-2025
Warlock: From SharePoint Vulnerability Exploit to Enterprise Ransomware
https://www.trendmicro.com/en_us/research/25/h/warlock-ransomware.html
Report completeness: High
Actors/Campaigns:
Emissary_panda
Apt31
Storm-2603
Threats:
X2anylock
Rclone_tool
Blackbasta
Toolshell_vuln
Trojan.bat.killlav.h
Trojan.win64.killlav.i
Cloudflared_tool
Nltest_tool
Credential_dumping_technique
Mimikatz_tool
Crackmapexec_tool
Secretsdump_tool
Lockbit
Dll_sideloading_technique
Cobalt_strike_tool
Xiebroc2_tool
Ransom.win32.warlock.a
Jadtre
Victims:
Technology, Critical infrastructure, Finance, Electronics, Amea region
Industry:
Critical_infrastructure, Government, Financial
Geo:
Portugal, Africa, Turkey, America, Middle east, Asia, Croatia
CVEs:
CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam_backup_\&_replication (<11.0.1.1261, 12.0.0.1420)
TTPs:
Tactics: 9
Technics: 0
IOCs:
File: 89
Command: 16
Path: 7
Registry: 1
Hash: 4
Soft:
Microsoft SharePoint, Microsoft SharePoint server, nginx, PccNTMon, SharePoint server, Active Directory, Windows registry, QuickBooks, DefWatch, firefox, have more...
Algorithms:
7zip
Functions:
Get-Veeam-Creds
Win Services:
Ntrtscan, CNTAoSMgr, ccSetMgr, VeeamNFSSvc, SavRoam, RTVscan, PDVFSService, QBFCService, BackupExecVSSProvider, QBIDPService, have more...
Languages:
powershell, swift, java
Platforms:
x86
Trend Micro
Warlock: From SharePoint Vulnerability Exploit to Enterprise Ransomware
Warlock ransomware exploits unpatched Microsoft SharePoint vulnerabilities to gain access, escalate privileges, steal credentials, move laterally, and deploy ransomware with data exfiltration across enterprise environments.
CTT Report Hub
#ParsedReport #CompletenessHigh 20-08-2025 Warlock: From SharePoint Vulnerability Exploit to Enterprise Ransomware https://www.trendmicro.com/en_us/research/25/h/warlock-ransomware.html Report completeness: High Actors/Campaigns: Emissary_panda Apt31 Storm…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Warlock ransomware нацелен на незащищенные серверы Microsoft SharePoint, чтобы получить доступ и внедрить программу-вымогателя, одновременно извлекая конфиденциальные данные. Злоумышленники используют уязвимости для загрузки Веб-шеллов, облегчая разведку и кражу учетных данных, используя такие инструменты, как Mimikatz для credential Dumping и SMB для перемещения внутри компании. Программа-вымогатель шифрует файлы с расширением ".x2anylock", использует RClone для скрытой эксфильтрации данных и использует определенную уязвимость (CVE-2023-27532) в программном обеспечении резервного копирования Veeam для улучшения своей работы.
-----
Warlock ransomware использует уязвимости в незащищенных серверах Microsoft SharePoint для проникновения в корпоративные сети, повышения привилегий и развертывания программ-вымогателей с одновременной фильтрацией данных. Группа инициирует атаки, отправляя целевые HTTP POST-запросы для загрузки Веб-шеллов на уязвимые экземпляры SharePoint, что облегчает разведку и кражу учетных данных. Воздействие программы-вымогателя было широкомасштабным, затрагивая организации на различных континентах и в отраслях промышленности, при этом операции включали такие тактики, как злоупотребление групповой политикой и перемещение внутри компании с использованием как встроенных инструментов Windows, так и специально разработанного вредоносного ПО.
Атака начинается с использования уязвимостей Microsoft SharePoint, предоставляя злоумышленникам первоначальный доступ к внутренней сети. Они запускают пакетный файл, обнаруженный как Trojan.BAT.KILLLAV.H, подключаясь к удаленному файловому ресурсу, используя жестко закодированные учетные данные для копирования различных файлов, включая двоичный файл программы-вымогателя, в общую папку в системе. Разведка в целевой среде обширна и может включать в себя credential Dumping с помощью Mimikatz, который злоумышленники используют для получения учетных данных.
Для перемещения внутри компании группа использует Службы удаленного доступа, в частности Server Message Block (SMB), для передачи полезной нагрузки между компьютерами. Это позволяет проводить дальнейшую эксплуатацию и выполнять дополнительные полезные нагрузки. Warlock ransomware шифрует файлы, добавляя расширение ".x2anylock", и отправляет уведомление о выкупе в уязвимые каталоги, чтобы сообщить жертвам о шифровании.
Скрытый канал управления (C&C) устанавливается в скомпрометированной среде с использованием тактики Туннелирования протокола, которая помогает скрыть присутствие злоумышленника. Процедура эксфильтрации использует RClone, законный инструмент синхронизации, замаскированный под доброкачественный исполняемый файл, для передачи целевых данных во внешнее хранилище, часто используя для этого скомпрометированную учетную запись ProtonMail.
Анализ предыдущих попыток развертывания показал, что злоумышленники также использовали различные исполняемые файлы, даже переименовывая их, чтобы имитировать законные процессы, что помогает избежать обнаружения и поддерживать закрепление в системе. Их действия выявили использование уязвимости в программном обеспечении резервного копирования Veeam (CVE-2023-27532), которая позволяет злоумышленникам нацеливаться на системы, работающие с устаревшим программным обеспечением, что значительно подрывает инфраструктуру резервного копирования.
Кроме того, чтобы запутать свою деятельность, злоумышленники используют такие утилиты, как writenull.exe для перезаписи дискового пространства нулевыми байтами, что усложняет судебно-медицинскую экспертизу и препятствует восстановлению данных. Операция Warlock ransomware является примером сложной цепочки атак, демонстрирующей настоятельную необходимость для организаций использовать комплексные стратегии исправления, усиления механизмов сетевой защиты и многогранные возможности обнаружения для эффективного противодействия подобным угрозам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Warlock ransomware нацелен на незащищенные серверы Microsoft SharePoint, чтобы получить доступ и внедрить программу-вымогателя, одновременно извлекая конфиденциальные данные. Злоумышленники используют уязвимости для загрузки Веб-шеллов, облегчая разведку и кражу учетных данных, используя такие инструменты, как Mimikatz для credential Dumping и SMB для перемещения внутри компании. Программа-вымогатель шифрует файлы с расширением ".x2anylock", использует RClone для скрытой эксфильтрации данных и использует определенную уязвимость (CVE-2023-27532) в программном обеспечении резервного копирования Veeam для улучшения своей работы.
-----
Warlock ransomware использует уязвимости в незащищенных серверах Microsoft SharePoint для проникновения в корпоративные сети, повышения привилегий и развертывания программ-вымогателей с одновременной фильтрацией данных. Группа инициирует атаки, отправляя целевые HTTP POST-запросы для загрузки Веб-шеллов на уязвимые экземпляры SharePoint, что облегчает разведку и кражу учетных данных. Воздействие программы-вымогателя было широкомасштабным, затрагивая организации на различных континентах и в отраслях промышленности, при этом операции включали такие тактики, как злоупотребление групповой политикой и перемещение внутри компании с использованием как встроенных инструментов Windows, так и специально разработанного вредоносного ПО.
Атака начинается с использования уязвимостей Microsoft SharePoint, предоставляя злоумышленникам первоначальный доступ к внутренней сети. Они запускают пакетный файл, обнаруженный как Trojan.BAT.KILLLAV.H, подключаясь к удаленному файловому ресурсу, используя жестко закодированные учетные данные для копирования различных файлов, включая двоичный файл программы-вымогателя, в общую папку в системе. Разведка в целевой среде обширна и может включать в себя credential Dumping с помощью Mimikatz, который злоумышленники используют для получения учетных данных.
Для перемещения внутри компании группа использует Службы удаленного доступа, в частности Server Message Block (SMB), для передачи полезной нагрузки между компьютерами. Это позволяет проводить дальнейшую эксплуатацию и выполнять дополнительные полезные нагрузки. Warlock ransomware шифрует файлы, добавляя расширение ".x2anylock", и отправляет уведомление о выкупе в уязвимые каталоги, чтобы сообщить жертвам о шифровании.
Скрытый канал управления (C&C) устанавливается в скомпрометированной среде с использованием тактики Туннелирования протокола, которая помогает скрыть присутствие злоумышленника. Процедура эксфильтрации использует RClone, законный инструмент синхронизации, замаскированный под доброкачественный исполняемый файл, для передачи целевых данных во внешнее хранилище, часто используя для этого скомпрометированную учетную запись ProtonMail.
Анализ предыдущих попыток развертывания показал, что злоумышленники также использовали различные исполняемые файлы, даже переименовывая их, чтобы имитировать законные процессы, что помогает избежать обнаружения и поддерживать закрепление в системе. Их действия выявили использование уязвимости в программном обеспечении резервного копирования Veeam (CVE-2023-27532), которая позволяет злоумышленникам нацеливаться на системы, работающие с устаревшим программным обеспечением, что значительно подрывает инфраструктуру резервного копирования.
Кроме того, чтобы запутать свою деятельность, злоумышленники используют такие утилиты, как writenull.exe для перезаписи дискового пространства нулевыми байтами, что усложняет судебно-медицинскую экспертизу и препятствует восстановлению данных. Операция Warlock ransomware является примером сложной цепочки атак, демонстрирующей настоятельную необходимость для организаций использовать комплексные стратегии исправления, усиления механизмов сетевой защиты и многогранные возможности обнаружения для эффективного противодействия подобным угрозам.
#ParsedReport #CompletenessLow
20-08-2025
Patching for persistence: How DripDropper Linux malware moves through the cloud
https://redcanary.com/blog/threat-intelligence/dripdropper-linux-malware/
Report completeness: Low
Actors/Campaigns:
Red_delta
Threats:
Dripdropper
Tellyouthepass
Ransomhub
Hellokitty
Kinsing_miner
Sliver_c2_tool
Chimneysweep
Whispergate
Godzilla_webshell
Lambert
Victims:
Cloud linux systems, Web servers
CVEs:
CVE-2023-46604 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apache activemq (<5.15.16, <5.16.7, <5.17.6, <5.18.3)
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1190
Soft:
Linux, ActiveMQ, PyInstaller, Dropbox, Discord, Telegram, curl, Apache Maven
Languages:
java
Platforms:
intel
Links:
20-08-2025
Patching for persistence: How DripDropper Linux malware moves through the cloud
https://redcanary.com/blog/threat-intelligence/dripdropper-linux-malware/
Report completeness: Low
Actors/Campaigns:
Red_delta
Threats:
Dripdropper
Tellyouthepass
Ransomhub
Hellokitty
Kinsing_miner
Sliver_c2_tool
Chimneysweep
Whispergate
Godzilla_webshell
Lambert
Victims:
Cloud linux systems, Web servers
CVEs:
CVE-2023-46604 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apache activemq (<5.15.16, <5.16.7, <5.17.6, <5.18.3)
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1190
Soft:
Linux, ActiveMQ, PyInstaller, Dropbox, Discord, Telegram, curl, Apache Maven
Languages:
java
Platforms:
intel
Links:
https://github.com/BishopFox/sliverRed Canary
Patching for persistence: How DripDropper Linux malware moves through the cloud | Red Canary
DripDropper is a Red Canary-named Linux malware variant that uses an encrypted PyInstaller ELF file to communicate with a Dropbox account.
CTT Report Hub
#ParsedReport #CompletenessLow 20-08-2025 Patching for persistence: How DripDropper Linux malware moves through the cloud https://redcanary.com/blog/threat-intelligence/dripdropper-linux-malware/ Report completeness: Low Actors/Campaigns: Red_delta Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
DripDropper - это сложное вредоносное ПО для Linux, использующее уязвимость CVE-2023-46604 в Apache ActiveMQ для удаленного выполнения кода в облачных системах Linux, обеспечивающее постоянный доступ. Вредоносное ПО представляет собой зашифрованный ELF-файл, созданный с помощью PyInstaller, что усложняет анализ, и взаимодействует с учетной записью Dropbox с помощью жестко закодированного токена. Злоумышленники эксплуатируют веб-серверы в облачных инфраструктурах, подчеркивая растущую тенденцию нацеливания на среды Linux и одновременно подчеркивая важность упреждающего мониторинга уязвимостей и управления ими.
-----
DripDropper - это сложное вредоносное ПО для Linux, которое использует уязвимость CVE-2023-46604 в Apache ActiveMQ, широко используемом брокере сообщений с открытым исходным кодом. Эта уязвимость позволяет злоумышленникам выполнять удаленный код, что позволяет им получать постоянный доступ к облачным системам Linux. Как только доступ защищен, злоумышленники исправляют уязвимость, чтобы закрепиться в системе и избежать обнаружения.
Само вредоносное ПО представляет собой зашифрованный исполняемый файл в формате ELF, сгенерированный PyInstaller, что затрудняет эффективный анализ в изолированной среде из-за его защиты паролем. DripDropper взаимодействует с учетной записью Dropbox, контролируемой злоумышленником, используя жестко закодированный токен на предъявителя, что облегчает создание двух дополнительных Вредоносных файлов, хотя точный характер обмениваемых данных остается неопределенным.
Эксплуатация веб-серверов, особенно в контексте облачной инфраструктуры и Unix-подобных систем, стала основным направлением для первоначального доступа к этим средам Linux. Эта тенденция требует специальных стратегий реагирования на инциденты, учитывающих сложности, присущие облачным архитектурам и операционным системам Linux. Защита на уровне хоста имеет жизненно важное значение - Веб—службы должны работать под учетными записями, отличными от root, чтобы минимизировать потенциальный ущерб в результате компрометации, а для предотвращения несанкционированного доступа следует применять обязательную аутентификацию.
Проактивное исправление имеет решающее значение, особенно для уязвимостей с высокой степенью риска, таких как CVE-2023-46604. Такие ресурсы, как список известных эксплуатируемых уязвимостей (KEV) CISA, могут помочь администраторам определить приоритетность устранения уязвимостей. Для организаций жизненно важно перейти от реактивной позиции, которая просто подтверждает, что проблема решена, к проактивному подходу, который включает в себя запросы о том, кто инициировал процесс исправления, и обоснование этого. Этот сдвиг может повысить эффективность программ обеспечения безопасности и реагирования на инциденты и способствовать формированию более здоровой культуры управления изменениями.
Развитие облачных сред и растущее использование технологий контейнеризации привели к росту числа атак, нацеленных на системы Linux, что показывает, что противники постоянно совершенствуют свои методы. Инцидент с DripDropper подчеркивает важность того, чтобы не полагаться исключительно на сканирование уязвимостей для обеспечения безопасности, поскольку даже системы, считающиеся чистыми, могут содержать невидимые угрозы.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
DripDropper - это сложное вредоносное ПО для Linux, использующее уязвимость CVE-2023-46604 в Apache ActiveMQ для удаленного выполнения кода в облачных системах Linux, обеспечивающее постоянный доступ. Вредоносное ПО представляет собой зашифрованный ELF-файл, созданный с помощью PyInstaller, что усложняет анализ, и взаимодействует с учетной записью Dropbox с помощью жестко закодированного токена. Злоумышленники эксплуатируют веб-серверы в облачных инфраструктурах, подчеркивая растущую тенденцию нацеливания на среды Linux и одновременно подчеркивая важность упреждающего мониторинга уязвимостей и управления ими.
-----
DripDropper - это сложное вредоносное ПО для Linux, которое использует уязвимость CVE-2023-46604 в Apache ActiveMQ, широко используемом брокере сообщений с открытым исходным кодом. Эта уязвимость позволяет злоумышленникам выполнять удаленный код, что позволяет им получать постоянный доступ к облачным системам Linux. Как только доступ защищен, злоумышленники исправляют уязвимость, чтобы закрепиться в системе и избежать обнаружения.
Само вредоносное ПО представляет собой зашифрованный исполняемый файл в формате ELF, сгенерированный PyInstaller, что затрудняет эффективный анализ в изолированной среде из-за его защиты паролем. DripDropper взаимодействует с учетной записью Dropbox, контролируемой злоумышленником, используя жестко закодированный токен на предъявителя, что облегчает создание двух дополнительных Вредоносных файлов, хотя точный характер обмениваемых данных остается неопределенным.
Эксплуатация веб-серверов, особенно в контексте облачной инфраструктуры и Unix-подобных систем, стала основным направлением для первоначального доступа к этим средам Linux. Эта тенденция требует специальных стратегий реагирования на инциденты, учитывающих сложности, присущие облачным архитектурам и операционным системам Linux. Защита на уровне хоста имеет жизненно важное значение - Веб—службы должны работать под учетными записями, отличными от root, чтобы минимизировать потенциальный ущерб в результате компрометации, а для предотвращения несанкционированного доступа следует применять обязательную аутентификацию.
Проактивное исправление имеет решающее значение, особенно для уязвимостей с высокой степенью риска, таких как CVE-2023-46604. Такие ресурсы, как список известных эксплуатируемых уязвимостей (KEV) CISA, могут помочь администраторам определить приоритетность устранения уязвимостей. Для организаций жизненно важно перейти от реактивной позиции, которая просто подтверждает, что проблема решена, к проактивному подходу, который включает в себя запросы о том, кто инициировал процесс исправления, и обоснование этого. Этот сдвиг может повысить эффективность программ обеспечения безопасности и реагирования на инциденты и способствовать формированию более здоровой культуры управления изменениями.
Развитие облачных сред и растущее использование технологий контейнеризации привели к росту числа атак, нацеленных на системы Linux, что показывает, что противники постоянно совершенствуют свои методы. Инцидент с DripDropper подчеркивает важность того, чтобы не полагаться исключительно на сканирование уязвимостей для обеспечения безопасности, поскольку даже системы, считающиеся чистыми, могут содержать невидимые угрозы.
🔥1
#cyberthreattech
Переехали обратно на GPT 4o mini для генерации саммари, т.к. GPT5 показал себя плоховато в части лаконичности формируемого текста.
Переехали обратно на GPT 4o mini для генерации саммари, т.к. GPT5 показал себя плоховато в части лаконичности формируемого текста.
👍3
#ParsedReport #CompletenessLow
21-08-2025
Smuggling Requests with Chunked Extensions: A New HTTP Desync Trick
https://www.imperva.com/blog/smuggling-requests-with-chunked-extensions-a-new-http-desync-trick/
Report completeness: Low
Threats:
Smuggling_technique
Desync_technique
ChatGPT TTPs:
T1071.001, T1190
21-08-2025
Smuggling Requests with Chunked Extensions: A New HTTP Desync Trick
https://www.imperva.com/blog/smuggling-requests-with-chunked-extensions-a-new-http-desync-trick/
Report completeness: Low
Threats:
Smuggling_technique
Desync_technique
ChatGPT TTPs:
do not use without manual checkT1071.001, T1190
Blog
Smuggling Requests with Chunked Extensions: A New HTTP Desync Trick | Imperva
A new HTTP request smuggling technique was recently discovered, where attackers take advantage of inconsistent parsing behaviors between front-end proxy servers and back-end application servers. This attack technique leverages ambiguous request formatting…
CTT Report Hub
#ParsedReport #CompletenessLow 21-08-2025 Smuggling Requests with Chunked Extensions: A New HTTP Desync Trick https://www.imperva.com/blog/smuggling-requests-with-chunked-extensions-a-new-http-desync-trick/ Report completeness: Low Threats: Smuggling_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавно выявленный метод smuggling HTTP-запросов использует синтаксический анализ несоответствий между интерфейсными системами, такими как CDNS и балансировщики нагрузки, и внутренними серверами, возникающих из-за уязвимостей в протоколе HTTP/1.1. Эта атака использует различия в интерпретации границ запросов, позволяя злоумышленникам отправлять вредоносные запросы, которые могут обойти меры безопасности. Несоответствие происходит из-за различий в реализации спецификаций HTTP с течением времени, что делает различные серверы уязвимыми для этих типов атак.
-----
Исследователи выявили новый метод smuggling HTTP-запросов, который использует расхождения в синтаксическом анализе расширений блоков между интерфейсными системами, такими как CDN и балансировщики нагрузки, и внутренними серверами. Эта атака использует уязвимости, присущие протоколу HTTP/1.1, особенно при отсутствии консенсуса относительно границ запросов. Несоответствие возникает из-за того, что HTTP/1.1 позволяет определять границы с использованием нескольких методов, включая длину содержимого и кодировку передачи: фрагментированные заголовки, что может привести к неправильной интерпретации различными компонентами сети.
Основная причина этой уязвимости связана с изменяющимися со временем реализациями спецификаций HTTP. Различные серверы, часто построенные на различных интерпретациях RFC, регулирующих HTTP, демонстрируют слабый синтаксический анализ неиспользуемых функций протокола, что делает их уязвимыми для атак smuggling запросов. Этот метод позволяет злоумышленникам отправлять вредоносные запросы, которые по-разному интерпретируются различными системами, потенциально обходя реализации безопасности и воздействуя на нижестоящие серверы.
В ответ на это обнаружение развертываются комплексные исправления безопасности для защиты затронутых систем. Ожидается, что организации, использующие брандмауэры облачных веб-приложений (WAFS) и готовые решения WAF, поддерживающие современное программное обеспечение, будут защищены от этой недавно выявленной уязвимости. Постоянный мониторинг любых возникающих вариантов этой атаки является обязательным, подчеркивая необходимость принятия упреждающих мер безопасности в условиях меняющегося ландшафта киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавно выявленный метод smuggling HTTP-запросов использует синтаксический анализ несоответствий между интерфейсными системами, такими как CDNS и балансировщики нагрузки, и внутренними серверами, возникающих из-за уязвимостей в протоколе HTTP/1.1. Эта атака использует различия в интерпретации границ запросов, позволяя злоумышленникам отправлять вредоносные запросы, которые могут обойти меры безопасности. Несоответствие происходит из-за различий в реализации спецификаций HTTP с течением времени, что делает различные серверы уязвимыми для этих типов атак.
-----
Исследователи выявили новый метод smuggling HTTP-запросов, который использует расхождения в синтаксическом анализе расширений блоков между интерфейсными системами, такими как CDN и балансировщики нагрузки, и внутренними серверами. Эта атака использует уязвимости, присущие протоколу HTTP/1.1, особенно при отсутствии консенсуса относительно границ запросов. Несоответствие возникает из-за того, что HTTP/1.1 позволяет определять границы с использованием нескольких методов, включая длину содержимого и кодировку передачи: фрагментированные заголовки, что может привести к неправильной интерпретации различными компонентами сети.
Основная причина этой уязвимости связана с изменяющимися со временем реализациями спецификаций HTTP. Различные серверы, часто построенные на различных интерпретациях RFC, регулирующих HTTP, демонстрируют слабый синтаксический анализ неиспользуемых функций протокола, что делает их уязвимыми для атак smuggling запросов. Этот метод позволяет злоумышленникам отправлять вредоносные запросы, которые по-разному интерпретируются различными системами, потенциально обходя реализации безопасности и воздействуя на нижестоящие серверы.
В ответ на это обнаружение развертываются комплексные исправления безопасности для защиты затронутых систем. Ожидается, что организации, использующие брандмауэры облачных веб-приложений (WAFS) и готовые решения WAF, поддерживающие современное программное обеспечение, будут защищены от этой недавно выявленной уязвимости. Постоянный мониторинг любых возникающих вариантов этой атаки является обязательным, подчеркивая необходимость принятия упреждающих мер безопасности в условиях меняющегося ландшафта киберугроз.
#ParsedReport #CompletenessMedium
21-08-2025
Falcon Platform Prevents COOKIE SPIDER s SHAMOS Delivery on macOS
https://www.crowdstrike.com/en-us/blog/falcon-prevents-cookie-spider-shamos-delivery-macos/
Report completeness: Medium
Actors/Campaigns:
Cookie_spider (motivation: cyber_criminal)
Threats:
Amos_stealer
Cuckoo_stealer
Geo:
Japan, Russia, Mexico, Australia, Colombia, Russian, China, Italy, Canada
TTPs:
Tactics: 1
Technics: 5
IOCs:
Domain: 2
Url: 5
File: 1
Hash: 6
Soft:
macOS, Gatekeeper, curl, Ledger Live, Sudo
Algorithms:
zip, base64, sha256
Languages:
applescript
Platforms:
intel
21-08-2025
Falcon Platform Prevents COOKIE SPIDER s SHAMOS Delivery on macOS
https://www.crowdstrike.com/en-us/blog/falcon-prevents-cookie-spider-shamos-delivery-macos/
Report completeness: Medium
Actors/Campaigns:
Cookie_spider (motivation: cyber_criminal)
Threats:
Amos_stealer
Cuckoo_stealer
Geo:
Japan, Russia, Mexico, Australia, Colombia, Russian, China, Italy, Canada
TTPs:
Tactics: 1
Technics: 5
IOCs:
Domain: 2
Url: 5
File: 1
Hash: 6
Soft:
macOS, Gatekeeper, curl, Ledger Live, Sudo
Algorithms:
zip, base64, sha256
Languages:
applescript
Platforms:
intel
CrowdStrike.com
Falcon Platform Prevents COOKIE SPIDER’s SHAMOS Delivery on macOS | CrowdStrike
Between June and August 2025, the CrowdStrike Falcon platform successfully blocked a COOKIE SPIDER malware campaign. Learn more.
CTT Report Hub
#ParsedReport #CompletenessMedium 21-08-2025 Falcon Platform Prevents COOKIE SPIDER s SHAMOS Delivery on macOS https://www.crowdstrike.com/en-us/blog/falcon-prevents-cookie-spider-shamos-delivery-macos/ Report completeness: Medium Actors/Campaigns: Cookie_spider…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания SHAMOS по вредоносному ПО, связанная с группой COOKIE SPIDER, нацелилась на более чем 300 пользователей посредством Вредоносной рекламы, перенаправляя их на вредоносные сайты, избегая российских целей из-за местных правил. Процесс установки включал загрузку файла Mach-O, изменение разрешений на выполнение и выполнение проверок на защиту от виртуальных машин, чтобы избежать обнаружения. Конфиденциальные данные, включая криптовалютные кошельки из Связки ключей и браузеров, были отфильтрованы с помощью curl после объединения в ZIP-файл с использованием тактики, задокументированной в MITRE ATT&CK framework.
-----
В период с июня по август 2025 года кампания вредоносного ПО, идентифицированная как SHAMOS, вариант Atomic macOS Stealer (AMOS), связанный с киберпреступной группой COOKIE SPIDER, пыталась скомпрометировать более 300 сред, но была успешно заблокирована платформой CrowdStrike Falcon. В этой кампании использовалась Вредоносная реклама, нацеленная на пользователей, которые ищут проблемы, связанные с macOS, перенаправляя их на вредоносные веб-сайты. Жертвы в основном находились во многих странах, включая США, Великобританию, Японию и Канаду, в то время как кампания избегала нацеливания на физических лиц в России из-за местных правил форума, запрещающих операции с товарным вредоносным ПО.
Процесс установки вредоносного ПО SHAMOS включал загрузку файла Mach-O в каталог /tmp/ и удаление расширенных атрибутов файла, чтобы избежать проверок Gatekeeper. Затем вредоносное ПО изменило разрешения, чтобы разрешить выполнение, выполнило проверку защиты от виртуальных машин, чтобы убедиться, что оно не работает в изолированной среде, и выполнило многочисленные команды AppleScript для разведки и сбора данных. Это включало поиск файлов криптовалютного кошелька и конфиденциальной информации, хранящейся в Связке ключей, AppleNotes и браузерах. После сбора конфиденциальные данные были упакованы в ZIP-файл и отфильтрованы с помощью curl.
Кроме того, кампания была связана со второй попыткой Вредоносной рекламы, в ходе которой использовался репозиторий GitHub, Маскировка под официальный репозиторий iTerm2. В этом репозитории содержались инструкции по загрузке iTerm2, легитимного эмулятора терминала для macOS, еще раз иллюстрирующие, как злоумышленники смешивают законные инструменты с вредоносными методами распространения.
Обнаружению SHAMOS CrowdStrike способствовала комбинация машинного обучения и индикаторов атаки (IOAs), позволяющая платформе идентифицировать и блокировать вредоносное ПО на различных этапах его выполнения, от начальной загрузки до попыток эксфильтрации данных. Кампания подчеркнула распространенную тактику среди акторов электронной преступности, продемонстрировав, как Вредоносная реклама может значительно увеличить посещаемость сайта и, следовательно, потенциальную виктимизацию. Более того, использование упрощенной команды установки иллюстрирует распространенный метод обхода мер безопасности, демонстрируя эволюционирующие стратегии, используемые злоумышленниками при распространении программ-похитителей информации macOS. Тактика и методы, используемые COOKIE SPIDER и SHAMOS, были задокументированы в рамках MITRE ATT&CK framework, что указывает на структурированный подход к киберугрозам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания SHAMOS по вредоносному ПО, связанная с группой COOKIE SPIDER, нацелилась на более чем 300 пользователей посредством Вредоносной рекламы, перенаправляя их на вредоносные сайты, избегая российских целей из-за местных правил. Процесс установки включал загрузку файла Mach-O, изменение разрешений на выполнение и выполнение проверок на защиту от виртуальных машин, чтобы избежать обнаружения. Конфиденциальные данные, включая криптовалютные кошельки из Связки ключей и браузеров, были отфильтрованы с помощью curl после объединения в ZIP-файл с использованием тактики, задокументированной в MITRE ATT&CK framework.
-----
В период с июня по август 2025 года кампания вредоносного ПО, идентифицированная как SHAMOS, вариант Atomic macOS Stealer (AMOS), связанный с киберпреступной группой COOKIE SPIDER, пыталась скомпрометировать более 300 сред, но была успешно заблокирована платформой CrowdStrike Falcon. В этой кампании использовалась Вредоносная реклама, нацеленная на пользователей, которые ищут проблемы, связанные с macOS, перенаправляя их на вредоносные веб-сайты. Жертвы в основном находились во многих странах, включая США, Великобританию, Японию и Канаду, в то время как кампания избегала нацеливания на физических лиц в России из-за местных правил форума, запрещающих операции с товарным вредоносным ПО.
Процесс установки вредоносного ПО SHAMOS включал загрузку файла Mach-O в каталог /tmp/ и удаление расширенных атрибутов файла, чтобы избежать проверок Gatekeeper. Затем вредоносное ПО изменило разрешения, чтобы разрешить выполнение, выполнило проверку защиты от виртуальных машин, чтобы убедиться, что оно не работает в изолированной среде, и выполнило многочисленные команды AppleScript для разведки и сбора данных. Это включало поиск файлов криптовалютного кошелька и конфиденциальной информации, хранящейся в Связке ключей, AppleNotes и браузерах. После сбора конфиденциальные данные были упакованы в ZIP-файл и отфильтрованы с помощью curl.
Кроме того, кампания была связана со второй попыткой Вредоносной рекламы, в ходе которой использовался репозиторий GitHub, Маскировка под официальный репозиторий iTerm2. В этом репозитории содержались инструкции по загрузке iTerm2, легитимного эмулятора терминала для macOS, еще раз иллюстрирующие, как злоумышленники смешивают законные инструменты с вредоносными методами распространения.
Обнаружению SHAMOS CrowdStrike способствовала комбинация машинного обучения и индикаторов атаки (IOAs), позволяющая платформе идентифицировать и блокировать вредоносное ПО на различных этапах его выполнения, от начальной загрузки до попыток эксфильтрации данных. Кампания подчеркнула распространенную тактику среди акторов электронной преступности, продемонстрировав, как Вредоносная реклама может значительно увеличить посещаемость сайта и, следовательно, потенциальную виктимизацию. Более того, использование упрощенной команды установки иллюстрирует распространенный метод обхода мер безопасности, демонстрируя эволюционирующие стратегии, используемые злоумышленниками при распространении программ-похитителей информации macOS. Тактика и методы, используемые COOKIE SPIDER и SHAMOS, были задокументированы в рамках MITRE ATT&CK framework, что указывает на структурированный подход к киберугрозам.
#ParsedReport #CompletenessHigh
21-08-2025
Investigation Report: APT36 Malware Campaign Using Desktop Entry Files and Google Drive Payload Delivery
https://www.cloudsek.com/blog/investigation-report-apt36-malware-campaign-using-desktop-entry-files-and-google-drive-payload-delivery
Report completeness: High
Actors/Campaigns:
Transparenttribe (motivation: cyber_espionage)
Threats:
Credential_harvesting_technique
Antidebugging_technique
Spear-phishing_technique
Supply_chain_technique
Credential_dumping_technique
Victims:
Indian government, Defense sector
Industry:
Government
Geo:
Pakistan, Indian
TTPs:
Tactics: 8
Technics: 13
IOCs:
Domain: 1
Hash: 9
File: 2
IP: 1
Soft:
Linux, Unix, Firefox, curl, Gmail, Systemd
Algorithms:
base64, sha256, sha1, md5, zip
21-08-2025
Investigation Report: APT36 Malware Campaign Using Desktop Entry Files and Google Drive Payload Delivery
https://www.cloudsek.com/blog/investigation-report-apt36-malware-campaign-using-desktop-entry-files-and-google-drive-payload-delivery
Report completeness: High
Actors/Campaigns:
Transparenttribe (motivation: cyber_espionage)
Threats:
Credential_harvesting_technique
Antidebugging_technique
Spear-phishing_technique
Supply_chain_technique
Credential_dumping_technique
Victims:
Indian government, Defense sector
Industry:
Government
Geo:
Pakistan, Indian
TTPs:
Tactics: 8
Technics: 13
IOCs:
Domain: 1
Hash: 9
File: 2
IP: 1
Soft:
Linux, Unix, Firefox, curl, Gmail, Systemd
Algorithms:
base64, sha256, sha1, md5, zip
Cloudsek
Investigation Report: APT36 Malware Campaign Using Desktop Entry Files and Google Drive Payload Deliver | CloudSEK
Pakistan-linked APT36 (Transparent Tribe) launched a new cyber-espionage campaign targeting Indian government and defense entities. Active in August 2025, the group used phishing ZIP files containing malicious Linux “.desktop” shortcuts that downloaded payloads…
CTT Report Hub
#ParsedReport #CompletenessHigh 21-08-2025 Investigation Report: APT36 Malware Campaign Using Desktop Entry Files and Google Drive Payload Delivery https://www.cloudsek.com/blog/investigation-report-apt36-malware-campaign-using-desktop-entry-files-and-google…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа APT36, известная как Transparent Tribe, нацелена на индийское правительство и оборонные структуры с помощью кампании кибершпионажа, используя вредоносные файлы Linux ".desktop", доставляемые с помощью фишинга в ZIP-архивах, которые загружают полезные файлы с Google Диска. Эти файлы маскируют вредоносные компоненты, встраивая значок в кодировке Base64, чтобы избежать обнаружения. Вредоносное ПО подключается к серверу C2 с помощью технологии WebSocket и использует такие тактики, как фиктивные проверки уклонения, чтобы помешать анализу, что указывает на изощренные и развивающиеся методы атаки APT36's.
-----
Группа APT36, также известная как Transparent Tribe, запустила кампанию кибершпионажа, специально нацеленную на индийское правительство и оборонные структуры, по крайней мере, с августа 2025 года. Эта кампания включает в себя сложные методы, использующие вредоносные файлы Linux ".desktop", которые обычно являются файлами конфигурации, используемыми для создания ярлыков приложений и средств запуска в средах Linux. Кампания по фишингу доставляет эти файлы в ZIP-архивах, из которых они загружают вредоносные полезные файлы, размещенные на Google Диске.
Файлы .desktop, используемые в этой атаке, маскируются путем встраивания изображения значка в кодировке Base64. Эта тактика помогает файлам выдавать себя за подлинные документы, что снижает вероятность возникновения подозрений. Кроме того, встроенный вредоносный компонент скрывается под данными значка, что позволяет избежать случайного обнаружения.
После запуска вредоносное ПО устанавливает закрепление и подключается к серверу управления (C2), идентифицированному с помощью технологии WebSocket, в частности к домену seemysitelive.store. Сообщается, что этот сервер отправляет обратно сообщение, указывающее на то, что это "Скрытый сервер", намекая на уровень запутывания, используемый APT36. Вредоносное ПО также включает в себя механизмы выполнения, такие как "фиктивные проверки уклонения", которые предназначены для того, чтобы помешать усилиям по отладке и анализу, тратя впустую время и обнаруживая средства мониторинга.
Переход к использованию Google Диска в качестве способа доставки знаменует собой заметную эволюцию в стратегиях APT36's атак. Этот метод не только облегчает Целевой фишинг, но и представляет значительный риск для систем на базе Linux в государственном и военном секторах из-за растущей зависимости от Облачных сервисов для обмена файлами.
Исследователи рекомендуют принять немедленные меры по устранению этой угрозы, включая блокировку идентифицированного домена C2, проверку на наличие признаков компрометации и усиление защиты электронной почты и конечных точек в целевых организациях. Постоянное внимание группы APT36 к сбору учетных записей и более изощренным векторам атак продолжает подчеркивать их угрозу чувствительным средам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа APT36, известная как Transparent Tribe, нацелена на индийское правительство и оборонные структуры с помощью кампании кибершпионажа, используя вредоносные файлы Linux ".desktop", доставляемые с помощью фишинга в ZIP-архивах, которые загружают полезные файлы с Google Диска. Эти файлы маскируют вредоносные компоненты, встраивая значок в кодировке Base64, чтобы избежать обнаружения. Вредоносное ПО подключается к серверу C2 с помощью технологии WebSocket и использует такие тактики, как фиктивные проверки уклонения, чтобы помешать анализу, что указывает на изощренные и развивающиеся методы атаки APT36's.
-----
Группа APT36, также известная как Transparent Tribe, запустила кампанию кибершпионажа, специально нацеленную на индийское правительство и оборонные структуры, по крайней мере, с августа 2025 года. Эта кампания включает в себя сложные методы, использующие вредоносные файлы Linux ".desktop", которые обычно являются файлами конфигурации, используемыми для создания ярлыков приложений и средств запуска в средах Linux. Кампания по фишингу доставляет эти файлы в ZIP-архивах, из которых они загружают вредоносные полезные файлы, размещенные на Google Диске.
Файлы .desktop, используемые в этой атаке, маскируются путем встраивания изображения значка в кодировке Base64. Эта тактика помогает файлам выдавать себя за подлинные документы, что снижает вероятность возникновения подозрений. Кроме того, встроенный вредоносный компонент скрывается под данными значка, что позволяет избежать случайного обнаружения.
После запуска вредоносное ПО устанавливает закрепление и подключается к серверу управления (C2), идентифицированному с помощью технологии WebSocket, в частности к домену seemysitelive.store. Сообщается, что этот сервер отправляет обратно сообщение, указывающее на то, что это "Скрытый сервер", намекая на уровень запутывания, используемый APT36. Вредоносное ПО также включает в себя механизмы выполнения, такие как "фиктивные проверки уклонения", которые предназначены для того, чтобы помешать усилиям по отладке и анализу, тратя впустую время и обнаруживая средства мониторинга.
Переход к использованию Google Диска в качестве способа доставки знаменует собой заметную эволюцию в стратегиях APT36's атак. Этот метод не только облегчает Целевой фишинг, но и представляет значительный риск для систем на базе Linux в государственном и военном секторах из-за растущей зависимости от Облачных сервисов для обмена файлами.
Исследователи рекомендуют принять немедленные меры по устранению этой угрозы, включая блокировку идентифицированного домена C2, проверку на наличие признаков компрометации и усиление защиты электронной почты и конечных точек в целевых организациях. Постоянное внимание группы APT36 к сбору учетных записей и более изощренным векторам атак продолжает подчеркивать их угрозу чувствительным средам.
#ParsedReport #CompletenessLow
21-08-2025
Phishing in the Cloud: SendGrid Campaign Exploits Account Security
https://cofense.com/blog/phishing-in-the-cloud-sendgrid-campaign-exploits-account-security
Report completeness: Low
Threats:
Credential_harvesting_technique
Victims:
Sendgrid users
ChatGPT TTPs:
T1036, T1204.002, T1566.002, T1589.003
IOCs:
Url: 6
IP: 10
Soft:
SendGrid
21-08-2025
Phishing in the Cloud: SendGrid Campaign Exploits Account Security
https://cofense.com/blog/phishing-in-the-cloud-sendgrid-campaign-exploits-account-security
Report completeness: Low
Threats:
Credential_harvesting_technique
Victims:
Sendgrid users
ChatGPT TTPs:
do not use without manual checkT1036, T1204.002, T1566.002, T1589.003
IOCs:
Url: 6
IP: 10
Soft:
SendGrid
Cofense
Phishing in the Cloud: SendGrid Campaign Exploits Account
The Cofense Phishing Defense Center (PDC) has recently observed a new wave of credential harvesting attacks involving phishing emails sent via SendGrid. The campaign exploits the trusted reputation of