#cyberthreattech
Обновление 2 Report Hub
Также мы теперь можем подсвечивать отчеты в которых есть упоминания данных конкретного клиента, т.е. добавлять в STIX доп. тег, который виден только клиенту, если в отчете есть:
- прямое упоминание названия его компании;
- присутствуют IP/ASN, Domain, Url из его инфраструктуры;
- если в Whois-записях по доменам присутствуют связанные с клиентом записи;
- если текст отчета содержит интересующие клиента слова.
Сам набор тегов и их названий можно кастомизировать под конкретного клиента.
Обновление 2 Report Hub
Также мы теперь можем подсвечивать отчеты в которых есть упоминания данных конкретного клиента, т.е. добавлять в STIX доп. тег, который виден только клиенту, если в отчете есть:
- прямое упоминание названия его компании;
- присутствуют IP/ASN, Domain, Url из его инфраструктуры;
- если в Whois-записях по доменам присутствуют связанные с клиентом записи;
- если текст отчета содержит интересующие клиента слова.
Сам набор тегов и их названий можно кастомизировать под конкретного клиента.
👍3
Завтра (04.09.2025) в 11:00 по МСК коллеги из Касперского будут рассказывать про новый отчёт об исследовании группировок, многие из которых идентифицируют себя как «проукраинские».
https://lp.kaspersky.com/ru/stream-analytical-report-by-CTI-and-TE/
https://lp.kaspersky.com/ru/stream-analytical-report-by-CTI-and-TE/
👍2🔥1🤡1
CTT Report Hub pinned «Завтра (04.09.2025) в 11:00 по МСК коллеги из Касперского будут рассказывать про новый отчёт об исследовании группировок, многие из которых идентифицируют себя как «проукраинские». https://lp.kaspersky.com/ru/stream-analytical-report-by-CTI-and-TE/»
#ParsedReport #CompletenessMedium
03-09-2025
Analyzing NotDoor: Inside APT28s Expanding Arsenal
https://lab52.io/blog/analyzing-notdoor-inside-apt28s-expanding-arsenal/
Report completeness: Medium
Actors/Campaigns:
Fancy_bear
Threats:
Notdoor
Dll_sideloading_technique
Victims:
Nato member countries companies, Multiple sectors
Geo:
Russian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1105, T1137.003, T1562.001, T1574.002
IOCs:
Path: 3
Command: 1
Url: 1
Email: 1
Hash: 3
Soft:
Outlook, Microsoft OneDrive, curl, Windows registry
Algorithms:
base64
Languages:
powershell
03-09-2025
Analyzing NotDoor: Inside APT28s Expanding Arsenal
https://lab52.io/blog/analyzing-notdoor-inside-apt28s-expanding-arsenal/
Report completeness: Medium
Actors/Campaigns:
Fancy_bear
Threats:
Notdoor
Dll_sideloading_technique
Victims:
Nato member countries companies, Multiple sectors
Geo:
Russian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1105, T1137.003, T1562.001, T1574.002
IOCs:
Path: 3
Command: 1
Url: 1
Email: 1
Hash: 3
Soft:
Outlook, Microsoft OneDrive, curl, Windows registry
Algorithms:
base64
Languages:
powershell
CTT Report Hub
#ParsedReport #CompletenessMedium 03-09-2025 Analyzing NotDoor: Inside APT28s Expanding Arsenal https://lab52.io/blog/analyzing-notdoor-inside-apt28s-expanding-arsenal/ Report completeness: Medium Actors/Campaigns: Fancy_bear Threats: Notdoor Dll_sid…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT28, связанная с российской разведкой, внедрила новый бэкдор под названием NotDoor, используя Microsoft OneDrive.exe чтобы избежать обнаружения, выполните DLL side-loading. Вредоносное ПО загружается злонамеренно SSPICLI.dll и расположен в c:\programdata\testtemp.ini , позволяя ему выполнить бэкдор VBA в Outlook. Скрытный характер NotDoor и минимальные возможности обнаружения отражают постоянную адаптацию тактики APT28's, что создает постоянные проблемы для защиты от кибербезопасности.
-----
LAB52, разведывательная группа S2 Grupo, выявила новый бэкдор под названием NotDoor, приписываемый хакерской группировке APT28, которая связана с российской разведкой. У этой группы есть история компрометации различных организаций в странах -членах НАТО. NotDoor работает с помощью сложного метода развертывания, использующего законный подписанный двоичный файл, в частности Microsoft OneDrive.exe , в котором используется технология DLL side-loading с боковой загрузкой. Этот механизм позволяет вредоносному ПО обходить обнаружение, загружая вредоносную библиотеку DLL с именем SSPICLI.dll . Вредоносное ПО стратегически размещено в c:\programdata\testtemp.ini чтобы запустить бэкдор VBA для Outlook.
Проект VBA, созданный NotDoor, функционирует как бесшумный бэкдор для Outlook и на момент анализа демонстрировал минимальные возможности обнаружения, что указывает на его скрытый характер. Такое закрепление APT28 в адаптации своей тактики и совершенствовании вредоносного ПО предполагает постоянные усилия по повышению операционной эффективности и обходу существующих мер безопасности.
Анализ подчеркивает необходимость усовершенствованных методик обнаружения для противодействия развивающемуся арсеналу APT28's и призывает обратить внимание на конкретные показатели компрометации, которые могли бы облегчить идентификацию угрозы. Такая эволюция их инструментов подчеркивает постоянную проблему для средств защиты от кибербезопасности, задачей которых является защита от изощренных акторов, спонсируемых государством.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT28, связанная с российской разведкой, внедрила новый бэкдор под названием NotDoor, используя Microsoft OneDrive.exe чтобы избежать обнаружения, выполните DLL side-loading. Вредоносное ПО загружается злонамеренно SSPICLI.dll и расположен в c:\programdata\testtemp.ini , позволяя ему выполнить бэкдор VBA в Outlook. Скрытный характер NotDoor и минимальные возможности обнаружения отражают постоянную адаптацию тактики APT28's, что создает постоянные проблемы для защиты от кибербезопасности.
-----
LAB52, разведывательная группа S2 Grupo, выявила новый бэкдор под названием NotDoor, приписываемый хакерской группировке APT28, которая связана с российской разведкой. У этой группы есть история компрометации различных организаций в странах -членах НАТО. NotDoor работает с помощью сложного метода развертывания, использующего законный подписанный двоичный файл, в частности Microsoft OneDrive.exe , в котором используется технология DLL side-loading с боковой загрузкой. Этот механизм позволяет вредоносному ПО обходить обнаружение, загружая вредоносную библиотеку DLL с именем SSPICLI.dll . Вредоносное ПО стратегически размещено в c:\programdata\testtemp.ini чтобы запустить бэкдор VBA для Outlook.
Проект VBA, созданный NotDoor, функционирует как бесшумный бэкдор для Outlook и на момент анализа демонстрировал минимальные возможности обнаружения, что указывает на его скрытый характер. Такое закрепление APT28 в адаптации своей тактики и совершенствовании вредоносного ПО предполагает постоянные усилия по повышению операционной эффективности и обходу существующих мер безопасности.
Анализ подчеркивает необходимость усовершенствованных методик обнаружения для противодействия развивающемуся арсеналу APT28's и призывает обратить внимание на конкретные показатели компрометации, которые могли бы облегчить идентификацию угрозы. Такая эволюция их инструментов подчеркивает постоянную проблему для средств защиты от кибербезопасности, задачей которых является защита от изощренных акторов, спонсируемых государством.
#ParsedReport #CompletenessLow
03-09-2025
Ethereum smart contracts used to push malicious code on npm
https://www.reversinglabs.com/blog/ethereum-contracts-malicious-code
Report completeness: Low
Threats:
Supply_chain_technique
Ethers-provider2
Victims:
Open source repositories, Crypto focused developers
Industry:
E-commerce, Financial
ChatGPT TTPs:
T1027, T1059.007, T1102, T1105, T1195, T1195.001
IOCs:
File: 2
Hash: 6
Coin: 1
Soft:
Twitter, Microsoft OneDrive, VSCode
Crypto:
ethereum, solana
Algorithms:
base64
Languages:
python, javascript
03-09-2025
Ethereum smart contracts used to push malicious code on npm
https://www.reversinglabs.com/blog/ethereum-contracts-malicious-code
Report completeness: Low
Threats:
Supply_chain_technique
Ethers-provider2
Victims:
Open source repositories, Crypto focused developers
Industry:
E-commerce, Financial
ChatGPT TTPs:
do not use without manual checkT1027, T1059.007, T1102, T1105, T1195, T1195.001
IOCs:
File: 2
Hash: 6
Coin: 1
Soft:
Twitter, Microsoft OneDrive, VSCode
Crypto:
ethereum, solana
Algorithms:
base64
Languages:
python, javascript
ReversingLabs
Ethereum smart contracts used to push malicious code on npm | ReversingLabs
RL discovered how the contracts were abused — and how this incident is part of a larger campaign to promote malicious packages on top repositories.
CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 Ethereum smart contracts used to push malicious code on npm https://www.reversinglabs.com/blog/ethereum-contracts-malicious-code Report completeness: Low Threats: Supply_chain_technique Ethers-provider2 Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи ReversingLabs обнаружили в репозитории npm две части вредоносного ПО с открытым исходным кодом, которые используют смарт-контракты Ethereum для выполнения вредоносного кода, иллюстрируя сложную тенденцию в атаках на supply chain программного обеспечения. Пакет colortoolsv2 содержит запутанный скрипт, который извлекает команды с сервера управления, используя доверенную инфраструктуру, чтобы избежать обнаружения. Кроме того, манипуляции на GitHub показывают, что злоумышленники автоматизируют ввод кода для повышения легитимности, что еще больше усложняет идентификацию вредоносных действий в средах с открытым исходным кодом.
-----
В июле исследователи ReversingLabs обнаружили две новые части вредоносного ПО с открытым исходным кодом в репозитории пакетов npm, использующие новую технологию, которая использует смарт-контракты Ethereum для выполнения вредоносного кода. Это открытие является частью более широкой тенденции вредоносных кампаний в npm, известном хранилище пакетов JavaScript, которое в течение года подверглось серии атак.
Одним из примечательных примеров является пакет colortoolsv2, который выглядит простым, но содержит запутанный скрипт с именем index.js . Этот скрипт выполняется, когда пакет включен в проект, извлекая и запуская команды с сервера управления (C2). Этот метод свидетельствует о растущей изощренности злоумышленников, которые все чаще используют надежную инфраструктуру для размещения своих функций C2, что усложняет обнаружение.
Стратегия атаки, описанная здесь, согласуется с предыдущей тактикой, применявшейся в различных условиях. Например, ранее в этом году аналогичные шаблоны были задокументированы среди скомпрометированных пакетов Python, которые включали URL-адреса, закодированные в Base64, с целью сокрытия вредоносной активности. Использование смарт-контрактов Ethereum повышает уровень сложности и неизвестности, повышая эффективность этих атак.
Кроме того, предыстория этой кампании раскрывает обширную сеть манипуляций на таких платформах, как GitHub. В качестве конкретного примера приводится проект solana-trading-bot-v2, в котором было обнаружено завышенное количество коммитов кода с участием поддельных участников, что указывает на то, что злоумышленники создали автоматизированные системы для повышения воспринимаемой легитимности за счет увеличения активности. Эта автоматизация означает стратегические усилия по поддержанию видимости аутентичности при распространении вредоносного кода.
Тенденция атак на supply chain программного обеспечения, особенно нацеленных на программное обеспечение и инфраструктуру, ориентированные на криптовалюты, была постоянной. В 2024 году ReversingLabs наблюдала за многочисленными кампаниями, которые использовали уязвимости в репозиториях с открытым исходным кодом, при этом было задокументировано 23 случая внедрения вредоносного кода в этих средах. Продолжающееся использование этих уязвимостей подчеркивает необходимость бдительности и анализа в области безопасности supply chain, особенно в связи с тем, что такая тактика продолжает развиваться и становится все более изощренной.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи ReversingLabs обнаружили в репозитории npm две части вредоносного ПО с открытым исходным кодом, которые используют смарт-контракты Ethereum для выполнения вредоносного кода, иллюстрируя сложную тенденцию в атаках на supply chain программного обеспечения. Пакет colortoolsv2 содержит запутанный скрипт, который извлекает команды с сервера управления, используя доверенную инфраструктуру, чтобы избежать обнаружения. Кроме того, манипуляции на GitHub показывают, что злоумышленники автоматизируют ввод кода для повышения легитимности, что еще больше усложняет идентификацию вредоносных действий в средах с открытым исходным кодом.
-----
В июле исследователи ReversingLabs обнаружили две новые части вредоносного ПО с открытым исходным кодом в репозитории пакетов npm, использующие новую технологию, которая использует смарт-контракты Ethereum для выполнения вредоносного кода. Это открытие является частью более широкой тенденции вредоносных кампаний в npm, известном хранилище пакетов JavaScript, которое в течение года подверглось серии атак.
Одним из примечательных примеров является пакет colortoolsv2, который выглядит простым, но содержит запутанный скрипт с именем index.js . Этот скрипт выполняется, когда пакет включен в проект, извлекая и запуская команды с сервера управления (C2). Этот метод свидетельствует о растущей изощренности злоумышленников, которые все чаще используют надежную инфраструктуру для размещения своих функций C2, что усложняет обнаружение.
Стратегия атаки, описанная здесь, согласуется с предыдущей тактикой, применявшейся в различных условиях. Например, ранее в этом году аналогичные шаблоны были задокументированы среди скомпрометированных пакетов Python, которые включали URL-адреса, закодированные в Base64, с целью сокрытия вредоносной активности. Использование смарт-контрактов Ethereum повышает уровень сложности и неизвестности, повышая эффективность этих атак.
Кроме того, предыстория этой кампании раскрывает обширную сеть манипуляций на таких платформах, как GitHub. В качестве конкретного примера приводится проект solana-trading-bot-v2, в котором было обнаружено завышенное количество коммитов кода с участием поддельных участников, что указывает на то, что злоумышленники создали автоматизированные системы для повышения воспринимаемой легитимности за счет увеличения активности. Эта автоматизация означает стратегические усилия по поддержанию видимости аутентичности при распространении вредоносного кода.
Тенденция атак на supply chain программного обеспечения, особенно нацеленных на программное обеспечение и инфраструктуру, ориентированные на криптовалюты, была постоянной. В 2024 году ReversingLabs наблюдала за многочисленными кампаниями, которые использовали уязвимости в репозиториях с открытым исходным кодом, при этом было задокументировано 23 случая внедрения вредоносного кода в этих средах. Продолжающееся использование этих уязвимостей подчеркивает необходимость бдительности и анализа в области безопасности supply chain, особенно в связи с тем, что такая тактика продолжает развиваться и становится все более изощренной.
#ParsedReport #CompletenessLow
03-09-2025
Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust
https://unit42.paloaltonetworks.com/model-namespace-reuse/
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Cloud ai platforms, Open source projects
Industry:
Healthcare, Software_development
Geo:
Asia, Australia, Japan, Middle east, India
ChatGPT TTPs:
T1036, T1195, T1199, T1203, T1553, T1608
Soft:
Hugging Face, toothfAIry
03-09-2025
Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust
https://unit42.paloaltonetworks.com/model-namespace-reuse/
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Cloud ai platforms, Open source projects
Industry:
Healthcare, Software_development
Geo:
Asia, Australia, Japan, Middle east, India
ChatGPT TTPs:
do not use without manual checkT1036, T1195, T1199, T1203, T1553, T1608
Soft:
Hugging Face, toothfAIry
Unit 42
Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust
Model namespace reuse is a potential security risk in the AI supply chain. Attackers can misuse platforms like Hugging Face for remote code execution.
CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust https://unit42.paloaltonetworks.com/model-namespace-reuse/ Report completeness: Low Threats: Supply_chain_technique Victims: Cloud ai…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследование выявило уязвимость под названием Model Namespace Reuse в рамках AI supply chain, позволяющую удаленно выполнять код (RCE) на таких платформах, как Microsoft Azure AI и Google Vertex AI. Этот недостаток связан с тем, как модели организованы в репозиториях, таких как Hugging Face, где передача прав собственности позволяет вредоносным акторам восстанавливать и развертывать скомпрометированные модели, используя их исходные пространства имен. Интеграция источников моделей на разных платформах искусственного интеллекта увеличивает риск, поскольку многие из них зависят от потенциально уязвимых моделей во время разработки.
-----
Недавнее исследование выявило значительную уязвимость в supply chain искусственного интеллекта, называемую повторным использованием пространства имен моделей, которая позволяет злоумышленникам выполнять удаленное выполнение кода (RCE) на таких платформах, как Microsoft Azure AI Foundry и Google Vertex AI. Эта уязвимость в первую очередь возникает из-за того, как модели организованы и идентифицируются в репозиториях, таких как Hugging Face, где модели хранятся как репозитории Git и на них ссылаются, используя соглашение об именовании Author/ModelName.
Этот недостаток особенно беспокоит из-за легкости, с которой право собственности на модели может быть передано на таких платформах, как Hugging Face. Например, организация может изначально создать законную модель, такую как "DentalAI/ToothFairy", которая предназначена для стоматологической диагностики. Однако позже право собственности может быть передано другому объекту, который может не гарантировать такую же целостность, позволяя потенциально вредоносным акторам восстанавливать и развертывать модель, используя исходное пространство имен, при выполнении вредоносного кода.
Последствия этого распространяются на распространенные платформы разработки ИИ. Интеграция Vertex AI с Hugging Face позволяет разработчикам создавать модели напрямую, без дополнительной упаковки, что повышает риск развертывания скомпрометированных моделей. Аналогичным образом, репозитории каталога моделей Azure AI содержат множество моделей, полученных из Hugging Face, которые могут быть уязвимы при использовании тех же принципов повторного использования пространства имен.
При дальнейшем изучении репозиториев с открытым исходным кодом исследователи обнаружили, что многие проекты основаны на моделях Hugging Face, использующих формат Author/ModelName, которые подвержены риску использования в результате передачи прав собственности. Проблема поддержания целостности модели усугубляется разнообразием используемых реестров моделей, что подчеркивает необходимость в надежных процессах валидации.
Для устранения этих уязвимостей рекомендуется несколько методов. Разработчикам следует использовать привязку версий для привязки моделей к определенным коммитам, избегая непреднамеренных изменений, которые могут привести к выполнению вредоносного кода. Кроме того, клонирование репозиториев моделей в защищенные среды, такие как внутренние реестры или локальное хранилище, после тщательной проверки может предотвратить несанкционированные изменения. Активное сканирование кодовых баз на предмет ссылок на модели также поможет специалистам-практикам выявлять зависимости, подверженные атакам supply chain, и управлять ими.
В конечном счете, полученные результаты подчеркивают настоятельную необходимость усиления мер безопасности в операциях supply chain с искусственным интеллектом, подчеркивая, что само по себе название модели не гарантирует ее надежности или целостности. Сложность усугубляется легкостью, с которой злоумышленники могут использовать традиционные методы идентификации моделей для внедрения уязвимостей в широко распространенные решения с использованием искусственного интеллекта.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследование выявило уязвимость под названием Model Namespace Reuse в рамках AI supply chain, позволяющую удаленно выполнять код (RCE) на таких платформах, как Microsoft Azure AI и Google Vertex AI. Этот недостаток связан с тем, как модели организованы в репозиториях, таких как Hugging Face, где передача прав собственности позволяет вредоносным акторам восстанавливать и развертывать скомпрометированные модели, используя их исходные пространства имен. Интеграция источников моделей на разных платформах искусственного интеллекта увеличивает риск, поскольку многие из них зависят от потенциально уязвимых моделей во время разработки.
-----
Недавнее исследование выявило значительную уязвимость в supply chain искусственного интеллекта, называемую повторным использованием пространства имен моделей, которая позволяет злоумышленникам выполнять удаленное выполнение кода (RCE) на таких платформах, как Microsoft Azure AI Foundry и Google Vertex AI. Эта уязвимость в первую очередь возникает из-за того, как модели организованы и идентифицируются в репозиториях, таких как Hugging Face, где модели хранятся как репозитории Git и на них ссылаются, используя соглашение об именовании Author/ModelName.
Этот недостаток особенно беспокоит из-за легкости, с которой право собственности на модели может быть передано на таких платформах, как Hugging Face. Например, организация может изначально создать законную модель, такую как "DentalAI/ToothFairy", которая предназначена для стоматологической диагностики. Однако позже право собственности может быть передано другому объекту, который может не гарантировать такую же целостность, позволяя потенциально вредоносным акторам восстанавливать и развертывать модель, используя исходное пространство имен, при выполнении вредоносного кода.
Последствия этого распространяются на распространенные платформы разработки ИИ. Интеграция Vertex AI с Hugging Face позволяет разработчикам создавать модели напрямую, без дополнительной упаковки, что повышает риск развертывания скомпрометированных моделей. Аналогичным образом, репозитории каталога моделей Azure AI содержат множество моделей, полученных из Hugging Face, которые могут быть уязвимы при использовании тех же принципов повторного использования пространства имен.
При дальнейшем изучении репозиториев с открытым исходным кодом исследователи обнаружили, что многие проекты основаны на моделях Hugging Face, использующих формат Author/ModelName, которые подвержены риску использования в результате передачи прав собственности. Проблема поддержания целостности модели усугубляется разнообразием используемых реестров моделей, что подчеркивает необходимость в надежных процессах валидации.
Для устранения этих уязвимостей рекомендуется несколько методов. Разработчикам следует использовать привязку версий для привязки моделей к определенным коммитам, избегая непреднамеренных изменений, которые могут привести к выполнению вредоносного кода. Кроме того, клонирование репозиториев моделей в защищенные среды, такие как внутренние реестры или локальное хранилище, после тщательной проверки может предотвратить несанкционированные изменения. Активное сканирование кодовых баз на предмет ссылок на модели также поможет специалистам-практикам выявлять зависимости, подверженные атакам supply chain, и управлять ими.
В конечном счете, полученные результаты подчеркивают настоятельную необходимость усиления мер безопасности в операциях supply chain с искусственным интеллектом, подчеркивая, что само по себе название модели не гарантирует ее надежности или целостности. Сложность усугубляется легкостью, с которой злоумышленники могут использовать традиционные методы идентификации моделей для внедрения уязвимостей в широко распространенные решения с использованием искусственного интеллекта.
#ParsedReport #CompletenessLow
03-09-2025
Obscura, an Obscure New Ransomware Variant
https://www.huntress.com/blog/obscura-ransomware-variant
Report completeness: Low
Threats:
Obscura
Windows_locker
Shadow_copies_delete_technique
Octopus
Crux_ransomware
Cephalus
ChatGPT TTPs:
T1027, T1106, T1486
IOCs:
File: 1
Path: 1
Command: 3
Hash: 1
Soft:
Windows firewall, Windows security, mysql, mariadb, Winlogon, docker
Algorithms:
base64, xchacha20, curve25519, sha256, chacha20
Functions:
main_run, main_windows_api_IsRunAsAdmin, Windows, main_windows_api_KillProcesses, main_windows_api_GetPCRole, encryptFileRange, main_windows_api_generateEphemeralKeyPair, main_hasExcludedExtension
Win API:
AllocateAndInitializeSid, CheckTokenMembership, GetSystemInfo, DsRoleGetPrimaryDomainInformation
Win Services:
WinDefend, MsMpEng, SentinelAgent, VeeamTransportSvc, VeeamBackupSvc, AcrSch2Svc, AcronisAgent, Cvd, SQLSERVERAGENT, SQLWriter, have more...
Links:
have more...
03-09-2025
Obscura, an Obscure New Ransomware Variant
https://www.huntress.com/blog/obscura-ransomware-variant
Report completeness: Low
Threats:
Obscura
Windows_locker
Shadow_copies_delete_technique
Octopus
Crux_ransomware
Cephalus
ChatGPT TTPs:
do not use without manual checkT1027, T1106, T1486
IOCs:
File: 1
Path: 1
Command: 3
Hash: 1
Soft:
Windows firewall, Windows security, mysql, mariadb, Winlogon, docker
Algorithms:
base64, xchacha20, curve25519, sha256, chacha20
Functions:
main_run, main_windows_api_IsRunAsAdmin, Windows, main_windows_api_KillProcesses, main_windows_api_GetPCRole, encryptFileRange, main_windows_api_generateEphemeralKeyPair, main_hasExcludedExtension
Win API:
AllocateAndInitializeSid, CheckTokenMembership, GetSystemInfo, DsRoleGetPrimaryDomainInformation
Win Services:
WinDefend, MsMpEng, SentinelAgent, VeeamTransportSvc, VeeamBackupSvc, AcrSch2Svc, AcronisAgent, Cvd, SQLSERVERAGENT, SQLWriter, have more...
Links:
have more...
https://github.comhttps://gist.github.com/gleeda/1781b0db8cbc78b4ef39dbe2aed77f38/raw/e3526be6bb47c1ecbf459a63e40a787f1e8c0e70/README\_Obscura.txthttps://gist.github.com/gleeda/1781b0db8cbc78b4ef39dbe2aed77f38#file-readme\_obscura-txtHuntress
Obscura, an Obscure New Ransomware Variant | Huntress
Huntress found a previously unseen ransomware variant called Obscura on a victim company’s domain controller.
CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 Obscura, an Obscure New Ransomware Variant https://www.huntress.com/blog/obscura-ransomware-variant Report completeness: Low Threats: Obscura Windows_locker Shadow_copies_delete_technique Octopus Crux_ransomware…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Obscura - это недавно идентифицированный вариант программы-вымогателя, который при выполнении декодирует сообщение о выкупе в кодировке base64, сохраняя его как C:\README-OBSCURA.txt , и завершается в случае сбоя декодирования. Этот вариант является частью тенденции появления таких типов программ-вымогателей, как Crux и Cephalus, связанной с попытками злоумышленников провести ребрендинг, чтобы избежать сбоев в работе правоохранительных органов. Эволюция этой тактики иллюстрирует способность киберпреступников адаптироваться к продолжению своей деятельности в условиях повышенного контроля.
-----
Obscura - это недавно идентифицированный вариант программы-вымогателя, который обладает особым механизмом доставки записки с требованием выкупа. После выполнения он декодирует закодированное в base64 сообщение о выкупе, которое затем записывается в путь к файлу C:\README-OBSCURA.txt . Если в процессе декодирования возникает ошибка, вредоносное ПО предназначено для регистрации сообщения об ошибке и прекращения его выполнения.
Этот вариант является частью более широкой тенденции появления новых типов программ-вымогателей, включая Crux и Cephalus, которые наблюдались в последнее время. Распространение этих разновидностей программ-вымогателей может быть связано с постоянными усилиями по ребрендингу со стороны злоумышленников, особенно после действий правоохранительных органов, которые нарушают текущие операции киберпреступников. Меняющийся ландшафт программ-вымогателей подчеркивает адаптивность злоумышленников, которые стремятся скрыть свою деятельность и сохранить свои оперативные возможности в условиях усиленного контроля и правоприменительных усилий.
Появление Obscura и ее аналогов подчеркивает продолжающуюся эволюцию тактики программ-вымогателей и важность бдительности в рамках разведки киберугроз для эффективного противодействия этим угрозам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Obscura - это недавно идентифицированный вариант программы-вымогателя, который при выполнении декодирует сообщение о выкупе в кодировке base64, сохраняя его как C:\README-OBSCURA.txt , и завершается в случае сбоя декодирования. Этот вариант является частью тенденции появления таких типов программ-вымогателей, как Crux и Cephalus, связанной с попытками злоумышленников провести ребрендинг, чтобы избежать сбоев в работе правоохранительных органов. Эволюция этой тактики иллюстрирует способность киберпреступников адаптироваться к продолжению своей деятельности в условиях повышенного контроля.
-----
Obscura - это недавно идентифицированный вариант программы-вымогателя, который обладает особым механизмом доставки записки с требованием выкупа. После выполнения он декодирует закодированное в base64 сообщение о выкупе, которое затем записывается в путь к файлу C:\README-OBSCURA.txt . Если в процессе декодирования возникает ошибка, вредоносное ПО предназначено для регистрации сообщения об ошибке и прекращения его выполнения.
Этот вариант является частью более широкой тенденции появления новых типов программ-вымогателей, включая Crux и Cephalus, которые наблюдались в последнее время. Распространение этих разновидностей программ-вымогателей может быть связано с постоянными усилиями по ребрендингу со стороны злоумышленников, особенно после действий правоохранительных органов, которые нарушают текущие операции киберпреступников. Меняющийся ландшафт программ-вымогателей подчеркивает адаптивность злоумышленников, которые стремятся скрыть свою деятельность и сохранить свои оперативные возможности в условиях усиленного контроля и правоприменительных усилий.
Появление Obscura и ее аналогов подчеркивает продолжающуюся эволюцию тактики программ-вымогателей и важность бдительности в рамках разведки киберугроз для эффективного противодействия этим угрозам.
#ParsedReport #CompletenessMedium
03-09-2025
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/
Report completeness: Medium
Actors/Campaigns:
Apt-q-14
Threats:
Screenconnect_tool
Asyncrat
Purehvnc_tool
Amsi_bypass_technique
Xworm_rat
Dcrat
Remcos_rat
Victims:
Us organizations
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1021.004, T1036, T1047, T1053, T1059.001, T1071.001, T1105, T1204.002, T1210, T1547, have more...
IOCs:
File: 24
Domain: 1
Path: 2
IP: 3
Hash: 20
Url: 3
Soft:
Microsoft Edge
Algorithms:
base64, zip, md5
Languages:
javascript, powershell
Platforms:
intel
03-09-2025
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/
Report completeness: Medium
Actors/Campaigns:
Apt-q-14
Threats:
Screenconnect_tool
Asyncrat
Purehvnc_tool
Amsi_bypass_technique
Xworm_rat
Dcrat
Remcos_rat
Victims:
Us organizations
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1021.004, T1036, T1047, T1053, T1059.001, T1071.001, T1105, T1204.002, T1210, T1547, have more...
IOCs:
File: 24
Domain: 1
Path: 2
IP: 3
Hash: 20
Url: 3
Soft:
Microsoft Edge
Algorithms:
base64, zip, md5
Languages:
javascript, powershell
Platforms:
intel
Acronis
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
Over the past months, Acronis TRU (Threat Research Unit) has identified multiple active and ongoing campaigns leveraging trojanized versions of ConnectWise ScreenConnect to gain initial access to victim networks and compromise target machines.
CTT Report Hub
#ParsedReport #CompletenessMedium 03-09-2025 Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Acronis TRU сообщает об увеличении числа кибератак на организации в США с использованием скомпрометированных установщиков ConnectWise ScreenConnect, использующих их для первоначального доступа к сети. В атаках используется вредоносный исполняемый файл, замаскированный под документ, что облегчает развертывание нескольких троянов удаленного доступа (RATs), включая AsyncRAT и пользовательский PowerShell RAT. Наличие связанных доменов и внедрение дополнительных RAT, таких как PureHVNC, указывают на скоординированную и развивающуюся стратегию злоумышленника, которая использует различное вредоносное ПО для длительного проникновения и контроля.
-----
Acronis TRU сообщила о значительном росте числа атак с использованием троянских программ установки ConnectWise ScreenConnect, особенно нацеленных на организации, базирующиеся в США, начиная с марта 2025 года. Злоумышленники используют эти скомпрометированные установочные файлы для получения первоначального доступа к сетям жертв, что свидетельствует о продолжающейся тенденции злоупотребления инструментами удаленного мониторинга и управления (RMM).
Атаки начинаются с вредоносного исполняемого файла, замаскированного под документ с именем agreement_support-pdf.Client.exe , который обычно загружается через браузер Microsoft Edge. Этот установщик ClickOnce использует тактику социальной инженерии, вероятно, связанную с кампаниями фишинга, чтобы побудить пользователей выполнять потенциально вредоносный код.
Как только программное обеспечение ScreenConnect установлено, злоумышленники могут подключить его к своему серверу управления (C2), инициируя сложный сценарий атаки, который может разворачиваться в течение нескольких недель. Первоначальная разведка атаки указывает на одновременное развертывание нескольких троянских программ удаленного доступа (RATs). Среди них AsyncRAT, широко признанный инструмент для удаленного доступа, и, возможно, самодельный RAT, разработанный злоумышленниками. Наблюдается, что эта самодельная RAT, написанная на PowerShell, выполняет различные функции, такие как запуск программ и поддержание закрепления, но не соответствует ни одному из известных инструментов с открытым исходным кодом.
Быстрое развертывание различных RAT подчеркивает скоординированные усилия по быстрому созданию и поддержанию плацдармов в скомпрометированных системах. После первоначального компромисса злоумышленники в конечном итоге обновили AsyncRAT до новой версии, что указывает на адаптацию их тактики во время атаки. Кроме того, третий RAT, идентифицированный как PureHVNC, был представлен вскоре после обновленного AsyncRAT, что позволяет предположить взаимосвязь между этими полезными нагрузками, хотя атрибуция остается сложной задачей.
Инфраструктура атаки включает в себя несколько доменов, таких как morco.rovider.net , gaza.rovider.net , и lightc.rovider.net , связанный со скомпрометированными установщиками ScreenConnect. Эти домены связаны с более широкой экосистемой угроз, включая использование XWorm и DCRat, что указывает на обширные оперативные возможности злоумышленников, участвующих в этих кампаниях.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Acronis TRU сообщает об увеличении числа кибератак на организации в США с использованием скомпрометированных установщиков ConnectWise ScreenConnect, использующих их для первоначального доступа к сети. В атаках используется вредоносный исполняемый файл, замаскированный под документ, что облегчает развертывание нескольких троянов удаленного доступа (RATs), включая AsyncRAT и пользовательский PowerShell RAT. Наличие связанных доменов и внедрение дополнительных RAT, таких как PureHVNC, указывают на скоординированную и развивающуюся стратегию злоумышленника, которая использует различное вредоносное ПО для длительного проникновения и контроля.
-----
Acronis TRU сообщила о значительном росте числа атак с использованием троянских программ установки ConnectWise ScreenConnect, особенно нацеленных на организации, базирующиеся в США, начиная с марта 2025 года. Злоумышленники используют эти скомпрометированные установочные файлы для получения первоначального доступа к сетям жертв, что свидетельствует о продолжающейся тенденции злоупотребления инструментами удаленного мониторинга и управления (RMM).
Атаки начинаются с вредоносного исполняемого файла, замаскированного под документ с именем agreement_support-pdf.Client.exe , который обычно загружается через браузер Microsoft Edge. Этот установщик ClickOnce использует тактику социальной инженерии, вероятно, связанную с кампаниями фишинга, чтобы побудить пользователей выполнять потенциально вредоносный код.
Как только программное обеспечение ScreenConnect установлено, злоумышленники могут подключить его к своему серверу управления (C2), инициируя сложный сценарий атаки, который может разворачиваться в течение нескольких недель. Первоначальная разведка атаки указывает на одновременное развертывание нескольких троянских программ удаленного доступа (RATs). Среди них AsyncRAT, широко признанный инструмент для удаленного доступа, и, возможно, самодельный RAT, разработанный злоумышленниками. Наблюдается, что эта самодельная RAT, написанная на PowerShell, выполняет различные функции, такие как запуск программ и поддержание закрепления, но не соответствует ни одному из известных инструментов с открытым исходным кодом.
Быстрое развертывание различных RAT подчеркивает скоординированные усилия по быстрому созданию и поддержанию плацдармов в скомпрометированных системах. После первоначального компромисса злоумышленники в конечном итоге обновили AsyncRAT до новой версии, что указывает на адаптацию их тактики во время атаки. Кроме того, третий RAT, идентифицированный как PureHVNC, был представлен вскоре после обновленного AsyncRAT, что позволяет предположить взаимосвязь между этими полезными нагрузками, хотя атрибуция остается сложной задачей.
Инфраструктура атаки включает в себя несколько доменов, таких как morco.rovider.net , gaza.rovider.net , и lightc.rovider.net , связанный со скомпрометированными установщиками ScreenConnect. Эти домены связаны с более широкой экосистемой угроз, включая использование XWorm и DCRat, что указывает на обширные оперативные возможности злоумышленников, участвующих в этих кампаниях.
#ParsedReport #CompletenessHigh
03-09-2025
P2Pinfect - New Variant Targets MIPS Devices
https://www.darktrace.com/blog/p2pinfect-new-variant-targets-mips-devices
Report completeness: High
Actors/Campaigns:
Chimera
Threats:
P2pinfect
Mirai
Supply_chain_technique
Nbminer
Process_injection_technique
Uac_bypass_technique
Fodhelper_technique
Spear-phishing_technique
Splashtop_tool
Victims:
Internet of things devices, Routers, Embedded devices, Retail and ecommerce industry, Email users of affected organizations
Industry:
E-commerce, Retail, Iot, Energy, Financial
Geo:
India, Saudi, Poland
CVEs:
CVE-2022-0543 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- redis (-)
TTPs:
Tactics: 1
Technics: 27
IOCs:
File: 10
Hash: 3
IP: 16
Url: 2
Registry: 2
Domain: 2
Soft:
Redis, OpenWRT, Linux, Windows Defender
Crypto:
monero
Algorithms:
base64, xor, kawpow, sha256
Languages:
lua, autoit, javascript, powershell, rust
Platforms:
cross-platform, mips
03-09-2025
P2Pinfect - New Variant Targets MIPS Devices
https://www.darktrace.com/blog/p2pinfect-new-variant-targets-mips-devices
Report completeness: High
Actors/Campaigns:
Chimera
Threats:
P2pinfect
Mirai
Supply_chain_technique
Nbminer
Process_injection_technique
Uac_bypass_technique
Fodhelper_technique
Spear-phishing_technique
Splashtop_tool
Victims:
Internet of things devices, Routers, Embedded devices, Retail and ecommerce industry, Email users of affected organizations
Industry:
E-commerce, Retail, Iot, Energy, Financial
Geo:
India, Saudi, Poland
CVEs:
CVE-2022-0543 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- redis (-)
TTPs:
Tactics: 1
Technics: 27
IOCs:
File: 10
Hash: 3
IP: 16
Url: 2
Registry: 2
Domain: 2
Soft:
Redis, OpenWRT, Linux, Windows Defender
Crypto:
monero
Algorithms:
base64, xor, kawpow, sha256
Languages:
lua, autoit, javascript, powershell, rust
Platforms:
cross-platform, mips
Darktrace
P2Pinfect - New Variant Targets MIPS Devices
Researchers from Cado Security Labs (now part of Darktrace) have discovered a new P2Pinfect variant compiled for the Microprocessor without Interlocked Pipelined Stages (MIPS) architecture.