CTT Report Hub
#ParsedReport #CompletenessMedium 03-09-2025 Analyzing NotDoor: Inside APT28s Expanding Arsenal https://lab52.io/blog/analyzing-notdoor-inside-apt28s-expanding-arsenal/ Report completeness: Medium Actors/Campaigns: Fancy_bear Threats: Notdoor Dll_sid…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT28, связанная с российской разведкой, внедрила новый бэкдор под названием NotDoor, используя Microsoft OneDrive.exe чтобы избежать обнаружения, выполните DLL side-loading. Вредоносное ПО загружается злонамеренно SSPICLI.dll и расположен в c:\programdata\testtemp.ini , позволяя ему выполнить бэкдор VBA в Outlook. Скрытный характер NotDoor и минимальные возможности обнаружения отражают постоянную адаптацию тактики APT28's, что создает постоянные проблемы для защиты от кибербезопасности.
-----
LAB52, разведывательная группа S2 Grupo, выявила новый бэкдор под названием NotDoor, приписываемый хакерской группировке APT28, которая связана с российской разведкой. У этой группы есть история компрометации различных организаций в странах -членах НАТО. NotDoor работает с помощью сложного метода развертывания, использующего законный подписанный двоичный файл, в частности Microsoft OneDrive.exe , в котором используется технология DLL side-loading с боковой загрузкой. Этот механизм позволяет вредоносному ПО обходить обнаружение, загружая вредоносную библиотеку DLL с именем SSPICLI.dll . Вредоносное ПО стратегически размещено в c:\programdata\testtemp.ini чтобы запустить бэкдор VBA для Outlook.
Проект VBA, созданный NotDoor, функционирует как бесшумный бэкдор для Outlook и на момент анализа демонстрировал минимальные возможности обнаружения, что указывает на его скрытый характер. Такое закрепление APT28 в адаптации своей тактики и совершенствовании вредоносного ПО предполагает постоянные усилия по повышению операционной эффективности и обходу существующих мер безопасности.
Анализ подчеркивает необходимость усовершенствованных методик обнаружения для противодействия развивающемуся арсеналу APT28's и призывает обратить внимание на конкретные показатели компрометации, которые могли бы облегчить идентификацию угрозы. Такая эволюция их инструментов подчеркивает постоянную проблему для средств защиты от кибербезопасности, задачей которых является защита от изощренных акторов, спонсируемых государством.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT28, связанная с российской разведкой, внедрила новый бэкдор под названием NotDoor, используя Microsoft OneDrive.exe чтобы избежать обнаружения, выполните DLL side-loading. Вредоносное ПО загружается злонамеренно SSPICLI.dll и расположен в c:\programdata\testtemp.ini , позволяя ему выполнить бэкдор VBA в Outlook. Скрытный характер NotDoor и минимальные возможности обнаружения отражают постоянную адаптацию тактики APT28's, что создает постоянные проблемы для защиты от кибербезопасности.
-----
LAB52, разведывательная группа S2 Grupo, выявила новый бэкдор под названием NotDoor, приписываемый хакерской группировке APT28, которая связана с российской разведкой. У этой группы есть история компрометации различных организаций в странах -членах НАТО. NotDoor работает с помощью сложного метода развертывания, использующего законный подписанный двоичный файл, в частности Microsoft OneDrive.exe , в котором используется технология DLL side-loading с боковой загрузкой. Этот механизм позволяет вредоносному ПО обходить обнаружение, загружая вредоносную библиотеку DLL с именем SSPICLI.dll . Вредоносное ПО стратегически размещено в c:\programdata\testtemp.ini чтобы запустить бэкдор VBA для Outlook.
Проект VBA, созданный NotDoor, функционирует как бесшумный бэкдор для Outlook и на момент анализа демонстрировал минимальные возможности обнаружения, что указывает на его скрытый характер. Такое закрепление APT28 в адаптации своей тактики и совершенствовании вредоносного ПО предполагает постоянные усилия по повышению операционной эффективности и обходу существующих мер безопасности.
Анализ подчеркивает необходимость усовершенствованных методик обнаружения для противодействия развивающемуся арсеналу APT28's и призывает обратить внимание на конкретные показатели компрометации, которые могли бы облегчить идентификацию угрозы. Такая эволюция их инструментов подчеркивает постоянную проблему для средств защиты от кибербезопасности, задачей которых является защита от изощренных акторов, спонсируемых государством.
#ParsedReport #CompletenessLow
03-09-2025
Ethereum smart contracts used to push malicious code on npm
https://www.reversinglabs.com/blog/ethereum-contracts-malicious-code
Report completeness: Low
Threats:
Supply_chain_technique
Ethers-provider2
Victims:
Open source repositories, Crypto focused developers
Industry:
E-commerce, Financial
ChatGPT TTPs:
T1027, T1059.007, T1102, T1105, T1195, T1195.001
IOCs:
File: 2
Hash: 6
Coin: 1
Soft:
Twitter, Microsoft OneDrive, VSCode
Crypto:
ethereum, solana
Algorithms:
base64
Languages:
python, javascript
03-09-2025
Ethereum smart contracts used to push malicious code on npm
https://www.reversinglabs.com/blog/ethereum-contracts-malicious-code
Report completeness: Low
Threats:
Supply_chain_technique
Ethers-provider2
Victims:
Open source repositories, Crypto focused developers
Industry:
E-commerce, Financial
ChatGPT TTPs:
do not use without manual checkT1027, T1059.007, T1102, T1105, T1195, T1195.001
IOCs:
File: 2
Hash: 6
Coin: 1
Soft:
Twitter, Microsoft OneDrive, VSCode
Crypto:
ethereum, solana
Algorithms:
base64
Languages:
python, javascript
ReversingLabs
Ethereum smart contracts used to push malicious code on npm | ReversingLabs
RL discovered how the contracts were abused — and how this incident is part of a larger campaign to promote malicious packages on top repositories.
CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 Ethereum smart contracts used to push malicious code on npm https://www.reversinglabs.com/blog/ethereum-contracts-malicious-code Report completeness: Low Threats: Supply_chain_technique Ethers-provider2 Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи ReversingLabs обнаружили в репозитории npm две части вредоносного ПО с открытым исходным кодом, которые используют смарт-контракты Ethereum для выполнения вредоносного кода, иллюстрируя сложную тенденцию в атаках на supply chain программного обеспечения. Пакет colortoolsv2 содержит запутанный скрипт, который извлекает команды с сервера управления, используя доверенную инфраструктуру, чтобы избежать обнаружения. Кроме того, манипуляции на GitHub показывают, что злоумышленники автоматизируют ввод кода для повышения легитимности, что еще больше усложняет идентификацию вредоносных действий в средах с открытым исходным кодом.
-----
В июле исследователи ReversingLabs обнаружили две новые части вредоносного ПО с открытым исходным кодом в репозитории пакетов npm, использующие новую технологию, которая использует смарт-контракты Ethereum для выполнения вредоносного кода. Это открытие является частью более широкой тенденции вредоносных кампаний в npm, известном хранилище пакетов JavaScript, которое в течение года подверглось серии атак.
Одним из примечательных примеров является пакет colortoolsv2, который выглядит простым, но содержит запутанный скрипт с именем index.js . Этот скрипт выполняется, когда пакет включен в проект, извлекая и запуская команды с сервера управления (C2). Этот метод свидетельствует о растущей изощренности злоумышленников, которые все чаще используют надежную инфраструктуру для размещения своих функций C2, что усложняет обнаружение.
Стратегия атаки, описанная здесь, согласуется с предыдущей тактикой, применявшейся в различных условиях. Например, ранее в этом году аналогичные шаблоны были задокументированы среди скомпрометированных пакетов Python, которые включали URL-адреса, закодированные в Base64, с целью сокрытия вредоносной активности. Использование смарт-контрактов Ethereum повышает уровень сложности и неизвестности, повышая эффективность этих атак.
Кроме того, предыстория этой кампании раскрывает обширную сеть манипуляций на таких платформах, как GitHub. В качестве конкретного примера приводится проект solana-trading-bot-v2, в котором было обнаружено завышенное количество коммитов кода с участием поддельных участников, что указывает на то, что злоумышленники создали автоматизированные системы для повышения воспринимаемой легитимности за счет увеличения активности. Эта автоматизация означает стратегические усилия по поддержанию видимости аутентичности при распространении вредоносного кода.
Тенденция атак на supply chain программного обеспечения, особенно нацеленных на программное обеспечение и инфраструктуру, ориентированные на криптовалюты, была постоянной. В 2024 году ReversingLabs наблюдала за многочисленными кампаниями, которые использовали уязвимости в репозиториях с открытым исходным кодом, при этом было задокументировано 23 случая внедрения вредоносного кода в этих средах. Продолжающееся использование этих уязвимостей подчеркивает необходимость бдительности и анализа в области безопасности supply chain, особенно в связи с тем, что такая тактика продолжает развиваться и становится все более изощренной.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи ReversingLabs обнаружили в репозитории npm две части вредоносного ПО с открытым исходным кодом, которые используют смарт-контракты Ethereum для выполнения вредоносного кода, иллюстрируя сложную тенденцию в атаках на supply chain программного обеспечения. Пакет colortoolsv2 содержит запутанный скрипт, который извлекает команды с сервера управления, используя доверенную инфраструктуру, чтобы избежать обнаружения. Кроме того, манипуляции на GitHub показывают, что злоумышленники автоматизируют ввод кода для повышения легитимности, что еще больше усложняет идентификацию вредоносных действий в средах с открытым исходным кодом.
-----
В июле исследователи ReversingLabs обнаружили две новые части вредоносного ПО с открытым исходным кодом в репозитории пакетов npm, использующие новую технологию, которая использует смарт-контракты Ethereum для выполнения вредоносного кода. Это открытие является частью более широкой тенденции вредоносных кампаний в npm, известном хранилище пакетов JavaScript, которое в течение года подверглось серии атак.
Одним из примечательных примеров является пакет colortoolsv2, который выглядит простым, но содержит запутанный скрипт с именем index.js . Этот скрипт выполняется, когда пакет включен в проект, извлекая и запуская команды с сервера управления (C2). Этот метод свидетельствует о растущей изощренности злоумышленников, которые все чаще используют надежную инфраструктуру для размещения своих функций C2, что усложняет обнаружение.
Стратегия атаки, описанная здесь, согласуется с предыдущей тактикой, применявшейся в различных условиях. Например, ранее в этом году аналогичные шаблоны были задокументированы среди скомпрометированных пакетов Python, которые включали URL-адреса, закодированные в Base64, с целью сокрытия вредоносной активности. Использование смарт-контрактов Ethereum повышает уровень сложности и неизвестности, повышая эффективность этих атак.
Кроме того, предыстория этой кампании раскрывает обширную сеть манипуляций на таких платформах, как GitHub. В качестве конкретного примера приводится проект solana-trading-bot-v2, в котором было обнаружено завышенное количество коммитов кода с участием поддельных участников, что указывает на то, что злоумышленники создали автоматизированные системы для повышения воспринимаемой легитимности за счет увеличения активности. Эта автоматизация означает стратегические усилия по поддержанию видимости аутентичности при распространении вредоносного кода.
Тенденция атак на supply chain программного обеспечения, особенно нацеленных на программное обеспечение и инфраструктуру, ориентированные на криптовалюты, была постоянной. В 2024 году ReversingLabs наблюдала за многочисленными кампаниями, которые использовали уязвимости в репозиториях с открытым исходным кодом, при этом было задокументировано 23 случая внедрения вредоносного кода в этих средах. Продолжающееся использование этих уязвимостей подчеркивает необходимость бдительности и анализа в области безопасности supply chain, особенно в связи с тем, что такая тактика продолжает развиваться и становится все более изощренной.
#ParsedReport #CompletenessLow
03-09-2025
Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust
https://unit42.paloaltonetworks.com/model-namespace-reuse/
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Cloud ai platforms, Open source projects
Industry:
Healthcare, Software_development
Geo:
Asia, Australia, Japan, Middle east, India
ChatGPT TTPs:
T1036, T1195, T1199, T1203, T1553, T1608
Soft:
Hugging Face, toothfAIry
03-09-2025
Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust
https://unit42.paloaltonetworks.com/model-namespace-reuse/
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Cloud ai platforms, Open source projects
Industry:
Healthcare, Software_development
Geo:
Asia, Australia, Japan, Middle east, India
ChatGPT TTPs:
do not use without manual checkT1036, T1195, T1199, T1203, T1553, T1608
Soft:
Hugging Face, toothfAIry
Unit 42
Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust
Model namespace reuse is a potential security risk in the AI supply chain. Attackers can misuse platforms like Hugging Face for remote code execution.
CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust https://unit42.paloaltonetworks.com/model-namespace-reuse/ Report completeness: Low Threats: Supply_chain_technique Victims: Cloud ai…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследование выявило уязвимость под названием Model Namespace Reuse в рамках AI supply chain, позволяющую удаленно выполнять код (RCE) на таких платформах, как Microsoft Azure AI и Google Vertex AI. Этот недостаток связан с тем, как модели организованы в репозиториях, таких как Hugging Face, где передача прав собственности позволяет вредоносным акторам восстанавливать и развертывать скомпрометированные модели, используя их исходные пространства имен. Интеграция источников моделей на разных платформах искусственного интеллекта увеличивает риск, поскольку многие из них зависят от потенциально уязвимых моделей во время разработки.
-----
Недавнее исследование выявило значительную уязвимость в supply chain искусственного интеллекта, называемую повторным использованием пространства имен моделей, которая позволяет злоумышленникам выполнять удаленное выполнение кода (RCE) на таких платформах, как Microsoft Azure AI Foundry и Google Vertex AI. Эта уязвимость в первую очередь возникает из-за того, как модели организованы и идентифицируются в репозиториях, таких как Hugging Face, где модели хранятся как репозитории Git и на них ссылаются, используя соглашение об именовании Author/ModelName.
Этот недостаток особенно беспокоит из-за легкости, с которой право собственности на модели может быть передано на таких платформах, как Hugging Face. Например, организация может изначально создать законную модель, такую как "DentalAI/ToothFairy", которая предназначена для стоматологической диагностики. Однако позже право собственности может быть передано другому объекту, который может не гарантировать такую же целостность, позволяя потенциально вредоносным акторам восстанавливать и развертывать модель, используя исходное пространство имен, при выполнении вредоносного кода.
Последствия этого распространяются на распространенные платформы разработки ИИ. Интеграция Vertex AI с Hugging Face позволяет разработчикам создавать модели напрямую, без дополнительной упаковки, что повышает риск развертывания скомпрометированных моделей. Аналогичным образом, репозитории каталога моделей Azure AI содержат множество моделей, полученных из Hugging Face, которые могут быть уязвимы при использовании тех же принципов повторного использования пространства имен.
При дальнейшем изучении репозиториев с открытым исходным кодом исследователи обнаружили, что многие проекты основаны на моделях Hugging Face, использующих формат Author/ModelName, которые подвержены риску использования в результате передачи прав собственности. Проблема поддержания целостности модели усугубляется разнообразием используемых реестров моделей, что подчеркивает необходимость в надежных процессах валидации.
Для устранения этих уязвимостей рекомендуется несколько методов. Разработчикам следует использовать привязку версий для привязки моделей к определенным коммитам, избегая непреднамеренных изменений, которые могут привести к выполнению вредоносного кода. Кроме того, клонирование репозиториев моделей в защищенные среды, такие как внутренние реестры или локальное хранилище, после тщательной проверки может предотвратить несанкционированные изменения. Активное сканирование кодовых баз на предмет ссылок на модели также поможет специалистам-практикам выявлять зависимости, подверженные атакам supply chain, и управлять ими.
В конечном счете, полученные результаты подчеркивают настоятельную необходимость усиления мер безопасности в операциях supply chain с искусственным интеллектом, подчеркивая, что само по себе название модели не гарантирует ее надежности или целостности. Сложность усугубляется легкостью, с которой злоумышленники могут использовать традиционные методы идентификации моделей для внедрения уязвимостей в широко распространенные решения с использованием искусственного интеллекта.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследование выявило уязвимость под названием Model Namespace Reuse в рамках AI supply chain, позволяющую удаленно выполнять код (RCE) на таких платформах, как Microsoft Azure AI и Google Vertex AI. Этот недостаток связан с тем, как модели организованы в репозиториях, таких как Hugging Face, где передача прав собственности позволяет вредоносным акторам восстанавливать и развертывать скомпрометированные модели, используя их исходные пространства имен. Интеграция источников моделей на разных платформах искусственного интеллекта увеличивает риск, поскольку многие из них зависят от потенциально уязвимых моделей во время разработки.
-----
Недавнее исследование выявило значительную уязвимость в supply chain искусственного интеллекта, называемую повторным использованием пространства имен моделей, которая позволяет злоумышленникам выполнять удаленное выполнение кода (RCE) на таких платформах, как Microsoft Azure AI Foundry и Google Vertex AI. Эта уязвимость в первую очередь возникает из-за того, как модели организованы и идентифицируются в репозиториях, таких как Hugging Face, где модели хранятся как репозитории Git и на них ссылаются, используя соглашение об именовании Author/ModelName.
Этот недостаток особенно беспокоит из-за легкости, с которой право собственности на модели может быть передано на таких платформах, как Hugging Face. Например, организация может изначально создать законную модель, такую как "DentalAI/ToothFairy", которая предназначена для стоматологической диагностики. Однако позже право собственности может быть передано другому объекту, который может не гарантировать такую же целостность, позволяя потенциально вредоносным акторам восстанавливать и развертывать модель, используя исходное пространство имен, при выполнении вредоносного кода.
Последствия этого распространяются на распространенные платформы разработки ИИ. Интеграция Vertex AI с Hugging Face позволяет разработчикам создавать модели напрямую, без дополнительной упаковки, что повышает риск развертывания скомпрометированных моделей. Аналогичным образом, репозитории каталога моделей Azure AI содержат множество моделей, полученных из Hugging Face, которые могут быть уязвимы при использовании тех же принципов повторного использования пространства имен.
При дальнейшем изучении репозиториев с открытым исходным кодом исследователи обнаружили, что многие проекты основаны на моделях Hugging Face, использующих формат Author/ModelName, которые подвержены риску использования в результате передачи прав собственности. Проблема поддержания целостности модели усугубляется разнообразием используемых реестров моделей, что подчеркивает необходимость в надежных процессах валидации.
Для устранения этих уязвимостей рекомендуется несколько методов. Разработчикам следует использовать привязку версий для привязки моделей к определенным коммитам, избегая непреднамеренных изменений, которые могут привести к выполнению вредоносного кода. Кроме того, клонирование репозиториев моделей в защищенные среды, такие как внутренние реестры или локальное хранилище, после тщательной проверки может предотвратить несанкционированные изменения. Активное сканирование кодовых баз на предмет ссылок на модели также поможет специалистам-практикам выявлять зависимости, подверженные атакам supply chain, и управлять ими.
В конечном счете, полученные результаты подчеркивают настоятельную необходимость усиления мер безопасности в операциях supply chain с искусственным интеллектом, подчеркивая, что само по себе название модели не гарантирует ее надежности или целостности. Сложность усугубляется легкостью, с которой злоумышленники могут использовать традиционные методы идентификации моделей для внедрения уязвимостей в широко распространенные решения с использованием искусственного интеллекта.
#ParsedReport #CompletenessLow
03-09-2025
Obscura, an Obscure New Ransomware Variant
https://www.huntress.com/blog/obscura-ransomware-variant
Report completeness: Low
Threats:
Obscura
Windows_locker
Shadow_copies_delete_technique
Octopus
Crux_ransomware
Cephalus
ChatGPT TTPs:
T1027, T1106, T1486
IOCs:
File: 1
Path: 1
Command: 3
Hash: 1
Soft:
Windows firewall, Windows security, mysql, mariadb, Winlogon, docker
Algorithms:
base64, xchacha20, curve25519, sha256, chacha20
Functions:
main_run, main_windows_api_IsRunAsAdmin, Windows, main_windows_api_KillProcesses, main_windows_api_GetPCRole, encryptFileRange, main_windows_api_generateEphemeralKeyPair, main_hasExcludedExtension
Win API:
AllocateAndInitializeSid, CheckTokenMembership, GetSystemInfo, DsRoleGetPrimaryDomainInformation
Win Services:
WinDefend, MsMpEng, SentinelAgent, VeeamTransportSvc, VeeamBackupSvc, AcrSch2Svc, AcronisAgent, Cvd, SQLSERVERAGENT, SQLWriter, have more...
Links:
have more...
03-09-2025
Obscura, an Obscure New Ransomware Variant
https://www.huntress.com/blog/obscura-ransomware-variant
Report completeness: Low
Threats:
Obscura
Windows_locker
Shadow_copies_delete_technique
Octopus
Crux_ransomware
Cephalus
ChatGPT TTPs:
do not use without manual checkT1027, T1106, T1486
IOCs:
File: 1
Path: 1
Command: 3
Hash: 1
Soft:
Windows firewall, Windows security, mysql, mariadb, Winlogon, docker
Algorithms:
base64, xchacha20, curve25519, sha256, chacha20
Functions:
main_run, main_windows_api_IsRunAsAdmin, Windows, main_windows_api_KillProcesses, main_windows_api_GetPCRole, encryptFileRange, main_windows_api_generateEphemeralKeyPair, main_hasExcludedExtension
Win API:
AllocateAndInitializeSid, CheckTokenMembership, GetSystemInfo, DsRoleGetPrimaryDomainInformation
Win Services:
WinDefend, MsMpEng, SentinelAgent, VeeamTransportSvc, VeeamBackupSvc, AcrSch2Svc, AcronisAgent, Cvd, SQLSERVERAGENT, SQLWriter, have more...
Links:
have more...
https://github.comhttps://gist.github.com/gleeda/1781b0db8cbc78b4ef39dbe2aed77f38/raw/e3526be6bb47c1ecbf459a63e40a787f1e8c0e70/README\_Obscura.txthttps://gist.github.com/gleeda/1781b0db8cbc78b4ef39dbe2aed77f38#file-readme\_obscura-txtHuntress
Obscura, an Obscure New Ransomware Variant | Huntress
Huntress found a previously unseen ransomware variant called Obscura on a victim company’s domain controller.
CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 Obscura, an Obscure New Ransomware Variant https://www.huntress.com/blog/obscura-ransomware-variant Report completeness: Low Threats: Obscura Windows_locker Shadow_copies_delete_technique Octopus Crux_ransomware…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Obscura - это недавно идентифицированный вариант программы-вымогателя, который при выполнении декодирует сообщение о выкупе в кодировке base64, сохраняя его как C:\README-OBSCURA.txt , и завершается в случае сбоя декодирования. Этот вариант является частью тенденции появления таких типов программ-вымогателей, как Crux и Cephalus, связанной с попытками злоумышленников провести ребрендинг, чтобы избежать сбоев в работе правоохранительных органов. Эволюция этой тактики иллюстрирует способность киберпреступников адаптироваться к продолжению своей деятельности в условиях повышенного контроля.
-----
Obscura - это недавно идентифицированный вариант программы-вымогателя, который обладает особым механизмом доставки записки с требованием выкупа. После выполнения он декодирует закодированное в base64 сообщение о выкупе, которое затем записывается в путь к файлу C:\README-OBSCURA.txt . Если в процессе декодирования возникает ошибка, вредоносное ПО предназначено для регистрации сообщения об ошибке и прекращения его выполнения.
Этот вариант является частью более широкой тенденции появления новых типов программ-вымогателей, включая Crux и Cephalus, которые наблюдались в последнее время. Распространение этих разновидностей программ-вымогателей может быть связано с постоянными усилиями по ребрендингу со стороны злоумышленников, особенно после действий правоохранительных органов, которые нарушают текущие операции киберпреступников. Меняющийся ландшафт программ-вымогателей подчеркивает адаптивность злоумышленников, которые стремятся скрыть свою деятельность и сохранить свои оперативные возможности в условиях усиленного контроля и правоприменительных усилий.
Появление Obscura и ее аналогов подчеркивает продолжающуюся эволюцию тактики программ-вымогателей и важность бдительности в рамках разведки киберугроз для эффективного противодействия этим угрозам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Obscura - это недавно идентифицированный вариант программы-вымогателя, который при выполнении декодирует сообщение о выкупе в кодировке base64, сохраняя его как C:\README-OBSCURA.txt , и завершается в случае сбоя декодирования. Этот вариант является частью тенденции появления таких типов программ-вымогателей, как Crux и Cephalus, связанной с попытками злоумышленников провести ребрендинг, чтобы избежать сбоев в работе правоохранительных органов. Эволюция этой тактики иллюстрирует способность киберпреступников адаптироваться к продолжению своей деятельности в условиях повышенного контроля.
-----
Obscura - это недавно идентифицированный вариант программы-вымогателя, который обладает особым механизмом доставки записки с требованием выкупа. После выполнения он декодирует закодированное в base64 сообщение о выкупе, которое затем записывается в путь к файлу C:\README-OBSCURA.txt . Если в процессе декодирования возникает ошибка, вредоносное ПО предназначено для регистрации сообщения об ошибке и прекращения его выполнения.
Этот вариант является частью более широкой тенденции появления новых типов программ-вымогателей, включая Crux и Cephalus, которые наблюдались в последнее время. Распространение этих разновидностей программ-вымогателей может быть связано с постоянными усилиями по ребрендингу со стороны злоумышленников, особенно после действий правоохранительных органов, которые нарушают текущие операции киберпреступников. Меняющийся ландшафт программ-вымогателей подчеркивает адаптивность злоумышленников, которые стремятся скрыть свою деятельность и сохранить свои оперативные возможности в условиях усиленного контроля и правоприменительных усилий.
Появление Obscura и ее аналогов подчеркивает продолжающуюся эволюцию тактики программ-вымогателей и важность бдительности в рамках разведки киберугроз для эффективного противодействия этим угрозам.
#ParsedReport #CompletenessMedium
03-09-2025
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/
Report completeness: Medium
Actors/Campaigns:
Apt-q-14
Threats:
Screenconnect_tool
Asyncrat
Purehvnc_tool
Amsi_bypass_technique
Xworm_rat
Dcrat
Remcos_rat
Victims:
Us organizations
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1021.004, T1036, T1047, T1053, T1059.001, T1071.001, T1105, T1204.002, T1210, T1547, have more...
IOCs:
File: 24
Domain: 1
Path: 2
IP: 3
Hash: 20
Url: 3
Soft:
Microsoft Edge
Algorithms:
base64, zip, md5
Languages:
javascript, powershell
Platforms:
intel
03-09-2025
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/
Report completeness: Medium
Actors/Campaigns:
Apt-q-14
Threats:
Screenconnect_tool
Asyncrat
Purehvnc_tool
Amsi_bypass_technique
Xworm_rat
Dcrat
Remcos_rat
Victims:
Us organizations
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1021.004, T1036, T1047, T1053, T1059.001, T1071.001, T1105, T1204.002, T1210, T1547, have more...
IOCs:
File: 24
Domain: 1
Path: 2
IP: 3
Hash: 20
Url: 3
Soft:
Microsoft Edge
Algorithms:
base64, zip, md5
Languages:
javascript, powershell
Platforms:
intel
Acronis
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
Over the past months, Acronis TRU (Threat Research Unit) has identified multiple active and ongoing campaigns leveraging trojanized versions of ConnectWise ScreenConnect to gain initial access to victim networks and compromise target machines.
CTT Report Hub
#ParsedReport #CompletenessMedium 03-09-2025 Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Acronis TRU сообщает об увеличении числа кибератак на организации в США с использованием скомпрометированных установщиков ConnectWise ScreenConnect, использующих их для первоначального доступа к сети. В атаках используется вредоносный исполняемый файл, замаскированный под документ, что облегчает развертывание нескольких троянов удаленного доступа (RATs), включая AsyncRAT и пользовательский PowerShell RAT. Наличие связанных доменов и внедрение дополнительных RAT, таких как PureHVNC, указывают на скоординированную и развивающуюся стратегию злоумышленника, которая использует различное вредоносное ПО для длительного проникновения и контроля.
-----
Acronis TRU сообщила о значительном росте числа атак с использованием троянских программ установки ConnectWise ScreenConnect, особенно нацеленных на организации, базирующиеся в США, начиная с марта 2025 года. Злоумышленники используют эти скомпрометированные установочные файлы для получения первоначального доступа к сетям жертв, что свидетельствует о продолжающейся тенденции злоупотребления инструментами удаленного мониторинга и управления (RMM).
Атаки начинаются с вредоносного исполняемого файла, замаскированного под документ с именем agreement_support-pdf.Client.exe , который обычно загружается через браузер Microsoft Edge. Этот установщик ClickOnce использует тактику социальной инженерии, вероятно, связанную с кампаниями фишинга, чтобы побудить пользователей выполнять потенциально вредоносный код.
Как только программное обеспечение ScreenConnect установлено, злоумышленники могут подключить его к своему серверу управления (C2), инициируя сложный сценарий атаки, который может разворачиваться в течение нескольких недель. Первоначальная разведка атаки указывает на одновременное развертывание нескольких троянских программ удаленного доступа (RATs). Среди них AsyncRAT, широко признанный инструмент для удаленного доступа, и, возможно, самодельный RAT, разработанный злоумышленниками. Наблюдается, что эта самодельная RAT, написанная на PowerShell, выполняет различные функции, такие как запуск программ и поддержание закрепления, но не соответствует ни одному из известных инструментов с открытым исходным кодом.
Быстрое развертывание различных RAT подчеркивает скоординированные усилия по быстрому созданию и поддержанию плацдармов в скомпрометированных системах. После первоначального компромисса злоумышленники в конечном итоге обновили AsyncRAT до новой версии, что указывает на адаптацию их тактики во время атаки. Кроме того, третий RAT, идентифицированный как PureHVNC, был представлен вскоре после обновленного AsyncRAT, что позволяет предположить взаимосвязь между этими полезными нагрузками, хотя атрибуция остается сложной задачей.
Инфраструктура атаки включает в себя несколько доменов, таких как morco.rovider.net , gaza.rovider.net , и lightc.rovider.net , связанный со скомпрометированными установщиками ScreenConnect. Эти домены связаны с более широкой экосистемой угроз, включая использование XWorm и DCRat, что указывает на обширные оперативные возможности злоумышленников, участвующих в этих кампаниях.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Acronis TRU сообщает об увеличении числа кибератак на организации в США с использованием скомпрометированных установщиков ConnectWise ScreenConnect, использующих их для первоначального доступа к сети. В атаках используется вредоносный исполняемый файл, замаскированный под документ, что облегчает развертывание нескольких троянов удаленного доступа (RATs), включая AsyncRAT и пользовательский PowerShell RAT. Наличие связанных доменов и внедрение дополнительных RAT, таких как PureHVNC, указывают на скоординированную и развивающуюся стратегию злоумышленника, которая использует различное вредоносное ПО для длительного проникновения и контроля.
-----
Acronis TRU сообщила о значительном росте числа атак с использованием троянских программ установки ConnectWise ScreenConnect, особенно нацеленных на организации, базирующиеся в США, начиная с марта 2025 года. Злоумышленники используют эти скомпрометированные установочные файлы для получения первоначального доступа к сетям жертв, что свидетельствует о продолжающейся тенденции злоупотребления инструментами удаленного мониторинга и управления (RMM).
Атаки начинаются с вредоносного исполняемого файла, замаскированного под документ с именем agreement_support-pdf.Client.exe , который обычно загружается через браузер Microsoft Edge. Этот установщик ClickOnce использует тактику социальной инженерии, вероятно, связанную с кампаниями фишинга, чтобы побудить пользователей выполнять потенциально вредоносный код.
Как только программное обеспечение ScreenConnect установлено, злоумышленники могут подключить его к своему серверу управления (C2), инициируя сложный сценарий атаки, который может разворачиваться в течение нескольких недель. Первоначальная разведка атаки указывает на одновременное развертывание нескольких троянских программ удаленного доступа (RATs). Среди них AsyncRAT, широко признанный инструмент для удаленного доступа, и, возможно, самодельный RAT, разработанный злоумышленниками. Наблюдается, что эта самодельная RAT, написанная на PowerShell, выполняет различные функции, такие как запуск программ и поддержание закрепления, но не соответствует ни одному из известных инструментов с открытым исходным кодом.
Быстрое развертывание различных RAT подчеркивает скоординированные усилия по быстрому созданию и поддержанию плацдармов в скомпрометированных системах. После первоначального компромисса злоумышленники в конечном итоге обновили AsyncRAT до новой версии, что указывает на адаптацию их тактики во время атаки. Кроме того, третий RAT, идентифицированный как PureHVNC, был представлен вскоре после обновленного AsyncRAT, что позволяет предположить взаимосвязь между этими полезными нагрузками, хотя атрибуция остается сложной задачей.
Инфраструктура атаки включает в себя несколько доменов, таких как morco.rovider.net , gaza.rovider.net , и lightc.rovider.net , связанный со скомпрометированными установщиками ScreenConnect. Эти домены связаны с более широкой экосистемой угроз, включая использование XWorm и DCRat, что указывает на обширные оперативные возможности злоумышленников, участвующих в этих кампаниях.
#ParsedReport #CompletenessHigh
03-09-2025
P2Pinfect - New Variant Targets MIPS Devices
https://www.darktrace.com/blog/p2pinfect-new-variant-targets-mips-devices
Report completeness: High
Actors/Campaigns:
Chimera
Threats:
P2pinfect
Mirai
Supply_chain_technique
Nbminer
Process_injection_technique
Uac_bypass_technique
Fodhelper_technique
Spear-phishing_technique
Splashtop_tool
Victims:
Internet of things devices, Routers, Embedded devices, Retail and ecommerce industry, Email users of affected organizations
Industry:
E-commerce, Retail, Iot, Energy, Financial
Geo:
India, Saudi, Poland
CVEs:
CVE-2022-0543 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- redis (-)
TTPs:
Tactics: 1
Technics: 27
IOCs:
File: 10
Hash: 3
IP: 16
Url: 2
Registry: 2
Domain: 2
Soft:
Redis, OpenWRT, Linux, Windows Defender
Crypto:
monero
Algorithms:
base64, xor, kawpow, sha256
Languages:
lua, autoit, javascript, powershell, rust
Platforms:
cross-platform, mips
03-09-2025
P2Pinfect - New Variant Targets MIPS Devices
https://www.darktrace.com/blog/p2pinfect-new-variant-targets-mips-devices
Report completeness: High
Actors/Campaigns:
Chimera
Threats:
P2pinfect
Mirai
Supply_chain_technique
Nbminer
Process_injection_technique
Uac_bypass_technique
Fodhelper_technique
Spear-phishing_technique
Splashtop_tool
Victims:
Internet of things devices, Routers, Embedded devices, Retail and ecommerce industry, Email users of affected organizations
Industry:
E-commerce, Retail, Iot, Energy, Financial
Geo:
India, Saudi, Poland
CVEs:
CVE-2022-0543 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- redis (-)
TTPs:
Tactics: 1
Technics: 27
IOCs:
File: 10
Hash: 3
IP: 16
Url: 2
Registry: 2
Domain: 2
Soft:
Redis, OpenWRT, Linux, Windows Defender
Crypto:
monero
Algorithms:
base64, xor, kawpow, sha256
Languages:
lua, autoit, javascript, powershell, rust
Platforms:
cross-platform, mips
Darktrace
P2Pinfect - New Variant Targets MIPS Devices
Researchers from Cado Security Labs (now part of Darktrace) have discovered a new P2Pinfect variant compiled for the Microprocessor without Interlocked Pipelined Stages (MIPS) architecture.
CTT Report Hub
#ParsedReport #CompletenessHigh 03-09-2025 P2Pinfect - New Variant Targets MIPS Devices https://www.darktrace.com/blog/p2pinfect-new-variant-targets-mips-devices Report completeness: High Actors/Campaigns: Chimera Threats: P2pinfect Mirai Supply_chain_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Новый MIPS-вариант P2Pinfect нацелен на маршрутизаторы и устройства Интернета вещей, распространяющиеся по SSH, и включает в себя передовые методы обхода, такие как завершение анализируемого процесса и отключение дампов ядра Linux. Вредоносное ПО включает в себя библиотеку DLL Windows, действующую как вредоносный модуль для Redis, позволяющий выполнять команды. Кроме того, криптоджекинг остается серьезной угрозой, поскольку инциденты, связанные с несанкционированным майнингом криптовалюты с помощью вредоносных скриптов, наряду с наблюдаемой кражей учетных данных и действиями по повышению привилегий, указывают на попытки сохранить постоянный доступ.
-----
Был обнаружен новый вариант P2Pinfect, специально предназначенный для устройств, работающих на архитектуре MIPS. Это указывает на повышенный интерес со стороны злоумышленников к компрометации маршрутизаторов, устройств Интернета вещей (IoT) и других встроенных систем. Исследователи идентифицировали вариант MIPS во время мониторинга файлов, которые были загружены на SSH-сервер, что ознаменовало первую успешную имплантацию P2Pinfect, использующего SSH для распространения.
Вариант MIPS работает как 32-разрядный, статически связанный двоичный файл ELF, лишенный отладочной информации. Статический анализ выявил наличие другого исполняемого файла ELF и 32-разрядной библиотеки Windows DLL в формате PE32, что еще больше усложняет его профиль угроз. Эта библиотека DLL функционирует как вредоносный загружаемый модуль для Redis, используя возможности system.exec для выполнения команд оболочки на скомпрометированных хостах.
Что касается методов уклонения, вариант MIPS демонстрирует расширенные возможности. Он проверяет конкретное значение процесса и, если обнаруживается, что он находится в стадии анализа, завершает как сам, так и свой родительский процесс. Кроме того, он пытается отключить дампы ядра Linux, анти-криминалистическую меру, направленную на предотвращение сбора конфиденциальных данных, таких как IP-адреса подключенных одноранговых узлов и конфигурация ботнет.
В сфере криптоджекинга этот метод остается распространенной киберугрозой. Он использует вычислительную мощность устройства для несанкционированного майнинга криптовалюты, часто без ведома жертвы. Тщательное расследование Darktrace выявило инцидент, связанный со скриптом PowerShell, который доставлял криптоминер NBMiner. Аналитики установили, что после выполнения майнер подключался к пулам криптомайнинга, причем первоначальные признаки появлялись в виде DNS-запросов, направленных на известные конечные точки майнинга, вскоре после выполнения вредоносного скрипта.
Кроме того, проведенное Darktrace расследование злоупотреблений Hyonix VPS выявило тревожную картину необычных действий при входе в систему и попыток перехвата сеансов в среде их клиентов. Примечательно, что 19 мая 2025 года были отмечены случаи одновременного входа в систему с редких внешних IP-адресов, что указывает на возможную кражу учетных данных. Одна учетная запись была связана с созданием правил для почтовых ящиков, которые автоматически удаляли электронные письма, связанные с документами, которыми якобы делились высокопоставленные сотрудники организации, что свидетельствует о попытке скрыть вредоносные действия.
Расследование также выявило действия, указывающие на повышение привилегий, поскольку злоумышленники пытались изменить настройки восстановления учетной записи и выполняли сброс пароля с подозрительных IP-адресов. Эти маневры были направлены на установление постоянного доступа к уязвимым учетным записям, что потенциально облегчало эксфильтрацию данных или рассылку спама, избегая при этом обнаружения. Продолжающаяся эволюция как варианта P2Pinfect, так и схем криптоджекинга иллюстрирует продолжающуюся изощренность киберугроз, нацеленных на уязвимую инфраструктуру.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Новый MIPS-вариант P2Pinfect нацелен на маршрутизаторы и устройства Интернета вещей, распространяющиеся по SSH, и включает в себя передовые методы обхода, такие как завершение анализируемого процесса и отключение дампов ядра Linux. Вредоносное ПО включает в себя библиотеку DLL Windows, действующую как вредоносный модуль для Redis, позволяющий выполнять команды. Кроме того, криптоджекинг остается серьезной угрозой, поскольку инциденты, связанные с несанкционированным майнингом криптовалюты с помощью вредоносных скриптов, наряду с наблюдаемой кражей учетных данных и действиями по повышению привилегий, указывают на попытки сохранить постоянный доступ.
-----
Был обнаружен новый вариант P2Pinfect, специально предназначенный для устройств, работающих на архитектуре MIPS. Это указывает на повышенный интерес со стороны злоумышленников к компрометации маршрутизаторов, устройств Интернета вещей (IoT) и других встроенных систем. Исследователи идентифицировали вариант MIPS во время мониторинга файлов, которые были загружены на SSH-сервер, что ознаменовало первую успешную имплантацию P2Pinfect, использующего SSH для распространения.
Вариант MIPS работает как 32-разрядный, статически связанный двоичный файл ELF, лишенный отладочной информации. Статический анализ выявил наличие другого исполняемого файла ELF и 32-разрядной библиотеки Windows DLL в формате PE32, что еще больше усложняет его профиль угроз. Эта библиотека DLL функционирует как вредоносный загружаемый модуль для Redis, используя возможности system.exec для выполнения команд оболочки на скомпрометированных хостах.
Что касается методов уклонения, вариант MIPS демонстрирует расширенные возможности. Он проверяет конкретное значение процесса и, если обнаруживается, что он находится в стадии анализа, завершает как сам, так и свой родительский процесс. Кроме того, он пытается отключить дампы ядра Linux, анти-криминалистическую меру, направленную на предотвращение сбора конфиденциальных данных, таких как IP-адреса подключенных одноранговых узлов и конфигурация ботнет.
В сфере криптоджекинга этот метод остается распространенной киберугрозой. Он использует вычислительную мощность устройства для несанкционированного майнинга криптовалюты, часто без ведома жертвы. Тщательное расследование Darktrace выявило инцидент, связанный со скриптом PowerShell, который доставлял криптоминер NBMiner. Аналитики установили, что после выполнения майнер подключался к пулам криптомайнинга, причем первоначальные признаки появлялись в виде DNS-запросов, направленных на известные конечные точки майнинга, вскоре после выполнения вредоносного скрипта.
Кроме того, проведенное Darktrace расследование злоупотреблений Hyonix VPS выявило тревожную картину необычных действий при входе в систему и попыток перехвата сеансов в среде их клиентов. Примечательно, что 19 мая 2025 года были отмечены случаи одновременного входа в систему с редких внешних IP-адресов, что указывает на возможную кражу учетных данных. Одна учетная запись была связана с созданием правил для почтовых ящиков, которые автоматически удаляли электронные письма, связанные с документами, которыми якобы делились высокопоставленные сотрудники организации, что свидетельствует о попытке скрыть вредоносные действия.
Расследование также выявило действия, указывающие на повышение привилегий, поскольку злоумышленники пытались изменить настройки восстановления учетной записи и выполняли сброс пароля с подозрительных IP-адресов. Эти маневры были направлены на установление постоянного доступа к уязвимым учетным записям, что потенциально облегчало эксфильтрацию данных или рассылку спама, избегая при этом обнаружения. Продолжающаяся эволюция как варианта P2Pinfect, так и схем криптоджекинга иллюстрирует продолжающуюся изощренность киберугроз, нацеленных на уязвимую инфраструктуру.
#ParsedReport #CompletenessLow
02-09-2025
From Panel to Payload: Inside the TinyLoader Malware Operation
https://hunt.io/blog/tinyloader-malware-cryptocurrency-theft-infrastructure
Report completeness: Low
Threats:
Tiny_loader
Redline_stealer
Dcrat
Victims:
Cryptocurrency users, General users, Organizations
Geo:
Latvia, Netherlands, Great britain, London
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1021, T1036.007, T1091, T1105, T1112, T1115, T1119, T1204.002, T1547.009, T1547.015, have more...
IOCs:
IP: 4
File: 10
Soft:
Windows service
Wallets:
tron
Crypto:
bitcoin, ethereum, litecoin
Languages:
php
02-09-2025
From Panel to Payload: Inside the TinyLoader Malware Operation
https://hunt.io/blog/tinyloader-malware-cryptocurrency-theft-infrastructure
Report completeness: Low
Threats:
Tiny_loader
Redline_stealer
Dcrat
Victims:
Cryptocurrency users, General users, Organizations
Geo:
Latvia, Netherlands, Great britain, London
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1021, T1036.007, T1091, T1105, T1112, T1115, T1119, T1204.002, T1547.009, T1547.015, have more...
IOCs:
IP: 4
File: 10
Soft:
Windows service
Wallets:
tron
Crypto:
bitcoin, ethereum, litecoin
Languages:
php
hunt.io
TinyLoader Malware: Crypto Theft & C2 Infrastructure
Investigation into TinyLoader malware stealing cryptocurrency via Redline Stealer, USB spread, and C2 infrastructure.
CTT Report Hub
#ParsedReport #CompletenessLow 02-09-2025 From Panel to Payload: Inside the TinyLoader Malware Operation https://hunt.io/blog/tinyloader-malware-cryptocurrency-theft-infrastructure Report completeness: Low Threats: Tiny_loader Redline_stealer Dcrat Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TinyLoader - это сложный загрузчик вредоносного ПО, предназначенный для кражи криптовалют и распространения дополнительного вредоносного ПО, такого как Redline Stealer и DCRat. Он распространяется через USB-накопители, общие сетевые ресурсы и обманчивые ярлыки, обеспечивая закрепление путем изменения параметров реестра и ассоциаций файлов для обеспечения выполнения во время взаимодействия с пользователем. Вредоносное ПО перехватывает содержимое буфера обмена для целевых криптовалют и использует инфраструктуру командования и контроля, расположенную в основном в Латвии, что облегчает удаленное управление зараженными системами.
-----
TinyLoader - это сложный загрузчик вредоносного ПО, который облегчает операции киберпреступников, в первую очередь нацеленный на кражу криптовалют и распространение дополнительного вредоносного ПО, такого как Redline Stealer и DCRat. Вредоносное ПО распространяется по различным каналам, таким как USB-накопители, общие сетевые ресурсы и вводящие в заблуждение ярлыки, которые побуждают пользователей к запуску вредоносного ПО. После заражения TinyLoader устанавливает закрепление, создавая скрытые копии самого себя и изменяя настройки системного реестра, что позволяет ему сохраняться при перезагрузках.
Вредоносное ПО активно отслеживает буфер обмена, практически мгновенно заменяя скопированные адреса криптовалютных кошельков на адреса злоумышленника. Этот метод взлома нацелен на адреса криптовалют, включая Bitcoin, Ethereum, Litecoin и TRON. Инфраструктура TinyLoader's command and control (C2) в основном базируется в Латвии, а серверы работают в нескольких регионах, включая Великобританию и Нидерланды. Эта инфраструктура поддерживает его работу, предоставляя удаленный доступ через DCRat, что позволяет злоумышленникам контролировать зараженные системы.
TinyLoader использует многогранный подход для обеспечения его закрепления. Он изменяет ассоциации файлов в Windows, поэтому всякий раз, когда пользователь открывает текстовый файл, вредоносная ПО запускается первой. Кроме того, он распространяется на USB-устройствах под заманчивыми именами файлов и создает файлы автозапуска для запуска вредоносного ПО всякий раз, когда зараженный USB подключен к другой системе. Вводящие в заблуждение ярлыки, имитирующие законные функции Windows, также создаются для того, чтобы заманить пользователей к запуску встроенного вредоносного ПО.
После запуска TinyLoader извлекает дополнительные полезные файлы, сохраняет их во временном каталоге системы и немедленно выполняет, эффективно превращая скомпрометированную систему в платформу для различных вредоносных действий. Меры безопасности в отношении TinyLoader должны включать мониторинг HTML-подписи "Login - TinyLoader", ограничение использования USB-устройств, сканирование на наличие подозрительных действий с файлами и проверку адресов криптовалюты перед транзакциями. Использование аналитических данных из баз данных веб-сканера и мониторинг необычных изменений в реестре могут значительно усилить защиту от подобных операций.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TinyLoader - это сложный загрузчик вредоносного ПО, предназначенный для кражи криптовалют и распространения дополнительного вредоносного ПО, такого как Redline Stealer и DCRat. Он распространяется через USB-накопители, общие сетевые ресурсы и обманчивые ярлыки, обеспечивая закрепление путем изменения параметров реестра и ассоциаций файлов для обеспечения выполнения во время взаимодействия с пользователем. Вредоносное ПО перехватывает содержимое буфера обмена для целевых криптовалют и использует инфраструктуру командования и контроля, расположенную в основном в Латвии, что облегчает удаленное управление зараженными системами.
-----
TinyLoader - это сложный загрузчик вредоносного ПО, который облегчает операции киберпреступников, в первую очередь нацеленный на кражу криптовалют и распространение дополнительного вредоносного ПО, такого как Redline Stealer и DCRat. Вредоносное ПО распространяется по различным каналам, таким как USB-накопители, общие сетевые ресурсы и вводящие в заблуждение ярлыки, которые побуждают пользователей к запуску вредоносного ПО. После заражения TinyLoader устанавливает закрепление, создавая скрытые копии самого себя и изменяя настройки системного реестра, что позволяет ему сохраняться при перезагрузках.
Вредоносное ПО активно отслеживает буфер обмена, практически мгновенно заменяя скопированные адреса криптовалютных кошельков на адреса злоумышленника. Этот метод взлома нацелен на адреса криптовалют, включая Bitcoin, Ethereum, Litecoin и TRON. Инфраструктура TinyLoader's command and control (C2) в основном базируется в Латвии, а серверы работают в нескольких регионах, включая Великобританию и Нидерланды. Эта инфраструктура поддерживает его работу, предоставляя удаленный доступ через DCRat, что позволяет злоумышленникам контролировать зараженные системы.
TinyLoader использует многогранный подход для обеспечения его закрепления. Он изменяет ассоциации файлов в Windows, поэтому всякий раз, когда пользователь открывает текстовый файл, вредоносная ПО запускается первой. Кроме того, он распространяется на USB-устройствах под заманчивыми именами файлов и создает файлы автозапуска для запуска вредоносного ПО всякий раз, когда зараженный USB подключен к другой системе. Вводящие в заблуждение ярлыки, имитирующие законные функции Windows, также создаются для того, чтобы заманить пользователей к запуску встроенного вредоносного ПО.
После запуска TinyLoader извлекает дополнительные полезные файлы, сохраняет их во временном каталоге системы и немедленно выполняет, эффективно превращая скомпрометированную систему в платформу для различных вредоносных действий. Меры безопасности в отношении TinyLoader должны включать мониторинг HTML-подписи "Login - TinyLoader", ограничение использования USB-устройств, сканирование на наличие подозрительных действий с файлами и проверку адресов криптовалюты перед транзакциями. Использование аналитических данных из баз данных веб-сканера и мониторинг необычных изменений в реестре могут значительно усилить защиту от подобных операций.