CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 Model Namespace Reuse: An AI Supply-Chain Attack Exploiting Model Name Trust https://unit42.paloaltonetworks.com/model-namespace-reuse/ Report completeness: Low Threats: Supply_chain_technique Victims: Cloud ai…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследование выявило уязвимость под названием Model Namespace Reuse в рамках AI supply chain, позволяющую удаленно выполнять код (RCE) на таких платформах, как Microsoft Azure AI и Google Vertex AI. Этот недостаток связан с тем, как модели организованы в репозиториях, таких как Hugging Face, где передача прав собственности позволяет вредоносным акторам восстанавливать и развертывать скомпрометированные модели, используя их исходные пространства имен. Интеграция источников моделей на разных платформах искусственного интеллекта увеличивает риск, поскольку многие из них зависят от потенциально уязвимых моделей во время разработки.
-----
Недавнее исследование выявило значительную уязвимость в supply chain искусственного интеллекта, называемую повторным использованием пространства имен моделей, которая позволяет злоумышленникам выполнять удаленное выполнение кода (RCE) на таких платформах, как Microsoft Azure AI Foundry и Google Vertex AI. Эта уязвимость в первую очередь возникает из-за того, как модели организованы и идентифицируются в репозиториях, таких как Hugging Face, где модели хранятся как репозитории Git и на них ссылаются, используя соглашение об именовании Author/ModelName.
Этот недостаток особенно беспокоит из-за легкости, с которой право собственности на модели может быть передано на таких платформах, как Hugging Face. Например, организация может изначально создать законную модель, такую как "DentalAI/ToothFairy", которая предназначена для стоматологической диагностики. Однако позже право собственности может быть передано другому объекту, который может не гарантировать такую же целостность, позволяя потенциально вредоносным акторам восстанавливать и развертывать модель, используя исходное пространство имен, при выполнении вредоносного кода.
Последствия этого распространяются на распространенные платформы разработки ИИ. Интеграция Vertex AI с Hugging Face позволяет разработчикам создавать модели напрямую, без дополнительной упаковки, что повышает риск развертывания скомпрометированных моделей. Аналогичным образом, репозитории каталога моделей Azure AI содержат множество моделей, полученных из Hugging Face, которые могут быть уязвимы при использовании тех же принципов повторного использования пространства имен.
При дальнейшем изучении репозиториев с открытым исходным кодом исследователи обнаружили, что многие проекты основаны на моделях Hugging Face, использующих формат Author/ModelName, которые подвержены риску использования в результате передачи прав собственности. Проблема поддержания целостности модели усугубляется разнообразием используемых реестров моделей, что подчеркивает необходимость в надежных процессах валидации.
Для устранения этих уязвимостей рекомендуется несколько методов. Разработчикам следует использовать привязку версий для привязки моделей к определенным коммитам, избегая непреднамеренных изменений, которые могут привести к выполнению вредоносного кода. Кроме того, клонирование репозиториев моделей в защищенные среды, такие как внутренние реестры или локальное хранилище, после тщательной проверки может предотвратить несанкционированные изменения. Активное сканирование кодовых баз на предмет ссылок на модели также поможет специалистам-практикам выявлять зависимости, подверженные атакам supply chain, и управлять ими.
В конечном счете, полученные результаты подчеркивают настоятельную необходимость усиления мер безопасности в операциях supply chain с искусственным интеллектом, подчеркивая, что само по себе название модели не гарантирует ее надежности или целостности. Сложность усугубляется легкостью, с которой злоумышленники могут использовать традиционные методы идентификации моделей для внедрения уязвимостей в широко распространенные решения с использованием искусственного интеллекта.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследование выявило уязвимость под названием Model Namespace Reuse в рамках AI supply chain, позволяющую удаленно выполнять код (RCE) на таких платформах, как Microsoft Azure AI и Google Vertex AI. Этот недостаток связан с тем, как модели организованы в репозиториях, таких как Hugging Face, где передача прав собственности позволяет вредоносным акторам восстанавливать и развертывать скомпрометированные модели, используя их исходные пространства имен. Интеграция источников моделей на разных платформах искусственного интеллекта увеличивает риск, поскольку многие из них зависят от потенциально уязвимых моделей во время разработки.
-----
Недавнее исследование выявило значительную уязвимость в supply chain искусственного интеллекта, называемую повторным использованием пространства имен моделей, которая позволяет злоумышленникам выполнять удаленное выполнение кода (RCE) на таких платформах, как Microsoft Azure AI Foundry и Google Vertex AI. Эта уязвимость в первую очередь возникает из-за того, как модели организованы и идентифицируются в репозиториях, таких как Hugging Face, где модели хранятся как репозитории Git и на них ссылаются, используя соглашение об именовании Author/ModelName.
Этот недостаток особенно беспокоит из-за легкости, с которой право собственности на модели может быть передано на таких платформах, как Hugging Face. Например, организация может изначально создать законную модель, такую как "DentalAI/ToothFairy", которая предназначена для стоматологической диагностики. Однако позже право собственности может быть передано другому объекту, который может не гарантировать такую же целостность, позволяя потенциально вредоносным акторам восстанавливать и развертывать модель, используя исходное пространство имен, при выполнении вредоносного кода.
Последствия этого распространяются на распространенные платформы разработки ИИ. Интеграция Vertex AI с Hugging Face позволяет разработчикам создавать модели напрямую, без дополнительной упаковки, что повышает риск развертывания скомпрометированных моделей. Аналогичным образом, репозитории каталога моделей Azure AI содержат множество моделей, полученных из Hugging Face, которые могут быть уязвимы при использовании тех же принципов повторного использования пространства имен.
При дальнейшем изучении репозиториев с открытым исходным кодом исследователи обнаружили, что многие проекты основаны на моделях Hugging Face, использующих формат Author/ModelName, которые подвержены риску использования в результате передачи прав собственности. Проблема поддержания целостности модели усугубляется разнообразием используемых реестров моделей, что подчеркивает необходимость в надежных процессах валидации.
Для устранения этих уязвимостей рекомендуется несколько методов. Разработчикам следует использовать привязку версий для привязки моделей к определенным коммитам, избегая непреднамеренных изменений, которые могут привести к выполнению вредоносного кода. Кроме того, клонирование репозиториев моделей в защищенные среды, такие как внутренние реестры или локальное хранилище, после тщательной проверки может предотвратить несанкционированные изменения. Активное сканирование кодовых баз на предмет ссылок на модели также поможет специалистам-практикам выявлять зависимости, подверженные атакам supply chain, и управлять ими.
В конечном счете, полученные результаты подчеркивают настоятельную необходимость усиления мер безопасности в операциях supply chain с искусственным интеллектом, подчеркивая, что само по себе название модели не гарантирует ее надежности или целостности. Сложность усугубляется легкостью, с которой злоумышленники могут использовать традиционные методы идентификации моделей для внедрения уязвимостей в широко распространенные решения с использованием искусственного интеллекта.
#ParsedReport #CompletenessLow
03-09-2025
Obscura, an Obscure New Ransomware Variant
https://www.huntress.com/blog/obscura-ransomware-variant
Report completeness: Low
Threats:
Obscura
Windows_locker
Shadow_copies_delete_technique
Octopus
Crux_ransomware
Cephalus
ChatGPT TTPs:
T1027, T1106, T1486
IOCs:
File: 1
Path: 1
Command: 3
Hash: 1
Soft:
Windows firewall, Windows security, mysql, mariadb, Winlogon, docker
Algorithms:
base64, xchacha20, curve25519, sha256, chacha20
Functions:
main_run, main_windows_api_IsRunAsAdmin, Windows, main_windows_api_KillProcesses, main_windows_api_GetPCRole, encryptFileRange, main_windows_api_generateEphemeralKeyPair, main_hasExcludedExtension
Win API:
AllocateAndInitializeSid, CheckTokenMembership, GetSystemInfo, DsRoleGetPrimaryDomainInformation
Win Services:
WinDefend, MsMpEng, SentinelAgent, VeeamTransportSvc, VeeamBackupSvc, AcrSch2Svc, AcronisAgent, Cvd, SQLSERVERAGENT, SQLWriter, have more...
Links:
have more...
03-09-2025
Obscura, an Obscure New Ransomware Variant
https://www.huntress.com/blog/obscura-ransomware-variant
Report completeness: Low
Threats:
Obscura
Windows_locker
Shadow_copies_delete_technique
Octopus
Crux_ransomware
Cephalus
ChatGPT TTPs:
do not use without manual checkT1027, T1106, T1486
IOCs:
File: 1
Path: 1
Command: 3
Hash: 1
Soft:
Windows firewall, Windows security, mysql, mariadb, Winlogon, docker
Algorithms:
base64, xchacha20, curve25519, sha256, chacha20
Functions:
main_run, main_windows_api_IsRunAsAdmin, Windows, main_windows_api_KillProcesses, main_windows_api_GetPCRole, encryptFileRange, main_windows_api_generateEphemeralKeyPair, main_hasExcludedExtension
Win API:
AllocateAndInitializeSid, CheckTokenMembership, GetSystemInfo, DsRoleGetPrimaryDomainInformation
Win Services:
WinDefend, MsMpEng, SentinelAgent, VeeamTransportSvc, VeeamBackupSvc, AcrSch2Svc, AcronisAgent, Cvd, SQLSERVERAGENT, SQLWriter, have more...
Links:
have more...
https://github.comhttps://gist.github.com/gleeda/1781b0db8cbc78b4ef39dbe2aed77f38/raw/e3526be6bb47c1ecbf459a63e40a787f1e8c0e70/README\_Obscura.txthttps://gist.github.com/gleeda/1781b0db8cbc78b4ef39dbe2aed77f38#file-readme\_obscura-txtHuntress
Obscura, an Obscure New Ransomware Variant | Huntress
Huntress found a previously unseen ransomware variant called Obscura on a victim company’s domain controller.
CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 Obscura, an Obscure New Ransomware Variant https://www.huntress.com/blog/obscura-ransomware-variant Report completeness: Low Threats: Obscura Windows_locker Shadow_copies_delete_technique Octopus Crux_ransomware…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Obscura - это недавно идентифицированный вариант программы-вымогателя, который при выполнении декодирует сообщение о выкупе в кодировке base64, сохраняя его как C:\README-OBSCURA.txt , и завершается в случае сбоя декодирования. Этот вариант является частью тенденции появления таких типов программ-вымогателей, как Crux и Cephalus, связанной с попытками злоумышленников провести ребрендинг, чтобы избежать сбоев в работе правоохранительных органов. Эволюция этой тактики иллюстрирует способность киберпреступников адаптироваться к продолжению своей деятельности в условиях повышенного контроля.
-----
Obscura - это недавно идентифицированный вариант программы-вымогателя, который обладает особым механизмом доставки записки с требованием выкупа. После выполнения он декодирует закодированное в base64 сообщение о выкупе, которое затем записывается в путь к файлу C:\README-OBSCURA.txt . Если в процессе декодирования возникает ошибка, вредоносное ПО предназначено для регистрации сообщения об ошибке и прекращения его выполнения.
Этот вариант является частью более широкой тенденции появления новых типов программ-вымогателей, включая Crux и Cephalus, которые наблюдались в последнее время. Распространение этих разновидностей программ-вымогателей может быть связано с постоянными усилиями по ребрендингу со стороны злоумышленников, особенно после действий правоохранительных органов, которые нарушают текущие операции киберпреступников. Меняющийся ландшафт программ-вымогателей подчеркивает адаптивность злоумышленников, которые стремятся скрыть свою деятельность и сохранить свои оперативные возможности в условиях усиленного контроля и правоприменительных усилий.
Появление Obscura и ее аналогов подчеркивает продолжающуюся эволюцию тактики программ-вымогателей и важность бдительности в рамках разведки киберугроз для эффективного противодействия этим угрозам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Obscura - это недавно идентифицированный вариант программы-вымогателя, который при выполнении декодирует сообщение о выкупе в кодировке base64, сохраняя его как C:\README-OBSCURA.txt , и завершается в случае сбоя декодирования. Этот вариант является частью тенденции появления таких типов программ-вымогателей, как Crux и Cephalus, связанной с попытками злоумышленников провести ребрендинг, чтобы избежать сбоев в работе правоохранительных органов. Эволюция этой тактики иллюстрирует способность киберпреступников адаптироваться к продолжению своей деятельности в условиях повышенного контроля.
-----
Obscura - это недавно идентифицированный вариант программы-вымогателя, который обладает особым механизмом доставки записки с требованием выкупа. После выполнения он декодирует закодированное в base64 сообщение о выкупе, которое затем записывается в путь к файлу C:\README-OBSCURA.txt . Если в процессе декодирования возникает ошибка, вредоносное ПО предназначено для регистрации сообщения об ошибке и прекращения его выполнения.
Этот вариант является частью более широкой тенденции появления новых типов программ-вымогателей, включая Crux и Cephalus, которые наблюдались в последнее время. Распространение этих разновидностей программ-вымогателей может быть связано с постоянными усилиями по ребрендингу со стороны злоумышленников, особенно после действий правоохранительных органов, которые нарушают текущие операции киберпреступников. Меняющийся ландшафт программ-вымогателей подчеркивает адаптивность злоумышленников, которые стремятся скрыть свою деятельность и сохранить свои оперативные возможности в условиях усиленного контроля и правоприменительных усилий.
Появление Obscura и ее аналогов подчеркивает продолжающуюся эволюцию тактики программ-вымогателей и важность бдительности в рамках разведки киберугроз для эффективного противодействия этим угрозам.
#ParsedReport #CompletenessMedium
03-09-2025
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/
Report completeness: Medium
Actors/Campaigns:
Apt-q-14
Threats:
Screenconnect_tool
Asyncrat
Purehvnc_tool
Amsi_bypass_technique
Xworm_rat
Dcrat
Remcos_rat
Victims:
Us organizations
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1021.004, T1036, T1047, T1053, T1059.001, T1071.001, T1105, T1204.002, T1210, T1547, have more...
IOCs:
File: 24
Domain: 1
Path: 2
IP: 3
Hash: 20
Url: 3
Soft:
Microsoft Edge
Algorithms:
base64, zip, md5
Languages:
javascript, powershell
Platforms:
intel
03-09-2025
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/
Report completeness: Medium
Actors/Campaigns:
Apt-q-14
Threats:
Screenconnect_tool
Asyncrat
Purehvnc_tool
Amsi_bypass_technique
Xworm_rat
Dcrat
Remcos_rat
Victims:
Us organizations
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1021.004, T1036, T1047, T1053, T1059.001, T1071.001, T1105, T1204.002, T1210, T1547, have more...
IOCs:
File: 24
Domain: 1
Path: 2
IP: 3
Hash: 20
Url: 3
Soft:
Microsoft Edge
Algorithms:
base64, zip, md5
Languages:
javascript, powershell
Platforms:
intel
Acronis
Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine
Over the past months, Acronis TRU (Threat Research Unit) has identified multiple active and ongoing campaigns leveraging trojanized versions of ConnectWise ScreenConnect to gain initial access to victim networks and compromise target machines.
CTT Report Hub
#ParsedReport #CompletenessMedium 03-09-2025 Trojanized ScreenConnect installers evolve, dropping multiple RATs on a single machine https://www.acronis.com/en-us/tru/posts/trojanized-screenconnect-installers-evolve-dropping-multiple-rats-on-a-single-machine/…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Acronis TRU сообщает об увеличении числа кибератак на организации в США с использованием скомпрометированных установщиков ConnectWise ScreenConnect, использующих их для первоначального доступа к сети. В атаках используется вредоносный исполняемый файл, замаскированный под документ, что облегчает развертывание нескольких троянов удаленного доступа (RATs), включая AsyncRAT и пользовательский PowerShell RAT. Наличие связанных доменов и внедрение дополнительных RAT, таких как PureHVNC, указывают на скоординированную и развивающуюся стратегию злоумышленника, которая использует различное вредоносное ПО для длительного проникновения и контроля.
-----
Acronis TRU сообщила о значительном росте числа атак с использованием троянских программ установки ConnectWise ScreenConnect, особенно нацеленных на организации, базирующиеся в США, начиная с марта 2025 года. Злоумышленники используют эти скомпрометированные установочные файлы для получения первоначального доступа к сетям жертв, что свидетельствует о продолжающейся тенденции злоупотребления инструментами удаленного мониторинга и управления (RMM).
Атаки начинаются с вредоносного исполняемого файла, замаскированного под документ с именем agreement_support-pdf.Client.exe , который обычно загружается через браузер Microsoft Edge. Этот установщик ClickOnce использует тактику социальной инженерии, вероятно, связанную с кампаниями фишинга, чтобы побудить пользователей выполнять потенциально вредоносный код.
Как только программное обеспечение ScreenConnect установлено, злоумышленники могут подключить его к своему серверу управления (C2), инициируя сложный сценарий атаки, который может разворачиваться в течение нескольких недель. Первоначальная разведка атаки указывает на одновременное развертывание нескольких троянских программ удаленного доступа (RATs). Среди них AsyncRAT, широко признанный инструмент для удаленного доступа, и, возможно, самодельный RAT, разработанный злоумышленниками. Наблюдается, что эта самодельная RAT, написанная на PowerShell, выполняет различные функции, такие как запуск программ и поддержание закрепления, но не соответствует ни одному из известных инструментов с открытым исходным кодом.
Быстрое развертывание различных RAT подчеркивает скоординированные усилия по быстрому созданию и поддержанию плацдармов в скомпрометированных системах. После первоначального компромисса злоумышленники в конечном итоге обновили AsyncRAT до новой версии, что указывает на адаптацию их тактики во время атаки. Кроме того, третий RAT, идентифицированный как PureHVNC, был представлен вскоре после обновленного AsyncRAT, что позволяет предположить взаимосвязь между этими полезными нагрузками, хотя атрибуция остается сложной задачей.
Инфраструктура атаки включает в себя несколько доменов, таких как morco.rovider.net , gaza.rovider.net , и lightc.rovider.net , связанный со скомпрометированными установщиками ScreenConnect. Эти домены связаны с более широкой экосистемой угроз, включая использование XWorm и DCRat, что указывает на обширные оперативные возможности злоумышленников, участвующих в этих кампаниях.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Acronis TRU сообщает об увеличении числа кибератак на организации в США с использованием скомпрометированных установщиков ConnectWise ScreenConnect, использующих их для первоначального доступа к сети. В атаках используется вредоносный исполняемый файл, замаскированный под документ, что облегчает развертывание нескольких троянов удаленного доступа (RATs), включая AsyncRAT и пользовательский PowerShell RAT. Наличие связанных доменов и внедрение дополнительных RAT, таких как PureHVNC, указывают на скоординированную и развивающуюся стратегию злоумышленника, которая использует различное вредоносное ПО для длительного проникновения и контроля.
-----
Acronis TRU сообщила о значительном росте числа атак с использованием троянских программ установки ConnectWise ScreenConnect, особенно нацеленных на организации, базирующиеся в США, начиная с марта 2025 года. Злоумышленники используют эти скомпрометированные установочные файлы для получения первоначального доступа к сетям жертв, что свидетельствует о продолжающейся тенденции злоупотребления инструментами удаленного мониторинга и управления (RMM).
Атаки начинаются с вредоносного исполняемого файла, замаскированного под документ с именем agreement_support-pdf.Client.exe , который обычно загружается через браузер Microsoft Edge. Этот установщик ClickOnce использует тактику социальной инженерии, вероятно, связанную с кампаниями фишинга, чтобы побудить пользователей выполнять потенциально вредоносный код.
Как только программное обеспечение ScreenConnect установлено, злоумышленники могут подключить его к своему серверу управления (C2), инициируя сложный сценарий атаки, который может разворачиваться в течение нескольких недель. Первоначальная разведка атаки указывает на одновременное развертывание нескольких троянских программ удаленного доступа (RATs). Среди них AsyncRAT, широко признанный инструмент для удаленного доступа, и, возможно, самодельный RAT, разработанный злоумышленниками. Наблюдается, что эта самодельная RAT, написанная на PowerShell, выполняет различные функции, такие как запуск программ и поддержание закрепления, но не соответствует ни одному из известных инструментов с открытым исходным кодом.
Быстрое развертывание различных RAT подчеркивает скоординированные усилия по быстрому созданию и поддержанию плацдармов в скомпрометированных системах. После первоначального компромисса злоумышленники в конечном итоге обновили AsyncRAT до новой версии, что указывает на адаптацию их тактики во время атаки. Кроме того, третий RAT, идентифицированный как PureHVNC, был представлен вскоре после обновленного AsyncRAT, что позволяет предположить взаимосвязь между этими полезными нагрузками, хотя атрибуция остается сложной задачей.
Инфраструктура атаки включает в себя несколько доменов, таких как morco.rovider.net , gaza.rovider.net , и lightc.rovider.net , связанный со скомпрометированными установщиками ScreenConnect. Эти домены связаны с более широкой экосистемой угроз, включая использование XWorm и DCRat, что указывает на обширные оперативные возможности злоумышленников, участвующих в этих кампаниях.
#ParsedReport #CompletenessHigh
03-09-2025
P2Pinfect - New Variant Targets MIPS Devices
https://www.darktrace.com/blog/p2pinfect-new-variant-targets-mips-devices
Report completeness: High
Actors/Campaigns:
Chimera
Threats:
P2pinfect
Mirai
Supply_chain_technique
Nbminer
Process_injection_technique
Uac_bypass_technique
Fodhelper_technique
Spear-phishing_technique
Splashtop_tool
Victims:
Internet of things devices, Routers, Embedded devices, Retail and ecommerce industry, Email users of affected organizations
Industry:
E-commerce, Retail, Iot, Energy, Financial
Geo:
India, Saudi, Poland
CVEs:
CVE-2022-0543 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- redis (-)
TTPs:
Tactics: 1
Technics: 27
IOCs:
File: 10
Hash: 3
IP: 16
Url: 2
Registry: 2
Domain: 2
Soft:
Redis, OpenWRT, Linux, Windows Defender
Crypto:
monero
Algorithms:
base64, xor, kawpow, sha256
Languages:
lua, autoit, javascript, powershell, rust
Platforms:
cross-platform, mips
03-09-2025
P2Pinfect - New Variant Targets MIPS Devices
https://www.darktrace.com/blog/p2pinfect-new-variant-targets-mips-devices
Report completeness: High
Actors/Campaigns:
Chimera
Threats:
P2pinfect
Mirai
Supply_chain_technique
Nbminer
Process_injection_technique
Uac_bypass_technique
Fodhelper_technique
Spear-phishing_technique
Splashtop_tool
Victims:
Internet of things devices, Routers, Embedded devices, Retail and ecommerce industry, Email users of affected organizations
Industry:
E-commerce, Retail, Iot, Energy, Financial
Geo:
India, Saudi, Poland
CVEs:
CVE-2022-0543 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- redis (-)
TTPs:
Tactics: 1
Technics: 27
IOCs:
File: 10
Hash: 3
IP: 16
Url: 2
Registry: 2
Domain: 2
Soft:
Redis, OpenWRT, Linux, Windows Defender
Crypto:
monero
Algorithms:
base64, xor, kawpow, sha256
Languages:
lua, autoit, javascript, powershell, rust
Platforms:
cross-platform, mips
Darktrace
P2Pinfect - New Variant Targets MIPS Devices
Researchers from Cado Security Labs (now part of Darktrace) have discovered a new P2Pinfect variant compiled for the Microprocessor without Interlocked Pipelined Stages (MIPS) architecture.
CTT Report Hub
#ParsedReport #CompletenessHigh 03-09-2025 P2Pinfect - New Variant Targets MIPS Devices https://www.darktrace.com/blog/p2pinfect-new-variant-targets-mips-devices Report completeness: High Actors/Campaigns: Chimera Threats: P2pinfect Mirai Supply_chain_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Новый MIPS-вариант P2Pinfect нацелен на маршрутизаторы и устройства Интернета вещей, распространяющиеся по SSH, и включает в себя передовые методы обхода, такие как завершение анализируемого процесса и отключение дампов ядра Linux. Вредоносное ПО включает в себя библиотеку DLL Windows, действующую как вредоносный модуль для Redis, позволяющий выполнять команды. Кроме того, криптоджекинг остается серьезной угрозой, поскольку инциденты, связанные с несанкционированным майнингом криптовалюты с помощью вредоносных скриптов, наряду с наблюдаемой кражей учетных данных и действиями по повышению привилегий, указывают на попытки сохранить постоянный доступ.
-----
Был обнаружен новый вариант P2Pinfect, специально предназначенный для устройств, работающих на архитектуре MIPS. Это указывает на повышенный интерес со стороны злоумышленников к компрометации маршрутизаторов, устройств Интернета вещей (IoT) и других встроенных систем. Исследователи идентифицировали вариант MIPS во время мониторинга файлов, которые были загружены на SSH-сервер, что ознаменовало первую успешную имплантацию P2Pinfect, использующего SSH для распространения.
Вариант MIPS работает как 32-разрядный, статически связанный двоичный файл ELF, лишенный отладочной информации. Статический анализ выявил наличие другого исполняемого файла ELF и 32-разрядной библиотеки Windows DLL в формате PE32, что еще больше усложняет его профиль угроз. Эта библиотека DLL функционирует как вредоносный загружаемый модуль для Redis, используя возможности system.exec для выполнения команд оболочки на скомпрометированных хостах.
Что касается методов уклонения, вариант MIPS демонстрирует расширенные возможности. Он проверяет конкретное значение процесса и, если обнаруживается, что он находится в стадии анализа, завершает как сам, так и свой родительский процесс. Кроме того, он пытается отключить дампы ядра Linux, анти-криминалистическую меру, направленную на предотвращение сбора конфиденциальных данных, таких как IP-адреса подключенных одноранговых узлов и конфигурация ботнет.
В сфере криптоджекинга этот метод остается распространенной киберугрозой. Он использует вычислительную мощность устройства для несанкционированного майнинга криптовалюты, часто без ведома жертвы. Тщательное расследование Darktrace выявило инцидент, связанный со скриптом PowerShell, который доставлял криптоминер NBMiner. Аналитики установили, что после выполнения майнер подключался к пулам криптомайнинга, причем первоначальные признаки появлялись в виде DNS-запросов, направленных на известные конечные точки майнинга, вскоре после выполнения вредоносного скрипта.
Кроме того, проведенное Darktrace расследование злоупотреблений Hyonix VPS выявило тревожную картину необычных действий при входе в систему и попыток перехвата сеансов в среде их клиентов. Примечательно, что 19 мая 2025 года были отмечены случаи одновременного входа в систему с редких внешних IP-адресов, что указывает на возможную кражу учетных данных. Одна учетная запись была связана с созданием правил для почтовых ящиков, которые автоматически удаляли электронные письма, связанные с документами, которыми якобы делились высокопоставленные сотрудники организации, что свидетельствует о попытке скрыть вредоносные действия.
Расследование также выявило действия, указывающие на повышение привилегий, поскольку злоумышленники пытались изменить настройки восстановления учетной записи и выполняли сброс пароля с подозрительных IP-адресов. Эти маневры были направлены на установление постоянного доступа к уязвимым учетным записям, что потенциально облегчало эксфильтрацию данных или рассылку спама, избегая при этом обнаружения. Продолжающаяся эволюция как варианта P2Pinfect, так и схем криптоджекинга иллюстрирует продолжающуюся изощренность киберугроз, нацеленных на уязвимую инфраструктуру.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Новый MIPS-вариант P2Pinfect нацелен на маршрутизаторы и устройства Интернета вещей, распространяющиеся по SSH, и включает в себя передовые методы обхода, такие как завершение анализируемого процесса и отключение дампов ядра Linux. Вредоносное ПО включает в себя библиотеку DLL Windows, действующую как вредоносный модуль для Redis, позволяющий выполнять команды. Кроме того, криптоджекинг остается серьезной угрозой, поскольку инциденты, связанные с несанкционированным майнингом криптовалюты с помощью вредоносных скриптов, наряду с наблюдаемой кражей учетных данных и действиями по повышению привилегий, указывают на попытки сохранить постоянный доступ.
-----
Был обнаружен новый вариант P2Pinfect, специально предназначенный для устройств, работающих на архитектуре MIPS. Это указывает на повышенный интерес со стороны злоумышленников к компрометации маршрутизаторов, устройств Интернета вещей (IoT) и других встроенных систем. Исследователи идентифицировали вариант MIPS во время мониторинга файлов, которые были загружены на SSH-сервер, что ознаменовало первую успешную имплантацию P2Pinfect, использующего SSH для распространения.
Вариант MIPS работает как 32-разрядный, статически связанный двоичный файл ELF, лишенный отладочной информации. Статический анализ выявил наличие другого исполняемого файла ELF и 32-разрядной библиотеки Windows DLL в формате PE32, что еще больше усложняет его профиль угроз. Эта библиотека DLL функционирует как вредоносный загружаемый модуль для Redis, используя возможности system.exec для выполнения команд оболочки на скомпрометированных хостах.
Что касается методов уклонения, вариант MIPS демонстрирует расширенные возможности. Он проверяет конкретное значение процесса и, если обнаруживается, что он находится в стадии анализа, завершает как сам, так и свой родительский процесс. Кроме того, он пытается отключить дампы ядра Linux, анти-криминалистическую меру, направленную на предотвращение сбора конфиденциальных данных, таких как IP-адреса подключенных одноранговых узлов и конфигурация ботнет.
В сфере криптоджекинга этот метод остается распространенной киберугрозой. Он использует вычислительную мощность устройства для несанкционированного майнинга криптовалюты, часто без ведома жертвы. Тщательное расследование Darktrace выявило инцидент, связанный со скриптом PowerShell, который доставлял криптоминер NBMiner. Аналитики установили, что после выполнения майнер подключался к пулам криптомайнинга, причем первоначальные признаки появлялись в виде DNS-запросов, направленных на известные конечные точки майнинга, вскоре после выполнения вредоносного скрипта.
Кроме того, проведенное Darktrace расследование злоупотреблений Hyonix VPS выявило тревожную картину необычных действий при входе в систему и попыток перехвата сеансов в среде их клиентов. Примечательно, что 19 мая 2025 года были отмечены случаи одновременного входа в систему с редких внешних IP-адресов, что указывает на возможную кражу учетных данных. Одна учетная запись была связана с созданием правил для почтовых ящиков, которые автоматически удаляли электронные письма, связанные с документами, которыми якобы делились высокопоставленные сотрудники организации, что свидетельствует о попытке скрыть вредоносные действия.
Расследование также выявило действия, указывающие на повышение привилегий, поскольку злоумышленники пытались изменить настройки восстановления учетной записи и выполняли сброс пароля с подозрительных IP-адресов. Эти маневры были направлены на установление постоянного доступа к уязвимым учетным записям, что потенциально облегчало эксфильтрацию данных или рассылку спама, избегая при этом обнаружения. Продолжающаяся эволюция как варианта P2Pinfect, так и схем криптоджекинга иллюстрирует продолжающуюся изощренность киберугроз, нацеленных на уязвимую инфраструктуру.
#ParsedReport #CompletenessLow
02-09-2025
From Panel to Payload: Inside the TinyLoader Malware Operation
https://hunt.io/blog/tinyloader-malware-cryptocurrency-theft-infrastructure
Report completeness: Low
Threats:
Tiny_loader
Redline_stealer
Dcrat
Victims:
Cryptocurrency users, General users, Organizations
Geo:
Latvia, Netherlands, Great britain, London
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1021, T1036.007, T1091, T1105, T1112, T1115, T1119, T1204.002, T1547.009, T1547.015, have more...
IOCs:
IP: 4
File: 10
Soft:
Windows service
Wallets:
tron
Crypto:
bitcoin, ethereum, litecoin
Languages:
php
02-09-2025
From Panel to Payload: Inside the TinyLoader Malware Operation
https://hunt.io/blog/tinyloader-malware-cryptocurrency-theft-infrastructure
Report completeness: Low
Threats:
Tiny_loader
Redline_stealer
Dcrat
Victims:
Cryptocurrency users, General users, Organizations
Geo:
Latvia, Netherlands, Great britain, London
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1021, T1036.007, T1091, T1105, T1112, T1115, T1119, T1204.002, T1547.009, T1547.015, have more...
IOCs:
IP: 4
File: 10
Soft:
Windows service
Wallets:
tron
Crypto:
bitcoin, ethereum, litecoin
Languages:
php
hunt.io
TinyLoader Malware: Crypto Theft & C2 Infrastructure
Investigation into TinyLoader malware stealing cryptocurrency via Redline Stealer, USB spread, and C2 infrastructure.
CTT Report Hub
#ParsedReport #CompletenessLow 02-09-2025 From Panel to Payload: Inside the TinyLoader Malware Operation https://hunt.io/blog/tinyloader-malware-cryptocurrency-theft-infrastructure Report completeness: Low Threats: Tiny_loader Redline_stealer Dcrat Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TinyLoader - это сложный загрузчик вредоносного ПО, предназначенный для кражи криптовалют и распространения дополнительного вредоносного ПО, такого как Redline Stealer и DCRat. Он распространяется через USB-накопители, общие сетевые ресурсы и обманчивые ярлыки, обеспечивая закрепление путем изменения параметров реестра и ассоциаций файлов для обеспечения выполнения во время взаимодействия с пользователем. Вредоносное ПО перехватывает содержимое буфера обмена для целевых криптовалют и использует инфраструктуру командования и контроля, расположенную в основном в Латвии, что облегчает удаленное управление зараженными системами.
-----
TinyLoader - это сложный загрузчик вредоносного ПО, который облегчает операции киберпреступников, в первую очередь нацеленный на кражу криптовалют и распространение дополнительного вредоносного ПО, такого как Redline Stealer и DCRat. Вредоносное ПО распространяется по различным каналам, таким как USB-накопители, общие сетевые ресурсы и вводящие в заблуждение ярлыки, которые побуждают пользователей к запуску вредоносного ПО. После заражения TinyLoader устанавливает закрепление, создавая скрытые копии самого себя и изменяя настройки системного реестра, что позволяет ему сохраняться при перезагрузках.
Вредоносное ПО активно отслеживает буфер обмена, практически мгновенно заменяя скопированные адреса криптовалютных кошельков на адреса злоумышленника. Этот метод взлома нацелен на адреса криптовалют, включая Bitcoin, Ethereum, Litecoin и TRON. Инфраструктура TinyLoader's command and control (C2) в основном базируется в Латвии, а серверы работают в нескольких регионах, включая Великобританию и Нидерланды. Эта инфраструктура поддерживает его работу, предоставляя удаленный доступ через DCRat, что позволяет злоумышленникам контролировать зараженные системы.
TinyLoader использует многогранный подход для обеспечения его закрепления. Он изменяет ассоциации файлов в Windows, поэтому всякий раз, когда пользователь открывает текстовый файл, вредоносная ПО запускается первой. Кроме того, он распространяется на USB-устройствах под заманчивыми именами файлов и создает файлы автозапуска для запуска вредоносного ПО всякий раз, когда зараженный USB подключен к другой системе. Вводящие в заблуждение ярлыки, имитирующие законные функции Windows, также создаются для того, чтобы заманить пользователей к запуску встроенного вредоносного ПО.
После запуска TinyLoader извлекает дополнительные полезные файлы, сохраняет их во временном каталоге системы и немедленно выполняет, эффективно превращая скомпрометированную систему в платформу для различных вредоносных действий. Меры безопасности в отношении TinyLoader должны включать мониторинг HTML-подписи "Login - TinyLoader", ограничение использования USB-устройств, сканирование на наличие подозрительных действий с файлами и проверку адресов криптовалюты перед транзакциями. Использование аналитических данных из баз данных веб-сканера и мониторинг необычных изменений в реестре могут значительно усилить защиту от подобных операций.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TinyLoader - это сложный загрузчик вредоносного ПО, предназначенный для кражи криптовалют и распространения дополнительного вредоносного ПО, такого как Redline Stealer и DCRat. Он распространяется через USB-накопители, общие сетевые ресурсы и обманчивые ярлыки, обеспечивая закрепление путем изменения параметров реестра и ассоциаций файлов для обеспечения выполнения во время взаимодействия с пользователем. Вредоносное ПО перехватывает содержимое буфера обмена для целевых криптовалют и использует инфраструктуру командования и контроля, расположенную в основном в Латвии, что облегчает удаленное управление зараженными системами.
-----
TinyLoader - это сложный загрузчик вредоносного ПО, который облегчает операции киберпреступников, в первую очередь нацеленный на кражу криптовалют и распространение дополнительного вредоносного ПО, такого как Redline Stealer и DCRat. Вредоносное ПО распространяется по различным каналам, таким как USB-накопители, общие сетевые ресурсы и вводящие в заблуждение ярлыки, которые побуждают пользователей к запуску вредоносного ПО. После заражения TinyLoader устанавливает закрепление, создавая скрытые копии самого себя и изменяя настройки системного реестра, что позволяет ему сохраняться при перезагрузках.
Вредоносное ПО активно отслеживает буфер обмена, практически мгновенно заменяя скопированные адреса криптовалютных кошельков на адреса злоумышленника. Этот метод взлома нацелен на адреса криптовалют, включая Bitcoin, Ethereum, Litecoin и TRON. Инфраструктура TinyLoader's command and control (C2) в основном базируется в Латвии, а серверы работают в нескольких регионах, включая Великобританию и Нидерланды. Эта инфраструктура поддерживает его работу, предоставляя удаленный доступ через DCRat, что позволяет злоумышленникам контролировать зараженные системы.
TinyLoader использует многогранный подход для обеспечения его закрепления. Он изменяет ассоциации файлов в Windows, поэтому всякий раз, когда пользователь открывает текстовый файл, вредоносная ПО запускается первой. Кроме того, он распространяется на USB-устройствах под заманчивыми именами файлов и создает файлы автозапуска для запуска вредоносного ПО всякий раз, когда зараженный USB подключен к другой системе. Вводящие в заблуждение ярлыки, имитирующие законные функции Windows, также создаются для того, чтобы заманить пользователей к запуску встроенного вредоносного ПО.
После запуска TinyLoader извлекает дополнительные полезные файлы, сохраняет их во временном каталоге системы и немедленно выполняет, эффективно превращая скомпрометированную систему в платформу для различных вредоносных действий. Меры безопасности в отношении TinyLoader должны включать мониторинг HTML-подписи "Login - TinyLoader", ограничение использования USB-устройств, сканирование на наличие подозрительных действий с файлами и проверку адресов криптовалюты перед транзакциями. Использование аналитических данных из баз данных веб-сканера и мониторинг необычных изменений в реестре могут значительно усилить защиту от подобных операций.
#ParsedReport #CompletenessLow
03-09-2025
MintsLoader campaign activities resume
https://cert-agid.gov.it/news/riprende-la-campagna-mintsloader/
Report completeness: Low
Threats:
Mintsloader
Victims:
Windows users
ChatGPT TTPs:
T1204
IOCs:
Hash: 27
Domain: 6
Url: 7
Soft:
cURL
Algorithms:
zip
Languages:
javascript
03-09-2025
MintsLoader campaign activities resume
https://cert-agid.gov.it/news/riprende-la-campagna-mintsloader/
Report completeness: Low
Threats:
Mintsloader
Victims:
Windows users
ChatGPT TTPs:
do not use without manual checkT1204
IOCs:
Hash: 27
Domain: 6
Url: 7
Soft:
cURL
Algorithms:
zip
Languages:
javascript
CERT-AGID
Riprendono le attività delle campagne MintsLoader
Dopo una lunga pausa estiva, nella giornata di ieri è stata osservata una nuova campagna MintsLoader, la prima dopo quella registrata lo scorso giugno.
CTT Report Hub
#ParsedReport #CompletenessLow 03-09-2025 MintsLoader campaign activities resume https://cert-agid.gov.it/news/riprende-la-campagna-mintsloader/ Report completeness: Low Threats: Mintsloader Victims: Windows users ChatGPT TTPs: do not use without manual…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Обновленная кампания MintsLoader специально нацелена на Windows 10 и более поздние версии, используя команду cURL для запуска цепочки заражения. Эта сложная кампания направлена на компрометацию систем с целью установки вредоносного ПО infostealer, уделяя особое внимание извлечению конфиденциальной информации у жертв. Использование законных средств операционной системы указывает на высокий уровень сложности, демонстрируя эволюционирующий характер этой киберугрозы.
-----
Недавнее возобновление кампании MintsLoader знаменует собой значительное развитие деятельности по борьбе с киберугрозами после перерыва с июня. Эта кампания специально нацелена на компьютеры с Windows, особенно версии 10 и более поздних версий. Примечательным приемом, использованным в этой кампании, является использование команды cURL, которая облегчает запуск цепочки заражения.
Основной целью кампании MintsLoader является компрометация систем-жертв, что в конечном итоге приводит к установке вредоносного ПО. Тип вредоносного ПО, обычно связанного с этой кампанией, относится к категории infostealer, что указывает на то, что злоумышленники, скорее всего, сосредоточены на извлечении конфиденциальной информации из скомпрометированных систем. Этот метод предполагает высокий уровень изощренности, поскольку злоумышленники используют законные инструменты, доступные в операционной системе, для обхода мер безопасности и эффективного развертывания своей вредоносной полезной нагрузки.
Поскольку кампания возобновляет свою деятельность, она подчеркивает сохраняющиеся риски и проблемы, связанные с таким вредоносным ПО infostealer, которое продолжает развиваться и адаптироваться для использования современных технологических возможностей. Способность злоумышленников использовать встроенные функции широко используемых операционных систем подчеркивает важность надежных методов обеспечения безопасности и осведомленности для защиты от таких угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Обновленная кампания MintsLoader специально нацелена на Windows 10 и более поздние версии, используя команду cURL для запуска цепочки заражения. Эта сложная кампания направлена на компрометацию систем с целью установки вредоносного ПО infostealer, уделяя особое внимание извлечению конфиденциальной информации у жертв. Использование законных средств операционной системы указывает на высокий уровень сложности, демонстрируя эволюционирующий характер этой киберугрозы.
-----
Недавнее возобновление кампании MintsLoader знаменует собой значительное развитие деятельности по борьбе с киберугрозами после перерыва с июня. Эта кампания специально нацелена на компьютеры с Windows, особенно версии 10 и более поздних версий. Примечательным приемом, использованным в этой кампании, является использование команды cURL, которая облегчает запуск цепочки заражения.
Основной целью кампании MintsLoader является компрометация систем-жертв, что в конечном итоге приводит к установке вредоносного ПО. Тип вредоносного ПО, обычно связанного с этой кампанией, относится к категории infostealer, что указывает на то, что злоумышленники, скорее всего, сосредоточены на извлечении конфиденциальной информации из скомпрометированных систем. Этот метод предполагает высокий уровень изощренности, поскольку злоумышленники используют законные инструменты, доступные в операционной системе, для обхода мер безопасности и эффективного развертывания своей вредоносной полезной нагрузки.
Поскольку кампания возобновляет свою деятельность, она подчеркивает сохраняющиеся риски и проблемы, связанные с таким вредоносным ПО infostealer, которое продолжает развиваться и адаптироваться для использования современных технологических возможностей. Способность злоумышленников использовать встроенные функции широко используемых операционных систем подчеркивает важность надежных методов обеспечения безопасности и осведомленности для защиты от таких угроз.
#ParsedReport #CompletenessHigh
04-09-2025
Operation BarrelFire: NoisyBear targets entities linked to Kazakhstans Oil & Gas Sector.
https://www.seqrite.com/blog/operation-barrelfire-noisybear-kazakhstan-oil-gas-sector/
Report completeness: High
Actors/Campaigns:
Barrelfire
Noisybear
Threats:
Downshell
Lolbin_technique
Powersploit_tool
Meterpreter_tool
Dll_injection_technique
Metasploit_tool
Victims:
Kazmunaigas employees, Energy sector, Oil and gas sector
Industry:
Energy, Petroleum, Healthcare, Financial
Geo:
Kazakhstans, Russian, Asia, Asian, Kazakhstan
TTPs:
Tactics: 6
Technics: 13
IOCs:
File: 13
Path: 1
Url: 1
Hash: 11
IP: 2
Domain: 1
Soft:
gatekeeper, Outlook
Algorithms:
zip
Functions:
Add-Type, GetModuleHandle, getDelegateType, Create-RemoteThread
Win API:
GetProcAddress, OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread, WaitForSingleObject, GetThreadContext, SetThreadContext, ResumeThread
Languages:
powershell
Links:
04-09-2025
Operation BarrelFire: NoisyBear targets entities linked to Kazakhstans Oil & Gas Sector.
https://www.seqrite.com/blog/operation-barrelfire-noisybear-kazakhstan-oil-gas-sector/
Report completeness: High
Actors/Campaigns:
Barrelfire
Noisybear
Threats:
Downshell
Lolbin_technique
Powersploit_tool
Meterpreter_tool
Dll_injection_technique
Metasploit_tool
Victims:
Kazmunaigas employees, Energy sector, Oil and gas sector
Industry:
Energy, Petroleum, Healthcare, Financial
Geo:
Kazakhstans, Russian, Asia, Asian, Kazakhstan
TTPs:
Tactics: 6
Technics: 13
IOCs:
File: 13
Path: 1
Url: 1
Hash: 11
IP: 2
Domain: 1
Soft:
gatekeeper, Outlook
Algorithms:
zip
Functions:
Add-Type, GetModuleHandle, getDelegateType, Create-RemoteThread
Win API:
GetProcAddress, OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread, WaitForSingleObject, GetThreadContext, SetThreadContext, ResumeThread
Languages:
powershell
Links:
https://github.com/PowerShellMafia/PowerSploit/blob/master/CodeExecution/Invoke-ReflectivePEInjection.ps1https://gist.github.com/rattlemind/bd624e9e6010f6ac095c318a921e9c82Blogs on Information Technology, Network & Cybersecurity | Seqrite
Operation BarrelFire: NoisyBear targets entities linked to Kazakhstan’s Oil & Gas Sector.
<p>Recent Development: KMG Group of Companies Confirm Simulation, Not a Real Attack Thankfully, as KMG has publicly acknowledged, this was not an actual cyberattack but an internal simulation exercise. Contents Introduction Key Targets Industries Affected.…