#ParsedReport #CompletenessMedium
10-09-2025

SAP NetWeaver Metadata Uploader Vulnerability (CVE-2025-31324)

https://www.seqrite.com/blog/cve-2025-31324-sap-vulnerability-protection/

Report completeness: Medium

Actors/Campaigns:
Lapsus
Shinyhunters

Threats:
Auto-color
Havoc

Victims:
Sap customers, Enterprise middleware users

Industry:
Retail, Government, Telco, Financial

CVEs:
CVE-2025-31324 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


TTPs:

IOCs:
File: 1
Hash: 4

Soft:
SAP NetWeaver, Linux

Algorithms:
zip

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
schema: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CVE-2025-31324 - критическая уязвимость удаленного выполнения кода на сервере разработки SAP NetWeaver, возникающая из-за неадекватной проверки загруженных файлов моделей через конечную точку metadatauploader. Эксплуатация позволяет злоумышленникам загружать вредоносные ZIP-файлы или JAR-файлы, что приводит к компрометации системы и постоянному доступу для кражи данных и перемещения внутри компании. Ландшафт угроз включает в себя развертывание Веб-шеллов и бэкдора под названием Auto-Color в системах Linux, позволяющего выполнять скрытые операции.
-----

CVE-2025-31324 - это серьезная уязвимость для удаленного выполнения кода (RCE) на сервере разработки SAP NetWeaver, критически важная для разработки и интеграции корпоративных приложений. Эта уязвимость возникает из-за неправильной проверки файлов моделей, загружаемых через конечную точку metadatauploader. Злоумышленники могут воспользоваться этой уязвимостью для загрузки измененных файлов, часто упакованных в виде приложений/файлов ZIP или JAR в октет-потоке, которые сервер ошибочно обрабатывает как безопасный контент.

Оценка CVSS, присвоенная этой уязвимости, равна 8, что классифицирует ее как критическую и указывает на потенциальную возможность полной компрометации системы. Затронутые продукты включают версии сервера приложений SAP NetWeaver до выпуска исправления в сентябре 2025 года. Активная эксплуатация началась примерно в марте 2025 года и получила более широкое распространение после выпуска эксплойта в августе 2025 года. Злоумышленники использовали эту уязвимость для получения постоянного доступа к системам, что потенциально может привести к краже данных, перемещению внутри компании в сетях и значительным сбоям в работе основных функций ERP.

Типичная цепочка использования включает в себя несколько этапов: злоумышленники создают вредоносную полезную нагрузку ZIP/JAR, содержащую вредоносные определения моделей или классов, и отправляют ее через HTTP POST на конечную точку metadatauploader. Сервер, не прошедший надлежащую проверку, ошибочно принимает и обрабатывает загруженный файл, что приводит к выполнению кода во время последующей обработки модели.

На фоне угроз, связанных с этой уязвимостью, были внедрены Веб-шеллы, такие как helper.jsp и cache.jsp, наряду с установкой подпольного бэкдора под названием Auto-Color в системах Linux. Этот бэкдор позволяет злоумышленникам запускать обратные оболочки, манипулировать файлами и действовать скрытно.

Чтобы снизить эти риски, крайне важно без промедления применить обновления для системы безопасности SAP, выпущенные в сентябре 2025 года. Организациям следует внедрять системы предотвращения и обнаружения вторжений (IPS/IDS), которые могут идентифицировать POST-запросы к metadatauploader, содержащие указания на приложения/октетные потоки и двоичную полезную нагрузку. Решения для обнаружения конечных точек и реагирования на них (EDR) должны отслеживать аномальное поведение процессов SAP, например, неожиданное выполнение командной строки. Кроме того, рекомендуется ограничить доступ серверов разработки к надежным сетям.

Для проверки исправлений требуется подтверждение того, что SAP NetWeaver обновлен до последней версии, и тестирование с помощью обработанных запросов metadatauploader, чтобы убедиться, что исправленные серверы корректно отклоняют двоичную полезную нагрузку. Наличие CVE-2025-31324 подчеркивает острую необходимость в механизмах безопасной загрузки в корпоративном программном обеспечении промежуточного уровня, подчеркивая серьезные последствия несанкционированной загрузки файлов во время работы интегрированных бизнес-систем. Для защиты от потенциальных уязвимостей необходимы немедленные действия по исправлению ошибок и усиленному мониторингу.

#ParsedReport #CompletenessHigh
10-09-2025

Technical Analysis of kkRAT

https://www.zscaler.com/blogs/security-research/technical-analysis-kkrat

Report completeness: High

Threats:
Kkrat
Valleyrat
Fatalrat
Gh0st_rat
Gotohttp_tool
Byovd_technique
Realblindingedr_tool
Junk_code_technique
Go-socks5_tool

Victims:
Chinese speaking users

Geo:
China

TTPs:
Tactics: 9
Technics: 20

IOCs:
File: 9
Registry: 3
Hash: 11
Url: 6
IP: 3

Soft:
Sunlogin, Windows registry, Telegram, WeChat, Internet Explorer, Firefox, Google Chrome, Sogou

Crypto:
tether, bitcoin, ethereum

Algorithms:
base64, zip, xor

Win API:
QueryPerformanceCounter, EnumDateFormatsA

Languages:
python

Links:
https://github.com/myzxcg/RealBlindingEDR
have more...
https://github.com/ThreatLabz/tools/blob/main/kkrat/kkrat\_driver\_list.txt
https://github.com/hasherezade/pe\_to\_shellcode/

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 2, dump: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания вредоносного ПО, нацеленная на китайскоязычных пользователей, с мая 2025 года использует троян удаленного доступа (RAT), получивший название kkRAT, наряду с ValleyRAT и FatalRAT. kkRAT, похожий на Ghost RAT, использует сложный коммуникационный протокол с дополнительным уровнем шифрования, обеспечивающий такие возможности, как манипулирование буфером обмена и уклонение от систем обнаружения с помощью метода "Принеси свой собственный уязвимый драйвер" (BYOVD). Атака проходит несколько этапов, включающих проверку среды, повышение привилегий, выполнение шелл-кода и безопасную передачу данных на сервер управления, демонстрируя передовые методы оперативной безопасности.
-----

Zscaler ThreatLabZ сообщил о кампании по борьбе с вредоносным ПО, которая специально нацелена на пользователей, говорящих на китайском языке, и которая продолжается с мая 2025 года. Эта кампания распространяет три типа вредоносного ПО, включая недавно идентифицированный троян удаленного доступа (RAT) под названием kkRAT, а также ValleyRAT и FatalRAT. Примечательно, что kkRAT демонстрирует сходство кода с ранее известными крысами, такими как Ghost RAT и Big Bad Wolf, часто используемыми киберпреступниками, базирующимися в Китае.

Кампания предусматривает доставку RAT через поддельные страницы установщика, имитирующие популярное программное обеспечение. При выполнении kkRAT использует сетевой протокол связи, аналогичный протоколу Ghost RAT, но включает дополнительный уровень шифрования для повышения безопасности после сжатия данных. Возможности RAT включают манипулирование буфером обмена для обмена криптовалютными адресами и развертывание инструментов удаленного мониторинга, таких как Sunlogin и GotoHTTP. Важным методом, используемым в этой кампании, является метод "Принеси свой собственный уязвимый драйвер" (BYOVD), который помогает устранить зарегистрированные обратные вызовы из антивирусных систем и систем обнаружения и реагирования на конечные точки (EDR).

Атака разворачивается в несколько отчетливых этапов. Изначально вредоносное ПО проводит различие между изолированными средами и виртуальными машинами (ВМ), используя анализ временной стабильности с помощью QueryPerformanceCounter и оценивая конфигурации Аппаратного обеспечения, такие как дисковое пространство и ядра процессора. Если система не соответствует указанным критериям, инициируются действия по уклонению.

На втором этапе вредоносное ПО проверяет наличие прав администратора. Если его нет, он запрашивает у пользователя на мандаринском языке доступ с повышенными правами и выходы. Получив необходимые привилегии, вредоносное ПО отключает все активные сетевые адаптеры, чтобы разорвать соединение с серверами поставщиков AV/EDR, эффективно скрывая свою деятельность.

На третьем этапе вредоносное ПО извлекает и запускает файл шелл-кода с именем 2025.bin по предопределенному URL-адресу. Шелл-код сильно запутан и отвечает за загрузку файла в кодировке Base64 с именем output.log, который содержит структурированные данные, необходимые для продвижения атаки.

Конфигурация kkRAT, которая включает IP-адрес сервера command and control (C2), порт и сведения о версии, хранится в виде зашифрованных строк. Снятие отпечатков пальцев с устройства происходит после установления сокетного соединения, предоставляя системную информацию, которая передается на сервер C2. Протокол связи, используемый kkRAT, включает в себя пакеты TCP и поддерживает шифрование даже в передаваемых данных, обеспечивая защиту от обнаружения.

Наконец, kkRAT извлекает свои плагины в зашифрованном виде, что облегчает выполнение определенных команд путем их расшифровки в памяти. Метод шифрования имеет сходство с методами, основанными на исключении, используемыми в сетевых коммуникациях, что указывает на структурированный подход к сохранению секретности его работы. В целом, появление kkRAT подчеркивает эволюцию тактики и методов внедрения RAT, ориентированных на пользователей в китайскоязычных регионах.

#ParsedReport #CompletenessLow
10-09-2025

Akira Ransomware Group Utilizing SonicWall Devices for Initial Access

https://www.rapid7.com/blog/post/dr-akira-ransomware-group-utilizing-sonicwall-devices-for-initial-access

Report completeness: Low

Actors/Campaigns:
Akira_ransomware

Threats:
Akira_ransomware

Victims:
Organizations using sonicwall devices

ChatGPT TTPs:
do not use without manual check
T1190, T1486

Soft:
Active Directory

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Akira ransomware group, действующая по модели "программа-вымогатель как услуга", нацелена на устройства SonicWall посредством использования неустранимого CVE (SNWLID-2024-0015), задокументированного в августе 2024 года. Их тактика включает в себя не только шифрование данных, но и эксфильтрацию конфиденциальной информации, что усиливает воздействие их атак. Рост числа таких вторжений подчеркивает настоятельную необходимость в эффективной защите от этой развивающейся угрозы.
-----

Akira ransomware group активно атакует устройства SonicWall в рамках своих текущих кампаний, которые были задокументированы с начала 2023 года. Эта группа работает по модели "программа-вымогатель как услуга" (RaaS) и особенно известна своей агрессивной тактикой, направленной на компрометацию периферийных устройств. Недавняя активность, связанная с Akira, была связана с ранее раскрытой уязвимостью, классифицированной как CVE (SNWLID-2024-0015), которая была задокументирована в августе 2024 года, но не была должным образом устранена. Следовательно, сбои в устранении неполадок позволили Akira group эффективно использовать эти устройства SonicWall.

В связи с этими событиями Rapid7 разослала срочные сообщения своим клиентам, призывая к немедленному исправлению, чтобы уменьшить подверженность этой развивающейся угрозе. Группа реагирования на инциденты из Rapid7 сообщила о заметном увеличении числа вторжений с использованием устройств SonicWall, что подтверждает настоятельную необходимость защиты этих систем. Akira group продемонстрировала особое поведение, внедрив свои программы-вымогатели не только для нарушения бизнес-операций, но и для извлечения конфиденциальных данных, усиливая потенциальное воздействие своих атак.

Более того, Rapid7 предоставила доступные ресурсы через свой аналитический центр, что позволяет клиентам отслеживать развитие ситуации в отношении Akira group. Эти ресурсы включают индикаторы компрометации (IOCs), правила Yara и различные методы, тактики и процедуры (TTP), которые могут помочь в выявлении признаков этих угроз. Поскольку ландшафт рисков продолжает развиваться благодаря целенаправленным усилиям Akira по борьбе с непатентованными устройствами SonicWall, упреждающие защитные меры становятся необходимыми для защиты сетей организаций от их растущих атак.

#ParsedReport #CompletenessMedium
10-09-2025

Frankenstein Variant of the ToneShell Backdoor Targeting Myanmar

https://intezer.com/blog/frankenstein-variant-of-the-toneshell-backdoor-targeting-myanmar/

Report completeness: Medium

Actors/Campaigns:
Red_delta

Threats:
Toneshell
Dll_sideloading_technique
Faketls_tool
Toolshell_vuln

Victims:
Myanmar region

Geo:
Myanmar, Israel, China

ChatGPT TTPs:
do not use without manual check
T1027, T1027.007, T1036, T1071.001, T1106, T1497, T1566.001, T1574.002

IOCs:
File: 6
Hash: 3
Path: 3
IP: 1

Soft:
Task Scheduler, OpenAI

Algorithms:
prng, sha256, zip

Functions:
rand

Win API:
GetTickCount64, lstrcmpW, OutputDebugStringA, CoCreateGuid

Links:
https://github.com/OALabs/hashdb/blob/main/algorithms/tonepipeshell.py

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Франкенштейновский вариант бэкдора ToneShell, приписываемый группе Mustang Panda, использует DLL Sideloading для доставки, часто в сжатых архивах политической тематики. Недавние обновления включают изменения в инфраструктуру C2, переход на TLS 1.3 и использование идентификаторов GUID для идентификации хоста, при этом имена функций скрываются с помощью пользовательских методологий разрешения API. Вредоносное ПО нацелено на Мьянму и использует передовые методы антианализа, включая механизмы остановки и уникальные идентификаторы компьютеров для обеспечения закрепления.
-----

Франкенштейновский вариант бэкдора ToneShell - это облегченное вредоносное ПО, приписываемое группе Mustang Panda, которая связана с китайскими интересами. Этот вариант обычно поставляется через DLL sideloading в сжатых архивах, содержащих законные подписанные исполняемые файлы, часто распространяемые с помощью размещенных в облаке приманок. Недавние обновления, выявленные в анализе Zscaler, включают изменения в его инфраструктуре управления FakeTLS (C2), переход от заголовков в стиле TLS 1.2 к заголовкам в стиле 1.3, наряду с внедрением идентификаторов хостов на основе GUID и переходящей схемы XOR. Было замечено, что вредоносное ПО нацелено конкретно на Мьянму, что отражает стратегические геополитические цели Китая в регионе.

ToneShell использует метод, при котором его DLL-библиотека загружается вместе с законным исполняемым файлом, обычно содержащимся в ZIP-файле с пометкой "политический резонанс", предполагающей связи с местными революционными силами. Вредоносное ПО использует пользовательскую методологию разрешения API, основанную на скользящем хэше, которая скрывает имена модулей и функций, затрудняя усилия по обнаружению, сохраняя их в формате, не являющемся открытым текстом. Проект HashDB облегчает возврат этих хэшей к их первоначальным названиям функций, что упрощает выполнение анализа вредоносного ПО.

Более того, этот вариант демонстрирует продвинутую тактику антианализа и борьбы с песочницей. Он включает в себя механизмы остановки, предназначенные для того, чтобы сбить с толку автоматизированные инструменты анализа. Одной из примечательных особенностей является генерация уникального идентификатора для каждого скомпрометированного компьютера, который сверяется с определенным расположением файла (C:\ProgramData\SystemRuntimeLag.inc ). Если файл недоступен или отсутствует, новый GUID генерируется с помощью CoCreateGuid или, в качестве запасного варианта, внутреннего линейного конгруэнтного генератора (LCG). Это обеспечивает закрепление за счет сохранения сгенерированного начального значения обратно по указанному пути.

Сетевое поведение включает в себя установление сокетного соединения с сервером C2, которое играет важную роль в операциях командования и контроля. Анализ показывает, что эта конечная точка может также служить отправной точкой для обнаружения дополнительных вариантов вредоносного ПО, что указывает на потенциально более масштабную кампанию.

#ParsedReport #CompletenessLow
10-09-2025

AsyncRAT in Action: Fileless Malware Techniques and Analysis of a Remote Access Trojan

https://levelblue.com/blogs/security-essentials/asyncrat-in-action-fileless-malware-techniques-and-analysis-of-a-remote-access-trojan

Report completeness: Low

Threats:
Asyncrat
Screenconnect_tool

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1041, T1057, T1059.001, T1059.005, T1105, T1115, T1592, T1620

IOCs:
File: 5
Domain: 2
Path: 1

Soft:
Windows security

Wallets:
metamask

Algorithms:
aes-256, base64

Functions:
Main, PatchAMSI, GetModuleHandle, CreateLoginTask

Win API:
GetProcAddress

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
AsyncRAT - это троян удаленного доступа (RAT), который использует методы безфайлового вредоносного ПО, чтобы избежать обнаружения, первоначально получая доступ через скомпрометированный клиент ScreenConnect, связанный с вредоносным доменом. Он использует VBScript для загрузки полезных данных в память с помощью сборки .NET (Obfuscator.dll ) запуск вредоносного ПО и двоичного файла (AsyncClient.exe ) функционирующий в качестве механизма управления для системного управления и скрытных операций. Структура вредоносного ПО допускает эксфильтрацию данных, демонстрируя проблемы, связанные с атаками без файлов.
-----

AsyncRAT - это сложный троян удаленного доступа (RAT), который ускользает от обнаружения благодаря использованию методов безфайлового вредоносного ПО. Первоначально злоумышленник получил доступ через скомпрометированный клиент ScreenConnect, законный инструмент удаленного доступа, который был связан с вредоносным доменом (relay.shipperzone.online), известным несанкционированным развертыванием. Атака началась с выполнения VBScript (Update.vbs), который запустил команду PowerShell для загрузки двух внешних полезных файлов, logs.ldk и logs.ldr, с удаленного сервера. Эти файлы были сохранены в C:\Users\Public \ directory и были загружены в память для выполнения вредоносных полезных нагрузок, не оставляя следов на диске.

Первый этап включал в себя выполнение Obfuscator.библиотека dll, которая служила средством запуска в цепочке заражения AsyncRAT. Эта сборка .NET инициирует выполнение вредоносного ПО, применяет тактику уклонения и вызывает основные функциональные возможности полезной нагрузки. Он включает в себя три ключевых класса, которые способствуют его эксплуатационным возможностям.

Следующий этап в последовательности атак, AsyncClient.exe , функционирует как основной механизм управления вредоносным ПО. Этот двоичный файл разработан для обеспечения скрытности и модульности, позволяя вредоносному ПО выполнять разведку системы и управлять сетевым подключением с помощью специальных протоколов ping. AsyncClient.exe выполнять команды, предоставляемые злоумышленниками через систему динамического анализа пакетов, обеспечивая непрерывное и скрытое подключение к скомпрометированной системе.

Изучение операционной структуры AsyncRAT's позволяет получить жизненно важное представление о механизмах закрепления, динамической загрузке полезной нагрузки и ее способности извлекать конфиденциальные данные, такие как учетные данные пользователя и артефакты браузера. Понимая это поведение, аналитики безопасности могут разрабатывать сигнатуры целенаправленного обнаружения и улучшать защиту конечных точек от таких сложных угроз. Это исследование освещает проблемы, связанные с вредоносным ПО без файлов, и подчеркивает необходимость передовых стратегий обнаружения для противодействия этим развивающимся киберугрозам.

#ParsedReport #CompletenessLow
10-09-2025

Newly Identified Domains Likely Linked to Continued Activity from PoisonSeed E-Crime Actor

https://dti.domaintools.com/newly-identified-domains-likely-linked-to-continued-activity-from-poisonseed-e-crime-actor/

Report completeness: Low

Actors/Campaigns:
Poisonseed (motivation: information_theft, financially_motivated)
0ktapus (motivation: financially_motivated)

Threats:
Smishing_technique
Sim_swapping_technique

Victims:
Sendgrid customers, Enterprise environments, Cryptocurrency platforms

Industry:
Aerospace, Retail

Geo:
Canada

ChatGPT TTPs:
do not use without manual check
T1036, T1078, T1566.002, T1583.001, T1656, T1657

IOCs:
Domain: 516
IP: 3

Soft:
SendGrid

Links:
https://github.com/DomainTools/SecuritySnacks/blob/main/2025/PoisonSeed\_Domains\_July2025.csv

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние расследования выявили вредоносные домены, связанные с актором электронной преступности PoisonSeed, в первую очередь нацеленные на учетные данные клиентов SendGrid. Эти домены используют поддельные вставки Cloudflare CAPTCHA, чтобы повысить доверие к себе, прежде чем перенаправлять пользователей на фишинг-страницы. Тактика PoisonSeed's согласуется с тактикой актора SCATTERED SPIDER, что предполагает возможную связь между ними, поскольку оба используют схожие методы для кражи учетных данных и других киберпреступных действий.
-----

Недавние расследования выявили новые вредоносные домены, которые, вероятно, связаны с актором электронной преступности, известным как PoisonSeed. Эти домены, зарегистрированные с 1 июня 2025 года, преимущественно имитируют законную платформу электронной почты SendGrid. Их основной целью, по-видимому, является компрометация корпоративных учетных данных из клиентской базы SendGrid. Чтобы повысить доверие к этим вредоносным веб-сайтам, они представляют поддельные промежуточные элементы Cloudflare CAPTCHA, прежде чем перенаправлять ничего не подозревающих пользователей на страницы фишинга. Хотя конкретная цель не была определена, исторические данные свидетельствуют о том, что PoisonSeed сосредоточился на криптовалютных платформах и корпоративных средах.

Актор PoisonSeed был впервые идентифицирован в апреле 2025 года, в отчетах подробно описывался его метод использования доменов фишинга SendGrid для облегчения кражи криптовалюты. Вслед за этим в блоге группы по исследованию угроз Mimecast в мае 2025 года была подробно описана аналогичная тактика, когда актор выдавал себя за поставщиков услуг, таких как SendGrid, для отправки мошеннических уведомлений, направленных на сбор учетных данных пользователя. Главной целью этих кампаний является кража корпоративных учетных данных, которые затем могут быть использованы для проведения дополнительных кампаний фишинга и обеспечения возможности перемещения внутри компании в скомпрометированных корпоративных средах.

Mimecast связал некоторые из этих вредоносных действий с другим актором электронной преступности по имени SCATTERED SPIDER, который с 2022 года занимается преступлениями на финансовой почве. Хотя исследования показывают, что текущая вредоносная активность может быть в первую очередь приписана PoisonSeed — на что указывает использование поддельной капчи Cloudflare и сходства в регистрации доменов — сохраняется возможность исторических связей между PoisonSeed и SCATTERED SPIDER, что предполагает потенциальное сотрудничество или общую тактику.

Существующая вредоносная инфраструктура, связанная с PoisonSeed, подчеркивает постоянное использование тактик, методов и процедур (TTP), которые отражают те, что наблюдались в операциях SCATTERED SPIDER. Очевидно, что акторы электронной преступности, такие как PoisonSeed, используют эти устоявшиеся методы не только для кражи корпоративных учетных данных, но и для осуществления более широкого спектра киберпреступных действий, включая различные формы фишинга, кражу криптовалют, кражу данных и вымогательство.

#ParsedReport #CompletenessLow
10-09-2025

Pre-approved GLP-1 prescription scam could be bad for your health

https://www.malwarebytes.com/blog/news/2025/09/pre-approved-glp-1-prescription-scam-could-be-bad-for-your-health

Report completeness: Low

Victims:
Consumers

Industry:
Healthcare

Geo:
California

ChatGPT TTPs:
do not use without manual check
T1204.001, T1566.002, T1583.001

IOCs:
Domain: 4