#ParsedReport #CompletenessLow
10-09-2025
Akira Ransomware Group Utilizing SonicWall Devices for Initial Access
https://www.rapid7.com/blog/post/dr-akira-ransomware-group-utilizing-sonicwall-devices-for-initial-access
Report completeness: Low
Actors/Campaigns:
Akira_ransomware
Threats:
Akira_ransomware
Victims:
Organizations using sonicwall devices
ChatGPT TTPs:
T1190, T1486
Soft:
Active Directory
10-09-2025
Akira Ransomware Group Utilizing SonicWall Devices for Initial Access
https://www.rapid7.com/blog/post/dr-akira-ransomware-group-utilizing-sonicwall-devices-for-initial-access
Report completeness: Low
Actors/Campaigns:
Akira_ransomware
Threats:
Akira_ransomware
Victims:
Organizations using sonicwall devices
ChatGPT TTPs:
do not use without manual checkT1190, T1486
Soft:
Active Directory
Rapid7
Akira Ransomware Group Utilizing SonicWall Devices for Initial Access
CTT Report Hub
#ParsedReport #CompletenessLow 10-09-2025 Akira Ransomware Group Utilizing SonicWall Devices for Initial Access https://www.rapid7.com/blog/post/dr-akira-ransomware-group-utilizing-sonicwall-devices-for-initial-access Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Akira ransomware group, действующая по модели "программа-вымогатель как услуга", нацелена на устройства SonicWall посредством использования неустранимого CVE (SNWLID-2024-0015), задокументированного в августе 2024 года. Их тактика включает в себя не только шифрование данных, но и эксфильтрацию конфиденциальной информации, что усиливает воздействие их атак. Рост числа таких вторжений подчеркивает настоятельную необходимость в эффективной защите от этой развивающейся угрозы.
-----
Akira ransomware group активно атакует устройства SonicWall в рамках своих текущих кампаний, которые были задокументированы с начала 2023 года. Эта группа работает по модели "программа-вымогатель как услуга" (RaaS) и особенно известна своей агрессивной тактикой, направленной на компрометацию периферийных устройств. Недавняя активность, связанная с Akira, была связана с ранее раскрытой уязвимостью, классифицированной как CVE (SNWLID-2024-0015), которая была задокументирована в августе 2024 года, но не была должным образом устранена. Следовательно, сбои в устранении неполадок позволили Akira group эффективно использовать эти устройства SonicWall.
В связи с этими событиями Rapid7 разослала срочные сообщения своим клиентам, призывая к немедленному исправлению, чтобы уменьшить подверженность этой развивающейся угрозе. Группа реагирования на инциденты из Rapid7 сообщила о заметном увеличении числа вторжений с использованием устройств SonicWall, что подтверждает настоятельную необходимость защиты этих систем. Akira group продемонстрировала особое поведение, внедрив свои программы-вымогатели не только для нарушения бизнес-операций, но и для извлечения конфиденциальных данных, усиливая потенциальное воздействие своих атак.
Более того, Rapid7 предоставила доступные ресурсы через свой аналитический центр, что позволяет клиентам отслеживать развитие ситуации в отношении Akira group. Эти ресурсы включают индикаторы компрометации (IOCs), правила Yara и различные методы, тактики и процедуры (TTP), которые могут помочь в выявлении признаков этих угроз. Поскольку ландшафт рисков продолжает развиваться благодаря целенаправленным усилиям Akira по борьбе с непатентованными устройствами SonicWall, упреждающие защитные меры становятся необходимыми для защиты сетей организаций от их растущих атак.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Akira ransomware group, действующая по модели "программа-вымогатель как услуга", нацелена на устройства SonicWall посредством использования неустранимого CVE (SNWLID-2024-0015), задокументированного в августе 2024 года. Их тактика включает в себя не только шифрование данных, но и эксфильтрацию конфиденциальной информации, что усиливает воздействие их атак. Рост числа таких вторжений подчеркивает настоятельную необходимость в эффективной защите от этой развивающейся угрозы.
-----
Akira ransomware group активно атакует устройства SonicWall в рамках своих текущих кампаний, которые были задокументированы с начала 2023 года. Эта группа работает по модели "программа-вымогатель как услуга" (RaaS) и особенно известна своей агрессивной тактикой, направленной на компрометацию периферийных устройств. Недавняя активность, связанная с Akira, была связана с ранее раскрытой уязвимостью, классифицированной как CVE (SNWLID-2024-0015), которая была задокументирована в августе 2024 года, но не была должным образом устранена. Следовательно, сбои в устранении неполадок позволили Akira group эффективно использовать эти устройства SonicWall.
В связи с этими событиями Rapid7 разослала срочные сообщения своим клиентам, призывая к немедленному исправлению, чтобы уменьшить подверженность этой развивающейся угрозе. Группа реагирования на инциденты из Rapid7 сообщила о заметном увеличении числа вторжений с использованием устройств SonicWall, что подтверждает настоятельную необходимость защиты этих систем. Akira group продемонстрировала особое поведение, внедрив свои программы-вымогатели не только для нарушения бизнес-операций, но и для извлечения конфиденциальных данных, усиливая потенциальное воздействие своих атак.
Более того, Rapid7 предоставила доступные ресурсы через свой аналитический центр, что позволяет клиентам отслеживать развитие ситуации в отношении Akira group. Эти ресурсы включают индикаторы компрометации (IOCs), правила Yara и различные методы, тактики и процедуры (TTP), которые могут помочь в выявлении признаков этих угроз. Поскольку ландшафт рисков продолжает развиваться благодаря целенаправленным усилиям Akira по борьбе с непатентованными устройствами SonicWall, упреждающие защитные меры становятся необходимыми для защиты сетей организаций от их растущих атак.
#ParsedReport #CompletenessMedium
10-09-2025
Frankenstein Variant of the ToneShell Backdoor Targeting Myanmar
https://intezer.com/blog/frankenstein-variant-of-the-toneshell-backdoor-targeting-myanmar/
Report completeness: Medium
Actors/Campaigns:
Red_delta
Threats:
Toneshell
Dll_sideloading_technique
Faketls_tool
Toolshell_vuln
Victims:
Myanmar region
Geo:
Myanmar, Israel, China
ChatGPT TTPs:
T1027, T1027.007, T1036, T1071.001, T1106, T1497, T1566.001, T1574.002
IOCs:
File: 6
Hash: 3
Path: 3
IP: 1
Soft:
Task Scheduler, OpenAI
Algorithms:
prng, sha256, zip
Functions:
rand
Win API:
GetTickCount64, lstrcmpW, OutputDebugStringA, CoCreateGuid
Links:
10-09-2025
Frankenstein Variant of the ToneShell Backdoor Targeting Myanmar
https://intezer.com/blog/frankenstein-variant-of-the-toneshell-backdoor-targeting-myanmar/
Report completeness: Medium
Actors/Campaigns:
Red_delta
Threats:
Toneshell
Dll_sideloading_technique
Faketls_tool
Toolshell_vuln
Victims:
Myanmar region
Geo:
Myanmar, Israel, China
ChatGPT TTPs:
do not use without manual checkT1027, T1027.007, T1036, T1071.001, T1106, T1497, T1566.001, T1574.002
IOCs:
File: 6
Hash: 3
Path: 3
IP: 1
Soft:
Task Scheduler, OpenAI
Algorithms:
prng, sha256, zip
Functions:
rand
Win API:
GetTickCount64, lstrcmpW, OutputDebugStringA, CoCreateGuid
Links:
https://github.com/OALabs/hashdb/blob/main/algorithms/tonepipeshell.pyIntezer
Frankenstein Variant of the ToneShell Backdoor Targeting Myanmar
ToneShell is a lightweight backdoor tied to the China-nexus group Mustang Panda. Typically delivered via DLL sideloading inside compressed archives with legitimate signed executables and often spread through cloud-hosted lures. Zscaler’s 2025 analysis described…
CTT Report Hub
#ParsedReport #CompletenessMedium 10-09-2025 Frankenstein Variant of the ToneShell Backdoor Targeting Myanmar https://intezer.com/blog/frankenstein-variant-of-the-toneshell-backdoor-targeting-myanmar/ Report completeness: Medium Actors/Campaigns: Red_delta…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Франкенштейновский вариант бэкдора ToneShell, приписываемый группе Mustang Panda, использует DLL Sideloading для доставки, часто в сжатых архивах политической тематики. Недавние обновления включают изменения в инфраструктуру C2, переход на TLS 1.3 и использование идентификаторов GUID для идентификации хоста, при этом имена функций скрываются с помощью пользовательских методологий разрешения API. Вредоносное ПО нацелено на Мьянму и использует передовые методы антианализа, включая механизмы остановки и уникальные идентификаторы компьютеров для обеспечения закрепления.
-----
Франкенштейновский вариант бэкдора ToneShell - это облегченное вредоносное ПО, приписываемое группе Mustang Panda, которая связана с китайскими интересами. Этот вариант обычно поставляется через DLL sideloading в сжатых архивах, содержащих законные подписанные исполняемые файлы, часто распространяемые с помощью размещенных в облаке приманок. Недавние обновления, выявленные в анализе Zscaler, включают изменения в его инфраструктуре управления FakeTLS (C2), переход от заголовков в стиле TLS 1.2 к заголовкам в стиле 1.3, наряду с внедрением идентификаторов хостов на основе GUID и переходящей схемы XOR. Было замечено, что вредоносное ПО нацелено конкретно на Мьянму, что отражает стратегические геополитические цели Китая в регионе.
ToneShell использует метод, при котором его DLL-библиотека загружается вместе с законным исполняемым файлом, обычно содержащимся в ZIP-файле с пометкой "политический резонанс", предполагающей связи с местными революционными силами. Вредоносное ПО использует пользовательскую методологию разрешения API, основанную на скользящем хэше, которая скрывает имена модулей и функций, затрудняя усилия по обнаружению, сохраняя их в формате, не являющемся открытым текстом. Проект HashDB облегчает возврат этих хэшей к их первоначальным названиям функций, что упрощает выполнение анализа вредоносного ПО.
Более того, этот вариант демонстрирует продвинутую тактику антианализа и борьбы с песочницей. Он включает в себя механизмы остановки, предназначенные для того, чтобы сбить с толку автоматизированные инструменты анализа. Одной из примечательных особенностей является генерация уникального идентификатора для каждого скомпрометированного компьютера, который сверяется с определенным расположением файла (C:\ProgramData\SystemRuntimeLag.inc ). Если файл недоступен или отсутствует, новый GUID генерируется с помощью CoCreateGuid или, в качестве запасного варианта, внутреннего линейного конгруэнтного генератора (LCG). Это обеспечивает закрепление за счет сохранения сгенерированного начального значения обратно по указанному пути.
Сетевое поведение включает в себя установление сокетного соединения с сервером C2, которое играет важную роль в операциях командования и контроля. Анализ показывает, что эта конечная точка может также служить отправной точкой для обнаружения дополнительных вариантов вредоносного ПО, что указывает на потенциально более масштабную кампанию.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Франкенштейновский вариант бэкдора ToneShell, приписываемый группе Mustang Panda, использует DLL Sideloading для доставки, часто в сжатых архивах политической тематики. Недавние обновления включают изменения в инфраструктуру C2, переход на TLS 1.3 и использование идентификаторов GUID для идентификации хоста, при этом имена функций скрываются с помощью пользовательских методологий разрешения API. Вредоносное ПО нацелено на Мьянму и использует передовые методы антианализа, включая механизмы остановки и уникальные идентификаторы компьютеров для обеспечения закрепления.
-----
Франкенштейновский вариант бэкдора ToneShell - это облегченное вредоносное ПО, приписываемое группе Mustang Panda, которая связана с китайскими интересами. Этот вариант обычно поставляется через DLL sideloading в сжатых архивах, содержащих законные подписанные исполняемые файлы, часто распространяемые с помощью размещенных в облаке приманок. Недавние обновления, выявленные в анализе Zscaler, включают изменения в его инфраструктуре управления FakeTLS (C2), переход от заголовков в стиле TLS 1.2 к заголовкам в стиле 1.3, наряду с внедрением идентификаторов хостов на основе GUID и переходящей схемы XOR. Было замечено, что вредоносное ПО нацелено конкретно на Мьянму, что отражает стратегические геополитические цели Китая в регионе.
ToneShell использует метод, при котором его DLL-библиотека загружается вместе с законным исполняемым файлом, обычно содержащимся в ZIP-файле с пометкой "политический резонанс", предполагающей связи с местными революционными силами. Вредоносное ПО использует пользовательскую методологию разрешения API, основанную на скользящем хэше, которая скрывает имена модулей и функций, затрудняя усилия по обнаружению, сохраняя их в формате, не являющемся открытым текстом. Проект HashDB облегчает возврат этих хэшей к их первоначальным названиям функций, что упрощает выполнение анализа вредоносного ПО.
Более того, этот вариант демонстрирует продвинутую тактику антианализа и борьбы с песочницей. Он включает в себя механизмы остановки, предназначенные для того, чтобы сбить с толку автоматизированные инструменты анализа. Одной из примечательных особенностей является генерация уникального идентификатора для каждого скомпрометированного компьютера, который сверяется с определенным расположением файла (C:\ProgramData\SystemRuntimeLag.inc ). Если файл недоступен или отсутствует, новый GUID генерируется с помощью CoCreateGuid или, в качестве запасного варианта, внутреннего линейного конгруэнтного генератора (LCG). Это обеспечивает закрепление за счет сохранения сгенерированного начального значения обратно по указанному пути.
Сетевое поведение включает в себя установление сокетного соединения с сервером C2, которое играет важную роль в операциях командования и контроля. Анализ показывает, что эта конечная точка может также служить отправной точкой для обнаружения дополнительных вариантов вредоносного ПО, что указывает на потенциально более масштабную кампанию.
#ParsedReport #CompletenessLow
10-09-2025
AsyncRAT in Action: Fileless Malware Techniques and Analysis of a Remote Access Trojan
https://levelblue.com/blogs/security-essentials/asyncrat-in-action-fileless-malware-techniques-and-analysis-of-a-remote-access-trojan
Report completeness: Low
Threats:
Asyncrat
Screenconnect_tool
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1041, T1057, T1059.001, T1059.005, T1105, T1115, T1592, T1620
IOCs:
File: 5
Domain: 2
Path: 1
Soft:
Windows security
Wallets:
metamask
Algorithms:
aes-256, base64
Functions:
Main, PatchAMSI, GetModuleHandle, CreateLoginTask
Win API:
GetProcAddress
Languages:
powershell
10-09-2025
AsyncRAT in Action: Fileless Malware Techniques and Analysis of a Remote Access Trojan
https://levelblue.com/blogs/security-essentials/asyncrat-in-action-fileless-malware-techniques-and-analysis-of-a-remote-access-trojan
Report completeness: Low
Threats:
Asyncrat
Screenconnect_tool
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1041, T1057, T1059.001, T1059.005, T1105, T1115, T1592, T1620
IOCs:
File: 5
Domain: 2
Path: 1
Soft:
Windows security
Wallets:
metamask
Algorithms:
aes-256, base64
Functions:
Main, PatchAMSI, GetModuleHandle, CreateLoginTask
Win API:
GetProcAddress
Languages:
powershell
Levelblue
Asyncrat Malware: Fileless RAT Attack Techniques
Explore how Asyncrat uses fileless malware techniques. Learn the risks of remote access trojans (RATs) and how to defend your systems.
CTT Report Hub
#ParsedReport #CompletenessLow 10-09-2025 AsyncRAT in Action: Fileless Malware Techniques and Analysis of a Remote Access Trojan https://levelblue.com/blogs/security-essentials/asyncrat-in-action-fileless-malware-techniques-and-analysis-of-a-remote-access…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
AsyncRAT - это троян удаленного доступа (RAT), который использует методы безфайлового вредоносного ПО, чтобы избежать обнаружения, первоначально получая доступ через скомпрометированный клиент ScreenConnect, связанный с вредоносным доменом. Он использует VBScript для загрузки полезных данных в память с помощью сборки .NET (Obfuscator.dll ) запуск вредоносного ПО и двоичного файла (AsyncClient.exe ) функционирующий в качестве механизма управления для системного управления и скрытных операций. Структура вредоносного ПО допускает эксфильтрацию данных, демонстрируя проблемы, связанные с атаками без файлов.
-----
AsyncRAT - это сложный троян удаленного доступа (RAT), который ускользает от обнаружения благодаря использованию методов безфайлового вредоносного ПО. Первоначально злоумышленник получил доступ через скомпрометированный клиент ScreenConnect, законный инструмент удаленного доступа, который был связан с вредоносным доменом (relay.shipperzone.online), известным несанкционированным развертыванием. Атака началась с выполнения VBScript (Update.vbs), который запустил команду PowerShell для загрузки двух внешних полезных файлов, logs.ldk и logs.ldr, с удаленного сервера. Эти файлы были сохранены в C:\Users\Public \ directory и были загружены в память для выполнения вредоносных полезных нагрузок, не оставляя следов на диске.
Первый этап включал в себя выполнение Obfuscator.библиотека dll, которая служила средством запуска в цепочке заражения AsyncRAT. Эта сборка .NET инициирует выполнение вредоносного ПО, применяет тактику уклонения и вызывает основные функциональные возможности полезной нагрузки. Он включает в себя три ключевых класса, которые способствуют его эксплуатационным возможностям.
Следующий этап в последовательности атак, AsyncClient.exe , функционирует как основной механизм управления вредоносным ПО. Этот двоичный файл разработан для обеспечения скрытности и модульности, позволяя вредоносному ПО выполнять разведку системы и управлять сетевым подключением с помощью специальных протоколов ping. AsyncClient.exe выполнять команды, предоставляемые злоумышленниками через систему динамического анализа пакетов, обеспечивая непрерывное и скрытое подключение к скомпрометированной системе.
Изучение операционной структуры AsyncRAT's позволяет получить жизненно важное представление о механизмах закрепления, динамической загрузке полезной нагрузки и ее способности извлекать конфиденциальные данные, такие как учетные данные пользователя и артефакты браузера. Понимая это поведение, аналитики безопасности могут разрабатывать сигнатуры целенаправленного обнаружения и улучшать защиту конечных точек от таких сложных угроз. Это исследование освещает проблемы, связанные с вредоносным ПО без файлов, и подчеркивает необходимость передовых стратегий обнаружения для противодействия этим развивающимся киберугрозам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
AsyncRAT - это троян удаленного доступа (RAT), который использует методы безфайлового вредоносного ПО, чтобы избежать обнаружения, первоначально получая доступ через скомпрометированный клиент ScreenConnect, связанный с вредоносным доменом. Он использует VBScript для загрузки полезных данных в память с помощью сборки .NET (Obfuscator.dll ) запуск вредоносного ПО и двоичного файла (AsyncClient.exe ) функционирующий в качестве механизма управления для системного управления и скрытных операций. Структура вредоносного ПО допускает эксфильтрацию данных, демонстрируя проблемы, связанные с атаками без файлов.
-----
AsyncRAT - это сложный троян удаленного доступа (RAT), который ускользает от обнаружения благодаря использованию методов безфайлового вредоносного ПО. Первоначально злоумышленник получил доступ через скомпрометированный клиент ScreenConnect, законный инструмент удаленного доступа, который был связан с вредоносным доменом (relay.shipperzone.online), известным несанкционированным развертыванием. Атака началась с выполнения VBScript (Update.vbs), который запустил команду PowerShell для загрузки двух внешних полезных файлов, logs.ldk и logs.ldr, с удаленного сервера. Эти файлы были сохранены в C:\Users\Public \ directory и были загружены в память для выполнения вредоносных полезных нагрузок, не оставляя следов на диске.
Первый этап включал в себя выполнение Obfuscator.библиотека dll, которая служила средством запуска в цепочке заражения AsyncRAT. Эта сборка .NET инициирует выполнение вредоносного ПО, применяет тактику уклонения и вызывает основные функциональные возможности полезной нагрузки. Он включает в себя три ключевых класса, которые способствуют его эксплуатационным возможностям.
Следующий этап в последовательности атак, AsyncClient.exe , функционирует как основной механизм управления вредоносным ПО. Этот двоичный файл разработан для обеспечения скрытности и модульности, позволяя вредоносному ПО выполнять разведку системы и управлять сетевым подключением с помощью специальных протоколов ping. AsyncClient.exe выполнять команды, предоставляемые злоумышленниками через систему динамического анализа пакетов, обеспечивая непрерывное и скрытое подключение к скомпрометированной системе.
Изучение операционной структуры AsyncRAT's позволяет получить жизненно важное представление о механизмах закрепления, динамической загрузке полезной нагрузки и ее способности извлекать конфиденциальные данные, такие как учетные данные пользователя и артефакты браузера. Понимая это поведение, аналитики безопасности могут разрабатывать сигнатуры целенаправленного обнаружения и улучшать защиту конечных точек от таких сложных угроз. Это исследование освещает проблемы, связанные с вредоносным ПО без файлов, и подчеркивает необходимость передовых стратегий обнаружения для противодействия этим развивающимся киберугрозам.
#ParsedReport #CompletenessLow
10-09-2025
Newly Identified Domains Likely Linked to Continued Activity from PoisonSeed E-Crime Actor
https://dti.domaintools.com/newly-identified-domains-likely-linked-to-continued-activity-from-poisonseed-e-crime-actor/
Report completeness: Low
Actors/Campaigns:
Poisonseed (motivation: information_theft, financially_motivated)
0ktapus (motivation: financially_motivated)
Threats:
Smishing_technique
Sim_swapping_technique
Victims:
Sendgrid customers, Enterprise environments, Cryptocurrency platforms
Industry:
Aerospace, Retail
Geo:
Canada
ChatGPT TTPs:
T1036, T1078, T1566.002, T1583.001, T1656, T1657
IOCs:
Domain: 516
IP: 3
Soft:
SendGrid
Links:
10-09-2025
Newly Identified Domains Likely Linked to Continued Activity from PoisonSeed E-Crime Actor
https://dti.domaintools.com/newly-identified-domains-likely-linked-to-continued-activity-from-poisonseed-e-crime-actor/
Report completeness: Low
Actors/Campaigns:
Poisonseed (motivation: information_theft, financially_motivated)
0ktapus (motivation: financially_motivated)
Threats:
Smishing_technique
Sim_swapping_technique
Victims:
Sendgrid customers, Enterprise environments, Cryptocurrency platforms
Industry:
Aerospace, Retail
Geo:
Canada
ChatGPT TTPs:
do not use without manual checkT1036, T1078, T1566.002, T1583.001, T1656, T1657
IOCs:
Domain: 516
IP: 3
Soft:
SendGrid
Links:
https://github.com/DomainTools/SecuritySnacks/blob/main/2025/PoisonSeed\_Domains\_July2025.csvDomainTools Investigations | DTI
Newly Identified Domains Likely Linked to Continued Activity from PoisonSeed E-Crime Actor - DomainTools Investigations | DTI
DomainTools Investigations identified a set of malicious domains registered since 01 June 2025 likely linked to the ecrime actor publicly known as PoisonSeed. These domains primarily spoof the email platform SendGrid and are likely attempting to compromise…
CTT Report Hub
#ParsedReport #CompletenessLow 10-09-2025 Newly Identified Domains Likely Linked to Continued Activity from PoisonSeed E-Crime Actor https://dti.domaintools.com/newly-identified-domains-likely-linked-to-continued-activity-from-poisonseed-e-crime-actor/ …
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние расследования выявили вредоносные домены, связанные с актором электронной преступности PoisonSeed, в первую очередь нацеленные на учетные данные клиентов SendGrid. Эти домены используют поддельные вставки Cloudflare CAPTCHA, чтобы повысить доверие к себе, прежде чем перенаправлять пользователей на фишинг-страницы. Тактика PoisonSeed's согласуется с тактикой актора SCATTERED SPIDER, что предполагает возможную связь между ними, поскольку оба используют схожие методы для кражи учетных данных и других киберпреступных действий.
-----
Недавние расследования выявили новые вредоносные домены, которые, вероятно, связаны с актором электронной преступности, известным как PoisonSeed. Эти домены, зарегистрированные с 1 июня 2025 года, преимущественно имитируют законную платформу электронной почты SendGrid. Их основной целью, по-видимому, является компрометация корпоративных учетных данных из клиентской базы SendGrid. Чтобы повысить доверие к этим вредоносным веб-сайтам, они представляют поддельные промежуточные элементы Cloudflare CAPTCHA, прежде чем перенаправлять ничего не подозревающих пользователей на страницы фишинга. Хотя конкретная цель не была определена, исторические данные свидетельствуют о том, что PoisonSeed сосредоточился на криптовалютных платформах и корпоративных средах.
Актор PoisonSeed был впервые идентифицирован в апреле 2025 года, в отчетах подробно описывался его метод использования доменов фишинга SendGrid для облегчения кражи криптовалюты. Вслед за этим в блоге группы по исследованию угроз Mimecast в мае 2025 года была подробно описана аналогичная тактика, когда актор выдавал себя за поставщиков услуг, таких как SendGrid, для отправки мошеннических уведомлений, направленных на сбор учетных данных пользователя. Главной целью этих кампаний является кража корпоративных учетных данных, которые затем могут быть использованы для проведения дополнительных кампаний фишинга и обеспечения возможности перемещения внутри компании в скомпрометированных корпоративных средах.
Mimecast связал некоторые из этих вредоносных действий с другим актором электронной преступности по имени SCATTERED SPIDER, который с 2022 года занимается преступлениями на финансовой почве. Хотя исследования показывают, что текущая вредоносная активность может быть в первую очередь приписана PoisonSeed — на что указывает использование поддельной капчи Cloudflare и сходства в регистрации доменов — сохраняется возможность исторических связей между PoisonSeed и SCATTERED SPIDER, что предполагает потенциальное сотрудничество или общую тактику.
Существующая вредоносная инфраструктура, связанная с PoisonSeed, подчеркивает постоянное использование тактик, методов и процедур (TTP), которые отражают те, что наблюдались в операциях SCATTERED SPIDER. Очевидно, что акторы электронной преступности, такие как PoisonSeed, используют эти устоявшиеся методы не только для кражи корпоративных учетных данных, но и для осуществления более широкого спектра киберпреступных действий, включая различные формы фишинга, кражу криптовалют, кражу данных и вымогательство.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние расследования выявили вредоносные домены, связанные с актором электронной преступности PoisonSeed, в первую очередь нацеленные на учетные данные клиентов SendGrid. Эти домены используют поддельные вставки Cloudflare CAPTCHA, чтобы повысить доверие к себе, прежде чем перенаправлять пользователей на фишинг-страницы. Тактика PoisonSeed's согласуется с тактикой актора SCATTERED SPIDER, что предполагает возможную связь между ними, поскольку оба используют схожие методы для кражи учетных данных и других киберпреступных действий.
-----
Недавние расследования выявили новые вредоносные домены, которые, вероятно, связаны с актором электронной преступности, известным как PoisonSeed. Эти домены, зарегистрированные с 1 июня 2025 года, преимущественно имитируют законную платформу электронной почты SendGrid. Их основной целью, по-видимому, является компрометация корпоративных учетных данных из клиентской базы SendGrid. Чтобы повысить доверие к этим вредоносным веб-сайтам, они представляют поддельные промежуточные элементы Cloudflare CAPTCHA, прежде чем перенаправлять ничего не подозревающих пользователей на страницы фишинга. Хотя конкретная цель не была определена, исторические данные свидетельствуют о том, что PoisonSeed сосредоточился на криптовалютных платформах и корпоративных средах.
Актор PoisonSeed был впервые идентифицирован в апреле 2025 года, в отчетах подробно описывался его метод использования доменов фишинга SendGrid для облегчения кражи криптовалюты. Вслед за этим в блоге группы по исследованию угроз Mimecast в мае 2025 года была подробно описана аналогичная тактика, когда актор выдавал себя за поставщиков услуг, таких как SendGrid, для отправки мошеннических уведомлений, направленных на сбор учетных данных пользователя. Главной целью этих кампаний является кража корпоративных учетных данных, которые затем могут быть использованы для проведения дополнительных кампаний фишинга и обеспечения возможности перемещения внутри компании в скомпрометированных корпоративных средах.
Mimecast связал некоторые из этих вредоносных действий с другим актором электронной преступности по имени SCATTERED SPIDER, который с 2022 года занимается преступлениями на финансовой почве. Хотя исследования показывают, что текущая вредоносная активность может быть в первую очередь приписана PoisonSeed — на что указывает использование поддельной капчи Cloudflare и сходства в регистрации доменов — сохраняется возможность исторических связей между PoisonSeed и SCATTERED SPIDER, что предполагает потенциальное сотрудничество или общую тактику.
Существующая вредоносная инфраструктура, связанная с PoisonSeed, подчеркивает постоянное использование тактик, методов и процедур (TTP), которые отражают те, что наблюдались в операциях SCATTERED SPIDER. Очевидно, что акторы электронной преступности, такие как PoisonSeed, используют эти устоявшиеся методы не только для кражи корпоративных учетных данных, но и для осуществления более широкого спектра киберпреступных действий, включая различные формы фишинга, кражу криптовалют, кражу данных и вымогательство.
#ParsedReport #CompletenessLow
10-09-2025
Pre-approved GLP-1 prescription scam could be bad for your health
https://www.malwarebytes.com/blog/news/2025/09/pre-approved-glp-1-prescription-scam-could-be-bad-for-your-health
Report completeness: Low
Victims:
Consumers
Industry:
Healthcare
Geo:
California
ChatGPT TTPs:
T1204.001, T1566.002, T1583.001
IOCs:
Domain: 4
10-09-2025
Pre-approved GLP-1 prescription scam could be bad for your health
https://www.malwarebytes.com/blog/news/2025/09/pre-approved-glp-1-prescription-scam-could-be-bad-for-your-health
Report completeness: Low
Victims:
Consumers
Industry:
Healthcare
Geo:
California
ChatGPT TTPs:
do not use without manual checkT1204.001, T1566.002, T1583.001
IOCs:
Domain: 4
Malwarebytes
Pre-approved GLP-1 prescription scam could be bad for your health
This scammy text pretends to come from a doctor and says a weight-loss medication prescription has been approved.
CTT Report Hub
#ParsedReport #CompletenessLow 10-09-2025 Pre-approved GLP-1 prescription scam could be bad for your health https://www.malwarebytes.com/blog/news/2025/09/pre-approved-glp-1-prescription-scam-could-be-bad-for-your-health Report completeness: Low Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кибер-мошенник действует под прикрытием вымышленного врача "доктора Сантоса", продвигая лекарства GLP-1 с помощью нежелательных сообщений, в которых утверждается, что он выписывает рецепты без консультаций, что противоречит стандартной практике. Мошенники используют вводящие в заблуждение телефонные номера и ссылки на нелегальные веб-сайты, что указывает на мошеннические намерения. Получателям следует проявлять осторожность в отношении нежелательных сообщений, поскольку они могут привести к несанкционированным транзакциям и финансовой эксплуатации.
-----
В тексте описывается кибер-афера с использованием нежелательных сообщений, якобы от вымышленного врача по имени "доктор Сантос", который продвигает препараты GLP-1, такие как Ozempic, Wegovy и Mounjaro, которые являются законными методами лечения диабета и снижения веса. Мошенничество характеризуется незапрашиваемым характером сообщения, при этом отправитель утверждает, что выписал рецепт без предварительной консультации с врачом, что противоречит стандартной медицинской практике. Предполагаемый номер телефона в Техасе контрастирует с калифорнийским местонахождением получателя, что вызывает дополнительные подозрения. Веб-сайт, на который дана ссылка в сообщении, не соответствует ни одному законному медицинскому или аптечному учреждению, что указывает на мошеннические намерения.
Чтобы снизить риск стать жертвой подобных мошенничеств, в тексте рекомендуется не переходить по нежелательным ссылкам, распространяемым через текстовые сообщения или Социальные сети. Частным лицам рекомендуется сохранять осторожность, избегать поспешных покупок и внимательно читать условия предоставления услуг, поскольку многие мошеннические действия связаны со скрытыми схемами ежемесячной подписки. Изучение названий продуктов, связанных с маркетинговыми заявлениями, часто выявляет предшествующие ассоциации с мошенничеством. Более того, пользователи, которые воспользовались такими мошенническими предложениями, должны следить за своими финансовыми счетами на предмет несанкционированных списаний, поскольку мошенники могут использовать предоставленную информацию о кредитной карте. Для дополнительной безопасности рекомендуется использовать такие сервисы, как Malwarebytes Scam Guard, для проверки законности подозрительных сообщений и применения упреждающих мер безопасности, блокирующих доступ к вредоносным доменам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кибер-мошенник действует под прикрытием вымышленного врача "доктора Сантоса", продвигая лекарства GLP-1 с помощью нежелательных сообщений, в которых утверждается, что он выписывает рецепты без консультаций, что противоречит стандартной практике. Мошенники используют вводящие в заблуждение телефонные номера и ссылки на нелегальные веб-сайты, что указывает на мошеннические намерения. Получателям следует проявлять осторожность в отношении нежелательных сообщений, поскольку они могут привести к несанкционированным транзакциям и финансовой эксплуатации.
-----
В тексте описывается кибер-афера с использованием нежелательных сообщений, якобы от вымышленного врача по имени "доктор Сантос", который продвигает препараты GLP-1, такие как Ozempic, Wegovy и Mounjaro, которые являются законными методами лечения диабета и снижения веса. Мошенничество характеризуется незапрашиваемым характером сообщения, при этом отправитель утверждает, что выписал рецепт без предварительной консультации с врачом, что противоречит стандартной медицинской практике. Предполагаемый номер телефона в Техасе контрастирует с калифорнийским местонахождением получателя, что вызывает дополнительные подозрения. Веб-сайт, на который дана ссылка в сообщении, не соответствует ни одному законному медицинскому или аптечному учреждению, что указывает на мошеннические намерения.
Чтобы снизить риск стать жертвой подобных мошенничеств, в тексте рекомендуется не переходить по нежелательным ссылкам, распространяемым через текстовые сообщения или Социальные сети. Частным лицам рекомендуется сохранять осторожность, избегать поспешных покупок и внимательно читать условия предоставления услуг, поскольку многие мошеннические действия связаны со скрытыми схемами ежемесячной подписки. Изучение названий продуктов, связанных с маркетинговыми заявлениями, часто выявляет предшествующие ассоциации с мошенничеством. Более того, пользователи, которые воспользовались такими мошенническими предложениями, должны следить за своими финансовыми счетами на предмет несанкционированных списаний, поскольку мошенники могут использовать предоставленную информацию о кредитной карте. Для дополнительной безопасности рекомендуется использовать такие сервисы, как Malwarebytes Scam Guard, для проверки законности подозрительных сообщений и применения упреждающих мер безопасности, блокирующих доступ к вредоносным доменам.
#ParsedReport #CompletenessLow
10-09-2025
AI-Generated Phishing: How One Email Triggered a Global NPM Supply Chain Crisis
https://www.varonis.com/blog/npm-hijacking
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Software ecosystem, Open source package ecosystem
Industry:
Military, Financial
ChatGPT TTPs:
T1027, T1041, T1056.003, T1189, T1195, T1557, T1566.002, T1583.001
IOCs:
Domain: 2
Coin: 7
File: 2
Email: 1
Url: 1
Soft:
SushiSwap, Twitter
Wallets:
tron, core_wallet
Crypto:
ethereum, bitcoin, solana, litecoin, uniswap, pancakeswap
Functions:
fetch, setItem, createElement
Languages:
javascript
10-09-2025
AI-Generated Phishing: How One Email Triggered a Global NPM Supply Chain Crisis
https://www.varonis.com/blog/npm-hijacking
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Software ecosystem, Open source package ecosystem
Industry:
Military, Financial
ChatGPT TTPs:
do not use without manual checkT1027, T1041, T1056.003, T1189, T1195, T1557, T1566.002, T1583.001
IOCs:
Domain: 2
Coin: 7
File: 2
Email: 1
Url: 1
Soft:
SushiSwap, Twitter
Wallets:
tron, core_wallet
Crypto:
ethereum, bitcoin, solana, litecoin, uniswap, pancakeswap
Functions:
fetch, setItem, createElement
Languages:
javascript
Varonis
AI-Generated Phishing: How One Email Triggered a Global NPM Supply Chain Crisis
A massive phishing-led NPM attack compromised popular packages with 2.67B weekly downloads, hijacking crypto wallets via stealthy AI-generated emails.
CTT Report Hub
#ParsedReport #CompletenessLow 10-09-2025 AI-Generated Phishing: How One Email Triggered a Global NPM Supply Chain Crisis https://www.varonis.com/blog/npm-hijacking Report completeness: Low Threats: Supply_chain_technique Victims: Software ecosystem,…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Сложная атака фишинга с использованием контента, сгенерированного искусственным интеллектом, была нацелена на Node Package Manager (NPM), используя домен npmjs.help для создания надежной инфраструктуры. Электронное письмо с фишингом, состоящее на 70-80% из текста, сгенерированного искусственным интеллектом, направляло пользователей на поддельную страницу входа в NPM, в то время как вредоносный пакет JavaScript включал запутанный код, который вводил перехватчик на стороне браузера для кражи учетных данных пользователя. Учетные данные были отправлены в конечную точку websocket-api2.publicvm.com для эксфильтрации данных, демонстрируя продвинутый подход к угрозам фишинга.
-----
Недавняя атака фишинга с использованием контента, созданного искусственным интеллектом, вызвала тревогу из-за ее сложного подхода и значительных рисков, которые она представляет для supply chain программного обеспечения, особенно в отношении Node Package Manager (NPM). В отличие от типичных кампаний фишинга, которые часто основаны на неправильно настроенных рассылках электронной почты или плохо написанном контенте, эта атака была выполнена с использованием хорошо зарекомендовавшего себя домена npmjs.help, который представлял собой чистую и убедительную инфраструктуру.
В электронном письме, предназначенном для фишинга, в частности, использовался текст, сгенерированный искусственным интеллектом, и, по оценкам, 70-80% контента можно отнести к Искусственному интеллекту. Такое расширенное использование обработки естественного языка эффективно маскировало вредоносные намерения электронного письма, позволяя ему обойти первоначальную проверку, с которой обычно сталкиваются при попытках фишинга. Жертвы были перенаправлены на поддельный веб-сайт, который был точной копией законной страницы входа в NPM.
Неотъемлемой частью атаки был вредоносный пакет JavaScript, встроенный в электронное письмо, который включал запутанный код. После установки этот код внедрил в системы пользователей перехватчик на стороне браузера, который активировался при загрузке страницы. Этот перехватчик взаимодействовал с критически важными веб-API, позволяя красть учетные данные пользователя. Основная конечная точка для украденных учетных данных была идентифицирована как websocket-api2.publicvm.com , указывающий на целенаправленную стратегию эксфильтрации данных.
В ответ на эту угрозу отмечается, что многоуровневый механизм защиты, управляемый искусственным интеллектом, успешно обнаружил и предотвратил попытку фишинга. Это включало комбинацию анализа естественного языка, который распознавал сгенерированные искусственным интеллектом стилистические маркеры, типичные для таких вредоносных электронных писем, и визуальный осмотр, который сравнивал сайт фишинга с законным сайтом NPM. Имитация была почти идеальной, но расхождения в сертификате и URL-адресе имели решающее значение для идентификации веб-сайта как мошеннического, что позволило избежать потенциальных компромиссов.
Этот инцидент высвечивает меняющийся ландшафт киберугроз, которым способствует технология искусственного интеллекта, и подчеркивает необходимость адаптивных стратегий защиты для снижения рисков, связанных со сложными схемами фишинга.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Сложная атака фишинга с использованием контента, сгенерированного искусственным интеллектом, была нацелена на Node Package Manager (NPM), используя домен npmjs.help для создания надежной инфраструктуры. Электронное письмо с фишингом, состоящее на 70-80% из текста, сгенерированного искусственным интеллектом, направляло пользователей на поддельную страницу входа в NPM, в то время как вредоносный пакет JavaScript включал запутанный код, который вводил перехватчик на стороне браузера для кражи учетных данных пользователя. Учетные данные были отправлены в конечную точку websocket-api2.publicvm.com для эксфильтрации данных, демонстрируя продвинутый подход к угрозам фишинга.
-----
Недавняя атака фишинга с использованием контента, созданного искусственным интеллектом, вызвала тревогу из-за ее сложного подхода и значительных рисков, которые она представляет для supply chain программного обеспечения, особенно в отношении Node Package Manager (NPM). В отличие от типичных кампаний фишинга, которые часто основаны на неправильно настроенных рассылках электронной почты или плохо написанном контенте, эта атака была выполнена с использованием хорошо зарекомендовавшего себя домена npmjs.help, который представлял собой чистую и убедительную инфраструктуру.
В электронном письме, предназначенном для фишинга, в частности, использовался текст, сгенерированный искусственным интеллектом, и, по оценкам, 70-80% контента можно отнести к Искусственному интеллекту. Такое расширенное использование обработки естественного языка эффективно маскировало вредоносные намерения электронного письма, позволяя ему обойти первоначальную проверку, с которой обычно сталкиваются при попытках фишинга. Жертвы были перенаправлены на поддельный веб-сайт, который был точной копией законной страницы входа в NPM.
Неотъемлемой частью атаки был вредоносный пакет JavaScript, встроенный в электронное письмо, который включал запутанный код. После установки этот код внедрил в системы пользователей перехватчик на стороне браузера, который активировался при загрузке страницы. Этот перехватчик взаимодействовал с критически важными веб-API, позволяя красть учетные данные пользователя. Основная конечная точка для украденных учетных данных была идентифицирована как websocket-api2.publicvm.com , указывающий на целенаправленную стратегию эксфильтрации данных.
В ответ на эту угрозу отмечается, что многоуровневый механизм защиты, управляемый искусственным интеллектом, успешно обнаружил и предотвратил попытку фишинга. Это включало комбинацию анализа естественного языка, который распознавал сгенерированные искусственным интеллектом стилистические маркеры, типичные для таких вредоносных электронных писем, и визуальный осмотр, который сравнивал сайт фишинга с законным сайтом NPM. Имитация была почти идеальной, но расхождения в сертификате и URL-адресе имели решающее значение для идентификации веб-сайта как мошеннического, что позволило избежать потенциальных компромиссов.
Этот инцидент высвечивает меняющийся ландшафт киберугроз, которым способствует технология искусственного интеллекта, и подчеркивает необходимость адаптивных стратегий защиты для снижения рисков, связанных со сложными схемами фишинга.
#ParsedReport #CompletenessLow
10-09-2025
The Great NPM Heist September 2025
https://cyberint.com/blog/threat-intelligence/the-great-npm-heist-september-2025/
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Open source software ecosystem, Software supply chain
ChatGPT TTPs:
T1036, T1041, T1059.007, T1071.001, T1195, T1583.001
IOCs:
Email: 1
Domain: 4
IP: 1
Url: 4
File: 3
Soft:
Twitter, Node.js
Wallets:
metamask, tron
Crypto:
ethereum, bitcoin, litecoin
Languages:
javascript
10-09-2025
The Great NPM Heist September 2025
https://cyberint.com/blog/threat-intelligence/the-great-npm-heist-september-2025/
Report completeness: Low
Threats:
Supply_chain_technique
Victims:
Open source software ecosystem, Software supply chain
ChatGPT TTPs:
do not use without manual checkT1036, T1041, T1059.007, T1071.001, T1195, T1583.001
IOCs:
Email: 1
Domain: 4
IP: 1
Url: 4
File: 3
Soft:
Twitter, Node.js
Wallets:
metamask, tron
Crypto:
ethereum, bitcoin, litecoin
Languages:
javascript
Cyberint
The Great NPM Heist – September 2025
The Sept 2025 npm breach: 18+ packages, 2B+ weekly downloads, and crypto-stealing malware. We break down the phishing attack & its impact.