CTT Report Hub
#ParsedReport #CompletenessLow 11-09-2025 Dual Threat: Threat Actors Combine Credential Phishing and Malware https://cofense.com/blog/dual-threat-threat-actors-combine-credential-phishing-and-malware Report completeness: Low Threats: Screenconnect_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние хакерские кАмпании по борьбе с киберугрозами все чаще сочетают фишинг учетных данных с доставкой вредоносного ПО, чтобы повысить их успешность. Например, атака в июле 2025 года перенаправила пользователей Windows на страницу подмены в Microsoft Store, которая загрузила SimpleHelp RAT, в то время как кампания в январе 2025 года запустила скрипт Visual Basic для развертывания средства кражи информации после ввода учетных данных. Эта развивающаяся стратегия подчеркивает изощренный подход, при котором злоумышленники могут эффективно собирать конфиденциальную информацию и проводить разведку скомпрометированных систем.
-----
Недавние хакерские кАмпании по борьбе с киберугрозами все больше размывают границы между фишингом с использованием учетных данных и доставкой вредоносного ПО, при этом злоумышленники используют оба метода в одной атаке, чтобы повысить свои шансы на успех. Эта стратегия позволяет злоумышленникам обходить средства защиты, которые могут быть мощными в одной области, тем самым максимально расширяя их возможности по получению конфиденциальных учетных данных.
Появилось несколько методов двойной доставки вредоносного ПО и фишинга учетных данных. Заметная кампания, проведенная в июле 2025 года, продемонстрировала тактику, которая включала встроенную ссылку, ведущую к различным результатам в зависимости от пользовательского агента браузера пользователя. В частности, пользователи, получившие доступ к URL-адресу заражения с помощью пользовательского агента Windows, были перенаправлены на страницу подмены Microsoft Store, которая выполняла загрузку SimpleHelp RAT.
В другой кампании, начиная с января 2025 года, злоумышленники использовали страницу фишинга с учетными данными, встроенную в электронное письмо. Когда жертва вводила свои учетные данные, запускался сценарий Visual Basic (VBS), что приводило к развертыванию настроенного средства кражи информации, работающего в памяти. Этот похититель информации не только стремился перехватить введенные учетные данные, но и, вероятно, стремился получить любые сохраненные учетные данные из системы жертвы, особенно те, которые связаны с Microsoft Office.
Между тем, кампания, проведенная в декабре 2024 года, продемонстрировала процесс, в котором вредоносный загрузчик использовался для запуска Muck Stealer. Затем это вредоносное ПО инициировало HTML-файл, предназначенный для сбора учетных данных, и в конечном итоге направило их в Google Sheet для просмотра злоумышленниками. Этот метод не только помог запутать поведение Muck Stealer, но и усилил угрозу, исходящую от сбора учетных данных.
Двойной подход, применяемый этими злоумышленниками, свидетельствует об изменяющемся ландшафте киберугроз, когда злоумышленники максимизируют эффективность своих операций, комбинируя различные методы. Это не только позволяет осуществлять более широкий спектр сбора данных, но и повышает их способность проводить разведку скомпрометированных систем. Используя такие многогранные стратегии, злоумышленники могут получать конфиденциальную информацию с повышенной эффективностью, что делает крайне важным для организаций принятие комплексных мер безопасности, направленных как на обнаружение вредоносного ПО, так и на предотвращение фишинга.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние хакерские кАмпании по борьбе с киберугрозами все чаще сочетают фишинг учетных данных с доставкой вредоносного ПО, чтобы повысить их успешность. Например, атака в июле 2025 года перенаправила пользователей Windows на страницу подмены в Microsoft Store, которая загрузила SimpleHelp RAT, в то время как кампания в январе 2025 года запустила скрипт Visual Basic для развертывания средства кражи информации после ввода учетных данных. Эта развивающаяся стратегия подчеркивает изощренный подход, при котором злоумышленники могут эффективно собирать конфиденциальную информацию и проводить разведку скомпрометированных систем.
-----
Недавние хакерские кАмпании по борьбе с киберугрозами все больше размывают границы между фишингом с использованием учетных данных и доставкой вредоносного ПО, при этом злоумышленники используют оба метода в одной атаке, чтобы повысить свои шансы на успех. Эта стратегия позволяет злоумышленникам обходить средства защиты, которые могут быть мощными в одной области, тем самым максимально расширяя их возможности по получению конфиденциальных учетных данных.
Появилось несколько методов двойной доставки вредоносного ПО и фишинга учетных данных. Заметная кампания, проведенная в июле 2025 года, продемонстрировала тактику, которая включала встроенную ссылку, ведущую к различным результатам в зависимости от пользовательского агента браузера пользователя. В частности, пользователи, получившие доступ к URL-адресу заражения с помощью пользовательского агента Windows, были перенаправлены на страницу подмены Microsoft Store, которая выполняла загрузку SimpleHelp RAT.
В другой кампании, начиная с января 2025 года, злоумышленники использовали страницу фишинга с учетными данными, встроенную в электронное письмо. Когда жертва вводила свои учетные данные, запускался сценарий Visual Basic (VBS), что приводило к развертыванию настроенного средства кражи информации, работающего в памяти. Этот похититель информации не только стремился перехватить введенные учетные данные, но и, вероятно, стремился получить любые сохраненные учетные данные из системы жертвы, особенно те, которые связаны с Microsoft Office.
Между тем, кампания, проведенная в декабре 2024 года, продемонстрировала процесс, в котором вредоносный загрузчик использовался для запуска Muck Stealer. Затем это вредоносное ПО инициировало HTML-файл, предназначенный для сбора учетных данных, и в конечном итоге направило их в Google Sheet для просмотра злоумышленниками. Этот метод не только помог запутать поведение Muck Stealer, но и усилил угрозу, исходящую от сбора учетных данных.
Двойной подход, применяемый этими злоумышленниками, свидетельствует об изменяющемся ландшафте киберугроз, когда злоумышленники максимизируют эффективность своих операций, комбинируя различные методы. Это не только позволяет осуществлять более широкий спектр сбора данных, но и повышает их способность проводить разведку скомпрометированных систем. Используя такие многогранные стратегии, злоумышленники могут получать конфиденциальную информацию с повышенной эффективностью, что делает крайне важным для организаций принятие комплексных мер безопасности, направленных как на обнаружение вредоносного ПО, так и на предотвращение фишинга.
#ParsedReport #CompletenessHigh
11-09-2025
FinalDraft Malware: The Stealthy Threat Using Microsoft Services
https://socradar.io/finaldraft-malware-the-stealthy-threat-using-microsoft-services/
Report completeness: High
Threats:
Finaldraft
Pathloader
Process_injection_technique
Industry:
Financial, Healthcare, Telco, Government, Education
Geo:
Asia, America
TTPs:
Tactics: 1
Technics: 6
IOCs:
File: 1
Hash: 9
Url: 3
Domain: 4
Soft:
Linux, Microsoft Outlook, Graph API, Outlook
Algorithms:
sha1, sha256, md5
Languages:
powershell
Platforms:
cross-platform
11-09-2025
FinalDraft Malware: The Stealthy Threat Using Microsoft Services
https://socradar.io/finaldraft-malware-the-stealthy-threat-using-microsoft-services/
Report completeness: High
Threats:
Finaldraft
Pathloader
Process_injection_technique
Industry:
Financial, Healthcare, Telco, Government, Education
Geo:
Asia, America
TTPs:
Tactics: 1
Technics: 6
IOCs:
File: 1
Hash: 9
Url: 3
Domain: 4
Soft:
Linux, Microsoft Outlook, Graph API, Outlook
Algorithms:
sha1, sha256, md5
Languages:
powershell
Platforms:
cross-platform
SOCRadar® Cyber Intelligence Inc.
FinalDraft Malware: The Stealthy Threat Using Microsoft Services
Designed for covert, long-term espionage, FinalDraft malware masterfully blends into legitimate Microsoft services to avoid detection, making it a formidable
CTT Report Hub
#ParsedReport #CompletenessHigh 11-09-2025 FinalDraft Malware: The Stealthy Threat Using Microsoft Services https://socradar.io/finaldraft-malware-the-stealthy-threat-using-microsoft-services/ Report completeness: High Threats: Finaldraft Pathloader P…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
FinalDraft - это сложное вредоносное ПО, предназначенное для долгосрочного шпионажа, использующее сервисы Microsoft для скрытности. Он заражает как системы Windows, так и Linux и взаимодействует с серверами управления (C2), используя папку "Черновики" Outlook для сокрытия зашифрованных сообщений. Первоначальное заражение происходит с помощью загрузчика под названием PathLoader, который активирует бэкдор, использующий Microsoft Graph API, позволяя вредоносному ПО обходить традиционные меры безопасности, нацеливаясь на критические сектора для получения ценных данных.
-----
Вредоносное ПО FinalDraft - это сложная киберугроза, предназначенная для скрытого долгосрочного шпионажа с использованием законных служб Microsoft, чтобы избежать обнаружения. Это кроссплатформенное вредоносное ПО может заражать среды как Windows, так и Linux, в первую очередь незаметно взаимодействуя с серверами Управления (C2). Он использует папку "Черновики" Microsoft Outlook для сокрытия зашифрованных сообщений, что позволяет ему передавать команды и обратную связь между зараженным компьютером и злоумышленником, не вызывая типичных предупреждений о безопасности сети.
Первоначальное заражение обычно происходит с помощью компонента загрузчика с именем PathLoader, который расшифровывает и выполняет шелл-код для активации Backdoor. FinalDraft После ввода в эксплуатацию этот бэкдор использует Microsoft Graph API для аутентификации и обмена данными, эффективно встраиваясь в законные Облачные сервисы и обходя стандартные меры безопасности.
FinalDraft реализует несколько передовых методов, согласованных с платформой MITRE ATT&CK, что позволяет ему скрытно достигать своих целей и избегать обнаружения. Его цели охватывают целый ряд важнейших секторов, что указывает на потенциальный интерес к ценным данным и системам.
Учитывая скрытные характеристики FinalDraft, многоуровневая стратегия защиты необходима организациям, стремящимся защитить себя. Поддержание обновленной информации об угрозах, передовых систем мониторинга и надежных планов реагирования на инциденты жизненно важно для выявления и смягчения последствий таких сложных угроз. Появление вредоносного ПО подчеркивает важность упреждающих мер защиты в сфере кибербезопасности, где традиционные методы обнаружения могут оказаться неэффективными в сравнении с развивающейся тактикой и закреплением.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
FinalDraft - это сложное вредоносное ПО, предназначенное для долгосрочного шпионажа, использующее сервисы Microsoft для скрытности. Он заражает как системы Windows, так и Linux и взаимодействует с серверами управления (C2), используя папку "Черновики" Outlook для сокрытия зашифрованных сообщений. Первоначальное заражение происходит с помощью загрузчика под названием PathLoader, который активирует бэкдор, использующий Microsoft Graph API, позволяя вредоносному ПО обходить традиционные меры безопасности, нацеливаясь на критические сектора для получения ценных данных.
-----
Вредоносное ПО FinalDraft - это сложная киберугроза, предназначенная для скрытого долгосрочного шпионажа с использованием законных служб Microsoft, чтобы избежать обнаружения. Это кроссплатформенное вредоносное ПО может заражать среды как Windows, так и Linux, в первую очередь незаметно взаимодействуя с серверами Управления (C2). Он использует папку "Черновики" Microsoft Outlook для сокрытия зашифрованных сообщений, что позволяет ему передавать команды и обратную связь между зараженным компьютером и злоумышленником, не вызывая типичных предупреждений о безопасности сети.
Первоначальное заражение обычно происходит с помощью компонента загрузчика с именем PathLoader, который расшифровывает и выполняет шелл-код для активации Backdoor. FinalDraft После ввода в эксплуатацию этот бэкдор использует Microsoft Graph API для аутентификации и обмена данными, эффективно встраиваясь в законные Облачные сервисы и обходя стандартные меры безопасности.
FinalDraft реализует несколько передовых методов, согласованных с платформой MITRE ATT&CK, что позволяет ему скрытно достигать своих целей и избегать обнаружения. Его цели охватывают целый ряд важнейших секторов, что указывает на потенциальный интерес к ценным данным и системам.
Учитывая скрытные характеристики FinalDraft, многоуровневая стратегия защиты необходима организациям, стремящимся защитить себя. Поддержание обновленной информации об угрозах, передовых систем мониторинга и надежных планов реагирования на инциденты жизненно важно для выявления и смягчения последствий таких сложных угроз. Появление вредоносного ПО подчеркивает важность упреждающих мер защиты в сфере кибербезопасности, где традиционные методы обнаружения могут оказаться неэффективными в сравнении с развивающейся тактикой и закреплением.
#ParsedReport #CompletenessHigh
11-09-2025
EggStreme Malware: Unpacking a New APT Framework Targeting a Philippine Military Company
https://www.bitdefender.com/en-us/blog/businessinsights/eggstreme-fileless-malware-cyberattack-apac
Report completeness: High
Threats:
Eggstreme_agent
Dll_sideloading_technique
Eggstreme_fuel
Eggstreme_loader
Eggstreme_reflectiveloader
Eggstreme_keylogger
Eggstreme_wizard
Process_injection_technique
Shadow_copies_delete_technique
Impacket_tool
Timestomp_technique
Stowaway_tool
Proxychains_tool
Victims:
Philippine military company, Defense
Industry:
Military
Geo:
China, Philippine, Philippines, Chinese
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1005, T1016, T1021.002, T1027, T1036.005, T1055, T1056.001, T1057, T1059.003, T1071.001, have more...
IOCs:
File: 18
Path: 11
Command: 2
Domain: 13
IP: 6
Url: 3
Hash: 33
Soft:
winlogon, Windows service, Windows Defender, process explorer, Task Scheduler
Algorithms:
gzip, md5, rc4, xor, aes
Functions:
CreateProcessWithToken, Create, DllMain, EggStremeAgent, CoStartOutlookExpressW, CorGetSvc, ServiceMain
Win API:
SeDebugPrivilege, LoadLibrary, GetProcAddress, VirtualProtect, VirtualAllocEx, WriteProcessMemory, ResumeThread, RegSetValueExW, WTSEnumerateSessionsA, OpenSCManagerA, have more...
Win Services:
MsMpEng, NTLMSSP
Platforms:
intel
Links:
11-09-2025
EggStreme Malware: Unpacking a New APT Framework Targeting a Philippine Military Company
https://www.bitdefender.com/en-us/blog/businessinsights/eggstreme-fileless-malware-cyberattack-apac
Report completeness: High
Threats:
Eggstreme_agent
Dll_sideloading_technique
Eggstreme_fuel
Eggstreme_loader
Eggstreme_reflectiveloader
Eggstreme_keylogger
Eggstreme_wizard
Process_injection_technique
Shadow_copies_delete_technique
Impacket_tool
Timestomp_technique
Stowaway_tool
Proxychains_tool
Victims:
Philippine military company, Defense
Industry:
Military
Geo:
China, Philippine, Philippines, Chinese
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1016, T1021.002, T1027, T1036.005, T1055, T1056.001, T1057, T1059.003, T1071.001, have more...
IOCs:
File: 18
Path: 11
Command: 2
Domain: 13
IP: 6
Url: 3
Hash: 33
Soft:
winlogon, Windows service, Windows Defender, process explorer, Task Scheduler
Algorithms:
gzip, md5, rc4, xor, aes
Functions:
CreateProcessWithToken, Create, DllMain, EggStremeAgent, CoStartOutlookExpressW, CorGetSvc, ServiceMain
Win API:
SeDebugPrivilege, LoadLibrary, GetProcAddress, VirtualProtect, VirtualAllocEx, WriteProcessMemory, ResumeThread, RegSetValueExW, WTSEnumerateSessionsA, OpenSCManagerA, have more...
Win Services:
MsMpEng, NTLMSSP
Platforms:
intel
Links:
https://github.com/ph4ntonn/Stowaway/releaseshttps://github.com/bitdefender/malware-ioc/blob/master/2025\_09\_10-eggstreme-iocs.csvBitdefender Blog
EggStreme Malware: Unpacking a New APT Framework Targeting a Philippine Military Company
I'd like to thank my coauthors, Victor Vrabie, Adrian Schipor, and Martin Zugec, for their invaluable contributions to this research.
CTT Report Hub
#ParsedReport #CompletenessHigh 11-09-2025 EggStreme Malware: Unpacking a New APT Framework Targeting a Philippine Military Company https://www.bitdefender.com/en-us/blog/businessinsights/eggstreme-fileless-malware-cyberattack-apac Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносное ПО EggStreme, приписываемое китайской группировке по атаке наисложнейшими целенаправленными атаками, представляет собой сложный фреймворк без файлов, предназначенный для шпионажа против филиппинской военной структуры. Он использует многоэтапный подход для закрепления, используя законные Службы Windows и скрытно выполняя команды, одновременно используя бэкдор EggStremeFuel для удаленного управления и связи с серверами C2. Его компоненты, включая кейлоггер и инструмент Stowaway для доступа к внутренней сети, подчеркивают скоординированную стратегию атаки, ориентированную на операции в памяти, чтобы избежать обнаружения.
-----
Вредоносное ПО EggStreme - это сложный фреймворк без файлов, который был развернут китайской APT-группой на филиппинскую военную компанию с целью шпионажа. Этот многоступенчатый набор инструментов использует различные методы для поддержания закрепления при скрытном выполнении команд. Первоначальное нарушение было вызвано с помощью пакетного сценария входа в систему, выполненного с удаленного общего ресурса SMB, но точный метод входа остается в стадии расследования.
Как только злоумышленники получили доступ с помощью бэкдора EggStremeFuel, они внедрили закрепление, используя законные Службы Windows, которые либо выполняются вручную, либо отключены по умолчанию, таким образом избегая обнаружения. Анализ инфраструктуры показал, что все конфигурации, связанные с EggStremeAgent, использовали общий центр сертификации (CA) для безопасной связи между их серверами командования и контроля (C2), что облегчало взаимную передачу данных по протоколу TLS.
Набор инструментов EggStreme для вредоносного ПО специально разработан для выполнения хорошо скоординированной последовательности атак. Его компоненты служат различным целям - от выполнения до доставки полезной нагрузки и удаленного управления, с заметным акцентом на операции в памяти, чтобы избежать обнаружения диска. Вредоносное ПО EggStremeFuel инициирует связь с серверами C2 через законное приложение, устанавливая обратные оболочки для удаленного выполнения команд. Этот загрузчик инициализируется с помощью жестко закодированных данных C2 и проверяет наличие зашифрованных файлов конфигурации для обновления параметров в памяти.
Ключевые части фреймворка включают в себя основной бэкдор ядра, EggStremeAgent, который работает как бесфайловый имплантат, вводимый в память, и использует шифрование RC4. Фреймворк также содержит дополнительные компоненты, такие как EggStremeWizard в качестве резервного бэкдора и EggStremeKeylogger для проведения обширных мероприятий по наблюдению. Кейлоггер работает, вводя себя в explorer.exe процесс, фиксирующий нажатия клавиш и содержимое буфера обмена при сохранении журналов в зашифрованном формате.
Кроме того, злоумышленники использовали инструмент Stowaway для создания открытого прокси-сервера на скомпрометированных хостах, что обеспечивало доступ к внутренней сети и выполнение команд в разных системах. Каждый аспект вредоносного ПО EggStreme демонстрирует высокий уровень организации и общий набор инструментов, что указывает на исключительное происхождение разработки, ориентированной на эффективный шпионаж и оперативную целостность в скомпрометированных сетях.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносное ПО EggStreme, приписываемое китайской группировке по атаке наисложнейшими целенаправленными атаками, представляет собой сложный фреймворк без файлов, предназначенный для шпионажа против филиппинской военной структуры. Он использует многоэтапный подход для закрепления, используя законные Службы Windows и скрытно выполняя команды, одновременно используя бэкдор EggStremeFuel для удаленного управления и связи с серверами C2. Его компоненты, включая кейлоггер и инструмент Stowaway для доступа к внутренней сети, подчеркивают скоординированную стратегию атаки, ориентированную на операции в памяти, чтобы избежать обнаружения.
-----
Вредоносное ПО EggStreme - это сложный фреймворк без файлов, который был развернут китайской APT-группой на филиппинскую военную компанию с целью шпионажа. Этот многоступенчатый набор инструментов использует различные методы для поддержания закрепления при скрытном выполнении команд. Первоначальное нарушение было вызвано с помощью пакетного сценария входа в систему, выполненного с удаленного общего ресурса SMB, но точный метод входа остается в стадии расследования.
Как только злоумышленники получили доступ с помощью бэкдора EggStremeFuel, они внедрили закрепление, используя законные Службы Windows, которые либо выполняются вручную, либо отключены по умолчанию, таким образом избегая обнаружения. Анализ инфраструктуры показал, что все конфигурации, связанные с EggStremeAgent, использовали общий центр сертификации (CA) для безопасной связи между их серверами командования и контроля (C2), что облегчало взаимную передачу данных по протоколу TLS.
Набор инструментов EggStreme для вредоносного ПО специально разработан для выполнения хорошо скоординированной последовательности атак. Его компоненты служат различным целям - от выполнения до доставки полезной нагрузки и удаленного управления, с заметным акцентом на операции в памяти, чтобы избежать обнаружения диска. Вредоносное ПО EggStremeFuel инициирует связь с серверами C2 через законное приложение, устанавливая обратные оболочки для удаленного выполнения команд. Этот загрузчик инициализируется с помощью жестко закодированных данных C2 и проверяет наличие зашифрованных файлов конфигурации для обновления параметров в памяти.
Ключевые части фреймворка включают в себя основной бэкдор ядра, EggStremeAgent, который работает как бесфайловый имплантат, вводимый в память, и использует шифрование RC4. Фреймворк также содержит дополнительные компоненты, такие как EggStremeWizard в качестве резервного бэкдора и EggStremeKeylogger для проведения обширных мероприятий по наблюдению. Кейлоггер работает, вводя себя в explorer.exe процесс, фиксирующий нажатия клавиш и содержимое буфера обмена при сохранении журналов в зашифрованном формате.
Кроме того, злоумышленники использовали инструмент Stowaway для создания открытого прокси-сервера на скомпрометированных хостах, что обеспечивало доступ к внутренней сети и выполнение команд в разных системах. Каждый аспект вредоносного ПО EggStreme демонстрирует высокий уровень организации и общий набор инструментов, что указывает на исключительное происхождение разработки, ориентированной на эффективный шпионаж и оперативную целостность в скомпрометированных сетях.
#ParsedReport #CompletenessMedium
11-09-2025
How an Attackers Blunder Gave Us a Rare Look Inside Their Day-to-Day Operations
https://www.huntress.com/blog/rare-look-inside-attacker-operation
Report completeness: Medium
Threats:
Evilginx_tool
Mitm_technique
Graphspy_tool
Bloodhound_tool
Teamfiltration_tool
Residential_proxy_technique
Lunaproxy_tool
Supply_chain_technique
Roadtools_tool
Victims:
Banks, Real estate companies
Industry:
Education, Telco, Government, E-commerce, Military, Financial
Geo:
California, Portuguese, Nigeria, Canada, Brazil
ChatGPT TTPs:
T1090, T1583, T1589, T1593
IOCs:
File: 3
Domain: 1
Path: 6
Soft:
Google Chrome, Chrome, Telegram
Wallets:
nifty
Algorithms:
7zip
Functions:
getUpdates
Languages:
python
Platforms:
x86
Links:
11-09-2025
How an Attackers Blunder Gave Us a Rare Look Inside Their Day-to-Day Operations
https://www.huntress.com/blog/rare-look-inside-attacker-operation
Report completeness: Medium
Threats:
Evilginx_tool
Mitm_technique
Graphspy_tool
Bloodhound_tool
Teamfiltration_tool
Residential_proxy_technique
Lunaproxy_tool
Supply_chain_technique
Roadtools_tool
Victims:
Banks, Real estate companies
Industry:
Education, Telco, Government, E-commerce, Military, Financial
Geo:
California, Portuguese, Nigeria, Canada, Brazil
ChatGPT TTPs:
do not use without manual checkT1090, T1583, T1589, T1593
IOCs:
File: 3
Domain: 1
Path: 6
Soft:
Google Chrome, Chrome, Telegram
Wallets:
nifty
Algorithms:
7zip
Functions:
getUpdates
Languages:
python
Platforms:
x86
Links:
https://github.com/dirkjanm/ROADtools/wiki/ROADtools-Token-eXchange-(roadtx)Huntress
An Attacker’s Blunder Gave Us a Look Into Their Operations | Huntress
An attacker installed Huntress onto their operating machine, giving us a detailed look at how they’re using AI to build workflows, searching for tools like Evilginx, and researching targets like software development companies.
CTT Report Hub
#ParsedReport #CompletenessMedium 11-09-2025 How an Attackers Blunder Gave Us a Rare Look Inside Their Day-to-Day Operations https://www.huntress.com/blog/rare-look-inside-attacker-operation Report completeness: Medium Threats: Evilginx_tool Mitm_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Хакерская группировка, осуществляющая действия в области киберугроз, непреднамеренно установила программное обеспечение Huntress, предоставив исследователям представление об их операциях, которые включали обширную разведку финансовых организаций США и организаций, занимающихся недвижимостью, создание фишингов -сообщений и поиск таких инструментов, как Evilginx, для атак типа "man-in-the-middle". Использование актором искусственного интеллекта для автоматизации задач и зависимость от сервисов residential proxy указывают на то, что основное внимание уделяется запутыванию и уклонению от обнаружения. Их активность в "темном интернете", особенно в STYX Market, подчеркивает продолжающуюся эволюцию и изощренность тактики киберпреступников.
-----
Всплыл интригующий инцидент, когда хакерская группировка, участвующая в создании киберугроз, непреднамеренно установила программное обеспечение Huntress на свой рабочий компьютер после того, как обнаружила его через рекламу во время изучения других решений для обеспечения безопасности. Этот непреднамеренный акт предоставил исследователям редкую возможность изучить повседневные операции и методологию противника. Примечательно, что злоумышленник продемонстрировал знакомые модели поведения, обычно ассоциирующиеся с киберпреступниками, о чем свидетельствует совпадение имени его компьютера с именем, отслеживаемым в предыдущих инцидентах.
При дальнейшем анализе история браузера Chrome от злоумышленника выявила обширную разведку, направленную на различные организации, включая финансовые учреждения и компании по недвижимости в США. Исследование включало активную обработку фишингов -сообщений и поиск таких инструментов, как Evilginx, который известен своими возможностями атаки man-in-the-middle.. Этот человек специально искал запущенные экземпляры Evilginx через Censys, предлагая потенциальную оперативную тактику для использования существующих скомпрометированных сред.
Более того, анализ показал, что злоумышленник в значительной степени полагается на Искусственный интеллект (ИИ) для улучшения своих операционных процессов. Это использование знаменует собой большой шаг в тактике борьбы с конкурентами, показывая, как искусственный интеллект может автоматизировать задачи и оптимизировать вредоносные операции. Это было дополнительно подчеркнуто их интересом к сервисам residential proxy, таким как LunaProxy и Nstbrowser, которые предоставляют средства для маскировки их деятельности путем маршрутизации трафика через IP-адреса резидентов, что указывает на попытку обойти механизмы безопасности и скрыть личность.
Использование Google Translate в их деятельности также наводило на мысль о попытках создавать эффективные сообщения о фишинге, нацеленные на различные организации, одновременно повышая их способность общаться на разных языках. Злоумышленник продемонстрировал постоянное взаимодействие с dark web, в частности со STYX Market, платформой, связанной с продажей украденных учетных данных и различных вредоносных сервисов.
Этот инцидент подчеркивает изощренность и адаптивность киберпреступников, демонстрируя их готовность использовать новые технологии и методологии. Тщательный характер их разведки и интеграция искусственного интеллекта в их оперативные стратегии иллюстрируют меняющийся ландшафт угроз, подчеркивая необходимость постоянной бдительности и адаптации в сообществе кибербезопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Хакерская группировка, осуществляющая действия в области киберугроз, непреднамеренно установила программное обеспечение Huntress, предоставив исследователям представление об их операциях, которые включали обширную разведку финансовых организаций США и организаций, занимающихся недвижимостью, создание фишингов -сообщений и поиск таких инструментов, как Evilginx, для атак типа "man-in-the-middle". Использование актором искусственного интеллекта для автоматизации задач и зависимость от сервисов residential proxy указывают на то, что основное внимание уделяется запутыванию и уклонению от обнаружения. Их активность в "темном интернете", особенно в STYX Market, подчеркивает продолжающуюся эволюцию и изощренность тактики киберпреступников.
-----
Всплыл интригующий инцидент, когда хакерская группировка, участвующая в создании киберугроз, непреднамеренно установила программное обеспечение Huntress на свой рабочий компьютер после того, как обнаружила его через рекламу во время изучения других решений для обеспечения безопасности. Этот непреднамеренный акт предоставил исследователям редкую возможность изучить повседневные операции и методологию противника. Примечательно, что злоумышленник продемонстрировал знакомые модели поведения, обычно ассоциирующиеся с киберпреступниками, о чем свидетельствует совпадение имени его компьютера с именем, отслеживаемым в предыдущих инцидентах.
При дальнейшем анализе история браузера Chrome от злоумышленника выявила обширную разведку, направленную на различные организации, включая финансовые учреждения и компании по недвижимости в США. Исследование включало активную обработку фишингов -сообщений и поиск таких инструментов, как Evilginx, который известен своими возможностями атаки man-in-the-middle.. Этот человек специально искал запущенные экземпляры Evilginx через Censys, предлагая потенциальную оперативную тактику для использования существующих скомпрометированных сред.
Более того, анализ показал, что злоумышленник в значительной степени полагается на Искусственный интеллект (ИИ) для улучшения своих операционных процессов. Это использование знаменует собой большой шаг в тактике борьбы с конкурентами, показывая, как искусственный интеллект может автоматизировать задачи и оптимизировать вредоносные операции. Это было дополнительно подчеркнуто их интересом к сервисам residential proxy, таким как LunaProxy и Nstbrowser, которые предоставляют средства для маскировки их деятельности путем маршрутизации трафика через IP-адреса резидентов, что указывает на попытку обойти механизмы безопасности и скрыть личность.
Использование Google Translate в их деятельности также наводило на мысль о попытках создавать эффективные сообщения о фишинге, нацеленные на различные организации, одновременно повышая их способность общаться на разных языках. Злоумышленник продемонстрировал постоянное взаимодействие с dark web, в частности со STYX Market, платформой, связанной с продажей украденных учетных данных и различных вредоносных сервисов.
Этот инцидент подчеркивает изощренность и адаптивность киберпреступников, демонстрируя их готовность использовать новые технологии и методологии. Тщательный характер их разведки и интеграция искусственного интеллекта в их оперативные стратегии иллюстрируют меняющийся ландшафт угроз, подчеркивая необходимость постоянной бдительности и адаптации в сообществе кибербезопасности.
#ParsedReport #CompletenessLow
11-09-2025
Analysis of Backdoor.WIN32.Buterat
https://www.pointwild.com/threat-intelligence/analysis-of-backdoor-win32-buterat
Report completeness: Low
Threats:
Buterat
Industry:
Government
ChatGPT TTPs:
T1027, T1055, T1055.003, T1059, T1071.001, T1105, T1106, T1112, T1573
IOCs:
Hash: 8
Path: 6
File: 6
Algorithms:
sha256, sha1, md5
Functions:
Obfuscated
Win API:
SetThreadContext, ResumeThread
Languages:
delphi
11-09-2025
Analysis of Backdoor.WIN32.Buterat
https://www.pointwild.com/threat-intelligence/analysis-of-backdoor-win32-buterat
Report completeness: Low
Threats:
Buterat
Industry:
Government
ChatGPT TTPs:
do not use without manual checkT1027, T1055, T1055.003, T1059, T1071.001, T1105, T1106, T1112, T1573
IOCs:
Hash: 8
Path: 6
File: 6
Algorithms:
sha256, sha1, md5
Functions:
Obfuscated
Win API:
SetThreadContext, ResumeThread
Languages:
delphi
Point Wild
Analysis of Backdoor.WIN32.Buterat | Point Wild
Introduction: Backdoor malware is a covert type of malicious software designed to bypass standard authentication mechanisms and provide persistent, unauthorized access to compromised systems. Unlike conventional malware that prioritizes immediate damage or…
CTT Report Hub
#ParsedReport #CompletenessLow 11-09-2025 Analysis of Backdoor.WIN32.Buterat https://www.pointwild.com/threat-intelligence/analysis-of-backdoor-win32-buterat Report completeness: Low Threats: Buterat Industry: Government ChatGPT TTPs: do not use without…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Backdoor.WIN32.Buterat - вредоносное ПО с скрытым бэкдором, предназначенное для постоянного несанкционированного доступа к системам, позволяющее удаленно управлять развертыванием дополнительной полезной нагрузки и эксфильтрацией данных. Он использует зашифрованные и запутанные строки, чтобы скрыть свое выполнение, и подключается к определенному удаленному серверу управления по адресу ginomp3.mooo.com . Ключевыми показателями компрометации являются несанкционированные файлы с именами amhost.exe и другие в общих каталогах, подчеркивая его значительную угрозу в сетевых средах.
-----
Backdoor.WIN32.Buterat - это разновидность бэкдорного вредоносного ПО, предназначенного для поддержания несанкционированного постоянного доступа к скомпрометированным системам, оставаясь при этом скрытым. В отличие от традиционного вредоносного ПО, которое может быть нацелено на причинение немедленного вреда или кражу данных, основная цель Buterat's - обеспечить удаленный контроль над зараженными конечными точками. Эта возможность позволяет злоумышленникам развертывать дополнительную полезную нагрузку, извлекать конфиденциальные данные и осуществлять перемещение внутри компании с минимальным обнаружением.
Вредоносное ПО обладает несколькими характеристиками, указывающими на его злонамеренный умысел. Статический анализ выявляет наличие зашифрованных или запутанных строк, направленных на то, чтобы скрыть процесс его выполнения. Такие строки могут содержать вызовы API, которые облегчают выполнение или загрузку других Вредоносных файлов. Вредоносное ПО Buterat, в частности, подключается к удаленному серверу управления (C2), расположенному по адресу http://ginomp3.mooo.com /, помечая его как значительную угрозу во время мониторинга сети.
Для борьбы с рисками, связанными с Backdoor.WIN32.Кроме того, рекомендуются различные технические средства контроля. Организациям следует убедиться, что они используют современное антивирусное программное обеспечение, способное обнаруживать и устранять такие угрозы. Инструменты мониторинга сети могут быть использованы для выявления подозрительных подключений, в то время как брандмауэры должны быть настроены таким образом, чтобы блокировать несанкционированный доступ. Использование системы обнаружения вторжений (IDS) также может помочь отслеживать необычную сетевую активность, указывающую на потенциальное заражение. Мониторинг целостности системы имеет решающее значение для выявления несанкционированного создания или модификации файлов, особенно связанных с Вредоносными файлами, такими как amhost.exe , bmhost.exe , cmhost.exe , dmhost.exe , и lqL1gG.exe размещается в типичных установочных каталогах. Следует принять меры по контролю приложений, чтобы предотвратить запуск несанкционированных исполняемых файлов и эффективно остановить распространение инфекции.
Кроме того, обучение сотрудников имеет важное значение для снижения риска заражения. Backdoor.WIN32.Buterat часто распространяется с помощью кампаний фишинга и загрузки зараженного программного обеспечения. Сотрудники должны быть обучены выявлению подозрительных сообщений и поощряться к загрузке программного обеспечения исключительно из надежных источников.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Backdoor.WIN32.Buterat - вредоносное ПО с скрытым бэкдором, предназначенное для постоянного несанкционированного доступа к системам, позволяющее удаленно управлять развертыванием дополнительной полезной нагрузки и эксфильтрацией данных. Он использует зашифрованные и запутанные строки, чтобы скрыть свое выполнение, и подключается к определенному удаленному серверу управления по адресу ginomp3.mooo.com . Ключевыми показателями компрометации являются несанкционированные файлы с именами amhost.exe и другие в общих каталогах, подчеркивая его значительную угрозу в сетевых средах.
-----
Backdoor.WIN32.Buterat - это разновидность бэкдорного вредоносного ПО, предназначенного для поддержания несанкционированного постоянного доступа к скомпрометированным системам, оставаясь при этом скрытым. В отличие от традиционного вредоносного ПО, которое может быть нацелено на причинение немедленного вреда или кражу данных, основная цель Buterat's - обеспечить удаленный контроль над зараженными конечными точками. Эта возможность позволяет злоумышленникам развертывать дополнительную полезную нагрузку, извлекать конфиденциальные данные и осуществлять перемещение внутри компании с минимальным обнаружением.
Вредоносное ПО обладает несколькими характеристиками, указывающими на его злонамеренный умысел. Статический анализ выявляет наличие зашифрованных или запутанных строк, направленных на то, чтобы скрыть процесс его выполнения. Такие строки могут содержать вызовы API, которые облегчают выполнение или загрузку других Вредоносных файлов. Вредоносное ПО Buterat, в частности, подключается к удаленному серверу управления (C2), расположенному по адресу http://ginomp3.mooo.com /, помечая его как значительную угрозу во время мониторинга сети.
Для борьбы с рисками, связанными с Backdoor.WIN32.Кроме того, рекомендуются различные технические средства контроля. Организациям следует убедиться, что они используют современное антивирусное программное обеспечение, способное обнаруживать и устранять такие угрозы. Инструменты мониторинга сети могут быть использованы для выявления подозрительных подключений, в то время как брандмауэры должны быть настроены таким образом, чтобы блокировать несанкционированный доступ. Использование системы обнаружения вторжений (IDS) также может помочь отслеживать необычную сетевую активность, указывающую на потенциальное заражение. Мониторинг целостности системы имеет решающее значение для выявления несанкционированного создания или модификации файлов, особенно связанных с Вредоносными файлами, такими как amhost.exe , bmhost.exe , cmhost.exe , dmhost.exe , и lqL1gG.exe размещается в типичных установочных каталогах. Следует принять меры по контролю приложений, чтобы предотвратить запуск несанкционированных исполняемых файлов и эффективно остановить распространение инфекции.
Кроме того, обучение сотрудников имеет важное значение для снижения риска заражения. Backdoor.WIN32.Buterat часто распространяется с помощью кампаний фишинга и загрузки зараженного программного обеспечения. Сотрудники должны быть обучены выявлению подозрительных сообщений и поощряться к загрузке программного обеспечения исключительно из надежных источников.
#ParsedReport #CompletenessMedium
11-09-2025
Analysis of APT-C-24 (Sidewinder) Recent LNK File Phishing Attacks
https://www.ctfiot.com/270213.html
Report completeness: Medium
Actors/Campaigns:
Sidewinder
Victims:
Government, Energy, Military, Mining
Industry:
Military, Government, Energy
Geo:
Pakistan, Afghanistan, Nepal, Sri lanka, Asia, Bhutan, Myanmar
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
CVE-2017-0199 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
ChatGPT TTPs:
T1027, T1204.002, T1218.005, T1566.001
IOCs:
File: 5
Hash: 35
Url: 32
IP: 1
Domain: 3
Soft:
nginx, WeChat
Algorithms:
base64, md5, xor
Languages:
jscript
11-09-2025
Analysis of APT-C-24 (Sidewinder) Recent LNK File Phishing Attacks
https://www.ctfiot.com/270213.html
Report completeness: Medium
Actors/Campaigns:
Sidewinder
Victims:
Government, Energy, Military, Mining
Industry:
Military, Government, Energy
Geo:
Pakistan, Afghanistan, Nepal, Sri lanka, Asia, Bhutan, Myanmar
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
CVE-2017-0199 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
ChatGPT TTPs:
do not use without manual checkT1027, T1204.002, T1218.005, T1566.001
IOCs:
File: 5
Hash: 35
Url: 32
IP: 1
Domain: 3
Soft:
nginx, WeChat
Algorithms:
base64, md5, xor
Languages:
jscript
CTF导航
APT-C-24（响尾蛇）近期使用LNK文件钓鱼攻击活动分析 | CTF导航
APT-C-24响尾蛇APT-C-24 (响尾蛇)是一个活跃于南亚地区的APT组织，最早活跃可追溯到2012年，其主要攻击国家包括巴基斯坦、阿富汗、尼泊尔、不丹、缅甸等数十国，以窃取政府、能源、军事、矿产等领域的机密信息为...
CTT Report Hub
#ParsedReport #CompletenessMedium 11-09-2025 Analysis of APT-C-24 (Sidewinder) Recent LNK File Phishing Attacks https://www.ctfiot.com/270213.html Report completeness: Medium Actors/Campaigns: Sidewinder Victims: Government, Energy, Military, Mining …
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT-C-24, или Sidewinder, является постоянным злоумышленником, нацеленным на страны Южной Азии, уделяя особое внимание таким секторам, как правительство и вооруженные силы. Их недавние атаки связаны с распространением вредоносных файлов LNK в сжатых пакетах, выполняемых через Microsoft HTML Application Host (MSHTA), которые извлекают запутанные скрипты с определенных URL-адресов для загрузки вредоносных компонентов в память. Этот метод демонстрирует их адаптивность и изощренность в использовании обычных функциональных возможностей Windows для проникновения.
-----
APT-C-24, также известная как Sidewinder, является организацией, занимающейся сложными целенаправленными атаками, действующей в основном в Южной Азии, с историей операций, начиная с 2012 года. Группа нацелена на несколько стран, включая Пакистан, Афганистан, Непал, Бутан и Мьянму, уделяя особое внимание таким секторам, как государственное управление, энергетика, военное дело и горнодобывающая промышленность, для извлечения конфиденциальной информации. Недавно их тактика включала использование файлов LNK (Windows shortcut) в фишинг-атаках, как было выявлено Институтом перспективных исследований угроз 360 во время учений по поиску угроз.
Недавняя методология атаки, используемая Sidewinder, включает распространение вредоносных LNK-файлов, содержащихся в сжатых пакетах. Каждый пакет обычно содержит три таких файла, которые выполняются с помощью Microsoft HTML Application Host (MSHTA). Файлы LNK запрограммированы на извлечение и выполнение вредоносных скриптов с определенных удаленных URL-адресов. Примечательно, что эти URL-адреса часто содержат такие параметры, как "yui=0/1/2", что указывает на потенциальный способ запутать фактический адресат или назначение URL-адресов. Сами скрипты сильно запутаны, что усложняет анализ и препятствует усилиям по обнаружению. Конечной целью этих скриптов является загрузка и выполнение вредоносных компонентов непосредственно в память системы жертвы, что позволяет Sidewinder установить удаленный контроль над хостом.
Эта эволюционирующая тактика подчеркивает неизменную адаптивность группы в использовании распространенных типов файлов для проникновения, в то же время применяя сложные методы запутывания для обхода мер безопасности. Использование файлов LNK и утилиты MSHTA подчеркивает целенаправленный подход, направленный на использование часто используемых функциональных возможностей в операционной среде Windows. Последствия этих атак могут быть существенными, особенно для организаций в чувствительных секторах, которые могут хранить ценные данные, подверженные такой тактике проникновения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT-C-24, или Sidewinder, является постоянным злоумышленником, нацеленным на страны Южной Азии, уделяя особое внимание таким секторам, как правительство и вооруженные силы. Их недавние атаки связаны с распространением вредоносных файлов LNK в сжатых пакетах, выполняемых через Microsoft HTML Application Host (MSHTA), которые извлекают запутанные скрипты с определенных URL-адресов для загрузки вредоносных компонентов в память. Этот метод демонстрирует их адаптивность и изощренность в использовании обычных функциональных возможностей Windows для проникновения.
-----
APT-C-24, также известная как Sidewinder, является организацией, занимающейся сложными целенаправленными атаками, действующей в основном в Южной Азии, с историей операций, начиная с 2012 года. Группа нацелена на несколько стран, включая Пакистан, Афганистан, Непал, Бутан и Мьянму, уделяя особое внимание таким секторам, как государственное управление, энергетика, военное дело и горнодобывающая промышленность, для извлечения конфиденциальной информации. Недавно их тактика включала использование файлов LNK (Windows shortcut) в фишинг-атаках, как было выявлено Институтом перспективных исследований угроз 360 во время учений по поиску угроз.
Недавняя методология атаки, используемая Sidewinder, включает распространение вредоносных LNK-файлов, содержащихся в сжатых пакетах. Каждый пакет обычно содержит три таких файла, которые выполняются с помощью Microsoft HTML Application Host (MSHTA). Файлы LNK запрограммированы на извлечение и выполнение вредоносных скриптов с определенных удаленных URL-адресов. Примечательно, что эти URL-адреса часто содержат такие параметры, как "yui=0/1/2", что указывает на потенциальный способ запутать фактический адресат или назначение URL-адресов. Сами скрипты сильно запутаны, что усложняет анализ и препятствует усилиям по обнаружению. Конечной целью этих скриптов является загрузка и выполнение вредоносных компонентов непосредственно в память системы жертвы, что позволяет Sidewinder установить удаленный контроль над хостом.
Эта эволюционирующая тактика подчеркивает неизменную адаптивность группы в использовании распространенных типов файлов для проникновения, в то же время применяя сложные методы запутывания для обхода мер безопасности. Использование файлов LNK и утилиты MSHTA подчеркивает целенаправленный подход, направленный на использование часто используемых функциональных возможностей в операционной среде Windows. Последствия этих атак могут быть существенными, особенно для организаций в чувствительных секторах, которые могут хранить ценные данные, подверженные такой тактике проникновения.