#ParsedReport #CompletenessHigh
10-10-2025

New Stealit Campaign Abuses Node.js Single Executable Application

https://www.fortinet.com/blog/threat-research/stealit-campaign-abuses-nodejs-single-executable-application

Report completeness: High

Threats:
Stealit
Procmon_tool
Dll_injection_technique
Ettercap_tool
Process_hacker_tool

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1059.007, T1071.001, T1105, T1204.002, T1555.003, T1583.003, T1584.001

IOCs:
File: 44
Domain: 2
Path: 17
Registry: 3
Url: 12
Command: 1
Hash: 12
Coin: 4

Soft:
Node.js, Telegram, Electron, PyInstaller, Discord, Android, VirtualBox, visual studio, Windows Defender, Brotli, have more...

Wallets:
exodus_wallet, metamask, coinbase, binancechain, tronlink, coin98, math_wallet, yoroi, guarda_wallet, jaxxx_liberty, have more...

Algorithms:
base64, aes-256-gcm

Languages:
visual_basic, powershell

Platforms:
x86

Links:
have more...
https://github.com/AngaBlue/exe
https://github.com/vercel/pkg

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания Stealit использует Node.js Отдельные исполняемые приложения (SEA) для уклонения от обнаружения и расширения его воздействия, начиная с установщика, который извлекает вредоносные компоненты с сервера C2. Ключевые элементы включают в себя "save_data.exe , " для выполнения которого требуются высокие привилегии, и "stats_db.exe ," который извлекает конфиденциальную информацию из веб-браузеров, сохраняя ее в каталоге %Temp%/BrowserData. Кампания демонстрирует адаптивные методы, такие как переход на платформу Electron с шифрованием AES-256-GCM, повышающие оперативную скрытность и эффективность.
-----

Недавняя кампания Stealit использует новую технику, используя Node.js Отдельные исполняемые приложения (SEA) позволяют избежать обнаружения при одновременном расширении сферы их применения. Эта кампания по вредоносному ПО начинается с установки, которая извлекает дополнительные вредоносные компоненты с сервера Управления (C2). Запутывание связанных Node.js сценарии в этих исполняемых файлах усложняют работу по обратному проектированию, затрудняя анализ.

Установщик служит начальным уровнем атаки, который загружает и подготавливает к развертыванию основные компоненты вредоносного ПО. Важнейшим компонентом в этой структуре является "save_data.exe ," который выполняется только в том случае, если вредоносному ПО были предоставлены высокие привилегии. Это стратегически разработано для усиления доступа вредоносного ПО к целевой системе.

Другим важным элементом является "stats_db.exe ," ответственный за извлечение конфиденциальной информации из различных веб-браузеров, включая Google Chrome и Microsoft Edge. Извлеченные данные хранятся в каталоге %Temp%/BrowserData, что указывает на то, что основное внимание уделяется сбору учетных данных пользователей и другой личной информации из скомпрометированных браузеров. Полный спектр браузеров, на которые нацелен этот компонент, был подробно описан в дополнительных ресурсах.

Кроме того, "game_cache.exe " действует как канал связи с сервером C2, выполняя команды, выдаваемые злоумышленниками. Примечательно, что этот компонент работает с использованием ключа аутентификации, что повышает скрытность и целенаправленность кампании.

Интересно, что в течение нескольких недель после первоначальной кампании образцы Stealit вернулись к использованию платформы Electron, включив метод шифрования AES-256-GCM для защиты своих пакетов Node.js сценарии. Несмотря на изменение структуры, эти более поздние образцы сохраняют те же функциональные задачи, что и предыдущие варианты, использующие функцию SEA.

Использование кампанией Node.js Функция SEA, которая все еще находится в стадии разработки, подчеркивает инновационные и адаптивные методы, используемые злоумышленниками. Используя новизну этой функции, кампания Stealit нацелена на то, чтобы оставаться в поле зрения решений для обеспечения безопасности и аналитиков вредоносного ПО, максимально увеличивая свои шансы на успешное проникновение и эксфильтрацию данных. Стратегическое сочетание привилегированного выполнения, извлечения данных из браузера и надежных механизмов коммуникации подчеркивает изощренный подход, применяемый злоумышленниками в условиях этой меняющейся среды киберугроз.

#ParsedReport #CompletenessLow
09-10-2025

Exploring Invoice Fraud Email Attempts with Validin

https://www.validin.com/blog/consulting_invoice_scam/

Report completeness: Low

Victims:
Validin, Technology sector, Financial services sector

Industry:
Financial

Geo:
New york, America

ChatGPT TTPs:
do not use without manual check
T1566.002, T1583.001, T1583.006, T1589.003, T1593.001, T1608.001

IOCs:
Domain: 43
IP: 18
File: 1

Soft:
OpenSSL

Algorithms:
sha1, sha256

Languages:
php

#ParsedReport #ExtractedSchema

Classified images:
windows: 7, dump: 1, table: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
7 октября 2025 года было обнаружено электронное письмо с фишингом, нацеленное на мошенничество с выставлением счетов, привязанное к недавно созданному домену, связанному с "Ignitecore Consulting LLC", что потенциально способствовало мошенническим действиям. Аналитики обнаружили более 100 связанных доменов, использующих общий CSS-хэш, и заметили подозрительные атрибуты домена, включая возможное неправильное использование скомпрометированных конфигураций Cloudflare. В ходе расследования использовались уникальные идентификаторы серверов из HTTP-ответов, чтобы отследить исходные IP-адреса, связанные с контентом фишинга.
-----

7 октября 2025 года сотрудник Validin получил весьма убедительное электронное письмо с фишингом, которое побудило провести расследование его происхождения. Это конкретное электронное письмо было направлено на использование мошенничества со счетами, но отличалось своей сложной структурой, что вызывало опасения по поводу его эффективности, учитывая растущую доступность инструментов для киберпреступников. В электронном письме содержались сведения, указывающие на то, что оно было от "Ignitecore Consulting LLC", с довольно двусмысленным адресом, из-за которого не было отображений на картах Google, а также действительные банковские реквизиты, возможно, связанные со счетом Bank of America.

В ходе расследования аналитики провели проверку домена и обнаружили, что домену отправителя было менее трех дней, что указывает на новую настройку, вероятно, предназначенную для мошеннических действий. Дальнейший анализ сосредоточился на конкретном CSS-хэше, выявив более 100 связанных доменов, разделяющих этот контент-маркер, и выявив общие черты в темах, связанных с мошенничеством, таких как "consult" или "llc". Это привело к отслеживанию нескольких доменов, связанных с мошеннической операцией.

Анализ также затронул различные атрибуты домена, такие как история DNS и регистрационная информация. Примечательно, что теоретически некоторые домены использовали заброшенные или скомпрометированные конфигурации Cloudflare, которые могли позволить злоумышленникам доставлять вредоносный контент без прямого владения доменом. Исследователи использовали уникальные идентификаторы серверов, найденные в HTTP-ответах, для определения исходных IP-адресов, ссылающихся на фактические серверы, обслуживающие контент для фишинга, используя эти данные для дальнейшего определения угрозы.

#ParsedReport #CompletenessHigh
08-10-2025

X-Labs Q3 2025 Threat Brief: Obfuscated JavaScript & Steganography Enabling Malware Delivery

https://www.forcepoint.com/blog/x-labs/q3-2025-threat-brief-obfuscated-javascript-steganography

Report completeness: High

Threats:
Steganography_technique
Agent_tesla
Darkcloud
Remcos_rat
Formbook
Cloaking_technique
Dotnet_reactor_tool
Process_hollowing_technique

Victims:
Multiple industries, Email users

Geo:
Bulgaria, Iran

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1059.001, T1059.007, T1566.001

IOCs:
IP: 3
Url: 10
File: 3
Domain: 2
Email: 3

Soft:
NET Reactor, task scheduler

Algorithms:
zip, base64

Functions:
FTP

Win API:
ShowWindow, CreateProcess, VirtualAllocEx, WriteProcessMemory, ZwUnmapViewOfSection, GetThreadContext, SetThreadContext, ResumeThread, CloseHandle

Languages:
powershell, javascript, swift

#ParsedReport #ExtractedSchema

Classified images:
chart: 1, schema: 1, windows: 2, code: 6

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В третьем квартале 2025 года наблюдался рост числа кампаний по электронной почте с запутанными вложениями JavaScript, распространяющих вредоносное ПО, такое как DarkCloud, Remcos, Agent Tesla и Formbook. Эти электронные письма имитируют деловую переписку и используют сложные методы запутывания, чтобы избежать обнаружения, выполняя команды PowerShell через WMI для загрузки дополнительных полезных данных из скомпрометированных доменов. Кроме того, полезная нагрузка состоит из .NET-приложений с надежной защитой от обратного проектирования, что указывает на организованную деятельность злоумышленника, связанную с подземными платформами.
-----

В третьем квартале 2025 года произошел заметный всплеск кампаний по электронной почте, использующих вложения JavaScript, которые доставляют различные типы вредоносного ПО, в частности, нацеленные на инструменты для кражи информации и трояны удаленного доступа (RATs). Вредоносные полезные программы, такие как DarkCloud, Remcos, Agent Tesla и Formbook, относятся к числу тех, которые распространяются с помощью этой тактики. Электронные письма, составленные таким образом, чтобы они напоминали обычные деловые сообщения, часто составляются на региональном языке получателя с использованием шаблонов, обычно используемых командами по закупкам или управлению проектами.

Эти средства атаки в основном содержат запутанные вложения JavaScript, сжатые в обычных архивных форматах, таких как RAR, 7z, Zip или TAR. Отправители, как правило, используют такие домены, как *@ymail.com а IP-адреса, связанные с этими кампаниями, были идентифицированы в таких странах, как Болгария и Иран.

При анализе запутанного JavaScript скрипты демонстрируют сложные методы запутывания, когда строки разбросаны по массиву, перемежаясь необычными маркерами Unicode, включая эмодзи и редкие глифы. Эта сложность предназначена для того, чтобы затруднить обнаружение. Скрипты, после устранения обфускации, раскрывают команды PowerShell, направленные на последующую загрузку вредоносных полезных данных из скомпрометированных доменов. Эти команды выполняются через интерфейс Инструментария управления Windows(WMI), позволяющий процессам незаметно выполняться в фоновом режиме без уведомления пользователя.

Также было замечено, что скрипты PowerShell, задействованные в этих атаках, используют альтернативные методы доставки полезной нагрузки, такие как встраивание потоков в кодировке Base64 в текстовые файлы, которые представляют собой исполняемые двоичные файлы (EXE) или библиотеки динамической компоновки (DLL). Конечные полезные нагрузки, доставляемые с помощью этого фреймворка атаки, в основном .Сетевые приложения, в которых библиотеки DLL специально компилируются и защищаются с помощью таких инструментов, как Protector: .NET Reactor (6.X), который включает в себя запутывание потока управления и контрмеры против обратного проектирования.

Пространство имен "HackForums.gigajew" намекает на потенциальные связи с подпольными платформами, известными тем, что они обмениваются инструментами для вредоносного ПО и хакерскими ресурсами, что предполагает сложный уровень организации среди злоумышленников. Тенденция, наблюдаемая в третьем квартале 2025 года, указывает на продуманный подход злоумышленников к сокрытию вредоносных файлов JavaScript в обычных деловых электронных письмах, используя знакомую терминологию, такую как счета-фактуры и оповещения об отправке, для обхода мер безопасности.

В ответ на эти угрозы была внедрена аналитика безопасности электронной почты для выявления и блокирования вредоносных вложений JavaScript. Кроме того, исполняемые файлы, выполняющие функцию дропперов, документируются в базах данных анализа угроз, в то время как домены управления (C2), связанные с этими действиями, классифицируются и блокируются для снижения рисков.

#ParsedReport #CompletenessMedium
09-10-2025

Yurei: A New Ransomware Threat

https://stairwell.com/resources/yurei-a-new-ransomware-threat/

Report completeness: Medium

Threats:
Yurei
Prince_ransomware
Shadow_copies_delete_technique

Industry:
Foodtech

Geo:
Nigeria, Asia, Sri lanka, India, Japanese

IOCs:
File: 1
Hash: 5

Algorithms:
sha256

Platforms:
cross-platform

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Yurei - это новый вариант программы-вымогателя, о котором сообщает Check Point Research, использующий язык программирования Go для кросс-платформенного развертывания, что усложняет обнаружение антивирусом. Примечательно, что разработчикам не удалось удалить символы отладки, раскрывающие его связь с существующей платформой Prince-Ransomware. Быстрое распространение Yurei подчеркивает важность своевременного обнаружения, и для эффективной идентификации этой программы-вымогателя разрабатываются такие инструменты, как YARA.
-----

Yurei - это недавно идентифицированный вариант программы-вымогателя, о котором Check Point Research впервые сообщила 5 сентября 2025 года. Эта программа-вымогатель использует язык программирования Go, извлекая выгоду из его кроссплатформенных возможностей и простоты разработки, что усложняет обнаружение для многих антивирусных решений. Однако разработчики Yurei допустили существенную оплошность, не удалив отладочные символы из своих двоичных файлов. Этот неверный шаг раскрывает Yurei как модифицированную версию ранее известного фреймворка Prince-Ransomware, что указывает на зависимость новых злоумышленников от кода с открытым исходным кодом.

Инструменты обнаружения угроз, такие как YARA, были использованы для борьбы с Yurei ransomware. Исследовательская группа Stairwell Threat разработала специальное правило YARA, предназначенное для эффективной идентификации образцов Yurei. Учитывая быстрое распространение этой программы-вымогателя и потенциальный риск утечки данных, своевременное обнаружение имеет решающее значение для защитников.

Кроме того, в статье подчеркивается роль передовых аналитических инструментов, таких как Stairwell's AI Triage, которые улучшают реагирование на угрозы за счет быстрой оценки файлов и идентификации образцов Yurei. Эта возможность позволяет защитникам быстро собирать необходимые разведывательные данные и эффективно принимать контрмеры.

Таким образом, хотя Yurei, возможно, и не является вершиной изощренности программ-вымогателей, он иллюстрирует, как даже базовые недостатки вредоносного ПО с открытым исходным кодом могут нанести значительный вред. Отсутствие передовых методов в сочетании с заметными уязвимостями позволяет предположить, что при соответствующей готовности — с помощью правил YARA и постоянного мониторинга — защитники могут снизить риски, связанные с такими угрозами.

#ParsedReport #CompletenessHigh
07-10-2025

Akira Reloaded

https://blog.polyswarm.io/akira-reloaded

Report completeness: High

Threats:
Akira_ransomware
Impacket_tool
Anydesk_tool
Rustdesk_tool
Nltest_tool
Rclone_tool
Cloudflared_tool
Byovd_technique

Victims:
Construction, Manufacturing, Law firms, Organizations across multiple sectors

Industry:
Retail, Foodtech, Transport, Government, Energy, Healthcare, Financial, Entertainment, Telco

Geo:
Italy, Australia, America, Asian, Spain, Canada, India, Africa, Germany

CVEs:
CVE-2023-20269 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2024-40766 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1078, T1190, T1219, T1556, T1560.001

IOCs:
File: 2
Hash: 20

Soft:
Active Directory, SonicOS, SoftPerfect Network Scanner, MSSQL, PostgreSQL, Windows Defender, Linux, ESXi

Algorithms:
base64

Functions:
Get-ADUser

Languages:
powershell, python, swift

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
С июля 2025 года наблюдается значительный всплеск атак Akira ransomware, использующих CVE-2024-40766, в первую очередь нацеленных на SSL-VPN SonicWall. В этих атаках используются вторжения на основе учетных данных, часто ставящие под угрозу сети с использованием таких инструментов, как Impacket, и поддерживающие закрепление с помощью AnyDesk и RustDesk. Примечательно, что злоумышленники могут обходить MFA с помощью повторно используемых учетных данных, быстро получая доступ и перемещаясь по организациям, особенно в таких секторах, как строительство и юридические услуги, причем в период с июля по август было зарегистрировано более 40 инцидентов.
-----

С июля 2025 года наблюдается тревожный рост числа атак Akira ransomware, в первую очередь нацеленных на SSL-VPN SonicWall, использующих уязвимость CVE-2024-40766. Этот некорректный контроль доступа в брандмауэрах SonicWall позволяет злоумышленникам осуществлять вторжения на основе учетных данных с беспрецедентной скоростью и эффективностью, часто завершая успешные взломы менее чем за 55 минут. Методология атаки включает в себя использование украденных учетных данных для обхода Многофакторной аутентификации (MFA), что обеспечивает быстрый доступ и перемещение внутри компании в скомпрометированных сетях.

Развертывание Akira ransomware характеризуется быстрым выполнением, при этом злоумышленники используют такие инструменты, как Impacket и WinRAR, для перемещения внутри компании и промежуточных данных. Кроме того, для поддержания закрепления в среде используются инструменты удаленного управления, такие как AnyDesk и RustDesk. Такой сложный подход указывает на хорошо организованную цепочку атак, поскольку злоумышленники проходят аутентификацию в целях, часто связанных с учетными записями Active Directory и использующих LDAP для синхронизации, в том числе с MFA на основе OTP. Точные методы обхода MFA неясны, но предложения указывают на повторное использование ранее скомпрометированных учетных данных, потенциально полученных в результате более раннего использования той же уязвимости.

Фаза атаки с первоначальным доступом обычно включает в себя злонамеренный вход с Виртуальных выделенных серверов (VPS), что еще раз подчеркивает организованный и оппортунистический характер кампании. Примечательно, что даже учетные записи на недавно исправленных устройствах SonicWall — в частности, на устройствах серий NSA и TZ, работающих под управлением SonicOS версий 6 и 7, — остаются уязвимыми для этих атак. Это выявляет значительный пробел в системе кибербезопасности, подтверждая, что простого применения исправлений недостаточно, если сброс учетных данных также не выполняется принудительно.

По состоянию на сентябрь 2025 года кампания Akira ransomware продолжает демонстрировать агрессивный рост: за период с июля по август было зарегистрировано более 40 подтвержденных инцидентов. Затронутые секторы включают строительство, производство и юридические фирмы, что указывает на стратегическую ориентацию на цели с высоким вознаграждением. Растущее число филиалов в партнерской программе Akira еще больше подстегнуло этот всплеск, отражая низкий барьер для входа, который стимулирует рост преступной активности во всех отраслях. Следовательно, эта ситуация подчеркивает необходимость того, чтобы организации совершенствовали свои стратегии обнаружения и реагирования, чтобы снизить риск, создаваемый такими продвинутыми и быстрыми угрозами со стороны программ-вымогателей.

#ParsedReport #CompletenessLow
04-10-2025

PoisonSeed YouTube-themed Career Phishing

https://malasada.tech/poisonseed-youtube-themed-career-phishing/

Report completeness: Low

Actors/Campaigns:
Poisonseed
0ktapus

Threats:
Credential_harvesting_technique

Victims:
Youtube users, Job seekers, Technology sector

ChatGPT TTPs:
do not use without manual check
T1204.001, T1556.003, T1566.002

IOCs:
Domain: 50
Email: 2
Url: 2

Soft:
SalesForce, nginx

Platforms:
intel

Links:
https://gist.github.com/BushidoUK/daf14c2066cfd530114d9227cf85c328
have more...
https://github.com/DomainTools/SecuritySnacks/blob/main/2025/PoisonSeed\_Domains\_July2025.csv#L404

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания карьерного фишинга на YouTube, связанная с злоумышленником PoisonSeed, использует ресурсы Salesforce для рассылки вводящих в заблуждение электронных писем, содержащих Вредоносные ссылки. Пользователи перенаправляются на поддельную страницу с ошибкой, которая приводит к поддельной форме планирования, предназначенной для сбора учетных данных, включая имена пользователей и пароли. Эта кампания использует тактику уклонения от обнаружения, такую как использование страницы nginx по умолчанию для представления себя безвредной, и связана с предыдущими тенденциями фишинга, связанными с аналогичными злоумышленниками.
-----

Расследование освещает кампанию карьерного фишинга на YouTube, которая, вероятно, связана с злоумышленником PoisonSeed. В рамках кампании используются ресурсы SalesForce для облегчения доставки фишинг-писем, которые кажутся подлинными и обманом заставляют пользователей подключаться к вредоносному контенту. Электронные письма обычно содержат ссылку, которая ведет на URL-адрес системы отслеживания SalesForce, в частности на домен "cl.s12.exct.net ." Эта схема свидетельствует о тактике, применяемой злоумышленниками, которые стремятся подделать законные сообщения.

Как только пользователи нажимают на встроенную ссылку, они перенаправляются на целевую страницу для фишинга, созданную так, чтобы она напоминала поддельную страницу с ошибкой. Такая конструкция служит мерой противодействия анализу, усложняющей автоматизированное обнаружение. Следующий шаг в процессе фишинга включает в себя представление поддельной формы планирования, в которой пользователям предлагается ввести свои учетные данные под предлогом завершения законного процесса. Хотя ни в одном из записанных сеансов не было показано заполнение этой формы, можно с высокой степенью уверенности предположить, что пользователи столкнутся с поддельным интерфейсом входа в систему, направленным на захват имен пользователей и паролей.

Методология кампании также включает в себя различные тактики для поддержания закрепления и уклонения от обнаружения. Например, использование страницы nginx по умолчанию служит средством проверки, которое может ввести исследователей в заблуждение, заставив их поверить, что домен безвреден, если он не обслуживает страницу фишинга. Кроме того, показатели, собранные другими аналитиками и различными базами данных, указывают на устойчивый характер этой операции фишинга, связывая ее с тенденциями, отмеченными в предыдущих кампаниях, приписываемых тем же или связанным с ними злоумышленникам.

Аналитикам рекомендуется использовать специальные поисковые инструменты, такие как Any Run, для выявления дополнительных случаев этой кампании фишинга. Это может включать в себя запрос уникальных доменных имен отправителей электронной почты или связанных с ними вредоносных URL-адресов. Анализ атрибуции, включая информацию от значительных специалистов в этой области, соотносит эту деятельность с обозначением PoisonSeed, подчеркивая ее связь с более широкой тактикой фишинга, исторически связанной с такими группами, как 0ktapus и Scattered Spider.

#ParsedReport #CompletenessLow
11-10-2025

Hunting For TamperedChef Infostealer

https://medium.com/@Mr.AnyThink/hunting-for-tamperedchef-infostealer-825dc94cee00?source=rss-b61b59bd2c7c------2

Report completeness: Low

Threats:
Tamperedchef
Justaskjacky
Epibrowser
Credential_harvesting_technique
Credential_dumping_technique

TTPs:
Tactics: 3
Technics: 6

IOCs:
File: 3
Command: 3
Path: 5
Registry: 12
Domain: 5

Soft:
Node.js, Chrome

Languages:
javascript