#ParsedReport #CompletenessHigh
07-10-2025

Akira Reloaded

https://blog.polyswarm.io/akira-reloaded

Report completeness: High

Threats:
Akira_ransomware
Impacket_tool
Anydesk_tool
Rustdesk_tool
Nltest_tool
Rclone_tool
Cloudflared_tool
Byovd_technique

Victims:
Construction, Manufacturing, Law firms, Organizations across multiple sectors

Industry:
Retail, Foodtech, Transport, Government, Energy, Healthcare, Financial, Entertainment, Telco

Geo:
Italy, Australia, America, Asian, Spain, Canada, India, Africa, Germany

CVEs:
CVE-2023-20269 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2024-40766 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1078, T1190, T1219, T1556, T1560.001

IOCs:
File: 2
Hash: 20

Soft:
Active Directory, SonicOS, SoftPerfect Network Scanner, MSSQL, PostgreSQL, Windows Defender, Linux, ESXi

Algorithms:
base64

Functions:
Get-ADUser

Languages:
powershell, python, swift

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
С июля 2025 года наблюдается значительный всплеск атак Akira ransomware, использующих CVE-2024-40766, в первую очередь нацеленных на SSL-VPN SonicWall. В этих атаках используются вторжения на основе учетных данных, часто ставящие под угрозу сети с использованием таких инструментов, как Impacket, и поддерживающие закрепление с помощью AnyDesk и RustDesk. Примечательно, что злоумышленники могут обходить MFA с помощью повторно используемых учетных данных, быстро получая доступ и перемещаясь по организациям, особенно в таких секторах, как строительство и юридические услуги, причем в период с июля по август было зарегистрировано более 40 инцидентов.
-----

С июля 2025 года наблюдается тревожный рост числа атак Akira ransomware, в первую очередь нацеленных на SSL-VPN SonicWall, использующих уязвимость CVE-2024-40766. Этот некорректный контроль доступа в брандмауэрах SonicWall позволяет злоумышленникам осуществлять вторжения на основе учетных данных с беспрецедентной скоростью и эффективностью, часто завершая успешные взломы менее чем за 55 минут. Методология атаки включает в себя использование украденных учетных данных для обхода Многофакторной аутентификации (MFA), что обеспечивает быстрый доступ и перемещение внутри компании в скомпрометированных сетях.

Развертывание Akira ransomware характеризуется быстрым выполнением, при этом злоумышленники используют такие инструменты, как Impacket и WinRAR, для перемещения внутри компании и промежуточных данных. Кроме того, для поддержания закрепления в среде используются инструменты удаленного управления, такие как AnyDesk и RustDesk. Такой сложный подход указывает на хорошо организованную цепочку атак, поскольку злоумышленники проходят аутентификацию в целях, часто связанных с учетными записями Active Directory и использующих LDAP для синхронизации, в том числе с MFA на основе OTP. Точные методы обхода MFA неясны, но предложения указывают на повторное использование ранее скомпрометированных учетных данных, потенциально полученных в результате более раннего использования той же уязвимости.

Фаза атаки с первоначальным доступом обычно включает в себя злонамеренный вход с Виртуальных выделенных серверов (VPS), что еще раз подчеркивает организованный и оппортунистический характер кампании. Примечательно, что даже учетные записи на недавно исправленных устройствах SonicWall — в частности, на устройствах серий NSA и TZ, работающих под управлением SonicOS версий 6 и 7, — остаются уязвимыми для этих атак. Это выявляет значительный пробел в системе кибербезопасности, подтверждая, что простого применения исправлений недостаточно, если сброс учетных данных также не выполняется принудительно.

По состоянию на сентябрь 2025 года кампания Akira ransomware продолжает демонстрировать агрессивный рост: за период с июля по август было зарегистрировано более 40 подтвержденных инцидентов. Затронутые секторы включают строительство, производство и юридические фирмы, что указывает на стратегическую ориентацию на цели с высоким вознаграждением. Растущее число филиалов в партнерской программе Akira еще больше подстегнуло этот всплеск, отражая низкий барьер для входа, который стимулирует рост преступной активности во всех отраслях. Следовательно, эта ситуация подчеркивает необходимость того, чтобы организации совершенствовали свои стратегии обнаружения и реагирования, чтобы снизить риск, создаваемый такими продвинутыми и быстрыми угрозами со стороны программ-вымогателей.

#ParsedReport #CompletenessLow
04-10-2025

PoisonSeed YouTube-themed Career Phishing

https://malasada.tech/poisonseed-youtube-themed-career-phishing/

Report completeness: Low

Actors/Campaigns:
Poisonseed
0ktapus

Threats:
Credential_harvesting_technique

Victims:
Youtube users, Job seekers, Technology sector

ChatGPT TTPs:
do not use without manual check
T1204.001, T1556.003, T1566.002

IOCs:
Domain: 50
Email: 2
Url: 2

Soft:
SalesForce, nginx

Platforms:
intel

Links:
https://gist.github.com/BushidoUK/daf14c2066cfd530114d9227cf85c328
have more...
https://github.com/DomainTools/SecuritySnacks/blob/main/2025/PoisonSeed\_Domains\_July2025.csv#L404

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания карьерного фишинга на YouTube, связанная с злоумышленником PoisonSeed, использует ресурсы Salesforce для рассылки вводящих в заблуждение электронных писем, содержащих Вредоносные ссылки. Пользователи перенаправляются на поддельную страницу с ошибкой, которая приводит к поддельной форме планирования, предназначенной для сбора учетных данных, включая имена пользователей и пароли. Эта кампания использует тактику уклонения от обнаружения, такую как использование страницы nginx по умолчанию для представления себя безвредной, и связана с предыдущими тенденциями фишинга, связанными с аналогичными злоумышленниками.
-----

Расследование освещает кампанию карьерного фишинга на YouTube, которая, вероятно, связана с злоумышленником PoisonSeed. В рамках кампании используются ресурсы SalesForce для облегчения доставки фишинг-писем, которые кажутся подлинными и обманом заставляют пользователей подключаться к вредоносному контенту. Электронные письма обычно содержат ссылку, которая ведет на URL-адрес системы отслеживания SalesForce, в частности на домен "cl.s12.exct.net ." Эта схема свидетельствует о тактике, применяемой злоумышленниками, которые стремятся подделать законные сообщения.

Как только пользователи нажимают на встроенную ссылку, они перенаправляются на целевую страницу для фишинга, созданную так, чтобы она напоминала поддельную страницу с ошибкой. Такая конструкция служит мерой противодействия анализу, усложняющей автоматизированное обнаружение. Следующий шаг в процессе фишинга включает в себя представление поддельной формы планирования, в которой пользователям предлагается ввести свои учетные данные под предлогом завершения законного процесса. Хотя ни в одном из записанных сеансов не было показано заполнение этой формы, можно с высокой степенью уверенности предположить, что пользователи столкнутся с поддельным интерфейсом входа в систему, направленным на захват имен пользователей и паролей.

Методология кампании также включает в себя различные тактики для поддержания закрепления и уклонения от обнаружения. Например, использование страницы nginx по умолчанию служит средством проверки, которое может ввести исследователей в заблуждение, заставив их поверить, что домен безвреден, если он не обслуживает страницу фишинга. Кроме того, показатели, собранные другими аналитиками и различными базами данных, указывают на устойчивый характер этой операции фишинга, связывая ее с тенденциями, отмеченными в предыдущих кампаниях, приписываемых тем же или связанным с ними злоумышленникам.

Аналитикам рекомендуется использовать специальные поисковые инструменты, такие как Any Run, для выявления дополнительных случаев этой кампании фишинга. Это может включать в себя запрос уникальных доменных имен отправителей электронной почты или связанных с ними вредоносных URL-адресов. Анализ атрибуции, включая информацию от значительных специалистов в этой области, соотносит эту деятельность с обозначением PoisonSeed, подчеркивая ее связь с более широкой тактикой фишинга, исторически связанной с такими группами, как 0ktapus и Scattered Spider.

#ParsedReport #CompletenessLow
11-10-2025

Hunting For TamperedChef Infostealer

https://medium.com/@Mr.AnyThink/hunting-for-tamperedchef-infostealer-825dc94cee00?source=rss-b61b59bd2c7c------2

Report completeness: Low

Threats:
Tamperedchef
Justaskjacky
Epibrowser
Credential_harvesting_technique
Credential_dumping_technique

TTPs:
Tactics: 3
Technics: 6

IOCs:
File: 3
Command: 3
Path: 5
Registry: 12
Domain: 5

Soft:
Node.js, Chrome

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
TamperedChef - это стиллер информации, который маскируется под законное программное обеспечение, поставляемое в комплекте с приложениями, и поставляется посредством загрузки по инициативе пользователя. Он устанавливает себя сам, выполняя полезную нагрузку JavaScript через Node.js , создает запланированную задачу для закрепления и проводит разведку с помощью WMI для опроса активных браузеров и программного обеспечения безопасности. Вредоносное ПО нацелено на сбор учетных записей из различных источников, включая базы данных SQLite, секретные данные DPAPI и локальные Менеджеры паролей, при этом используются тактические приемы из платформы MITRE ATT&CK, такие как выполнение из командной строки, получение учетных данных и методы обхода защиты.
-----

TamperedChef - это недавно идентифицированный стиллер информации, который маскируется под законное программное обеспечение, обычно поставляется в комплекте с такими приложениями, как PDF-редакторы или программы для чтения вручную, и поставляется путем загрузки по инициативе пользователя. После запуска он использует различные методы для самоутверждения и извлечения конфиденциальной информации.

После установки TamperedChef автоматически запускает команду с помощью командной строки (cmd.exe ), с помощью Node.js время выполнения (node.exe ) выполняет свою полезную нагрузку JavaScript. Эта полезная нагрузка размещена в имени файла GUID в каталоге %TEMP% и содержит функции для сбора данных и связи с серверами управления.

Чтобы обеспечить закрепление, TamperedChef создает запланированную задачу, которая позволяет ей оставаться активной даже после перезагрузки системы. Вредоносное ПО проводит разведку зараженной системы, чтобы определить, какие браузеры и программное обеспечение безопасности присутствуют. Он использует Инструментарий управления Windows(WMI) для перечисления процессов, проверяя наличие активных браузеров, таких как Chrome и Edge. Кроме того, он обращается к системному реестру для сбора информации о другом установленном программном обеспечении, помогая понять меры безопасности на устройстве.

Для сбора учетных записей стиллер ориентирован на несколько источников. Он извлекает данные для входа в систему и веб—данные из баз данных SQLite, связанных с Chrome и Edge, извлекает секреты Windows Data Protection API (DPAPI) — зашифрованные данные, хранящиеся локально, - и обращается к локальным Менеджерам паролей для любых сохраненных учетных данных пользователя.

С точки зрения поведения и методологии атаки, действия TamperedChef's согласуются с различными техниками, описанными в рамках MITRE ATT&CK. В частности, выполнение достигается с помощью действий командной строки (T1059), получение учетных данных осуществляется путем извлечения из хранилищ паролей (T1555) и Получения дампа учетных данных операционной системы (T1003). Вредоносное ПО использует тактику обхода защиты, такую как выполнение двоичного прокси-сервера с подписью (T1218) и Маскировку (T1036), чтобы избежать обнаружения, в то время как закрепление устанавливается с помощью запланированных задач (T1053). Кроме того, методы обнаружения системы (T1082) и запроса реестра (T1012) используются как часть этапа разведки.

#ParsedReport #CompletenessMedium
08-10-2025

Variants of BlackTech's Kivars malware identified in 2025.

https://sect.iij.ad.jp/blog/2025/10/blacktech-malware-kivars-2025/

Report completeness: Medium

Actors/Campaigns:
Blacktech (motivation: cyber_espionage)
Unc5325

Threats:
Kivars
Nailaolocker
Lumma_stealer
Rig_tool
Matrix_ransom
Mirai
Tinyshell

Victims:
Companies and organizations in japan and taiwan

Geo:
Taiwan, Japan, China

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1055, T1057, T1071.001, T1543.003

IOCs:
File: 5
Hash: 12
Domain: 9
IP: 9
Registry: 1

Soft:
Windows service, Twitter, Linux

Algorithms:
rc4, sha256

Links:
https://github.com/mopisec/research/blob/main/decrypt\_kivars\_21201\_config.py

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, dump: 1, code: 5, windows: 2, chart: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносное ПО Kivars, связанное с группой BlackTech, развивалось с 2010 года, преимущественно угрожая организациям в Японии и Тайване различными недавними вариантами. Метод работы вредоносного ПО включает развертывание загрузчика, который устанавливается вместе с зашифрованными файлами и устанавливает Службу Windows для закрепления, в то время как он передает данные через порты 389 и 443 в свою инфраструктуру управления. Примечательно, что вредоносное ПО обладает способностью обнаруживать инструменты анализа, что отражает его изощренные методы уклонения.
-----

Вредоносное ПО Kivars, связанное с группой BlackTech, отслеживается примерно с 2010 года и представляет значительную угрозу, особенно для организаций в Японии и Тайване. Последние события, произошедшие в 2025 году, выявили несколько вариантов этого вредоносного ПО. Известные инциденты в прошлом включают использование бэкдоров прошивки Cisco, что отражает эволюционирующую тактику, применяемую группой.

Механизм работы Kivars начинается с развертывания загрузчика BlackTech, который помещает как загрузчик, так и зашифрованные файлы Kivars в системный каталог скомпрометированного компьютера. Впоследствии злоумышленник создает Службу Windows для закрепления, после чего запускается загрузчик Kivars для запуска его полезной нагрузки в памяти. Этот метод гарантирует, что вредоносное ПО Kivars остается эффективным, избегая обнаружения аналитическими инструментами.

Когда Kivars запускается, он выполняет перечисление процессов, чтобы подтвердить, что никакие инструменты анализа не активны, демонстрируя высокую осведомленность о своей операционной среде. На техническом уровне вредоносное ПО обменивается данными в основном через порты 389 и 443 с указанными внешними адресатами, что указывает на выбор им широко используемых сетевых каналов для облегчения связи и, возможно, операций управления.

Для улучшения реагирования на инциденты и анализа угроз, связанных с Kivars, был разработан специализированный инструмент, который позволяет извлекать, расшифровывать и анализировать данные конфигурации Kivars непосредственно из его загрузчика. Этот инструмент, доступный в общедоступном репозитории GitHub, подчеркивает растущую важность ресурсов сообщества в борьбе с этой постоянной угрозой.

Было задокументировано несколько файловых хэшей, связанных с Kivars и его вариантами загрузки, что иллюстрирует разнообразие и потенциальное воздействие этого набора вредоносных ПО. Информация, связанная с обнаружением и поведением Kivars, подчеркивает возможности и намерения группы, что требует повышенной бдительности со стороны целевых секторов и требует принятия надежных защитных мер.

#ParsedReport #CompletenessMedium
10-10-2025

North Koreas Contagious Interview Campaign Escalates: 338 Malicious npm Packages, 50,000 Downloads

https://socket.dev/blog/north-korea-contagious-interview-campaign-338-malicious-npm-packages

Report completeness: Medium

Actors/Campaigns:
Contagious_interview (motivation: financially_motivated, cyber_espionage)

Threats:
Beavertail
Hexeval
Xorindex
Invisibleferret
Typosquatting_technique
Supply_chain_technique
Strictor

Victims:
Cryptocurrency sector, Blockchain sector, Web3 developers, Technical job seekers

Industry:
Financial, Healthcare

Geo:
North koreas, North korea, Dprk, North korean

TTPs:
Tactics: 6
Technics: 9

IOCs:
File: 8
Email: 183
IP: 7
Url: 8

Soft:
macOS, Linux

Wallets:
tron

Crypto:
bitcoin, ethereum

Algorithms:
aes-256-cbc

Languages:
python, javascript

Platforms:
cross-platform

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 3, chats: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Северная Корея активизировала свою кампанию по Contagious Interview, используя реестр npm для распространения более 338 вредоносных пакетов, нацеленных на разработчиков криптовалют. Операция включает в себя тактику социальной инженерии, направленную на то, чтобы заманить жертв к выполнению вредоносного кода с помощью вводящих в заблуждение предложений о собеседовании, используя для эксплуатации перехватчики жизненного цикла npm. Ключевые компоненты вредоносного ПО включают загрузчики, которые облегчают выполнение бэкдоров BeaverTail и InvisibleFerret в нескольких операционных системах, нацеленных в первую очередь на кражу криптовалюты и постоянный доступ к скомпрометированным системам.
-----

Кампания Северной Кореи "Contagious Interview" включала распространение более 338 вредоносных пакетов через реестр npm с примерно 50 000 загрузок. Целями часто становятся разработчики криптовалют и блокчейна, а злоумышленники Маскировка под вербовщиков в Социальных сетях, в частности в LinkedIn. Кампания включает в себя фазу быстрого создания оружия, на которой злоумышленники часто загружают измененный вредоносный код. Злоумышленники отправляют сообщения-интервью, в которых жертвам предлагается клонировать репозитории, которые выполняют сценарий инициализации для запуска цепочки вредоносного ПО. Эксплуатация основана на том, что жертвы выполняют вредоносный код без использования уязвимостей программного обеспечения. Вредоносное ПО работает с помощью перехватчиков жизненного цикла npm во время процессов установки или импорта. Он использует три семейства загрузчиков для перехода от доставки к выполнению вредоносного кода. Первоначальные загрузчики запускают вложенные пакеты, которые восстанавливают в памяти сложное вредоносное ПО, известное как BeaverTail, которое затем извлекает бэкдор под названием InvisibleFerret для кроссплатформенной работы. Вредоносное ПО использует методы обфускации, такие как кодирование полезной нагрузки и XOR-шифрование, чтобы избежать обнаружения. BeaverTail взаимодействует через HTTP (ы) и WebSocket для командования и контроля, стремясь к краже криптовалюты и постоянному доступу к системам жертв. Сообщается, что акторы, связанные с Северной Кореей, украли 2 миллиарда долларов в 2025 году, что указывает на значительные финансовые мотивы. Тактика отражает тенденции социальной инженерии в криптосекторе, манипулируя жертвами, заставляя их запускать вредоносное ПО. Кампания соответствует тактике MITRE ATT&CK, включая Компрометацию цепочки поставок, Выполнение с участием пользователей и запутывание вредоносных скриптов.

#ParsedReport #CompletenessMedium
11-10-2025

APT \| Sea Lotus Group Havoc Remote Control Trojan Analysis

https://www.ctfiot.com/273664.html

Report completeness: Medium

Actors/Campaigns:
Oceanlotus
C5pider

Threats:
Havoc

Victims:
Party and government organs, National defense and military industry, Scientific research institutes, Critical information infrastructure, Energy, Healthcare, Civil military integration

Industry:
Military, Healthcare, Energy, Government

Geo:
Asia, Asian, China, Vietnam

TTPs:
Tactics: 1
Technics: 0

IOCs:
IP: 1
Registry: 1
File: 26
Hash: 2

Soft:
Mac OS, WeChat

Algorithms:
deflate, aes, md5, gzip, aes-256-ctr

Win API:
RtlAddVectoredExceptionHandler, ReleaseDC, CommandLineToArgvW, SysAllocString, WinHttpGetProxyForUrl, GetSidSubAuthority, LsaEnumerateLogonSessions, GetAdaptersInfo

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа Sea Lotus, или APT32, является хакерской группировкой в Юго-Восточной Азии, которая распространила свою деятельность с китайского правительства и вооруженных сил на более широкие секторы, такие как энергетика и здравоохранение. Они используют методы Целевого фишинга и пользовательское вредоносное ПО, такое как троянец удаленного управления Havoc, для проникновения в сети и извлечения конфиденциальных данных. Их эволюционирующая тактика указывает на постоянную угрозу, которая направлена на то, чтобы влиять на региональную политическую динамику, сохраняя при этом сложные возможности удаленного доступа.
-----

Группа Sea Lotus, также известная как OceanLotus или APT32, представляет собой хакерскую группировку в Юго-Восточной Азии, которая участвует в кампаниях по сложной целенаправленной угрозе (APT), в первую очередь нацеленных на Китай и страны Юго-Восточной Азии. С годами эта группа переключила свое внимание на более широкий спектр секторов, включая критически важную информационную инфраструктуру, энергетику, здравоохранение и гражданско-военную интеграцию, расширив сферу своей деятельности за пределы предыдущих целей, таких как китайское правительство, военные и научные учреждения.

В ходе недавних атак Sea Lotus использовала различные методы Целевого фишинга для проникновения в сети и извлечения конфиденциальных данных. Их тактика часто включает в себя использование социальной инженерии, нацеленной на внутренние оппозиционные группы, а также организации в соседних странах. Это отражает стратегический подход, направленный не только на сбор разведывательных данных, но и на то, чтобы нарушить политическую динамику в регионе или повлиять на нее.

Группа фокусируется на использовании пользовательского вредоносного ПО, включая троянца удаленного управления Havoc, который предназначен для облегчения удаленного доступа к скомпрометированным системам. Havoc свидетельствует о технических возможностях группы в разработке сложных инструментов, которые могут поддерживать постоянные соединения и обеспечивать всесторонний сбор данных. Возможности этого троянца подчеркивают угрозу, исходящую от Sea Lotus, которая продолжает адаптировать и развивать свои методологии в ответ на контрмеры.

В результате организации в целевых регионах должны сохранять бдительность, внедряя надежные меры кибербезопасности для защиты от потенциальных вторжений и несанкционированного доступа, возникающих в результате этих целевых кампаний по наисложнейшим целенаправленным угрозам.

#ParsedReport #CompletenessLow
09-10-2025

Investigating targeted payroll pirate attacks affecting US universities

https://www.microsoft.com/en-us/security/blog/2025/10/09/investigating-targeted-payroll-pirate-attacks-affecting-us-universities/

Report completeness: Low

Actors/Campaigns:
Storm-2657 (motivation: financially_motivated)

Threats:
Aitm_technique
Bec_technique

Victims:
Higher education, Universities, Us based organizations, Employees

Industry:
Financial, Education

TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 3

Soft:
Microsoft Defender, Microsoft Exchange, Office 365, Android, Twitter

Functions:
InternetMessageId