#technique #llm
Pattern Enhanced Multi-Turn Jailbreaking: Exploiting Structural Vulnerabilities in Large Language Models
https://arxiv.org/html/2510.08859v1
Pattern Enhanced Multi-Turn Jailbreaking: Exploiting Structural Vulnerabilities in Large Language Models
https://arxiv.org/html/2510.08859v1
#ParsedReport #CompletenessHigh
15-10-2025
Mysterious Elephant: a growing threat
https://securelist.com/mysterious-elephant-apt-ttps-and-tools/117596/
Report completeness: High
Actors/Campaigns:
Mysterious_elephant (motivation: information_theft)
Apt59
Donot
Sidewinder
Threats:
Babshell
Memloader_tool
Vtyrei
Spear-phishing_technique
Remcos_rat
Vxrat
Chromestealer_exfiltrator
Victims:
Government entities, Diplomatic institutions, Foreign affairs sector
Industry:
Government
Geo:
Bangladesh, Asia, Apac, Asia-pacific, Sri lanka, Nepal, Afghanistan, Pakistan
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1020, T1027, T1041, T1059.001, T1071.001, T1082, T1105, T1203, T1204, T1218.011, have more...
IOCs:
File: 9
Hash: 16
Url: 6
Domain: 4
IP: 3
Soft:
WhatsApp, curl, Google Chrome, Chrome
Algorithms:
md5, xor, rc4, zip, base64
Languages:
powershell
15-10-2025
Mysterious Elephant: a growing threat
https://securelist.com/mysterious-elephant-apt-ttps-and-tools/117596/
Report completeness: High
Actors/Campaigns:
Mysterious_elephant (motivation: information_theft)
Apt59
Donot
Sidewinder
Threats:
Babshell
Memloader_tool
Vtyrei
Spear-phishing_technique
Remcos_rat
Vxrat
Chromestealer_exfiltrator
Victims:
Government entities, Diplomatic institutions, Foreign affairs sector
Industry:
Government
Geo:
Bangladesh, Asia, Apac, Asia-pacific, Sri lanka, Nepal, Afghanistan, Pakistan
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1020, T1027, T1041, T1059.001, T1071.001, T1082, T1105, T1203, T1204, T1218.011, have more...
IOCs:
File: 9
Hash: 16
Url: 6
Domain: 4
IP: 3
Soft:
WhatsApp, curl, Google Chrome, Chrome
Algorithms:
md5, xor, rc4, zip, base64
Languages:
powershell
Securelist
Mysterious Elephant APT: TTPs and tools
Kaspersky GReAT experts describe the latest Mysterious Elephant APT activity. The threat actor exfiltrates data related to WhatsApp and employs tools such as BabShell and MemLoader HidenDesk.
CTT Report Hub
#ParsedReport #CompletenessHigh 15-10-2025 Mysterious Elephant: a growing threat https://securelist.com/mysterious-elephant-apt-ttps-and-tools/117596/ Report completeness: High Actors/Campaigns: Mysterious_elephant (motivation: information_theft) Apt59…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Mysterious Elephant - это APT группировка, нацеленная на государственные структуры в Азиатско-Тихоокеанском регионе, использующая адаптивные тактики, такие как WhatsApp, для эксфильтрации данных. Их инструментарий включает в себя обратную оболочку BabShell для установления постоянных подключений и использования пользовательских инструментов с открытым исходным кодом для целевых кампаний фишинга, особенно ориентированных на организации из Южной Азии. Группа использует сложные методы, такие как рекурсивный обход каталогов и методы DNS с подстановочными знаками, для усиления уклонения и поддержания оперативной секретности.
-----
Mysterious Elephant - это APT группировка, идентифицированная Kaspersky GReAT в 2023 году, известная тем, что она нацелена на государственные структуры и внешнеполитические ведомства в Азиатско-Тихоокеанском регионе. Эта группа продемонстрировала значительную способность адаптировать и развивать свои тактики, методы и процедуры (TTP), в частности, используя сообщения WhatsApp для извлечения конфиденциальных данных, таких как документы и изображения.
Первоначальные оценки классифицировали Mysterious Elephant наряду с злоумышленником Confucius, но дальнейшие исследования выявили сложную связь с несколькими группами сложных целенаправленных угроз, включая Origami Elephant и SideWinder. Их вредоносное ПО демонстрирует заимствованный у этих групп код, который Mysterious Elephant продолжает разрабатывать и перепрофилировать, создавая обновленные версии существующих инструментов. Одной из их ранних тактик было использование CVE-2017-11882 с использованием загрузчика под названием "Vtyrei", который ранее был связан с Origami Elephant.
Последняя кампания группы, раскрытая в начале 2025 года, знаменует собой стратегический сдвиг, включающий методы spear phishing, адаптированные к конкретным жертвам, особенно нацеленные на организации в Южной Азии, такие как Пакистан. Эти электронные письма с фишингом предназначены для имитации законной переписки и тесно связаны с дипломатической тематикой. Вместо использования известного вредоносного ПО Mysterious Elephant использует комбинацию пользовательских инструментов и инструментов с открытым исходным кодом, демонстрируя сложный подход к доступу к целям.
Одним из важных компонентов в их арсенале является BabShell, инструмент обратной оболочки, разработанный на C++, который помогает устанавливать постоянное подключение к скомпрометированным системам. После выполнения BabShell собирает системную информацию и может выполнять команды или развертывать дополнительные полезные нагрузки. Группа также использует скрипты PowerShell для облегчения выполнения команд и поддержания закрепления в скомпрометированных сетях. Их стратегии эксфильтрации включают специализированные инструменты, направленные на кражу данных из WhatsApp, используя такие методы, как рекурсивный обход каталогов и методы кодирования, чтобы избежать обнаружения при загрузке украденной информации на их серверы командования и контроля (C2).
Инфраструктура Mysterious Elephant использует сеть развивающихся доменов и IP-адресов, используя такие методы, как DNS-записи с подстановочными знаками, для создания уникальных доменов, что усложняет отслеживание. Они в значительной степени полагаются на Виртуальные выделенные серверы (VPS) и Облачные сервисы, позволяющие осуществлять масштабируемые операции и обходные маневры. Их атаки в основном нацелены на правительственный сектор и сектор иностранных дел преимущественно в Пакистане, Бангладеш и Шри-Ланке, используя специально разработанную полезную нагрузку для целенаправленного проникновения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Mysterious Elephant - это APT группировка, нацеленная на государственные структуры в Азиатско-Тихоокеанском регионе, использующая адаптивные тактики, такие как WhatsApp, для эксфильтрации данных. Их инструментарий включает в себя обратную оболочку BabShell для установления постоянных подключений и использования пользовательских инструментов с открытым исходным кодом для целевых кампаний фишинга, особенно ориентированных на организации из Южной Азии. Группа использует сложные методы, такие как рекурсивный обход каталогов и методы DNS с подстановочными знаками, для усиления уклонения и поддержания оперативной секретности.
-----
Mysterious Elephant - это APT группировка, идентифицированная Kaspersky GReAT в 2023 году, известная тем, что она нацелена на государственные структуры и внешнеполитические ведомства в Азиатско-Тихоокеанском регионе. Эта группа продемонстрировала значительную способность адаптировать и развивать свои тактики, методы и процедуры (TTP), в частности, используя сообщения WhatsApp для извлечения конфиденциальных данных, таких как документы и изображения.
Первоначальные оценки классифицировали Mysterious Elephant наряду с злоумышленником Confucius, но дальнейшие исследования выявили сложную связь с несколькими группами сложных целенаправленных угроз, включая Origami Elephant и SideWinder. Их вредоносное ПО демонстрирует заимствованный у этих групп код, который Mysterious Elephant продолжает разрабатывать и перепрофилировать, создавая обновленные версии существующих инструментов. Одной из их ранних тактик было использование CVE-2017-11882 с использованием загрузчика под названием "Vtyrei", который ранее был связан с Origami Elephant.
Последняя кампания группы, раскрытая в начале 2025 года, знаменует собой стратегический сдвиг, включающий методы spear phishing, адаптированные к конкретным жертвам, особенно нацеленные на организации в Южной Азии, такие как Пакистан. Эти электронные письма с фишингом предназначены для имитации законной переписки и тесно связаны с дипломатической тематикой. Вместо использования известного вредоносного ПО Mysterious Elephant использует комбинацию пользовательских инструментов и инструментов с открытым исходным кодом, демонстрируя сложный подход к доступу к целям.
Одним из важных компонентов в их арсенале является BabShell, инструмент обратной оболочки, разработанный на C++, который помогает устанавливать постоянное подключение к скомпрометированным системам. После выполнения BabShell собирает системную информацию и может выполнять команды или развертывать дополнительные полезные нагрузки. Группа также использует скрипты PowerShell для облегчения выполнения команд и поддержания закрепления в скомпрометированных сетях. Их стратегии эксфильтрации включают специализированные инструменты, направленные на кражу данных из WhatsApp, используя такие методы, как рекурсивный обход каталогов и методы кодирования, чтобы избежать обнаружения при загрузке украденной информации на их серверы командования и контроля (C2).
Инфраструктура Mysterious Elephant использует сеть развивающихся доменов и IP-адресов, используя такие методы, как DNS-записи с подстановочными знаками, для создания уникальных доменов, что усложняет отслеживание. Они в значительной степени полагаются на Виртуальные выделенные серверы (VPS) и Облачные сервисы, позволяющие осуществлять масштабируемые операции и обходные маневры. Их атаки в основном нацелены на правительственный сектор и сектор иностранных дел преимущественно в Пакистане, Бангладеш и Шри-Ланке, используя специально разработанную полезную нагрузку для целенаправленного проникновения.
#ParsedReport #CompletenessHigh
15-10-2025
StealthServer: A Dual-Platform Backdoor from a South Asian APT Group
https://blog.xlab.qianxin.com/apt-stealthserver-en/
Report completeness: High
Actors/Campaigns:
Transparenttribe
Threats:
Stealthserver
Junk_code_technique
Antidebugging_technique
Victims:
Government sector, Defense sector, South asian region
Industry:
Military, Government
Geo:
Bulgaria, Switzerland, Israeli, Netherlands, Asian, France
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1041, T1059.005, T1071.001, T1105, T1204.002, T1497.001, T1566.001
IOCs:
Domain: 13
IP: 3
Hash: 12
File: 9
Url: 7
Command: 3
Registry: 1
Soft:
Linux, Firefox, curl, crontab, systemd, VirtualBox, QEMU, Hyper-V, Node.js, Windows Defender, have more...
Algorithms:
aes-gcm, exhibit, xor, base64, sha256, aes
Win API:
IsDebuggerPresent
Languages:
powershell, golang
15-10-2025
StealthServer: A Dual-Platform Backdoor from a South Asian APT Group
https://blog.xlab.qianxin.com/apt-stealthserver-en/
Report completeness: High
Actors/Campaigns:
Transparenttribe
Threats:
Stealthserver
Junk_code_technique
Antidebugging_technique
Victims:
Government sector, Defense sector, South asian region
Industry:
Military, Government
Geo:
Bulgaria, Switzerland, Israeli, Netherlands, Asian, France
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1041, T1059.005, T1071.001, T1105, T1204.002, T1497.001, T1566.001
IOCs:
Domain: 13
IP: 3
Hash: 12
File: 9
Url: 7
Command: 3
Registry: 1
Soft:
Linux, Firefox, curl, crontab, systemd, VirtualBox, QEMU, Hyper-V, Node.js, Windows Defender, have more...
Algorithms:
aes-gcm, exhibit, xor, base64, sha256, aes
Win API:
IsDebuggerPresent
Languages:
powershell, golang
奇安信 X 实验室
StealthServer: A Dual-Platform Backdoor from a South Asian APT Group
The South Asian region has long been a hotspot for cyberattacks, where multiple APT groups remain highly active, continuously increasing both the frequency and sophistication of their operations. Our team has also been monitoring and collecting related intelligence.…
CTT Report Hub
#ParsedReport #CompletenessHigh 15-10-2025 StealthServer: A Dual-Platform Backdoor from a South Asian APT Group https://blog.xlab.qianxin.com/apt-stealthserver-en/ Report completeness: High Actors/Campaigns: Transparenttribe Threats: Stealthserver Ju…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
StealthServer - это двухплатформенный бэкдор, приписываемый южноазиатской группе APT36, нацеленный на системы Windows и Linux с помощью кодов, написанных на Golang. Вредоносное ПО распространяется через вредоносные документы и использует различные методы запутывания, используя постоянные механизмы и стратегии антианализа, чтобы избежать обнаружения. Связь с его сервером командования и контроля осуществляется по протоколу TCP с использованием данных JSON, причем обновления в вариантах указывают на продолжающееся развитие тактики запутывания и уклонения.
-----
StealthServer - это сложный двухплатформенный бэкдор, приписываемый южноазиатской группе, которая, как подозревается, связана с APT36. Это вредоносное ПО нацелено как на системы Windows, так и на Linux, причем образцы написаны на Golang и имеют схожие пути сборки, обычно следующие шаблону */bossmaya/*/obfuscated*.go. Впервые появившись в июле 2023 года, StealthServer был показан в полезных файлах, замаскированных под документы, связанные с совещаниями или закупками, о чем свидетельствуют имена файлов типа "Meeting_Ltr_ID1543ops.pdf.desktop.".
Версия вредоносного ПО для Windows была впервые распространена через вредоносный документ PowerPoint под названием "PM & Est Sanction Final 2025.ppam", который содержит встроенный макрос, активирующийся при включении выполнения макроса в приложениях Microsoft Office. Этот макрос ссылается на два URL-адреса: первый служит приманкой, в то время как второй, содержащий полезную нагрузку StealthServer, выполняет вредоносную активность.
С точки зрения функциональности, Linux-вариант StealthServer использует стратегии запутывания и отображает отдельный путь сборки (D:/bossmaya/client/obfuscated_client.go ). Вредоносное ПО использует различные методы антианализа, включая обфускацию большого количества junk-code и постоянные механизмы для поддержания своей работы. Он устанавливает себя в каталог %AppData%, переименовывая свой файл в nodejs.exe и помечать его как скрытый и связанный с системой, чтобы избежать обнаружения.
Что касается связи, StealthServer устанавливает соединение с сервером управления modindia.serveminecraft.net по протоколу TCP, обмениваясь данными в формате JSON через порт 8080. Пакеты для регистрации разработаны с жестко закодированными идентификаторами, создающими специальные теги для разных версий, в то время как структура включает имя хоста и информацию об обнаруженном антивирусном программном обеспечении, умело замаскированную посторонним кодом, чтобы затруднить анализ.
Последующие варианты StealthServer для Windows, идентифицированные ранее в августе, продемонстрировали прогресс в запутывании и функциональности. Второй вариант, помеченный как "proxifiersetup.exe ," также заимствован из стандартов запутанных именований и включает в себя меры защиты от отладки для таких инструментов, как OllyDbg и IDA. Третий вариант Windows перешел на использование связи WebSocket через сервер ws://kavach.space:5500, сохранив те же функциональные возможности, что и его предшественники, но указав на эволюционирующие методы поддержания закрепления и уклонения от обнаружения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
StealthServer - это двухплатформенный бэкдор, приписываемый южноазиатской группе APT36, нацеленный на системы Windows и Linux с помощью кодов, написанных на Golang. Вредоносное ПО распространяется через вредоносные документы и использует различные методы запутывания, используя постоянные механизмы и стратегии антианализа, чтобы избежать обнаружения. Связь с его сервером командования и контроля осуществляется по протоколу TCP с использованием данных JSON, причем обновления в вариантах указывают на продолжающееся развитие тактики запутывания и уклонения.
-----
StealthServer - это сложный двухплатформенный бэкдор, приписываемый южноазиатской группе, которая, как подозревается, связана с APT36. Это вредоносное ПО нацелено как на системы Windows, так и на Linux, причем образцы написаны на Golang и имеют схожие пути сборки, обычно следующие шаблону */bossmaya/*/obfuscated*.go. Впервые появившись в июле 2023 года, StealthServer был показан в полезных файлах, замаскированных под документы, связанные с совещаниями или закупками, о чем свидетельствуют имена файлов типа "Meeting_Ltr_ID1543ops.pdf.desktop.".
Версия вредоносного ПО для Windows была впервые распространена через вредоносный документ PowerPoint под названием "PM & Est Sanction Final 2025.ppam", который содержит встроенный макрос, активирующийся при включении выполнения макроса в приложениях Microsoft Office. Этот макрос ссылается на два URL-адреса: первый служит приманкой, в то время как второй, содержащий полезную нагрузку StealthServer, выполняет вредоносную активность.
С точки зрения функциональности, Linux-вариант StealthServer использует стратегии запутывания и отображает отдельный путь сборки (D:/bossmaya/client/obfuscated_client.go ). Вредоносное ПО использует различные методы антианализа, включая обфускацию большого количества junk-code и постоянные механизмы для поддержания своей работы. Он устанавливает себя в каталог %AppData%, переименовывая свой файл в nodejs.exe и помечать его как скрытый и связанный с системой, чтобы избежать обнаружения.
Что касается связи, StealthServer устанавливает соединение с сервером управления modindia.serveminecraft.net по протоколу TCP, обмениваясь данными в формате JSON через порт 8080. Пакеты для регистрации разработаны с жестко закодированными идентификаторами, создающими специальные теги для разных версий, в то время как структура включает имя хоста и информацию об обнаруженном антивирусном программном обеспечении, умело замаскированную посторонним кодом, чтобы затруднить анализ.
Последующие варианты StealthServer для Windows, идентифицированные ранее в августе, продемонстрировали прогресс в запутывании и функциональности. Второй вариант, помеченный как "proxifiersetup.exe ," также заимствован из стандартов запутанных именований и включает в себя меры защиты от отладки для таких инструментов, как OllyDbg и IDA. Третий вариант Windows перешел на использование связи WebSocket через сервер ws://kavach.space:5500, сохранив те же функциональные возможности, что и его предшественники, но указав на эволюционирующие методы поддержания закрепления и уклонения от обнаружения.
#ParsedReport #CompletenessLow
14-10-2025
Search, Click, Steal: The Hidden Threat of Spoofed Ivanti VPN Client Sites
https://www.zscaler.com/blogs/security-research/spoofed-ivanti-vpn-client-sites
Report completeness: Low
Threats:
Seo_poisoning_technique
Credential_stealing_technique
Akira_ransomware
Hawkeye_keylogger
Victims:
Ivanti pulse secure users
ChatGPT TTPs:
T1005, T1036.005, T1041, T1071.001, T1078, T1552.001, T1566.002, T1574.001, T1583.001, T1583.006, have more...
IOCs:
File: 4
Domain: 4
Url: 2
Hash: 2
Path: 1
IP: 2
Soft:
Ivanti
Algorithms:
md5, xor
14-10-2025
Search, Click, Steal: The Hidden Threat of Spoofed Ivanti VPN Client Sites
https://www.zscaler.com/blogs/security-research/spoofed-ivanti-vpn-client-sites
Report completeness: Low
Threats:
Seo_poisoning_technique
Credential_stealing_technique
Akira_ransomware
Hawkeye_keylogger
Victims:
Ivanti pulse secure users
ChatGPT TTPs:
do not use without manual checkT1005, T1036.005, T1041, T1071.001, T1078, T1552.001, T1566.002, T1574.001, T1583.001, T1583.006, have more...
IOCs:
File: 4
Domain: 4
Url: 2
Hash: 2
Path: 1
IP: 2
Soft:
Ivanti
Algorithms:
md5, xor
Zscaler
SEO Poisoning Targets Ivanti VPN: Credential Theft Alert
A surge in SEO poisoning attacks is targeting Ivanti Pulse Secure VPN users via Bing search results. Threat actors use fake download sites with signed MSI installers to s
CTT Report Hub
#ParsedReport #CompletenessLow 14-10-2025 Search, Click, Steal: The Hidden Threat of Spoofed Ivanti VPN Client Sites https://www.zscaler.com/blogs/security-research/spoofed-ivanti-vpn-client-sites Report completeness: Low Threats: Seo_poisoning_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавний анализ указывает на всплеск поисковой системы SEO poisoning, нацеленной на пользователей, которые ищут программное обеспечение Ivanti Pulse Secure VPN, перенаправляя их на поддельные сайты, на которых размещен троянский установщик. Этот вредоносный установщик включает в себя библиотеку DLL, credential-stealing, и нацелен на файл connectionstore.dat для эксфильтрации данных, отправляя конфиденциальную информацию на сервер управления в Microsoft Azure. Эта тактика позволяет злоумышленникам получать учетные данные VPN, облегчая дальнейший доступ и перемещение внутри компании в корпоративных сетях, что связано с прошлыми атаками программ-вымогателей, такими как вариант Akira.
-----
Недавний анализ, проведенный командой Zscaler по поиску угроз, выявил рост вредоносных действий, связанных с Отравлением поисковой оптимизации (SEO), специально предназначенных для пользователей, которые ищут законное программное обеспечение Ivanti Pulse Secure VPN client. Злоумышленники перенаправляют этих пользователей на поддельные сайты, на которых размещена троянская версия VPN-клиента, в основном размещенная на доменах-двойниках, предназначенных для того, чтобы казаться заслуживающими доверия. Целью этой кампании является несанкционированное получение учетных данных VPN, что может способствовать дальнейшим нарушениям в корпоративных сетях.
Троянский установщик, который маскируется под законный MSI-файл, содержит credential-stealing библиотеку динамических ссылок (DLL). После выполнения он удаляет несколько файлов, включая вредоносные компоненты, такие как dwmapi.dll и pulse_extension.dll . Основной целью эксфильтрации данных является файл connectionstore.dat, который содержит сохраненные сведения о подключении, включая URI VPN-сервера. Эта информация дополняется жестко закодированными учетными данными и передается на сервер управления, расположенный в инфраструктуре Microsoft Azure.
Исторически сложилось так, что извлечение учетных данных VPN имело решающее значение для злоумышленников, обеспечивая первоначальный доступ, который позволяет осуществлять обширные перемещения внутри компании и дальнейшую разведку в скомпрометированных сетях. Эта тактика была связана с предыдущими атаками, которые привели к внедрению программ-вымогателей, в частности варианта Akira. Эта постоянная угроза подчеркивает постоянный риск, который представляют злонамеренные акторы, используя слабые места в законных каналах распространения программного обеспечения.
Чтобы снизить риски, специалистам по безопасности рекомендуется изолировать потенциально зараженные компьютеры от сети и быстро устранять любые заражения, обеспечивая полное удаление вредоносных артефактов. Внедрение Многофакторной аутентификации (MFA) для всего удаленного доступа может значительно снизить риск, связанный с кражей учетных данных. Кроме того, организациям следует тщательно проверять свои журналы на наличие признаков вредоносной активности, таких как исходящие подключения к определенным IP-адресам, связанным с эксплойтом, и применять дополнительные меры наблюдения за вновь зарегистрированными доменами.
Крайне важно информировать конечных пользователей об опасностях использования программного обеспечения из непроверенных источников, равно как и культивировать осторожный подход к результатам поиска - даже для программного обеспечения с хорошей репутацией. Кроме того, угроза Отравления поисковой оптимизации (SEO) подчеркивает важность упреждающего поиска угроз для эффективного обнаружения возникающих угроз и реагирования на них. Эта недавняя кампания является примером того, как тактика обмана может обойти традиционную защиту периметра, подчеркивая необходимость постоянной бдительности и адаптивных методов обеспечения кибербезопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавний анализ указывает на всплеск поисковой системы SEO poisoning, нацеленной на пользователей, которые ищут программное обеспечение Ivanti Pulse Secure VPN, перенаправляя их на поддельные сайты, на которых размещен троянский установщик. Этот вредоносный установщик включает в себя библиотеку DLL, credential-stealing, и нацелен на файл connectionstore.dat для эксфильтрации данных, отправляя конфиденциальную информацию на сервер управления в Microsoft Azure. Эта тактика позволяет злоумышленникам получать учетные данные VPN, облегчая дальнейший доступ и перемещение внутри компании в корпоративных сетях, что связано с прошлыми атаками программ-вымогателей, такими как вариант Akira.
-----
Недавний анализ, проведенный командой Zscaler по поиску угроз, выявил рост вредоносных действий, связанных с Отравлением поисковой оптимизации (SEO), специально предназначенных для пользователей, которые ищут законное программное обеспечение Ivanti Pulse Secure VPN client. Злоумышленники перенаправляют этих пользователей на поддельные сайты, на которых размещена троянская версия VPN-клиента, в основном размещенная на доменах-двойниках, предназначенных для того, чтобы казаться заслуживающими доверия. Целью этой кампании является несанкционированное получение учетных данных VPN, что может способствовать дальнейшим нарушениям в корпоративных сетях.
Троянский установщик, который маскируется под законный MSI-файл, содержит credential-stealing библиотеку динамических ссылок (DLL). После выполнения он удаляет несколько файлов, включая вредоносные компоненты, такие как dwmapi.dll и pulse_extension.dll . Основной целью эксфильтрации данных является файл connectionstore.dat, который содержит сохраненные сведения о подключении, включая URI VPN-сервера. Эта информация дополняется жестко закодированными учетными данными и передается на сервер управления, расположенный в инфраструктуре Microsoft Azure.
Исторически сложилось так, что извлечение учетных данных VPN имело решающее значение для злоумышленников, обеспечивая первоначальный доступ, который позволяет осуществлять обширные перемещения внутри компании и дальнейшую разведку в скомпрометированных сетях. Эта тактика была связана с предыдущими атаками, которые привели к внедрению программ-вымогателей, в частности варианта Akira. Эта постоянная угроза подчеркивает постоянный риск, который представляют злонамеренные акторы, используя слабые места в законных каналах распространения программного обеспечения.
Чтобы снизить риски, специалистам по безопасности рекомендуется изолировать потенциально зараженные компьютеры от сети и быстро устранять любые заражения, обеспечивая полное удаление вредоносных артефактов. Внедрение Многофакторной аутентификации (MFA) для всего удаленного доступа может значительно снизить риск, связанный с кражей учетных данных. Кроме того, организациям следует тщательно проверять свои журналы на наличие признаков вредоносной активности, таких как исходящие подключения к определенным IP-адресам, связанным с эксплойтом, и применять дополнительные меры наблюдения за вновь зарегистрированными доменами.
Крайне важно информировать конечных пользователей об опасностях использования программного обеспечения из непроверенных источников, равно как и культивировать осторожный подход к результатам поиска - даже для программного обеспечения с хорошей репутацией. Кроме того, угроза Отравления поисковой оптимизации (SEO) подчеркивает важность упреждающего поиска угроз для эффективного обнаружения возникающих угроз и реагирования на них. Эта недавняя кампания является примером того, как тактика обмана может обойти традиционную защиту периметра, подчеркивая необходимость постоянной бдительности и адаптивных методов обеспечения кибербезопасности.
#ParsedReport #CompletenessLow
15-10-2025
Anatomy of an Attack: The "BlackSuit Blitz" at a Global Equipment Manufacturer
https://unit42.paloaltonetworks.com/anatomy-of-an-attack-blacksuit-ransomware-blitz/
Report completeness: Low
Actors/Campaigns:
Blacksuit
Threats:
Blacksuit_ransomware
Blitz_tool
Dcsync_technique
Smbexec_tool
Anydesk_tool
Rclone_tool
Petitpotam_vuln
Victims:
Global equipment manufacturer, Manufacturing
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1078, T1566.002, T1598.003
IOCs:
File: 1
Soft:
ESXi
Languages:
swift
15-10-2025
Anatomy of an Attack: The "BlackSuit Blitz" at a Global Equipment Manufacturer
https://unit42.paloaltonetworks.com/anatomy-of-an-attack-blacksuit-ransomware-blitz/
Report completeness: Low
Actors/Campaigns:
Blacksuit
Threats:
Blacksuit_ransomware
Blitz_tool
Dcsync_technique
Smbexec_tool
Anydesk_tool
Rclone_tool
Petitpotam_vuln
Victims:
Global equipment manufacturer, Manufacturing
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1078, T1566.002, T1598.003
IOCs:
File: 1
Soft:
ESXi
Languages:
swift
Unit 42
攻撃の解剖学: 世界的装置メーカーで見つかった"BlackSuit Blitz"
APT攻撃グループ「Ignoble Scorpius」が展開したランサムウェア「BlackSuit」は、ビッシング攻撃を発端としていました。Unit 42によるインシデント対応の経緯と、その最終的な結末について解説します。
CTT Report Hub
#ParsedReport #CompletenessLow 15-10-2025 Anatomy of an Attack: The "BlackSuit Blitz" at a Global Equipment Manufacturer https://unit42.paloaltonetworks.com/anatomy-of-an-attack-blacksuit-ransomware-blitz/ Report completeness: Low Actors/Campaigns: Blacksuit…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака программы-вымогателя "BlackSuit Blitz", осуществленная группой Ignoble Scorpius, иллюстрирует сложный подход, который начался с голосового фишинга для получения законных учетных данных VPN. Этот метод позволил злоумышленникам проникнуть в системы компании, продемонстрировав значительный риск, связанный с одиночными скомпрометированными учетными данными, и эволюционирующую природу программ-вымогателей, таких как BlackSuit. Инцидент подчеркивает необходимость совершенствования методов разведки противниками, чтобы закрепиться внутри организаций.
-----
Атака "BlackSuit Blitz" на мирового производителя оборудования является примером изощренного вымогательства, инициированного с помощью тактики социальной инженерии. Злоумышленники, идентифицированные как члены группы Ignoble Scorpius, начали свою операцию с голосового фишинга (vishing), где они выдавали себя за службу технической поддержки компании. Этот обман позволил им обманом заставить сотрудника ввести законные учетные данные VPN на мошенническом сайте, облегчив первоначальный доступ к системам компании.
Атака подчеркивает опасность, исходящую от отдельных скомпрометированных учетных данных, которые могут привести к обширным нарушениям безопасности, если им эффективно не противодействовать. Использование BlackSuit ransomware указывает на растущую изощренность угроз, связанных с вымогательством, когда противники используют методы разведки, чтобы закрепиться внутри организации.
Для устранения таких уязвимостей рекомендуется принять несколько защитных мер. Организациям следует заменить устаревшие брандмауэры Cisco ASA на брандмауэры нового поколения и внедрить стратегии сегментации сети. Административный доступ к критически важным системам, таким как контроллеры домена и хосты ESXi, должен быть ограничен выделенными сетями управления VLAN, чтобы предотвратить несанкционированный доступ.
Кроме того, протоколы управления идентификацией и доступом должны быть усилены путем применения Многофакторной аутентификации (MFA) для всего удаленного доступа, отключения NTLM и использования ротации учетных данных. Крайне важно ограничить использование учетных записей служб для интерактивного входа в систему, особенно для доступа по Протоколу удаленного рабочего стола (RDP).
Защита конечных точек и серверов также имеет решающее значение; это включает блокировку EFSRPC для предотвращения таких атак, как PetitPotam/DCSync, и поддержание в актуальном состоянии расширенного решения для обнаружения и реагирования (XDR) на всех конечных точках. Обеспечение поэтапного вывода из эксплуатации систем с истекшим сроком службы и строгая политика внесения исправлений могут значительно снизить вероятность атаки.
Необходимы улучшения в ведении журнала и мониторинге, такие как увеличение срока хранения журнала более чем до 90 дней для жизненно важных источников, что может расширить возможности судебной экспертизы при реагировании на инциденты. Надлежащие функции анализа и проверки журналов, такие как AWS CloudTrail log validation, необходимы для эффективного анализа инцидентов безопасности и реагирования на них.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака программы-вымогателя "BlackSuit Blitz", осуществленная группой Ignoble Scorpius, иллюстрирует сложный подход, который начался с голосового фишинга для получения законных учетных данных VPN. Этот метод позволил злоумышленникам проникнуть в системы компании, продемонстрировав значительный риск, связанный с одиночными скомпрометированными учетными данными, и эволюционирующую природу программ-вымогателей, таких как BlackSuit. Инцидент подчеркивает необходимость совершенствования методов разведки противниками, чтобы закрепиться внутри организаций.
-----
Атака "BlackSuit Blitz" на мирового производителя оборудования является примером изощренного вымогательства, инициированного с помощью тактики социальной инженерии. Злоумышленники, идентифицированные как члены группы Ignoble Scorpius, начали свою операцию с голосового фишинга (vishing), где они выдавали себя за службу технической поддержки компании. Этот обман позволил им обманом заставить сотрудника ввести законные учетные данные VPN на мошенническом сайте, облегчив первоначальный доступ к системам компании.
Атака подчеркивает опасность, исходящую от отдельных скомпрометированных учетных данных, которые могут привести к обширным нарушениям безопасности, если им эффективно не противодействовать. Использование BlackSuit ransomware указывает на растущую изощренность угроз, связанных с вымогательством, когда противники используют методы разведки, чтобы закрепиться внутри организации.
Для устранения таких уязвимостей рекомендуется принять несколько защитных мер. Организациям следует заменить устаревшие брандмауэры Cisco ASA на брандмауэры нового поколения и внедрить стратегии сегментации сети. Административный доступ к критически важным системам, таким как контроллеры домена и хосты ESXi, должен быть ограничен выделенными сетями управления VLAN, чтобы предотвратить несанкционированный доступ.
Кроме того, протоколы управления идентификацией и доступом должны быть усилены путем применения Многофакторной аутентификации (MFA) для всего удаленного доступа, отключения NTLM и использования ротации учетных данных. Крайне важно ограничить использование учетных записей служб для интерактивного входа в систему, особенно для доступа по Протоколу удаленного рабочего стола (RDP).
Защита конечных точек и серверов также имеет решающее значение; это включает блокировку EFSRPC для предотвращения таких атак, как PetitPotam/DCSync, и поддержание в актуальном состоянии расширенного решения для обнаружения и реагирования (XDR) на всех конечных точках. Обеспечение поэтапного вывода из эксплуатации систем с истекшим сроком службы и строгая политика внесения исправлений могут значительно снизить вероятность атаки.
Необходимы улучшения в ведении журнала и мониторинге, такие как увеличение срока хранения журнала более чем до 90 дней для жизненно важных источников, что может расширить возможности судебной экспертизы при реагировании на инциденты. Надлежащие функции анализа и проверки журналов, такие как AWS CloudTrail log validation, необходимы для эффективного анализа инцидентов безопасности и реагирования на них.
#ParsedReport #CompletenessMedium
15-10-2025
Jewelbug: Chinese APT Group Widens Reach to Russia
https://www.security.com/threat-intelligence/jewelbug-apt-russia
Report completeness: Medium
Actors/Campaigns:
Earth_alux (motivation: cyber_espionage)
Cl-sta-0049
Threats:
Supply_chain_technique
Credential_dumping_technique
Anydesk_tool
Dll_sideloading_technique
Smbexec_tool
Bitsadmin_tool
Byovd_technique
Shadowpad
Burntcigar
Echodrv_tool
Mimikatz_tool
Coercedpotato_tool
Sweetpotato_tool
Printnotifypotato_tool
Earthworm_tool
Finaldraft
Pathloader
Guidloader
Squidoor
Winrm_tool
Wevtutil_tool
Industry:
Education, Government, Telco
Geo:
Chinese, Taiwanese, Russia, America, Taiwan, China, American, Ukraine, Russian, Asia
TTPs:
Tactics: 1
Technics: 0
IOCs:
File: 19
Path: 3
Hash: 25
Domain: 2
IP: 1
Registry: 5
Coin: 1
Command: 8
Soft:
curl, Graph API, Linux
Functions:
HttpSendRequestWPtr
Win API:
CreateDirectory
Languages:
cscript
15-10-2025
Jewelbug: Chinese APT Group Widens Reach to Russia
https://www.security.com/threat-intelligence/jewelbug-apt-russia
Report completeness: Medium
Actors/Campaigns:
Earth_alux (motivation: cyber_espionage)
Cl-sta-0049
Threats:
Supply_chain_technique
Credential_dumping_technique
Anydesk_tool
Dll_sideloading_technique
Smbexec_tool
Bitsadmin_tool
Byovd_technique
Shadowpad
Burntcigar
Echodrv_tool
Mimikatz_tool
Coercedpotato_tool
Sweetpotato_tool
Printnotifypotato_tool
Earthworm_tool
Finaldraft
Pathloader
Guidloader
Squidoor
Winrm_tool
Wevtutil_tool
Industry:
Education, Government, Telco
Geo:
Chinese, Taiwanese, Russia, America, Taiwan, China, American, Ukraine, Russian, Asia
TTPs:
Tactics: 1
Technics: 0
IOCs:
File: 19
Path: 3
Hash: 25
Domain: 2
IP: 1
Registry: 5
Coin: 1
Command: 8
Soft:
curl, Graph API, Linux
Functions:
HttpSendRequestWPtr
Win API:
CreateDirectory
Languages:
cscript
Security
Jewelbug: Chinese APT Group Widens Reach to Russia
Russian IT company among group’s latest targets. Attackers may have been attempting to target company’s customers in Russia with software supply chain attack.
CTT Report Hub
#ParsedReport #CompletenessMedium 15-10-2025 Jewelbug: Chinese APT Group Widens Reach to Russia https://www.security.com/threat-intelligence/jewelbug-apt-russia Report completeness: Medium Actors/Campaigns: Earth_alux (motivation: cyber_espionage) Cl-sta…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Китайская APT-группировка Jewelbug, также известная как REF7707, переключила свое внимание на российские цели, применив передовые атаки по Цепочке поставок программного обеспечения против тамошнего поставщика ИТ-услуг. Он использовал переименованный доброкачественный двоичный файл Microsoft (cdb.exe ) для выполнения шелл-кода и обхода мер безопасности, в то время как на Тайване компания продемонстрировала свои возможности с помощью DLL Sideloading и развертывания сложных инструментов, таких как ShadowPad, KillAV и EchoDrv, для поддержания закрепления и уклонения от обнаружения. Это иллюстрирует эволюционирующую тактику Jewelbug и долгосрочное оперативное присутствие в различных регионах.
-----
Jewelbug, китайская APT-группировка, также известная под различными псевдонимами, включая REF7707 и Earth Alux, недавно расширила сферу своей деятельности, включив в нее организации в России, что ознаменовало значительный сдвиг в фокусе ее деятельности. Исторически сложилось так, что Jewelbug была вовлечена в кибератаки по всей Южной Америке, Южной Азии и Тайваню. Недавние действия против российского поставщика ИТ-услуг указывают на совершенную атаку по Цепочке поставок программного обеспечения, направленную на клиентов организации в России, что иллюстрирует потенциал более широких последствий в регионе.
Тактика группы при атаке на российского поставщика ИТ-услуг включала в себя развертывание переименованного вредоносного двоичного файла Microsoft, cdb.exe, под названием 7zup.exe. Этот метод, характерный для деятельности Jewelbug, позволил злоумышленникам использовать возможности консольного отладчика для выполнения шеллкода, обхода белого списка приложений, запуска исполняемых файлов и отключения мер безопасности. Корпорация Майкрософт выступает за блокировку cdb.exe по умолчанию, за исключением случаев, когда это явно требуется для конкретных пользователей, что подчеркивает ее риск как инструмента вредоносных операций.
В Южной Америке закрепление Jewelbug было очевидно в сети правительственного департамента, что свидетельствует о том, что группа была активна по крайней мере с сентября 2024 года. Эта активность предполагает долгосрочное присутствие, поскольку последний обнаруженный инцидент произошел в июле 2025 года.
Тем временем на Тайване группа применила DLL Sideloading для установки полезной нагрузки вредоносного ПО во время своих операций против компании-разработчика программного обеспечения. Этот метод часто используется китайскими злоумышленниками. Развертывание ShadowPad, мощного модульного бэкдора, предназначенного исключительно для таких акторов, наряду с KillAV — инструментом, используемым для отключения программного обеспечения безопасности, и EchoDrv, который использует уязвимость ядра, иллюстрирует их сложный подход с использованием метода bring—your-own-vulnerable-driver (BYOVD). Эта многогранная стратегия направлена на повышение закрепления и уклонение от обнаружения в целевых сетях.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Китайская APT-группировка Jewelbug, также известная как REF7707, переключила свое внимание на российские цели, применив передовые атаки по Цепочке поставок программного обеспечения против тамошнего поставщика ИТ-услуг. Он использовал переименованный доброкачественный двоичный файл Microsoft (cdb.exe ) для выполнения шелл-кода и обхода мер безопасности, в то время как на Тайване компания продемонстрировала свои возможности с помощью DLL Sideloading и развертывания сложных инструментов, таких как ShadowPad, KillAV и EchoDrv, для поддержания закрепления и уклонения от обнаружения. Это иллюстрирует эволюционирующую тактику Jewelbug и долгосрочное оперативное присутствие в различных регионах.
-----
Jewelbug, китайская APT-группировка, также известная под различными псевдонимами, включая REF7707 и Earth Alux, недавно расширила сферу своей деятельности, включив в нее организации в России, что ознаменовало значительный сдвиг в фокусе ее деятельности. Исторически сложилось так, что Jewelbug была вовлечена в кибератаки по всей Южной Америке, Южной Азии и Тайваню. Недавние действия против российского поставщика ИТ-услуг указывают на совершенную атаку по Цепочке поставок программного обеспечения, направленную на клиентов организации в России, что иллюстрирует потенциал более широких последствий в регионе.
Тактика группы при атаке на российского поставщика ИТ-услуг включала в себя развертывание переименованного вредоносного двоичного файла Microsoft, cdb.exe, под названием 7zup.exe. Этот метод, характерный для деятельности Jewelbug, позволил злоумышленникам использовать возможности консольного отладчика для выполнения шеллкода, обхода белого списка приложений, запуска исполняемых файлов и отключения мер безопасности. Корпорация Майкрософт выступает за блокировку cdb.exe по умолчанию, за исключением случаев, когда это явно требуется для конкретных пользователей, что подчеркивает ее риск как инструмента вредоносных операций.
В Южной Америке закрепление Jewelbug было очевидно в сети правительственного департамента, что свидетельствует о том, что группа была активна по крайней мере с сентября 2024 года. Эта активность предполагает долгосрочное присутствие, поскольку последний обнаруженный инцидент произошел в июле 2025 года.
Тем временем на Тайване группа применила DLL Sideloading для установки полезной нагрузки вредоносного ПО во время своих операций против компании-разработчика программного обеспечения. Этот метод часто используется китайскими злоумышленниками. Развертывание ShadowPad, мощного модульного бэкдора, предназначенного исключительно для таких акторов, наряду с KillAV — инструментом, используемым для отключения программного обеспечения безопасности, и EchoDrv, который использует уязвимость ядра, иллюстрирует их сложный подход с использованием метода bring—your-own-vulnerable-driver (BYOVD). Эта многогранная стратегия направлена на повышение закрепления и уклонение от обнаружения в целевых сетях.
#ParsedReport #CompletenessMedium
15-10-2025
An Insider Look At The IRGC-linked APT35 Operations: Ep3 - Malware Arsenal & Tooling
https://www.cloudsek.com/blog/an-insider-look-at-the-irgc-linked-apt35-operations-ep3---malware-arsenal-tooling
Report completeness: Medium
Actors/Campaigns:
Irgc
Charming_kitten
Mosesstaff
Threats:
Saqeb
Rat-2ac2
Spear-phishing_technique
Steganography_technique
Victims:
Airlines, Law enforcement, Regional infrastructure, Industrial infrastructure, Scada
Industry:
Critical_infrastructure, Petroleum, Ics, Aerospace
Geo:
Turkey, Egypt, Saudi arabia, Israel, Jordan
TTPs:
Tactics: 12
Technics: 65
IOCs:
File: 30
Command: 1
Soft:
Flask, Visual Studio, Firefox, Telegram, NET Framework, Linux Debian, Windows Service
Algorithms:
base64, exhibit, xor, zip
Functions:
snrProc, SetWindowsHookEx
Win API:
CreateEventA, LoadLibrary, GetProcAddress
Languages:
python, php, powershell, c_language
Links:
15-10-2025
An Insider Look At The IRGC-linked APT35 Operations: Ep3 - Malware Arsenal & Tooling
https://www.cloudsek.com/blog/an-insider-look-at-the-irgc-linked-apt35-operations-ep3---malware-arsenal-tooling
Report completeness: Medium
Actors/Campaigns:
Irgc
Charming_kitten
Mosesstaff
Threats:
Saqeb
Rat-2ac2
Spear-phishing_technique
Steganography_technique
Victims:
Airlines, Law enforcement, Regional infrastructure, Industrial infrastructure, Scada
Industry:
Critical_infrastructure, Petroleum, Ics, Aerospace
Geo:
Turkey, Egypt, Saudi arabia, Israel, Jordan
TTPs:
Tactics: 12
Technics: 65
IOCs:
File: 30
Command: 1
Soft:
Flask, Visual Studio, Firefox, Telegram, NET Framework, Linux Debian, Windows Service
Algorithms:
base64, exhibit, xor, zip
Functions:
snrProc, SetWindowsHookEx
Win API:
CreateEventA, LoadLibrary, GetProcAddress
Languages:
python, php, powershell, c_language
Links:
https://github.com/KittenBusters/CharmingKittenCloudsek
An Insider Look At The IRGC-linked APT35 Operations: Ep3 - Malware Arsenal & Tooling | CloudSEK
APT35 (Charming Kitten) operates a professional malware ecosystem featuring Saqeb System and RAT-2AC2 RATs, custom webshells, and FUD-tested modules. The group’s C2 uses TOR, multi-hop relays, and encrypted traffic for persistence and stealth. Targeting airlines…
CTT Report Hub
#ParsedReport #CompletenessMedium 15-10-2025 An Insider Look At The IRGC-linked APT35 Operations: Ep3 - Malware Arsenal & Tooling https://www.cloudsek.com/blog/an-insider-look-at-the-irgc-linked-apt35-operations-ep3---malware-arsenal-tooling Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT35, связанная с иранской IRGC, проводит сложные кибероперации с использованием продвинутого вредоносного ПО, включая систему Saqeb и RAT-2AC2, оба трояна удаленного доступа. Эти инструменты имеют модульную архитектуру для скрытности, используя сеть TOR для командования и контроля. Их методы атак включают фишинг для получения первоначального доступа, использование веб-оболочек и тактику кражи учетных данных, перемещения внутри компании и эксфильтрации данных, демонстрируя всестороннее понимание методов кибератак.
-----
APT35, также известный как Charming Kitten, является изощренным противником, связанным с Корпусом стражей Исламской революции (IRGC) и проводящим кибероперации, которые соответствуют геополитическим целям. В их деятельности широко используется профессиональная экосистема вредоносного ПО, которая включает в себя два основных семейства троянов удаленного доступа (RAT): Saqeb System и RAT-2AC2, а также пользовательские веб-оболочки. Эти инструменты предназначены для целенаправленных атак на авиакомпании, правоохранительные органы и региональную инфраструктуру в период с 2022 по 2025 год.
Система Saqeb - это мощная, усовершенствованная система Windows RAT, разработанная для длительного закрепления, отличающаяся модульной архитектурой, которая позволяет ей эффективно избегать обнаружения. Он разработан на C++ и состоит из пяти отдельных модулей. RAT-2AC2, построенный на платформе .NET framework, использует серверную часть Flask и включает возможности VNC. Оба RAT развертывают коммуникации командования и контроля (C2) через многоходовые прокси-серверы, использующие сеть TOR, что еще больше повышает их скрытность.
Пользовательские веб-оболочки, используемые APT35, включают в себя запутанные варианты, такие как m0s.asp, которые реализуют скрытые каналы через заголовок Accept-Language и шифры подстановки для скрытой связи. Кроме того, эти веб-оболочки могут выполнять команды и скрипты и облегчают доступ к скомпрометированным системам.
Группа также фокусируется на различных методах атаки, классифицированных в рамках MITRE ATT&CK framework. Первоначальный доступ в основном осуществляется в результате кампаний по фишингу, в частности, с помощью Целевых фишинг-вложений, содержащих вредоносную полезную нагрузку. Известно, что они используют Недостаток в общедоступных приложениях путем развертывания веб-оболочек на целевых серверах. Оказавшись внутри сети, APT35 использует сочетание методов для выполнения, закрепления, повышения привилегий, обхода защиты, получения учетных данных, обнаружения, перемещения внутри компании, сбора, командования и контроля, а также эксфильтрации.
Примечательно, что их крысы проявляют такие поведенческие черты, как доступ к хранилищу браузера для извлечения учетных данных, Регистрация нажатием клавиш и перечисление файлов для сбора конфиденциальной информации. Они также используют различные тактики уклонения, включая Маскировку законных служб, шестнадцатеричное кодирование модулей и методы защиты от отладки. Процессы эксфильтрации обычно проводятся по каналам C2 с использованием надежно закодированных данных, гарантируя, что извлеченная информация может быть отправлена обратно злоумышленникам без привлечения внимания.
Операции APT35's демонстрируют глубокое понимание как наступательной, так и оборонительной тактики, что делает их постоянной угрозой, от которой организации должны активно защищаться. Средства защиты должны быть сосредоточены на обнаружении попыток фишинга, мониторинге несанкционированного развертывания webshell и внедрении надежных методов обеспечения безопасности конечных точек для снижения рисков, создаваемых такими продвинутыми и организованными хакерскими группировками.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT35, связанная с иранской IRGC, проводит сложные кибероперации с использованием продвинутого вредоносного ПО, включая систему Saqeb и RAT-2AC2, оба трояна удаленного доступа. Эти инструменты имеют модульную архитектуру для скрытности, используя сеть TOR для командования и контроля. Их методы атак включают фишинг для получения первоначального доступа, использование веб-оболочек и тактику кражи учетных данных, перемещения внутри компании и эксфильтрации данных, демонстрируя всестороннее понимание методов кибератак.
-----
APT35, также известный как Charming Kitten, является изощренным противником, связанным с Корпусом стражей Исламской революции (IRGC) и проводящим кибероперации, которые соответствуют геополитическим целям. В их деятельности широко используется профессиональная экосистема вредоносного ПО, которая включает в себя два основных семейства троянов удаленного доступа (RAT): Saqeb System и RAT-2AC2, а также пользовательские веб-оболочки. Эти инструменты предназначены для целенаправленных атак на авиакомпании, правоохранительные органы и региональную инфраструктуру в период с 2022 по 2025 год.
Система Saqeb - это мощная, усовершенствованная система Windows RAT, разработанная для длительного закрепления, отличающаяся модульной архитектурой, которая позволяет ей эффективно избегать обнаружения. Он разработан на C++ и состоит из пяти отдельных модулей. RAT-2AC2, построенный на платформе .NET framework, использует серверную часть Flask и включает возможности VNC. Оба RAT развертывают коммуникации командования и контроля (C2) через многоходовые прокси-серверы, использующие сеть TOR, что еще больше повышает их скрытность.
Пользовательские веб-оболочки, используемые APT35, включают в себя запутанные варианты, такие как m0s.asp, которые реализуют скрытые каналы через заголовок Accept-Language и шифры подстановки для скрытой связи. Кроме того, эти веб-оболочки могут выполнять команды и скрипты и облегчают доступ к скомпрометированным системам.
Группа также фокусируется на различных методах атаки, классифицированных в рамках MITRE ATT&CK framework. Первоначальный доступ в основном осуществляется в результате кампаний по фишингу, в частности, с помощью Целевых фишинг-вложений, содержащих вредоносную полезную нагрузку. Известно, что они используют Недостаток в общедоступных приложениях путем развертывания веб-оболочек на целевых серверах. Оказавшись внутри сети, APT35 использует сочетание методов для выполнения, закрепления, повышения привилегий, обхода защиты, получения учетных данных, обнаружения, перемещения внутри компании, сбора, командования и контроля, а также эксфильтрации.
Примечательно, что их крысы проявляют такие поведенческие черты, как доступ к хранилищу браузера для извлечения учетных данных, Регистрация нажатием клавиш и перечисление файлов для сбора конфиденциальной информации. Они также используют различные тактики уклонения, включая Маскировку законных служб, шестнадцатеричное кодирование модулей и методы защиты от отладки. Процессы эксфильтрации обычно проводятся по каналам C2 с использованием надежно закодированных данных, гарантируя, что извлеченная информация может быть отправлена обратно злоумышленникам без привлечения внимания.
Операции APT35's демонстрируют глубокое понимание как наступательной, так и оборонительной тактики, что делает их постоянной угрозой, от которой организации должны активно защищаться. Средства защиты должны быть сосредоточены на обнаружении попыток фишинга, мониторинге несанкционированного развертывания webshell и внедрении надежных методов обеспечения безопасности конечных точек для снижения рисков, создаваемых такими продвинутыми и организованными хакерскими группировками.
#ParsedReport #CompletenessLow
15-10-2025
TigerJack's Malicious VSCode Extensions Steal Code, Mine Crypto, and Plant Backdoors
https://www.secureblink.com/cyber-security-news/tiger-jack-s-malicious-vs-code-extensions-steal-code-mine-crypto-and-plant-backdoors
Report completeness: Low
Actors/Campaigns:
Tigerjack
Threats:
Supply_chain_technique
Coinimp
Victims:
Software development
Industry:
E-commerce
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1036, T1119, T1195, T1496, T1587.003
Soft:
VSCode, Visual Studio Code, Discord, Ethcode
Functions:
eval
Languages:
javascript
15-10-2025
TigerJack's Malicious VSCode Extensions Steal Code, Mine Crypto, and Plant Backdoors
https://www.secureblink.com/cyber-security-news/tiger-jack-s-malicious-vs-code-extensions-steal-code-mine-crypto-and-plant-backdoors
Report completeness: Low
Actors/Campaigns:
Tigerjack
Threats:
Supply_chain_technique
Coinimp
Victims:
Software development
Industry:
E-commerce
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1036, T1119, T1195, T1496, T1587.003
Soft:
VSCode, Visual Studio Code, Discord, Ethcode
Functions:
eval
Languages:
javascript
Secureblink
TigerJack's Malicious VSCode Extensions Steal Code, Mine Crypto, and Plant Backdoors
TigerJack's malicious VS Code extensions, like C++ Playground & HTTP Format, steal source code, mine cryptocurrency, & plant backdoors. Learn how this ongoing supply chain attack threatens developers & how to protect your environment.