#ParsedReport #CompletenessLow
16-10-2025

SecuritySnack: Repo The Repo - NPM Phishing

https://dti.domaintools.com/securitysnack-repo-the-repo-npm-phishing/

Report completeness: Low

Threats:
Supply_chain_technique
Typosquatting_technique
Credential_harvesting_technique

Victims:
Software supply chain, Developers

ChatGPT TTPs:
do not use without manual check
T1041, T1078, T1195.001, T1204.002, T1556.004, T1566.002, T1583.001

IOCs:
Domain: 15

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние Компрометации цепочки поставок привели к использованию уязвимостей в репозиториях NPM, в частности, посредством фишинг-атак, нацеленных на учетные данные разработчиков. Злоумышленники используют поддельные страницы управления NPM, часто используя сходство доменных имен, например "npnjs.com " чтобы ввести пользователей в заблуждение и захватить их учетные данные. Эта кража учетных данных привела к захвату учетных записей и подчеркивает сохраняющуюся угрозу, создаваемую такой тактикой в Цепочке поставок программного обеспечения.
-----

Недавние инциденты, связанные с Компрометацией цепочки поставок, выявили уязвимости в репозиториях NPM, особенно из-за кражи учетных данных разработчика в результате атак фишинга. Злоумышленники использовали сложную кампанию фишинга, которая использует поддельные страницы управления NPM и входа в систему, эффективно извлечение учетных данных. Такой подход привел к захвату учетных записей разработчиков, что позволило осуществлять вредоносные действия, и это подчеркивает сохраняющуюся эффективность тактики кражи учетных данных.

NPM, признанный крупнейшим хранилищем пакетов JavaScript, работает в основном через два домена: npmjs.com и npmjs.org . Злоумышленники воспользовались типографским сходством и незначительными вариациями в доменных именах, такими как "npnjs.com "— чтобы ввести в заблуждение ничего не подозревающих пользователей. Эти схемы фишинга используют распространенные методы социальной инженерии для эксплуатации пользователей, часто таким образом, который легко не заметить, особенно когда URL-адреса представлены в менее различимой форме (например, строчными буквами).

Закрепление этих методов сбора учетных записей вызывает тревогу, особенно по мере того, как в сообществе разработчиков растет зависимость от общих Цепочек поставок программного обеспечения. Этот сценарий усиливает необходимость того, чтобы разработчики проявляли повышенную бдительность. Хотя Многофакторная аутентификация (MFA) может обеспечить определенный уровень безопасности, подчеркивается, что эффективность MFA снижается, если домен не проверен. Поэтому пользователям рекомендуется всегда проверять URL-адрес в адресной строке своего браузера, прежде чем вводить какую-либо конфиденциальную информацию. Более того, переход к более безопасным формам аутентификации, таким как ключи безопасности Аппаратного обеспечения, которые противостоят фишингу, может значительно усилить защиту учетной записи от этих распространенных угроз.

#ParsedReport #CompletenessHigh
16-10-2025

New Group on the Block: UNC5142 Leverages EtherHiding to Distribute Malware

https://cloud.google.com/blog/topics/threat-intelligence/unc5142-etherhiding-distribute-malware/

Report completeness: High

Threats:
Clearfake
Etherhiding_technique
Lumma_stealer
Amos_stealer
Vidar_stealer
Rhadamanthys
Clearshort
Clickfix_technique

Victims:
General users, Macos users, Windows users

Industry:
Financial

TTPs:
Tactics: 5
Technics: 4

IOCs:
File: 38
Coin: 11
Domain: 36
Url: 184
Hash: 10
IP: 6

Soft:
WordPress, Google Chrome, Chrome, macOS, curl, Outlook

Crypto:
ethereum

Algorithms:
aes, aes-gcm, base64, sha256

Functions:
defined, atob, Initial, TextDecoder

Languages:
javascript, powershell

Platforms:
apple

YARA: Found

#ParsedReport #ExtractedSchema

Classified images:
schema: 6, windows: 12

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
UNC5142, финансово мотивированная хакерская группировка, которая появилась в конце 2023 года, использует передовые методы для распространения стиллеров информации через взломанные сайты WordPress и метод под названием EtherHiding, который использует интеллектуальную цепочку BNB для управления операциями с помощью смарт-контрактов. Их распространение вредоносного ПО эволюционировало до трехуровневой системы смарт-контрактов для повышения гибкости, использующей шифрование AES для полезных нагрузок, что повышает защиту от обнаружения. Группа задействовала различных стиллеров информации, включая VIDAR и ATOMIC, адаптируя их тактику и используя социальную инженерию для эффективного компрометирования систем.
-----

UNC5142 - это финансово мотивированный злоумышленник, который появился в конце 2023 года. Они распространяют вредоносное ПО, в частности стиллеров информации, используя скомпрометированные сайты WordPress. Новым методом, который они используют, является EtherHiding, который скрывает вредоносные компоненты в смарт-цепочке BNB с помощью смарт-контрактов. Атаки начинаются с использования уязвимых веб-сайтов WordPress, внедряющих вредоносный JavaScript под названием CLEARSHORT. Этот JavaScript служит загрузчиком, извлекая полезную нагрузку из смарт-контрактов, контролируемых злоумышленниками, и используя тактику социальной инженерии, такую как ClickFix.

UNC5142 перешел от единой системы смарт-контрактов к сложной трехуровневой структуре, что обеспечивает улучшенный контроль и возможность обновления операций. Они могут удаленно изменять URL-адреса полезной нагрузки с помощью встроенных административных функций в своих смарт-контрактах. С конца 2024 года они начали использовать страницы Cloudflare для размещения целевых сайтов, чтобы избежать обнаружения. Они также перешли на AES-шифрование полезной нагрузки, что значительно усложнило работу по обнаружению. Ранее их полезная нагрузка была закодирована в Base64.

Группа использовала различные стиллеры информации, включая VIDAR, LUMMAC.V2, RADTHIEF и ATOMIC, ориентированный на macOS. Их кампании по распространению включают в себя вызовы смарт-контрактов в режиме реального времени для контроля над URL-адресами дропперов вредоносного ПО. Тактика, используемая в социальной инженерии, эволюционировала таким образом, чтобы обеспечить максимальную эффективность в различных операционных системах.

UNC5142 сохраняет непрерывность своей работы, несмотря на приостановку деятельности с середины 2025 года. Использование ими современных технологий и обновленных цепочек заражения указывает на постоянную угрозу и сложные методы работы.

#ParsedReport #CompletenessLow
16-10-2025

September 2025 Infostealer Trends Report

https://asec.ahnlab.com/ko/90575/

Report completeness: Low

Threats:
Seo_poisoning_technique
Lumma_stealer
Rhadamanthys
Acr_stealer
Dll_sideloading_technique
Agent_tesla
Snake_keylogger

TTPs:
Tactics: 2
Technics: 0

Soft:
chromium, Steam, InnoSetup, task scheduler, Node.js

Algorithms:
md5

#ParsedReport #CompletenessHigh
16-10-2025

Operation Silk Lure: Scheduled Tasks Weaponized for DLL Side-Loading (drops ValleyRAT)

https://www.seqrite.com/blog/operation-silk-lure-scheduled-tasks-weaponized-for-dll-side-loading-drops-valleyrat/

Report completeness: High

Actors/Campaigns:
Silk_lure (motivation: cyber_espionage)

Threats:
Dll_sideloading_technique
Valleyrat
Spear-phishing_technique
Boxedapp_packer_tool
Ghanarava
Process_injection_technique

Victims:
Chinese job seekers in fintech and crypto exchange and trading platforms

Industry:
Financial, Education

Geo:
Burma, Singapore, Macau, Guangdong, Hong kong, Taiwanese, Chinese, China

TTPs:
Tactics: 11
Technics: 30

IOCs:
Path: 8
File: 5
IP: 2
Registry: 5
Hash: 5

Soft:
RocketMQ, MySQL, Task Scheduler

Algorithms:
md5, rc4, xor

Functions:
CreateHiddenTask

Win API:
GetTickCount, NetBIOS, GetSystemDefaultUILanguage, etLastError==, GetLastError, ImageLoad

Languages:
java, powershell, solidity

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, schema: 1, code: 6, dump: 3, table: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция "Шелковая приманка" - это кампания кибершпионажа, нацеленная на китайских граждан в сфере финтех-технологий и криптовалют, использующая базирующуюся в США инфраструктуру командования и контроля (C2). В кампании используется вредоносное ПО, которое устанавливает постоянный доступ к скомпрометированным системам для разведки, включая захват скриншотов и извлечение Данных из буфера обмена, причем первая полезная нагрузка доставляется с помощью вредоносного ярлыка Windows и загрузчика с именем Jli.dll . Вторая полезная нагрузка, ValleyRAT, предоставляет широкие возможности, такие как регистрация нажатий клавиш, снятие отпечатков пальцев с системы и способность обнаруживать и отключать антивирусные продукты, что указывает на хорошо скоординированную операцию по использованию конкретных целей.
-----

Операция "Шелковая приманка" - это кампания кибершпионажа, нацеленная на китайских граждан, ищущих работу в секторе финтех и криптовалют, используя инфраструктуру командования и контроля (C2), базирующуюся в Соединенных Штатах. В ходе операции используются сложные методы для компрометации систем и сбора конфиденциальной информации, что создает значительные угрозы как личной, так и организационной безопасности.

Вредоносное ПО, используемое в этой кампании, обеспечивает постоянный доступ к скомпрометированным системам, позволяя злоумышленникам проводить разведку. К ним относятся создание скриншотов, извлечение Данных из буфера обмена и получение критически важных системных метаданных. Собранная информация отправляется обратно злоумышленникам через удаленный сервер C2, что повышает риск кражи личных данных и компрометации учетных данных.

Примечательным аспектом этой операции является использование резюме на китайском языке в качестве приманки, предназначенной для привлечения потенциальных жертв. Эта приманка содержит техническую квалификацию и опыт, которые могут понравиться целевой аудитории, повышая вероятность успешного взаимодействия.

Технический анализ показывает, что вредоносное ПО использует вредоносный файл ярлыка Windows (.lnk), который выполняет команду PowerShell для доставки полезной нагрузки. Механизм опускания облегчается загрузчиком, обозначенным как Jli.dll , который считывает из определенной области своих собственных заголовков PE, чтобы найти зашифрованную полезную нагрузку, впоследствии используя RC4 для расшифровки.

Вторая полезная нагрузка, обозначенная как ValleyRAT, оснащена различными возможностями для разведки. Он может снимать отпечатки пальцев с систем, запрашивая ключи реестра и сканируя определенное установленное программное обеспечение или настройки. Вредоносное ПО может обнаруживать присутствие антивирусных продуктов и нарушать их сетевые подключения, тем самым повышая свои шансы остаться незамеченным.

ValleyRAT обладает широкими функциональными возможностями, включая захват пользовательских скриншотов, регистрацию нажатий клавиш и получение подробной системной информации, такой как MAC-адреса сетевого интерфейса и языковые настройки пользователя. Вредоносное ПО также способно устанавливать дополнительные вредоносные плагины в скомпрометированную систему, тем самым расширяя свой охват и возможности по использованию среды жертвы.

Более того, инфраструктура C2, используемая в этой кампании, привязана к доменам, зарегистрированным у хостинг-провайдера SonderCloud Limited, что свидетельствует о хорошо организованной работе. Эти домены, в основном использующие .рабочий TLD, связаны с IP-адресами в Гонконге.

Таким образом, операция "Шелковая приманка" является примером современного ландшафта угроз, где киберпреступники используют методы социальной инженерии в сочетании со сложным вредоносным ПО, чтобы использовать определенную демографию и достигать своих вредоносных целей.

#ParsedReport #CompletenessLow
16-10-2025

Privacy and Prizes: Rewards from a Malicious Browser Extension

https://cofense.com/blog/privacy%E2%80%9D-and-prizes%E2%80%9D-rewards-from-a-malicious-browser-extension

Report completeness: Low

Victims:
Internet users

ChatGPT TTPs:
do not use without manual check
T1036, T1204.002, T1566.001, T1566.002, T1585.002

IOCs:
Domain: 1
File: 3
Url: 1
IP: 1
Hash: 3

Soft:
Chrome

Algorithms:
zip, sha256, base64, md5

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Новая киберугроза связана с вредоносным расширением Chrome, которое использует пользователей с помощью вводящих в заблуждение электронных писем, обещая приз в размере 50 000 долларов за расширенное использование. Это расширение "MAC spoofer", скорее всего, работает как инструмент сбора данных, а не для повышения конфиденциальности, используя тактику социальной инженерии для манипулирования доверием пользователей. Кампания освещает уязвимости в расширениях браузера и легкость, с которой их можно замаскировать, подчеркивая сохраняющиеся риски, связанные с установкой нежелательного программного обеспечения.
-----

Недавнее открытие, сделанное Центром защиты от фишинга Cofense (PDC), указывает на новую киберугрозу, связанную с вредоносным расширением браузера, предназначенным для эксплуатации пользователей с помощью обманчивых сообщений электронной почты. Кампания побуждает пользователей установить расширение для Chrome с заманчивым обещанием приза в размере 50 000 долларов, если они сохранят расширение активным в течение 30 дней. Эта тактика использует социальную инженерию, чтобы манипулировать стремлением пользователей к конфиденциальности и денежной выгоде, пользуясь их доверием к очевидной легитимности, поскольку отправитель электронной почты имитирует домен технической компании (hibarriotech.com ).

Несмотря на то, что это расширение рекламируется как "спуферинг для MAC", фактическая функциональность этого расширения вызывает серьезные опасения относительно поведения вредоносного ПО. Мотивы, стоящие за таким расширением, предполагают, что это не просто инструмент для повышения конфиденциальности; вместо этого, оно, вероятно, служит для злоумышленника средством сбора личных данных или выполнения других вредоносных действий под видом безобидного приложения. Использование приманки, сочетающей финансовый стимул с привлекательным обещанием повышенной конфиденциальности, отражает глубокое понимание психологии пользователей, направленное на снижение сопротивляемости установке потенциально вредоносного программного обеспечения.

Последствия этого вектора атаки подчеркивают уязвимости, связанные с расширениями браузера, особенно в том, насколько легко их можно замаскировать и представить как законные. Пользователи должны сохранять бдительность в отношении подобных мошенничеств, поскольку даже кажущиеся безобидными установки могут привести к серьезным нарушениям конфиденциальности или краже данных. Зависимость злоумышленника от надежного фасада усиливает текущую проблему борьбы с социальной инженерией в области кибербезопасности, подчеркивая необходимость непрерывного обучения пользователей и осведомленности о рисках, связанных с нежелательными рекомендациями по программному обеспечению.

#ParsedReport #CompletenessLow
17-10-2025

OtterCandy, malware used by WaterPlum

https://jp.security.ntt/insights_resources/tech_blog/ottercandy_malware_e/

Report completeness: Low

Actors/Campaigns:
Famous_chollima
Clickfake_interview
Contagious_interview
Blocknovas
Lazarus

Threats:
Ottercandy
Beavertail
Flexibleferret
Frostyferret
Ottercookie
Clickfix_technique
Invisibleferret
Supply_chain_technique

Geo:
Russian, North korean, Japan, Dprk, North korea

IOCs:
File: 1
IP: 6

Soft:
macOS, Linux, Node.js

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 1, table: 1, code: 4

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
WaterPlum, также известная как Famous Chollima или PurpleBravo, является северокорейской хакерской группой, участвующей в киберкампаниях, в частности в серии ClickFake Interview, с акцентом на подмножество под названием Cluster B. В их операциях используется троян удаленного доступа (RAT) под названием OtterCandy, основанный на предыдущих вредоносных ПО, таких как RATatouille и OtterCookie, который был неверно идентифицирован в прошлых отчетах. Вредоносное ПО получило минимальные обновления, в августе 2025 года была выпущена версия 2, в которой были внесены изменения, не детализированные публично, что подчеркивает необходимость постоянного мониторинга их вредоносной активности.
-----

WaterPlum, северокорейская хакерская группа, также известная как Famous Chollima или PurpleBravo, связана с различными кампаниями по кибератакам, в частности с сериями ClickFake Interview и Contagious Interview. Недавняя активность была сосредоточена на конкретной подгруппе группы, известной как кластер В, которая играет заметную роль в кампании ClickFake Interview.

Ключевым компонентом их деятельности является вредоносное ПО под названием OtterCandy, троян удаленного доступа (RAT) и стиллер информации, разработанный с использованием Node.js . OtterCandy объединяет функции ранее идентифицированного вредоносного ПО, известного как RATatouille и OtterCookie. Анализ его образцов, в частности одного, представленного в VirusTotal в феврале 2025 года, подтвердил, что в предыдущих отчетах он был неправильно идентифицирован как OtterCookie.

Вредоносное ПО претерпело минимальные изменения с момента своего первоначального выпуска, сохранив в основном тот же основной код с изменениями только адресов серверов управления (C2). Однако в конце августа 2025 года было внедрено значительное обновление, получившее название версии 2 (v2). Это обновление версии 2 внесло три заметных изменения, хотя конкретные детали этих модификаций не были раскрыты.

Мониторинг OtterCandy и более широких операций кластера B в рамках кампании ClickFake Interview жизненно важен для понимания и смягчения текущих киберугроз, исходящих от WaterPlum. Постоянная бдительность необходима, учитывая активный статус группы и использование ими расширяющихся возможностей вредоносного ПО.

#ParsedReport #CompletenessHigh
17-10-2025

Operation MotorBeacon : Threat Actor targets Russian Automotive Sector using .NET Implant

https://www.seqrite.com/blog/seqrite-capi-backdoor-dotnet-stealer-russian-auto-commerce-oct-2025/

Report completeness: High

Actors/Campaigns:
Motorbeacon

Threats:
Spear-phishing_technique
Lolbin_technique
Minidump_tool

Victims:
Russian automobile commerce industry, Russian automobile sector

Industry:
Transport, E-commerce

Geo:
Russian, Russian federation

TTPs:
Tactics: 8
Technics: 10

IOCs:
File: 10
Domain: 2
Url: 1
IP: 1
Path: 1
Hash: 3

Soft:
Chrome, Firefox

Algorithms:
md5, zip

Functions:
ReceiveCommands, GetExecutingAssembly

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 19, windows: 1