CTT Report Hub
#ParsedReport #CompletenessLow 26-11-2025 Discord Bot backdoor malware from the UNC5174 group https://asec.ahnlab.com/ko/91228/ Report completeness: Low Actors/Campaigns: Unc5174 Threats: Vshell Discord_c2_technique Victims: Unspecified organizations…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа UNC5174 использует бэкдор - вредоносное ПО, использующее Discord API для своих операций командования и контроля (C2), что позволяет осуществлять постоянный контроль над скомпрометированными системами. Первоначально они используют установленные бэкдоры, такие как vshell, для получения доступа, а затем внедряют более скрытые варианты, чтобы избежать обнаружения. Эта стратегия иллюстрирует их адаптивные методы и подчеркивает тенденцию использования законных платформ для вредоносных действий.
-----
Была идентифицирована группа UNC5174, использующая бэкдор вредоносного ПО, которая использует Discord API для создания системы командования и контроля (C2). Этот инновационный подход позволяет злоумышленникам сохранять постоянный контроль над скомпрометированными системами, используя методологию, которая предполагает последовательное развертывание различных типов бэкдоров после первоначального взлома. Первоначально эти злоумышленники получают доступ к своим целям, используя установленные бэкдоры, такие как vshell. После этого первоначального доступа группа впоследствии внедряет новые варианты бэкдоров, которые предназначены для более эффективного уклонения от обнаружения.
Как показывает анализ взломов, эта тактика не только подчеркивает способность группы адаптировать свои методы, но и указывает на более масштабные стратегические усилия по обеспечению долгосрочного доступа к скомпрометированным сетям. Сначала используя более заметный бэкдор, а затем обновляясь до более скрытой версии, UNC5174 демонстрирует понимание операционной безопасности и закрепления угроз. Использование Discord для операций C2 особенно примечательно, поскольку оно использует преимущества законной инфраструктуры для маскировки вредоносных действий, что указывает на растущую тенденцию среди злоумышленников использовать широко используемые платформы в целях сокрытия.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа UNC5174 использует бэкдор - вредоносное ПО, использующее Discord API для своих операций командования и контроля (C2), что позволяет осуществлять постоянный контроль над скомпрометированными системами. Первоначально они используют установленные бэкдоры, такие как vshell, для получения доступа, а затем внедряют более скрытые варианты, чтобы избежать обнаружения. Эта стратегия иллюстрирует их адаптивные методы и подчеркивает тенденцию использования законных платформ для вредоносных действий.
-----
Была идентифицирована группа UNC5174, использующая бэкдор вредоносного ПО, которая использует Discord API для создания системы командования и контроля (C2). Этот инновационный подход позволяет злоумышленникам сохранять постоянный контроль над скомпрометированными системами, используя методологию, которая предполагает последовательное развертывание различных типов бэкдоров после первоначального взлома. Первоначально эти злоумышленники получают доступ к своим целям, используя установленные бэкдоры, такие как vshell. После этого первоначального доступа группа впоследствии внедряет новые варианты бэкдоров, которые предназначены для более эффективного уклонения от обнаружения.
Как показывает анализ взломов, эта тактика не только подчеркивает способность группы адаптировать свои методы, но и указывает на более масштабные стратегические усилия по обеспечению долгосрочного доступа к скомпрометированным сетям. Сначала используя более заметный бэкдор, а затем обновляясь до более скрытой версии, UNC5174 демонстрирует понимание операционной безопасности и закрепления угроз. Использование Discord для операций C2 особенно примечательно, поскольку оно использует преимущества законной инфраструктуры для маскировки вредоносных действий, что указывает на растущую тенденцию среди злоумышленников использовать широко используемые платформы в целях сокрытия.
#ParsedReport #CompletenessMedium
26-11-2025
Zscaler Threat Hunting Discovers and Reconstructs a Sophisticated Water Gamayun APT Group Attack
https://www.zscaler.com/blogs/security-research/water-gamayun-apt-attack
Report completeness: Medium
Actors/Campaigns:
Encrypthub
Threats:
Eviltwin_technique
Credential_harvesting_technique
Silentprism
Darkwisp
Rhadamanthys
Victims:
Enterprise networks, Government networks
Industry:
Government
Geo:
Russia, Russian
CVEs:
CVE-2025-26633 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.20947)
- microsoft windows_10_1607 (<10.0.14393.7876)
- microsoft windows_10_1809 (<10.0.17763.7009)
- microsoft windows_10_21h2 (<10.0.19044.5608)
- microsoft windows_10_22h2 (<10.0.19045.5608)
have more...
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1036.003, T1055, T1059.001, T1068, T1105, T1140, T1190, T1202, T1204.001, have more...
IOCs:
File: 4
Domain: 1
Url: 2
IP: 1
Hash: 6
Soft:
UnRAR
Algorithms:
base64, md5
Functions:
TaskPad
Languages:
powershell, javascript
26-11-2025
Zscaler Threat Hunting Discovers and Reconstructs a Sophisticated Water Gamayun APT Group Attack
https://www.zscaler.com/blogs/security-research/water-gamayun-apt-attack
Report completeness: Medium
Actors/Campaigns:
Encrypthub
Threats:
Eviltwin_technique
Credential_harvesting_technique
Silentprism
Darkwisp
Rhadamanthys
Victims:
Enterprise networks, Government networks
Industry:
Government
Geo:
Russia, Russian
CVEs:
CVE-2025-26633 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.20947)
- microsoft windows_10_1607 (<10.0.14393.7876)
- microsoft windows_10_1809 (<10.0.17763.7009)
- microsoft windows_10_21h2 (<10.0.19044.5608)
- microsoft windows_10_22h2 (<10.0.19045.5608)
have more...
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036.003, T1055, T1059.001, T1068, T1105, T1140, T1190, T1202, T1204.001, have more...
IOCs:
File: 4
Domain: 1
Url: 2
IP: 1
Hash: 6
Soft:
UnRAR
Algorithms:
base64, md5
Functions:
TaskPad
Languages:
powershell, javascript
Zscaler
In-Depth Analysis: Water Gamayun APT Multi-Stage Attack Uncovered
Zscaler Threat Hunting team analyzes Water Gamayun APT’s multi-stage attack exploiting MMC, fake PDFs, and obfuscation to deliver hidden malware.
CTT Report Hub
#ParsedReport #CompletenessMedium 26-11-2025 Zscaler Threat Hunting Discovers and Reconstructs a Sophisticated Water Gamayun APT Group Attack https://www.zscaler.com/blogs/security-research/water-gamayun-apt-attack Report completeness: Medium Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT-группировка Water Gamayun, предположительно российского происхождения, осуществила многоэтапную кибератаку, используя скомпрометированный законный веб-сайт и похожий домен. Ключевые методы включали использование полезной нагрузки RAR с двойным расширением, замаскированной под PDF, использование уязвимости Windows MMC (CVE-2025-26633) для внедрения кода и последующее выполнение скрытых полезных нагрузок PowerShell. Эта группа специализируется на скрытных кампаниях по краже информации, нацеленных на конфиденциальные данные с помощью социальной инженерии и усовершенствованных методик атак, включая эксплойты zero-day и пользовательские трояны удаленного доступа (RAT).
-----
Недавний анализ многоэтапной кибератаки, приписываемой APT-группировке Water Gamayun, выявил несколько сложных методов, используемых для успешной компрометации целей. Первоначальное нарушение было вызвано взломом законного веб-сайта и домена-двойника. Злоумышленники использовали полезную нагрузку RAR с двойным расширением, замаскированную под PDF-файл, что воспользовалось доверием пользователей. Критически важным для этой атаки было использование уязвимости Windows MMC, в частности CVE-2025-26633, которая позволяла внедрять вредоносный код в законный mmc.exe процесс. Эта эксплуатация позволяла выполнять скрытые полезные нагрузки PowerShell, эффективно скрывая вредоносные действия от обнаружения пользователем.
Реконструкция, предоставленная командой Zscaler по поиску угроз, выявила сложную схему атаки, использующую команды, относящиеся к конкретной задаче, в консоли управления Microsoft (MMC) для инициирования этапов вредоносного по с использованием многоуровневых методов запутывания. Чтобы сохранить видимость законного взаимодействия с пользователем, был развернут поддельный документ, и злоумышленники использовали защищенный паролем архив наряду с небольшим .Класс NET, предназначенный для скрытия процессов. Деятельность группы компаний "Water Gamayun" демонстрирует уникальное мастерство, характеризующееся обфускацией сигнатур, двухсторонней инфраструктурой и специфической тактикой социальной инженерии.
Water Gamayun, идентифицированная как вероятная российская APT-группировка, стала заметным злоумышленником, специализирующимся на тайных кампаниях по краже информации, нацеленных как на правительственные, так и на корпоративные сети. Их основное внимание уделяется эксфильтрации конфиденциальных данных, сбору учетных записей и поддержанию долговременного закрепления с использованием пользовательских троянов удаленного доступа (RAT). За прошедший год группа усовершенствовала свою методологию атак, в частности, включив использование zero-day и выполнение доверенных двоичных прокси-серверов для эффективного обхода современных средств защиты от кибербезопасности.
Приписывание этой конкретной кампании Water Gamayun подкрепляется последовательными выводами по целому ряду доказательных источников, включая наблюдаемые тактики, методы и процедуры (TTP). Аналитики Zscaler используют эти данные для упреждающего поиска возникающих угроз и индикаторов, связанных с поведением противника. Их подход к расследованию включает в себя проверку загрузок с вводящими в заблуждение расширениями файлов, мониторинг сетевого трафика на подозрительные домены и тщательное изучение использования доверенных двоичных файлов при выполнении вредоносных задач.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT-группировка Water Gamayun, предположительно российского происхождения, осуществила многоэтапную кибератаку, используя скомпрометированный законный веб-сайт и похожий домен. Ключевые методы включали использование полезной нагрузки RAR с двойным расширением, замаскированной под PDF, использование уязвимости Windows MMC (CVE-2025-26633) для внедрения кода и последующее выполнение скрытых полезных нагрузок PowerShell. Эта группа специализируется на скрытных кампаниях по краже информации, нацеленных на конфиденциальные данные с помощью социальной инженерии и усовершенствованных методик атак, включая эксплойты zero-day и пользовательские трояны удаленного доступа (RAT).
-----
Недавний анализ многоэтапной кибератаки, приписываемой APT-группировке Water Gamayun, выявил несколько сложных методов, используемых для успешной компрометации целей. Первоначальное нарушение было вызвано взломом законного веб-сайта и домена-двойника. Злоумышленники использовали полезную нагрузку RAR с двойным расширением, замаскированную под PDF-файл, что воспользовалось доверием пользователей. Критически важным для этой атаки было использование уязвимости Windows MMC, в частности CVE-2025-26633, которая позволяла внедрять вредоносный код в законный mmc.exe процесс. Эта эксплуатация позволяла выполнять скрытые полезные нагрузки PowerShell, эффективно скрывая вредоносные действия от обнаружения пользователем.
Реконструкция, предоставленная командой Zscaler по поиску угроз, выявила сложную схему атаки, использующую команды, относящиеся к конкретной задаче, в консоли управления Microsoft (MMC) для инициирования этапов вредоносного по с использованием многоуровневых методов запутывания. Чтобы сохранить видимость законного взаимодействия с пользователем, был развернут поддельный документ, и злоумышленники использовали защищенный паролем архив наряду с небольшим .Класс NET, предназначенный для скрытия процессов. Деятельность группы компаний "Water Gamayun" демонстрирует уникальное мастерство, характеризующееся обфускацией сигнатур, двухсторонней инфраструктурой и специфической тактикой социальной инженерии.
Water Gamayun, идентифицированная как вероятная российская APT-группировка, стала заметным злоумышленником, специализирующимся на тайных кампаниях по краже информации, нацеленных как на правительственные, так и на корпоративные сети. Их основное внимание уделяется эксфильтрации конфиденциальных данных, сбору учетных записей и поддержанию долговременного закрепления с использованием пользовательских троянов удаленного доступа (RAT). За прошедший год группа усовершенствовала свою методологию атак, в частности, включив использование zero-day и выполнение доверенных двоичных прокси-серверов для эффективного обхода современных средств защиты от кибербезопасности.
Приписывание этой конкретной кампании Water Gamayun подкрепляется последовательными выводами по целому ряду доказательных источников, включая наблюдаемые тактики, методы и процедуры (TTP). Аналитики Zscaler используют эти данные для упреждающего поиска возникающих угроз и индикаторов, связанных с поведением противника. Их подход к расследованию включает в себя проверку загрузок с вводящими в заблуждение расширениями файлов, мониторинг сетевого трафика на подозрительные домены и тщательное изучение использования доверенных двоичных файлов при выполнении вредоносных задач.
#ParsedReport #CompletenessHigh
26-11-2025
FlexibleFerret malware continues to strike
https://www.jamf.com/blog/flexibleferret-malware-continues-to-adapt/
Report completeness: High
Actors/Campaigns:
Contagious_interview
Threats:
Flexibleferret
Terminalfix_technique
Victims:
Job seekers
Industry:
Financial
Geo:
Dprk
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
T1027, T1056.003, T1059, T1059.007, T1071.001, T1105, T1189, T1204, T1566, T1567.002, have more...
IOCs:
Domain: 5
Url: 9
File: 3
Hash: 9
IP: 1
Soft:
macOS, curl, Chrome, Dropbox, Gatekeeper
Algorithms:
zip
Functions:
RunDLL_5179_Main, generate_5179_UUID, RunDLL, main, recover
Win API:
DllRegisterServer
Languages:
javascript, golang
Platforms:
arm, intel
26-11-2025
FlexibleFerret malware continues to strike
https://www.jamf.com/blog/flexibleferret-malware-continues-to-adapt/
Report completeness: High
Actors/Campaigns:
Contagious_interview
Threats:
Flexibleferret
Terminalfix_technique
Victims:
Job seekers
Industry:
Financial
Geo:
Dprk
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1056.003, T1059, T1059.007, T1071.001, T1105, T1189, T1204, T1566, T1567.002, have more...
IOCs:
Domain: 5
Url: 9
File: 3
Hash: 9
IP: 1
Soft:
macOS, curl, Chrome, Dropbox, Gatekeeper
Algorithms:
zip
Functions:
RunDLL_5179_Main, generate_5179_UUID, RunDLL, main, recover
Win API:
DllRegisterServer
Languages:
javascript, golang
Platforms:
arm, intel
Jamf
FlexibleFerret: macOS Malware Deploys in Fake Job Scams
Jamf Threat Labs analyzes the FlexibleFerret macOS malware, a threat that uses fake recruitment lures and social engineering to infect systems and steal credentials.
CTT Report Hub
#ParsedReport #CompletenessHigh 26-11-2025 FlexibleFerret malware continues to strike https://www.jamf.com/blog/flexibleferret-malware-continues-to-adapt/ Report completeness: High Actors/Campaigns: Contagious_interview Threats: Flexibleferret Terminalfix_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
FlexibleFerret - семейство связанных с Северной Кореей вредоносных ПО, используемых в схемах социальной инженерии, которые нацелены на отдельных лиц с помощью поддельных процессов найма на работу. Жертв направляют на обманчивые веб-сайты и обманом заставляют выполнять команды, которые компрометируют их учетные данные и конфиденциальную информацию. Вредоносное ПО содержит бэкдор на базе Golang под названием CDrivers, который поддерживает цикл обработки команд для связи с сервером C2 и включает обработку ошибок для обеспечения закрепления даже во время сбоев в выполнении.
-----
FlexibleFerret - семейство вредоносных ПО, приписываемое операторам, связанным с Северной Кореей, и идентифицированное как часть вредоносной схемы, нацеленной на отдельных лиц с помощью поддельных процессов найма. Вредоносное ПО внедряется с помощью тактики социальной инженерии, в частности, с помощью ложных оценок вакансий, которые требуют от кандидатов выполнять команды на их терминале, тем самым компрометируя учетные данные и конфиденциальную информацию.
Атака начинается с создания обманчивых веб-сайтов по подбору персонала, таких как evaluza.com, предназначенных для того, чтобы убедить потенциальных жертв в том, что они участвуют в законном процессе найма. Людей часто обманывают, заставляя загружать личные видеоролики и предоставлять подробную информацию под видом заявления о приеме на работу. Как только жертва заходит на эти сайты, ей предоставляется приложение-приманка, имитирующее запросы браузера, якобы запрашивающее доступ к камере и данные для входа в систему. Затем эти данные собираются и отправляются на аккаунт Dropbox, управляемый злоумышленниками.
Реализация вредоносного ПО включает в себя проект Golang под названием CDrivers, который служит Backdoor. Как только жертва поймана в ловушку, бэкдор переходит в постоянный цикл обработки команд, известный как StartFirst5179Iter. Этот цикл непрерывно выполняет команды следующим образом: он вызывает обработчики для текущего типа команды, создает исходящие сообщения с идентификатором машины и подготавливает данные для обмена с сервером команд и контроля (C2) через функцию, называемую Htxp_Exchange. Кроме того, бэкдор обрабатывает ответы от сервера C2 для декодирования следующей команды для выполнения, поддерживая цикл, который может адаптироваться к вводимым данным от злоумышленника.
Существенной особенностью этого бэкдора является его механизм обработки ошибок; если во время выполнения команды происходит сбой, он сбрасывает тип команды на безвредный запрос системной информации и переходит в спящий режим на пять минут, обеспечивая продолжение работы, несмотря на временные сбои. Вредоносное ПО FlexibleFerret является примером того, как можно использовать убедительные схемы подбора персонала для обхода существующих мер безопасности, таких как Gatekeeper в macOS.
Организациям необходимо сохранять бдительность в отношении нежелательных проверок рабочих мест, особенно тех, кто запрашивает команды с терминала, поскольку ожидается, что эти угрозы будут возникать все чаще. Внимание к осведомленности и сообщению о таких нежелательных запросах имеет решающее значение для снижения риска, связанного с развитием тактики социальной инженерии.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
FlexibleFerret - семейство связанных с Северной Кореей вредоносных ПО, используемых в схемах социальной инженерии, которые нацелены на отдельных лиц с помощью поддельных процессов найма на работу. Жертв направляют на обманчивые веб-сайты и обманом заставляют выполнять команды, которые компрометируют их учетные данные и конфиденциальную информацию. Вредоносное ПО содержит бэкдор на базе Golang под названием CDrivers, который поддерживает цикл обработки команд для связи с сервером C2 и включает обработку ошибок для обеспечения закрепления даже во время сбоев в выполнении.
-----
FlexibleFerret - семейство вредоносных ПО, приписываемое операторам, связанным с Северной Кореей, и идентифицированное как часть вредоносной схемы, нацеленной на отдельных лиц с помощью поддельных процессов найма. Вредоносное ПО внедряется с помощью тактики социальной инженерии, в частности, с помощью ложных оценок вакансий, которые требуют от кандидатов выполнять команды на их терминале, тем самым компрометируя учетные данные и конфиденциальную информацию.
Атака начинается с создания обманчивых веб-сайтов по подбору персонала, таких как evaluza.com, предназначенных для того, чтобы убедить потенциальных жертв в том, что они участвуют в законном процессе найма. Людей часто обманывают, заставляя загружать личные видеоролики и предоставлять подробную информацию под видом заявления о приеме на работу. Как только жертва заходит на эти сайты, ей предоставляется приложение-приманка, имитирующее запросы браузера, якобы запрашивающее доступ к камере и данные для входа в систему. Затем эти данные собираются и отправляются на аккаунт Dropbox, управляемый злоумышленниками.
Реализация вредоносного ПО включает в себя проект Golang под названием CDrivers, который служит Backdoor. Как только жертва поймана в ловушку, бэкдор переходит в постоянный цикл обработки команд, известный как StartFirst5179Iter. Этот цикл непрерывно выполняет команды следующим образом: он вызывает обработчики для текущего типа команды, создает исходящие сообщения с идентификатором машины и подготавливает данные для обмена с сервером команд и контроля (C2) через функцию, называемую Htxp_Exchange. Кроме того, бэкдор обрабатывает ответы от сервера C2 для декодирования следующей команды для выполнения, поддерживая цикл, который может адаптироваться к вводимым данным от злоумышленника.
Существенной особенностью этого бэкдора является его механизм обработки ошибок; если во время выполнения команды происходит сбой, он сбрасывает тип команды на безвредный запрос системной информации и переходит в спящий режим на пять минут, обеспечивая продолжение работы, несмотря на временные сбои. Вредоносное ПО FlexibleFerret является примером того, как можно использовать убедительные схемы подбора персонала для обхода существующих мер безопасности, таких как Gatekeeper в macOS.
Организациям необходимо сохранять бдительность в отношении нежелательных проверок рабочих мест, особенно тех, кто запрашивает команды с терминала, поскольку ожидается, что эти угрозы будут возникать все чаще. Внимание к осведомленности и сообщению о таких нежелательных запросах имеет решающее значение для снижения риска, связанного с развитием тактики социальной инженерии.
#ParsedReport #CompletenessLow
26-11-2025
Whisper Leak: A novel side-channel attack on remote language models
https://www.microsoft.com/en-us/security/blog/2025/11/07/whisper-leak-a-novel-side-channel-cyberattack-on-remote-language-models/
Report completeness: Low
Victims:
Ai chatbot users
Industry:
Government, Healthcare
Geo:
San francisco
ChatGPT TTPs:
T1040
IOCs:
File: 1
Soft:
Microsoft Defender
Algorithms:
aes-gcm, ecdh, chacha20, aes
Links:
26-11-2025
Whisper Leak: A novel side-channel attack on remote language models
https://www.microsoft.com/en-us/security/blog/2025/11/07/whisper-leak-a-novel-side-channel-cyberattack-on-remote-language-models/
Report completeness: Low
Victims:
Ai chatbot users
Industry:
Government, Healthcare
Geo:
San francisco
ChatGPT TTPs:
do not use without manual checkT1040
IOCs:
File: 1
Soft:
Microsoft Defender
Algorithms:
aes-gcm, ecdh, chacha20, aes
Links:
http://github.com/yo-yo-yo-jbo/whisper\_leakMicrosoft News
Whisper Leak: A novel side-channel attack on remote language models
Understand the risks of encrypted AI traffic exposure and explore practical steps users and cloud providers can take to stay secure. Learn more.
CTT Report Hub
#ParsedReport #CompletenessLow 26-11-2025 Whisper Leak: A novel side-channel attack on remote language models https://www.microsoft.com/en-us/security/blog/2025/11/07/whisper-leak-a-novel-side-channel-cyberattack-on-remote-language-models/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака по побочному каналу "Whisper Leak" использует уязвимости в чат-ботах на базе искусственного интеллекта, особенно в таких деликатных контекстах, как здравоохранение и юридические консультации, путем анализа структуры трафика данных, чтобы отличить обсуждения по конкретным темам, таким как законность, от общей болтовни. Используя эту методологию, злоумышленники потенциально могут раскрыть конфиденциальные пользовательские данные, поскольку моделирование показывает, что даже незначительные обсуждения конфиденциальных тем среди несвязанных разговоров создают значительные риски для конфиденциальности. Это подчеркивает настоятельную необходимость эффективных мер по анонимизации и шифрованию в коммуникациях с использованием искусственного интеллекта.
-----
Разработка чат-ботов на базе искусственного интеллекта привела к растущей обеспокоенности по поводу конфиденциальности взаимодействий, особенно в таких деликатных ситуациях, как здравоохранение и юридические консультации. Внедрение новой атаки по побочному каналу, называемой "Whisper Leak", выявляет уязвимости в моделях удаленного языка, которые потенциально могут раскрыть конфиденциальные пользовательские данные. Эта методология атаки использует предсказуемость разговоров, выделяя конкретную тему — такую как "законность отмывания денег" — из общих обсуждений посредством анализа закономерностей в трафике данных.
Атаки по побочным каналам обычно нацелены на криптографические реализации путем мониторинга таких аспектов, как энергопотребление и время извлечения секретных ключей. В этом случае атака Whisper Leak использует аналогичные принципы, обучая классификатор различать целевую чувствительную тему и фоновый шум, создаваемый несвязанными разговорами. Моделирование показывает, что даже при незначительном присутствии конфиденциальной темы в большом наборе данных существует значительный риск компрометации пользовательских данных. Это означает, что кибератакующие могли бы эффективно отслеживать разговоры в режиме реального времени, вызывая серьезные этические проблемы и проблемы безопасности в отношении конфиденциальности пользователей.
Чтобы снизить риски, связанные с этой уязвимостью, пользователям рекомендуется воздерживаться от обсуждения деликатных тем с помощью чат-ботов с искусственным интеллектом, особенно в ненадежных сетях. Рекомендуется использовать VPN-сервисы для дополнительной безопасности, выбирать поставщиков, у которых действуют надежные меры конфиденциальности, и выбирать модели, не связанные с потоковой передачей. Постоянное обновление протоколов безопасности поставщиков также имеет решающее значение для обеспечения безопасности взаимодействий в контексте растущего использования искусственного интеллекта. Атака Whisper Leak подчеркивает важность эффективной анонимизации и шифрования для поддержания целостности и конфиденциальности коммуникаций с системами искусственного интеллекта.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака по побочному каналу "Whisper Leak" использует уязвимости в чат-ботах на базе искусственного интеллекта, особенно в таких деликатных контекстах, как здравоохранение и юридические консультации, путем анализа структуры трафика данных, чтобы отличить обсуждения по конкретным темам, таким как законность, от общей болтовни. Используя эту методологию, злоумышленники потенциально могут раскрыть конфиденциальные пользовательские данные, поскольку моделирование показывает, что даже незначительные обсуждения конфиденциальных тем среди несвязанных разговоров создают значительные риски для конфиденциальности. Это подчеркивает настоятельную необходимость эффективных мер по анонимизации и шифрованию в коммуникациях с использованием искусственного интеллекта.
-----
Разработка чат-ботов на базе искусственного интеллекта привела к растущей обеспокоенности по поводу конфиденциальности взаимодействий, особенно в таких деликатных ситуациях, как здравоохранение и юридические консультации. Внедрение новой атаки по побочному каналу, называемой "Whisper Leak", выявляет уязвимости в моделях удаленного языка, которые потенциально могут раскрыть конфиденциальные пользовательские данные. Эта методология атаки использует предсказуемость разговоров, выделяя конкретную тему — такую как "законность отмывания денег" — из общих обсуждений посредством анализа закономерностей в трафике данных.
Атаки по побочным каналам обычно нацелены на криптографические реализации путем мониторинга таких аспектов, как энергопотребление и время извлечения секретных ключей. В этом случае атака Whisper Leak использует аналогичные принципы, обучая классификатор различать целевую чувствительную тему и фоновый шум, создаваемый несвязанными разговорами. Моделирование показывает, что даже при незначительном присутствии конфиденциальной темы в большом наборе данных существует значительный риск компрометации пользовательских данных. Это означает, что кибератакующие могли бы эффективно отслеживать разговоры в режиме реального времени, вызывая серьезные этические проблемы и проблемы безопасности в отношении конфиденциальности пользователей.
Чтобы снизить риски, связанные с этой уязвимостью, пользователям рекомендуется воздерживаться от обсуждения деликатных тем с помощью чат-ботов с искусственным интеллектом, особенно в ненадежных сетях. Рекомендуется использовать VPN-сервисы для дополнительной безопасности, выбирать поставщиков, у которых действуют надежные меры конфиденциальности, и выбирать модели, не связанные с потоковой передачей. Постоянное обновление протоколов безопасности поставщиков также имеет решающее значение для обеспечения безопасности взаимодействий в контексте растущего использования искусственного интеллекта. Атака Whisper Leak подчеркивает важность эффективной анонимизации и шифрования для поддержания целостности и конфиденциальности коммуникаций с системами искусственного интеллекта.
#ParsedReport #CompletenessMedium
26-11-2025
Fake adult websites pop realistic Windows Update screen to deliver stealers via ClickFix
https://www.acronis.com/en/tru/posts/fake-adult-websites-pop-realistic-windows-update-screen-to-deliver-stealers-via-clickfix/
Report completeness: Medium
Threats:
Clickfix_technique
Jackfix_technique
Rhadamanthys
Vidar_stealer
Redline_stealer
Amadey
Filefix_technique
Junk_code_technique
Victims:
Consumers, Adult site visitors
Industry:
Education, Financial, Government
Geo:
Guinea, Australia, Russian, Indonesia
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1036, T1059, T1059.001, T1105, T1140, T1189, T1204, T1204.002, T1566.002, have more...
IOCs:
File: 1
Domain: 31
IP: 11
Soft:
Windows Security, Steam, Telegram, Chrome, Firefox, Microsoft Defender, twitter
Algorithms:
xor, aes, base64
Win Services:
bits
Languages:
powershell, javascript
26-11-2025
Fake adult websites pop realistic Windows Update screen to deliver stealers via ClickFix
https://www.acronis.com/en/tru/posts/fake-adult-websites-pop-realistic-windows-update-screen-to-deliver-stealers-via-clickfix/
Report completeness: Medium
Threats:
Clickfix_technique
Jackfix_technique
Rhadamanthys
Vidar_stealer
Redline_stealer
Amadey
Filefix_technique
Junk_code_technique
Victims:
Consumers, Adult site visitors
Industry:
Education, Financial, Government
Geo:
Guinea, Australia, Russian, Indonesia
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1059, T1059.001, T1105, T1140, T1189, T1204, T1204.002, T1566.002, have more...
IOCs:
File: 1
Domain: 31
IP: 11
Soft:
Windows Security, Steam, Telegram, Chrome, Firefox, Microsoft Defender, twitter
Algorithms:
xor, aes, base64
Win Services:
bits
Languages:
powershell, javascript
Acronis
Fake adult websites pop realistic Windows Update screen to deliver stealers via ClickFix
Acronis TRU researchers have discovered an ongoing campaign that leverages a novel combination of screen hijacking techniques with ClickFix, displaying a realistic, full-screen Windows Update of “Critical Windows Security Updates” to trick victims into executing…
CTT Report Hub
#ParsedReport #CompletenessMedium 26-11-2025 Fake adult websites pop realistic Windows Update screen to deliver stealers via ClickFix https://www.acronis.com/en/tru/posts/fake-adult-websites-pop-realistic-windows-update-screen-to-deliver-stealers-via-clickfix/…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака JackFix использует изощренный захват экрана и тактику социальной инженерии, чтобы ввести пользователей в заблуждение и заставить их выполнять вредоносные команды через поддельные веб-сайты для взрослых, выдавая им убедительное полноэкранное сообщение Центра обновления Windows. Атака использует запутанные скрипты, чтобы избежать обнаружения, кульминацией которой является сложная полезная нагрузка PowerShell, которая доставляет различные типы вредоносного ПО, включая стиллеров информации и RAT. Примечательно, что метод использует контексты, вызывающие дискомфорт, чтобы манипулировать пользователями, заставляя их участвовать в их собственном компромиссе, демонстрируя эволюцию стратегий атаки ClickFix.
-----
Недавнее исследование Acronis TRU выявило новую киберугрозу, получившую название "атака JackFix", которая сочетает в себе сложные методы захвата экрана с ClickFix для обмана пользователей. В этой продолжающейся кампании используются поддельные веб-сайты для взрослых, которые отображают убедительное полноэкранное приглашение Центра обновления Windows, утверждающее, что они предоставляют "Критические обновления для системы безопасности Windows". Цель состоит в том, чтобы ввести пользователей в заблуждение и заставить их выполнять вредоносные команды, используя тактику социальной инженерии, которая стимулирует срочность и страх.
Атака начинается с того, что жертв заманивают на фишинг-сайты для взрослых. Авторы отмечают, что такой выбор контекста является преднамеренным, поскольку он вызывает дискомфорт и подрывает доверие, делая пользователей более восприимчивыми к выполнению следующих инструкций. Исследователи заметили, что сайты фишинга подверглись многократным итерациям, причем в более ранних версиях содержались комментарии российских разработчиков в коде, прежде чем они были позже удалены, что указывает на потенциальную связь с русскоязычными злоумышленниками.
Примечательной особенностью атаки JackFix является использование методов запутывания. Эта версия ClickFix умело маскирует как вредоносную полезную нагрузку, так и команды, ответственные за ее передачу в буфер обмена жертвы. Поступая таким образом, атака обходит методы обнаружения, которые основаны на идентификации определенных команд HTML или JavaScript, обычно связанных с атаками ClickFix.
Кульминацией вредоносной активности является выдача поддельного запроса на обновление Windows, который выполняется с помощью HTML и JavaScript, встроенных непосредственно в сайт фишинга. Этот метод отличает его от предыдущих реализаций метода заражения Windows Update, создавая новые возможности для различных форм атак.
Первоначально атака развертывает серию скриптов в качестве полезной нагрузки первого этапа. Эти сценарии могут быть основаны либо на одной кампании, либо на наборе кампаний, использующих схожую структуру. После начального этапа поступает более сложная полезная нагрузка второго этапа в виде большого скрипта PowerShell, размер которого, как сообщается, достигает 13 мегабайт, а самый маленький - около 20 000 слов. Эта изнурительная сложность указывает на потенциальную возможность дальнейших вредоносных действий.
Заключительный этап атаки включает в себя несколько типов вредоносного ПО, включая стиллеров информации и троянов удаленного доступа (RAT), которые доставляются ничего не подозревающим жертвам методом "распыляй и молись". Эта кампания является примером передовой тактики социальной инженерии, которая позволяет злоумышленникам манипулировать пользователями, заставляя их чувствовать себя соучастниками собственной виктимизации, тем самым повышая вероятность взаимодействия с вредоносным контентом.
Хотя отмечается, что решения Acronis XDR обеспечивают защиту от этой кампании, обнаруживая и блокируя выполнение полезной нагрузки PowerShell, сама кампания иллюстрирует эволюцию методологий атак с ClickFix и постоянную необходимость проявлять бдительность в отношении подобных угроз социальной инженерии.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака JackFix использует изощренный захват экрана и тактику социальной инженерии, чтобы ввести пользователей в заблуждение и заставить их выполнять вредоносные команды через поддельные веб-сайты для взрослых, выдавая им убедительное полноэкранное сообщение Центра обновления Windows. Атака использует запутанные скрипты, чтобы избежать обнаружения, кульминацией которой является сложная полезная нагрузка PowerShell, которая доставляет различные типы вредоносного ПО, включая стиллеров информации и RAT. Примечательно, что метод использует контексты, вызывающие дискомфорт, чтобы манипулировать пользователями, заставляя их участвовать в их собственном компромиссе, демонстрируя эволюцию стратегий атаки ClickFix.
-----
Недавнее исследование Acronis TRU выявило новую киберугрозу, получившую название "атака JackFix", которая сочетает в себе сложные методы захвата экрана с ClickFix для обмана пользователей. В этой продолжающейся кампании используются поддельные веб-сайты для взрослых, которые отображают убедительное полноэкранное приглашение Центра обновления Windows, утверждающее, что они предоставляют "Критические обновления для системы безопасности Windows". Цель состоит в том, чтобы ввести пользователей в заблуждение и заставить их выполнять вредоносные команды, используя тактику социальной инженерии, которая стимулирует срочность и страх.
Атака начинается с того, что жертв заманивают на фишинг-сайты для взрослых. Авторы отмечают, что такой выбор контекста является преднамеренным, поскольку он вызывает дискомфорт и подрывает доверие, делая пользователей более восприимчивыми к выполнению следующих инструкций. Исследователи заметили, что сайты фишинга подверглись многократным итерациям, причем в более ранних версиях содержались комментарии российских разработчиков в коде, прежде чем они были позже удалены, что указывает на потенциальную связь с русскоязычными злоумышленниками.
Примечательной особенностью атаки JackFix является использование методов запутывания. Эта версия ClickFix умело маскирует как вредоносную полезную нагрузку, так и команды, ответственные за ее передачу в буфер обмена жертвы. Поступая таким образом, атака обходит методы обнаружения, которые основаны на идентификации определенных команд HTML или JavaScript, обычно связанных с атаками ClickFix.
Кульминацией вредоносной активности является выдача поддельного запроса на обновление Windows, который выполняется с помощью HTML и JavaScript, встроенных непосредственно в сайт фишинга. Этот метод отличает его от предыдущих реализаций метода заражения Windows Update, создавая новые возможности для различных форм атак.
Первоначально атака развертывает серию скриптов в качестве полезной нагрузки первого этапа. Эти сценарии могут быть основаны либо на одной кампании, либо на наборе кампаний, использующих схожую структуру. После начального этапа поступает более сложная полезная нагрузка второго этапа в виде большого скрипта PowerShell, размер которого, как сообщается, достигает 13 мегабайт, а самый маленький - около 20 000 слов. Эта изнурительная сложность указывает на потенциальную возможность дальнейших вредоносных действий.
Заключительный этап атаки включает в себя несколько типов вредоносного ПО, включая стиллеров информации и троянов удаленного доступа (RAT), которые доставляются ничего не подозревающим жертвам методом "распыляй и молись". Эта кампания является примером передовой тактики социальной инженерии, которая позволяет злоумышленникам манипулировать пользователями, заставляя их чувствовать себя соучастниками собственной виктимизации, тем самым повышая вероятность взаимодействия с вредоносным контентом.
Хотя отмечается, что решения Acronis XDR обеспечивают защиту от этой кампании, обнаруживая и блокируя выполнение полезной нагрузки PowerShell, сама кампания иллюстрирует эволюцию методологий атак с ClickFix и постоянную необходимость проявлять бдительность в отношении подобных угроз социальной инженерии.
#ParsedReport #CompletenessHigh
24-11-2025
Morphisec Thwarts Russian-Linked StealC V2 Campaign Targeting Blender Users via Malicious .blend Files
https://www.morphisec.com/blog/morphisec-thwarts-russian-linked-stealc-v2-campaign-targeting-blender-users-via-malicious-blend-files/
Report completeness: High
Actors/Campaigns:
Blender
Threats:
Stealc
Pyramid_c2_tool
Blenderx
Uac_bypass_technique
Victims:
Blender users
Industry:
E-commerce
Geo:
Russian
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1036, T1059, T1204, T1587, T1588
IOCs:
File: 2
Url: 27
Hash: 24
Path: 1
IP: 9
Soft:
macOS, Linux, Chromium, Firefox, Opera, Chrome, Telegram, Discord, Pidgin
Algorithms:
chacha20, sha256, zip
Languages:
python, powershell
Links:
24-11-2025
Morphisec Thwarts Russian-Linked StealC V2 Campaign Targeting Blender Users via Malicious .blend Files
https://www.morphisec.com/blog/morphisec-thwarts-russian-linked-stealc-v2-campaign-targeting-blender-users-via-malicious-blend-files/
Report completeness: High
Actors/Campaigns:
Blender
Threats:
Stealc
Pyramid_c2_tool
Blenderx
Uac_bypass_technique
Victims:
Blender users
Industry:
E-commerce
Geo:
Russian
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1036, T1059, T1204, T1587, T1588
IOCs:
File: 2
Url: 27
Hash: 24
Path: 1
IP: 9
Soft:
macOS, Linux, Chromium, Firefox, Opera, Chrome, Telegram, Discord, Pidgin
Algorithms:
chacha20, sha256, zip
Languages:
python, powershell
Links:
https://github.com/cessen/rigify/tree/masterMorphisec
Morphisec Thwarts Russian-Linked StealC V2 Campaign Targeting Blender Users via Malicious .blend Files | Morphisec Blog
In this threat analysis, Morphisec researchers detail a Russian-linked Steal C campaign, its attack path and complete infrastructure.
CTT Report Hub
#ParsedReport #CompletenessHigh 24-11-2025 Morphisec Thwarts Russian-Linked StealC V2 Campaign Targeting Blender Users via Malicious .blend Files https://www.morphisec.com/blog/morphisec-thwarts-russian-linked-stealc-v2-campaign-targeting-blender-users-via…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Стиллер StealC V2, связанный с русскоязычными злоумышленниками, распространяется с помощью вредоносных программ .смешайте файлы, предназначенные для пользователей Blender. Эти файлы загружаются на бесплатные веб-сайты 3D asset, используя популярность программного обеспечения для охвата более широкой аудитории. Эволюция вредоносного ПО сделала его привлекательным для киберпреступников низкого уровня, и разведданные указывают на продолжающуюся активность в отношении пользователей, которые взаимодействуют с этими файлами.
-----
Недавние усилия по кибербезопасности высветили возрождение стиллера StealC V2, связанного с русскоязычными злоумышленниками, которые используют вредоносное ПО .смешивайте файлы специально для пользователей Blender. Эти файлы, связанные с Blender — широко используемым бесплатным пакетом для создания 3D-изображений с открытым исходным кодом — служат каналами распространения вредоносного ПО из-за широкой привлекательности Blender среди различных групп пользователей, включая любителей и профессиональных художников.
Были замечены злоумышленники , загружающие эти вредоносные программы .добавляйте файлы на бесплатные веб-сайты с 3D-активами, используя популярность платформы для обеспечения более широкого охвата. Вредоносное ПО StealC V2 эволюционировало с момента своего первоначального анонса в 2025 году, демонстрируя адаптивность для привлечения киберпреступников низкого уровня, ищущих простые методы развертывания. Информация с подпольных форумов указывает на то, что кампания по вредоносному ПО была усовершенствована и активно нацелена на пользователей, которые взаимодействуют с этими файлами.
Примечательно, что Morphisec эффективно защитила себя от этой угрозы, используя передовые методы обнаружения и предотвращения. Их платформа не только идентифицирует случаи StealC, но и защищает целостность данных до того, как произойдет какая-либо кража на уровне конечной точки. Такой упреждающий подход имеет решающее значение для снижения рисков, связанных с использованием скомпрометированных файлов .blend, которые все чаще используются в скоординированных кампаниях по борьбе с вредоносным ПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Стиллер StealC V2, связанный с русскоязычными злоумышленниками, распространяется с помощью вредоносных программ .смешайте файлы, предназначенные для пользователей Blender. Эти файлы загружаются на бесплатные веб-сайты 3D asset, используя популярность программного обеспечения для охвата более широкой аудитории. Эволюция вредоносного ПО сделала его привлекательным для киберпреступников низкого уровня, и разведданные указывают на продолжающуюся активность в отношении пользователей, которые взаимодействуют с этими файлами.
-----
Недавние усилия по кибербезопасности высветили возрождение стиллера StealC V2, связанного с русскоязычными злоумышленниками, которые используют вредоносное ПО .смешивайте файлы специально для пользователей Blender. Эти файлы, связанные с Blender — широко используемым бесплатным пакетом для создания 3D-изображений с открытым исходным кодом — служат каналами распространения вредоносного ПО из-за широкой привлекательности Blender среди различных групп пользователей, включая любителей и профессиональных художников.
Были замечены злоумышленники , загружающие эти вредоносные программы .добавляйте файлы на бесплатные веб-сайты с 3D-активами, используя популярность платформы для обеспечения более широкого охвата. Вредоносное ПО StealC V2 эволюционировало с момента своего первоначального анонса в 2025 году, демонстрируя адаптивность для привлечения киберпреступников низкого уровня, ищущих простые методы развертывания. Информация с подпольных форумов указывает на то, что кампания по вредоносному ПО была усовершенствована и активно нацелена на пользователей, которые взаимодействуют с этими файлами.
Примечательно, что Morphisec эффективно защитила себя от этой угрозы, используя передовые методы обнаружения и предотвращения. Их платформа не только идентифицирует случаи StealC, но и защищает целостность данных до того, как произойдет какая-либо кража на уровне конечной точки. Такой упреждающий подход имеет решающее значение для снижения рисков, связанных с использованием скомпрометированных файлов .blend, которые все чаще используются в скоординированных кампаниях по борьбе с вредоносным ПО.
#ParsedReport #CompletenessLow
27-11-2025
GhostAd: Hidden Google Play Adware Drains Devices and Disrupts Millions of Users
https://blog.checkpoint.com/research/ghostad-hidden-google-play-adware-drains-devices-and-disrupts-millions-of-users/
Report completeness: Low
Actors/Campaigns:
Ghostad
Victims:
Android users
Industry:
Software_development
Geo:
Pakistan, Philippines, Malaysia, Asia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1430
IOCs:
Hash: 5
Soft:
Google Play, Android
Wallets:
harmony_wallet
Languages:
kotlin
27-11-2025
GhostAd: Hidden Google Play Adware Drains Devices and Disrupts Millions of Users
https://blog.checkpoint.com/research/ghostad-hidden-google-play-adware-drains-devices-and-disrupts-millions-of-users/
Report completeness: Low
Actors/Campaigns:
Ghostad
Victims:
Android users
Industry:
Software_development
Geo:
Pakistan, Philippines, Malaysia, Asia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1430
IOCs:
Hash: 5
Soft:
Google Play, Android
Wallets:
harmony_wallet
Languages:
kotlin
Check Point Blog
GhostAd: Hidden Google Play Adware Drains Devices and Disrupts Millions of Users - Check Point Blog
Check Point researchers uncover a large-scale Android adware campaign that silently drains resources and disrupts normal phone use through persistent
CTT Report Hub
#ParsedReport #CompletenessLow 27-11-2025 GhostAd: Hidden Google Play Adware Drains Devices and Disrupts Millions of Users https://blog.checkpoint.com/research/ghostad-hidden-google-play-adware-drains-devices-and-disrupts-millions-of-users/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи Check Point выявили GhostAd, рекламную кампанию в Google Play Store, затрагивающую устройства Android. Он работает скрытно, запуская постоянные фоновые процессы, которые нарушают производительность устройства и пользовательский интерфейс, создавая значительную угрозу целостности устройства. Замаскированный под легальные приложения, GhostAd может показывать агрессивную рекламу, что приводит к увеличению расхода заряда батареи и чрезмерному использованию данных, одновременно вызывая опасения по поводу уязвимостей в процессах проверки приложений на таких платформах.
-----
Исследователи Check Point выявили значительную рекламную кампанию в Google Play Store под названием GhostAd, которая затрагивает устройства Android. Это рекламное ПО работает скрытно, потребляя ресурсы устройства и вызывая сбои в обычной работе телефона. Основная тактика заключается в запуске постоянных фоновых процессов, которые могут серьезно воздействие на производительность устройства и пользовательский опыт без ведома пользователей.
GhostAd в первую очередь маскируется под легальные приложения, что позволяет ему обходить первоначальную проверку и размещаться на устройствах миллионов пользователей. После установки он начинает агрессивно показывать рекламу, часто запуская нежелательную рекламу, которая может прерывать работу других приложений и служб. Эти постоянные сбои не только влияют на удобство использования устройства, но и могут привести к ускоренному разряду батареи и потенциальному чрезмерному использованию данных, поскольку рекламное ПО неустанно работает в фоновом режиме.
Последствия такого рекламного ПО выходят за рамки простого раздражения; они представляют угрозу целостности устройства и доверию пользователей к безопасности приложений. Рекламное ПО, подобное GhostAd, выявляет уязвимости в процессах проверки приложений на таких платформах, как Google Play, поскольку ему удается оставаться незамеченным в течение длительного времени, что вызывает опасения по поводу эффективности текущих мер безопасности, применяемых для защиты пользователей от вредоносных приложений. Пользователям, затронутым GhostAd, следует проявлять бдительность в отношении разрешений, которые они предоставляют приложениям, и рассмотреть возможность использования решений для обеспечения безопасности, которые могут обнаруживать и устранять присутствие вредоносного программного обеспечения, такого как рекламное ПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи Check Point выявили GhostAd, рекламную кампанию в Google Play Store, затрагивающую устройства Android. Он работает скрытно, запуская постоянные фоновые процессы, которые нарушают производительность устройства и пользовательский интерфейс, создавая значительную угрозу целостности устройства. Замаскированный под легальные приложения, GhostAd может показывать агрессивную рекламу, что приводит к увеличению расхода заряда батареи и чрезмерному использованию данных, одновременно вызывая опасения по поводу уязвимостей в процессах проверки приложений на таких платформах.
-----
Исследователи Check Point выявили значительную рекламную кампанию в Google Play Store под названием GhostAd, которая затрагивает устройства Android. Это рекламное ПО работает скрытно, потребляя ресурсы устройства и вызывая сбои в обычной работе телефона. Основная тактика заключается в запуске постоянных фоновых процессов, которые могут серьезно воздействие на производительность устройства и пользовательский опыт без ведома пользователей.
GhostAd в первую очередь маскируется под легальные приложения, что позволяет ему обходить первоначальную проверку и размещаться на устройствах миллионов пользователей. После установки он начинает агрессивно показывать рекламу, часто запуская нежелательную рекламу, которая может прерывать работу других приложений и служб. Эти постоянные сбои не только влияют на удобство использования устройства, но и могут привести к ускоренному разряду батареи и потенциальному чрезмерному использованию данных, поскольку рекламное ПО неустанно работает в фоновом режиме.
Последствия такого рекламного ПО выходят за рамки простого раздражения; они представляют угрозу целостности устройства и доверию пользователей к безопасности приложений. Рекламное ПО, подобное GhostAd, выявляет уязвимости в процессах проверки приложений на таких платформах, как Google Play, поскольку ему удается оставаться незамеченным в течение длительного времени, что вызывает опасения по поводу эффективности текущих мер безопасности, применяемых для защиты пользователей от вредоносных приложений. Пользователям, затронутым GhostAd, следует проявлять бдительность в отношении разрешений, которые они предоставляют приложениям, и рассмотреть возможность использования решений для обеспечения безопасности, которые могут обнаруживать и устранять присутствие вредоносного программного обеспечения, такого как рекламное ПО.
#ParsedReport #CompletenessHigh
26-11-2025
Inside the GitHub Infrastructure Powering North Koreas Contagious Interview npm Attacks
https://socket.dev/blog/north-korea-contagious-interview-npm-attacks
Report completeness: High
Actors/Campaigns:
Contagious_interview (motivation: information_theft)
Threats:
Ottercookie
Beavertail
Supply_chain_technique
Victims:
Blockchain developers, Web3 developers
Industry:
Financial
Geo:
Japan, North koreas, Dprk, North korean, North korea
TTPs:
Tactics: 5
Technics: 23
IOCs:
Domain: 2
Url: 9
File: 44
Hash: 1
Registry: 1
Coin: 3
IP: 2
Email: 24
Soft:
Chrome, macOS, Linux, Node.js, virtualbox, qemu, virtualbox\|qemu, WalletConnect
Wallets:
keplr, metamask, core_wallet, tonkeeper, xdefi, solflare, safepal, unisat, coinbase, rabby, have more...
Crypto:
binance
Functions:
eval, setHeader, main, s, ss, aa, bb, unref, setInterval, getBasePaths, have more...
Languages:
javascript, powershell
Platforms:
x86
26-11-2025
Inside the GitHub Infrastructure Powering North Koreas Contagious Interview npm Attacks
https://socket.dev/blog/north-korea-contagious-interview-npm-attacks
Report completeness: High
Actors/Campaigns:
Contagious_interview (motivation: information_theft)
Threats:
Ottercookie
Beavertail
Supply_chain_technique
Victims:
Blockchain developers, Web3 developers
Industry:
Financial
Geo:
Japan, North koreas, Dprk, North korean, North korea
TTPs:
Tactics: 5
Technics: 23
IOCs:
Domain: 2
Url: 9
File: 44
Hash: 1
Registry: 1
Coin: 3
IP: 2
Email: 24
Soft:
Chrome, macOS, Linux, Node.js, virtualbox, qemu, virtualbox\|qemu, WalletConnect
Wallets:
keplr, metamask, core_wallet, tonkeeper, xdefi, solflare, safepal, unisat, coinbase, rabby, have more...
Crypto:
binance
Functions:
eval, setHeader, main, s, ss, aa, bb, unref, setInterval, getBasePaths, have more...
Languages:
javascript, powershell
Platforms:
x86
Socket
Inside the GitHub Infrastructure Powering North Korea’s Cont...
Socket Threat Research Team maps a rare inside look at OtterCookie’s npm-Vercel-GitHub chain, adding 197 malicious packages and evidence of North Kore...