#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция DupeHike, приписываемая злоумышленнику UNG0902, нацелена на российские корпоративные сектора, в частности отдел кадров и расчет заработной платы, используя Целевой фишинг с использованием поддельных документов. Атака включает вредоносный ZIP-файл, содержащий PDF и LNK-файл, который загружает имплантат DUPERUNNER и подключается обратно к инфраструктуре AdaptixC2. В кампании используются различные методы из платформы MITRE ATT&CK, включая Целевой фишинг для первоначального доступа, PowerShell для выполнения и продвинутые методы уклонения для поддержания безопасной связи и эксфильтрации данных.
-----

Кампания "Операция DupeHike", приписываемая злоумышленнику UNG0902, конкретно нацелена на российские корпоративные структуры, в частности, на отделы кадров, расчета заработной платы и внутреннего администрирования. Кампания использует методы Целевого фишинга с использованием поддельных документов, имитирующих темы, связанные с премиями сотрудникам и внутренней финансовой политикой, чтобы заманить жертв. Цепочка заражения начинается с вредоносного ZIP-файла, содержащего комбинацию PDF и LNK-файла, предназначенного для загрузки имплантата с именем DUPERUNNER, который впоследствии подключается к инфраструктуре управления AdaptixC2 (C2).

Технический анализ этой кампании состоит из трех этапов. Первый этап включает в себя проверку вредоносного скрипта LNK, который встроен в ZIP-файл. Этот скрипт разработан для выполнения команды PowerShell, управляющей загрузкой имплантата DUPERUNNER с удаленного сервера. Второй этап фокусируется на самом имплантате DUPERUNNER, двоичном коде C++ с расширенными функциональными возможностями, позволяющими ему выполнять различные команды и собирать системную информацию. На третьем этапе детализируется маяк AdaptixC2, который изначально замаскирован под файл шрифта (fontawesome.woff). Этот маяк работает путем загрузки шелл-кода в память, облегчая обратную связь с инфраструктурой злоумышленника.

В инфраструктурном плане кампания использует два ключевых артефакта, связанных с сетью. Первый - это URL-адрес, с которого вредоносный LNK загружает имплантат DUPERUNNER, в то время как второй относится к размещению инфраструктуры AdaptixC2. Полученные данные указывают на то, что злоумышленник остается постоянным, что указывает на спонсируемую национальным государством мотивацию, нацеленную на российский корпоративный сектор.

Применяемая тактика тесно согласуется с различными техниками, указанными в рамках MITRE ATT&CK. Примечательно, что первоначальный доступ осуществляется с помощью Целевого фишинга (T1566.001), в то время как выполнение облегчается взаимодействием пользователя с вредоносным файлом LNK (T1204.002) и PowerShell (T1059.001). В кампании представлены различные методы обхода защиты, включая Маскировку и запутывание (T1036, T1027), а также методы Внедрения кода в процесс (T1055.003). Кроме того, адаптация маяка для зашифрованной связи (T1573) указывает на расширенные возможности злоумышленника по поддержанию защищенных каналов командования и контроля.

С помощью этих методов операция DupeHike демонстрирует, как изощренные кампании Целевого фишинга могут скомпрометировать целевые организации, используя передовые стратегии вредоносного ПО и исполнения, чтобы избежать обнаружения при одновременной фильтрации конфиденциальных данных в корпоративной среде.

#ParsedReport #CompletenessLow
03-12-2025

DIANNA Explains 4: Nimbus ManticoreMonstrous Malware

https://www.deepinstinct.com/blog/dianna-explains-4-nimbus-manticore-monstrous-malware

Report completeness: Low

Actors/Campaigns:
Tortoiseshell

Industry:
Software_development

TTPs:
Tactics: 2
Technics: 0

IOCs:
File: 1

Algorithms:
exhibit

Functions:
RPC

Win API:
GetProcAddress, LoadLibraryA, LoadLibraryExW, GetSystemTimeAsFileTime, QueryPerformanceCounter, RpcImpersonateClient

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Nimbus ManticoreMonstrous - это сложная угроза вредоносного ПО, которая использует многоэтапный процесс заражения, в основном с использованием фишингов-атак для доставки вредоносной полезной нагрузки. После активации он подключается к серверу управления для удаленного управления системой, обеспечивая эксфильтрацию данных и развертывание дополнительных инструментов, используя при этом запутывание кода и polymorphism для уклонения от обнаружения. Вредоносное ПО нацелено как на системы Windows, так и на Linux и использует известные уязвимости программного обеспечения для первоначального компрометации и закрепления.
-----

Чудовищное вредоносное ПО Nimbus Mantic - это недавно выявленная киберугроза, демонстрирующая изощренное поведение, направленное на компрометацию систем. Он использует многоэтапный процесс заражения, что позволяет ему оставаться стойким и избегать обнаружения традиционными мерами безопасности. Вредоносное ПО часто запускает свой вектор атаки с помощью кампаний фишинга, которые доставляют вредоносную полезную нагрузку, встроенную в кажущиеся безобидными файлы или ссылки.

После запуска вредоносное ПО устанавливает соединение с сервером управления (C2), позволяя злоумышленнику удаленно управлять зараженной системой. Он может извлекать конфиденциальные данные, развертывать дополнительные вредоносные инструменты и проводить разведку скомпрометированной среды. Примечательно, что Nimbus ManticoreMonstrous использует передовые методы уклонения, такие как запутывание кода и polymorphic поведение, что затрудняет анализ и обнаружение с помощью решений безопасности.

Важным аспектом этого вредоносного ПО является его способность работать как в средах Windows, так и в Linux, что указывает на широкий спектр потенциальных целей. Кроме того, вредоносное ПО использует известные уязвимости в программных приложениях, чтобы облегчить первоначальный взлом и поддерживать закрепление в целевой сети. Это делает необходимым, чтобы организации уделяли приоритетное внимание управлению уязвимостями и внесению исправлений для защиты от таких угроз.

Индикаторы компрометации (IOCs), связанные с Nimbus ManticoreMonstrous, включают конкретные хэши файлов, IP-адреса C2 и необычное поведение процесса, указывающее на его работу. В целом, угроза, исходящая от этого вредоносного ПО, подчеркивает необходимость надежных мер безопасности и постоянного мониторинга для предотвращения, обнаружения и реагирования на многогранные киберугрозы.

#ParsedReport #CompletenessMedium
03-12-2025

Technical Analysis of Matanbuchus 3.0

https://www.zscaler.com/blogs/security-research/technical-analysis-matanbuchus-3-0

Report completeness: Medium

Threats:
Matanbuchus_maas
Junk_code_technique
Rhadamanthys
Netsupportmanager_rat
Microsoft_quick_assist_tool

Victims:
Ransomware operators, Information stealer distribution, Remote access trojan distribution

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1053.005, T1059, T1059.003, T1105, T1140, T1480, T1497.003, T1620, have more...

IOCs:
Domain: 2
Url: 1
File: 3
Registry: 1
Hash: 4

Soft:
Windows Defender

Algorithms:
zip, sha256, chacha20, murmur

Languages:
python, powershell

Links:
https://github.com/ThreatLabz/tools/blob/main/matanbuchus/matanbuchus.proto

#ParsedReport #ExtractedSchema

Classified images:
code: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Matanbuchus 3.0, загрузчик вредоносных ПО, идентифицированный как Вредоносное ПО как услуга, получил усовершенствования, включающие функции, связанные с операциями вымогателей. Его архитектура состоит из модуля загрузки, который встраивает зашифрованный шеллкод для запуска основного модуля, с такими усовершенствованиями, как использование буферов протокола для обмена данными, методы запутывания, позволяющие избежать обнаружения, и стратегии антианализа. Вредоносное ПО обеспечивает закрепление с помощью запланированных задач и использует метод грубой силы с шифрованием ChaCha20 для своего шелл-кода, что позволяет применять сложные меры уклонения.
-----

Matanbuchus - это вредоносное ПО-загрузчик, которое значительно эволюционировало с момента своего появления в 2020 году, а последняя версия, Matanbuchus 3.0, была обнаружена в июле 2025 года. Это вредоносное ПО предлагается как Вредоносное ПО как услуга (MaaS) и позволяет злоумышленникам загружать и выполнять дополнительные полезные нагрузки, а также выполнять практические действия с клавиатуры с помощью команд оболочки. Недавно Matanbuchus был связан с операциями программ-вымогателей, что демонстрирует его растущую сложность и актуальность в сфере киберпреступности.

По своей архитектуре Matanbuchus работает с помощью двух основных модулей: модуля загрузки и основного модуля. Загрузчик встраивает зашифрованный шелл-код, который облегчает выполнение основного модуля. Уникальными для версии 3.0 являются использование протокольных буферов (Protobufs) для сериализации сетевых сообщений и различные методы запутывания, направленные на уклонение от обнаружения. К ним относятся вставка junk code, зашифрованных строк и разрешение функций Windows API по их хэш-значениям. Кроме того, вредоносное ПО использует стратегии защиты от анализа, такие как жестко заданная дата истечения срока действия и механизмы закрепления с помощью запланированных задач, созданных с помощью загруженного шеллкода, чтобы препятствовать проверке средствами безопасности.

При развертывании Matanbuchus использует цикл “занято” в своем модуле загрузки, который продлевает функциональность на несколько минут после выполнения, эффективно обходя временные ограничения, типичные для поведенческого анализа. Зашифрованный шелл-код использует атаку с известным открытым текстом с помощью метода дешифрования методом перебора, используя ключ ChaCha20, полученный из жестко закодированного значения и сгенерированного целого числа. Способность вредоносного ПО сравнивать расшифрованные выходные данные с предопределенной последовательностью свидетельствует о его сложной операционной системе.

Для закрепления Matanbuchus выполняет шелл-код, полученный с сервера управления (C2), чтобы установить себя на скомпрометированном хосте. Он генерирует новый путь к файлу для шелл-кода и создает запланированную задачу с обозначением "Задача отслеживания обновлений", чтобы сохранить свое присутствие в среде. Основной модуль хранит свою конфигурацию в зашифрованном формате; при выполнении эта конфигурация расшифровывается с помощью ChaCha20, причем первые байты содержат ключ дешифрования и одноразовый номер.

#ParsedReport #CompletenessMedium
04-12-2025

SEEDSNATCHER : Dissecting an Android Malware Targeting Multiple Crypto Wallet Mnemonic Phrases

https://www.cyfirma.com/research/seedsnatcher-dissecting-an-android-malware-targeting-multiple-crypto-wallet-mnemonic-phrases/

Report completeness: Medium

Threats:
Seedsnatcher

Victims:
Cryptocurrency users

Industry:
Financial

Geo:
Chinese, China

TTPs:
Tactics: 10
Technics: 27

IOCs:
Domain: 2
File: 2
Hash: 1

Soft:
Android, Telegram, Weibo

Wallets:
tokenpocket, imtoken, metamask, coinbase, tronlink, tronglobal

Crypto:
binance

Algorithms:
exhibit, sha256

Functions:
Task-Visibility, Manipulation, Exfiltrates

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносное ПО SeedSnatcher, Маскировка под Android-приложение "Coin", нацелено на пользователей криптовалюты путем кражи мнемотехники кошелька и конфиденциальных данных через постоянное подключение WebSocket к серверу C2. Он использует перехват SMS-сообщений, обширные разрешения на кражу данных и манипуляции с наложением для подделки законных транзакций. Злоумышленник действует из Китая и использует структурированную дистрибьюторскую сеть, отслеживая установки и адаптируя пользовательский интерфейс для локализации, чтобы усилить обман в различных регионах.
-----

Вредоносное ПО SeedSnatcher, замаскированное под Android-приложение под названием "Coin" (упаковано как com.pureabuladon.auxes), специально нацелено на пользователей криптовалют, похищая мнемонику кошелька и другие конфиденциальные данные. Вредоносное ПО активно взаимодействует с сервером управления (C2) через постоянный канал WebSocket, который обеспечивает выполнение команд в режиме реального времени и эксфильтрацию данных. Он активно распространяется через социальные платформы, в частности Telegram, что указывает на организованную рекламную команду, стоящую за его внедрением.

Технические возможности SeedSnatcher's включают в себя извлечение начальных фраз криптовалютного кошелька, перехват SMS для обхода OTP и использование разрешений для сбора обширных данных об устройствах и приложениях. Использование таких разрешений, как READ_EXTERNAL_STORAGE и READ_SMS, облегчает комплексную кражу данных, позволяя перехватывать конфиденциальные файлы и личные сообщения без предупреждения пользователя. Вредоносное ПО особенно искусно имитирует законные приложения с помощью манипуляций с наложением, что позволяет ему подделывать интерфейсы криптовалютных кошельков и захватывать мнемонические фразы под видом взаимодействия с пользователем.

Вредоносное ПО использует интеллектуальные механизмы для обеспечения эффективности захвата мнемоники; оно использует полный словарь BIP39 для проверки записей и использует методы динамической загрузки полезной нагрузки, которые скрывают вредоносный код в рамках законной структуры. Это часть более широкой стратегии закрепления, поскольку она изменяет конфигурации системы для поддержания фонового выполнения и наблюдает за поведением пользователя, чтобы точно определить время попыток фишинга, когда используются целевые приложения.

Профилирование устройств выполняется в самом начале с обширным сбором метаданных, включая системные идентификаторы, сведения об Аппаратном обеспечении и статистику использования приложений. Такое профилирование позволяет вредоносному ПО адаптировать свои стратегии фишинга к среде каждой жертвы, повышая вероятность успешного сбора данных. Объединение эксфильтрации SMS и журнала вызовов еще больше расширяет его возможности по перехвату учетных данных.

Структура команд позволяет осуществлять широкий контроль над зараженным устройством, включая функции для инициирования вызовов, удаления приложений и скрытой отправки SMS-сообщений. Вредоносное ПО также использует сложный процесс эксфильтрации данных, который извлекает ценную пользовательскую информацию из множества источников, обеспечивая широкий доступ к конфиденциальным данным.

Более того, злоумышленник, стоящий за SeedSnatcher, судя по всему, работает из Китая и имеет встроенные функции отслеживания для мониторинга партнерских установок, что подчеркивает структурированную сеть распространения с несколькими филиалами. Вредоносное ПО локализует свой пользовательский интерфейс для адаптации к различным языкам, что повышает его способность обманывать и завоевывать доверие жертв в разных регионах.

#ParsedReport #CompletenessHigh
04-12-2025

Silver Foxs Russian Ruse: ValleyRAT Hits China via Fake Microsoft Teams Attack

https://reliaquest.com/blog/threat-spotlight-silver-foxs-russian-ruse-fake-microsoft-teams-attack/

Report completeness: High

Actors/Campaigns:
Silver_fox (motivation: financially_motivated, cyber_espionage, cyber_criminal)

Threats:
Valleyrat
Seo_poisoning_technique

Victims:
Organizations in china

Industry:
Government

Geo:
Russia, American, Chinese, China, Russian

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1204.002, T1583.001, T1606.003, T1608.006

IOCs:
File: 10
Domain: 3
Command: 1
IP: 18
Url: 23
Hash: 1

Soft:
Microsoft Teams, Telegram, Chrome, Windows Defender, Embarcadero

Algorithms:
exhibit, zip

Win API:
DllRegisterServer

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Китайская APT-группировка "Silver Fox" использует тактику обмана, выдавая себя за российских злоумышленников в рамках кампании Microsoft Teams по Отравлению поисковой оптимизации (SEO), нацеленной на организации в Китае. Они используют модифицированную версию вредоносного ПО ValleyRAT, доставляемую через ZIP-файл, содержащий символы кириллицы, что вводит в заблуждение при определении авторства. Вредоносное ПО использует системы, в которых отсутствует надежное ведение журнала, а операции сосредоточены на получении конфиденциальной информации и участии в финансовом мошенничестве.
-----

Китайская APT-группировка, известная как "Silver Fox", использовала тактику обмана, в частности, кириллические символы, чтобы выдавать себя за российских злоумышленников во время проведения кампании Microsoft Teams по Отравлению поисковой оптимизации (SEO). Эта стратегия нацелена на организации в Китае, использующие вредоносное ПО "ValleyRAT" для достижения двух основных целей: спонсируемый государством шпионаж, направленный на получение конфиденциальных разведывательных данных, и участие в финансовом мошенничестве для поддержания своей деятельности.

Кампания Silver Fox освещает модифицированную версию загрузчика ValleyRAT, представленную в виде ZIP-файла с именем "MSTamsSetup.zip ." Этот файл содержит символы кириллицы и исполняемый файл, который полностью представлен на русском языке, что может ввести в заблуждение при установлении авторства и усложнить процедуры реагирования на инциденты. Silver Fox ранее применяла аналогичную тактику Отравления поисковой оптимизации (SEO), выдавая себя за такие приложения, как Telegram и Chrome. В данном случае они переключили свое внимание на поддельное приложение Microsoft Teams, причем вредоносное ПО размещено на типографски похожем домене".teamscn.com ," что предполагает целенаправленную атаку на китайскоязычных пользователей.

Выполнение вредоносного ПО ValleyRAT начинается, когда пользователь запускает троянскую программу "Setup.exe " файл в ZIP-архиве, позволяющий вредоносному ПО использовать системы, в которых отсутствует надежное ведение журнала, особенно в отношении журналов событий Windows и ведения журнала PowerShell. Обманная практика группы направлена не только на то, чтобы скрыть свою личность, но и на то, чтобы сигнализировать о том, что подобные тактические операции, вероятно, будут продолжаться.

Для организаций, особенно тех, которые работают по всему миру или имеют офисы в Китае, сохраняющаяся угроза со стороны Silver Fox требует принятия упреждающих мер. Рекомендуется, чтобы организации включали ведение журнала событий PowerShell и Rundll32 для усиления своей защиты от атак такого типа. Непрерывная видимость сбора журналов также может быть усилена с помощью решений безопасности, направленных на обнаружение уязвимостей в системе.

Операции группы Silver Fox подчеркивают значительный риск, создаваемый менее известными противниками, которые могут эффективно осуществлять целенаправленные атаки в конкретных регионах, которые могут застать службы безопасности врасплох. Их эволюционирующая тактика и использование ложных флагов в стратегиях кибербезопасности требуют от организаций, подверженных риску стать мишенью, повышенной осведомленности и совершенствования защитных позиций.

#ParsedReport #CompletenessHigh
04-12-2025

Analysis of the new Trojan StreamSpy using WebSocket, which is called Mahayana (APT-Q-36).

https://zhuanlan.zhihu.com/p/1979499278541017681

Report completeness: High

Actors/Campaigns:
Donot (motivation: cyber_espionage)

Threats:
Streamspy
Spyder
Dunaochong

Industry:
Government, Military, Education

Geo:
Asian, Asia

TTPs:
Tactics: 2
Technics: 0

IOCs:
Hash: 9
Url: 16
Domain: 9

Soft:
Android

Algorithms:
aes, md5, zip

Functions:
getCommand, CreateProcessW

Win API:
ShellExecuteExW, ShellExecuteA, deleteFile, ateProcessW 执行文件, CreateProcessW

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Троянец StreamSpy, связанный с группой APT-Q-36 (Patchwork), представляет собой сложное вредоносное ПО, предназначенное для кибершпионажа, использующее как WebSocket, так и HTTP для обмена командами и контроля. Он собирает подробную информацию из зараженных систем с помощью Инструментария управления Windows(WMI), включая идентификаторы хостов и устройств, используя методы закрепления, основанные на условной конфигурации. Примечательно, что он взаимодействует с доменом C2 "www.virtualworldsapinner.com "через порт 443, демонстрируя свои возможности скрытности и подключение к предыдущему поведению вредоносного ПО.
-----

Анализ троянца StreamSpy, также известного как Mahayana и относящегося к группе APT-Q-36, выявил сложное вредоносное ПО, предназначенное для кибершпионажа. Эта группа, которую часто называют Patchwork, имеет историю операций, ориентированных на различные секторы, особенно в Азии, начиная с 2009 года. Троянец StreamSpy использует гибридный коммуникационный подход, используя WebSocket в сочетании с протоколами HTTP для установления соединений со своими серверами управления (C2). Этот метод повышает его способность передавать команды и получать оперативные результаты, одновременно скрывая часть своего трафика через установленное соединение.

Троянец StreamSpy упакован в ZIP-файлы, такие как "OPS-VII-SIR.zip " и включает в себя исполняемые версии, идентифицируемые хэшами MD5, указывающие на различные итерации его разработки. После запуска троянец расшифровывает конфигурационные данные, что позволяет ему собирать исчерпывающую информацию о зараженной системе. В частности, он собирает важные идентификаторы устройств, включая имя хоста, имя пользователя, версию операционной системы и сведения об антивирусе, используя такие инструменты, как Инструментарий управления Windows(WMI) для получения информации об Аппаратном обеспечении, такой как UUID и серийные номера.

Методы закрепления встроены в конструкцию трояна, позволяя ему закрепляться на зараженном устройстве в соответствии с определенными условными параметрами в настройках его конфигурации. Примечательно, что сообщение C2 направлено в домен "www.virtualworldsapinner.com "на порту 443, который служит координационным центром для обмена командами. Вредоносное ПО также демонстрирует склонность к уклонению от обнаружения за счет использования каналов WebSocket для передачи команд.

Кроме того, вариант StreamSpy, связанный с хэшем MD5 "f78fd7e4d92743ef6026de98291e8dee", обладает примечательным сходством с более ранними образцами, что позволяет предположить потенциальное совместное использование ресурсов с другими известными семействами вредоносных ПО, такими как DuNaoChong. Эта адаптация отражает продолжающуюся эволюцию тактики нападения, используемой группой Maha Grass, демонстрируя ее стремление к совершенствованию как функциональности, так и скрытности.

Анализ подчеркивает важность осторожности среди пользователей, выступает за упреждающие меры против потенциальных атак фишинга и использование методов безопасного использования компьютеров, хотя такие рекомендации по защите отклоняются от технической направленности анализа. В целом, троянец StreamSpy иллюстрирует эволюционирующий ландшафт киберугроз, особенно тех, которые исходят от организованных групп, которые постоянно совершенствуют свои методологии для достижения геополитических или шпионских целей.

#ParsedReport #CompletenessLow
02-12-2025

Glassworm's resurgence

https://secureannex.com/blog/glassworm-continued/

Report completeness: Low

Threats:
Glassworm

Victims:
Software supply chain, Extension marketplaces

Industry:
E-commerce

ChatGPT TTPs:
do not use without manual check
T1036, T1195, T1562, T1608, T1608.003

IOCs:
File: 3

Soft:
Flutter

Languages:
rust

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние кибератаки, связанные с Glassworm, возобновляются, особенно в праздничные дни, с использованием 23 поддельных расширений на торговых площадках code marketplaces. Эти расширения имитируют законные и могут скрытно обновляться вредоносным кодом после получения одобрения, минуя фильтры безопасности. После активации вредоносная полезная нагрузка внедряется незаметно, используя преимущества жизненного цикла расширения для компрометации пользовательских систем, выявляя уязвимости в надзоре за расширением и мерах безопасности.
-----

Недавние наблюдения указывают на возобновление кибератак, связанных со Glassworm, особенно в праздничный период. Исследователи в области безопасности выявили тревожную тенденцию, в связи с которой 23 расширения, Маскировка которых под законные, намеренно публикуются на code marketplaces. Эти расширения не только копируют популярные легальные аналоги, но и включают механизмы обновления вредоносным кодом после утверждения, тем самым обходя существующие фильтры безопасности.

Как только расширение получает первоначальное одобрение, злоумышленники могут легко заменить исходный код вредоносным вариантом. Этот процесс часто зависит от контекста активации расширений, при котором вредоносная полезная нагрузка вводится сразу после фазы активации, что позволяет выполнять скрытую работу. Эта тактика демонстрирует способность злоумышленников манипулировать жизненным циклом расширения, чтобы скомпрометировать пользовательские системы без немедленного обнаружения.

Закрепление кампании Glassworm указывает на тревожную тенденцию, поскольку злоумышленники продолжают использовать хорошо известные сигнатуры атак и методы, которые доказали свою эффективность за последние месяцы. Несмотря на существование сигнатур безопасности, предназначенных для выявления и смягчения таких угроз, легкость, с которой публикуются вредоносные версии, подчеркивает сохраняющуюся уязвимость на рынках расширений.

Среди 23 отслеживаемых расширений в некоторые уже были добавлены вредоносные полезные нагрузки, в то время как другие все еще находятся в процессе манипулирования статистикой своих загрузок для повышения доверия и распространения. С тех пор некоторые расширения были удалены с marketplace, но легкость повторной публикации злоумышленниками указывает на более глубокую проблему с надзором и мерами безопасности, применяемыми для таких платформ. Последствия такой тактики подчеркивают необходимость усовершенствованных методов обнаружения и более строгого мониторинга расширений для защиты от развивающихся угроз, таких как Glassworm.