#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Троянец StreamSpy, связанный с группой APT-Q-36 (Patchwork), представляет собой сложное вредоносное ПО, предназначенное для кибершпионажа, использующее как WebSocket, так и HTTP для обмена командами и контроля. Он собирает подробную информацию из зараженных систем с помощью Инструментария управления Windows(WMI), включая идентификаторы хостов и устройств, используя методы закрепления, основанные на условной конфигурации. Примечательно, что он взаимодействует с доменом C2 "www.virtualworldsapinner.com "через порт 443, демонстрируя свои возможности скрытности и подключение к предыдущему поведению вредоносного ПО.
-----

Анализ троянца StreamSpy, также известного как Mahayana и относящегося к группе APT-Q-36, выявил сложное вредоносное ПО, предназначенное для кибершпионажа. Эта группа, которую часто называют Patchwork, имеет историю операций, ориентированных на различные секторы, особенно в Азии, начиная с 2009 года. Троянец StreamSpy использует гибридный коммуникационный подход, используя WebSocket в сочетании с протоколами HTTP для установления соединений со своими серверами управления (C2). Этот метод повышает его способность передавать команды и получать оперативные результаты, одновременно скрывая часть своего трафика через установленное соединение.

Троянец StreamSpy упакован в ZIP-файлы, такие как "OPS-VII-SIR.zip " и включает в себя исполняемые версии, идентифицируемые хэшами MD5, указывающие на различные итерации его разработки. После запуска троянец расшифровывает конфигурационные данные, что позволяет ему собирать исчерпывающую информацию о зараженной системе. В частности, он собирает важные идентификаторы устройств, включая имя хоста, имя пользователя, версию операционной системы и сведения об антивирусе, используя такие инструменты, как Инструментарий управления Windows(WMI) для получения информации об Аппаратном обеспечении, такой как UUID и серийные номера.

Методы закрепления встроены в конструкцию трояна, позволяя ему закрепляться на зараженном устройстве в соответствии с определенными условными параметрами в настройках его конфигурации. Примечательно, что сообщение C2 направлено в домен "www.virtualworldsapinner.com "на порту 443, который служит координационным центром для обмена командами. Вредоносное ПО также демонстрирует склонность к уклонению от обнаружения за счет использования каналов WebSocket для передачи команд.

Кроме того, вариант StreamSpy, связанный с хэшем MD5 "f78fd7e4d92743ef6026de98291e8dee", обладает примечательным сходством с более ранними образцами, что позволяет предположить потенциальное совместное использование ресурсов с другими известными семействами вредоносных ПО, такими как DuNaoChong. Эта адаптация отражает продолжающуюся эволюцию тактики нападения, используемой группой Maha Grass, демонстрируя ее стремление к совершенствованию как функциональности, так и скрытности.

Анализ подчеркивает важность осторожности среди пользователей, выступает за упреждающие меры против потенциальных атак фишинга и использование методов безопасного использования компьютеров, хотя такие рекомендации по защите отклоняются от технической направленности анализа. В целом, троянец StreamSpy иллюстрирует эволюционирующий ландшафт киберугроз, особенно тех, которые исходят от организованных групп, которые постоянно совершенствуют свои методологии для достижения геополитических или шпионских целей.

#ParsedReport #CompletenessLow
02-12-2025

Glassworm's resurgence

https://secureannex.com/blog/glassworm-continued/

Report completeness: Low

Threats:
Glassworm

Victims:
Software supply chain, Extension marketplaces

Industry:
E-commerce

ChatGPT TTPs:
do not use without manual check
T1036, T1195, T1562, T1608, T1608.003

IOCs:
File: 3

Soft:
Flutter

Languages:
rust

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние кибератаки, связанные с Glassworm, возобновляются, особенно в праздничные дни, с использованием 23 поддельных расширений на торговых площадках code marketplaces. Эти расширения имитируют законные и могут скрытно обновляться вредоносным кодом после получения одобрения, минуя фильтры безопасности. После активации вредоносная полезная нагрузка внедряется незаметно, используя преимущества жизненного цикла расширения для компрометации пользовательских систем, выявляя уязвимости в надзоре за расширением и мерах безопасности.
-----

Недавние наблюдения указывают на возобновление кибератак, связанных со Glassworm, особенно в праздничный период. Исследователи в области безопасности выявили тревожную тенденцию, в связи с которой 23 расширения, Маскировка которых под законные, намеренно публикуются на code marketplaces. Эти расширения не только копируют популярные легальные аналоги, но и включают механизмы обновления вредоносным кодом после утверждения, тем самым обходя существующие фильтры безопасности.

Как только расширение получает первоначальное одобрение, злоумышленники могут легко заменить исходный код вредоносным вариантом. Этот процесс часто зависит от контекста активации расширений, при котором вредоносная полезная нагрузка вводится сразу после фазы активации, что позволяет выполнять скрытую работу. Эта тактика демонстрирует способность злоумышленников манипулировать жизненным циклом расширения, чтобы скомпрометировать пользовательские системы без немедленного обнаружения.

Закрепление кампании Glassworm указывает на тревожную тенденцию, поскольку злоумышленники продолжают использовать хорошо известные сигнатуры атак и методы, которые доказали свою эффективность за последние месяцы. Несмотря на существование сигнатур безопасности, предназначенных для выявления и смягчения таких угроз, легкость, с которой публикуются вредоносные версии, подчеркивает сохраняющуюся уязвимость на рынках расширений.

Среди 23 отслеживаемых расширений в некоторые уже были добавлены вредоносные полезные нагрузки, в то время как другие все еще находятся в процессе манипулирования статистикой своих загрузок для повышения доверия и распространения. С тех пор некоторые расширения были удалены с marketplace, но легкость повторной публикации злоумышленниками указывает на более глубокую проблему с надзором и мерами безопасности, применяемыми для таких платформ. Последствия такой тактики подчеркивают необходимость усовершенствованных методов обнаружения и более строгого мониторинга расширений для защиты от развивающихся угроз, таких как Glassworm.

#ParsedReport #CompletenessHigh
04-12-2025

Velociraptor Misuse, Pt. II: The Eye of the Storm

https://www.huntress.com/blog/velociraptor-misuse-part-two-eye-of-the-storm

Report completeness: High

Actors/Campaigns:
Storm-2603 (motivation: financially_motivated)

Threats:
X2anylock
Toolshell_vuln
Cloudflared_tool
Tightvnc_tool
Dll_sideloading_technique

Victims:
Agriculture sector, Managed service providers, Organizations using sharepoint, Organizations using wsus

Industry:
Foodtech

CVEs:
CVE-2025-59287 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.8524)
- microsoft windows_server_2019 (<10.0.17763.7922)
- microsoft windows_server_2022 (<10.0.20348.4297)
- microsoft windows_server_2022_23h2 (<10.0.25398.1916)
have more...
CVE-2025-53770 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_server (<16.0.18526.20508, 2016, 2019)

CVE-2025-53771 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_server (<16.0.18526.20508, 2016, 2019)

CVE-2025-49704 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_server (2016, 2019)

CVE-2025-49706 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_enterprise_server (2016)
- microsoft sharepoint_server (<16.0.18526.20424, 2019)


ChatGPT TTPs:
do not use without manual check
T1078, T1090, T1102, T1105, T1190, T1219, T1486, T1505.003, T1562.001

IOCs:
File: 11
Url: 2
Path: 5
IP: 3
Domain: 3
Hash: 2

Soft:
Velociraptor, Visual Studio Code, OpenSSH, Microsoft Defender for Endpoint, Windows Defender, Fedora, Active Directory, SharePoint server, Windows service, TightVNC, have more...

Algorithms:
sha256, base64

Languages:
powershell

Platforms:
x86, x64, intel

Links:
https://gist.github.com/james-northey/2baf62d1d06ae39aec44fd4b736ac858#file-toolshell-log
https://github.com
https://gist.github.com/james-northey/2baf62d1d06ae39aec44fd4b736ac858/raw/07b263c85835279af17d89d0d149603fa08832a8/toolshell.log
have more...

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние киберинциденты свидетельствуют о том, что злоумышленники злоупотребляют инструментом Velociraptor для установления связи управления после использования уязвимостей, в том числе в службах обновления Windows Server и SharePoint. В результате атаки Warlock Ransomware Velociraptor был развернут на нескольких конечных точках, что позволило удаленно выполнять команды, в то время как попытки установить Cloudflare были пресечены до тех пор, пока защитник Windows не был отключен. Общая тактика этих инцидентов указывает на скоординированный подход вовлеченных злоумышленников на этапе после эксплуатации.
-----

Недавние инциденты высветили злоупотребление инструментом Velociraptor злоумышленниками в ходе различных кибератак, продемонстрировав его роль в установлении связи управления (C2) после использования уязвимостей. 12 ноября была использована уязвимость в службах обновления Windows Server (WSUS), что привело к установке Velociraptor, инструмента цифровой криминалистики и реагирования на инциденты с открытым исходным кодом.

В первом инциденте, о котором сообщалось 9 сентября, вредоносные инструменты были обнаружены на конечной точке клиента в сельскохозяйственном секторе. 15 сентября был подтвержден еще один инцидент, связанный с вредоносной активностью, непосредственно исходящей из сети управляемого поставщика услуг. Ранее, в июле, Huntress SOC предупредила этого партнера о попытках злоумышленников использовать уязвимости CVE-2025-53770 и CVE-2025-53771 на сервере SharePoint, включая попытки развернуть Веб-шелл, которые не были исправлены после первоначального отчета.

Третий инцидент, связанный с атакой Warlock ransomware, произошел в начале ноября, когда Huntress была установлена после того, как атака уже началась. Расследование показало, что 5 ноября злоумышленники также установили Velociraptor на нескольких конечных точках, чтобы обеспечить удаленное выполнение команд. Этот конкретный экземпляр Velociraptor был настроен для взаимодействия с доменом, связанным с предыдущими угрозами, демонстрируя схему использования.

Попытки злоумышленника установить Cloudflare были пресечены Защитником Windows, что привело к нескольким неудачным попыткам установки. В конечном счете, актору удалось отключить защитник Windows для установки Cloudflare, облегчив доступ. Чтобы еще больше расширить свой охват в среде, они использовали Visual Studio Code (code.exe ) в качестве метода прокладки туннелей, свидетельствующего об их намерении обеспечить более глубокое проникновение и контроль.

В записке с требованием выкупа, сопровождающей атаку Warlock ransomware, подчеркивалась новизна варианта и соответствие предыдущей тактике, когда злоумышленники использовали код Visual Studio для создания инфраструктуры C2. Эта серия инцидентов, несмотря на различные методы первоначального доступа — от эксплуатации WSUS до уязвимостей SharePoint, — имела общую связь с тем, что Velociraptor был центральным инструментом на этапе постэксплуатации, что выявило значительное совпадение в оперативном поведении вовлеченных злоумышленников.

#ParsedReport #CompletenessMedium
04-12-2025

Sanctioned but Still Spying: Intellexas Prolific Zero-Day Exploits Continue

https://cloud.google.com/blog/topics/threat-intelligence/intellexa-zero-day-exploits-continue/

Report completeness: Medium

Actors/Campaigns:
Intellexa (motivation: government_sponsored)

Threats:
Predator_spyware
Watering_hole_technique
Preyhunter

Victims:
Mobile users

Industry:
Government

Geo:
Uzbekistan, Saudi arabia, Mongolian, Pakistan, Russian, Egypt, Tajikistan, Mali, Kazakhstan, Angola

CVEs:
CVE-2024-4610 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- arm bifrost_gpu_kernel_driver (<r41p0)
- arm valhall_gpu_kernel_driver (<r41p0)

CVE-2023-2136 [Vulners]
CVSS V3.1: 9.6,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<112.0.5615.137)

CVE-2023-41993 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apple ipados (<17.0.1)
- apple iphone_os (<17.0.1)
- apple macos (<14.0)

CVE-2021-38003 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<95.0.4638.69)

CVE-2021-37976 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<94.0.4606.71)

CVE-2023-3079 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<114.0.5735.110)

CVE-2021-38000 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<95.0.4638.69)

CVE-2021-37973 [Vulners]
CVSS V3.1: 9.6,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<94.0.4606.61)

CVE-2025-48543 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google android (13.0, 14.0, 15.0, 16.0)

CVE-2025-6554 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<138.0.7204.96)

CVE-2023-41992 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apple ipados (<16.7, 17.0)
- apple iphone_os (<16.7, 17.0)
- apple macos (<12.7, <13.6)

CVE-2021-1048 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google android (-)

CVE-2022-42856 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apple safari (<16.2)
- apple ipados (<15.7.2)
- apple iphone_os (<15.7.2, <16.1.2)
- apple macos (<13.1)
- apple tvos (<16.2)
have more...
CVE-2023-41991 [Vulners]
CVSS V3.1: 5.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apple ipados (<16.7, 17.0)
- apple iphone_os (<16.7, 17.0)
- apple macos (<13.6)

CVE-2023-4762 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<116.0.5845.179)

CVE-2023-2033 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<112.0.5615.121)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1203, T1204.001, T1587.004, T1592.004, T1608.004, T1621

IOCs:
Hash: 2

Soft:
Android, Chrome

Algorithms:
sha256

Platforms:
arm, apple

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Intellexa, видный игрок в секторе шпионского ПО для наемников, известна своим шпионским ПО "Predator" и использует уязвимости zero-day, особенно в мобильных браузерах. Недавняя совместная работа выявила цепочку эксплойтов zero-day "smack", нацеленных на Safari от Apple, использующих CVE-2023-41993 для выполнения машинного кода. Их методы доставки включают одноразовые ссылки с помощью зашифрованных сообщений и вредоносную рекламу, что подчеркивает их адаптивный подход к таргетингу и эксплуатации в условиях продолжающегося международного контроля и санкций.
-----

Intellexa, крупный игрок в сфере шпионских программ для наемников, продолжает процветать, несмотря на то, что подвергается международным санкциям и тщательному контролю за своей деятельностью. Компания известна своими шпионскими программами "Predator" и стала особенно искусна в использовании уязвимостей zero-day, особенно в мобильных браузерах. Примечательно, что выводы Google Threat Intelligence Group указывают на то, что Intellexa не только закупает, но и разрабатывает новые эксплойты zero-day, демонстрируя способность быстро адаптировать и поддерживать операции для своих клиентов.

Сотрудничество с CitizenLab в 2023 году выявило целую цепочку эксплойтов zero-day, используемых при атаках на цели в Египте. Эта цепочка эксплойтов, получившая в Intellexa внутреннее название "smack", способствовала скрытой установке Predator spyware на целевые устройства. На первом этапе этой цепочки эксплойтов zero-day использовалась уязвимость в браузере Apple Safari, идентифицированная как CVE-2023-41993. Эта конкретная уязвимость позволяла выполнять произвольные операции чтения и записи в память, которые имели решающее значение для выполнения машинного кода в современных системах Apple с помощью фреймворка под названием "JSKit"..

Основной способ работы Intellexa's для реализации этих эксплойтов заключается в отправке одноразовых ссылок непосредственно целевым пользователям через сквозные приложения для обмена зашифрованными сообщениями. Однако они также разнообразили свою тактику доставки, используя вредоносную рекламу на сторонних платформах. Такой подход позволяет им получать отпечатки пальцев пользователей и перенаправлять потенциальные цели на серверы, на которых размещены механизмы доставки их эксплойтов.

Усилия по противодействию шпионской деятельности Intellexa's набирают обороты, а инициативы сообщества выступают за принятие мер международной политики, направленных на ограничение воздействия таких технологий на права человека. Google активно участвует в процессе Pall Mall, направленном на установление глобальных норм и рамок для смягчения угроз, исходящих от индустрии шпионских программ. Эти инициативы перекликаются с более ранними правительственными мерами, включая шаги, предпринятые правительством США для ограничения использования таких инструментов наблюдения.

Сохраняющаяся угроза, исходящая от Intellexa, подчеркивает сложности кибербезопасности, особенно в том, что касается разработки и использования уязвимостей zero-day, поведения продвинутого вредоносного ПО и новых методов атак. Поскольку Intellexa продолжает расширять свои возможности, разработка таких инструментов, как правила YARA для обнаружения их вредоносного ПО, будет иметь важное значение для усиления защиты от кибербезопасности.

#ParsedReport #CompletenessMedium
03-12-2025

4.3 Million Browsers Infected: Inside ShadyPanda's 7-Year Malware Campaign

https://www.koi.ai/blog/4-million-browsers-infected-inside-shadypanda-7-year-malware-campaign

Report completeness: Medium

Actors/Campaigns:
Shadypanda (motivation: financially_motivated, cyber_espionage)

Threats:
Mitm_technique
Credential_harvesting_technique
Supply_chain_technique

Victims:
Browser users, Browser extensions ecosystem

Industry:
E-commerce

Geo:
China

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1041, T1053.005, T1059.007, T1105, T1195, T1562.006

IOCs:
Domain: 8
Coin: 17

Soft:
Chrome, Microsoft Edge

Algorithms:
aes

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ShadyPanda - злоумышленник, стоящий за долгосрочной кампанией, которая за семь лет заразила около 4,3 миллиона браузеров с помощью вредоносных расширений для Chrome и Edge. Первоначально они использовали социальную инженерию для продвижения поддельных расширений обоев, перейдя к агрессивной тактике, включающей удаленное выполнение кода и тщательное наблюдение за активностью пользователей. Вредоносное ПО демонстрирует передовые методы уклонения и использует сильно запутанный JavaScript, чтобы избежать обнаружения при передаче данных на несколько серверов, выявляя уязвимости в системе контроля безопасности marketplace.
-----

ShadyPanda - злоумышленник, выявленный в ходе длительной и масштабной кампании по расширению браузеров, нацеленной на пользователей Chrome и Edge, в результате которой за семилетний период было заражено примерно 4,3 миллиона браузеров. Кампания разделена на несколько отдельных этапов, которые подчеркивают эволюцию ее методов и стратегий.

На начальном этапе, получившем название "The Wallpaper Hustle", ShadyPanda запустила массовое внедрение 145 расширений для браузера, замаскированных под обои или приложения для повышения производительности. Этот этап начался в 2023 году, когда 20 расширений были доступны в интернет-магазине Chrome от издателя "nuggetsno15" и 125 на платформе Microsoft Edge от "rocket Zhang". Эта первоначальная тактика основывалась на социальной инженерии, чтобы побудить пользователей загружать кажущиеся безобидными расширения.

Кампания перешла в более агрессивную фазу, известную как "Эволюция перехвата поиска", которая начнется в начале 2024 года. На этом этапе ShadyPanda изменила свой подход от пассивной монетизации к активному контролю зараженных браузеров, где она начала выполнять команды и манипулировать функциональными возможностями браузера. Эта эскалация привела к развертыванию платформы удаленного выполнения кода, которая позволила вредоносному ПО проверять и загружать произвольный JavaScript каждый час с указанной конечной точки (api.extensionplay.com ), выполняя его с полным доступом к API браузера.

Текущие операционные возможности ShadyPanda's включают всестороннее наблюдение, при котором вредоносное ПО отслеживает и регистрирует посещение веб-сайта каждым пользователем, отправляя зашифрованные данные на серверы ShadyPanda's. Вредоносное ПО использует сложные методы уклонения, будучи способным обнаруживать, когда исследователь взаимодействует с инструментами разработчика. В таких сценариях он переходит в режим мягкого поведения, чтобы скрыть свои вредоносные действия. JavaScript, развернутый вредоносным ПО ShadyPanda's, сильно запутан, используя сокращенные имена переменных и используя интерпретатор размером 158 КБ для выполнения скриптов, что позволяет обойти политику безопасности контента.

Кампания приобрела еще один значительный оборот с выпуском компанией Starlab Technology пяти дополнительных расширений для Microsoft Edge, которые в совокупности собрали более 4 миллионов установок благодаря использованию тех же уязвимостей, которые позволили более ранним расширениям оставаться на рынке. Возможности сбора данных вредоносного ПО WeTab обширны, оно передает пользовательские данные в 17 различных доменов, включая несколько серверов, расположенных в Китае, и использует Google Analytics для отслеживания пользователей.

Семилетняя деятельность ShadyPanda подчеркивает недостатки в практике надзора за рынком расширений. Злоумышленник воспользовался отсутствием постоянного мониторинга после утверждения, поскольку торговые площадки в основном используют статический анализ только во время подачи заявки на продление. Этот системный недосмотр позволил ShadyPanda поддерживать и расширять свои реинвестиции в оружейные расширения для браузеров без обнаружения, демонстрируя существенные недостатки в существующих мерах безопасности магазинов приложений платформы.

#ParsedReport #CompletenessLow
04-12-2025

The Next Target of Scattered LAPSUS$ Hunters Zendesk

https://www.truesec.com/hub/blog/the-next-target-of-scattered-lapsus-hunters-zendesk

Report completeness: Low

Actors/Campaigns:
Scattered_lapsus_hunters
0ktapus
Lapsus
Shinyhunters

Threats:
Typosquatting_technique
Evilginx_tool
Sim_swapping_technique
Supply_chain_technique
Mfa_bombing_technique
Credential_harvesting_technique

Victims:
Zendesk, Salesforce, Gainsight, Retail, Insurance, Aviation, Saas platforms

Industry:
Aerospace, Retail

ChatGPT TTPs:
do not use without manual check
T1199, T1204.001, T1566.002, T1583.001, T1621, T1656

Soft:
Zendesk, Salesloft Drift, Salesforce

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Расследования показывают, что группа вымогателей Scattered LAPSUS$ Hunters (SLSH) стоит за более чем 40 typosquatted доменами, выдающими себя за Zendesk, такими как znedesk.com . Группа использует тактику социальной инженерии и фишинга, используя такие инструменты, как Evilginx, для обхода многофакторной аутентификации при несанкционированном доступе. Их деятельность охватывает различные секторы, с особым акцентом на платформы SaaS, что вызывает у организаций необходимость отслеживать эти домены-самозванцы, чтобы предотвратить потенциальные нарушения.
-----

Недавние расследования ReliaQuest выявили ряд подозрительных доменов, связанных с Zendesk, включая более 40 вариантов с typosquatted и выдающие себя за URL-адреса, такие как znedesk.com и vpn-zendesk.com . Этот шаблон регистрации домена связан с группой программ-вымогателей, известной как Scattered LAPSUS$Hunters (SLSH), которые ранее были нацелены на различные секторы, включая SaaS-платформы, такие как Salesforce, наряду с розничной торговлей, страхованием и авиационной промышленностью.

Атаки, выполняемые SLSH, используют комбинацию методов социальной инженерии и кампаний фишинга, которые часто включают использование typosquatted доменов. Чтобы повысить свою эффективность, эти злоумышленники используют такие инструменты, как Evilginx, для обхода многофакторной аутентификации (MFA), тем самым получая несанкционированный доступ к конфиденциальным учетным записям и системам.

Организациям настоятельно рекомендуется усилить свою защиту от подобной тактики социальной инженерии. Крайне важно, чтобы сотрудники службы технической поддержки прошли обучение по передовым процессам проверки запросов на доступ, сброса пароля и любых существенных изменений в системе. Установление строгих мер проверки личности имеет важное значение, особенно для запросов на привилегированный доступ. Регулярно проводимые имитационные мероприятия по поиску и фишингу могут помочь повысить готовность как рядовых сотрудников, так и сотрудников службы технической поддержки. Кроме того, крайне важно повышать осведомленность об атаках MFA fatigue и методах сбора учетных записей, уделяя особое внимание обращению с персоналом ИТ-поддержки как с защитниками на передовой.

В свете того, что SLSH ориентируется на популярные SaaS-платформы, организациям крайне важно усилить безопасность своей SaaS-Цепочки поставок. Необходима постоянная бдительность, поскольку злоумышленники последовательно создают домены, выдающие себя за другие, следуя узнаваемым шаблонам, таким как "company-okta.com " и "ticket-companyname.com ." Активный мониторинг этих typosquatted доменов может помочь в раннем обнаружении потенциальных угроз и предотвращении несанкционированного доступа.

#ParsedReport #CompletenessLow
04-12-2025

New Stealth KGB RAT Marketed by Threat Actors on Underground Forums

https://gbhackers.com/k-g-b-rat/

Report completeness: Low

Threats:
Kgb_rat
Hvnc_tool

Industry:
Financial, E-commerce

ChatGPT TTPs:
do not use without manual check
T1027, T1219, T1583, T1585, T1587, T1588

Soft:
Twitter, WhatsApp, Windows Defender

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
KGB RAT - это новый троян удаленного доступа, который продается как "полностью необнаруживаемый" и включает в себя такие функции, как шифровальщик и Hidden VNC (HVNC), что указывает на его сложный дизайн. Он продается на подпольных форумах, подчеркивая растущий рынок продвинутых RAT, которые могут представлять значительные риски, особенно для банковских систем. Появление таких угроз подчеркивает необходимость бдительности при мониторинге показателей, связанных со сложным вредоносным ПО и потенциальными методами обхода системы безопасности.
-----

Злоумышленники в настоящее время продают новый троян удаленного доступа (RAT), известный как "KGB RAT", который поставляется в комплекте с шифровальщиком и HVNC (Hidden VNC). Этот RAT рекламируется на подпольных форумах по борьбе с киберпреступностью с утверждениями о том, что он "полностью не обнаруживается" существующими решениями безопасности. Включение таких функций, как HVNC, указывает на сложный дизайн, ассоциируя его с продвинутыми банковскими троянами и другим вредоносным программным обеспечением.

Продвижение KGB RAT подчеркивает тревожную тенденцию в сфере киберпреступности, где рынок сложных RAT-систем расширяется. Командам безопасности рекомендуется быть особенно бдительными в отношении таких терминов, как "FUD" (полностью необнаруживаемый), а также упоминаний о встроенных шифровальщиках в каналах анализа угроз, журналах или во время расследований инцидентов. Такие индикаторы служат потенциальными красными флажками, указывающими на наличие инструментов, которые могут обойти меры безопасности.

По мере развития угроз мониторинг подпольных форумов и понимание возможностей недавно появившегося вредоносного ПО, такого как KGB RAT, может повысить готовность средств защиты кибербезопасности к этим возникающим рискам.

#ParsedReport #CompletenessLow
04-12-2025

ValleyRAT Campaign Targets Job Seekers, Abuses Foxit PDF Reader for DLL Side-loading

https://www.trendmicro.com/en_us/research/25/l/valleyrat-campaign.html

Report completeness: Low

Threats:
Dll_sideloading_technique
Valleyrat
Dllsearchorder_hijacking_technique

Victims:
Job seekers, Human resources professionals

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1204.002, T1566.001, T1574.002

IOCs:
File: 11
IP: 2
Hash: 42
Url: 2

Soft:
Foxit

Algorithms:
sha256, base64, exhibit, 7zip, sha1

Languages:
python

#ParsedReport #ExtractedSchema

Classified images:
windows: 12, chart: 1, schema: 1, code: 2