CTT Report Hub
#ParsedReport #CompletenessLow 04-12-2025 The Next Target of Scattered LAPSUS$ Hunters Zendesk https://www.truesec.com/hub/blog/the-next-target-of-scattered-lapsus-hunters-zendesk Report completeness: Low Actors/Campaigns: Scattered_lapsus_hunters 0ktapus…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Расследования показывают, что группа вымогателей Scattered LAPSUS$ Hunters (SLSH) стоит за более чем 40 typosquatted доменами, выдающими себя за Zendesk, такими как znedesk.com . Группа использует тактику социальной инженерии и фишинга, используя такие инструменты, как Evilginx, для обхода многофакторной аутентификации при несанкционированном доступе. Их деятельность охватывает различные секторы, с особым акцентом на платформы SaaS, что вызывает у организаций необходимость отслеживать эти домены-самозванцы, чтобы предотвратить потенциальные нарушения.
-----
Недавние расследования ReliaQuest выявили ряд подозрительных доменов, связанных с Zendesk, включая более 40 вариантов с typosquatted и выдающие себя за URL-адреса, такие как znedesk.com и vpn-zendesk.com . Этот шаблон регистрации домена связан с группой программ-вымогателей, известной как Scattered LAPSUS$Hunters (SLSH), которые ранее были нацелены на различные секторы, включая SaaS-платформы, такие как Salesforce, наряду с розничной торговлей, страхованием и авиационной промышленностью.
Атаки, выполняемые SLSH, используют комбинацию методов социальной инженерии и кампаний фишинга, которые часто включают использование typosquatted доменов. Чтобы повысить свою эффективность, эти злоумышленники используют такие инструменты, как Evilginx, для обхода многофакторной аутентификации (MFA), тем самым получая несанкционированный доступ к конфиденциальным учетным записям и системам.
Организациям настоятельно рекомендуется усилить свою защиту от подобной тактики социальной инженерии. Крайне важно, чтобы сотрудники службы технической поддержки прошли обучение по передовым процессам проверки запросов на доступ, сброса пароля и любых существенных изменений в системе. Установление строгих мер проверки личности имеет важное значение, особенно для запросов на привилегированный доступ. Регулярно проводимые имитационные мероприятия по поиску и фишингу могут помочь повысить готовность как рядовых сотрудников, так и сотрудников службы технической поддержки. Кроме того, крайне важно повышать осведомленность об атаках MFA fatigue и методах сбора учетных записей, уделяя особое внимание обращению с персоналом ИТ-поддержки как с защитниками на передовой.
В свете того, что SLSH ориентируется на популярные SaaS-платформы, организациям крайне важно усилить безопасность своей SaaS-Цепочки поставок. Необходима постоянная бдительность, поскольку злоумышленники последовательно создают домены, выдающие себя за другие, следуя узнаваемым шаблонам, таким как "company-okta.com " и "ticket-companyname.com ." Активный мониторинг этих typosquatted доменов может помочь в раннем обнаружении потенциальных угроз и предотвращении несанкционированного доступа.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Расследования показывают, что группа вымогателей Scattered LAPSUS$ Hunters (SLSH) стоит за более чем 40 typosquatted доменами, выдающими себя за Zendesk, такими как znedesk.com . Группа использует тактику социальной инженерии и фишинга, используя такие инструменты, как Evilginx, для обхода многофакторной аутентификации при несанкционированном доступе. Их деятельность охватывает различные секторы, с особым акцентом на платформы SaaS, что вызывает у организаций необходимость отслеживать эти домены-самозванцы, чтобы предотвратить потенциальные нарушения.
-----
Недавние расследования ReliaQuest выявили ряд подозрительных доменов, связанных с Zendesk, включая более 40 вариантов с typosquatted и выдающие себя за URL-адреса, такие как znedesk.com и vpn-zendesk.com . Этот шаблон регистрации домена связан с группой программ-вымогателей, известной как Scattered LAPSUS$Hunters (SLSH), которые ранее были нацелены на различные секторы, включая SaaS-платформы, такие как Salesforce, наряду с розничной торговлей, страхованием и авиационной промышленностью.
Атаки, выполняемые SLSH, используют комбинацию методов социальной инженерии и кампаний фишинга, которые часто включают использование typosquatted доменов. Чтобы повысить свою эффективность, эти злоумышленники используют такие инструменты, как Evilginx, для обхода многофакторной аутентификации (MFA), тем самым получая несанкционированный доступ к конфиденциальным учетным записям и системам.
Организациям настоятельно рекомендуется усилить свою защиту от подобной тактики социальной инженерии. Крайне важно, чтобы сотрудники службы технической поддержки прошли обучение по передовым процессам проверки запросов на доступ, сброса пароля и любых существенных изменений в системе. Установление строгих мер проверки личности имеет важное значение, особенно для запросов на привилегированный доступ. Регулярно проводимые имитационные мероприятия по поиску и фишингу могут помочь повысить готовность как рядовых сотрудников, так и сотрудников службы технической поддержки. Кроме того, крайне важно повышать осведомленность об атаках MFA fatigue и методах сбора учетных записей, уделяя особое внимание обращению с персоналом ИТ-поддержки как с защитниками на передовой.
В свете того, что SLSH ориентируется на популярные SaaS-платформы, организациям крайне важно усилить безопасность своей SaaS-Цепочки поставок. Необходима постоянная бдительность, поскольку злоумышленники последовательно создают домены, выдающие себя за другие, следуя узнаваемым шаблонам, таким как "company-okta.com " и "ticket-companyname.com ." Активный мониторинг этих typosquatted доменов может помочь в раннем обнаружении потенциальных угроз и предотвращении несанкционированного доступа.
#ParsedReport #CompletenessLow
04-12-2025
New Stealth KGB RAT Marketed by Threat Actors on Underground Forums
https://gbhackers.com/k-g-b-rat/
Report completeness: Low
Threats:
Kgb_rat
Hvnc_tool
Industry:
Financial, E-commerce
ChatGPT TTPs:
T1027, T1219, T1583, T1585, T1587, T1588
Soft:
Twitter, WhatsApp, Windows Defender
04-12-2025
New Stealth KGB RAT Marketed by Threat Actors on Underground Forums
https://gbhackers.com/k-g-b-rat/
Report completeness: Low
Threats:
Kgb_rat
Hvnc_tool
Industry:
Financial, E-commerce
ChatGPT TTPs:
do not use without manual checkT1027, T1219, T1583, T1585, T1587, T1588
Soft:
Twitter, WhatsApp, Windows Defender
GBHackers Security | #1 Globally Trusted Cyber Security News Platform
New Stealth K.G.B RAT Marketed by Threat Actors on Underground Forums
Threat actors on an underground cybercrime forum are allegedly promoting a new remote access Trojan (RAT) bundle dubbed “K.G.B RAT + Crypter + HVNC,”.
CTT Report Hub
#ParsedReport #CompletenessLow 04-12-2025 New Stealth KGB RAT Marketed by Threat Actors on Underground Forums https://gbhackers.com/k-g-b-rat/ Report completeness: Low Threats: Kgb_rat Hvnc_tool Industry: Financial, E-commerce ChatGPT TTPs: do not use…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
KGB RAT - это новый троян удаленного доступа, который продается как "полностью необнаруживаемый" и включает в себя такие функции, как шифровальщик и Hidden VNC (HVNC), что указывает на его сложный дизайн. Он продается на подпольных форумах, подчеркивая растущий рынок продвинутых RAT, которые могут представлять значительные риски, особенно для банковских систем. Появление таких угроз подчеркивает необходимость бдительности при мониторинге показателей, связанных со сложным вредоносным ПО и потенциальными методами обхода системы безопасности.
-----
Злоумышленники в настоящее время продают новый троян удаленного доступа (RAT), известный как "KGB RAT", который поставляется в комплекте с шифровальщиком и HVNC (Hidden VNC). Этот RAT рекламируется на подпольных форумах по борьбе с киберпреступностью с утверждениями о том, что он "полностью не обнаруживается" существующими решениями безопасности. Включение таких функций, как HVNC, указывает на сложный дизайн, ассоциируя его с продвинутыми банковскими троянами и другим вредоносным программным обеспечением.
Продвижение KGB RAT подчеркивает тревожную тенденцию в сфере киберпреступности, где рынок сложных RAT-систем расширяется. Командам безопасности рекомендуется быть особенно бдительными в отношении таких терминов, как "FUD" (полностью необнаруживаемый), а также упоминаний о встроенных шифровальщиках в каналах анализа угроз, журналах или во время расследований инцидентов. Такие индикаторы служат потенциальными красными флажками, указывающими на наличие инструментов, которые могут обойти меры безопасности.
По мере развития угроз мониторинг подпольных форумов и понимание возможностей недавно появившегося вредоносного ПО, такого как KGB RAT, может повысить готовность средств защиты кибербезопасности к этим возникающим рискам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
KGB RAT - это новый троян удаленного доступа, который продается как "полностью необнаруживаемый" и включает в себя такие функции, как шифровальщик и Hidden VNC (HVNC), что указывает на его сложный дизайн. Он продается на подпольных форумах, подчеркивая растущий рынок продвинутых RAT, которые могут представлять значительные риски, особенно для банковских систем. Появление таких угроз подчеркивает необходимость бдительности при мониторинге показателей, связанных со сложным вредоносным ПО и потенциальными методами обхода системы безопасности.
-----
Злоумышленники в настоящее время продают новый троян удаленного доступа (RAT), известный как "KGB RAT", который поставляется в комплекте с шифровальщиком и HVNC (Hidden VNC). Этот RAT рекламируется на подпольных форумах по борьбе с киберпреступностью с утверждениями о том, что он "полностью не обнаруживается" существующими решениями безопасности. Включение таких функций, как HVNC, указывает на сложный дизайн, ассоциируя его с продвинутыми банковскими троянами и другим вредоносным программным обеспечением.
Продвижение KGB RAT подчеркивает тревожную тенденцию в сфере киберпреступности, где рынок сложных RAT-систем расширяется. Командам безопасности рекомендуется быть особенно бдительными в отношении таких терминов, как "FUD" (полностью необнаруживаемый), а также упоминаний о встроенных шифровальщиках в каналах анализа угроз, журналах или во время расследований инцидентов. Такие индикаторы служат потенциальными красными флажками, указывающими на наличие инструментов, которые могут обойти меры безопасности.
По мере развития угроз мониторинг подпольных форумов и понимание возможностей недавно появившегося вредоносного ПО, такого как KGB RAT, может повысить готовность средств защиты кибербезопасности к этим возникающим рискам.
#ParsedReport #CompletenessLow
04-12-2025
ValleyRAT Campaign Targets Job Seekers, Abuses Foxit PDF Reader for DLL Side-loading
https://www.trendmicro.com/en_us/research/25/l/valleyrat-campaign.html
Report completeness: Low
Threats:
Dll_sideloading_technique
Valleyrat
Dllsearchorder_hijacking_technique
Victims:
Job seekers, Human resources professionals
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1204.002, T1566.001, T1574.002
IOCs:
File: 11
IP: 2
Hash: 42
Url: 2
Soft:
Foxit
Algorithms:
sha256, base64, exhibit, 7zip, sha1
Languages:
python
04-12-2025
ValleyRAT Campaign Targets Job Seekers, Abuses Foxit PDF Reader for DLL Side-loading
https://www.trendmicro.com/en_us/research/25/l/valleyrat-campaign.html
Report completeness: Low
Threats:
Dll_sideloading_technique
Valleyrat
Dllsearchorder_hijacking_technique
Victims:
Job seekers, Human resources professionals
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1204.002, T1566.001, T1574.002
IOCs:
File: 11
IP: 2
Hash: 42
Url: 2
Soft:
Foxit
Algorithms:
sha256, base64, exhibit, 7zip, sha1
Languages:
python
Trend Micro
PureRAT Campaign Targets Job Seekers, Abuses Foxit PDF Reader for DLL Side-loading
Job seekers looking out for opportunities might instead find their personal devices compromised, as a PureRAT campaign propagated through email leverages Foxit PDF Reader for concealment and DLL side-loading for initial entry.
CTT Report Hub
#ParsedReport #CompletenessLow 04-12-2025 ValleyRAT Campaign Targets Job Seekers, Abuses Foxit PDF Reader for DLL Side-loading https://www.trendmicro.com/en_us/research/25/l/valleyrat-campaign.html Report completeness: Low Threats: Dll_sideloading_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания ValleyRAT нацелена на лиц, ищущих работу, с помощью фишинг-писем, содержащих модифицированную версию Foxit PDF Reader, использующую DLL side-loading для первоначальной компрометации. Атака влечет за собой выполнение 'FoxitPDFReader.exe " который загружает вредоносную библиотеку DLL "msimg32.dll ", развертывающий троян удаленного доступа ValleyRAT, который обеспечивает значительный контроль и эксфильтрацию данных злоумышленниками. Кампания использует методы скрытого выполнения, включая выполнение скрипта и загрузку .NET reflection, что усложняет усилия по обнаружению.
-----
Кампания ValleyRAT специально нацелена на лиц, ищущих работу, с помощью фишинг-писем, в которых используется усовершенствованная версия Foxit PDF Reader. Основным методом, используемым в этих атаках, является DLL side-loading, который служит методом первоначального компрометации. Когда пользователь взаимодействует с вредоносным архивным файлом, который маскируется под законный документ, он выполняет копию 'FoxitPDFReader.exe ', который предназначен для загрузки вредоносной библиотеки DLL с именем 'msimg32.dll '. Эта последовательность действий в конечном итоге приводит к развертыванию ValleyRAT, троянца удаленного доступа (RAT), способного предоставлять злоумышленникам широкий контроль над скомпрометированными системами.
После заражения злоумышленники могут отслеживать активность пользователей и извлекать конфиденциальную информацию. Дизайн кампании не только подвергает опасности лиц, ищущих работу, но и создает риски для специалистов в области людских ресурсов, включая рекрутеров и специалистов по подбору персонала. Скрытный характер этого пути атаки определяется выполнением скриптов и загрузкой .NET reflection, что повышает вероятность успешного уклонения от обнаружения в процессе компрометации.
Для организаций и частных лиц крайне важна осведомленность о показателях компромисса (IOCs), связанных с этой кампанией. Решения для обеспечения безопасности, подобные тем, которые предлагает Trend Micro, способны эффективно обнаруживать и блокировать эти IOC, обеспечивая пользователям необходимую защиту. Понимание конкретных методов и методологий, используемых в кампании ValleyRAT, может помочь в разработке упреждающих стратегий защиты от этой и подобных угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания ValleyRAT нацелена на лиц, ищущих работу, с помощью фишинг-писем, содержащих модифицированную версию Foxit PDF Reader, использующую DLL side-loading для первоначальной компрометации. Атака влечет за собой выполнение 'FoxitPDFReader.exe " который загружает вредоносную библиотеку DLL "msimg32.dll ", развертывающий троян удаленного доступа ValleyRAT, который обеспечивает значительный контроль и эксфильтрацию данных злоумышленниками. Кампания использует методы скрытого выполнения, включая выполнение скрипта и загрузку .NET reflection, что усложняет усилия по обнаружению.
-----
Кампания ValleyRAT специально нацелена на лиц, ищущих работу, с помощью фишинг-писем, в которых используется усовершенствованная версия Foxit PDF Reader. Основным методом, используемым в этих атаках, является DLL side-loading, который служит методом первоначального компрометации. Когда пользователь взаимодействует с вредоносным архивным файлом, который маскируется под законный документ, он выполняет копию 'FoxitPDFReader.exe ', который предназначен для загрузки вредоносной библиотеки DLL с именем 'msimg32.dll '. Эта последовательность действий в конечном итоге приводит к развертыванию ValleyRAT, троянца удаленного доступа (RAT), способного предоставлять злоумышленникам широкий контроль над скомпрометированными системами.
После заражения злоумышленники могут отслеживать активность пользователей и извлекать конфиденциальную информацию. Дизайн кампании не только подвергает опасности лиц, ищущих работу, но и создает риски для специалистов в области людских ресурсов, включая рекрутеров и специалистов по подбору персонала. Скрытный характер этого пути атаки определяется выполнением скриптов и загрузкой .NET reflection, что повышает вероятность успешного уклонения от обнаружения в процессе компрометации.
Для организаций и частных лиц крайне важна осведомленность о показателях компромисса (IOCs), связанных с этой кампанией. Решения для обеспечения безопасности, подобные тем, которые предлагает Trend Micro, способны эффективно обнаруживать и блокировать эти IOC, обеспечивая пользователям необходимую защиту. Понимание конкретных методов и методологий, используемых в кампании ValleyRAT, может помочь в разработке упреждающих стратегий защиты от этой и подобных угроз.
#ParsedReport #CompletenessLow
04-12-2025
Windows Stealers: How Modern Infostealers Harvest Credentials
https://deceptiq.com/blog/windows-stealers-technical-analysis
Report completeness: Low
Threats:
Sryxen
TTPs:
Tactics: 5
Technics: 13
IOCs:
File: 14
Soft:
Chrome, Chromium, Firefox, Discord, curl, telegram, macOS
Algorithms:
aes, base64, aes-256-gcm, zip, xor
Functions:
SetBreakpoint, GetMasterKey, GetCookie, MainBlock, system
Win API:
VirtualProtect, WinHttpOpenRequest, NtGlobalFlag, CryptUnprotectData
Languages:
powershell
Platforms:
x64
04-12-2025
Windows Stealers: How Modern Infostealers Harvest Credentials
https://deceptiq.com/blog/windows-stealers-technical-analysis
Report completeness: Low
Threats:
Sryxen
TTPs:
Tactics: 5
Technics: 13
IOCs:
File: 14
Soft:
Chrome, Chromium, Firefox, Discord, curl, telegram, macOS
Algorithms:
aes, base64, aes-256-gcm, zip, xor
Functions:
SetBreakpoint, GetMasterKey, GetCookie, MainBlock, system
Win API:
VirtualProtect, WinHttpOpenRequest, NtGlobalFlag, CryptUnprotectData
Languages:
powershell
Platforms:
x64
DeceptIQ
Windows Stealers: How Modern Infostealers Harvest Credentials
Technical analysis of Windows infostealers using Sryxen as a case study. How they decrypt browser data via DPAPI and exfiltrate credentials.
CTT Report Hub
#ParsedReport #CompletenessLow 04-12-2025 Windows Stealers: How Modern Infostealers Harvest Credentials https://deceptiq.com/blog/windows-stealers-technical-analysis Report completeness: Low Threats: Sryxen TTPs: Tactics: 5 Technics: 13 IOCs: File: 14…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Стиллер Sryxen использует передовые методы для сбора учетных данных пользователей, используя механизмы антианализа и стратегии уклонения. Примечательно, что он использует векторную обработку исключений (VEH) для сохранения конфиденциальных полезных данных в зашифрованном виде в состоянии покоя и нацелен на сохраненные веб-браузерами файлы cookie и пароли с помощью шифрования, связанного с приложениями Chrome. Работа Sryxen's включает в себя многопоточный поиск в браузерах и использует curl для эксфильтрации при отправке ключевых данных, таких как токены Discord, через POST-запросы к Telegram API.
-----
Современные стиллеры информации, в частности вариант Sryxen, используют сложные методы для сбора учетных данных пользователей из браузеров. Архитектура Sryxen демонстрирует передовые механизмы антианализа и инновационные стратегии обхода мер безопасности. Важным аспектом этого вредоносного ПО является использование VEH (векторной обработки исключений) для обеспечения того, чтобы конфиденциальные полезные данные оставались зашифрованными в состоянии покоя. Например, основная функция, ответственная за эксфильтрацию данных, зашифрована с помощью XOR и расшифровывается только во время выполнения с помощью обработчика VEH, что затрудняет аналитикам проверку вредоносного ПО без его выполнения.
Sryxen эффективно использует Windows Data Protection API (DPAPI), получая главный ключ шифрования путем запуска в пользовательском контексте жертвы. Это позволяет ему расшифровывать сохраненные данные, зашифрованные с помощью платформы DPAPI, в то время как попытки получить доступ к этим данным из другого пользовательского контекста не приведут ни к каким результатам. Вредоносное ПО нацелено на файлы cookie и пароли, хранящиеся в веб-браузерах, в частности, используя шифрование, привязанное к приложениям Chrome (ABE), которое связывает шифрование файлов cookie непосредственно с приложением Chrome. Запуская Chrome с флагами отладки, Sryxen обходит эту защиту и облегчает кражу файлов cookie.
Работа вредоносного ПО включает в себя проведение многопоточного поиска в ширину (BFS) для перечисления установленных браузеров и систематического сбора украденных данных, упорядоченных во временной папке. Для эксфильтрации Sryxen использует "curl" в зашумленном режиме, вызывая команды "system()", которые могут быть легко обнаружены с помощью телеметрии создания файла. Хотя этот метод уязвим для обнаружения, ключевые данные, такие как сессионные файлы cookie или токены Discord, отправляются во внешний Telegram API с помощью POST-запросов.
Кроме того, Sryxen умеет обращаться с зашифрованными учетными данными. Пароли Chromium, например, хранятся с использованием шифрования AES-256-GCM, и вредоносное ПО может расшифровать их перед эксфильтрацией. В нем также реализованы методы сбора учетных данных из других приложений, таких как Discord, которые могут хранить токены либо в виде открытого текста, либо в зашифрованном виде, аналогично шифрованию Chrome.
В контексте платформы MITRE ATT&CK Sryxen сопоставляется с различными методами, включая T1555.003 для сбора учетных записей, T1539 для кражи Сессионных куки и T1059 для выполнения утилит командной строки для эксфильтрации. Его подход отражает продолжающуюся борьбу между инструментами кражи учетных данных и инновациями в области безопасности браузера, в частности демонстрируя, насколько эффективно Sryxen обходит современные средства защиты, предназначенные для защиты пользовательских данных.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Стиллер Sryxen использует передовые методы для сбора учетных данных пользователей, используя механизмы антианализа и стратегии уклонения. Примечательно, что он использует векторную обработку исключений (VEH) для сохранения конфиденциальных полезных данных в зашифрованном виде в состоянии покоя и нацелен на сохраненные веб-браузерами файлы cookie и пароли с помощью шифрования, связанного с приложениями Chrome. Работа Sryxen's включает в себя многопоточный поиск в браузерах и использует curl для эксфильтрации при отправке ключевых данных, таких как токены Discord, через POST-запросы к Telegram API.
-----
Современные стиллеры информации, в частности вариант Sryxen, используют сложные методы для сбора учетных данных пользователей из браузеров. Архитектура Sryxen демонстрирует передовые механизмы антианализа и инновационные стратегии обхода мер безопасности. Важным аспектом этого вредоносного ПО является использование VEH (векторной обработки исключений) для обеспечения того, чтобы конфиденциальные полезные данные оставались зашифрованными в состоянии покоя. Например, основная функция, ответственная за эксфильтрацию данных, зашифрована с помощью XOR и расшифровывается только во время выполнения с помощью обработчика VEH, что затрудняет аналитикам проверку вредоносного ПО без его выполнения.
Sryxen эффективно использует Windows Data Protection API (DPAPI), получая главный ключ шифрования путем запуска в пользовательском контексте жертвы. Это позволяет ему расшифровывать сохраненные данные, зашифрованные с помощью платформы DPAPI, в то время как попытки получить доступ к этим данным из другого пользовательского контекста не приведут ни к каким результатам. Вредоносное ПО нацелено на файлы cookie и пароли, хранящиеся в веб-браузерах, в частности, используя шифрование, привязанное к приложениям Chrome (ABE), которое связывает шифрование файлов cookie непосредственно с приложением Chrome. Запуская Chrome с флагами отладки, Sryxen обходит эту защиту и облегчает кражу файлов cookie.
Работа вредоносного ПО включает в себя проведение многопоточного поиска в ширину (BFS) для перечисления установленных браузеров и систематического сбора украденных данных, упорядоченных во временной папке. Для эксфильтрации Sryxen использует "curl" в зашумленном режиме, вызывая команды "system()", которые могут быть легко обнаружены с помощью телеметрии создания файла. Хотя этот метод уязвим для обнаружения, ключевые данные, такие как сессионные файлы cookie или токены Discord, отправляются во внешний Telegram API с помощью POST-запросов.
Кроме того, Sryxen умеет обращаться с зашифрованными учетными данными. Пароли Chromium, например, хранятся с использованием шифрования AES-256-GCM, и вредоносное ПО может расшифровать их перед эксфильтрацией. В нем также реализованы методы сбора учетных данных из других приложений, таких как Discord, которые могут хранить токены либо в виде открытого текста, либо в зашифрованном виде, аналогично шифрованию Chrome.
В контексте платформы MITRE ATT&CK Sryxen сопоставляется с различными методами, включая T1555.003 для сбора учетных записей, T1539 для кражи Сессионных куки и T1059 для выполнения утилит командной строки для эксфильтрации. Его подход отражает продолжающуюся борьбу между инструментами кражи учетных данных и инновациями в области безопасности браузера, в частности демонстрируя, насколько эффективно Sryxen обходит современные средства защиты, предназначенные для защиты пользовательских данных.
#ParsedReport #CompletenessHigh
04-12-2025
MuddyWater: Snakes by the riverbank
https://www.welivesecurity.com/en/eset-research/muddywater-snakes-riverbank/
Report completeness: High
Actors/Campaigns:
Muddywater (motivation: cyber_espionage, cyber_criminal)
Siamesekitten (motivation: cyber_espionage)
Oilrig
Threats:
Fooder
Muddyviper
Gosocks5_tool
Quicksand
Muddyrot
Lazagne_tool
Crackmapexec_tool
Spear-phishing_technique
Danabot
Shark
Marlin
Mango
Oilforcegtx
Syncro_tool
Mimikatz_tool
Atera_tool
Simplehelp_tool
Anydesk_tool
Hackbrowser
Yamux_tool
Resocks_tool
Go-socks5_tool
Credential_harvesting_technique
Trojan-proxy
Victims:
Critical infrastructure, Government, Telecommunications, Healthcare, Oil and energy
Industry:
Military, Critical_infrastructure, Education, Transport, Telco, Government, Petroleum, Energy, Healthcare
Geo:
Iranian, Israel, Ukraine, Egypt, Iran, America, Middle east, Ireland, Israeli
TTPs:
Tactics: 11
Technics: 42
IOCs:
Path: 16
File: 10
Registry: 2
Domain: 3
IP: 11
Url: 1
Hash: 64
Soft:
Firefox, Windows Security, Chromium, Chrome, Google Chrome, Microsoft Edge, Mozilla Firefox, Opera, Microsoft Edge, Google Chrome, steam, have more...
Algorithms:
aes, sha1, aes-cbc
Functions:
Sleep
Win API:
DuplicateTokenEx, CreateProcessAsUserA, CreateProcessW, WinHttpOpen, ImpersonateLoggedOnUser, WinMain, CredUIPromptForWindowsCredentialsW, CredUnPackAuthenticationBufferW, LogonUserW, CryptUnprotectData, have more...
Win Services:
AvastSvc
Languages:
powershell, golang
Platforms:
amd64
Links:
have more...
04-12-2025
MuddyWater: Snakes by the riverbank
https://www.welivesecurity.com/en/eset-research/muddywater-snakes-riverbank/
Report completeness: High
Actors/Campaigns:
Muddywater (motivation: cyber_espionage, cyber_criminal)
Siamesekitten (motivation: cyber_espionage)
Oilrig
Threats:
Fooder
Muddyviper
Gosocks5_tool
Quicksand
Muddyrot
Lazagne_tool
Crackmapexec_tool
Spear-phishing_technique
Danabot
Shark
Marlin
Mango
Oilforcegtx
Syncro_tool
Mimikatz_tool
Atera_tool
Simplehelp_tool
Anydesk_tool
Hackbrowser
Yamux_tool
Resocks_tool
Go-socks5_tool
Credential_harvesting_technique
Trojan-proxy
Victims:
Critical infrastructure, Government, Telecommunications, Healthcare, Oil and energy
Industry:
Military, Critical_infrastructure, Education, Transport, Telco, Government, Petroleum, Energy, Healthcare
Geo:
Iranian, Israel, Ukraine, Egypt, Iran, America, Middle east, Ireland, Israeli
TTPs:
Tactics: 11
Technics: 42
IOCs:
Path: 16
File: 10
Registry: 2
Domain: 3
IP: 11
Url: 1
Hash: 64
Soft:
Firefox, Windows Security, Chromium, Chrome, Google Chrome, Microsoft Edge, Mozilla Firefox, Opera, Microsoft Edge, Google Chrome, steam, have more...
Algorithms:
aes, sha1, aes-cbc
Functions:
Sleep
Win API:
DuplicateTokenEx, CreateProcessAsUserA, CreateProcessW, WinHttpOpen, ImpersonateLoggedOnUser, WinMain, CredUIPromptForWindowsCredentialsW, CredUnPackAuthenticationBufferW, LogonUserW, CryptUnprotectData, have more...
Win Services:
AvastSvc
Languages:
powershell, golang
Platforms:
amd64
Links:
https://github.com/AlessandroZ/LaZagnehttps://github.com/byt3bl33d3r/CrackMapExechave more...
Welivesecurity
MuddyWater: Snakes by the riverbank
MuddyWater targets critical infrastructure in Israel and Egypt, relying on custom malware, improved tactics, and a predictable playbook.
CTT Report Hub
#ParsedReport #CompletenessHigh 04-12-2025 MuddyWater: Snakes by the riverbank https://www.welivesecurity.com/en/eset-research/muddywater-snakes-riverbank/ Report completeness: High Actors/Campaigns: Muddywater (motivation: cyber_espionage, cyber_criminal)…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
MuddyWater, иранская APT-группировка, действующая с 2017 года, нацелена на критически важные объекты инфраструктуры в Израиле и Египте в рамках кампании, которая продлится с сентября 2024 по март 2025 года. Они используют такие тактики, как spearphishing для распространения пользовательского вредоносного ПО, включая загрузчик Fooder, который подготавливает бэкдор MuddyViper для широкого доступа к системе, и инструменты credential-stealing, такие как CE-Notes и LP-Notes. Их вредоносное ПО взаимодействует с серверами C&C по протоколу HTTPS, усложняя обнаружение из-за эксфильтрации большого объема данных.
-----
MuddyWater, связанная с Ираном APT-группировка, действующая по меньшей мере с 2017 года, в первую очередь нацелена на критически важные объекты инфраструктуры в Израиле и Египте. Эта кампания, которая продолжалась с 30 сентября 2024 года по 18 марта 2025 года, подчеркивает развивающиеся возможности MuddyWater's, использующие пользовательское вредоносное ПО наряду с устоявшейся тактикой ведения кибершпионажа.
Группа продемонстрировала четкую ориентацию на такие секторы, как телекоммуникации, государственное управление и энергетика, используя предсказуемые тактики, методы и процедуры (TTP). Их оперативный план действий, как правило, включает электронные письма для spearphishing, которые направляют жертв на загрузку программного обеспечения для удаленного мониторинга. Попав в сеть, MuddyWater развертывает множество вредоносных программ, включая недавно идентифицированный загрузчик Fooder и Backdoor. MuddyViper. Маскировка Fooder под простую игру представляет собой загрузчик, который подготавливает и запускает бэкдор MuddyViper, который обеспечивает широкий доступ к зараженным системам, включая кражу учетных данных, загрузку файлов и выполнение команд.
MuddyViper взаимодействует с серверами командования и контроля (C&C) через HTTP через порт 443, зашифрованный с помощью SSL/TLS. Идентифицированные серверы C&C включают processplanet.org и IP-адрес, связанный с Amazon Technologies. Процессы эксфильтрации данных включают отправку подробных обновлений статуса на эти серверы, что затрудняет системам обнаружения распознавание вредоносных действий из-за большого объема сообщений.
Кроме того, MuddyWater использует ряд инструментов credential-stealing, таких как CE-Notes и LP-Notes. Эти инструменты предназначены для того, чтобы выдавать себя за пользователей и собирать учетные данные с помощью вводящих в заблуждение подсказок. При запуске LP-Notes маскируется под диалоговое окно безопасности Windows, предлагая жертвам ввести свои имена пользователей и пароли, в то время как CE-Notes захватывает и сохраняет украденные данные браузера.
Группа также использует передовые методы уклонения, такие как использование функций сна, чтобы избежать анализа во время динамических исследований. Эта операционная зрелость отражается не только в сложных методах кодирования, но и в более разнообразном наборе инструментов, что указывает на эволюцию по сравнению с предыдущими кампаниями.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
MuddyWater, иранская APT-группировка, действующая с 2017 года, нацелена на критически важные объекты инфраструктуры в Израиле и Египте в рамках кампании, которая продлится с сентября 2024 по март 2025 года. Они используют такие тактики, как spearphishing для распространения пользовательского вредоносного ПО, включая загрузчик Fooder, который подготавливает бэкдор MuddyViper для широкого доступа к системе, и инструменты credential-stealing, такие как CE-Notes и LP-Notes. Их вредоносное ПО взаимодействует с серверами C&C по протоколу HTTPS, усложняя обнаружение из-за эксфильтрации большого объема данных.
-----
MuddyWater, связанная с Ираном APT-группировка, действующая по меньшей мере с 2017 года, в первую очередь нацелена на критически важные объекты инфраструктуры в Израиле и Египте. Эта кампания, которая продолжалась с 30 сентября 2024 года по 18 марта 2025 года, подчеркивает развивающиеся возможности MuddyWater's, использующие пользовательское вредоносное ПО наряду с устоявшейся тактикой ведения кибершпионажа.
Группа продемонстрировала четкую ориентацию на такие секторы, как телекоммуникации, государственное управление и энергетика, используя предсказуемые тактики, методы и процедуры (TTP). Их оперативный план действий, как правило, включает электронные письма для spearphishing, которые направляют жертв на загрузку программного обеспечения для удаленного мониторинга. Попав в сеть, MuddyWater развертывает множество вредоносных программ, включая недавно идентифицированный загрузчик Fooder и Backdoor. MuddyViper. Маскировка Fooder под простую игру представляет собой загрузчик, который подготавливает и запускает бэкдор MuddyViper, который обеспечивает широкий доступ к зараженным системам, включая кражу учетных данных, загрузку файлов и выполнение команд.
MuddyViper взаимодействует с серверами командования и контроля (C&C) через HTTP через порт 443, зашифрованный с помощью SSL/TLS. Идентифицированные серверы C&C включают processplanet.org и IP-адрес, связанный с Amazon Technologies. Процессы эксфильтрации данных включают отправку подробных обновлений статуса на эти серверы, что затрудняет системам обнаружения распознавание вредоносных действий из-за большого объема сообщений.
Кроме того, MuddyWater использует ряд инструментов credential-stealing, таких как CE-Notes и LP-Notes. Эти инструменты предназначены для того, чтобы выдавать себя за пользователей и собирать учетные данные с помощью вводящих в заблуждение подсказок. При запуске LP-Notes маскируется под диалоговое окно безопасности Windows, предлагая жертвам ввести свои имена пользователей и пароли, в то время как CE-Notes захватывает и сохраняет украденные данные браузера.
Группа также использует передовые методы уклонения, такие как использование функций сна, чтобы избежать анализа во время динамических исследований. Эта операционная зрелость отражается не только в сложных методах кодирования, но и в более разнообразном наборе инструментов, что указывает на эволюцию по сравнению с предыдущими кампаниями.
#ParsedReport #CompletenessHigh
04-12-2025
Hook for Gold: Inside GoldFactory's ampaign That Turns Apps Into Goldmines
https://www.group-ib.com/blog/turning-apps-into-gold/
Report completeness: High
Actors/Campaigns:
Goldfactory (motivation: cyber_criminal, information_theft)
Threats:
Gigaflower
Gigabud_rat
Skyhook_tool
Frihook
Pinehook
Mmrat
Smishing_technique
Remo_trojan
Dobby_hook_framework
Victims:
Banking users, Financial institutions
Industry:
Ics, Government, Healthcare, Financial, Foodtech
Geo:
Asia-pacific, Apac, Vietnamese, Thailand, Indonesia, Vietnam
ChatGPT TTPs:
T1401, T1404, T1407, T1409, T1412, T1446, T1471, T1513, T1516, T1566, have more...
IOCs:
Domain: 9
File: 1
Hash: 8
IP: 4
Soft:
Android, WebRTC, Google Play
Algorithms:
xor, sha256
Functions:
VoIP, onTransact, IPC
Win API:
getPackageInfo, updatewindow
Languages:
java
Platforms:
apple, arm
04-12-2025
Hook for Gold: Inside GoldFactory's ampaign That Turns Apps Into Goldmines
https://www.group-ib.com/blog/turning-apps-into-gold/
Report completeness: High
Actors/Campaigns:
Goldfactory (motivation: cyber_criminal, information_theft)
Threats:
Gigaflower
Gigabud_rat
Skyhook_tool
Frihook
Pinehook
Mmrat
Smishing_technique
Remo_trojan
Dobby_hook_framework
Victims:
Banking users, Financial institutions
Industry:
Ics, Government, Healthcare, Financial, Foodtech
Geo:
Asia-pacific, Apac, Vietnamese, Thailand, Indonesia, Vietnam
ChatGPT TTPs:
do not use without manual checkT1401, T1404, T1407, T1409, T1412, T1446, T1471, T1513, T1516, T1566, have more...
IOCs:
Domain: 9
File: 1
Hash: 8
IP: 4
Soft:
Android, WebRTC, Google Play
Algorithms:
xor, sha256
Functions:
VoIP, onTransact, IPC
Win API:
getPackageInfo, updatewindow
Languages:
java
Platforms:
apple, arm
Group-IB
Hook for Gold: Inside GoldFactory's Сampaign That Turns Apps Into Goldmines
A deep dive into GoldFactory’s evolving mobile fraud campaigns across APAC, including modified banking apps, new malware variants such as Gigaflower, shared criminal infrastructure, and insights from the Group-IB Fraud Matrix, with recommendations for organizations…
CTT Report Hub
#ParsedReport #CompletenessHigh 04-12-2025 Hook for Gold: Inside GoldFactory's ampaign That Turns Apps Into Goldmines https://www.group-ib.com/blog/turning-apps-into-gold/ Report completeness: High Actors/Campaigns: Goldfactory (motivation: cyber_criminal…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
GoldFactory, злоумышленник, выявленный Group-IB, проводил кампании мобильного мошенничества, нацеленные на банковских пользователей в Азиатско-Тихоокеанском регионе, путем модификации банковских приложений, в частности, с использованием варианта вредоносного ПО Gigaflower. Их тактика включает в себя выдачу себя за государственные службы, чтобы завоевать доверие, использование таких фреймворков, как Frida и Dobby, для манипулирования законным поведением приложений и обхода системы безопасности. Оптимизированная цепочка атак группы начинается с контакта с приложением для обмена сообщениями и расширяется с помощью телефонных звонков, используя передовые методы, позволяющие избежать обнаружения и кражи конфиденциальной информации с помощью скомпрометированных устройств, которые обмениваются данными через WebRTC.
-----
Было замечено, что GoldFactory, злоумышленник, выявленный Group-IB, организует сложные кампании мобильного мошенничества, нацеленные на банковских пользователей по всему Азиатско-Тихоокеанскому региону, особенно с начала 2024 года. Эта группа использовала ряд модифицированных банковских приложений, включая варианты вредоносного ПО, такие как Gigaflower, которые демонстрируют расширенные функциональные возможности для компрометации пользовательских данных. В частности, операторы клонировали 27 законных банковских приложений в Индонезии, Вьетнаме и Таиланде, внедрив вредоносный код для выполнения своих атак.
Один из основных методов атаки, используемых GoldFactory, заключается в Имперсонации государственных служб для укрепления доверия к жертвам, что приводит к заражению устройств. Они используют общедоступные фреймворки, такие как Frida, Dobby и Pine, для перехвата и изменения законного поведения приложений с помощью инструментов под названием FriHook, SkyHook и PineHook. Эти методы позволяют вредоносному ПО обходить меры безопасности и шифрование, способствуя краже конфиденциальной информации. Например, FriHook может обходить проверки целостности, в то время как SkyHook использует DobbyHook framework для подключения к законным приложениям, изменяя их функциональность без обнаружения.
Вредоносное ПО продемонстрировало адаптивность, о чем свидетельствует новый вариант Gigaflower, который содержит экспериментальную кодовую базу с такими возможностями, как распознавание текста для сканирования удостоверений личности. Это показывает эволюцию тактики от использования исключительно прямого внедрения вредоносного ПО к внедрению комплексных стратегий социальной инженерии, при которых жертвы могут неосознанно предоставлять личную информацию под видом процессов проверки.
Цепочка атак начинается с первоначального контакта через приложения для обмена сообщениями, переходя к телефонным звонкам с инструкциями. Примечательно, что группа изменила тактику в отношении пользователей iOS, теперь поощряя жертв использовать Android-устройство для запуска вредоносного ПО, вероятно, из-за более строгих мер безопасности iOS. Скомпрометированные устройства могут обмениваться данными через WebRTC, что обеспечивает взаимодействие между злоумышленником и устройством жертвы в режиме реального времени, повышая скорость и эффективность атаки.
Анализ Group-IB позволил проследить развертывание этих вредоносных приложений в определенных доменах с открытыми каталогами, демонстрируя структурированный подход к распространению вредоносного ПО. Вредоносное ПО тщательно разработано, используя передовые упаковщики и обратное проектирование законных приложений, чтобы избежать обнаружения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
GoldFactory, злоумышленник, выявленный Group-IB, проводил кампании мобильного мошенничества, нацеленные на банковских пользователей в Азиатско-Тихоокеанском регионе, путем модификации банковских приложений, в частности, с использованием варианта вредоносного ПО Gigaflower. Их тактика включает в себя выдачу себя за государственные службы, чтобы завоевать доверие, использование таких фреймворков, как Frida и Dobby, для манипулирования законным поведением приложений и обхода системы безопасности. Оптимизированная цепочка атак группы начинается с контакта с приложением для обмена сообщениями и расширяется с помощью телефонных звонков, используя передовые методы, позволяющие избежать обнаружения и кражи конфиденциальной информации с помощью скомпрометированных устройств, которые обмениваются данными через WebRTC.
-----
Было замечено, что GoldFactory, злоумышленник, выявленный Group-IB, организует сложные кампании мобильного мошенничества, нацеленные на банковских пользователей по всему Азиатско-Тихоокеанскому региону, особенно с начала 2024 года. Эта группа использовала ряд модифицированных банковских приложений, включая варианты вредоносного ПО, такие как Gigaflower, которые демонстрируют расширенные функциональные возможности для компрометации пользовательских данных. В частности, операторы клонировали 27 законных банковских приложений в Индонезии, Вьетнаме и Таиланде, внедрив вредоносный код для выполнения своих атак.
Один из основных методов атаки, используемых GoldFactory, заключается в Имперсонации государственных служб для укрепления доверия к жертвам, что приводит к заражению устройств. Они используют общедоступные фреймворки, такие как Frida, Dobby и Pine, для перехвата и изменения законного поведения приложений с помощью инструментов под названием FriHook, SkyHook и PineHook. Эти методы позволяют вредоносному ПО обходить меры безопасности и шифрование, способствуя краже конфиденциальной информации. Например, FriHook может обходить проверки целостности, в то время как SkyHook использует DobbyHook framework для подключения к законным приложениям, изменяя их функциональность без обнаружения.
Вредоносное ПО продемонстрировало адаптивность, о чем свидетельствует новый вариант Gigaflower, который содержит экспериментальную кодовую базу с такими возможностями, как распознавание текста для сканирования удостоверений личности. Это показывает эволюцию тактики от использования исключительно прямого внедрения вредоносного ПО к внедрению комплексных стратегий социальной инженерии, при которых жертвы могут неосознанно предоставлять личную информацию под видом процессов проверки.
Цепочка атак начинается с первоначального контакта через приложения для обмена сообщениями, переходя к телефонным звонкам с инструкциями. Примечательно, что группа изменила тактику в отношении пользователей iOS, теперь поощряя жертв использовать Android-устройство для запуска вредоносного ПО, вероятно, из-за более строгих мер безопасности iOS. Скомпрометированные устройства могут обмениваться данными через WebRTC, что обеспечивает взаимодействие между злоумышленником и устройством жертвы в режиме реального времени, повышая скорость и эффективность атаки.
Анализ Group-IB позволил проследить развертывание этих вредоносных приложений в определенных доменах с открытыми каталогами, демонстрируя структурированный подход к распространению вредоносного ПО. Вредоносное ПО тщательно разработано, используя передовые упаковщики и обратное проектирование законных приложений, чтобы избежать обнаружения.
#ParsedReport #CompletenessHigh
04-12-2025
Albiriox Exposed: A New RAT Mobile Malware Targeting Global Finance and Crypto Wallets
https://www.cleafy.com/cleafy-labs/albiriox-rat-mobile-malware-targeting-global-finance-and-crypto-wallets#6
Report completeness: High
Threats:
Albiriox
Credential_harvesting_technique
Acvnc_tool
Hvnc_tool
Penny
Jsonpacker_tool
Victims:
Financial services, Cryptocurrency platforms
Industry:
Retail, Financial, Petroleum
Geo:
Austrian
ChatGPT TTPs:
T1036, T1071.001, T1095, T1104, T1105, T1204, T1406, T1410, T1412, T1414, have more...
IOCs:
Hash: 4
IP: 1
Domain: 7
Soft:
Google Play, Android, Telegram, WhatsApp
Algorithms:
md5, exhibit
Languages:
javascript
04-12-2025
Albiriox Exposed: A New RAT Mobile Malware Targeting Global Finance and Crypto Wallets
https://www.cleafy.com/cleafy-labs/albiriox-rat-mobile-malware-targeting-global-finance-and-crypto-wallets#6
Report completeness: High
Threats:
Albiriox
Credential_harvesting_technique
Acvnc_tool
Hvnc_tool
Penny
Jsonpacker_tool
Victims:
Financial services, Cryptocurrency platforms
Industry:
Retail, Financial, Petroleum
Geo:
Austrian
ChatGPT TTPs:
do not use without manual checkT1036, T1071.001, T1095, T1104, T1105, T1204, T1406, T1410, T1412, T1414, have more...
IOCs:
Hash: 4
IP: 1
Domain: 7
Soft:
Google Play, Android, Telegram, WhatsApp
Algorithms:
md5, exhibit
Languages:
javascript
Cleafy
Albiriox Exposed: A New RAT Mobile Malware Targeting Global Finance and Crypto Wallets | Cleafy Labs
Albiriox is a newly identified Android malware family offered as a Malware-as-a-Service, and enabling TAs to perform On-Device Fraud through remote control, screen manipulation, and real-time interaction with the infected device. Read more in this report.