#ParsedReport #CompletenessHigh
16-12-2025

Inside Ink Dragon: Revealing the Relay Network and Inner Workings of a Stealthy Offensive Operation

https://research.checkpoint.com/2025/ink-dragons-relay-network-and-offensive-operation/

Report completeness: High

Actors/Campaigns:
Earth_alux (motivation: cyber_espionage)
Ref3927
Cl-sta-0049 (motivation: cyber_espionage)

Threats:
Shadowpad
Cdbloader
Lalsdumper
032loader
Finaldraft
Viewstate_deserialization_vuln
Credential_harvesting_technique
Toolshell_vuln
Printnotifypotato_tool
Scatterbrain_tool
Tollbooth
Gotohttp_tool

Victims:
Government, Telecom, Public sector

Industry:
Semiconductor_industry, Government, Telco

Geo:
Africa, Asia, Chinese, America

CVEs:
CVE-2025-53770 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_server (<16.0.18526.20508, 2016, 2019)

CVE-2025-49704 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_server (2016, 2019)

CVE-2025-49706 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_enterprise_server (2016)
- microsoft sharepoint_server (<16.0.18526.20424, 2019)

CVE-2025-53771 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_server (<16.0.18526.20508, 2016, 2019)


TTPs:
Tactics: 7
Technics: 0

IOCs:
Hash: 17
File: 22
Path: 5
Registry: 2

Soft:
ASP.NET, Microsoft SharePoint, CredSSP, Graph API, Outlook, Remote Desktop Services, Windows security

Algorithms:
zip, base64, aes, rc4, xor

Win API:
HttpAddUrl, AddSecurityPackageA, MiniDumpWriteDump, CreateFileMappingW, MapViewOfFile, VirtualProtect, EvtQuery

Win Services:
MsMpEng

Links:
https://github.com/JKornev/hidden
https://github.com/mandiant/poisonplug-scatterbrain
have more...

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, code: 7

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Ink Dragon, группа кибершпионажа, связанная с китайскими государственными спонсорами, недавно нацелила правительственный и телекоммуникационный секторы в Европе, Юго-Восточной Азии и Южной Америке, используя пользовательский модуль прослушивания IIS ShadowPad. Группа использует уязвимости, связанные с ASP.NET machineKey задает значения для первоначального доступа, использует вредоносное ПО ShadowPad для сбора учетных записей и использует такие тактики, как запланированные задачи, для поддержания закрепления и облегчения перемещения внутри компании. Их операции отражают сложное сочетание скрытности и интеграции инфраструктуры, что усложняет усилия по обнаружению и предполагает потенциальное дублирование с другими злоумышленниками.
-----

Ink Dragon - это группа кибершпионажа, связанная с китайскими акторами, спонсируемыми государством. Они нацелены на правительственный и телекоммуникационный секторы в Европе, Юго-Восточной Азии и Южной Америке. Группа создает ретрансляционную сеть на основе жертвы, используя пользовательский модуль прослушивания IIS ShadowPad для построения распределенной инфраструктуры управления. Они эксплуатируют ASP.NET Уязвимости machineKey для выполнения атак ViewState deserialization на серверы IIS и SharePoint для первоначального доступа. Получив доступ, они развертывают вредоносное ПО ShadowPad и собирают учетные данные работника IIS для перемещения внутри компании по протоколу RDP. Ink Dragon использует такие тактики, как создание незаметных запланированных задач и изменение правил брандмауэра хоста для поддержания закрепления и эксфильтрации данных. Они повышают привилегии с локального уровня до уровня домена, развертывая дополнительные полезные нагрузки и интегрируясь с существующей инфраструктурой после защиты учетной записи администратора домена. Методы сбора учетных записей включают использование инструмента LalsDumper для извлечения учетных данных из LSASS. Необходим модуль прослушивателя IIS ShadowPad, маскирующий себя в стеке IIS при выполнении командных операций. Их набор инструментов включает фреймворк загрузчика ShadowPad, CDBLoader для полезных нагрузок, размещаемых в памяти, и RAT FinalDraft для долгосрочного шпионажа. Возможности FinalDraft's включают внутреннее проксирование и управление сетевым трафиком с помощью Microsoft Graph API. Операции группы предполагают стратегию, направленную на превращение жертв в расширение их сети атак, с признаками совпадения с другими злоумышленниками, такими как RudePanda.

#ParsedReport #CompletenessMedium
16-12-2025

French Interior Ministry Email Servers Compromised in Targeted Cyberattack

https://www.secureblink.com/cyber-security-news/french-interior-ministry-email-servers-compromised-in-targeted-cyberattack

Report completeness: Medium

Actors/Campaigns:
Fancy_bear

Threats:
Credential_harvesting_technique

Victims:
French interior ministry, Government sector, Diplomatic sector

Industry:
Government

Geo:
French, America, Russia

CVEs:
CVE-2020-35730 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- roundcube webmail (<1.2.13, <1.3.16, <1.4.10)

CVE-2020-12641 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- roundcube webmail (<1.2.10, <1.3.11, <1.4.4)


TTPs:
Tactics: 9
Technics: 5

IOCs:
Domain: 1

Soft:
Roundcube

Algorithms:
base64

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В декабре 2025 года, Министерство внутренних дел Франции пережила нацелен кибератаки, приписываемые APT28, которые были взломаны серверы электронной почты и конфиденциальных файлов. Атака совпала с apt28's APT28 сосредоточился на использовании уязвимостей в инфраструктуре электронной почты, особенно на серверах с почтой. Никаких конкретных вредоносное ПО разглашается, но исторические данные свидетельствуют о том, методический подход, выделяя текущие риски для национальной безопасности от таких нарушений.
-----

В декабре 2025 года Министерство внутренних дел Франции столкнулось с нацеленной кибератакой, которая привела к компрометации его почтовых серверов. Вторжение было обнаружено в ночь с 11 на 12 декабря, что побудило министра внутренних дел Лорана Нуэза публично признать факт взлома 13 декабря, где он подтвердил, что злоумышленники получили доступ к конфиденциальным файлам. В последующих отчетах от 15 декабря подробно описывалась реакция министерства на инцидент, включая начало расследования. Исторические записи указывают на то, что это нарушение согласуется с тактикой группы APT28, известной своими длительными и нацеленными киберкампаниями против различных французских организаций, особенно тех, которые используют почтовые серверы Roundcube.

Хотя конкретное вредоносное ПО, связанное с этим инцидентом, пока не разглашается, эксперты могут сделать вывод о методологии атаки на основе известного поведения APT28. Группа продемонстрировала последовательный набор тактик, методов и процедур (TTP) в предыдущих проектах, уделяя особое внимание использованию уязвимостей в инфраструктурах электронной почты.

Чтобы противостоять таким угрозам, это очень важно для защитников, особенно в правительственных и дипломатических сферах, чтобы усилить свою бдительность в отношении их систем электронной почты. Немедленные действия должны включать тщательный аудит всех подключенных к Интернету серверов Roundcube на предмет выявления признаков компрометации и потенциальной изоляции уязвимых экземпляров для криминалистического анализа. Кроме того, крайне важно обеспечить сброс паролей для всех учетных записей привязано к пораженным системам электронной почты и применять срочные патчи безопасности для работы с почтой, наряду с любыми соответствующими базовым программным обеспечением, таким как PHP и веб-сервера. Особое внимание должно быть уделено решению известно авианосца, что APT28 ранее уже эксплуатировали.

Последствия этого нарушения являются существенными, так как Министерство внутренних дел Франции ручки важнейших аспектов национальной безопасности, в том числе полиции и иммиграционным контролем. Кибератаки классифицируется как высокий риск степени тяжести, подчеркивая актуальность для организаций на аналогичных должностях, чтобы укрепить их кибербезопасность кибербезопасность для защиты конфиденциальных операций, и данные граждан от будущих вторжений.

#ParsedReport #CompletenessHigh
16-12-2025

BlindEagle Targets Colombian Government Agency with Caminho and DCRAT

https://www.zscaler.com/blogs/security-research/blindeagle-targets-colombian-government-agency-caminho-and-dcrat

Report completeness: High

Actors/Campaigns:
Blindeagle (motivation: cyber_criminal)
Hive0131

Threats:
Caminho
Dcrat
Spear-phishing_technique
Steganography_technique
Vmdetectloader
Xworm_rat
Junk_code_technique
Process_hollowing_technique
Asyncrat
Remcos_rat
Amsi_bypass_technique
Smuggling_technique
Process_injection_technique

Victims:
Colombian government agency, Government sector

Industry:
Government, E-commerce

Geo:
Swedish, Brazilian, Colombian, Portuguese, Colombia, America

TTPs:
Tactics: 1
Technics: 22

IOCs:
File: 4
Url: 2
IP: 24
Hash: 7

Soft:
Discord

Algorithms:
aes-256, md5, sha1, base64, sha256

Functions:
int_to_char, chr, Create

Win API:
ShowWindow

Win Services:
WebClient

Languages:
python, javascript, powershell

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 1, dump: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В сентябре 2025 года южноамериканский злоумышленник BlindEagle запустил кампанию spear phishing, направленную против Министерства торговли Колумбии, используя скомпрометированную учетную запись для отправки электронных писем с вредоносным вложением. В атаке использовался подход без использования файлов, включающий последовательность фрагментов JavaScript и команд PowerShell для развертывания Caminho, загрузчика вредоносного ПО, который впоследствии установил DCRAT, троян удаленного доступа, известный Регистрацией нажатий клавиш и уклонением от обнаружения с помощью модификации AMSI. Эта кампания демонстрирует продвинутую тактику уклонения, включая Стеганографию, запутывание и использование законных сервисов для размещения вредоносного ПО.
-----

В сентябре 2025 года Zscaler ThreatLabZ сообщил о кампании spear phishing, приписываемой южноамериканскому злоумышленнику BlindEagle, нацеленной на колумбийское правительственное агентство при Министерстве торговли, промышленности и туризма (MCIT). Операция началась с электронного письма с фишингом, отправленного со взломанной учетной записи в агентстве, предназначенного для того, чтобы казаться законным и использовать доверие получателей. В электронном письме содержался мошеннический веб-портал, который имитировал официальный ресурс, используя дизайн на юридическую тематику, чтобы принудительно побудить пользователей открыть вложение.

При взаимодействии с вложением была запущена последовательность атаки без использования файлов, включающая несколько фрагментов JavaScript, за которыми следовала команда PowerShell. Эта команда инициировала загрузку Caminho, загрузчика вредоносного ПО, который, как было установлено, находится в обращении с середины 2025 года. Появление Caminho знаменует собой сдвиг в тактике BlindEagle's от использования отдельных штаммов вредоносного ПО к использованию многоуровневого потока атак. После установки Caminho кульминацией атаки стало развертывание DCRAT — троянца удаленного доступа с открытым исходным кодом (RAT). DCRAT предоставляет такие функции, как Регистрация нажатий клавиш и доступ к диску, и известен своей функцией уклонения от обнаружения с помощью модификации интерфейса сканирования вредоносных программ Microsoft (AMSI).

Цепочка атак включает в себя сложные методы уклонения, такие как использование скриптов в памяти, Стеганография для сокрытия Caminho внутри изображения в формате PNG и разработка законных интернет-сервисов, таких как Discord, для размещения вредоносного ПО. Методы BlindEagle также обфускация JavaScript и PowerShell команды, чтобы увеличить шансы на успешное выполнение снижая механизмов обнаружения.

ThreatLabZ связал эту операцию с BlindEagle на основе различных показателей, включая схемы работы и конкретное вредоносное ПО, включенное в цепочку. Кампания отражает расширенную угрозу, постоянно нацеливаемую на колумбийские учреждения, что требует постоянного мониторинга и оборонительных маневров для смягчения потенциального воздействия на нацеленные учреждения.

#ParsedReport #CompletenessHigh
15-12-2025

Defending against the CVE-2025-55182 (React2Shell) vulnerability in React Server Components

https://www.microsoft.com/en-us/security/blog/2025/12/15/defending-against-the-cve-2025-55182-react2shell-vulnerability-in-react-server-components/

Report completeness: High

Threats:
React2shell_vuln
Cobalt_strike_tool
Meshagent_tool
Vshell
Etherrat
Snowlight
Shadowpad
Xmrig_miner
Trufflehog_tool
Trojan:js/cve-2025-55182.a
Trojan:vbs/cve-2025-55182.da
Lolbin_technique
Bitsadmin_tool

CVEs:
CVE-2025-55182 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- facebook react (19.0.0, 19.1.0, 19.1.1, 19.2.0)

CVE-2025-66478 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown


TTPs:
Tactics: 6
Technics: 0

IOCs:
File: 7
Command: 1
Hash: 18
Url: 19
IP: 6
Domain: 10

Soft:
Microsoft Defender, Microsoft Defender for Endpoint, Linux, trycloudflare, OpenAI, Azure App Service Microsoft Defender for Endpoint, Node.js, Azure App Service, macOS, curl, have more...

Algorithms:
base64, sha256

Win API:
arc

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Уязвимость CVE-2025-55182, или React2Shell, является важнейшим удаленное выполнение кода код в серверных компонентах React и фреймворки, такие как Next.js с CVSS оценку 10.0. Это позволяет злоумышленникам выполнять произвольный код на серверах с помощью вредоносного HTTP-запроса, создавая значительные риски в корпоративных настройках, где широко используется React. Эксплуатация воздействие зависит от конфигурации безопасности контейнера, усилив беспокойство по поводу возможного бокового движения внутри облачных сред.
-----

CVE-2025-55182, известная как React2Shell, представляет собой критическую уязвимость для Удаленного Выполнения Кода (RCE), которая затрагивает серверные компоненты React и связанные с ними фреймворки, такие как Next.js . Ему был присвоен балл CVSS 10,0, что делает его крайне тяжелым. Уязвимость позволяет злоумышленникам выполнять произвольный код на уязвимых серверах с помощью одного вредоносного HTTP-запроса. Это особенно важно, поскольку React широко распространен в корпоративных средах, а телеметрия Microsoft Defender показывает, что десятки тысяч устройств во многих организациях используют React или приложения на основе React. Некоторые из этих приложений развертываются внутри контейнеров, и воздействие на хост-систему в значительной степени зависит от конфигураций безопасности контейнера.

Для борьбы с использованием CVE-2025-55182 корпорация Майкрософт усовершенствовала свою систему обнаружения во всех операционных системах для Microsoft Defender для конечных пользователей, предоставляя оповещения о действиях, связанных с этой уязвимостью. Эти предупреждения являются частью механизма автоматического прерывания атак, предназначенного для эффективного предотвращения попыток эксплуатации. Кроме того, Microsoft Defender for Cloud также был обновлен для поддержки обнаружения этой уязвимости с помощью безагентного сканирования контейнеров и облачных виртуальных машин, что позволяет организациям лучше управлять своей системой безопасности.

Организации, использующие Microsoft Defender XDR, могут получать доступ к отчетам threat analytics, которые содержат информацию о действиях злоумышленников, вредоносном поведении и рекомендуемых действиях по устранению связанных угроз. Цель этих отчетов - предоставить пользователям самую свежую информацию о том, как предотвращать, смягчать последствия потенциальных атак или реагировать на них.

Кроме того, Microsoft Security Exposure Management предлагает автоматический анализ путей атак, который определяет незащищенные ресурсы и потенциальные маршруты угроз, выделяя уязвимые облачные вычислительные ресурсы, подверженные уязвимостям RCE, таким как React2Shell. Этот анализ служит для иллюстрации возможных маршрутов перемещения внутри компании, которые злоумышленники могут использовать в средах на различных облачных платформах, включая Azure, AWS и GCP, гарантируя, что организации смогут принимать упреждающие меры для защиты своих активов от этих угроз.

#ParsedReport #CompletenessMedium
15-12-2025

LLMs & Ransomware \| An Operational Accelerator, Not a Revolution

https://www.sentinelone.com/labs/llms-ransomware-an-operational-accelerator-not-a-revolution/

Report completeness: Medium

Actors/Campaigns:
Gentlemen_ransomware
Shinyhunters
Dragonforce

Threats:
Lockbit
Conti
Revil
Termite
Punisher
Obscura
Babuk2
Qilin_ransomware
Blackcat
Promptlock
Quietvault
React2shell_vuln
Seo_poisoning_technique
Amos_stealer
Spamgpt_tool

Victims:
Ransomware victims, Macos users, Linux users

Industry:
Healthcare, Financial

Geo:
Japanese, German, Spanish, Turkish, Russian

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1059, T1068, T1102, T1190, T1204, T1486, T1566, T1583, T1587, have more...

Soft:
Ollama, Claude, macOS, Linux

Wallets:
metamask, electrum, trezor, exodus_wallet, solflare

Algorithms:
base64

Functions:
AI-augmented

Languages:
javascript

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Большие языковые модели (LLM) все чаще используются операторами программ-вымогателей для повышения операционной эффективности без изменения основной тактики, облегчая такие задачи, как фишинг и создание уведомлений о выкупе на нескольких языках. Злоумышленники часто предпочитают автономные LLM с открытым исходным кодом, чтобы избежать обнаружения, используя их для автоматизации принятия решений в схемах вымогательства и улучшения возможностей таргетинга. Расширяющееся использование LLMS в киберпреступности, включая оперативную smuggling и сложные методы ведения переговоров, создает значительные проблемы в поддержании защиты от кибербезопасности.
-----

SentinelLabs подчеркивает, что большие языковые модели (LLM) повышают эффективность операций программ-вымогателей без фундаментального изменения их основных методов. Участие LLM в первую очередь ускоряет различные этапы жизненного цикла программ-вымогателей, включая разведку и фишинг, а также позволяет поддерживать многоязычную связь с потенциальными жертвами. Однако это не приводит к каким-либо существенным изменениям в тактике или технике. Примечательно, что злоумышленники предпочитают автономные модели с открытым исходным кодом, подобные моделям Ollama, чтобы обойти ограничения, налагаемые крупными поставщиками LLM.

Операторы программ-вымогателей все чаще внедряют стандартные корпоративные рабочие процессы, используя LLMS для составления фишингов -сообщений и заметок о выкупе на языке жертвы, тем самым улучшая свои возможности таргетинга. Это отражает то, как законные предприятия используют LLMS для обработки данных, подчеркивая тревожную конвергенцию методологий. Кроме того, вредоносные задачи часто разбиваются на, казалось бы, безобидные компоненты, что позволяет акторам снизить риски обнаружения, выполняя запросы в нескольких сеансах и моделях, прежде чем объединять выходные данные в автономном режиме.

Примером автоматизации в программах-вымогателях может служить кампания, в которой использовался код Claude для автономной обработки различных аспектов схемы вымогательства, отбора данных для эксфильтрации и установления суммы выкупа на основе анализа, выполненного моделью. Другой инновационный, но злонамеренный вариант использования связан с вредоносным ПО, таким как QUIETVAULT, которое использует локально размещенные инструменты командной строки искусственного интеллекта для расширения возможностей кражи данных, осуществляя поиск конфиденциальной информации в файлах жертв путем внедрения вредоносных подсказок.

В области разработки эксплойтов быстрое распространение PoC-эксплойта для уязвимости под названием React2Shell, созданного LLM, подчеркивает риск дезинформации, поскольку многие такие эксплойты могут быть скорее спекулятивными, чем применимыми. На фронте социальной инженерии акторы используют LLM для создания качественного контента, который вводит пользователей в заблуждение, что приводит к установке вредоносного ПО.

Забегая вперед, можно сказать, что интеграция LLM в программы-вымогатели, вероятно, будет развиваться, превращая в товар такие методы, как "быстрая smuggling", когда злоумышленники используют несколько моделей, чтобы избежать обнаружения. Это позволит использовать сложные переговорные агенты и ускорит разработку и развертывание вредоносного ПО. Команды программ-вымогателей выиграют от повышения операционной эффективности и расширения возможностей, что может привести к более точному выявлению целей и более разрушительным стратегиям вымогательства.

По мере того как злоумышленники переходят на автономные LLM, они могут избежать пристального внимания, присущего основным моделям, что усложняет защитные меры и снижает видимость, которую обеспечивают существующие ограждения. Последствия внедрения LLM в сфере киберпреступности указывают на острую необходимость в бдительности и адаптации специалистов по кибербезопасности для противодействия более гибкому и способному противнику.

#ParsedReport #CompletenessLow
16-12-2025

Cryptomining campaign targeting Amazon EC2 and Amazon ECS

https://aws.amazon.com/blogs/security/cryptomining-campaign-targeting-amazon-ec2-and-amazon-ecs/

Report completeness: Low

Actors/Campaigns:
Yenik65958

Victims:
Aws customers, Cloud infrastructure users

Geo:
Asia

TTPs:
Tactics: 4
Technics: 0

IOCs:
Domain: 4

Soft:
GuardDuty, Docker, AWS Fargate, FARGATE

Functions:
GetServiceQuota, CreateServiceLinkedRole, CreateRole, CreateService, CreateLaunchTemplate, CreateAutoScalingGroup, CreateFunctionUrlConfig, CreateUser, CreateAccessKey, CreateLoginProfile, have more...

Languages:
python

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4