CTT Report Hub
#ParsedReport #CompletenessLow 22-12-2025 GamaWiper Explained: Gamaredon s "New" Anti-Analysis Weapon https://blog.synapticsystems.de/gamawiper-explained-gamaredon-anti-analysis/ Report completeness: Low Actors/Campaigns: Gamaredon Pterodograph Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Gamaredon активизировала свои кибероперации против Украины с помощью кампании PterodoGraph, представив новый инструмент антианализа под названием GamaWiper, чтобы помешать проверке вредоносного ПО. Их метод заражения включает в себя развертывание образца Pterodo, который сохраняется в украинских системах, при этом используется многоступенчатая система доставки полезной нагрузки с динамически создаваемыми HTTP-заголовками, чтобы избежать обнаружения. Кроме того, они часто меняют полезную нагрузку каждые один-три часа, что усложняет анализ и повышает их оперативную безопасность.
-----
Недавние действия группы Gamaredon указывают на возрождение их киберопераций, особенно сосредоточенных на Украине в рамках их кампании PterodoGraph. Это возобновление активности свидетельствует о значительных изменениях в их вредоносном ПО и методах атак, в частности, с внедрением нового инструмента антианализа под названием GamaWiper. Этот инструмент предназначен для нацеливания и нейтрализации сред анализа, в первую очередь путем нарушения их функциональности и предотвращения углубленного изучения вредоносного ПО.
Процесс заражения остается аналогичным предыдущим итерациям. После извлечения и запуска архива RAR вредоносное ПО приводит к установке образца Pterodo, который повторно запускается при перезагрузке системы, но только в системах, геолокированных в Украине. Такой нацеленный подход позволяет Gamaredon концентрировать свои усилия на конкретных регионах, что делает их атаки более эффективными.
Начальный загрузчик для этой операции, получивший название GamaLoad, использует сложную многоступенчатую систему доставки полезной нагрузки, которая использует динамически создаваемые URL-адреса и заголовки для обеспечения устойчивости и постоянного доступа к полезной нагрузке второго этапа. Эта устойчивость дополнительно продемонстрирована в их архитектуре командования и контроля (C2), которая сохраняет все обнаруженные серверы C2 в качестве постоянных записей для дальнейшего обмена данными.
Одной из примечательных тактик, используемых Gamaredon, является манипулирование заголовком Content-Length в HTTP-запросах. Этот заголовок стратегически используется не только для идентификации и отслеживания жертв, но и для уклонения от аналитических установок, особенно тех, которые работают через прокси. Наблюдаемая манипуляция заголовком предполагает преднамеренный метод ограничения обнаружения фреймворками анализа безопасности.
Кроме того, Gamaredon демонстрирует надежную стратегию ротации полезной нагрузки, меняя ее примерно каждые один-три часа. Такая тактика снижает вероятность успешного изучения аналитиком их вредоносного ПО и помогает поддерживать общую секретность и эффективность их операций. В целом, эти события указывают на заметное усиление оперативных мер безопасности Gamaredon, что еще больше усложняет задачу специалистов по кибербезопасности, работающих над противодействием их деятельности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Gamaredon активизировала свои кибероперации против Украины с помощью кампании PterodoGraph, представив новый инструмент антианализа под названием GamaWiper, чтобы помешать проверке вредоносного ПО. Их метод заражения включает в себя развертывание образца Pterodo, который сохраняется в украинских системах, при этом используется многоступенчатая система доставки полезной нагрузки с динамически создаваемыми HTTP-заголовками, чтобы избежать обнаружения. Кроме того, они часто меняют полезную нагрузку каждые один-три часа, что усложняет анализ и повышает их оперативную безопасность.
-----
Недавние действия группы Gamaredon указывают на возрождение их киберопераций, особенно сосредоточенных на Украине в рамках их кампании PterodoGraph. Это возобновление активности свидетельствует о значительных изменениях в их вредоносном ПО и методах атак, в частности, с внедрением нового инструмента антианализа под названием GamaWiper. Этот инструмент предназначен для нацеливания и нейтрализации сред анализа, в первую очередь путем нарушения их функциональности и предотвращения углубленного изучения вредоносного ПО.
Процесс заражения остается аналогичным предыдущим итерациям. После извлечения и запуска архива RAR вредоносное ПО приводит к установке образца Pterodo, который повторно запускается при перезагрузке системы, но только в системах, геолокированных в Украине. Такой нацеленный подход позволяет Gamaredon концентрировать свои усилия на конкретных регионах, что делает их атаки более эффективными.
Начальный загрузчик для этой операции, получивший название GamaLoad, использует сложную многоступенчатую систему доставки полезной нагрузки, которая использует динамически создаваемые URL-адреса и заголовки для обеспечения устойчивости и постоянного доступа к полезной нагрузке второго этапа. Эта устойчивость дополнительно продемонстрирована в их архитектуре командования и контроля (C2), которая сохраняет все обнаруженные серверы C2 в качестве постоянных записей для дальнейшего обмена данными.
Одной из примечательных тактик, используемых Gamaredon, является манипулирование заголовком Content-Length в HTTP-запросах. Этот заголовок стратегически используется не только для идентификации и отслеживания жертв, но и для уклонения от аналитических установок, особенно тех, которые работают через прокси. Наблюдаемая манипуляция заголовком предполагает преднамеренный метод ограничения обнаружения фреймворками анализа безопасности.
Кроме того, Gamaredon демонстрирует надежную стратегию ротации полезной нагрузки, меняя ее примерно каждые один-три часа. Такая тактика снижает вероятность успешного изучения аналитиком их вредоносного ПО и помогает поддерживать общую секретность и эффективность их операций. В целом, эти события указывают на заметное усиление оперативных мер безопасности Gamaredon, что еще больше усложняет задачу специалистов по кибербезопасности, работающих над противодействием их деятельности.
#ParsedReport #CompletenessHigh
22-12-2025
Indian Income Tax-Themed Phishing Campaign Targets Local Businesses
https://www.seqrite.com/blog/indian-income-tax-themed-phishing-campaign-targets-local-businesses/
Report completeness: High
Threats:
Spear-phishing_technique
Asyncrat
Industry:
Government, Financial
Geo:
India, Indian, Chinese, Colombian, China
TTPs:
Tactics: 7
Technics: 11
IOCs:
File: 8
Url: 1
IP: 8
Hash: 2
Soft:
Outlook, Windows service, NSIS installer, curl, Sysinternals
Algorithms:
md5, zip
Platforms:
x86
22-12-2025
Indian Income Tax-Themed Phishing Campaign Targets Local Businesses
https://www.seqrite.com/blog/indian-income-tax-themed-phishing-campaign-targets-local-businesses/
Report completeness: High
Threats:
Spear-phishing_technique
Asyncrat
Industry:
Government, Financial
Geo:
India, Indian, Chinese, Colombian, China
TTPs:
Tactics: 7
Technics: 11
IOCs:
File: 8
Url: 1
IP: 8
Hash: 2
Soft:
Outlook, Windows service, NSIS installer, curl, Sysinternals
Algorithms:
md5, zip
Platforms:
x86
Blogs on Information Technology, Network & Cybersecurity | Seqrite
Indian Income Tax-Themed Phishing Campaign Targets Local Businesses
<p>Introduction Over the past few months, tax-themed phishing and malware campaigns have surged, particularly during and after the Income Tax Return (ITR) filing season. With ongoing public discussions around refund timelines, these scams appear more credible…
CTT Report Hub
#ParsedReport #CompletenessHigh 22-12-2025 Indian Income Tax-Themed Phishing Campaign Targets Local Businesses https://www.seqrite.com/blog/indian-income-tax-themed-phishing-campaign-targets-local-businesses/ Report completeness: High Threats: Spear-p…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В последнее время фишинг кампании, ориентированной на индийских предприятий использует целевой фишинг-писем, замаскированных под официальные доходы Налоговый департамент по связям с PDF, который направляет потерпевших на поддельный портал соответствия. Вредоносный PDF-файл запускает принудительную загрузку двухэтапного установщика NSIS, который запускается автоматически, устанавливает дополнительные вредоносные компоненты и регистрирует систему на нескольких серверах C2 для отслеживания. Самое вредоносное ПО выполняет обнаружение системы, общается через HTTP/HTTPS и нестандартные порты, и немедленно доставляет данные обратно через веб-сервисы.
-----
Недавно в Индии появилась кампания по фишингу, посвященная подоходному налогу, которая была основана на сроках подачи налоговых деклараций (ITR). В этой кампании используются первоначальные электронные письма с Целевым фишингом, замаскированные под официальные сообщения Департамента подоходного налога, что эффективно заманивает местные предприятия в ловушку.
Атака начинается с поддельного электронного письма, содержащего вложение в формате PDF с надписью "Review Annexure.pdf", которое направляет получателей на поддельный "Портал соответствия требованиям". PDF-файл содержит вредоносный URL-адрес, который запускает загрузку при обращении к нему. Этот метод принудительной загрузки становится все более распространенным среди киберпреступников, позволяя им запускать вредоносное ПО, как только жертва посещает вредоносный сайт.
Полезная нагрузка состоит из двухэтапного установщика, использующего NSIS (Nullsoft Scriptable Install System). Изначально программа установки работает бесшумно, распаковывая компоненты во временный каталог без ведома пользователя. Второй этап включает в себя пакет на основе китайского графического интерфейса, который далее выполняется, устанавливая вредоносные компоненты на компьютер жертвы. Ключевым аспектом этой кампании является механизм закрепления; после сбора системной информации вредоносное ПО подключается к нескольким серверам управления (C2), регистрируя скомпрометированный компьютер с уникальным идентификатором для отслеживания.
Методы, используемые в этой кампании, согласуются с различными тактиками MITRE ATT&CK, такими как фишинг для получения первоначального доступа и Выполнение с участием пользователя удаленного исполняемого файла. Использование установщиков с цифровой подписью повышает легитимность вредоносного ПО, позволяя ему обходить меры безопасности. В качестве тактики обхода защиты загрузчик удаляет удаленные файлы после выполнения, а вредоносные компоненты используют обфускацию, чтобы скрыть свое присутствие.
Как только вредоносное ПО запускается, оно проводит тщательное обнаружение системы путем сбора данных об операционной системе и приложениях. Связь с инфраструктурой C2 осуществляется по протоколам HTTP и HTTPS, но также используются Нестандартные порты для поддержания подключения. Важно отметить, что собранные данные отфильтровываются обратно через Веб-службы в рамках продолжающейся вредоносной операции.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В последнее время фишинг кампании, ориентированной на индийских предприятий использует целевой фишинг-писем, замаскированных под официальные доходы Налоговый департамент по связям с PDF, который направляет потерпевших на поддельный портал соответствия. Вредоносный PDF-файл запускает принудительную загрузку двухэтапного установщика NSIS, который запускается автоматически, устанавливает дополнительные вредоносные компоненты и регистрирует систему на нескольких серверах C2 для отслеживания. Самое вредоносное ПО выполняет обнаружение системы, общается через HTTP/HTTPS и нестандартные порты, и немедленно доставляет данные обратно через веб-сервисы.
-----
Недавно в Индии появилась кампания по фишингу, посвященная подоходному налогу, которая была основана на сроках подачи налоговых деклараций (ITR). В этой кампании используются первоначальные электронные письма с Целевым фишингом, замаскированные под официальные сообщения Департамента подоходного налога, что эффективно заманивает местные предприятия в ловушку.
Атака начинается с поддельного электронного письма, содержащего вложение в формате PDF с надписью "Review Annexure.pdf", которое направляет получателей на поддельный "Портал соответствия требованиям". PDF-файл содержит вредоносный URL-адрес, который запускает загрузку при обращении к нему. Этот метод принудительной загрузки становится все более распространенным среди киберпреступников, позволяя им запускать вредоносное ПО, как только жертва посещает вредоносный сайт.
Полезная нагрузка состоит из двухэтапного установщика, использующего NSIS (Nullsoft Scriptable Install System). Изначально программа установки работает бесшумно, распаковывая компоненты во временный каталог без ведома пользователя. Второй этап включает в себя пакет на основе китайского графического интерфейса, который далее выполняется, устанавливая вредоносные компоненты на компьютер жертвы. Ключевым аспектом этой кампании является механизм закрепления; после сбора системной информации вредоносное ПО подключается к нескольким серверам управления (C2), регистрируя скомпрометированный компьютер с уникальным идентификатором для отслеживания.
Методы, используемые в этой кампании, согласуются с различными тактиками MITRE ATT&CK, такими как фишинг для получения первоначального доступа и Выполнение с участием пользователя удаленного исполняемого файла. Использование установщиков с цифровой подписью повышает легитимность вредоносного ПО, позволяя ему обходить меры безопасности. В качестве тактики обхода защиты загрузчик удаляет удаленные файлы после выполнения, а вредоносные компоненты используют обфускацию, чтобы скрыть свое присутствие.
Как только вредоносное ПО запускается, оно проводит тщательное обнаружение системы путем сбора данных об операционной системе и приложениях. Связь с инфраструктурой C2 осуществляется по протоколам HTTP и HTTPS, но также используются Нестандартные порты для поддержания подключения. Важно отметить, что собранные данные отфильтровываются обратно через Веб-службы в рамках продолжающейся вредоносной операции.
#ParsedReport #CompletenessMedium
23-12-2025
From cheats to exploits: Webrat spreading via GitHub
https://securelist.com/webrat-distributed-via-github/118555/
Report completeness: Medium
Threats:
Webrat
Victims:
Gamers, Software piracy users, Information security students, Inexperienced security professionals, Information security specialists
CVEs:
CVE-2025-59230 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.21161)
- microsoft windows_10_1607 (<10.0.14393.8519)
- microsoft windows_10_1809 (<10.0.17763.7919)
- microsoft windows_10_21h2 (<10.0.19044.6456)
- microsoft windows_10_22h2 (<10.0.19045.6456)
have more...
CVE-2025-59295 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.21161)
- microsoft windows_10_1607 (<10.0.14393.8519)
- microsoft windows_10_1809 (<10.0.17763.7919)
- microsoft windows_10_21h2 (<10.0.19044.6456)
- microsoft windows_10_22h2 (<10.0.19045.6456)
have more...
CVE-2025-10294 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 3
IOCs:
File: 1
Hash: 3
Domain: 1
Url: 17
Soft:
Roblox, Windows Defender, Telegram, Discord, Steam
Algorithms:
zip, md5
Languages:
python, rust
23-12-2025
From cheats to exploits: Webrat spreading via GitHub
https://securelist.com/webrat-distributed-via-github/118555/
Report completeness: Medium
Threats:
Webrat
Victims:
Gamers, Software piracy users, Information security students, Inexperienced security professionals, Information security specialists
CVEs:
CVE-2025-59230 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.21161)
- microsoft windows_10_1607 (<10.0.14393.8519)
- microsoft windows_10_1809 (<10.0.17763.7919)
- microsoft windows_10_21h2 (<10.0.19044.6456)
- microsoft windows_10_22h2 (<10.0.19045.6456)
have more...
CVE-2025-59295 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.21161)
- microsoft windows_10_1607 (<10.0.14393.8519)
- microsoft windows_10_1809 (<10.0.17763.7919)
- microsoft windows_10_21h2 (<10.0.19044.6456)
- microsoft windows_10_22h2 (<10.0.19045.6456)
have more...
CVE-2025-10294 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 3
IOCs:
File: 1
Hash: 3
Domain: 1
Url: 17
Soft:
Roblox, Windows Defender, Telegram, Discord, Steam
Algorithms:
zip, md5
Languages:
python, rust
Securelist
Webrat, disguised as exploits, is spreading via GitHub repositories
We dissect the new Webrat campaign where the Trojan spreads via GitHub repositories, masquerading as critical vulnerability exploits to target cybersecurity researchers.
CTT Report Hub
#ParsedReport #CompletenessMedium 23-12-2025 From cheats to exploits: Webrat spreading via GitHub https://securelist.com/webrat-distributed-via-github/118555/ Report completeness: Medium Threats: Webrat Victims: Gamers, Software piracy users, Information…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В начале 2025 года появилось семейство вредоносных ПО под названием Webrat, которое переключило свое внимание с геймеров на неопытных специалистов по безопасности и студентов. Распространение в основном происходило через GitHub, где вредоносное ПО было замаскировано под эксплойты для уязвимостей высокой степени серьезности, привлекая жертв, заинтересованных в кибербезопасности. Эта стратегия подчеркивает продуманные усилия злоумышленника, направленные на то, чтобы использовать любопытство новичков в этой области, увеличивая шансы заражения среди менее бдительных людей.
-----
В начале 2025 года было обнаружено новое семейство вредоносных ПО под названием Webrat, которое эволюционировало от нацеливания на геймеров с помощью читов для популярных игр, таких как Rust, Counter-Strike и Roblox, к более широкой аудитории, в которую теперь входят неопытные специалисты по информационной безопасности и студенты. Этот сдвиг в таргетинге указывает на то, что злоумышленник стремится скомпрометировать лиц, которым может не хватать опыта для распознавания злонамеренных намерений вредоносного ПО.
Исследование Webrat показало, что его распространение в основном осуществлялось через репозитории GitHub, по крайней мере, с сентября 2025 года. Кампания использовала несколько стратегий для привлечения жертв, включая использование общеизвестных уязвимостей, которые часто обсуждались в рекомендациях по безопасности. Примечательно, что вредоносное ПО было замаскировано под эксплойты и доказательства концепций (POCS) для уязвимостей высокой степени серьезности, используя любопытство и интерес менее опытных людей в области информационной безопасности.
Оперативная тактика этой кампании означать, что вас пытаются использовать знания, поведение, ориентированное на поиск новых участников безопасности. А Webrat ранее в качестве игры, прохождение и трещины программного обеспечения, его нынешнем виде в качестве средства эксплуатации предполагает обдуманный шаг пути заражения исследователей и студентов, которые могли бы быть более вероятно, чтобы взаимодействовать с таким кодом. Однако, важно отметить, что грамотные специалисты по безопасности обычно работают в безопасных условиях, эффективно изолируя себя от потенциальных угроз, анализируя такие подвиги без доступа к важной информации или системных периферийных устройств, таких как веб-камеры и микрофоны.
Эволюция тактики распространения Webrat подчеркивает стратегию злоумышленника по манипулированию мотивами отдельных лиц в сфере кибербезопасности. Переупаковывая вредоносное ПО таким образом, чтобы оно привлекало тех, кто заинтересован в исследовании уязвимостей в области кибербезопасности, повышается вероятность успешного заражения, особенно среди тех, кто менее бдителен или осведомлен о типичных признаках вредоносного ПО. По мере развертывания кампании особый подход к маскировке вредоносного ПО не только подчеркивает необходимость повышения осведомленности среди начинающих специалистов по безопасности, но и служит примером растущего сближения между общими переносчиками инфекции и более технической базой пользователей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В начале 2025 года появилось семейство вредоносных ПО под названием Webrat, которое переключило свое внимание с геймеров на неопытных специалистов по безопасности и студентов. Распространение в основном происходило через GitHub, где вредоносное ПО было замаскировано под эксплойты для уязвимостей высокой степени серьезности, привлекая жертв, заинтересованных в кибербезопасности. Эта стратегия подчеркивает продуманные усилия злоумышленника, направленные на то, чтобы использовать любопытство новичков в этой области, увеличивая шансы заражения среди менее бдительных людей.
-----
В начале 2025 года было обнаружено новое семейство вредоносных ПО под названием Webrat, которое эволюционировало от нацеливания на геймеров с помощью читов для популярных игр, таких как Rust, Counter-Strike и Roblox, к более широкой аудитории, в которую теперь входят неопытные специалисты по информационной безопасности и студенты. Этот сдвиг в таргетинге указывает на то, что злоумышленник стремится скомпрометировать лиц, которым может не хватать опыта для распознавания злонамеренных намерений вредоносного ПО.
Исследование Webrat показало, что его распространение в основном осуществлялось через репозитории GitHub, по крайней мере, с сентября 2025 года. Кампания использовала несколько стратегий для привлечения жертв, включая использование общеизвестных уязвимостей, которые часто обсуждались в рекомендациях по безопасности. Примечательно, что вредоносное ПО было замаскировано под эксплойты и доказательства концепций (POCS) для уязвимостей высокой степени серьезности, используя любопытство и интерес менее опытных людей в области информационной безопасности.
Оперативная тактика этой кампании означать, что вас пытаются использовать знания, поведение, ориентированное на поиск новых участников безопасности. А Webrat ранее в качестве игры, прохождение и трещины программного обеспечения, его нынешнем виде в качестве средства эксплуатации предполагает обдуманный шаг пути заражения исследователей и студентов, которые могли бы быть более вероятно, чтобы взаимодействовать с таким кодом. Однако, важно отметить, что грамотные специалисты по безопасности обычно работают в безопасных условиях, эффективно изолируя себя от потенциальных угроз, анализируя такие подвиги без доступа к важной информации или системных периферийных устройств, таких как веб-камеры и микрофоны.
Эволюция тактики распространения Webrat подчеркивает стратегию злоумышленника по манипулированию мотивами отдельных лиц в сфере кибербезопасности. Переупаковывая вредоносное ПО таким образом, чтобы оно привлекало тех, кто заинтересован в исследовании уязвимостей в области кибербезопасности, повышается вероятность успешного заражения, особенно среди тех, кто менее бдителен или осведомлен о типичных признаках вредоносного ПО. По мере развертывания кампании особый подход к маскировке вредоносного ПО не только подчеркивает необходимость повышения осведомленности среди начинающих специалистов по безопасности, но и служит примером растущего сближения между общими переносчиками инфекции и более технической базой пользователей.
#ParsedReport #CompletenessLow
22-12-2025
Advent Of Configuration Extraction - Part 4: Turning capa Into A Configuration Extractor For TinyShell variant
https://blog.sekoia.io/advent-of-configuration-extraction-part-4-turning-capa-into-a-configuration-extractor-for-tinyshell-variant/
Report completeness: Low
Threats:
Tinyshell
Process_injection_technique
Victims:
Linux servers
ChatGPT TTPs:
T1027, T1059, T1071, T1105, T1140
IOCs:
Hash: 1
File: 21
Soft:
Linux
Algorithms:
rc4
Languages:
python
Platforms:
x86
Links:
have more...
22-12-2025
Advent Of Configuration Extraction - Part 4: Turning capa Into A Configuration Extractor For TinyShell variant
https://blog.sekoia.io/advent-of-configuration-extraction-part-4-turning-capa-into-a-configuration-extractor-for-tinyshell-variant/
Report completeness: Low
Threats:
Tinyshell
Process_injection_technique
Victims:
Linux servers
ChatGPT TTPs:
do not use without manual checkT1027, T1059, T1071, T1105, T1140
IOCs:
Hash: 1
File: 21
Soft:
Linux
Algorithms:
rc4
Languages:
python
Platforms:
x86
Links:
https://github.com/creaktive/tsh/tree/masterhttps://github.com/SEKOIA-IO/Community/blob/main/Configuration\_extractors/TShVariant.pyhave more...
Sekoia.io Blog
Advent Of Configuration Extraction – Part 4: Turning capa Into A Configuration Extractor For TinyShell variant
Learn how to extract TinyShell configuration data using capa, Capstone and Python to recover RC4-encrypted C2 settings from Linux malware.
CTT Report Hub
#ParsedReport #CompletenessLow 22-12-2025 Advent Of Configuration Extraction - Part 4: Turning capa Into A Configuration Extractor For TinyShell variant https://blog.sekoia.io/advent-of-configuration-extraction-part-4-turning-capa-into-a-configuration-extractor…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В статье подробно описывается облегченный бэкдор Linux, производный от TinySHell, который обеспечивает скрытый удаленный доступ с улучшенной скрытностью благодаря разделенному двоичному файлу ELF. Он оснащен сетевым компонентом для связи C2 с использованием пользовательского протокола аутентификации и метода шифрования RC4 для сокрытия данных конфигурации. Анализ включает в себя использование FLARE capa для статического обнаружения вызовов API и потока управления, а также Python extractor для эффективного восстановления ключей и извлечения данных конфигурации из зашифрованных компонентов вредоносного ПО.
-----
В статье обсуждаются технические детали, связанные с облегченным бэкдором Linux, производным от TinySHell с открытым исходным кодом, предназначенным для скрытого удаленного доступа к скомпрометированным системам. Этот вариант содержит разделенный двоичный файл ELF, лишенный идентифицируемых метаданных, что повышает его скрытность и эффективность при долгосрочном шпионаже. Вредоносное ПО использует сетевой компонент, который подключается к серверу управления (C2) через пользовательский протокол аутентификации и включает в себя модуль бэкдора, который может выполнять команды или устанавливать удаленную оболочку.
Важным аспектом анализа является использование FLARE capa, инструмента с открытым исходным кодом для обнаружения возможностей вредоносного ПО, который определяет поведение двоичного файла с помощью статического анализа. capa исследует различные исполняемые форматы, извлекая такие функции, как вызовы API и шаблоны потоков управления, и сопоставляет их с правилами YAML, которые описывают высокоуровневые функции, такие как Внедрение кода в процесс или закрепление.
Бэкдор скрывает свои строки, используя шифрование RC4, вызываемое несколько раз по всему двоичному файлу для доступа к данным конфигурации, таким как сведения C2. Из-за разделенной природы двоичного файла процесс извлечения становится сложным, поскольку во время анализа отсутствуют символы, указывающие на функции. В отчете подробно описан полный конвейер извлечения конфигурации с использованием capa, встроенного в экстрактор на основе Python, предназначенный для идентификации криптографических процедур в таких разделенных двоичных файлах.
Чтобы найти функцию расшифровки RC4, экстрактор использует пакет flare-capa Python. Процесс инициируется с помощью capa либо как автономного инструмента, либо как плагина в составе декомпилятора для определения контекста нацеленных функций. Например, проверяя представление FLARE-capa в IDA, инструмент извлечения соответствует предопределенным правилам, которые указывают на наличие RC4 PRGA, точно определяя адрес функции.
Экстрактор поддерживает эффективность, ограничивая загружаемые правила минимальным подмножеством, гарантируя при этом, что он по-прежнему эффективно функционирует. В процессе восстановления ключа экстрактор идентифицирует ключ на основе стека, созданный с помощью серии инструкций, которые помещают фрагменты строк в стек. Успешно обнаружив функцию RC4 и извлекая общий ключ шифрования, экстрактор может перечислять зашифрованные двоичные объекты, особенно те, которые содержат важные данные адреса C2. Эта методология иллюстрирует надежный метод анализа и извлечения конфигурации из вредоносного ПО, демонстрируя возможности инструмента capa в средах анализа вредоносного ПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В статье подробно описывается облегченный бэкдор Linux, производный от TinySHell, который обеспечивает скрытый удаленный доступ с улучшенной скрытностью благодаря разделенному двоичному файлу ELF. Он оснащен сетевым компонентом для связи C2 с использованием пользовательского протокола аутентификации и метода шифрования RC4 для сокрытия данных конфигурации. Анализ включает в себя использование FLARE capa для статического обнаружения вызовов API и потока управления, а также Python extractor для эффективного восстановления ключей и извлечения данных конфигурации из зашифрованных компонентов вредоносного ПО.
-----
В статье обсуждаются технические детали, связанные с облегченным бэкдором Linux, производным от TinySHell с открытым исходным кодом, предназначенным для скрытого удаленного доступа к скомпрометированным системам. Этот вариант содержит разделенный двоичный файл ELF, лишенный идентифицируемых метаданных, что повышает его скрытность и эффективность при долгосрочном шпионаже. Вредоносное ПО использует сетевой компонент, который подключается к серверу управления (C2) через пользовательский протокол аутентификации и включает в себя модуль бэкдора, который может выполнять команды или устанавливать удаленную оболочку.
Важным аспектом анализа является использование FLARE capa, инструмента с открытым исходным кодом для обнаружения возможностей вредоносного ПО, который определяет поведение двоичного файла с помощью статического анализа. capa исследует различные исполняемые форматы, извлекая такие функции, как вызовы API и шаблоны потоков управления, и сопоставляет их с правилами YAML, которые описывают высокоуровневые функции, такие как Внедрение кода в процесс или закрепление.
Бэкдор скрывает свои строки, используя шифрование RC4, вызываемое несколько раз по всему двоичному файлу для доступа к данным конфигурации, таким как сведения C2. Из-за разделенной природы двоичного файла процесс извлечения становится сложным, поскольку во время анализа отсутствуют символы, указывающие на функции. В отчете подробно описан полный конвейер извлечения конфигурации с использованием capa, встроенного в экстрактор на основе Python, предназначенный для идентификации криптографических процедур в таких разделенных двоичных файлах.
Чтобы найти функцию расшифровки RC4, экстрактор использует пакет flare-capa Python. Процесс инициируется с помощью capa либо как автономного инструмента, либо как плагина в составе декомпилятора для определения контекста нацеленных функций. Например, проверяя представление FLARE-capa в IDA, инструмент извлечения соответствует предопределенным правилам, которые указывают на наличие RC4 PRGA, точно определяя адрес функции.
Экстрактор поддерживает эффективность, ограничивая загружаемые правила минимальным подмножеством, гарантируя при этом, что он по-прежнему эффективно функционирует. В процессе восстановления ключа экстрактор идентифицирует ключ на основе стека, созданный с помощью серии инструкций, которые помещают фрагменты строк в стек. Успешно обнаружив функцию RC4 и извлекая общий ключ шифрования, экстрактор может перечислять зашифрованные двоичные объекты, особенно те, которые содержат важные данные адреса C2. Эта методология иллюстрирует надежный метод анализа и извлечения конфигурации из вредоносного ПО, демонстрируя возможности инструмента capa в средах анализа вредоносного ПО.
#ParsedReport #CompletenessLow
23-12-2025
From Email to Exfiltration: How Threat Actors Steal ADP Login and Personal Data
https://cofense.com/blog/from-email-to-exfiltration-how-threat-actors-steal-adp-login-and-personal-data
Report completeness: Low
Victims:
Adp users, Employees
ChatGPT TTPs:
T1056.003, T1204, T1566
IOCs:
Url: 1
23-12-2025
From Email to Exfiltration: How Threat Actors Steal ADP Login and Personal Data
https://cofense.com/blog/from-email-to-exfiltration-how-threat-actors-steal-adp-login-and-personal-data
Report completeness: Low
Victims:
Adp users, Employees
ChatGPT TTPs:
do not use without manual checkT1056.003, T1204, T1566
IOCs:
Url: 1
Cofense
From Email to Exfiltration: How Threat Actors Steal ADP
The Cofense Phishing Defense Center (PDC) recently observed a new phishing campaign imitating ADP, allowing the threat actor to gain access to employee accounts and steal sensitive information. To
CTT Report Hub
#ParsedReport #CompletenessLow 23-12-2025 From Email to Exfiltration: How Threat Actors Steal ADP Login and Personal Data https://cofense.com/blog/from-email-to-exfiltration-how-threat-actors-steal-adp-login-and-personal-data Report completeness: Low Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания фишинга, нацеленная на ADP, использовала тактику социальной инженерии, чтобы обманом заставить сотрудников раскрыть свои учетные данные для входа в систему. Вредоносные электронные письма имитируют законные сообщения ADP, позволяя злоумышленникам получать несанкционированный доступ к учетным записям сотрудников и извлекать конфиденциальную личную информацию. Этот инцидент иллюстрирует постоянную угрозу, исходящую от киберпреступников, сосредоточенных на утечке корпоративных данных с помощью изощренных методов фишинга.
-----
Недавняя кампания по фишингу, нацеленная на ADP, высветила методы, используемые злоумышленниками для проникновения в учетные записи сотрудников и извлечения конфиденциальных данных. Эта кампания использует тактику социальной инженерии, чтобы обманом заставить пользователей раскрыть свои учетные данные для входа в систему. Электронные письма с фишингом разработаны таким образом, чтобы максимально походить на законные сообщения от ADP, что увеличивает вероятность того, что ничего не подозревающие сотрудники будут взаимодействовать с вредоносным контентом.
Как только пользователь становится жертвой попытки фишинга, злоумышленник получает доступ к регистрационным данным сотрудника. Это нарушение не только позволяет злоумышленнику проникнуть в систему ADP, но и позволяет ему извлекать личные данные и другую конфиденциальную информацию, хранящуюся в скомпрометированной учетной записи. Последствия таких утечек данных могут быть серьезными, затрагивая как вовлеченных лиц, так и организацию в целом.
Эффективное обучение персонала и осведомленность играют решающую роль в защите от подобных фишинг-атак. Организациям рекомендуется принимать действенные программы обеспечения безопасности, которые обучают сотрудников о признании красные флаги, связанные с фишинг попытки. Подчеркивая важность проверки подлинности электронной почты и ссылки до вмешательства можно значительно снизить риск успешной эксплуатации.
Таким образом, кампания по фишингу, имитирующая ADP, подчеркивает эволюционирующую тактику киберпреступников в нацеливании на конфиденциальные корпоративные данные и подчеркивает необходимость проактивных стратегий защиты внутри организаций. Регулярные обновления информации об угрозах фишинга и передовых методах обеспечения безопасности могут помочь сотрудникам стать эффективной первой линией защиты от подобных киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания фишинга, нацеленная на ADP, использовала тактику социальной инженерии, чтобы обманом заставить сотрудников раскрыть свои учетные данные для входа в систему. Вредоносные электронные письма имитируют законные сообщения ADP, позволяя злоумышленникам получать несанкционированный доступ к учетным записям сотрудников и извлекать конфиденциальную личную информацию. Этот инцидент иллюстрирует постоянную угрозу, исходящую от киберпреступников, сосредоточенных на утечке корпоративных данных с помощью изощренных методов фишинга.
-----
Недавняя кампания по фишингу, нацеленная на ADP, высветила методы, используемые злоумышленниками для проникновения в учетные записи сотрудников и извлечения конфиденциальных данных. Эта кампания использует тактику социальной инженерии, чтобы обманом заставить пользователей раскрыть свои учетные данные для входа в систему. Электронные письма с фишингом разработаны таким образом, чтобы максимально походить на законные сообщения от ADP, что увеличивает вероятность того, что ничего не подозревающие сотрудники будут взаимодействовать с вредоносным контентом.
Как только пользователь становится жертвой попытки фишинга, злоумышленник получает доступ к регистрационным данным сотрудника. Это нарушение не только позволяет злоумышленнику проникнуть в систему ADP, но и позволяет ему извлекать личные данные и другую конфиденциальную информацию, хранящуюся в скомпрометированной учетной записи. Последствия таких утечек данных могут быть серьезными, затрагивая как вовлеченных лиц, так и организацию в целом.
Эффективное обучение персонала и осведомленность играют решающую роль в защите от подобных фишинг-атак. Организациям рекомендуется принимать действенные программы обеспечения безопасности, которые обучают сотрудников о признании красные флаги, связанные с фишинг попытки. Подчеркивая важность проверки подлинности электронной почты и ссылки до вмешательства можно значительно снизить риск успешной эксплуатации.
Таким образом, кампания по фишингу, имитирующая ADP, подчеркивает эволюционирующую тактику киберпреступников в нацеливании на конфиденциальные корпоративные данные и подчеркивает необходимость проактивных стратегий защиты внутри организаций. Регулярные обновления информации об угрозах фишинга и передовых методах обеспечения безопасности могут помочь сотрудникам стать эффективной первой линией защиты от подобных киберугроз.
#ParsedReport #CompletenessMedium
23-12-2025
B2B2C Supply Chain Attack: Hotels Booking Accounts Compromised to Target Customers
https://dti.domaintools.com/b2b2c-supply-chain-attack-hotels-booking-accounts-compromised-to-target-customers/
Report completeness: Medium
Actors/Campaigns:
Storm-1865
Threats:
Supply_chain_technique
Netsupportmanager_rat
Telekopye
Victims:
Booking dot com customers, Hotel customers, Hospitality sector
Industry:
Entertainment, Financial
Geo:
Russia, Moscow
ChatGPT TTPs:
T1078, T1199, T1204.002, T1566.002, T1583.001, T1584
IOCs:
File: 1
IP: 4
Domain: 361
Soft:
Debian Linux, Nginx
Languages:
php
Links:
23-12-2025
B2B2C Supply Chain Attack: Hotels Booking Accounts Compromised to Target Customers
https://dti.domaintools.com/b2b2c-supply-chain-attack-hotels-booking-accounts-compromised-to-target-customers/
Report completeness: Medium
Actors/Campaigns:
Storm-1865
Threats:
Supply_chain_technique
Netsupportmanager_rat
Telekopye
Victims:
Booking dot com customers, Hotel customers, Hospitality sector
Industry:
Entertainment, Financial
Geo:
Russia, Moscow
ChatGPT TTPs:
do not use without manual checkT1078, T1199, T1204.002, T1566.002, T1583.001, T1584
IOCs:
File: 1
IP: 4
Domain: 361
Soft:
Debian Linux, Nginx
Languages:
php
Links:
https://github.com/DomainTools/SecuritySnacks/blob/main/2025/Bookingcom-ScamIOCs.csvDomainTools Investigations | DTI
B2B2C Supply Chain Attack: Hotel’s Booking Accounts Compromised to Target Customers - DomainTools Investigations | DTI
New B2B2C supply chain attack targets Booking.com customers. Attackers are compromising hotel accounts to send "verify or cancel" phishing messages with dynamic booking data. Learn how to spot these fake domains and protect your payment info.
CTT Report Hub
#ParsedReport #CompletenessMedium 23-12-2025 B2B2C Supply Chain Attack: Hotels Booking Accounts Compromised to Target Customers https://dti.domaintools.com/b2b2c-supply-chain-attack-hotels-booking-accounts-compromised-to-target-customers/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С мая 2025, киберугроза опасный должны быть выполнены цепи цепочка поставок поставка таргетинга управления по бронированию счетов, в частности Booking.com клиентов. Они скомпрометированы персонал счета получить заказ платформой учетные данные, создание около 1000 мошеннических доменов, привязанных к динамическим фишинг-сайтов, выдающих себя за фактические детали бронирования, чтобы извлечь конфиденциальные платежные данные. В этой кампании используются веб-наборы Scraper/Interceptor, связанные с инструментарием Telekopye, и используется инфраструктура, прослеживаемая до Москвы, демонстрируя сложный, нацеленный подход к использованию уязвимостей в гостиничном секторе.
-----
С мая 2025 году хакерская группировка была задействована в цепи цепочка поставок питания ориентируясь на компромисс управление бронью отеля, специально ориентированных на Booking.com клиентов. Почти 1000 мошеннических бронирование и бронирование отеля домены были созданы для облегчения этой операции. Приступ характеризуется использованием срочные уведомления, помечены как "проверить или отменить", которые направляют пользователей на внешние фишинг-сайты. Эти сайты предназначены для динамической нагрузки фактические детали бронирования жертвы, фактически обманывая пользователя предоставить конфиденциальную платежную информацию.
Первоначальным направлением этой атаки был взлом учетных записей персонала отеля с целью получения доступа к учетным данным платформы бронирования. Эта операция согласуется с предыдущими кампаниями по фишингу, о которых сообщалось, такими как кампания "Я заплатил дважды", что указывает на потенциальную связь между злоумышленниками, нацелившимися на учетные данные отеля, и теми, кто осуществлял фишинг-атаки. Сообщается, что украденные учетные данные продаются на русскоязычных форумах по цене ниже 5000 долларов за штуку, что указывает на процветающий черный рынок такой информации.
Технические детали атаки раскрывают ее зависимость от веб-наборов Scraper/Interceptor, которые обычно используются в мошенничестве против Booking.com и пользователи Airbnb. Компоненты этих наборов относятся к инструментарию Telekopye, который известен своим использованием в операциях "фишинг как услуга", связанных с российскими киберпреступными экосистемами. Кроме того, вредоносная инфраструктура, связанная с этой кампанией, отслеживается по IP-адресам, расположенным в Москве, на которых запущены службы в системах Debian Linux, включая ProFTPD, Exim, ISC Bind, F5 Nginx и Dovecot.
Эта кампания эффективно использует доверие, присущее Цепочке поставок гостиничного бизнеса, используя скомпрометированные учетные записи отелей для отправки сообщений через официальные Booking.com каналы связи. Эта стратегия позволяет злоумышленникам обходить обычные меры безопасности электронной почты и избегать обнаружения бдительными пользователями, тем самым повышая вероятность успешных попыток фишинга. Последствия этого метода атаки подчеркивают уязвимости в секторе бронирования отелей и потенциальную возможность значительных финансовых потерь и потери данных как для бизнеса, так и для потребителей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С мая 2025, киберугроза опасный должны быть выполнены цепи цепочка поставок поставка таргетинга управления по бронированию счетов, в частности Booking.com клиентов. Они скомпрометированы персонал счета получить заказ платформой учетные данные, создание около 1000 мошеннических доменов, привязанных к динамическим фишинг-сайтов, выдающих себя за фактические детали бронирования, чтобы извлечь конфиденциальные платежные данные. В этой кампании используются веб-наборы Scraper/Interceptor, связанные с инструментарием Telekopye, и используется инфраструктура, прослеживаемая до Москвы, демонстрируя сложный, нацеленный подход к использованию уязвимостей в гостиничном секторе.
-----
С мая 2025 году хакерская группировка была задействована в цепи цепочка поставок питания ориентируясь на компромисс управление бронью отеля, специально ориентированных на Booking.com клиентов. Почти 1000 мошеннических бронирование и бронирование отеля домены были созданы для облегчения этой операции. Приступ характеризуется использованием срочные уведомления, помечены как "проверить или отменить", которые направляют пользователей на внешние фишинг-сайты. Эти сайты предназначены для динамической нагрузки фактические детали бронирования жертвы, фактически обманывая пользователя предоставить конфиденциальную платежную информацию.
Первоначальным направлением этой атаки был взлом учетных записей персонала отеля с целью получения доступа к учетным данным платформы бронирования. Эта операция согласуется с предыдущими кампаниями по фишингу, о которых сообщалось, такими как кампания "Я заплатил дважды", что указывает на потенциальную связь между злоумышленниками, нацелившимися на учетные данные отеля, и теми, кто осуществлял фишинг-атаки. Сообщается, что украденные учетные данные продаются на русскоязычных форумах по цене ниже 5000 долларов за штуку, что указывает на процветающий черный рынок такой информации.
Технические детали атаки раскрывают ее зависимость от веб-наборов Scraper/Interceptor, которые обычно используются в мошенничестве против Booking.com и пользователи Airbnb. Компоненты этих наборов относятся к инструментарию Telekopye, который известен своим использованием в операциях "фишинг как услуга", связанных с российскими киберпреступными экосистемами. Кроме того, вредоносная инфраструктура, связанная с этой кампанией, отслеживается по IP-адресам, расположенным в Москве, на которых запущены службы в системах Debian Linux, включая ProFTPD, Exim, ISC Bind, F5 Nginx и Dovecot.
Эта кампания эффективно использует доверие, присущее Цепочке поставок гостиничного бизнеса, используя скомпрометированные учетные записи отелей для отправки сообщений через официальные Booking.com каналы связи. Эта стратегия позволяет злоумышленникам обходить обычные меры безопасности электронной почты и избегать обнаружения бдительными пользователями, тем самым повышая вероятность успешных попыток фишинга. Последствия этого метода атаки подчеркивают уязвимости в секторе бронирования отелей и потенциальную возможность значительных финансовых потерь и потери данных как для бизнеса, так и для потребителей.
#ParsedReport #CompletenessHigh
23-12-2025
Spearphishing Campaign Abuses npm Registry to Target U.S. and Allied Manufacturing and Healthcare Organizations
https://socket.dev/blog/spearphishing-campaign-abuses-npm-registry
Report completeness: High
Actors/Campaigns:
Beamglea
Threats:
Spear-phishing_technique
Credential_harvesting_technique
Aitm_technique
Evilginx_tool
Supply_chain_technique
Victims:
Manufacturing, Industrial automation, Plastics, Healthcare
Industry:
Healthcare, Transport
Geo:
America, Spain, Belgium, Germany, Asia, Taiwan, Italy, Portugal, United kingdom, Canada, France, Sweden, Turkey, Austria
TTPs:
Tactics: 2
Technics: 16
IOCs:
File: 8
Domain: 5
Url: 5
Email: 6
Soft:
Outlook, Selenium, Node.js
Languages:
javascript
23-12-2025
Spearphishing Campaign Abuses npm Registry to Target U.S. and Allied Manufacturing and Healthcare Organizations
https://socket.dev/blog/spearphishing-campaign-abuses-npm-registry
Report completeness: High
Actors/Campaigns:
Beamglea
Threats:
Spear-phishing_technique
Credential_harvesting_technique
Aitm_technique
Evilginx_tool
Supply_chain_technique
Victims:
Manufacturing, Industrial automation, Plastics, Healthcare
Industry:
Healthcare, Transport
Geo:
America, Spain, Belgium, Germany, Asia, Taiwan, Italy, Portugal, United kingdom, Canada, France, Sweden, Turkey, Austria
TTPs:
Tactics: 2
Technics: 16
IOCs:
File: 8
Domain: 5
Url: 5
Email: 6
Soft:
Outlook, Selenium, Node.js
Languages:
javascript
Socket
Spearphishing Campaign Abuses npm Registry to Target U.S. an...
A five-month operation turned 27 npm packages into durable hosting for browser-run lures that mimic document-sharing portals and Microsoft sign-in, ta...