CTT Report Hub
#ParsedReport #CompletenessLow 22-12-2025 Advent Of Configuration Extraction - Part 4: Turning capa Into A Configuration Extractor For TinyShell variant https://blog.sekoia.io/advent-of-configuration-extraction-part-4-turning-capa-into-a-configuration-extractor…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В статье подробно описывается облегченный бэкдор Linux, производный от TinySHell, который обеспечивает скрытый удаленный доступ с улучшенной скрытностью благодаря разделенному двоичному файлу ELF. Он оснащен сетевым компонентом для связи C2 с использованием пользовательского протокола аутентификации и метода шифрования RC4 для сокрытия данных конфигурации. Анализ включает в себя использование FLARE capa для статического обнаружения вызовов API и потока управления, а также Python extractor для эффективного восстановления ключей и извлечения данных конфигурации из зашифрованных компонентов вредоносного ПО.
-----
В статье обсуждаются технические детали, связанные с облегченным бэкдором Linux, производным от TinySHell с открытым исходным кодом, предназначенным для скрытого удаленного доступа к скомпрометированным системам. Этот вариант содержит разделенный двоичный файл ELF, лишенный идентифицируемых метаданных, что повышает его скрытность и эффективность при долгосрочном шпионаже. Вредоносное ПО использует сетевой компонент, который подключается к серверу управления (C2) через пользовательский протокол аутентификации и включает в себя модуль бэкдора, который может выполнять команды или устанавливать удаленную оболочку.
Важным аспектом анализа является использование FLARE capa, инструмента с открытым исходным кодом для обнаружения возможностей вредоносного ПО, который определяет поведение двоичного файла с помощью статического анализа. capa исследует различные исполняемые форматы, извлекая такие функции, как вызовы API и шаблоны потоков управления, и сопоставляет их с правилами YAML, которые описывают высокоуровневые функции, такие как Внедрение кода в процесс или закрепление.
Бэкдор скрывает свои строки, используя шифрование RC4, вызываемое несколько раз по всему двоичному файлу для доступа к данным конфигурации, таким как сведения C2. Из-за разделенной природы двоичного файла процесс извлечения становится сложным, поскольку во время анализа отсутствуют символы, указывающие на функции. В отчете подробно описан полный конвейер извлечения конфигурации с использованием capa, встроенного в экстрактор на основе Python, предназначенный для идентификации криптографических процедур в таких разделенных двоичных файлах.
Чтобы найти функцию расшифровки RC4, экстрактор использует пакет flare-capa Python. Процесс инициируется с помощью capa либо как автономного инструмента, либо как плагина в составе декомпилятора для определения контекста нацеленных функций. Например, проверяя представление FLARE-capa в IDA, инструмент извлечения соответствует предопределенным правилам, которые указывают на наличие RC4 PRGA, точно определяя адрес функции.
Экстрактор поддерживает эффективность, ограничивая загружаемые правила минимальным подмножеством, гарантируя при этом, что он по-прежнему эффективно функционирует. В процессе восстановления ключа экстрактор идентифицирует ключ на основе стека, созданный с помощью серии инструкций, которые помещают фрагменты строк в стек. Успешно обнаружив функцию RC4 и извлекая общий ключ шифрования, экстрактор может перечислять зашифрованные двоичные объекты, особенно те, которые содержат важные данные адреса C2. Эта методология иллюстрирует надежный метод анализа и извлечения конфигурации из вредоносного ПО, демонстрируя возможности инструмента capa в средах анализа вредоносного ПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В статье подробно описывается облегченный бэкдор Linux, производный от TinySHell, который обеспечивает скрытый удаленный доступ с улучшенной скрытностью благодаря разделенному двоичному файлу ELF. Он оснащен сетевым компонентом для связи C2 с использованием пользовательского протокола аутентификации и метода шифрования RC4 для сокрытия данных конфигурации. Анализ включает в себя использование FLARE capa для статического обнаружения вызовов API и потока управления, а также Python extractor для эффективного восстановления ключей и извлечения данных конфигурации из зашифрованных компонентов вредоносного ПО.
-----
В статье обсуждаются технические детали, связанные с облегченным бэкдором Linux, производным от TinySHell с открытым исходным кодом, предназначенным для скрытого удаленного доступа к скомпрометированным системам. Этот вариант содержит разделенный двоичный файл ELF, лишенный идентифицируемых метаданных, что повышает его скрытность и эффективность при долгосрочном шпионаже. Вредоносное ПО использует сетевой компонент, который подключается к серверу управления (C2) через пользовательский протокол аутентификации и включает в себя модуль бэкдора, который может выполнять команды или устанавливать удаленную оболочку.
Важным аспектом анализа является использование FLARE capa, инструмента с открытым исходным кодом для обнаружения возможностей вредоносного ПО, который определяет поведение двоичного файла с помощью статического анализа. capa исследует различные исполняемые форматы, извлекая такие функции, как вызовы API и шаблоны потоков управления, и сопоставляет их с правилами YAML, которые описывают высокоуровневые функции, такие как Внедрение кода в процесс или закрепление.
Бэкдор скрывает свои строки, используя шифрование RC4, вызываемое несколько раз по всему двоичному файлу для доступа к данным конфигурации, таким как сведения C2. Из-за разделенной природы двоичного файла процесс извлечения становится сложным, поскольку во время анализа отсутствуют символы, указывающие на функции. В отчете подробно описан полный конвейер извлечения конфигурации с использованием capa, встроенного в экстрактор на основе Python, предназначенный для идентификации криптографических процедур в таких разделенных двоичных файлах.
Чтобы найти функцию расшифровки RC4, экстрактор использует пакет flare-capa Python. Процесс инициируется с помощью capa либо как автономного инструмента, либо как плагина в составе декомпилятора для определения контекста нацеленных функций. Например, проверяя представление FLARE-capa в IDA, инструмент извлечения соответствует предопределенным правилам, которые указывают на наличие RC4 PRGA, точно определяя адрес функции.
Экстрактор поддерживает эффективность, ограничивая загружаемые правила минимальным подмножеством, гарантируя при этом, что он по-прежнему эффективно функционирует. В процессе восстановления ключа экстрактор идентифицирует ключ на основе стека, созданный с помощью серии инструкций, которые помещают фрагменты строк в стек. Успешно обнаружив функцию RC4 и извлекая общий ключ шифрования, экстрактор может перечислять зашифрованные двоичные объекты, особенно те, которые содержат важные данные адреса C2. Эта методология иллюстрирует надежный метод анализа и извлечения конфигурации из вредоносного ПО, демонстрируя возможности инструмента capa в средах анализа вредоносного ПО.
#ParsedReport #CompletenessLow
23-12-2025
From Email to Exfiltration: How Threat Actors Steal ADP Login and Personal Data
https://cofense.com/blog/from-email-to-exfiltration-how-threat-actors-steal-adp-login-and-personal-data
Report completeness: Low
Victims:
Adp users, Employees
ChatGPT TTPs:
T1056.003, T1204, T1566
IOCs:
Url: 1
23-12-2025
From Email to Exfiltration: How Threat Actors Steal ADP Login and Personal Data
https://cofense.com/blog/from-email-to-exfiltration-how-threat-actors-steal-adp-login-and-personal-data
Report completeness: Low
Victims:
Adp users, Employees
ChatGPT TTPs:
do not use without manual checkT1056.003, T1204, T1566
IOCs:
Url: 1
Cofense
From Email to Exfiltration: How Threat Actors Steal ADP
The Cofense Phishing Defense Center (PDC) recently observed a new phishing campaign imitating ADP, allowing the threat actor to gain access to employee accounts and steal sensitive information. To
CTT Report Hub
#ParsedReport #CompletenessLow 23-12-2025 From Email to Exfiltration: How Threat Actors Steal ADP Login and Personal Data https://cofense.com/blog/from-email-to-exfiltration-how-threat-actors-steal-adp-login-and-personal-data Report completeness: Low Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания фишинга, нацеленная на ADP, использовала тактику социальной инженерии, чтобы обманом заставить сотрудников раскрыть свои учетные данные для входа в систему. Вредоносные электронные письма имитируют законные сообщения ADP, позволяя злоумышленникам получать несанкционированный доступ к учетным записям сотрудников и извлекать конфиденциальную личную информацию. Этот инцидент иллюстрирует постоянную угрозу, исходящую от киберпреступников, сосредоточенных на утечке корпоративных данных с помощью изощренных методов фишинга.
-----
Недавняя кампания по фишингу, нацеленная на ADP, высветила методы, используемые злоумышленниками для проникновения в учетные записи сотрудников и извлечения конфиденциальных данных. Эта кампания использует тактику социальной инженерии, чтобы обманом заставить пользователей раскрыть свои учетные данные для входа в систему. Электронные письма с фишингом разработаны таким образом, чтобы максимально походить на законные сообщения от ADP, что увеличивает вероятность того, что ничего не подозревающие сотрудники будут взаимодействовать с вредоносным контентом.
Как только пользователь становится жертвой попытки фишинга, злоумышленник получает доступ к регистрационным данным сотрудника. Это нарушение не только позволяет злоумышленнику проникнуть в систему ADP, но и позволяет ему извлекать личные данные и другую конфиденциальную информацию, хранящуюся в скомпрометированной учетной записи. Последствия таких утечек данных могут быть серьезными, затрагивая как вовлеченных лиц, так и организацию в целом.
Эффективное обучение персонала и осведомленность играют решающую роль в защите от подобных фишинг-атак. Организациям рекомендуется принимать действенные программы обеспечения безопасности, которые обучают сотрудников о признании красные флаги, связанные с фишинг попытки. Подчеркивая важность проверки подлинности электронной почты и ссылки до вмешательства можно значительно снизить риск успешной эксплуатации.
Таким образом, кампания по фишингу, имитирующая ADP, подчеркивает эволюционирующую тактику киберпреступников в нацеливании на конфиденциальные корпоративные данные и подчеркивает необходимость проактивных стратегий защиты внутри организаций. Регулярные обновления информации об угрозах фишинга и передовых методах обеспечения безопасности могут помочь сотрудникам стать эффективной первой линией защиты от подобных киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания фишинга, нацеленная на ADP, использовала тактику социальной инженерии, чтобы обманом заставить сотрудников раскрыть свои учетные данные для входа в систему. Вредоносные электронные письма имитируют законные сообщения ADP, позволяя злоумышленникам получать несанкционированный доступ к учетным записям сотрудников и извлекать конфиденциальную личную информацию. Этот инцидент иллюстрирует постоянную угрозу, исходящую от киберпреступников, сосредоточенных на утечке корпоративных данных с помощью изощренных методов фишинга.
-----
Недавняя кампания по фишингу, нацеленная на ADP, высветила методы, используемые злоумышленниками для проникновения в учетные записи сотрудников и извлечения конфиденциальных данных. Эта кампания использует тактику социальной инженерии, чтобы обманом заставить пользователей раскрыть свои учетные данные для входа в систему. Электронные письма с фишингом разработаны таким образом, чтобы максимально походить на законные сообщения от ADP, что увеличивает вероятность того, что ничего не подозревающие сотрудники будут взаимодействовать с вредоносным контентом.
Как только пользователь становится жертвой попытки фишинга, злоумышленник получает доступ к регистрационным данным сотрудника. Это нарушение не только позволяет злоумышленнику проникнуть в систему ADP, но и позволяет ему извлекать личные данные и другую конфиденциальную информацию, хранящуюся в скомпрометированной учетной записи. Последствия таких утечек данных могут быть серьезными, затрагивая как вовлеченных лиц, так и организацию в целом.
Эффективное обучение персонала и осведомленность играют решающую роль в защите от подобных фишинг-атак. Организациям рекомендуется принимать действенные программы обеспечения безопасности, которые обучают сотрудников о признании красные флаги, связанные с фишинг попытки. Подчеркивая важность проверки подлинности электронной почты и ссылки до вмешательства можно значительно снизить риск успешной эксплуатации.
Таким образом, кампания по фишингу, имитирующая ADP, подчеркивает эволюционирующую тактику киберпреступников в нацеливании на конфиденциальные корпоративные данные и подчеркивает необходимость проактивных стратегий защиты внутри организаций. Регулярные обновления информации об угрозах фишинга и передовых методах обеспечения безопасности могут помочь сотрудникам стать эффективной первой линией защиты от подобных киберугроз.
#ParsedReport #CompletenessMedium
23-12-2025
B2B2C Supply Chain Attack: Hotels Booking Accounts Compromised to Target Customers
https://dti.domaintools.com/b2b2c-supply-chain-attack-hotels-booking-accounts-compromised-to-target-customers/
Report completeness: Medium
Actors/Campaigns:
Storm-1865
Threats:
Supply_chain_technique
Netsupportmanager_rat
Telekopye
Victims:
Booking dot com customers, Hotel customers, Hospitality sector
Industry:
Entertainment, Financial
Geo:
Russia, Moscow
ChatGPT TTPs:
T1078, T1199, T1204.002, T1566.002, T1583.001, T1584
IOCs:
File: 1
IP: 4
Domain: 361
Soft:
Debian Linux, Nginx
Languages:
php
Links:
23-12-2025
B2B2C Supply Chain Attack: Hotels Booking Accounts Compromised to Target Customers
https://dti.domaintools.com/b2b2c-supply-chain-attack-hotels-booking-accounts-compromised-to-target-customers/
Report completeness: Medium
Actors/Campaigns:
Storm-1865
Threats:
Supply_chain_technique
Netsupportmanager_rat
Telekopye
Victims:
Booking dot com customers, Hotel customers, Hospitality sector
Industry:
Entertainment, Financial
Geo:
Russia, Moscow
ChatGPT TTPs:
do not use without manual checkT1078, T1199, T1204.002, T1566.002, T1583.001, T1584
IOCs:
File: 1
IP: 4
Domain: 361
Soft:
Debian Linux, Nginx
Languages:
php
Links:
https://github.com/DomainTools/SecuritySnacks/blob/main/2025/Bookingcom-ScamIOCs.csvDomainTools Investigations | DTI
B2B2C Supply Chain Attack: Hotel’s Booking Accounts Compromised to Target Customers - DomainTools Investigations | DTI
New B2B2C supply chain attack targets Booking.com customers. Attackers are compromising hotel accounts to send "verify or cancel" phishing messages with dynamic booking data. Learn how to spot these fake domains and protect your payment info.
CTT Report Hub
#ParsedReport #CompletenessMedium 23-12-2025 B2B2C Supply Chain Attack: Hotels Booking Accounts Compromised to Target Customers https://dti.domaintools.com/b2b2c-supply-chain-attack-hotels-booking-accounts-compromised-to-target-customers/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С мая 2025, киберугроза опасный должны быть выполнены цепи цепочка поставок поставка таргетинга управления по бронированию счетов, в частности Booking.com клиентов. Они скомпрометированы персонал счета получить заказ платформой учетные данные, создание около 1000 мошеннических доменов, привязанных к динамическим фишинг-сайтов, выдающих себя за фактические детали бронирования, чтобы извлечь конфиденциальные платежные данные. В этой кампании используются веб-наборы Scraper/Interceptor, связанные с инструментарием Telekopye, и используется инфраструктура, прослеживаемая до Москвы, демонстрируя сложный, нацеленный подход к использованию уязвимостей в гостиничном секторе.
-----
С мая 2025 году хакерская группировка была задействована в цепи цепочка поставок питания ориентируясь на компромисс управление бронью отеля, специально ориентированных на Booking.com клиентов. Почти 1000 мошеннических бронирование и бронирование отеля домены были созданы для облегчения этой операции. Приступ характеризуется использованием срочные уведомления, помечены как "проверить или отменить", которые направляют пользователей на внешние фишинг-сайты. Эти сайты предназначены для динамической нагрузки фактические детали бронирования жертвы, фактически обманывая пользователя предоставить конфиденциальную платежную информацию.
Первоначальным направлением этой атаки был взлом учетных записей персонала отеля с целью получения доступа к учетным данным платформы бронирования. Эта операция согласуется с предыдущими кампаниями по фишингу, о которых сообщалось, такими как кампания "Я заплатил дважды", что указывает на потенциальную связь между злоумышленниками, нацелившимися на учетные данные отеля, и теми, кто осуществлял фишинг-атаки. Сообщается, что украденные учетные данные продаются на русскоязычных форумах по цене ниже 5000 долларов за штуку, что указывает на процветающий черный рынок такой информации.
Технические детали атаки раскрывают ее зависимость от веб-наборов Scraper/Interceptor, которые обычно используются в мошенничестве против Booking.com и пользователи Airbnb. Компоненты этих наборов относятся к инструментарию Telekopye, который известен своим использованием в операциях "фишинг как услуга", связанных с российскими киберпреступными экосистемами. Кроме того, вредоносная инфраструктура, связанная с этой кампанией, отслеживается по IP-адресам, расположенным в Москве, на которых запущены службы в системах Debian Linux, включая ProFTPD, Exim, ISC Bind, F5 Nginx и Dovecot.
Эта кампания эффективно использует доверие, присущее Цепочке поставок гостиничного бизнеса, используя скомпрометированные учетные записи отелей для отправки сообщений через официальные Booking.com каналы связи. Эта стратегия позволяет злоумышленникам обходить обычные меры безопасности электронной почты и избегать обнаружения бдительными пользователями, тем самым повышая вероятность успешных попыток фишинга. Последствия этого метода атаки подчеркивают уязвимости в секторе бронирования отелей и потенциальную возможность значительных финансовых потерь и потери данных как для бизнеса, так и для потребителей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С мая 2025, киберугроза опасный должны быть выполнены цепи цепочка поставок поставка таргетинга управления по бронированию счетов, в частности Booking.com клиентов. Они скомпрометированы персонал счета получить заказ платформой учетные данные, создание около 1000 мошеннических доменов, привязанных к динамическим фишинг-сайтов, выдающих себя за фактические детали бронирования, чтобы извлечь конфиденциальные платежные данные. В этой кампании используются веб-наборы Scraper/Interceptor, связанные с инструментарием Telekopye, и используется инфраструктура, прослеживаемая до Москвы, демонстрируя сложный, нацеленный подход к использованию уязвимостей в гостиничном секторе.
-----
С мая 2025 году хакерская группировка была задействована в цепи цепочка поставок питания ориентируясь на компромисс управление бронью отеля, специально ориентированных на Booking.com клиентов. Почти 1000 мошеннических бронирование и бронирование отеля домены были созданы для облегчения этой операции. Приступ характеризуется использованием срочные уведомления, помечены как "проверить или отменить", которые направляют пользователей на внешние фишинг-сайты. Эти сайты предназначены для динамической нагрузки фактические детали бронирования жертвы, фактически обманывая пользователя предоставить конфиденциальную платежную информацию.
Первоначальным направлением этой атаки был взлом учетных записей персонала отеля с целью получения доступа к учетным данным платформы бронирования. Эта операция согласуется с предыдущими кампаниями по фишингу, о которых сообщалось, такими как кампания "Я заплатил дважды", что указывает на потенциальную связь между злоумышленниками, нацелившимися на учетные данные отеля, и теми, кто осуществлял фишинг-атаки. Сообщается, что украденные учетные данные продаются на русскоязычных форумах по цене ниже 5000 долларов за штуку, что указывает на процветающий черный рынок такой информации.
Технические детали атаки раскрывают ее зависимость от веб-наборов Scraper/Interceptor, которые обычно используются в мошенничестве против Booking.com и пользователи Airbnb. Компоненты этих наборов относятся к инструментарию Telekopye, который известен своим использованием в операциях "фишинг как услуга", связанных с российскими киберпреступными экосистемами. Кроме того, вредоносная инфраструктура, связанная с этой кампанией, отслеживается по IP-адресам, расположенным в Москве, на которых запущены службы в системах Debian Linux, включая ProFTPD, Exim, ISC Bind, F5 Nginx и Dovecot.
Эта кампания эффективно использует доверие, присущее Цепочке поставок гостиничного бизнеса, используя скомпрометированные учетные записи отелей для отправки сообщений через официальные Booking.com каналы связи. Эта стратегия позволяет злоумышленникам обходить обычные меры безопасности электронной почты и избегать обнаружения бдительными пользователями, тем самым повышая вероятность успешных попыток фишинга. Последствия этого метода атаки подчеркивают уязвимости в секторе бронирования отелей и потенциальную возможность значительных финансовых потерь и потери данных как для бизнеса, так и для потребителей.
#ParsedReport #CompletenessHigh
23-12-2025
Spearphishing Campaign Abuses npm Registry to Target U.S. and Allied Manufacturing and Healthcare Organizations
https://socket.dev/blog/spearphishing-campaign-abuses-npm-registry
Report completeness: High
Actors/Campaigns:
Beamglea
Threats:
Spear-phishing_technique
Credential_harvesting_technique
Aitm_technique
Evilginx_tool
Supply_chain_technique
Victims:
Manufacturing, Industrial automation, Plastics, Healthcare
Industry:
Healthcare, Transport
Geo:
America, Spain, Belgium, Germany, Asia, Taiwan, Italy, Portugal, United kingdom, Canada, France, Sweden, Turkey, Austria
TTPs:
Tactics: 2
Technics: 16
IOCs:
File: 8
Domain: 5
Url: 5
Email: 6
Soft:
Outlook, Selenium, Node.js
Languages:
javascript
23-12-2025
Spearphishing Campaign Abuses npm Registry to Target U.S. and Allied Manufacturing and Healthcare Organizations
https://socket.dev/blog/spearphishing-campaign-abuses-npm-registry
Report completeness: High
Actors/Campaigns:
Beamglea
Threats:
Spear-phishing_technique
Credential_harvesting_technique
Aitm_technique
Evilginx_tool
Supply_chain_technique
Victims:
Manufacturing, Industrial automation, Plastics, Healthcare
Industry:
Healthcare, Transport
Geo:
America, Spain, Belgium, Germany, Asia, Taiwan, Italy, Portugal, United kingdom, Canada, France, Sweden, Turkey, Austria
TTPs:
Tactics: 2
Technics: 16
IOCs:
File: 8
Domain: 5
Url: 5
Email: 6
Soft:
Outlook, Selenium, Node.js
Languages:
javascript
Socket
Spearphishing Campaign Abuses npm Registry to Target U.S. an...
A five-month operation turned 27 npm packages into durable hosting for browser-run lures that mimic document-sharing portals and Microsoft sign-in, ta...
CTT Report Hub
#ParsedReport #CompletenessHigh 23-12-2025 Spearphishing Campaign Abuses npm Registry to Target U.S. and Allied Manufacturing and Healthcare Organizations https://socket.dev/blog/spearphishing-campaign-abuses-npm-registry Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В ходе кампании по Целевому фишингу реестр npm был использован для того, чтобы нацелить американские и смежные организации в производственном секторе и здравоохранении. Злоумышленники создали 27 вредоносных пакетов npm для облегчения кражи учетных данных, используя браузерные приманки, которые выдавали себя за законные службы обмена документами. Они внедрили методы антианализа и нацелили персонал, который, вероятно, будет взаимодействовать с нежелательными сообщениями, используя такие методы, как Имперсонация и тактика уклонения, соответствующие системе MITRE ATT&CK.
-----
Недавняя кампания по Целевому фишингу использовала реестр npm (Node Package Manager) для нацеливания на американские и смежные организации в производственном секторе и здравоохранении. За пять месяцев злоумышленники превратили 27 пакетов npm в изощренный инструмент для кражи учетных данных. Эти пакеты служили хостами для браузерных приманок, которые выдают себя за службы обмена документами и страницы входа в систему Microsoft, эффективно ориентируясь на 25 конкретных организаций.
Операционная стратегия предполагала использование экосистемы npm не просто для установки программного обеспечения, но и в качестве инфраструктуры для фишинга. Используя одноразовые пакеты npm, злоумышленники перенаправляли жертв с, казалось бы, законных приманок для бизнес-документов на страницы сбора учетных записей, часто встраивая адрес электронной почты нацеленного пользователя в URL-адрес предварительно заполненных форм. Страницы для фишинга, замаскированные под сервис под названием "MicroSecure", ложно утверждали, что делятся документами с жертвой, повышая надежность приманки с помощью сфабрикованного контента, такого как профили компаний и запросы предложений.
Чтобы помешать анализу и автоматическому обнаружению, кампания использовала несколько методов антианализа. Пакеты включали проверки на стороне клиента, которые выявляли индикаторы автоматизации, такие как признаки безголового просмотра или ненормальные размеры браузера. Кроме того, в поток фишинга был интегрирован механизм honeypot, использующий скрытые поля формы, предназначенные для отслеживания взаимодействий с ботами, что позволяет злоумышленникам отличать подлинных пользователей от автоматизированных систем.
После успешного обмана с помощью первоначальной приманки жертвы перенаправлялись на инфраструктуру, контролируемую злоумышленником, что облегчало сбор учетных записей и перехват сеанса. Выбор целей злоумышленником был стратегическим; пакеты для фишинга были сконфигурированы с жестко закодированными Адресами эл. почты, которые соответствовали персоналу, выполняющему роли, которые могут быть связаны с нежелательными запросами, такими как менеджеры по работе с клиентами и представители по развитию бизнеса.
Кампания согласуется с несколькими методами, описанными в рамках MITRE ATT&CK, включая Компрометацию цепочки поставок, фишинг с использованием Целевых фишинга со ссылками, тактику сбора информации и методы уклонения от обнаружения с помощью "песочницы". Специфическая тактика, такая как Маскировка и Имперсонация, также была неотъемлемой частью операции, подчеркивая передовые методы, используемые злоумышленниками для поддержания эффективности их усилий по фишингу. В целом, эта кампания подчеркивает растущее использование законных программных экосистем в качестве каналов для кибер-обмана и кражи учетных данных.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В ходе кампании по Целевому фишингу реестр npm был использован для того, чтобы нацелить американские и смежные организации в производственном секторе и здравоохранении. Злоумышленники создали 27 вредоносных пакетов npm для облегчения кражи учетных данных, используя браузерные приманки, которые выдавали себя за законные службы обмена документами. Они внедрили методы антианализа и нацелили персонал, который, вероятно, будет взаимодействовать с нежелательными сообщениями, используя такие методы, как Имперсонация и тактика уклонения, соответствующие системе MITRE ATT&CK.
-----
Недавняя кампания по Целевому фишингу использовала реестр npm (Node Package Manager) для нацеливания на американские и смежные организации в производственном секторе и здравоохранении. За пять месяцев злоумышленники превратили 27 пакетов npm в изощренный инструмент для кражи учетных данных. Эти пакеты служили хостами для браузерных приманок, которые выдают себя за службы обмена документами и страницы входа в систему Microsoft, эффективно ориентируясь на 25 конкретных организаций.
Операционная стратегия предполагала использование экосистемы npm не просто для установки программного обеспечения, но и в качестве инфраструктуры для фишинга. Используя одноразовые пакеты npm, злоумышленники перенаправляли жертв с, казалось бы, законных приманок для бизнес-документов на страницы сбора учетных записей, часто встраивая адрес электронной почты нацеленного пользователя в URL-адрес предварительно заполненных форм. Страницы для фишинга, замаскированные под сервис под названием "MicroSecure", ложно утверждали, что делятся документами с жертвой, повышая надежность приманки с помощью сфабрикованного контента, такого как профили компаний и запросы предложений.
Чтобы помешать анализу и автоматическому обнаружению, кампания использовала несколько методов антианализа. Пакеты включали проверки на стороне клиента, которые выявляли индикаторы автоматизации, такие как признаки безголового просмотра или ненормальные размеры браузера. Кроме того, в поток фишинга был интегрирован механизм honeypot, использующий скрытые поля формы, предназначенные для отслеживания взаимодействий с ботами, что позволяет злоумышленникам отличать подлинных пользователей от автоматизированных систем.
После успешного обмана с помощью первоначальной приманки жертвы перенаправлялись на инфраструктуру, контролируемую злоумышленником, что облегчало сбор учетных записей и перехват сеанса. Выбор целей злоумышленником был стратегическим; пакеты для фишинга были сконфигурированы с жестко закодированными Адресами эл. почты, которые соответствовали персоналу, выполняющему роли, которые могут быть связаны с нежелательными запросами, такими как менеджеры по работе с клиентами и представители по развитию бизнеса.
Кампания согласуется с несколькими методами, описанными в рамках MITRE ATT&CK, включая Компрометацию цепочки поставок, фишинг с использованием Целевых фишинга со ссылками, тактику сбора информации и методы уклонения от обнаружения с помощью "песочницы". Специфическая тактика, такая как Маскировка и Имперсонация, также была неотъемлемой частью операции, подчеркивая передовые методы, используемые злоумышленниками для поддержания эффективности их усилий по фишингу. В целом, эта кампания подчеркивает растущее использование законных программных экосистем в качестве каналов для кибер-обмана и кражи учетных данных.
#ParsedReport #CompletenessHigh
24-12-2025
Evasive Panda APT poisons DNS requests to deliver MgBot
https://securelist.com/evasive-panda-apt/118576/
Report completeness: High
Actors/Campaigns:
Daggerfly
Threats:
Mgbot
Aitm_technique
Dll_sideloading_technique
Macma
Supply_chain_technique
Watering_hole_technique
Victims:
Multiple industries
Industry:
Telco
Geo:
India, Asian, Chinese, China
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1036, T1071.004, T1106, T1189, T1557, T1574.002
IOCs:
File: 12
Domain: 1
Path: 5
Hash: 4
IP: 15
Soft:
macOS
Algorithms:
xor, md5, lzma
Win API:
ShellExecuteW, VirtualProtect, GetProcAddress, CryptUnprotectData, RtlGetVersion, CryptProtectData
Languages:
python
24-12-2025
Evasive Panda APT poisons DNS requests to deliver MgBot
https://securelist.com/evasive-panda-apt/118576/
Report completeness: High
Actors/Campaigns:
Daggerfly
Threats:
Mgbot
Aitm_technique
Dll_sideloading_technique
Macma
Supply_chain_technique
Watering_hole_technique
Victims:
Multiple industries
Industry:
Telco
Geo:
India, Asian, Chinese, China
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1071.004, T1106, T1189, T1557, T1574.002
IOCs:
File: 12
Domain: 1
Path: 5
Hash: 4
IP: 15
Soft:
macOS
Algorithms:
xor, md5, lzma
Win API:
ShellExecuteW, VirtualProtect, GetProcAddress, CryptUnprotectData, RtlGetVersion, CryptProtectData
Languages:
python
Securelist
Evasive Panda APT campaign overview
Kaspersky GReAT experts analyze the Evasive Panda APT's infection chain, including shellcode encrypted with DPAPI and RC5, as well as the MgBot implant.
CTT Report Hub
#ParsedReport #CompletenessHigh 24-12-2025 Evasive Panda APT poisons DNS requests to deliver MgBot https://securelist.com/evasive-panda-apt/118576/ Report completeness: High Actors/Campaigns: Daggerfly Threats: Mgbot Aitm_technique Dll_sideloading_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С ноября 2022 по ноябрь 2024 года Evasive Panda, APT-группировка, осуществляющая с 2012 года группировку, защищенную от сложных угроз, проводила сложные кампании, используя вредоносный исполняемый файл, замаскированный под обновление для приложения SohuVA. Их многоэтапное развертывание использует вторичный загрузчик, Маскировку под библиотеку Windows, для выполнения полезных нагрузок, избегая обнаружения, при этом сообщается о целях в Турции, Китае и Индии. Группа использует такие методы, как компромиссы в supply-chain и атаки по принципу "Злоумышленник посередине", что указывает на их постоянную адаптацию и закрепление в работе.
-----
Evasive Panda, также известная как Bronze Highland, Daggerfly и StormBamboo, является APT-группировкой, которая действует с 2012 года. В их последних кампаниях, которые проходили с ноября 2022 по ноябрь 2024 года, использовались сложные и эволюционирующие методы, ориентированные на различные отрасли. Первоначальный вектор заражения включал вредоносный исполняемый файл, Маскировку под пакет обновлений для потокового приложения SohuVA, специально названный sohuva_update_10.2.29.1-lup-s-tp.exe . Эта тактика позволила группе эффективно распространять вредоносное ПО под видом законного обновления программного обеспечения.
Развертывание вредоносного ПО основывалось на многоступенчатом процессе выполнения шелл-кода, который использовал алгоритм хэширования под названием PJW для скрытого разрешения API Windows во время выполнения. Во время атаки был запущен дополнительный загрузчик, замаскированный под законную библиотеку Windows libpython2.4.dll , способствовал более незаметному механизму загрузки. Этот загрузчик использовал более старую, подписанную версию python.exe , известный как evteng.exe (MD5: 1c36452c2dad8da95d460bee3bea365e), чтобы вызвать функцию Py_Main, таким образом выполняя введенную полезную нагрузку, избегая обнаружения.
Воздействие этих операций было заметным: сообщалось о жертвах в Турции, Китае и Индии. Некоторые системы удалось остаться нарушена в течение более чем года, подчеркивая настойчивость злоумышленник актер закрепление и долгосрочную работоспособность. Телеметрия показывает, что значительная приверженность Evasive Panda, как их поддерживали этот длительной кампании с последовательным распределением ресурсов.
Приписывание атаки явно указывает на Evasive Panda, что подтверждается их установленными методами, тактикой и процедурами (TTP). Несмотря на внедрение нового загрузчика в этой кампании, они использовали имплантат десятилетней давности MgBot, хотя и с обновленными конфигурациями. Группа имеет опыт использования таких методов, как компрометация supply-chain, атаки Злоумышленника посередине (AiTM) и watering-hole, для скрытного распространения своего вредоносного ПО.
Таким образом, APT-группировка Evasive Panda продолжает демонстрировать свои передовые возможности, используя новые методы и совершенствуя свой арсенал, сохраняя при этом постоянную угрозу нацеленным системам. Их текущие операции предполагают постоянные улучшения и адаптацию их тактики, указывая на то, что в будущем могут появиться новые кампании.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С ноября 2022 по ноябрь 2024 года Evasive Panda, APT-группировка, осуществляющая с 2012 года группировку, защищенную от сложных угроз, проводила сложные кампании, используя вредоносный исполняемый файл, замаскированный под обновление для приложения SohuVA. Их многоэтапное развертывание использует вторичный загрузчик, Маскировку под библиотеку Windows, для выполнения полезных нагрузок, избегая обнаружения, при этом сообщается о целях в Турции, Китае и Индии. Группа использует такие методы, как компромиссы в supply-chain и атаки по принципу "Злоумышленник посередине", что указывает на их постоянную адаптацию и закрепление в работе.
-----
Evasive Panda, также известная как Bronze Highland, Daggerfly и StormBamboo, является APT-группировкой, которая действует с 2012 года. В их последних кампаниях, которые проходили с ноября 2022 по ноябрь 2024 года, использовались сложные и эволюционирующие методы, ориентированные на различные отрасли. Первоначальный вектор заражения включал вредоносный исполняемый файл, Маскировку под пакет обновлений для потокового приложения SohuVA, специально названный sohuva_update_10.2.29.1-lup-s-tp.exe . Эта тактика позволила группе эффективно распространять вредоносное ПО под видом законного обновления программного обеспечения.
Развертывание вредоносного ПО основывалось на многоступенчатом процессе выполнения шелл-кода, который использовал алгоритм хэширования под названием PJW для скрытого разрешения API Windows во время выполнения. Во время атаки был запущен дополнительный загрузчик, замаскированный под законную библиотеку Windows libpython2.4.dll , способствовал более незаметному механизму загрузки. Этот загрузчик использовал более старую, подписанную версию python.exe , известный как evteng.exe (MD5: 1c36452c2dad8da95d460bee3bea365e), чтобы вызвать функцию Py_Main, таким образом выполняя введенную полезную нагрузку, избегая обнаружения.
Воздействие этих операций было заметным: сообщалось о жертвах в Турции, Китае и Индии. Некоторые системы удалось остаться нарушена в течение более чем года, подчеркивая настойчивость злоумышленник актер закрепление и долгосрочную работоспособность. Телеметрия показывает, что значительная приверженность Evasive Panda, как их поддерживали этот длительной кампании с последовательным распределением ресурсов.
Приписывание атаки явно указывает на Evasive Panda, что подтверждается их установленными методами, тактикой и процедурами (TTP). Несмотря на внедрение нового загрузчика в этой кампании, они использовали имплантат десятилетней давности MgBot, хотя и с обновленными конфигурациями. Группа имеет опыт использования таких методов, как компрометация supply-chain, атаки Злоумышленника посередине (AiTM) и watering-hole, для скрытного распространения своего вредоносного ПО.
Таким образом, APT-группировка Evasive Panda продолжает демонстрировать свои передовые возможности, используя новые методы и совершенствуя свой арсенал, сохраняя при этом постоянную угрозу нацеленным системам. Их текущие операции предполагают постоянные улучшения и адаптацию их тактики, указывая на то, что в будущем могут появиться новые кампании.
#ParsedReport #CompletenessLow
21-12-2025
Operation Artemis: HWP-based DLL Sideloading Attack Analysis
https://www.genians.co.kr/blog/threat_intelligence/dll
Report completeness: Low
Actors/Campaigns:
Artemis (motivation: information_theft)
Scarcruft (motivation: information_theft)
Toybox_story
Threats:
Dll_sideloading_technique
Artemis
Steganography_technique
Rokrat
Spear-phishing_technique
Victims:
Media sector, Broadcast journalism
Industry:
Military, Education, Government
Geo:
North korea, Russian, Korea, North korean, Russia, Korean
ChatGPT TTPs:
T1027, T1036, T1204.001, T1566.001, T1574.002, T1583.003
IOCs:
File: 11
Path: 8
Email: 1
Hash: 14
Soft:
Sysinternals, Dropbox
Algorithms:
md5, xor
Win Services:
bits
Platforms:
x64
21-12-2025
Operation Artemis: HWP-based DLL Sideloading Attack Analysis
https://www.genians.co.kr/blog/threat_intelligence/dll
Report completeness: Low
Actors/Campaigns:
Artemis (motivation: information_theft)
Scarcruft (motivation: information_theft)
Toybox_story
Threats:
Dll_sideloading_technique
Artemis
Steganography_technique
Rokrat
Spear-phishing_technique
Victims:
Media sector, Broadcast journalism
Industry:
Military, Education, Government
Geo:
North korea, Russian, Korea, North korean, Russia, Korean
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1204.001, T1566.001, T1574.002, T1583.003
IOCs:
File: 11
Path: 8
Email: 1
Hash: 14
Soft:
Sysinternals, Dropbox
Algorithms:
md5, xor
Win Services:
bits
Platforms:
x64
www.genians.co.kr
작전명 아르테미스: HWP 기반 DLL 사이드 로딩 공격 분석
APT37 그룹이 수행한 '아르테미스(Artemis)' 작전 캠페인이 식별됐습니다. 본 캠페인에서는 다단계 실행 체인, HWP 초기 실행과 DLL 사이드 로딩을 결합해 패턴 탐지 우회 전략, 정상 실행 흐름과 악성 행위를 교묘히 혼합한 고도화된 기법이 사용되었습니다.
CTT Report Hub
#ParsedReport #CompletenessLow 21-12-2025 Operation Artemis: HWP-based DLL Sideloading Attack Analysis https://www.genians.co.kr/blog/threat_intelligence/dll Report completeness: Low Actors/Campaigns: Artemis (motivation: information_theft) Scarcruft (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция Artemis, проведенная APT37, использовала документы HWP для запуска кибератак с использованием тактики социальной инженерии. Злоумышленники маскировались под журналистов, чтобы убедить жертв открыть вредоносные документы, содержащие встроенные OLE-объекты, используя методы DLL Sideloading для получения первоначального доступа. Эта атака продемонстрировала передовые методы обфускации и была подключена к российской облачной инфраструктуре, продемонстрировав тактическую эволюцию APT37's и использование обманчивых взаимодействий для обхода мер безопасности.
-----
В ходе анализа операции Artemis, проведенного группой APT37, был выявлен сложный вектор атаки с использованием документов HWP (текстовый процессор Hangul) для инициирования кибератак. Злоумышленники использовали стратегию, включающую социальную инженерию, выдавая себя за журналиста, чтобы завоевать доверие и побудить цели взаимодействовать с кажущимися безобидными документами, которые содержали вредоносные OLE-объекты. Эта хитроумная уловка приводила жертв к непреднамеренному запуску файлов HWP, которые активировали цепочку атак, главным образом с помощью методов DLL sideloading для обхода мер безопасности.
Процесс атака началась с фишинговых Spear phishing, где были распространены ЗЛМ документов, внедренных с вредоносным содержимым. Как только пользователь доверял документу и взаимодействовал с ним, встроенный OLE-объект запускался, предоставляя злоумышленникам первоначальный доступ к среде цели. Этот метод ознаменовал заметную эволюцию угроз, продемонстрировав комбинацию Стеганографии и DLL sideloading, которая совершенствовалась в течение нескольких месяцев. Примечательно, что использование DLL-файлов, таких как 'version.библиотеки DLL', представлены единой методологии с октября по ноябрь 2025, подчеркнув намерение группы для поддержания тайных операций.
Анализ структуры документа выявил общую закономерность в образцах вредоносного ПО HWP, особенно в хранилище BinData, где были обнаружены OLE-объекты. Это встраивание техники свидетельствует об общей тенденции видеть в сложных постоянных угроз повышенной сложности (apt), где интеграция различных слоев обфускация используется для скрытия вредоносного кода. Кроме того, APT37 связана их деятельность командования и управления инфраструктурой (С2), которая использовала России на основе облака Яндекса, что позволяет предположить зависимость от облачные сервисы для упрощения их операций.
Тактика нападения, описанная в "Операции Artemis", отражает продуманный подход, который предполагает не только техническую изощренность, но и ответственность за социальную инженерию. Злоумышленники тщательно разрабатывали разговоры и взаимодействия, которые обходили прямые вредоносные действия, пока не было установлено доверие. Этот метод согласуется с предыдущим поведением, продемонстрированным APT37, подчеркивая их адаптивность и закрепление в кибероперациях.
Для защиты от таких многогранных атак со стороны APT37 в анализе подчеркивается важность реализации надежной многоуровневой стратегии защиты, в первую очередь с использованием систем обнаружения конечных точек и реагирования (EDR), которые фокусируются на обнаружении аномалий на основе поведения. Такая активная позиция имеет решающее значение для противодействия развивающейся тактике, которая использует облачную инфраструктуру наряду с традиционными направлениями атак на основе файлов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция Artemis, проведенная APT37, использовала документы HWP для запуска кибератак с использованием тактики социальной инженерии. Злоумышленники маскировались под журналистов, чтобы убедить жертв открыть вредоносные документы, содержащие встроенные OLE-объекты, используя методы DLL Sideloading для получения первоначального доступа. Эта атака продемонстрировала передовые методы обфускации и была подключена к российской облачной инфраструктуре, продемонстрировав тактическую эволюцию APT37's и использование обманчивых взаимодействий для обхода мер безопасности.
-----
В ходе анализа операции Artemis, проведенного группой APT37, был выявлен сложный вектор атаки с использованием документов HWP (текстовый процессор Hangul) для инициирования кибератак. Злоумышленники использовали стратегию, включающую социальную инженерию, выдавая себя за журналиста, чтобы завоевать доверие и побудить цели взаимодействовать с кажущимися безобидными документами, которые содержали вредоносные OLE-объекты. Эта хитроумная уловка приводила жертв к непреднамеренному запуску файлов HWP, которые активировали цепочку атак, главным образом с помощью методов DLL sideloading для обхода мер безопасности.
Процесс атака началась с фишинговых Spear phishing, где были распространены ЗЛМ документов, внедренных с вредоносным содержимым. Как только пользователь доверял документу и взаимодействовал с ним, встроенный OLE-объект запускался, предоставляя злоумышленникам первоначальный доступ к среде цели. Этот метод ознаменовал заметную эволюцию угроз, продемонстрировав комбинацию Стеганографии и DLL sideloading, которая совершенствовалась в течение нескольких месяцев. Примечательно, что использование DLL-файлов, таких как 'version.библиотеки DLL', представлены единой методологии с октября по ноябрь 2025, подчеркнув намерение группы для поддержания тайных операций.
Анализ структуры документа выявил общую закономерность в образцах вредоносного ПО HWP, особенно в хранилище BinData, где были обнаружены OLE-объекты. Это встраивание техники свидетельствует об общей тенденции видеть в сложных постоянных угроз повышенной сложности (apt), где интеграция различных слоев обфускация используется для скрытия вредоносного кода. Кроме того, APT37 связана их деятельность командования и управления инфраструктурой (С2), которая использовала России на основе облака Яндекса, что позволяет предположить зависимость от облачные сервисы для упрощения их операций.
Тактика нападения, описанная в "Операции Artemis", отражает продуманный подход, который предполагает не только техническую изощренность, но и ответственность за социальную инженерию. Злоумышленники тщательно разрабатывали разговоры и взаимодействия, которые обходили прямые вредоносные действия, пока не было установлено доверие. Этот метод согласуется с предыдущим поведением, продемонстрированным APT37, подчеркивая их адаптивность и закрепление в кибероперациях.
Для защиты от таких многогранных атак со стороны APT37 в анализе подчеркивается важность реализации надежной многоуровневой стратегии защиты, в первую очередь с использованием систем обнаружения конечных точек и реагирования (EDR), которые фокусируются на обнаружении аномалий на основе поведения. Такая активная позиция имеет решающее значение для противодействия развивающейся тактике, которая использует облачную инфраструктуру наряду с традиционными направлениями атак на основе файлов.
#ParsedReport #CompletenessLow
22-12-2025
2025 Holiday Scams: Docusign Phishing Meets Loan Spam
https://www.forcepoint.com/blog/x-labs/docusign-phishing-holiday-loan-spam
Report completeness: Low
Threats:
Credential_harvesting_technique
Bec_technique
Victims:
Business accounts, Consumers
Industry:
Financial
ChatGPT TTPs:
T1204.001, T1566.002, T1583.001, T1598.003
IOCs:
Domain: 5
Url: 6
IP: 1
Email: 3
Soft:
Gmail
Languages:
php
22-12-2025
2025 Holiday Scams: Docusign Phishing Meets Loan Spam
https://www.forcepoint.com/blog/x-labs/docusign-phishing-holiday-loan-spam
Report completeness: Low
Threats:
Credential_harvesting_technique
Bec_technique
Victims:
Business accounts, Consumers
Industry:
Financial
ChatGPT TTPs:
do not use without manual checkT1204.001, T1566.002, T1583.001, T1598.003
IOCs:
Domain: 5
Url: 6
IP: 1
Email: 3
Soft:
Gmail
Languages:
php
Forcepoint
2025 Holiday Scams: Docusign Phishing Meets Loan Spam
See how DocuSign phishing and holiday loan spam route victims through disposable hosting into credential theft and identity theft, plus IOCs and defenses.