#ParsedReport #CompletenessLow
21-12-2025
Operation Artemis: HWP-based DLL Sideloading Attack Analysis
https://www.genians.co.kr/blog/threat_intelligence/dll
Report completeness: Low
Actors/Campaigns:
Artemis (motivation: information_theft)
Scarcruft (motivation: information_theft)
Toybox_story
Threats:
Dll_sideloading_technique
Artemis
Steganography_technique
Rokrat
Spear-phishing_technique
Victims:
Media sector, Broadcast journalism
Industry:
Military, Education, Government
Geo:
North korea, Russian, Korea, North korean, Russia, Korean
ChatGPT TTPs:
T1027, T1036, T1204.001, T1566.001, T1574.002, T1583.003
IOCs:
File: 11
Path: 8
Email: 1
Hash: 14
Soft:
Sysinternals, Dropbox
Algorithms:
md5, xor
Win Services:
bits
Platforms:
x64
21-12-2025
Operation Artemis: HWP-based DLL Sideloading Attack Analysis
https://www.genians.co.kr/blog/threat_intelligence/dll
Report completeness: Low
Actors/Campaigns:
Artemis (motivation: information_theft)
Scarcruft (motivation: information_theft)
Toybox_story
Threats:
Dll_sideloading_technique
Artemis
Steganography_technique
Rokrat
Spear-phishing_technique
Victims:
Media sector, Broadcast journalism
Industry:
Military, Education, Government
Geo:
North korea, Russian, Korea, North korean, Russia, Korean
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1204.001, T1566.001, T1574.002, T1583.003
IOCs:
File: 11
Path: 8
Email: 1
Hash: 14
Soft:
Sysinternals, Dropbox
Algorithms:
md5, xor
Win Services:
bits
Platforms:
x64
www.genians.co.kr
작전명 아르테미스: HWP 기반 DLL 사이드 로딩 공격 분석
APT37 그룹이 수행한 '아르테미스(Artemis)' 작전 캠페인이 식별됐습니다. 본 캠페인에서는 다단계 실행 체인, HWP 초기 실행과 DLL 사이드 로딩을 결합해 패턴 탐지 우회 전략, 정상 실행 흐름과 악성 행위를 교묘히 혼합한 고도화된 기법이 사용되었습니다.
CTT Report Hub
#ParsedReport #CompletenessLow 21-12-2025 Operation Artemis: HWP-based DLL Sideloading Attack Analysis https://www.genians.co.kr/blog/threat_intelligence/dll Report completeness: Low Actors/Campaigns: Artemis (motivation: information_theft) Scarcruft (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция Artemis, проведенная APT37, использовала документы HWP для запуска кибератак с использованием тактики социальной инженерии. Злоумышленники маскировались под журналистов, чтобы убедить жертв открыть вредоносные документы, содержащие встроенные OLE-объекты, используя методы DLL Sideloading для получения первоначального доступа. Эта атака продемонстрировала передовые методы обфускации и была подключена к российской облачной инфраструктуре, продемонстрировав тактическую эволюцию APT37's и использование обманчивых взаимодействий для обхода мер безопасности.
-----
В ходе анализа операции Artemis, проведенного группой APT37, был выявлен сложный вектор атаки с использованием документов HWP (текстовый процессор Hangul) для инициирования кибератак. Злоумышленники использовали стратегию, включающую социальную инженерию, выдавая себя за журналиста, чтобы завоевать доверие и побудить цели взаимодействовать с кажущимися безобидными документами, которые содержали вредоносные OLE-объекты. Эта хитроумная уловка приводила жертв к непреднамеренному запуску файлов HWP, которые активировали цепочку атак, главным образом с помощью методов DLL sideloading для обхода мер безопасности.
Процесс атака началась с фишинговых Spear phishing, где были распространены ЗЛМ документов, внедренных с вредоносным содержимым. Как только пользователь доверял документу и взаимодействовал с ним, встроенный OLE-объект запускался, предоставляя злоумышленникам первоначальный доступ к среде цели. Этот метод ознаменовал заметную эволюцию угроз, продемонстрировав комбинацию Стеганографии и DLL sideloading, которая совершенствовалась в течение нескольких месяцев. Примечательно, что использование DLL-файлов, таких как 'version.библиотеки DLL', представлены единой методологии с октября по ноябрь 2025, подчеркнув намерение группы для поддержания тайных операций.
Анализ структуры документа выявил общую закономерность в образцах вредоносного ПО HWP, особенно в хранилище BinData, где были обнаружены OLE-объекты. Это встраивание техники свидетельствует об общей тенденции видеть в сложных постоянных угроз повышенной сложности (apt), где интеграция различных слоев обфускация используется для скрытия вредоносного кода. Кроме того, APT37 связана их деятельность командования и управления инфраструктурой (С2), которая использовала России на основе облака Яндекса, что позволяет предположить зависимость от облачные сервисы для упрощения их операций.
Тактика нападения, описанная в "Операции Artemis", отражает продуманный подход, который предполагает не только техническую изощренность, но и ответственность за социальную инженерию. Злоумышленники тщательно разрабатывали разговоры и взаимодействия, которые обходили прямые вредоносные действия, пока не было установлено доверие. Этот метод согласуется с предыдущим поведением, продемонстрированным APT37, подчеркивая их адаптивность и закрепление в кибероперациях.
Для защиты от таких многогранных атак со стороны APT37 в анализе подчеркивается важность реализации надежной многоуровневой стратегии защиты, в первую очередь с использованием систем обнаружения конечных точек и реагирования (EDR), которые фокусируются на обнаружении аномалий на основе поведения. Такая активная позиция имеет решающее значение для противодействия развивающейся тактике, которая использует облачную инфраструктуру наряду с традиционными направлениями атак на основе файлов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция Artemis, проведенная APT37, использовала документы HWP для запуска кибератак с использованием тактики социальной инженерии. Злоумышленники маскировались под журналистов, чтобы убедить жертв открыть вредоносные документы, содержащие встроенные OLE-объекты, используя методы DLL Sideloading для получения первоначального доступа. Эта атака продемонстрировала передовые методы обфускации и была подключена к российской облачной инфраструктуре, продемонстрировав тактическую эволюцию APT37's и использование обманчивых взаимодействий для обхода мер безопасности.
-----
В ходе анализа операции Artemis, проведенного группой APT37, был выявлен сложный вектор атаки с использованием документов HWP (текстовый процессор Hangul) для инициирования кибератак. Злоумышленники использовали стратегию, включающую социальную инженерию, выдавая себя за журналиста, чтобы завоевать доверие и побудить цели взаимодействовать с кажущимися безобидными документами, которые содержали вредоносные OLE-объекты. Эта хитроумная уловка приводила жертв к непреднамеренному запуску файлов HWP, которые активировали цепочку атак, главным образом с помощью методов DLL sideloading для обхода мер безопасности.
Процесс атака началась с фишинговых Spear phishing, где были распространены ЗЛМ документов, внедренных с вредоносным содержимым. Как только пользователь доверял документу и взаимодействовал с ним, встроенный OLE-объект запускался, предоставляя злоумышленникам первоначальный доступ к среде цели. Этот метод ознаменовал заметную эволюцию угроз, продемонстрировав комбинацию Стеганографии и DLL sideloading, которая совершенствовалась в течение нескольких месяцев. Примечательно, что использование DLL-файлов, таких как 'version.библиотеки DLL', представлены единой методологии с октября по ноябрь 2025, подчеркнув намерение группы для поддержания тайных операций.
Анализ структуры документа выявил общую закономерность в образцах вредоносного ПО HWP, особенно в хранилище BinData, где были обнаружены OLE-объекты. Это встраивание техники свидетельствует об общей тенденции видеть в сложных постоянных угроз повышенной сложности (apt), где интеграция различных слоев обфускация используется для скрытия вредоносного кода. Кроме того, APT37 связана их деятельность командования и управления инфраструктурой (С2), которая использовала России на основе облака Яндекса, что позволяет предположить зависимость от облачные сервисы для упрощения их операций.
Тактика нападения, описанная в "Операции Artemis", отражает продуманный подход, который предполагает не только техническую изощренность, но и ответственность за социальную инженерию. Злоумышленники тщательно разрабатывали разговоры и взаимодействия, которые обходили прямые вредоносные действия, пока не было установлено доверие. Этот метод согласуется с предыдущим поведением, продемонстрированным APT37, подчеркивая их адаптивность и закрепление в кибероперациях.
Для защиты от таких многогранных атак со стороны APT37 в анализе подчеркивается важность реализации надежной многоуровневой стратегии защиты, в первую очередь с использованием систем обнаружения конечных точек и реагирования (EDR), которые фокусируются на обнаружении аномалий на основе поведения. Такая активная позиция имеет решающее значение для противодействия развивающейся тактике, которая использует облачную инфраструктуру наряду с традиционными направлениями атак на основе файлов.
#ParsedReport #CompletenessLow
22-12-2025
2025 Holiday Scams: Docusign Phishing Meets Loan Spam
https://www.forcepoint.com/blog/x-labs/docusign-phishing-holiday-loan-spam
Report completeness: Low
Threats:
Credential_harvesting_technique
Bec_technique
Victims:
Business accounts, Consumers
Industry:
Financial
ChatGPT TTPs:
T1204.001, T1566.002, T1583.001, T1598.003
IOCs:
Domain: 5
Url: 6
IP: 1
Email: 3
Soft:
Gmail
Languages:
php
22-12-2025
2025 Holiday Scams: Docusign Phishing Meets Loan Spam
https://www.forcepoint.com/blog/x-labs/docusign-phishing-holiday-loan-spam
Report completeness: Low
Threats:
Credential_harvesting_technique
Bec_technique
Victims:
Business accounts, Consumers
Industry:
Financial
ChatGPT TTPs:
do not use without manual checkT1204.001, T1566.002, T1583.001, T1598.003
IOCs:
Domain: 5
Url: 6
IP: 1
Email: 3
Soft:
Gmail
Languages:
php
Forcepoint
2025 Holiday Scams: Docusign Phishing Meets Loan Spam
See how DocuSign phishing and holiday loan spam route victims through disposable hosting into credential theft and identity theft, plus IOCs and defenses.
CTT Report Hub
#ParsedReport #CompletenessLow 22-12-2025 2025 Holiday Scams: Docusign Phishing Meets Loan Spam https://www.forcepoint.com/blog/x-labs/docusign-phishing-holiday-loan-spam Report completeness: Low Threats: Credential_harvesting_technique Bec_technique …
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Во время сезона отпусков злоумышленники активизируют свою деятельность по фишингу и мошенничеству, в частности, с помощью фишинга на тему DocuSign для сбора корпоративных учетных данных и рассылки спама по электронной почте с запросом личных и банковских данных. Атаки фишинга используют вводящие в заблуждение домены и срочность, чтобы обманом заставить жертв раскрыть корпоративные регистрационные данные, в то время как мошенники с кредитами обещают привлекательные условия с подозрительными адресами отправителей и ссылками на анкеты о краже личных данных. Методы атаки подчеркивают характер срочности и несоответствия между адресами отправителей и контентом, стремясь использовать финансовые трудности.
-----
Во время отпускного сезона, актеры опасный активизировать свою деятельность за счет использования высокого давления, таких сценариях, как перегруженный почтовые ящики и финансового стресса. Недавнее исследование, проведенное компанией X-Labs, выявило две важные тенденции: фишинг-атаки на тему DocuSign, направленные на сбор корпоративных учетных данных, и спам-письма, предлагающие праздничные кредиты, которые направлены на сбор личной и банковской информации.
Кампания фишинга DocuSign направлена на то, чтобы ввести жертв в заблуждение и заставить их предоставить свои корпоративные логины электронной почты, что впоследствии может способствовать компрометации деловой электронной почты (BEC) или другим мошенническим действиям. Ключевыми признаками таких попыток фишинга являются следующие: электронные письма, отправляемые с доменов, несовместимых с подлинными доменами DocuSign — часто с использованием .покупайте домены верхнего уровня и IP-адреса, не связанные с признанной инфраструктурой DocuSign. Вредоносные ссылки в этих фишинг-письмах часто маскируются под удобные ссылки для просмотра документов, но перенаправляют пользователей на скомпрометированные сайты. Попытки фишинга часто подчеркивают срочность, побуждая жертв действовать быстро, не проверяя законность запроса.
Одновременно в праздничные дни увеличивается количество рассылок со спамом по кредитам. Эти сообщения, как правило, обещают низкие процентные ставки и быструю финансовую помощь, используя срочность и беспокойство, которые сопровождают составление бюджета на праздничные дни. Они часто приходят с вводящих в заблуждение адресов отправителей, где домен для ответа не соответствует фактическому отправителю, и могут содержать подозрительные ссылки, ведущие на сайты по извлечению личной информации. Один из выявленных вариантов приводит жертв к анкете о краже личных данных, размещенной на доменах, напоминающих законные источники кредитования. После предоставления конфиденциальных данных жертвы часто подвергаются вторичным перенаправлениям, побуждающим к дальнейшему сбору информации и дополнительному спаму, связанному с кредитами.
Учитывая тактику мошенников, законные кредиторы, как правило, не обращаются с незапрашиваемыми предложениями о кредите по электронной почте. Таким образом, пользователям следует опасаться чрезмерно привлекательных условий кредитования, срочности сообщений и любого несоответствия между адресом отправителя и содержанием электронного письма. К "красным флажкам" относятся общее форматирование и неожиданное перенаправление, которые могут указывать на попытки фишинга, направленные на сбор конфиденциальной информации для кражи личных данных или других злонамеренных намерений.
Чтобы снизить риски, связанные с подобными мошенничествами в праздничные дни, частным лицам и организациям крайне важно сохранять бдительность, тщательно проверять нежелательные сообщения и воздерживаться от перехода по ссылкам или разглашения личной информации без обеспечения законности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Во время сезона отпусков злоумышленники активизируют свою деятельность по фишингу и мошенничеству, в частности, с помощью фишинга на тему DocuSign для сбора корпоративных учетных данных и рассылки спама по электронной почте с запросом личных и банковских данных. Атаки фишинга используют вводящие в заблуждение домены и срочность, чтобы обманом заставить жертв раскрыть корпоративные регистрационные данные, в то время как мошенники с кредитами обещают привлекательные условия с подозрительными адресами отправителей и ссылками на анкеты о краже личных данных. Методы атаки подчеркивают характер срочности и несоответствия между адресами отправителей и контентом, стремясь использовать финансовые трудности.
-----
Во время отпускного сезона, актеры опасный активизировать свою деятельность за счет использования высокого давления, таких сценариях, как перегруженный почтовые ящики и финансового стресса. Недавнее исследование, проведенное компанией X-Labs, выявило две важные тенденции: фишинг-атаки на тему DocuSign, направленные на сбор корпоративных учетных данных, и спам-письма, предлагающие праздничные кредиты, которые направлены на сбор личной и банковской информации.
Кампания фишинга DocuSign направлена на то, чтобы ввести жертв в заблуждение и заставить их предоставить свои корпоративные логины электронной почты, что впоследствии может способствовать компрометации деловой электронной почты (BEC) или другим мошенническим действиям. Ключевыми признаками таких попыток фишинга являются следующие: электронные письма, отправляемые с доменов, несовместимых с подлинными доменами DocuSign — часто с использованием .покупайте домены верхнего уровня и IP-адреса, не связанные с признанной инфраструктурой DocuSign. Вредоносные ссылки в этих фишинг-письмах часто маскируются под удобные ссылки для просмотра документов, но перенаправляют пользователей на скомпрометированные сайты. Попытки фишинга часто подчеркивают срочность, побуждая жертв действовать быстро, не проверяя законность запроса.
Одновременно в праздничные дни увеличивается количество рассылок со спамом по кредитам. Эти сообщения, как правило, обещают низкие процентные ставки и быструю финансовую помощь, используя срочность и беспокойство, которые сопровождают составление бюджета на праздничные дни. Они часто приходят с вводящих в заблуждение адресов отправителей, где домен для ответа не соответствует фактическому отправителю, и могут содержать подозрительные ссылки, ведущие на сайты по извлечению личной информации. Один из выявленных вариантов приводит жертв к анкете о краже личных данных, размещенной на доменах, напоминающих законные источники кредитования. После предоставления конфиденциальных данных жертвы часто подвергаются вторичным перенаправлениям, побуждающим к дальнейшему сбору информации и дополнительному спаму, связанному с кредитами.
Учитывая тактику мошенников, законные кредиторы, как правило, не обращаются с незапрашиваемыми предложениями о кредите по электронной почте. Таким образом, пользователям следует опасаться чрезмерно привлекательных условий кредитования, срочности сообщений и любого несоответствия между адресом отправителя и содержанием электронного письма. К "красным флажкам" относятся общее форматирование и неожиданное перенаправление, которые могут указывать на попытки фишинга, направленные на сбор конфиденциальной информации для кражи личных данных или других злонамеренных намерений.
Чтобы снизить риски, связанные с подобными мошенничествами в праздничные дни, частным лицам и организациям крайне важно сохранять бдительность, тщательно проверять нежелательные сообщения и воздерживаться от перехода по ссылкам или разглашения личной информации без обеспечения законности.
#ParsedReport #CompletenessMedium
22-12-2025
From ClickFix to code signed: the quiet shift of MacSync Stealer malware
https://www.jamf.com/blog/macsync-stealer-evolution-code-signed-swift-malware-analysis/
Report completeness: Medium
Threats:
Macsyncstealer
Clickfix_technique
Odyssey_stealer
Macstealer
Victims:
Macos users
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1059.004, T1105, T1106, T1140, T1204, T1553.002
IOCs:
File: 2
Domain: 1
Url: 1
Hash: 12
Soft:
LibreOffice, curl, macOS, Gatekeeper
Algorithms:
base64, sha256
Functions:
daemon_function, _NSHomeDirectory, checkInternet, runInstaller, log, print, _runInstaller, therunInstaller
Languages:
swift
Platforms:
apple
22-12-2025
From ClickFix to code signed: the quiet shift of MacSync Stealer malware
https://www.jamf.com/blog/macsync-stealer-evolution-code-signed-swift-malware-analysis/
Report completeness: Medium
Threats:
Macsyncstealer
Clickfix_technique
Odyssey_stealer
Macstealer
Victims:
Macos users
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1059.004, T1105, T1106, T1140, T1204, T1553.002
IOCs:
File: 2
Domain: 1
Url: 1
Hash: 12
Soft:
LibreOffice, curl, macOS, Gatekeeper
Algorithms:
base64, sha256
Functions:
daemon_function, _NSHomeDirectory, checkInternet, runInstaller, log, print, _runInstaller, therunInstaller
Languages:
swift
Platforms:
apple
Jamf
MacSync Stealer Evolves: From ClickFix to Code-Signed Swift Malware — Jamf Threat Labs
Jamf Threat Labs discovers MacSync Stealer's evolution to code-signed, notarized Swift applications that silently download and execute payloads, bypassing traditional macOS security measures.
CTT Report Hub
#ParsedReport #CompletenessMedium 22-12-2025 From ClickFix to code signed: the quiet shift of MacSync Stealer malware https://www.jamf.com/blog/macsync-stealer-evolution-code-signed-swift-malware-analysis/ Report completeness: Medium Threats: Macsyncstealer…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносное ПО MacSync Stealer эволюционировало от примитивных методов выполнения, таких как перетаскивание на терминал и ClickFix, к более сложному подходу, теперь использующему подписанное и нотариально заверенное приложение для лучшего обхода мер безопасности. Вредоносное ПО использует универсальный двоичный файл Mach-O, который запускается с помощью функции _main, проводя проверку подключения к Интернету перед извлечением полезной нагрузки второго этапа. Эта эволюция отражает тенденцию, когда злоумышленники совершенствуют свои методы для повышения скрытности и эффективности доставки полезной нагрузки.
-----
Вредоносное ПО MacSync Stealer претерпело значительную эволюцию, перейдя от своих более ранних, более примитивных методов выполнения к более изощренному подходу. Изначально более ранние варианты MacSync Stealer основывались на таких методах, как перетаскивание на терминал и ClickFix, когда пользователи непреднамеренно запускали вредоносные скрипты, помещая их в терминал или вставляя команды в кодировке base64, которые декодировали и выполняли полезную нагрузку. Эти традиционные методы обычно оставляли минимальные следы на диске, что говорит о сосредоточении внимания на выполнении в памяти.
Недавний анализ, проведенный Jamf Threat Labs, выявил обновленную версию этого вредоносного ПО, которая поставляется в виде подписанного и нотариально заверенного приложения, что указывает на переход к использованию технологий подписи кода для более эффективного обхода мер безопасности. Этот обновленный образец показывает значительные изменения в его цепь—без выполнения предыдущих методов в пользу более структурированный подход, где универсального Маха-О'бинарных осуществляется в пределах пакета приложений.
Точкой входа для этого двоичного файла является функция _main, которая устанавливает состояние приложения и задает пути ведения журнала. Он также проводит проверку подключения к Интернету; в случае успеха он извлекает полезную нагрузку второго этапа, что свидетельствует о явном прогрессе в области оперативной скрытности. Более глубокое изучение функции RunInstaller() показывает, как dropper выполняет эту последующую полезную нагрузку, отмечая заметный сдвиг в технологии доставки полезных нагрузок, связанных с MacSync Stealer.
Недавние изменения в дизайне MacSync Stealer's демонстрируют адаптацию злоумышленников, которые совершенствуют свои методы, чтобы избежать обнаружения, одновременно повышая эффективность доставки полезной нагрузки. Эта эволюция отражает более широкую тенденцию в разработке вредоносного ПО, когда злоумышленники все чаще используют подписание кода для обхода механизмов безопасности и обеспечения скрытого выполнения своих вредоносных целей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносное ПО MacSync Stealer эволюционировало от примитивных методов выполнения, таких как перетаскивание на терминал и ClickFix, к более сложному подходу, теперь использующему подписанное и нотариально заверенное приложение для лучшего обхода мер безопасности. Вредоносное ПО использует универсальный двоичный файл Mach-O, который запускается с помощью функции _main, проводя проверку подключения к Интернету перед извлечением полезной нагрузки второго этапа. Эта эволюция отражает тенденцию, когда злоумышленники совершенствуют свои методы для повышения скрытности и эффективности доставки полезной нагрузки.
-----
Вредоносное ПО MacSync Stealer претерпело значительную эволюцию, перейдя от своих более ранних, более примитивных методов выполнения к более изощренному подходу. Изначально более ранние варианты MacSync Stealer основывались на таких методах, как перетаскивание на терминал и ClickFix, когда пользователи непреднамеренно запускали вредоносные скрипты, помещая их в терминал или вставляя команды в кодировке base64, которые декодировали и выполняли полезную нагрузку. Эти традиционные методы обычно оставляли минимальные следы на диске, что говорит о сосредоточении внимания на выполнении в памяти.
Недавний анализ, проведенный Jamf Threat Labs, выявил обновленную версию этого вредоносного ПО, которая поставляется в виде подписанного и нотариально заверенного приложения, что указывает на переход к использованию технологий подписи кода для более эффективного обхода мер безопасности. Этот обновленный образец показывает значительные изменения в его цепь—без выполнения предыдущих методов в пользу более структурированный подход, где универсального Маха-О'бинарных осуществляется в пределах пакета приложений.
Точкой входа для этого двоичного файла является функция _main, которая устанавливает состояние приложения и задает пути ведения журнала. Он также проводит проверку подключения к Интернету; в случае успеха он извлекает полезную нагрузку второго этапа, что свидетельствует о явном прогрессе в области оперативной скрытности. Более глубокое изучение функции RunInstaller() показывает, как dropper выполняет эту последующую полезную нагрузку, отмечая заметный сдвиг в технологии доставки полезных нагрузок, связанных с MacSync Stealer.
Недавние изменения в дизайне MacSync Stealer's демонстрируют адаптацию злоумышленников, которые совершенствуют свои методы, чтобы избежать обнаружения, одновременно повышая эффективность доставки полезной нагрузки. Эта эволюция отражает более широкую тенденцию в разработке вредоносного ПО, когда злоумышленники все чаще используют подписание кода для обхода механизмов безопасности и обеспечения скрытого выполнения своих вредоносных целей.
#ParsedReport #CompletenessHigh
22-12-2025
Trial, Error, and Typos: Why Some Malware Attacks Aren't as 'Sophisticated' as You Think
https://www.huntress.com/blog/trial-error-typos-malware-attacks-sophisticated
Report completeness: High
Threats:
X2anylock
Lolbin_technique
Shellcoderunner
Gotohttp_tool
Spark_rat
Victims:
Web applications
Industry:
Education
Geo:
Korea
ChatGPT TTPs:
T1016, T1033, T1059.001, T1059.003, T1190, T1505.003, T1562.001
IOCs:
File: 7
IP: 6
Path: 5
Url: 1
Command: 5
Hash: 3
Soft:
Velociraptor, OpenSSH, Windows Defender, Microsoft Defender, Windows service, ChatGPT, Claude
Algorithms:
sha256
Functions:
Get-MpPreference
Languages:
golang, powershell
Platforms:
intel
22-12-2025
Trial, Error, and Typos: Why Some Malware Attacks Aren't as 'Sophisticated' as You Think
https://www.huntress.com/blog/trial-error-typos-malware-attacks-sophisticated
Report completeness: High
Threats:
X2anylock
Lolbin_technique
Shellcoderunner
Gotohttp_tool
Spark_rat
Victims:
Web applications
Industry:
Education
Geo:
Korea
ChatGPT TTPs:
do not use without manual checkT1016, T1033, T1059.001, T1059.003, T1190, T1505.003, T1562.001
IOCs:
File: 7
IP: 6
Path: 5
Url: 1
Command: 5
Hash: 3
Soft:
Velociraptor, OpenSSH, Windows Defender, Microsoft Defender, Windows service, ChatGPT, Claude
Algorithms:
sha256
Functions:
Get-MpPreference
Languages:
golang, powershell
Platforms:
intel
Huntress
Trial, Error, and Typos: Why Some Malware Attacks Aren't as 'Sophisticated' as You Think | Huntress
Think all threat actors are pros? This post reveals how 'unsophisticated' malware and attacker errors help defenders stop attacks before damage is done.
CTT Report Hub
#ParsedReport #CompletenessHigh 22-12-2025 Trial, Error, and Typos: Why Some Malware Attacks Aren't as 'Sophisticated' as You Think https://www.huntress.com/blog/trial-error-typos-malware-attacks-sophisticated Report completeness: High Threats: X2anylock…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние атаки вредоносного ПО демонстрируют менее сложный подход, чем принято считать, в основном основанный на методе проб и ошибок и использующий уязвимости веб-приложений для выполнения команд на конечных точках. Троянец Golang по имени agent.exe был повторно развернут во всех проанализированных инцидентах, выполнив системный перебор и выполнив команды PowerShell для управления настройками защитника Windows для дальнейшей эксплуатации. Кроме того, все инциденты демонстрировали схожие схемы атак и инфраструктуру, подчеркивая согласованную, хотя и базовую, схему действий злоумышленников.
-----
Анализ показывает, что недавние атаки вредоносного ПО могут быть не такими изощренными, как часто изображается. Хотя отчеты об общественной безопасности предполагают высокоорганизованный подход злоумышленников, факты указывают на более неорганизованную методологию, включающую метод проб и ошибок, а также зависимость от типичных уязвимостей в веб-приложениях. В частности, эти злоумышленники использовали уязвимости, которые позволяли выполнять команды на конечных точках через скомпрометированные веб-серверы.
В трех проанализированных инцидентах повторяющимся методом было внедрение троянца Golang под названием agent.exe , целью которого было закрепиться внутри системы. В первом инциденте актор инициировал действия по перечислению, используя команды типа "whoami.exe ,"netstat -an" и "ipconfig /all" для сбора информации о системе, за которыми последовали попытки выполнения дальнейших вредоносных команд, которые были оперативно заблокированы Защитником Windows.
Второй инцидент быстро обострился: вскоре после начала первоначального процесса была выполнена серия команд PowerShell. Эти команды манипулировали настройками защитника Windows, добавляя исключения в его мониторинг, что фактически подрывало действующие меры защиты. Аналогичным образом, третий инцидент отразил это поведение, также включающее доступ к Веб-шеллу и попытки отключить средства безопасности. Примечательно, что исполняемый файл "dllhost.exe " была опробована как часть выполнения атаки; однако она не была успешно запущена.
При изучении этих случаев были выявлены общие закономерности в отношении методов атаки и инфраструктуры, выявились схожие используемые IP-адреса, соглашения об именовании вредоносного ПО и согласованные операционные каталоги, из которых действовали злоумышленники. Такое большое количество сходств указывает на потенциально менее изощренный, но все еще эффективный оперативный план действий, используемый злоумышленниками. Наблюдение за тем, что многие элементы выполнения атак повторяются в разных инцидентах, подчеркивает зависимость от испытанных методов, а не от инновационных стратегий.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние атаки вредоносного ПО демонстрируют менее сложный подход, чем принято считать, в основном основанный на методе проб и ошибок и использующий уязвимости веб-приложений для выполнения команд на конечных точках. Троянец Golang по имени agent.exe был повторно развернут во всех проанализированных инцидентах, выполнив системный перебор и выполнив команды PowerShell для управления настройками защитника Windows для дальнейшей эксплуатации. Кроме того, все инциденты демонстрировали схожие схемы атак и инфраструктуру, подчеркивая согласованную, хотя и базовую, схему действий злоумышленников.
-----
Анализ показывает, что недавние атаки вредоносного ПО могут быть не такими изощренными, как часто изображается. Хотя отчеты об общественной безопасности предполагают высокоорганизованный подход злоумышленников, факты указывают на более неорганизованную методологию, включающую метод проб и ошибок, а также зависимость от типичных уязвимостей в веб-приложениях. В частности, эти злоумышленники использовали уязвимости, которые позволяли выполнять команды на конечных точках через скомпрометированные веб-серверы.
В трех проанализированных инцидентах повторяющимся методом было внедрение троянца Golang под названием agent.exe , целью которого было закрепиться внутри системы. В первом инциденте актор инициировал действия по перечислению, используя команды типа "whoami.exe ,"netstat -an" и "ipconfig /all" для сбора информации о системе, за которыми последовали попытки выполнения дальнейших вредоносных команд, которые были оперативно заблокированы Защитником Windows.
Второй инцидент быстро обострился: вскоре после начала первоначального процесса была выполнена серия команд PowerShell. Эти команды манипулировали настройками защитника Windows, добавляя исключения в его мониторинг, что фактически подрывало действующие меры защиты. Аналогичным образом, третий инцидент отразил это поведение, также включающее доступ к Веб-шеллу и попытки отключить средства безопасности. Примечательно, что исполняемый файл "dllhost.exe " была опробована как часть выполнения атаки; однако она не была успешно запущена.
При изучении этих случаев были выявлены общие закономерности в отношении методов атаки и инфраструктуры, выявились схожие используемые IP-адреса, соглашения об именовании вредоносного ПО и согласованные операционные каталоги, из которых действовали злоумышленники. Такое большое количество сходств указывает на потенциально менее изощренный, но все еще эффективный оперативный план действий, используемый злоумышленниками. Наблюдение за тем, что многие элементы выполнения атак повторяются в разных инцидентах, подчеркивает зависимость от испытанных методов, а не от инновационных стратегий.
#ParsedReport #CompletenessLow
24-12-2025
CVE-2025-14733: WatchGuard Firebox RCE Vulnerability
https://socradar.io/blog/cve-2025-14733-watchguard-firebox-rce-flaw/
Report completeness: Low
CVEs:
CVE-2025-14733 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- watchguard fireware (<12.5.15)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1046, T1068, T1190, T1210, T1595
IOCs:
IP: 4
24-12-2025
CVE-2025-14733: WatchGuard Firebox RCE Vulnerability
https://socradar.io/blog/cve-2025-14733-watchguard-firebox-rce-flaw/
Report completeness: Low
CVEs:
CVE-2025-14733 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- watchguard fireware (<12.5.15)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1046, T1068, T1190, T1210, T1595
IOCs:
IP: 4
SOCRadar® Cyber Intelligence Inc.
CVE-2025-14733: WatchGuard Firebox RCE Vulnerability
In this blog, we will answer what this WatchGuard Firebox RCE flaw is, who is affected, how exploitation conditions work, what impact to expect, what actions
CTT Report Hub
#ParsedReport #CompletenessLow 24-12-2025 CVE-2025-14733: WatchGuard Firebox RCE Vulnerability https://socradar.io/blog/cve-2025-14733-watchguard-firebox-rce-flaw/ Report completeness: Low CVEs: CVE-2025-14733 [Vulners] CVSS V3.1: 9.8, Vulners:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2025-14733 - это критическая уязвимость RCE в устройствах WatchGuard Firebox, работающих под управлением определенных версий Fireware OS, возникающая из-за проблемы с записью за пределы доступа в процессе iked для согласования VPN IKEv2. Эксплуатация может осуществляться удаленно без аутентификации, что создает риск манипулирования трафиком и нарушения работы VPN для более чем 115 000 незащищенных устройств. Уязвимость, оцененная в 9,3 балла по шкале CVSS, активно эксплуатируется, что привело к ее включению в каталог KEV CISA и требует срочного внимания со стороны затронутых организаций.
-----
CVE-2025-14733 - это критическая уязвимость Удаленного Выполнения Кода (RCE), которая воздействие на устройства WatchGuard Firebox, работающие под управлением определенных версий Fireware OS. Эта уязвимость возникает из-за проблемы с записью за пределы системы в процессе iked, который отвечает за обработку переговоров об обмене ключами Интернета (IKE) в туннелях IKEv2 VPN. Использование этой уязвимости может быть осуществлено удаленно и без необходимости аутентификации, что вызывает серьезную озабоченность и привлекает значительное внимание со стороны организаций, занимающихся обеспечением безопасности. Уязвимость оценена по шкале CVSS в 9,3 балла, что указывает на серьезный риск.
Из-за его критического характера CISA включила CVE-2025-14733 в свой каталог известных эксплуатируемых уязвимостей (KEV), признавая, что он активно эксплуатируется в дикой природе. Чтобы снизить риски, связанные с этой уязвимостью, организациям было поручено внедрить исправления или стратегии смягчения последствий к 26 декабря 2025 года в рамках обязательной операционной директивы (BOD) 22-01. Эксплуатация может поставить под угрозу безопасность уязвимых устройств, позволяя злоумышленникам манипулировать трафиком, нарушать VPN-подключение и потенциально использовать скомпрометированное устройство в качестве плацдарма для дальнейшего доступа к сети.
Последние данные указывают на то, что более 115 000 устройств WatchGuard Firebox могут быть подвержены этой уязвимости, причем многие из них по-прежнему доступны онлайн даже после выпуска исправлений. Организациям, использующим уязвимые устройства Firebox, рекомендуется ограничить воздействие, сократив доступ к IKEv2 и пересмотрев свои конфигурации VPN, если немедленное внедрение исправления невозможно. Кроме того, WatchGuard предоставила рекомендации по конкретным настройкам BOVPN для повышения безопасности.
Чтобы обнаружить потенциальную эксплуатацию или признаки компрометации, WatchGuard поделилась несколькими поведенческими индикаторами для мониторинга. Зашедший в тупик процесс iked, который затрудняет переговоры по VPN, служит убедительным показателем эксплуатации, в то время как сбои процесса iked, сопровождаемые сообщениями о неисправностях, также могут иметь значение, хотя и менее определенно. Принятие упреждающих мер по устранению этой уязвимости имеет решающее значение для организаций, чтобы усилить свою защиту от потенциальных киберугроз, связанных с CVE-2025-14733.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2025-14733 - это критическая уязвимость RCE в устройствах WatchGuard Firebox, работающих под управлением определенных версий Fireware OS, возникающая из-за проблемы с записью за пределы доступа в процессе iked для согласования VPN IKEv2. Эксплуатация может осуществляться удаленно без аутентификации, что создает риск манипулирования трафиком и нарушения работы VPN для более чем 115 000 незащищенных устройств. Уязвимость, оцененная в 9,3 балла по шкале CVSS, активно эксплуатируется, что привело к ее включению в каталог KEV CISA и требует срочного внимания со стороны затронутых организаций.
-----
CVE-2025-14733 - это критическая уязвимость Удаленного Выполнения Кода (RCE), которая воздействие на устройства WatchGuard Firebox, работающие под управлением определенных версий Fireware OS. Эта уязвимость возникает из-за проблемы с записью за пределы системы в процессе iked, который отвечает за обработку переговоров об обмене ключами Интернета (IKE) в туннелях IKEv2 VPN. Использование этой уязвимости может быть осуществлено удаленно и без необходимости аутентификации, что вызывает серьезную озабоченность и привлекает значительное внимание со стороны организаций, занимающихся обеспечением безопасности. Уязвимость оценена по шкале CVSS в 9,3 балла, что указывает на серьезный риск.
Из-за его критического характера CISA включила CVE-2025-14733 в свой каталог известных эксплуатируемых уязвимостей (KEV), признавая, что он активно эксплуатируется в дикой природе. Чтобы снизить риски, связанные с этой уязвимостью, организациям было поручено внедрить исправления или стратегии смягчения последствий к 26 декабря 2025 года в рамках обязательной операционной директивы (BOD) 22-01. Эксплуатация может поставить под угрозу безопасность уязвимых устройств, позволяя злоумышленникам манипулировать трафиком, нарушать VPN-подключение и потенциально использовать скомпрометированное устройство в качестве плацдарма для дальнейшего доступа к сети.
Последние данные указывают на то, что более 115 000 устройств WatchGuard Firebox могут быть подвержены этой уязвимости, причем многие из них по-прежнему доступны онлайн даже после выпуска исправлений. Организациям, использующим уязвимые устройства Firebox, рекомендуется ограничить воздействие, сократив доступ к IKEv2 и пересмотрев свои конфигурации VPN, если немедленное внедрение исправления невозможно. Кроме того, WatchGuard предоставила рекомендации по конкретным настройкам BOVPN для повышения безопасности.
Чтобы обнаружить потенциальную эксплуатацию или признаки компрометации, WatchGuard поделилась несколькими поведенческими индикаторами для мониторинга. Зашедший в тупик процесс iked, который затрудняет переговоры по VPN, служит убедительным показателем эксплуатации, в то время как сбои процесса iked, сопровождаемые сообщениями о неисправностях, также могут иметь значение, хотя и менее определенно. Принятие упреждающих мер по устранению этой уязвимости имеет решающее значение для организаций, чтобы усилить свою защиту от потенциальных киберугроз, связанных с CVE-2025-14733.
#ParsedReport #CompletenessMedium
24-12-2025
Atera Under the Spotlight: Exploring More Effective Detections
https://www.immersivelabs.com/resources/blog/atera-under-the-spotlight-exploring-more-effective-detections
Report completeness: Medium
Actors/Campaigns:
Muddywater
Sandworm
Threats:
Atera_tool
Lockbit
Blackcat
Zerolot
Conti
Industry:
Transport, Energy
Geo:
Iranian, Ukraine
TTPs:
Tactics: 1
Technics: 1
ChatGPT TTPs:
T1059.001, T1218.005, T1566, T1566.003
IOCs:
File: 4
IP: 1
Url: 2
Languages:
powershell
24-12-2025
Atera Under the Spotlight: Exploring More Effective Detections
https://www.immersivelabs.com/resources/blog/atera-under-the-spotlight-exploring-more-effective-detections
Report completeness: Medium
Actors/Campaigns:
Muddywater
Sandworm
Threats:
Atera_tool
Lockbit
Blackcat
Zerolot
Conti
Industry:
Transport, Energy
Geo:
Iranian, Ukraine
TTPs:
Tactics: 1
Technics: 1
ChatGPT TTPs:
do not use without manual checkT1059.001, T1218.005, T1566, T1566.003
IOCs:
File: 4
IP: 1
Url: 2
Languages:
powershell
Immersivelabs
Atera Under the Spotlight: Exploring More Effective Detections
Learn how threat actors compromise Atera RMM tools and discover detection methods, defensive strategies, and best practices to secure your IT environment.
CTT Report Hub
#ParsedReport #CompletenessMedium 24-12-2025 Atera Under the Spotlight: Exploring More Effective Detections https://www.immersivelabs.com/resources/blog/atera-under-the-spotlight-exploring-more-effective-detections Report completeness: Medium Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Облачная платформа RMM Atera используется злоумышленниками из-за ее функциональных возможностей, которые облегчают мониторинг конечных точек и удаленную ИТ-поддержку, обеспечивая как прямую доставку вредоносного ПО, так и тактику социальной инженерии. Атаки часто включают использование Atera для проникновения в сети с использованием специальных методов, таких как использование HTA-файлов для выполнения команд PowerShell для вредоносных установок. Способность инструмента RMM смешиваться с обычным сетевым трафиком расширяет возможности его использования для поддержания закрепления в скомпрометированных средах.
-----
Atera, облачная платформа удаленного мониторинга и управления (RMM), привлекла к себе внимание тем, что широко используется злоумышленниками благодаря своим законным и удобным для пользователя функциональным возможностям, которые включают мониторинг конечных точек, автоматизацию задач и предоставление удаленной ИТ-поддержки. Широкое использование платформы в ИТ-средах облегчает различные методы атак, включая прямую доставку вредоносного ПО и тактики социальной инженерии, такие как фишинг и клонирование веб-сайтов.
В атаках с использованием Atera часто участвуют злоумышленники, использующие этот инструмент для компрометации сетей. Например, во время операций Conti были установлены специальные средства обнаружения для идентификации установок Atera с помощью msiexec.exe процесс. Однако эффективность этих средств обнаружения может варьироваться, о чем свидетельствуют как успешные, так и безуспешные попытки злоумышленников обойти их. Это подчеркивает сохраняющуюся проблему адаптации механизмов обнаружения для борьбы с меняющейся тактикой, используемой злонамеренными акторами.
Один конкретный метод атаки предполагает использование файла HTA (HTML-приложения), который выполняет команды PowerShell для установки файла MSI. В сочетании с тезисом преобразований, этот метод манипулирует процесс установки для сокрытия вредоносной активности, что делает его менее заметным. Способность инструментов RMM, таких как Atera, сливаться с обычным сетевым трафиком в значительной степени повышает их привлекательность для поддержания закрепления в скомпрометированных средах.
Таким образом, в то время как Atera выполняет законные функции в рамках ИТ-менеджмента, ее простота использования и природа инструментов RMM делают ее предпочтительным выбором для злоумышленников, стремящихся проникнуть в сети и сохраниться в них. Возникающие в результате проблемы безопасности подчеркивают необходимость адаптивных и эффективных стратегий обнаружения угроз для противодействия такому злонамеренному использованию широко распространенных программных решений.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Облачная платформа RMM Atera используется злоумышленниками из-за ее функциональных возможностей, которые облегчают мониторинг конечных точек и удаленную ИТ-поддержку, обеспечивая как прямую доставку вредоносного ПО, так и тактику социальной инженерии. Атаки часто включают использование Atera для проникновения в сети с использованием специальных методов, таких как использование HTA-файлов для выполнения команд PowerShell для вредоносных установок. Способность инструмента RMM смешиваться с обычным сетевым трафиком расширяет возможности его использования для поддержания закрепления в скомпрометированных средах.
-----
Atera, облачная платформа удаленного мониторинга и управления (RMM), привлекла к себе внимание тем, что широко используется злоумышленниками благодаря своим законным и удобным для пользователя функциональным возможностям, которые включают мониторинг конечных точек, автоматизацию задач и предоставление удаленной ИТ-поддержки. Широкое использование платформы в ИТ-средах облегчает различные методы атак, включая прямую доставку вредоносного ПО и тактики социальной инженерии, такие как фишинг и клонирование веб-сайтов.
В атаках с использованием Atera часто участвуют злоумышленники, использующие этот инструмент для компрометации сетей. Например, во время операций Conti были установлены специальные средства обнаружения для идентификации установок Atera с помощью msiexec.exe процесс. Однако эффективность этих средств обнаружения может варьироваться, о чем свидетельствуют как успешные, так и безуспешные попытки злоумышленников обойти их. Это подчеркивает сохраняющуюся проблему адаптации механизмов обнаружения для борьбы с меняющейся тактикой, используемой злонамеренными акторами.
Один конкретный метод атаки предполагает использование файла HTA (HTML-приложения), который выполняет команды PowerShell для установки файла MSI. В сочетании с тезисом преобразований, этот метод манипулирует процесс установки для сокрытия вредоносной активности, что делает его менее заметным. Способность инструментов RMM, таких как Atera, сливаться с обычным сетевым трафиком в значительной степени повышает их привлекательность для поддержания закрепления в скомпрометированных средах.
Таким образом, в то время как Atera выполняет законные функции в рамках ИТ-менеджмента, ее простота использования и природа инструментов RMM делают ее предпочтительным выбором для злоумышленников, стремящихся проникнуть в сети и сохраниться в них. Возникающие в результате проблемы безопасности подчеркивают необходимость адаптивных и эффективных стратегий обнаружения угроз для противодействия такому злонамеренному использованию широко распространенных программных решений.
#ParsedReport #CompletenessMedium
24-12-2025
REVISITING MEDUSA LOCKER RANSOMWARE
https://theravenfile.com/2025/12/24/revisiting-medusa-locker-ransomware/
Report completeness: Medium
Threats:
Medusalocker
Medusa_ransomware
Cobalt_strike_tool
Raccoon_stealer
Rusty_stealer
Donut
Dcrat
Flawedammyy
Gozi
Emotet
Asyncrat
Industoyer2
Babylockerkz
Marlock
Marnet_ransomware
Mamai_ransomware
Keversen
Sunnyday
Huylock
Farattack
Lolkek
Ako_ransomware
Industry:
Media
Geo:
Russian, Ukraine
ChatGPT TTPs:
T1090.003, T1105, T1106, T1486, T1547.001, T1584.004, T1587.001, T1657
IOCs:
IP: 2
Domain: 7
Hash: 51
File: 1
Email: 2
Coin: 2
Soft:
Node.js, GMAIL, Telegram
Crypto:
bitcoin
Algorithms:
md5
Platforms:
intel
24-12-2025
REVISITING MEDUSA LOCKER RANSOMWARE
https://theravenfile.com/2025/12/24/revisiting-medusa-locker-ransomware/
Report completeness: Medium
Threats:
Medusalocker
Medusa_ransomware
Cobalt_strike_tool
Raccoon_stealer
Rusty_stealer
Donut
Dcrat
Flawedammyy
Gozi
Emotet
Asyncrat
Industoyer2
Babylockerkz
Marlock
Marnet_ransomware
Mamai_ransomware
Keversen
Sunnyday
Huylock
Farattack
Lolkek
Ako_ransomware
Industry:
Media
Geo:
Russian, Ukraine
ChatGPT TTPs:
do not use without manual checkT1090.003, T1105, T1106, T1486, T1547.001, T1584.004, T1587.001, T1657
IOCs:
IP: 2
Domain: 7
Hash: 51
File: 1
Email: 2
Coin: 2
Soft:
Node.js, GMAIL, Telegram
Crypto:
bitcoin
Algorithms:
md5
Platforms:
intel
Theravenfile
REVISITING MEDUSA LOCKER RANSOMWARE – THE RAVEN FILE
NOTE: This Research was kicked off as I found the Old TOR Domain of the group is being redirected to the current Onion URL, and new samples are found This article is a fresh take as of December 2025. The old analysis of this Ransomware will be attached to…