CTT Report Hub
#ParsedReport #CompletenessLow 05-02-2026 The Godfather of Ransomware? Inside DragonForces Cartel Ambitions https://www.levelblue.com/blogs/spiderlabs-blog/the-godfather-of-ransomware-inside-dragonforces-cartel-ambitions Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
DragonForce, группа программ-вымогателей, появившаяся в конце 2023 года, работает по модели "Программа-вымогатель как услуга" (RaaS), ориентируясь на различные платформы, такие как Windows, Linux, ESXi, BSD и NAS. Они используют уникальный аргумент командной строки `-vmsvc` для обнаружения в средах ESXi и автоматизировали процесс подбора партнеров. Технический анализ их исполняемого файла программы-вымогателя указывает на сходство с другими семействами, предполагая эволюционирующее сочетание тактик в ландшафте киберугроз.
-----
DragonForce - это группа программ-вымогателей, появившаяся в конце 2023 года, характеризующаяся как значительная хакерская группировка, особенно известная своей моделью "Программы-вымогатели как услуга" (RaaS). Эта модель предоставляет филиалам инструменты для запуска программ-вымогателей на нескольких платформах, включая Windows, Linux, ESXi, BSD и NAS-системы. Примечательной особенностью их работы является аргумент командной строки `-vmsvc`, который позволяет обнаруживать в средах ESXi с помощью команды `vim-cmd`.
Группа упростила процесс подбора персонала за счет создания автоматизированной службы регистрации потенциальных филиалов, отменив прежнее требование о внесении денежных депозитов и тщательной проверке биографических данных. Этот сдвиг означает намерение расширить свои операционные возможности и облегчить доступ новым киберпреступникам.
Стремясь повысить профессионализм своей деятельности, DragonForce предоставляет услугу "Аудит данных компании", направленную на оказание помощи аффилированным лицам программ-вымогателей во время попыток вымогательства. Эта услуга позволяет аффилированным лицам анализировать украденные данные и сообщать о деловых, юридических и репутационных рисках, связанных с нарушениями. Такой подход усиливает их влияние на жертв, дополняясь поддержкой во время переговоров и процессов расшифровки.
После объявления себя картелем вымогателей DragonForce активно нацелена на конкурирующие группировки, наиболее заметно это проявилось в атаке на сайт утечки информации конкурента BlackLock вскоре после утверждения своего нового статуса. Кроме того, была проведена разъяснительная работа по сотрудничеству в рамках организованной киберпреступности, поскольку представители DragonForce открыто призвали к сотрудничеству с такими известными операциями, как LockBit и Qilin. Имеются также свидетельства участия группы Nova RaaS в этой совместной инициативе.
Хотя слухи предполагали связь между DragonForce и DragonForce Malaysia, эти утверждения не имеют под собой оснований. 28 октября 2025 года DragonForce Malaysia официально опровергла какую-либо связь с группой вымогателей, подчеркнув, что обвинения были необоснованными и противоречили их оперативным целям.
Технический анализ исполняемого файла DragonForce's ransomware показал сходство с методами, используемыми другими семействами программ-вымогателей, что указывает на потенциальное сочетание тактик в рамках меняющегося ландшафта угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
DragonForce, группа программ-вымогателей, появившаяся в конце 2023 года, работает по модели "Программа-вымогатель как услуга" (RaaS), ориентируясь на различные платформы, такие как Windows, Linux, ESXi, BSD и NAS. Они используют уникальный аргумент командной строки `-vmsvc` для обнаружения в средах ESXi и автоматизировали процесс подбора партнеров. Технический анализ их исполняемого файла программы-вымогателя указывает на сходство с другими семействами, предполагая эволюционирующее сочетание тактик в ландшафте киберугроз.
-----
DragonForce - это группа программ-вымогателей, появившаяся в конце 2023 года, характеризующаяся как значительная хакерская группировка, особенно известная своей моделью "Программы-вымогатели как услуга" (RaaS). Эта модель предоставляет филиалам инструменты для запуска программ-вымогателей на нескольких платформах, включая Windows, Linux, ESXi, BSD и NAS-системы. Примечательной особенностью их работы является аргумент командной строки `-vmsvc`, который позволяет обнаруживать в средах ESXi с помощью команды `vim-cmd`.
Группа упростила процесс подбора персонала за счет создания автоматизированной службы регистрации потенциальных филиалов, отменив прежнее требование о внесении денежных депозитов и тщательной проверке биографических данных. Этот сдвиг означает намерение расширить свои операционные возможности и облегчить доступ новым киберпреступникам.
Стремясь повысить профессионализм своей деятельности, DragonForce предоставляет услугу "Аудит данных компании", направленную на оказание помощи аффилированным лицам программ-вымогателей во время попыток вымогательства. Эта услуга позволяет аффилированным лицам анализировать украденные данные и сообщать о деловых, юридических и репутационных рисках, связанных с нарушениями. Такой подход усиливает их влияние на жертв, дополняясь поддержкой во время переговоров и процессов расшифровки.
После объявления себя картелем вымогателей DragonForce активно нацелена на конкурирующие группировки, наиболее заметно это проявилось в атаке на сайт утечки информации конкурента BlackLock вскоре после утверждения своего нового статуса. Кроме того, была проведена разъяснительная работа по сотрудничеству в рамках организованной киберпреступности, поскольку представители DragonForce открыто призвали к сотрудничеству с такими известными операциями, как LockBit и Qilin. Имеются также свидетельства участия группы Nova RaaS в этой совместной инициативе.
Хотя слухи предполагали связь между DragonForce и DragonForce Malaysia, эти утверждения не имеют под собой оснований. 28 октября 2025 года DragonForce Malaysia официально опровергла какую-либо связь с группой вымогателей, подчеркнув, что обвинения были необоснованными и противоречили их оперативным целям.
Технический анализ исполняемого файла DragonForce's ransomware показал сходство с методами, используемыми другими семействами программ-вымогателей, что указывает на потенциальное сочетание тактик в рамках меняющегося ландшафта угроз.
#ParsedReport #CompletenessHigh
05-02-2026
The Shadow Campaigns: Uncovering Global Espionage
https://unit42.paloaltonetworks.com/shadow-campaigns-uncovering-global-espionage/
Report completeness: High
Actors/Campaigns:
Unc6619 (motivation: cyber_espionage)
Threats:
Diaoyu
Shadowguard
Cobalt_strike_tool
Vshell
Havoc
Spark_rat
Sliver_c2_tool
Behinder
Neo-regeorg_tool
Godzilla_webshell
Iox_tool
Residential_proxy_technique
Victims:
Government, Critical infrastructure, Mining sector, Law enforcement, Power equipment supplier
Industry:
Energy, Logistic, Maritime, Military, Financial, Aerospace, Government, Critical_infrastructure, Telco
Geo:
American, Nigeria, Portugal, Venezuela, India, Canada, China, Oceania, Serbia, Czechia, Indonesian, Americas, Ethiopia, Bangladesh, Nepal, Japan, Mongolian, Guatemala, Congo, Brazil, Thailand, Poland, Afghanistan, Uzbekistan, Vietnam, Panama, African, Malaysian, Brazilian, Germany, Australia, Jamaica, Taiwan, Malaysia, Asia, Indonesia, Cyprus, Czech, Italy, Saudi arabia, Korea, Namibia, Greece, Honduras, Sri lanka, Niger, Bolivia, Asian, Indian, Dominican republic, Mongolia, Tibetan, Guinea, Mexico, Africa, Djibouti, Singapore, Zambia
CVEs:
CVE-2019-11580 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- atlassian crowd (<3.0.5, <3.1.6, <3.2.8, <3.3.5, <3.4.4)
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
T1014, T1018, T1046, T1059, T1068, T1090, T1090.003, T1105, T1190, T1204, have more...
IOCs:
Domain: 14
File: 11
Url: 3
Hash: 11
IP: 14
Soft:
Open Management Infrastructure, Microsoft Exchange Server, Linux
Algorithms:
zip, sha256
Win Services:
EPSecurityService
05-02-2026
The Shadow Campaigns: Uncovering Global Espionage
https://unit42.paloaltonetworks.com/shadow-campaigns-uncovering-global-espionage/
Report completeness: High
Actors/Campaigns:
Unc6619 (motivation: cyber_espionage)
Threats:
Diaoyu
Shadowguard
Cobalt_strike_tool
Vshell
Havoc
Spark_rat
Sliver_c2_tool
Behinder
Neo-regeorg_tool
Godzilla_webshell
Iox_tool
Residential_proxy_technique
Victims:
Government, Critical infrastructure, Mining sector, Law enforcement, Power equipment supplier
Industry:
Energy, Logistic, Maritime, Military, Financial, Aerospace, Government, Critical_infrastructure, Telco
Geo:
American, Nigeria, Portugal, Venezuela, India, Canada, China, Oceania, Serbia, Czechia, Indonesian, Americas, Ethiopia, Bangladesh, Nepal, Japan, Mongolian, Guatemala, Congo, Brazil, Thailand, Poland, Afghanistan, Uzbekistan, Vietnam, Panama, African, Malaysian, Brazilian, Germany, Australia, Jamaica, Taiwan, Malaysia, Asia, Indonesia, Cyprus, Czech, Italy, Saudi arabia, Korea, Namibia, Greece, Honduras, Sri lanka, Niger, Bolivia, Asian, Indian, Dominican republic, Mongolia, Tibetan, Guinea, Mexico, Africa, Djibouti, Singapore, Zambia
CVEs:
CVE-2019-11580 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- atlassian crowd (<3.0.5, <3.1.6, <3.2.8, <3.3.5, <3.4.4)
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1014, T1018, T1046, T1059, T1068, T1090, T1090.003, T1105, T1190, T1204, have more...
IOCs:
Domain: 14
File: 11
Url: 3
Hash: 11
IP: 14
Soft:
Open Management Infrastructure, Microsoft Exchange Server, Linux
Algorithms:
zip, sha256
Win Services:
EPSecurityService
Unit 42
The Shadow Campaigns: Uncovering Global Espionage
In 2025 a threat group compromised government and critical infrastructure in 37 countries, with reconnaissance in 155.
CTT Report Hub
#ParsedReport #CompletenessHigh 05-02-2026 The Shadow Campaigns: Uncovering Global Espionage https://unit42.paloaltonetworks.com/shadow-campaigns-uncovering-global-espionage/ Report completeness: High Actors/Campaigns: Unc6619 (motivation: cyber_espionage)…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TGR-STA-1030, также известная как UNC6619, является государственной группой кибершпионажа из Азии, нацеленной на правительства и критически важную инфраструктуру в 37 странах с начала 2025 года. Их операции в основном связаны с кампаниями по фишингу и используют различные методы, включая разведку, использование таких инструментов, как Cobalt Strike и VShell, а также уникальное вредоносное ПО, такое как руткит ядра Linux ShadowGuard. Их деятельность распространилась на 155 стран, с заметными целями в Бразилии, Мексике и Африке, связанными с экономическими и военными интересами.
-----
Расследование в отношении TGR-STA-1030, группы кибершпионажа, также известной как UNC6619, выявляет изощренного государственного злоумышленника, действующего из Азии, с доказанными возможностями компрометировать правительственные организации и критически важную инфраструктуру в 37 странах. Эта группа, выявленная в начале 2025 года, в основном проводила кампании фишинга, нацеленные на европейские правительства, используя вводящие в заблуждение электронные письма о реорганизации правительства для доставки вредоносных полезных данных, таких как DiaoYu.exe , что очевидно из его метаданных, свидетельствующих о намерениях фишинга.
TGR-STA-1030 демонстрирует использование различных методов атаки, включая активную разведку для выявления уязвимостей и попытки эксплуатации для получения доступа к целевым сетям. Они используют ряд распространенных инструментов и фреймворков эксплуатации, хотя в их арсенале не было обнаружено эксплойтов zero-day. В их инструментарии особое место занимает Cobalt Strike, со временем переходящий на VShell, при этом используются Веб-шеллы, такие как Behinder, Neo-reGeorg и Godzilla для поддержания постоянного доступа в скомпрометированных средах.
Одним из примечательных аспектов вредоносного ПО является развертывание уникального руткита ядра Linux, называемого ShadowGuard, обнаруженного Unit 42 и предназначенного для скрытой работы в системах Linux. Эта группа также создает свои серверы управления (C2), используя инфраструктуру законных поставщиков VPS в регионах с сильной правовой базой, что позволяет легче избежать обнаружения. Было замечено, что они используют такие методы, как SSH и RDP для подключения, а также различные прокси-серверы и методы туннелирования, демонстрируя адаптивность в поддержании своих централизованных операций.
Что касается таргетинга, то только с конца 2025 года TGR-STA-1030 значительно расширил сферу своей применения, увеличив сканирование и разведку уязвимостей в 155 странах. Конкретные инциденты включают компрометацию правительственных сетей в Бразилии, атрибутируемую с интересами в области редкоземельных минералов, и различных министерств в Мексике, вероятно, связанных с торговыми соглашениями. Их деятельность также охватывала европейские страны, включая целенаправленную кампанию против Германии и дальнейшую разведку против азиатских стран, особенно в таких регионах, как Южно-Китайское море.
В Африке мотивы группировки, по-видимому, переплетаются с военными и экономическими интересами, особенно в горнодобывающем секторе, о чем свидетельствуют их нападения на правительственные учреждения в Демократической Республике Конго и Замбии. В целом, TGR-STA-1030 остается грозным злоумышленником, в первую очередь занимающимся шпионажем в правительственных кругах, что подчеркивает их намерение получить представление о международных экономических партнерствах и стратегических функциях правительства.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
TGR-STA-1030, также известная как UNC6619, является государственной группой кибершпионажа из Азии, нацеленной на правительства и критически важную инфраструктуру в 37 странах с начала 2025 года. Их операции в основном связаны с кампаниями по фишингу и используют различные методы, включая разведку, использование таких инструментов, как Cobalt Strike и VShell, а также уникальное вредоносное ПО, такое как руткит ядра Linux ShadowGuard. Их деятельность распространилась на 155 стран, с заметными целями в Бразилии, Мексике и Африке, связанными с экономическими и военными интересами.
-----
Расследование в отношении TGR-STA-1030, группы кибершпионажа, также известной как UNC6619, выявляет изощренного государственного злоумышленника, действующего из Азии, с доказанными возможностями компрометировать правительственные организации и критически важную инфраструктуру в 37 странах. Эта группа, выявленная в начале 2025 года, в основном проводила кампании фишинга, нацеленные на европейские правительства, используя вводящие в заблуждение электронные письма о реорганизации правительства для доставки вредоносных полезных данных, таких как DiaoYu.exe , что очевидно из его метаданных, свидетельствующих о намерениях фишинга.
TGR-STA-1030 демонстрирует использование различных методов атаки, включая активную разведку для выявления уязвимостей и попытки эксплуатации для получения доступа к целевым сетям. Они используют ряд распространенных инструментов и фреймворков эксплуатации, хотя в их арсенале не было обнаружено эксплойтов zero-day. В их инструментарии особое место занимает Cobalt Strike, со временем переходящий на VShell, при этом используются Веб-шеллы, такие как Behinder, Neo-reGeorg и Godzilla для поддержания постоянного доступа в скомпрометированных средах.
Одним из примечательных аспектов вредоносного ПО является развертывание уникального руткита ядра Linux, называемого ShadowGuard, обнаруженного Unit 42 и предназначенного для скрытой работы в системах Linux. Эта группа также создает свои серверы управления (C2), используя инфраструктуру законных поставщиков VPS в регионах с сильной правовой базой, что позволяет легче избежать обнаружения. Было замечено, что они используют такие методы, как SSH и RDP для подключения, а также различные прокси-серверы и методы туннелирования, демонстрируя адаптивность в поддержании своих централизованных операций.
Что касается таргетинга, то только с конца 2025 года TGR-STA-1030 значительно расширил сферу своей применения, увеличив сканирование и разведку уязвимостей в 155 странах. Конкретные инциденты включают компрометацию правительственных сетей в Бразилии, атрибутируемую с интересами в области редкоземельных минералов, и различных министерств в Мексике, вероятно, связанных с торговыми соглашениями. Их деятельность также охватывала европейские страны, включая целенаправленную кампанию против Германии и дальнейшую разведку против азиатских стран, особенно в таких регионах, как Южно-Китайское море.
В Африке мотивы группировки, по-видимому, переплетаются с военными и экономическими интересами, особенно в горнодобывающем секторе, о чем свидетельствуют их нападения на правительственные учреждения в Демократической Республике Конго и Замбии. В целом, TGR-STA-1030 остается грозным злоумышленником, в первую очередь занимающимся шпионажем в правительственных кругах, что подчеркивает их намерение получить представление о международных экономических партнерствах и стратегических функциях правительства.
#ParsedReport #CompletenessMedium
06-02-2026
Malicious dYdX Packages Published to npm and PyPI After Maintainer Compromise
https://socket.dev/blog/malicious-dydx-packages-published-to-npm-and-pypi
Report completeness: Medium
Threats:
Dns_hijacking_technique
Supply_chain_technique
Typosquatting_technique
Victims:
Dydx ecosystem, Cryptocurrency exchanges, End users, Developers
Industry:
Financial
TTPs:
Tactics: 3
Technics: 5
IOCs:
Domain: 2
File: 29
Url: 3
Hash: 1
Soft:
Outlook
Algorithms:
base64, gzip, sha256
Functions:
createRegistry, getDeviceUuid, list_prices, init, run_script_async
Win API:
gethostname, decompress
Languages:
javascript, python
06-02-2026
Malicious dYdX Packages Published to npm and PyPI After Maintainer Compromise
https://socket.dev/blog/malicious-dydx-packages-published-to-npm-and-pypi
Report completeness: Medium
Threats:
Dns_hijacking_technique
Supply_chain_technique
Typosquatting_technique
Victims:
Dydx ecosystem, Cryptocurrency exchanges, End users, Developers
Industry:
Financial
TTPs:
Tactics: 3
Technics: 5
IOCs:
Domain: 2
File: 29
Url: 3
Hash: 1
Soft:
Outlook
Algorithms:
base64, gzip, sha256
Functions:
createRegistry, getDeviceUuid, list_prices, init, run_script_async
Win API:
gethostname, decompress
Languages:
javascript, python
CTT Report Hub
#ParsedReport #CompletenessMedium 06-02-2026 Malicious dYdX Packages Published to npm and PyPI After Maintainer Compromise https://socket.dev/blog/malicious-dydx-packages-published-to-npm-and-pypi Report completeness: Medium Threats: Dns_hijacking_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние инциденты с безопасностью, связанные с инфраструктурой dYdX, подвергают серьезным рискам экосистемы управления пакетами, такие как npm и PyPI, в первую очередь из-за компромиссов со стороны сопровождающих. Вредоносные пакеты npm способствовали краже учетных данных и включали функциональность, которая позволяет извлекать конфиденциальные пользовательские данные, такие как начальные фразы. Кроме того, скомпрометированный пакет PyPI содержал Троянскую программу для удаленного доступа, способную выполнять произвольный код, демонстрирующую передовые методы обфускации, которые используют связь управления с помощью командной строки, что отражает сложный подход злоумышленника.
-----
Недавние инциденты с безопасностью, связанные с инфраструктурой dYdX, выявили значительные риски, связанные с экосистемами управления пакетами, такими как npm и PyPI, в частности, из-за компрометации сопровождающего, что привело к распространению вредоносных клиентских пакетов dYdX. Этот инцидент способствовал краже учетных данных из кошельков пользователей и сделал возможным потенциальное Удаленное Выполнение Кода в затронутых системах.
Нападение является частью более широкой картины целеуказания dYdX на протяжении многих лет, с предыдущими случаями цепочка поставок снабжение и атаки на уровне домена. Например, в сентябре 2022, нарушена npm-пакетов, используемых на различных криптовалютных платформ включены сценарии, которые выполняются внешних, вредоносных полезных нагрузок после установки. Кроме того, более недавний инцидент с DNS hijacking в июле 2024 года привел к тому, что пользователи попали на сайт фишинга, нацеленный на вывод средств с криптовалютных кошельков, продемонстрировав различные методы, используемые злоумышленниками.
Что касается вредоносного пакета npm, то он включает в себя функцию createRegistry(), которая после интеграции извлекает конфиденциальную пользовательскую информацию, включая начальные фразы и отпечатки пальцев устройства. Этот механизм представляет значительный риск, поскольку разработчики невольно раскрывают учетные данные своих пользователей с помощью, казалось бы, безобидных функций.
На платформе PyPI вредоносный пакет включает в себя не только кражу учетных данных, но и Троянскую программу удаленного доступа (RAT), скрытую в зашифрованной полезной нагрузке. RAT позволяет злоумышленникам выполнять произвольный код после импорта пакета, поскольку он предназначен для автоматического запуска при первом использовании. Эта возможность позволяет полностью скомпрометировать систему, выходя за рамки простой кражи кошелька и потенциально получая контроль над всей системой жертвы.
Тактика обфускации, используемая в полезной нагрузке RAT, которая подключается к серверу управления для получения инструкций, демонстрирует изощренность злоумышленников. Это позволяет лучше понять системные уязвимости, поскольку эффективно обходит типичные механизмы обнаружения.
Инциденты соответствуют множеству методов, определенных в рамках фреймворка MITRE ATT&CK, включая Компрометацию цепочки поставок, использование Интерпретатора командной строки и сценариев и эксфильтрацию по каналу управления. В совокупности эти атаки подчеркивают острую необходимость проявлять бдительность в Цепочках поставок программного обеспечения и важность внедрения надежных методов обеспечения безопасности для снижения рисков.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние инциденты с безопасностью, связанные с инфраструктурой dYdX, подвергают серьезным рискам экосистемы управления пакетами, такие как npm и PyPI, в первую очередь из-за компромиссов со стороны сопровождающих. Вредоносные пакеты npm способствовали краже учетных данных и включали функциональность, которая позволяет извлекать конфиденциальные пользовательские данные, такие как начальные фразы. Кроме того, скомпрометированный пакет PyPI содержал Троянскую программу для удаленного доступа, способную выполнять произвольный код, демонстрирующую передовые методы обфускации, которые используют связь управления с помощью командной строки, что отражает сложный подход злоумышленника.
-----
Недавние инциденты с безопасностью, связанные с инфраструктурой dYdX, выявили значительные риски, связанные с экосистемами управления пакетами, такими как npm и PyPI, в частности, из-за компрометации сопровождающего, что привело к распространению вредоносных клиентских пакетов dYdX. Этот инцидент способствовал краже учетных данных из кошельков пользователей и сделал возможным потенциальное Удаленное Выполнение Кода в затронутых системах.
Нападение является частью более широкой картины целеуказания dYdX на протяжении многих лет, с предыдущими случаями цепочка поставок снабжение и атаки на уровне домена. Например, в сентябре 2022, нарушена npm-пакетов, используемых на различных криптовалютных платформ включены сценарии, которые выполняются внешних, вредоносных полезных нагрузок после установки. Кроме того, более недавний инцидент с DNS hijacking в июле 2024 года привел к тому, что пользователи попали на сайт фишинга, нацеленный на вывод средств с криптовалютных кошельков, продемонстрировав различные методы, используемые злоумышленниками.
Что касается вредоносного пакета npm, то он включает в себя функцию createRegistry(), которая после интеграции извлекает конфиденциальную пользовательскую информацию, включая начальные фразы и отпечатки пальцев устройства. Этот механизм представляет значительный риск, поскольку разработчики невольно раскрывают учетные данные своих пользователей с помощью, казалось бы, безобидных функций.
На платформе PyPI вредоносный пакет включает в себя не только кражу учетных данных, но и Троянскую программу удаленного доступа (RAT), скрытую в зашифрованной полезной нагрузке. RAT позволяет злоумышленникам выполнять произвольный код после импорта пакета, поскольку он предназначен для автоматического запуска при первом использовании. Эта возможность позволяет полностью скомпрометировать систему, выходя за рамки простой кражи кошелька и потенциально получая контроль над всей системой жертвы.
Тактика обфускации, используемая в полезной нагрузке RAT, которая подключается к серверу управления для получения инструкций, демонстрирует изощренность злоумышленников. Это позволяет лучше понять системные уязвимости, поскольку эффективно обходит типичные механизмы обнаружения.
Инциденты соответствуют множеству методов, определенных в рамках фреймворка MITRE ATT&CK, включая Компрометацию цепочки поставок, использование Интерпретатора командной строки и сценариев и эксфильтрацию по каналу управления. В совокупности эти атаки подчеркивают острую необходимость проявлять бдительность в Цепочках поставок программного обеспечения и важность внедрения надежных методов обеспечения безопасности для снижения рисков.
#ParsedReport #CompletenessMedium
05-02-2026
DYNOWIPER: Destructive Malware Targeting Poland's EnergySector
https://www.elastic.co/security-labs/dynowiper
Report completeness: Medium
Actors/Campaigns:
Static_tundra
Energeticbear
Threats:
Dynowiper
Victims:
Energy sector, Renewable energy facilities, Combined heat and power plant
Industry:
Ics, Critical_infrastructure, Energy
Geo:
Poland
TTPs:
Tactics: 6
Technics: 4
IOCs:
File: 1
Path: 1
Hash: 6
IP: 5
Soft:
Active Directory
Algorithms:
sha256, prng, sha1, md5
Functions:
Microsoft
Win API:
GetLogicalDrives, CreateFileW, OpenProcessToken, SeShutdownPrivilege, AdjustTokenPrivileges, ExitWindowsEx, SetFileAttributesW
Platforms:
x86
YARA: Found
05-02-2026
DYNOWIPER: Destructive Malware Targeting Poland's EnergySector
https://www.elastic.co/security-labs/dynowiper
Report completeness: Medium
Actors/Campaigns:
Static_tundra
Energeticbear
Threats:
Dynowiper
Victims:
Energy sector, Renewable energy facilities, Combined heat and power plant
Industry:
Ics, Critical_infrastructure, Energy
Geo:
Poland
TTPs:
Tactics: 6
Technics: 4
IOCs:
File: 1
Path: 1
Hash: 6
IP: 5
Soft:
Active Directory
Algorithms:
sha256, prng, sha1, md5
Functions:
Microsoft
Win API:
GetLogicalDrives, CreateFileW, OpenProcessToken, SeShutdownPrivilege, AdjustTokenPrivileges, ExitWindowsEx, SetFileAttributesW
Platforms:
x86
YARA: Found
www.elastic.co
DYNOWIPER: Destructive Malware Targeting Poland's Energy Sector — Elastic Security Labs
Learn how Elastic Defend's ransomware protection successfully detects and prevents DYNOWIPER execution using canary file monitoring.
CTT Report Hub
#ParsedReport #CompletenessMedium 05-02-2026 DYNOWIPER: Destructive Malware Targeting Poland's EnergySector https://www.elastic.co/security-labs/dynowiper Report completeness: Medium Actors/Campaigns: Static_tundra Energeticbear Threats: Dynowiper Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В кибератаке на энергетическую инфраструктуру Польши 29 декабря 2025 года использовалось пользовательское вредоносное ПО wiper под названием DYNOWIPER, которое необратимо уничтожило данные более чем на 30 объектах возобновляемой энергетики и ТЭЦ. В атаке использовались такие уязвимости, как непатентованные устройства и отсутствие Многофакторной аутентификации, а также поврежденные файлы DYNOWIPER с использованием специального метода, который нацелен на логические диски, не затрагивая критические каталоги. Этот инцидент, атрибутируемый с известным кластером угроз, подчеркивает растущий риск разрушительных операций на критически важной инфраструктуре.
-----
29 декабря 2025 года скоординированная кибератака была нацелена на энергетическую инфраструктуру Польши, оказав значительное воздействие на более чем 30 объектов возобновляемой энергетики и крупную комбинированную теплоэлектростанцию (ТЭЦ). В атаках использовалось пользовательское вредоносное ПО wiper под названием DYNOWIPER, которое необратимо уничтожало данные в затронутых сетях. Эта атака была атрибутирована с кластером угроз, признанным различными фирмами по кибербезопасности под разными названиями, включая Static Tundra от Cisco и Berserk Bear от Crowdstrike.
Атака использовала уязвимости, такие как VPN-интерфейсы, в которых отсутствует Многофакторная аутентификация, и повторно использовала учетные данные на различных объектах, наряду с незащищенными уязвимостями устройств. DYNOWIPER работает путем перечисления логических дисков в зараженных системах, специально нацеливаясь на стационарные и съемные диски, при этом стратегически повреждая файлы, не затрагивая критически важные для системы каталоги, тем самым поддерживая некоторый уровень стабильности системы во время атаки.
Вредоносное ПО использует генератор псевдослучайных чисел, основанный на алгоритме Mersenne Twister, для генерации случайных данных при повреждении файла. Вместо того чтобы полностью перезаписывать файлы, DYNOWIPER повреждает выбранные их части, усугубляя ущерб, но позволяя процессу выполняться быстро. После завершения этапов повреждения и удаления DYNOWIPER принудительно перезагружает систему, чтобы помочь достичь своих разрушительных целей.
Существуют две известные версии DYNOWIPER, задокументированные CERT Polska; проанализированный образец соответствует версии A, которая включает функциональность отключения системы. В отличие от этого, версия B опускает эту функциональность и включает паузу между фазами ее повреждения и удаления.
Elastic Defend удалось обнаружить и предотвратить запуск DYNOWIPER до того, как произошло какое—либо повреждение, используя canary file monitoring - стратегически размещенные файлы-приманки, которые запускают оповещения при модификации, на что непреднамеренно повлиял подход DYNOWIPER's к неизбирательному повреждению файлов.
Что касается возможностей обнаружения, ключевые показатели включают выполнение вызовов API GetLogicalDrives в сочетании с массовыми файловыми операциями и необычным поведением системы, таким как повышение привилегий и модификации объектов групповой политики, связанные с запланированными задачами. Восстановление после атаки включает в себя восстановление из автономных резервных копий, проверку их целостности и обеспечение сброса всех учетных данных, в частности учетных записей администраторов домена, для снижения риска дальнейшего использования.
Атаки в декабре 2025 года иллюстрируют тревожную тенденцию в деструктивных кибероперациях, направленных на критически важную инфраструктуру, при этом DYNOWIPER демонстрирует эффективную, но относительно несложную методологию быстрого Уничтожения данных, дополненную обширным доступом, который уже существовал у злоумышленников.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В кибератаке на энергетическую инфраструктуру Польши 29 декабря 2025 года использовалось пользовательское вредоносное ПО wiper под названием DYNOWIPER, которое необратимо уничтожило данные более чем на 30 объектах возобновляемой энергетики и ТЭЦ. В атаке использовались такие уязвимости, как непатентованные устройства и отсутствие Многофакторной аутентификации, а также поврежденные файлы DYNOWIPER с использованием специального метода, который нацелен на логические диски, не затрагивая критические каталоги. Этот инцидент, атрибутируемый с известным кластером угроз, подчеркивает растущий риск разрушительных операций на критически важной инфраструктуре.
-----
29 декабря 2025 года скоординированная кибератака была нацелена на энергетическую инфраструктуру Польши, оказав значительное воздействие на более чем 30 объектов возобновляемой энергетики и крупную комбинированную теплоэлектростанцию (ТЭЦ). В атаках использовалось пользовательское вредоносное ПО wiper под названием DYNOWIPER, которое необратимо уничтожало данные в затронутых сетях. Эта атака была атрибутирована с кластером угроз, признанным различными фирмами по кибербезопасности под разными названиями, включая Static Tundra от Cisco и Berserk Bear от Crowdstrike.
Атака использовала уязвимости, такие как VPN-интерфейсы, в которых отсутствует Многофакторная аутентификация, и повторно использовала учетные данные на различных объектах, наряду с незащищенными уязвимостями устройств. DYNOWIPER работает путем перечисления логических дисков в зараженных системах, специально нацеливаясь на стационарные и съемные диски, при этом стратегически повреждая файлы, не затрагивая критически важные для системы каталоги, тем самым поддерживая некоторый уровень стабильности системы во время атаки.
Вредоносное ПО использует генератор псевдослучайных чисел, основанный на алгоритме Mersenne Twister, для генерации случайных данных при повреждении файла. Вместо того чтобы полностью перезаписывать файлы, DYNOWIPER повреждает выбранные их части, усугубляя ущерб, но позволяя процессу выполняться быстро. После завершения этапов повреждения и удаления DYNOWIPER принудительно перезагружает систему, чтобы помочь достичь своих разрушительных целей.
Существуют две известные версии DYNOWIPER, задокументированные CERT Polska; проанализированный образец соответствует версии A, которая включает функциональность отключения системы. В отличие от этого, версия B опускает эту функциональность и включает паузу между фазами ее повреждения и удаления.
Elastic Defend удалось обнаружить и предотвратить запуск DYNOWIPER до того, как произошло какое—либо повреждение, используя canary file monitoring - стратегически размещенные файлы-приманки, которые запускают оповещения при модификации, на что непреднамеренно повлиял подход DYNOWIPER's к неизбирательному повреждению файлов.
Что касается возможностей обнаружения, ключевые показатели включают выполнение вызовов API GetLogicalDrives в сочетании с массовыми файловыми операциями и необычным поведением системы, таким как повышение привилегий и модификации объектов групповой политики, связанные с запланированными задачами. Восстановление после атаки включает в себя восстановление из автономных резервных копий, проверку их целостности и обеспечение сброса всех учетных данных, в частности учетных записей администраторов домена, для снижения риска дальнейшего использования.
Атаки в декабре 2025 года иллюстрируют тревожную тенденцию в деструктивных кибероперациях, направленных на критически важную инфраструктуру, при этом DYNOWIPER демонстрирует эффективную, но относительно несложную методологию быстрого Уничтожения данных, дополненную обширным доступом, который уже существовал у злоумышленников.
#ParsedReport #CompletenessLow
06-02-2026
New Wave of Odyssey Stealer Actively Targeting macOS Users
https://cybersecuritynews.com/new-wave-of-odyssey-stealer/
Report completeness: Low
Threats:
Odyssey_stealer
Polymorphism_technique
Victims:
Macos users
Geo:
France, United kingdom, Spain, Canada, Brazil, India, Italy, Germany, Asia, Africa
ChatGPT TTPs:
T1027
IOCs:
Hash: 14
Soft:
macOS, Chrome, twitter
Algorithms:
sha256
Platforms:
apple
06-02-2026
New Wave of Odyssey Stealer Actively Targeting macOS Users
https://cybersecuritynews.com/new-wave-of-odyssey-stealer/
Report completeness: Low
Threats:
Odyssey_stealer
Polymorphism_technique
Victims:
Macos users
Geo:
France, United kingdom, Spain, Canada, Brazil, India, Italy, Germany, Asia, Africa
ChatGPT TTPs:
do not use without manual checkT1027
IOCs:
Hash: 14
Soft:
macOS, Chrome, twitter
Algorithms:
sha256
Platforms:
apple
Cyber Security News
New Wave of Odyssey Stealer Actively Targeting macOS Users
Odyssey Stealer targets macOS worldwide, spreading via fake updates and apps to steal crypto wallets, credentials and personal data.
CTT Report Hub
#ParsedReport #CompletenessLow 06-02-2026 New Wave of Odyssey Stealer Actively Targeting macOS Users https://cybersecuritynews.com/new-wave-of-odyssey-stealer/ Report completeness: Low Threats: Odyssey_stealer Polymorphism_technique Victims: Macos users…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносное ПО Odyssey Stealer активизировало свою атаку на пользователей macOS с помощью сложных методов уклонения, в частности polymorphism, который позволяет вредоносному ПО изменять свой код и цифровые подписи, чтобы избежать обнаружения традиционными мерами безопасности. Эта кампания подчеркивает растущую угрозу системам macOS, где безопасность может быть менее надежной, чем на других платформах. Использование автоматизированных методов уклонения отражает продолжающуюся адаптацию киберугроз в ответ на меры безопасности.
-----
Вредоносная Кампания Odyssey Stealer активизировалась, сосредоточив свои усилия на пользователях macOS с помощью передовых методов уклонения. Это вредоносное ПО классифицируется как изощренное и агрессивное, что подчеркивает растущую угрозу для систем macOS. Одной из наиболее важных характеристик Odyssey Stealer является его зависимость от polymorphism, который позволяет ему изменять свой код, чтобы эффективно обходить обычные меры безопасности. Этот метод уклонения включает автоматическое изменение его цифровой подписи, что затрудняет традиционным антивирусным программам обнаружение угрозы и реагирование на нее.
Активизация кампании Odyssey Stealer означает растущую тенденцию к распространению киберугроз, нацеленных на среды macOS, где механизмы безопасности могут быть не такими надежными, как в других операционных системах. Используя автоматизацию для уклонения, вредоносное ПО может защитить себя от обнаружения и максимально увеличить свои шансы на успешное проникновение в целевые системы. Пользователям следует сохранять бдительность, поскольку злоумышленники постоянно адаптируют свою тактику для использования уязвимостей, что отражает продолжающуюся гонку вооружений между разработчиками вредоносного ПО и специалистами по безопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносное ПО Odyssey Stealer активизировало свою атаку на пользователей macOS с помощью сложных методов уклонения, в частности polymorphism, который позволяет вредоносному ПО изменять свой код и цифровые подписи, чтобы избежать обнаружения традиционными мерами безопасности. Эта кампания подчеркивает растущую угрозу системам macOS, где безопасность может быть менее надежной, чем на других платформах. Использование автоматизированных методов уклонения отражает продолжающуюся адаптацию киберугроз в ответ на меры безопасности.
-----
Вредоносная Кампания Odyssey Stealer активизировалась, сосредоточив свои усилия на пользователях macOS с помощью передовых методов уклонения. Это вредоносное ПО классифицируется как изощренное и агрессивное, что подчеркивает растущую угрозу для систем macOS. Одной из наиболее важных характеристик Odyssey Stealer является его зависимость от polymorphism, который позволяет ему изменять свой код, чтобы эффективно обходить обычные меры безопасности. Этот метод уклонения включает автоматическое изменение его цифровой подписи, что затрудняет традиционным антивирусным программам обнаружение угрозы и реагирование на нее.
Активизация кампании Odyssey Stealer означает растущую тенденцию к распространению киберугроз, нацеленных на среды macOS, где механизмы безопасности могут быть не такими надежными, как в других операционных системах. Используя автоматизацию для уклонения, вредоносное ПО может защитить себя от обнаружения и максимально увеличить свои шансы на успешное проникновение в целевые системы. Пользователям следует сохранять бдительность, поскольку злоумышленники постоянно адаптируют свою тактику для использования уязвимостей, что отражает продолжающуюся гонку вооружений между разработчиками вредоносного ПО и специалистами по безопасности.
#ParsedReport #CompletenessMedium
06-02-2026
APT36 LNK-based malware activity
https://www.ctfiot.com/297073.html
Report completeness: Medium
Actors/Campaigns:
Transparenttribe (motivation: cyber_espionage)
Threats:
Dll_hijacking_technique
Antivm_technique
Spear-phishing_technique
Victims:
Government
Industry:
Government
TTPs:
Tactics: 10
Technics: 16
IOCs:
File: 11
Command: 1
Domain: 2
Soft:
Windows Runtime, WhatsApp, WeChat
Algorithms:
exhibit, base64
Functions:
PDfiums, dropHijackDll, Pensisting
Languages:
powershell
Platforms:
x86
06-02-2026
APT36 LNK-based malware activity
https://www.ctfiot.com/297073.html
Report completeness: Medium
Actors/Campaigns:
Transparenttribe (motivation: cyber_espionage)
Threats:
Dll_hijacking_technique
Antivm_technique
Spear-phishing_technique
Victims:
Government
Industry:
Government
TTPs:
Tactics: 10
Technics: 16
IOCs:
File: 11
Command: 1
Domain: 2
Soft:
Windows Runtime, WhatsApp, WeChat
Algorithms:
exhibit, base64
Functions:
PDfiums, dropHijackDll, Pensisting
Languages:
powershell
Platforms:
x86
CTF导航
APT36 基于 LNK 的恶意软件活动 | CTF导航
介绍本报告分析了一起归因于APT-36的定向恶意软件攻击活动。该活动利用社会工程学和可信机构主题来入侵受害者系统。攻击活动采用欺骗性的政府咨询诱饵，以恶意Windows快捷方式文件伪装成PDF文档，从而启动感染并...
CTT Report Hub
#ParsedReport #CompletenessMedium 06-02-2026 APT36 LNK-based malware activity https://www.ctfiot.com/297073.html Report completeness: Medium Actors/Campaigns: Transparenttribe (motivation: cyber_espionage) Threats: Dll_hijacking_technique Antivm_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT36 - это злоумышленник, проводящий нацеленные атаки вредоносного ПО с использованием методов социальной инженерии, в частности, путем маскировки вредоносных файлов ярлыков Windows (LNK) под надежные PDF-документы. Эти вводящие в заблуждение файлы эксплуатируют доверие пользователей, заставляя их непреднамеренно запускать вредоносное ПО, которое обеспечивает несанкционированный доступ к их системам и контроль над ними. Эта кампания подчеркивает изощренное использование APT36's психологических манипуляций для обхода мер безопасности и успешного проникновения в системы жертв.
-----
APT36 был идентифицирован как злоумышленник, стоящий за нацеленной кампанией атак вредоносного ПО, которая использует методы социальной инженерии для проникновения в системы жертв. Эта кампания характеризуется использованием обманчивого подхода, при котором актор маскирует вредоносную полезную нагрузку под надежные документы. В частности, APT36 использовал файл ярлыков Windows (LNK-файл), Маскировку под PDF-документ, тактику, направленную на то, чтобы ввести пользователей в заблуждение и избежать обнаружения.
Атака начинается с распространения этих вредоносных программ.Файлы LNK, которые создаются для того, чтобы использовать доверие пользователей, выдавая себя за законные правительственные рекомендации. Как только жертва непреднамеренно взаимодействует с ярлыком, это запускает запуск вредоносного ПО, что потенциально приводит к несанкционированному доступу и контролю над скомпрометированной системой. Этот метод заражения основан на предположениях жертв о безопасности и достоверности информации, касающейся государственных тем.
Использование такого механизма доставки подчеркивает изощренность APT36, подчеркивая их зависимость от психологических манипуляций для достижения своих целей. Внедряя вредоносное ПО в, казалось бы, безобидные файлы, они могут обойти традиционные меры безопасности и увеличить вероятность успешного проникновения. Как указывает кампания, поддержание повышенной осведомленности о тактике социальной инженерии и тщательное изучение нежелательных сообщений могут служить важнейшей защитой от таких нацеленных угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT36 - это злоумышленник, проводящий нацеленные атаки вредоносного ПО с использованием методов социальной инженерии, в частности, путем маскировки вредоносных файлов ярлыков Windows (LNK) под надежные PDF-документы. Эти вводящие в заблуждение файлы эксплуатируют доверие пользователей, заставляя их непреднамеренно запускать вредоносное ПО, которое обеспечивает несанкционированный доступ к их системам и контроль над ними. Эта кампания подчеркивает изощренное использование APT36's психологических манипуляций для обхода мер безопасности и успешного проникновения в системы жертв.
-----
APT36 был идентифицирован как злоумышленник, стоящий за нацеленной кампанией атак вредоносного ПО, которая использует методы социальной инженерии для проникновения в системы жертв. Эта кампания характеризуется использованием обманчивого подхода, при котором актор маскирует вредоносную полезную нагрузку под надежные документы. В частности, APT36 использовал файл ярлыков Windows (LNK-файл), Маскировку под PDF-документ, тактику, направленную на то, чтобы ввести пользователей в заблуждение и избежать обнаружения.
Атака начинается с распространения этих вредоносных программ.Файлы LNK, которые создаются для того, чтобы использовать доверие пользователей, выдавая себя за законные правительственные рекомендации. Как только жертва непреднамеренно взаимодействует с ярлыком, это запускает запуск вредоносного ПО, что потенциально приводит к несанкционированному доступу и контролю над скомпрометированной системой. Этот метод заражения основан на предположениях жертв о безопасности и достоверности информации, касающейся государственных тем.
Использование такого механизма доставки подчеркивает изощренность APT36, подчеркивая их зависимость от психологических манипуляций для достижения своих целей. Внедряя вредоносное ПО в, казалось бы, безобидные файлы, они могут обойти традиционные меры безопасности и увеличить вероятность успешного проникновения. Как указывает кампания, поддержание повышенной осведомленности о тактике социальной инженерии и тщательное изучение нежелательных сообщений могут служить важнейшей защитой от таких нацеленных угроз.
#ParsedReport #CompletenessMedium
06-02-2026
NFCShare Android Trojan: NFC card data theft via malicious APK
https://www.d3lab.net/nfcshare-android-trojan-nfc-card-data-theft-via-malicious-apk
Report completeness: Medium
Threats:
Nfcshare
Supercard-x
Relaynfc
Ngate
Victims:
Banking customers
Industry:
Financial
Geo:
Italian, Chinese, Deutsche
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1036, T1041, T1071.001, T1105, T1204.002, T1446, T1566
IOCs:
File: 2
Hash: 1
Domain: 1
Soft:
Android
Algorithms:
sha256
06-02-2026
NFCShare Android Trojan: NFC card data theft via malicious APK
https://www.d3lab.net/nfcshare-android-trojan-nfc-card-data-theft-via-malicious-apk
Report completeness: Medium
Threats:
Nfcshare
Supercard-x
Relaynfc
Ngate
Victims:
Banking customers
Industry:
Financial
Geo:
Italian, Chinese, Deutsche
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1041, T1071.001, T1105, T1204.002, T1446, T1566
IOCs:
File: 2
Hash: 1
Domain: 1
Soft:
Android
Algorithms:
sha256
D3Lab
NFCShare Android Trojan: NFC card data theft via malicious APK
An Android trojan distributed via a Deutsche Bank phishing campaign pretends to be “Support Nexi,” prompts victims to tap their payment card and enter the PIN, then exfiltrates NFC data over a WebSocket. We attribute this cluster as NFCShare and provide technical…
CTT Report Hub
#ParsedReport #CompletenessMedium 06-02-2026 NFCShare Android Trojan: NFC card data theft via malicious APK https://www.d3lab.net/nfcshare-android-trojan-nfc-card-data-theft-via-malicious-apk Report completeness: Medium Threats: Nfcshare Supercard-x Relaynfc…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Троянец NFCShare нацелен на пользователей Android с помощью кампании фишинга, выдающей себя за Deutsche Bank, направляя жертв на загрузку вредоносного APK-файла, который маскируется под "Support Nexi". Он использует технологию Android.nfc.Фреймворк IsoDep для считывания данных с платежных карт с поддержкой NFC, выводя конфиденциальную информацию на удаленный веб-сервер. Дизайн трояна, включая встроенный китайский текст и методы обфускации, предполагает связи с китайскими злоумышленниками и организованными группами киберпреступности.
-----
Троянец NFCShare нацелен на пользователей Android с помощью кампании фишинга, специально разработанной для того, чтобы выдавать себя за Deutsche Bank. Сначала жертвы попадают на мошеннический веб-сайт, имитирующий законную платформу банка, где им предлагается ввести номер своего мобильного телефона. Впоследствии им предлагается "обновить" свое банковское приложение, загрузив вредоносный APK-файл с именем deutsche.apk. После установки троянец маскируется под приложение под названием "Support Nexi" и инициирует обманный процесс верификации карты. Этот процесс включает в себя указание пользователю поднести свою NFC-карту к телефону, держать ее близко для аутентификации и ввести личный идентификационный номер карты (PIN-код).
Технически, вредоносный APK-файл использует технологию android.nfc.tech.Фреймворк IsoDep (ИЗОДЕП), который является частью протокола NFC, совместимого со стандартом ISO 14443. Используя эту технологию, приложение способно считывать данные с платежных карт с поддержкой NFC. Он обрабатывает эту информацию для создания объекта CardInfoitmanteis, который инкапсулирует конфиденциальные данные карты перед отправкой их на удаленную конечную точку WebSocket. Эта возможность не только допускает кражу информации о карте, но и предполагает, что приложение специально разработано для использования технологии NFC для эксфильтрации данных.
Троянцу было присвоено название NFCShare из-за последовательного присвоения внутреннего кода и поведенческих паттернов, наблюдаемых в ходе анализа, которые согласуются с его функциональными возможностями, включающими обмен данными с помощью NFC-карт. Более того, есть заметные ссылки на инструменты, связанные с китайскими злоумышленниками, о чем свидетельствует использование встроенного китайского текста в коде приложения и методы запутывания строк, которые повторяют те, что встречаются в известном китайском вредоносном ПО для Android. Это указывает на потенциальную связь с организованными группами киберпреступности, действующими из Китая, что усложняет картину угроз, связанных с этим конкретным Trojan.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Троянец NFCShare нацелен на пользователей Android с помощью кампании фишинга, выдающей себя за Deutsche Bank, направляя жертв на загрузку вредоносного APK-файла, который маскируется под "Support Nexi". Он использует технологию Android.nfc.Фреймворк IsoDep для считывания данных с платежных карт с поддержкой NFC, выводя конфиденциальную информацию на удаленный веб-сервер. Дизайн трояна, включая встроенный китайский текст и методы обфускации, предполагает связи с китайскими злоумышленниками и организованными группами киберпреступности.
-----
Троянец NFCShare нацелен на пользователей Android с помощью кампании фишинга, специально разработанной для того, чтобы выдавать себя за Deutsche Bank. Сначала жертвы попадают на мошеннический веб-сайт, имитирующий законную платформу банка, где им предлагается ввести номер своего мобильного телефона. Впоследствии им предлагается "обновить" свое банковское приложение, загрузив вредоносный APK-файл с именем deutsche.apk. После установки троянец маскируется под приложение под названием "Support Nexi" и инициирует обманный процесс верификации карты. Этот процесс включает в себя указание пользователю поднести свою NFC-карту к телефону, держать ее близко для аутентификации и ввести личный идентификационный номер карты (PIN-код).
Технически, вредоносный APK-файл использует технологию android.nfc.tech.Фреймворк IsoDep (ИЗОДЕП), который является частью протокола NFC, совместимого со стандартом ISO 14443. Используя эту технологию, приложение способно считывать данные с платежных карт с поддержкой NFC. Он обрабатывает эту информацию для создания объекта CardInfoitmanteis, который инкапсулирует конфиденциальные данные карты перед отправкой их на удаленную конечную точку WebSocket. Эта возможность не только допускает кражу информации о карте, но и предполагает, что приложение специально разработано для использования технологии NFC для эксфильтрации данных.
Троянцу было присвоено название NFCShare из-за последовательного присвоения внутреннего кода и поведенческих паттернов, наблюдаемых в ходе анализа, которые согласуются с его функциональными возможностями, включающими обмен данными с помощью NFC-карт. Более того, есть заметные ссылки на инструменты, связанные с китайскими злоумышленниками, о чем свидетельствует использование встроенного китайского текста в коде приложения и методы запутывания строк, которые повторяют те, что встречаются в известном китайском вредоносном ПО для Android. Это указывает на потенциальную связь с организованными группами киберпреступности, действующими из Китая, что усложняет картину угроз, связанных с этим конкретным Trojan.
#ParsedReport #CompletenessLow
06-02-2026
Russian Hacktivist Group Russian Legion Initiate OpDenmark
https://www.truesec.com/hub/blog/russian-hacktivist-group-russian-legion-initiate-opdenmark
Report completeness: Low
Actors/Campaigns:
Russian_legion (motivation: hacktivism)
Opdenmark (motivation: hacktivism)
Ragnarok (motivation: hacktivism)
Shadowclawz_404 (motivation: hacktivism)
Russian_partisan (motivation: hacktivism)
Inteid (motivation: hacktivism)
Noname057 (motivation: hacktivism)
Victims:
Danish companies, Private organizations, Swedish targets
Industry:
Government, Energy
Geo:
Russian, Danish, Russia, Denmark, Swedish, Poland
ChatGPT TTPs:
T1498, T1587
06-02-2026
Russian Hacktivist Group Russian Legion Initiate OpDenmark
https://www.truesec.com/hub/blog/russian-hacktivist-group-russian-legion-initiate-opdenmark
Report completeness: Low
Actors/Campaigns:
Russian_legion (motivation: hacktivism)
Opdenmark (motivation: hacktivism)
Ragnarok (motivation: hacktivism)
Shadowclawz_404 (motivation: hacktivism)
Russian_partisan (motivation: hacktivism)
Inteid (motivation: hacktivism)
Noname057 (motivation: hacktivism)
Victims:
Danish companies, Private organizations, Swedish targets
Industry:
Government, Energy
Geo:
Russian, Danish, Russia, Denmark, Swedish, Poland
ChatGPT TTPs:
do not use without manual checkT1498, T1587
Truesec
Russian Hacktivist Group "Russian Legion" Initiate OpDenmark - Truesec
Truesec has now observed that a new round of attacks is likely to begin, as Russian Legion has announced Phase 2 named "Operation Ragnarök". There have