#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Proofpoint идентифицировала TrustConnect, вредоносное ПО как сервис, Маскировка которого осуществляется под законный инструмент удаленного мониторинга и управления. Он распространяется через обманчивый веб-сайт и предлагает веб-панель управление (C2) для автоматической генерации полезной нагрузки, продается по подписке за 300 долларов в месяц и принимает платежи в криптовалюте. Вредоносное ПО работает через API-коммуникации и было связано с различными кампаниями, что указывает на циклический характер действий злоумышленник, использующих законные приложения RMM для первоначального доступа к системе.
-----

Proofpoint выявила новое вредоносное ПО как услугу (MaaS) под названием TrustConnect, которое маскируется под законный инструмент удаленного мониторинга и управления (RMM). Это вредоносное ПО продается через веб-сайт, который был создан для имитации страницы входа в реальное приложение RMM. В настоящее время доступ к TrustConnect стоит 300 долларов в месяц, и есть признаки того, что актор, стоящий за этим, также может быть известным пользователем Redline Stealer. Сотрудничество между партнерами по разведке привело к сбоям в инфраструктуре TrustConnect's; однако актор продемонстрировал устойчивость, запустив новый вариант вредоносное ПО под названием DocConnect через альтернативный веб-сайт RMM вскоре после этого.

Инструменты удаленного мониторинга и управления часто нацелен киберпреступниками на первоначальный доступ к системам. Законные приложения RMM, такие как SimpleHelp, SuperOps, Datto и N-able, обычно используются, часто с помощью тактики электронной почты или в качестве вторичной полезной нагрузки после первоначального взлома. Домен, на котором размещено вредоносное ПО, trustconnectsoftware.com , был зарегистрирован 12 января 2026 года и представляет себя как инструмент RMM под названием TrustConnectAgent. Сайт предназначен для введения в заблуждение пользователей и поставщиков сертификатов, размещая сфабрикованную статистику клиентов и документацию по программному обеспечению. Считается, что актор, возможно, использовал большую языковую модель для создания этого убедительного фасада.

TrustConnect наблюдается в экосистеме, где злоумышленник часто переключается между полезными нагрузками, позволяя одному URL-адресу ссылаться на различные формы вредоносное ПО на протяжении всей кампании. Вредоносное ПО было подтверждено как распространяемое 27 января, что совпадает с датой, когда продавец начал использовать цифровую Подпись исполняемого кода программного обеспечения. Было отмечено множество кампаний с участием различных злоумышленник, распространяющих это вредоносное ПО.

Вредоносное ПО предлагает веб-панель управление (C2), которая позволяет автоматически генерировать полезную нагрузку и поддерживает модель подписки, также стоимостью 300 долларов в месяц, при этом транзакции облегчаются с помощью криптовалюты. Этот централизованный сервер C2 управляет операциями для многочисленных клиентов, а связь осуществляется через простой API без какого-либо шифрования, кроме стандартного SSL/TLS. Панель C2 для TrustConnect также содержит контактную информацию для дескриптора Телеграм, который используется для поддержки и продаж.

Появление и функционирование TrustConnect иллюстрируют существенные закономерности в текущей ситуации с угрозами, особенно в том, что касается неправомерного использования и коммерциализации законных инструментов удаленного мониторинга киберпреступниками.

#ParsedReport #CompletenessMedium
19-02-2026

Technical Deep Dive: The Monero Mining Campaign

https://www.trellix.com/blogs/research/technical-deep-dive-the-monero-mining-campaign/

Report completeness: Medium

Threats:
Coinhive_miner
Xmrig_miner
Timebomb_technique
Typosquatting_technique
Byovd_technique
Hydra
Dll_sideloading_technique

Victims:
Consumers, Enterprises, General users

Industry:
Healthcare

CVEs:
CVE-2020-14979 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- evga precision_x1 (le1.0.6)
- winring0_project winring0 (1.2.0)


TTPs:
Tactics: 7
Technics: 17

IOCs:
Hash: 9
File: 9
Path: 6
Coin: 1
Registry: 1

Soft:
Microsoft Edge, Windows Explorer, Windows kernel, BinDiff, Windows Defender Application Control, Windows Service

Crypto:
monero, bitcoin

Algorithms:
sha256, md5, exhibit, randomx

Functions:
It, Loop

Win API:
TerminateProcess, DeleteFileW, GetModuleFileNameW, CopyFileW, FindResourceW, LoadResource, LockResource, SetFileAttributesW, GetTickCount64, Process32First, have more...

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания по криптоджекинг демонстрирует продвинутую тактику вредоносное ПО, в основном основанную на "Explorer.exe ," который организует заражение как постоянный конечный автомат. Он использует "Совместимость с Microsoft Telemetry.exe " в качестве оболочки для программного обеспечения для майнинга XMRig, использующего такие методы, как typosquatting и DLL sideloading, чтобы избежать обнаружения. Примечательно, что он использует WinRing0x64.sys драйвер для получения доступа на уровне ядра, расширяющий его необнаруживаемую функциональность при максимальном повышении эффективности майнинга, и имеет агрессивные методы распространения, включая использование съемных носителей для распространения.
-----

Подробный криминалистический анализ кампании криптоджекинг демонстрирует растущую изощренность таких угроз, особенно в том, как они обеспечивают закрепление и максимизируют эффективность майнинга для злоумышленников. Эта кампания сосредоточена вокруг основного компонента, получившего название "вредоносное ПО".Explorer.exe ," функционирующий как механизм контроля инфекции. В отличие от традиционного вредоносное ПО, этот вариант работает как постоянный конечный автомат, адаптируя свою роль на основе входных данных командной строки. Это позволяет ит-отделу управлять установкой, мониторингом и выполнением полезной нагрузки интеллектуального анализа данных, которая выполняется под видом законной операции Windows.

По своей сути, эта кампания опирается на два основных компонента: "Explorer.exe " управляет общей оркестровкой, в то время как "Совместимость с Microsoft Telemetry.exe " служит замаскированной оболочкой для программного обеспечения для майнинга XMRig. Вредоносное ПО использует такие стратегии, как typosquatting, чтобы внедриться в законные системные процессы, тем самым избегая обнаружения. Кроме того, он использует DLL sideloading для выполнения интеллектуального кода, сохраняя разделение между загрузчиком и полезной нагрузкой для удобства обновления или внесения изменений.

Примечательной особенностью является интеграция в вредоносное ПО технологии "Принесите свой собственный уязвимый драйвер" (BYOVD), в частности, использующей WinRing0x64.sys драйвер. Эта эксплуатация позволяет вредоносное ПО получать доступ к привилегиям на уровне ядра, что повышает его способность работать незамеченным при оптимизации процесса интеллектуального анализа данных. Вредоносное ПО отключает определенные функции процессора для повышения эффективности майнинга, демонстрируя стратегический подход к использованию ресурсов.

В дополнение к своей основной функции майнинга, вредоносное ПО обладает агрессивными возможностями распространения, функционируя не только как троян, но и как Worm. Он активно стремится распространиться на другие системы через съемные носители, используя пассивный прослушиватель для обнаружения изменений в устройстве, не создавая высокой активности процессора, которая могла бы насторожить пользователей или системы безопасности. Используя обманчивую процедуру очистки и временный "переключатель уничтожения", вредоносное ПО обеспечивает жесткий контроль своего жизненного цикла и может удалять следы своего присутствия, чтобы избежать расследования после заражения.

Наконец, стратегическое резервирование с помощью нескольких сторожевых процессов помогает закрепление вредоносное ПО даже после попыток прекратить его работу, поскольку эти сторожевые программы могут перезапустить основной механизм управления. Сложный дизайн и многогранное функционирование этой кампании по криптоджекинг подчеркивают продолжающуюся эволюцию и изощренность угроз, нацеленных на вычислительные ресурсы организации, подчеркивая необходимость надежных мер безопасности, способных идентифицировать и нейтрализовать такое продвинутое вредоносное ПО.

#ParsedReport #CompletenessLow
19-02-2026

Massiv: When your IPTV app terminates your savings

https://www.threatfabric.com/blogs/massiv-when-your-iptv-app-terminates-your-savings

Report completeness: Low

Threats:
Massiv

Victims:
Mobile users

Industry:
Media, Government, Financial

Geo:
Portugal, France, Spain, Portuguese, Turkey

ChatGPT TTPs:
do not use without manual check
T1036, T1476

IOCs:
Hash: 2

Soft:
Android, Google Play, Telegram

Algorithms:
sha256, zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
На сферу мобильных угроз все чаще воздействует вредоносное ПО, такое как сложный банковский троян для Android "Massiv", который распространяется посредством боковой загрузки. Разработанный для имитации законных приложений, Massiv использует тактику социальной инженерии, чтобы побудить жертв установить его, тем самым избегая обнаружения и компрометируя их финансовую и личную информацию. Это подчеркивает эволюционирующие стратегии, используемые киберпреступниками для использования уязвимостей в мобильных устройствах.
-----

В современном ландшафте мобильных угроз все чаще доминируют различные семейства вредоносное ПО, используемые как отдельными злоумышленник, так и организованными преступными группами. Значительное внимание уделяется распространению троянских программ способом, который кажется жертвам естественным и ненавязчивым. Одним из заметных достижений в этой области является появление сложного банковского трояна для Android, известного как "Massiv". Это вредоносное ПО обычно распространяется посредством боковой загрузки - метода, который позволяет пользователям устанавливать приложения из источников за пределами официальных магазинов приложений.

Чтобы избежать обнаружения и не вызвать подозрений, Massiv разработан таким образом, чтобы убедительно маскироваться под законное приложение. Эта тактика социальной инженерии имеет решающее значение, поскольку она побуждает жертв приступить к установке, не подвергая сомнению подлинность приложения. Используя такие обманные методы, злоумышленник может проникать на устройства пользователей, создавая значительные риски для их финансовой безопасности и личной информации. В целом, Massiv иллюстрирует эволюционирующие стратегии, используемые киберпреступниками для использования уязвимостей в мобильных устройствах, подчеркивая важность бдительности перед лицом мобильных угроз.

#ParsedReport #CompletenessHigh
19-02-2026

Arkanix Stealer: a C++ & Python infostealer

https://securelist.com/arkanix-stealer/119006/

Report completeness: High

Threats:
Arkanix
Disco
Hvnc_tool
Vmprotect_tool

Victims:
Cryptocurrency users, Gamers, Online banking users, General users

Industry:
Financial, Entertainment

Geo:
French

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1041, T1055, T1059.006, T1071.001, T1102.002, T1105, T1113, T1204.002, T1552.001, have more...

IOCs:
File: 4
Hash: 17
Url: 3
Path: 1
Domain: 2
IP: 2

Soft:
Discord, PyInstaller, Nuitka, Google Chrome, Tor Browser, Chrome, Telegram, Steam, Visual Studio

Wallets:
metamask, exodus_wallet

Crypto:
binance

Algorithms:
aes-gcm, hmac, sha256, pbkdf2, zip, aes, md5

Win API:
AmsiScanBuffer, EtwEventWrite, capCreateCaptureWindowA, CreateProcess

Languages:
python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Arkanix Stealer - это недавно идентифицированный стиллер информации, работающий по модели "вредоносное ПОкак услуга", нацеленный на конфиденциальные данные в различных браузерах и приложениях, особенно на криптовалютные кошельки и учетные данные пользователей. Он использует сложную технику заражения с использованием сценариев загрузки на Python, которые загружают и выполняют основную полезную нагрузку, одновременно запутывая ее операции. Вредоносное ПО захватывает обширную системную информацию, собирает данные из VPN-приложений и использует усовершенствованное шифрование для связи со своим сервером управления, хотя его операционная инфраструктура, по-видимому, была демонтирована вскоре после его появления.
-----

Arkanix Stealer - это стиллер информации, работающий по модели "вредоносное ПОкак услуга", впервые обнаруженный в октябре 2025 года. В нем имеется удобная Панель управления для настраиваемых полезных нагрузок и статистики в режиме реального времени. Набор инструментов включает версию на C++ для сбора подробной системной информации и извлечения данных из криптовалютного кошелька, а также версию на Python для динамического изменения конфигурации. Механизмы распространения включают фишинг с использованием загрузочных скриптов, замаскированных под законные сервисы, такие как "steam_account_checker_pro_v1.py " и "TikTokAccountBotter.exe ." Загрузчик Python загружает основную полезную нагрузку, которую можно запутать и упаковать с помощью PyInstaller или Nuitka. Вредоносное ПО может извлекать данные из 22 браузеров, включая Google Chrome и Tor, и собирать учетные данные из таких приложений, как Телеграм и Discord. Он сканирует предопределенные пути к пользовательским папкам на наличие конфиденциальных файлов, сжимая их в ZIP-архивы для эксфильтрация на свой сервер управления. Похититель, скорее всего, нацелен на франкоязычных пользователей, на что указывают ссылки на французскую лексику. Он также собирает данные из VPN-приложений и идентифицирует RDP-соединения путем анализа rdp-файлов. Версия C++ захватывает скриншоты и данные браузера, используя "ChromElevator" для прямого внедрения системного вызова для удаления файлов cookie и учетные данные.

Для связи с сервером C2 используется шифрование AES-GCM и PBKDF2. Кампания опиралась на два домена, маршрутизируемых через Cloudflare, и включала выделенный сервер Discord для взаимодействия автора и пользователя. К декабрю 2025 года сервер и канал Discord были отключены, что указывает на то, что операция, возможно, была краткосрочной схемой без планов дальнейшего развития.

#ParsedReport #CompletenessLow
19-02-2026

macOS Malware Analysis: Music Plugin DMG Loader

https://the-sequence.com/macos-malware-loader-music-plugin-dmg

Report completeness: Low

Threats:
Odyssey_stealer
Macc_stealer
Clickfix_technique
Ozone

Victims:
Macos users, Consumers

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1027, T1036.005, T1041, T1059.002, T1059.004, T1070.004, T1071.001, T1105, T1140, T1204.002, have more...

IOCs:
File: 1
Domain: 4

Soft:
macOS, Gatekeeper, Curl

Algorithms:
base64, zip

Platforms:
apple, intel, arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Была раскрыта Вредоносная Кампания для macOS, использующая загрузчики, замаскированные под DMG-файлы взломанного музыкального плагина, для распространения различного вредоносное ПО, включая Odyssey и MacSyncStealer, в основном с помощью социальной инженерии. Вредоносное ПО содержит файл Installer.plist, который взаимодействует с удаленным сервером для получения дополнительной полезной нагрузки; оно использует скрытый двоичный файл Mach-O, “Meta Installer”, предназначенный для компьютеров Intel Mac и требующий Rosetta для систем ARM. Процесс заражения включает в себя незафиксированный сценарий Bash, который подключается к домену управление, в конечном итоге развертывая MacSync stealer, который загружает данные на серверы злоумышленников.
-----

Исследователи безопасности выявили широко распространенную Вредоносная Кампания для macOS, которая использует загрузчик, замаскированный под DMG-файлы взломанного музыкального плагина, для доставки серии вредоносное ПО, включая такие известные варианты, как Odyssey и MacSyncStealer. Эти файлы DMG в основном распространяются с помощью тактики социальной инженерии, убеждая пользователей устанавливать их, несмотря на то, что они неподписаны.

В этих вредоносных DMG-файлах был обнаружен определенный конфигурационный файл Installer.plist, внедренный более чем в 100 экземплярах. Этот список свойств служит скрытым скриптом, который облегчает связь между вредоносное ПО и удаленным сервером по адресу mac.fleebottom-33.xyz. Он запрограммирован на отправку идентификаторов отслеживания, специфичных для кампании, и получение дополнительных вредоносных полезных инструкций без предупреждения пользователя.

В основе заражения лежит двоичный файл Mach-O, называемый "Meta Installer”, расположенный в скрытом каталоге в DMG. Этот двоичный файл предназначен для систем macOS на базе Intel, что создает проблему совместимости с новыми устройствами на базе ARM, если они не используют уровень трансляции Rosetta. После выполнения программа установки считывает файл Installer.plist, чтобы определить единый идентификатор ресурса (URI), который он будет использовать для получения дополнительных вредоносных данных с указанного удаленного сервера.

На начальном этапе вредоносное ПО использует незафиксированный сценарий Bash для дальнейшего процесса заражения, запрашивая версию операционной системы и создавая нацелен-ный запрос к домену command and control (C2), com.airportsock.xyz. Это прокладывает путь к следующему этапу, на котором вторичная полезная нагрузка извлекается с помощью перенаправления через robincompany.xyz. Это включает параметр "affId=1000", указывающий на его участие в кампании с оплатой за установку (PPI), при этом финансовые стимулы стимулируют распространение инфекций.

На заключительном этапе создается запутанный вариант MacSync stealer, который после деобфускации извлекает дополнительные полезные данные из kuturu.com . Скрипт выполняет их локально через osascript, ориентируясь на временный файл (/tmp/osalogging.zip ) и пытается загрузить содержимое на сервер злоумышленника с помощью HTTP POST-запросов, одновременно удаляя локальные следы вредоносное ПО.

Эта кампания подчеркивает тенденцию в области угроз для macOS, демонстрируя переход к более сложным моделям "Загрузчик как услуга". Используя тактику социальной инженерии, чтобы замаскировать вредоносное ПО под привлекательное программное обеспечение, злоумышленники эффективно обходят традиционные меры безопасности, заставляя пользователей самостоятельно выполнять вредоносный код.

#ParsedReport #CompletenessHigh
19-02-2026

Remcos Revisited: Inside the RATs Evolving Command-and-Control Techniques

https://www.pointwild.com/threat-intelligence/remcos-revisited-inside-the-rats-evolving-command-and-control-techniques/

Report completeness: High

Threats:
Remcos_rat
Credential_harvesting_technique
Trojan.w32.111125.remcos
Process_injection_technique

Industry:
Government

TTPs:
Tactics: 3
Technics: 8

IOCs:
IP: 1
File: 4
Hash: 1
Path: 1

Soft:
Chrome, Firefox, Internet Explorer

Algorithms:
xor, md5

Win API:
CreateFileA, LoadLibrary, GetProcAddress

Languages:
visual_basic

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, dump: 5, code: 2, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Remcos RAT представляет значительную киберугроза, известная своей способностью обходить меры безопасности и красть конфиденциальные данные с помощью таких средств заражения, как фишинг-рассылки по электронной почте и веб-сайты с компрометация. Вредоносное ПО предоставляет злоумышленникам широкие возможности удаленного управления, включая Регистрация нажатий клавиш, Захват экрана и доступ к веб-камере, одновременно выполняя атаки без файлов, чтобы избежать обнаружения. Последние варианты используют связь управление в режиме реального времени для наблюдения в реальном времени, динамически разрешающие API для скрытности и используют методы эксфильтрация данных, которые включают шифрование и запутывание трафика для имитации законного поведения в Сети, что усложняет усилия по обнаружению.
-----

Remcos RAT превратилась в ведущую глобальную киберугроза, известную своей изощренной способностью обходить меры безопасности и красть конфиденциальную информацию, что позиционирует ее как серьезную проблему для специалистов по Кибербезопасность. Основными источниками заражения являются фишинг-письма, часто содержащие вредоносные вложения, замаскированные под законные документы, и веб-сайты с компрометация, которые служат хост-сайтами для загрузки и установки вредоносного ПО Remcos.

Remcos RAT предоставляет злоумышленникам обширный удаленный контроль над зараженной системой, позволяя получать доступ к файлам, процессам и изменениям реестра. Известные возможности наблюдения включают в себя Регистрация нажатий клавиш, Захват экрана и возможность записи с помощью веб-камеры и микрофона объекта. Его механизмы закрепление включают изменения в реестре Windows и различные методы запуска, чтобы гарантировать, что он остается работоспособным после перезагрузки системы или входа пользователя в систему. Тревожной тенденцией в последних версиях является выполнение атак без файлов, когда вредоносный код вводится непосредственно в память, чтобы обойти средства обнаружения конечных точек и реагирования (EDR).

Одним из важнейших нововведений в последней версии Remcos является переход от локального хранения данных к прямой связи управление в режиме реального времени (C2) с серверами атаки. Это позволяет злоумышленникам вести мониторинг в режиме реального времени с помощью веб-камер, тем самым повышая уровень угрозы, связанный с постоянным наблюдением и шпионажем. Remcos использует Динамическое разрешение API для повышения скрытности, разрешая требуемые функции Windows API во время выполнения, что усложняет усилия по обнаружению.

Операции по краже данных вредоносное ПО направлено на сбор учетных записей, в частности, на имена пользователей и пароли, хранящиеся в веб-браузерах, таких как Chrome и Firefox. Чтобы избежать обнаружения, Remcos шифрует свои сообщения C2 и запутывает свой трафик, имитируя обычное поведение в Интернете, что затрудняет средствам безопасности выявление вредоносной активности. После успешной эксфильтрация конфиденциальных данных Remcos выполняет процедуру очистки, которая удаляет данные о просмотре и файлы cookie, продолжая свои усилия по стиранию следов и срыву судебно-медицинских расследований.

Remcos взаимодействует со своими серверами C2 посредством обычных исходящих подключений, либо жестко закодированных, либо расшифрованных во время выполнения, для отправки маяков, запрашивающих дальнейшие инструкции, или отправки обратно отфильтрованных данных. Вредоносное ПО способно красть Данные из буфера обмена, выполнять автоматические скриншоты и внедряться в другие процессы, чтобы избежать обнаружения.

Для удаления Remcos требуется войти в безопасный режим и использовать антивирусные решения, такие как UltraAV, которые идентифицируют его как Trojan.W32.111125.Remcos.YR. Растущая изощренность вредоносное ПО, особенно в его методах обфускации и операционной гибкости, указывает на серьезную и продолжающуюся угрозу, отражающую отчетливую эволюцию тактики, используемой современными Троянская программа удаленного доступа.

#ParsedReport #CompletenessHigh
19-02-2026

MIMICRAT: ClickFix Campaign Delivers Custom RAT via Compromised LegitimateWebsites

https://www.elastic.co/security-labs/mimicrat-custom-rat-mimics-c2-frameworks

Report completeness: High

Threats:
Mimicrat
Clickfix_technique
Amsi_bypass_technique
Trurat
Meterpreter_tool
Process_injection_technique

Victims:
General internet users

Industry:
Financial, Education

Geo:
Chinese, German, French, Indian, Korean, Indonesian, Portuguese, Russian, Turkish, Italian, Vietnamese, Usa, Dutch, Polish, Spanish, Japanese

TTPs:
Tactics: 8
Technics: 0

IOCs:
Url: 2
Domain: 3
File: 12
Command: 1
IP: 3
Hash: 4

Soft:
Windows token, Event Tracing for Windows, Microsoft Visual Studio

Algorithms:
sha256, rsa-1024, xor, base64, rc4, zip, aes

Languages:
javascript, php, powershell, lua

Platforms:
x86, x64

YARA: Found

Links:
https://github.com/elastic/protections-artifacts/blob/main/behavior/rules/windows/execution\_execution\_via\_obfuscated\_powershell\_script.toml
https://github.com/elastic/protections-artifacts/blob/main/behavior/rules/windows/execution\_suspicious\_command\_shell\_execution\_via\_windows\_run.toml
https://github.com/elastic/protections-artifacts/blob/main/behavior/rules/windows/command\_and\_control\_dns\_query\_to\_suspicious\_top\_level\_domain.toml
have more...

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix использует законные веб-сайты, подвергшиеся компрометация, для доставки MIMICRAT, пользовательской Троянская программа удаленного доступа (RAT), посредством многоэтапной цепочки атак, инициированной на bincheck.io . Атака использует запутанные скрипты PowerShell, которые обходят такие меры безопасности, как ETW и AMSI, затем использует загрузчик на основе Lua для расшифровки и выполнения дальнейших вредоносных полезных нагрузок. MIMICRAT обеспечивает обширные действия после эксплуатации и взаимодействует со своими серверами командования и контроля через запутанные HTTP-профили, что усложняет усилия по обнаружению.
-----

Кампания ClickFix, недавно исследованная Elastic Security Labs, использует законные веб-сайты, подвергшиеся компрометация, для доставки сложной полезной нагрузки вредоносное ПО, классифицируемой как MIMICRAT, пользовательская Троянская программа для удаленного доступа на языке C (RAT). Эта многоэтапная цепочка атак начинается с первоначального переносчика инфекции на bincheck.io , законная служба проверки BIN, в которую был внедрен вредоносный JavaScript. Этот скрипт динамически загружает второй внешний скрипт с другого сайта компрометация, https://www.investonline.in/js/jq.php .

Кампания проходит в пять различных этапов. Первоначально из буфера обмена выполняется запутанный однострочный PowerShell, что приводит к загрузке сложного сценария PowerShell второго этапа. Этот скрипт реализует различные методы обхода, включая обход трассировки событий для Windows (ETW) и интерфейса проверки на вредоносное ПО (AMSI). Это достигается путем изменения внутренних свойств этих систем, чтобы подавить возможности ведения журнала и сканирования. В частности, скрипт PowerShell отключает ETW, изменяя поле `m_enabled` на ноль, и манипулирует основной функцией AMSI, чтобы полностью избежать обнаружения с помощью отражения и исправления метода выполнения.

После этого выполняется загрузчик на основе Lua, который расшифровывает и запускает Lua-скрипт, используя процедуру расшифровки XOR. Этот загрузчик представляет собой уникальную реализацию, которая встраивает свой собственный интерпретатор для облегчения дальнейших вредоносных операций. Этап шелл-кода, согласованный с сигнатурами Meterpreter, впоследствии загружает MIMICRAT в память, позволяя вредоносное ПО установить постоянный доступ. Окончательная скомпилированная полезная нагрузка содержит пользовательские протоколы связи с такими функциями, как гибкие профили C2, Кража токена Windows и туннелирование через прокси-сервер SOCKS5.

Сам MIMICRAT реализует надежную таблицу отправки команд, содержащую 22 различные команды, которые позволяют выполнять ряд действий после эксплуатации, таких как управление технологическим процессом, интерактивные оболочки и манипулирование токенами. Вредоносное ПО взаимодействует со своей инфраструктурой C2 через тщательно замаскированные HTTP-профили, гарантируя, что его команды и обмен данными остаются скрытыми.

Для связи командования и контроля были определены два отдельных кластера. Первый кластер, связанный с доставкой полезной нагрузки, работает в диапазоне IP-адресов 45.13.212.250 и 45.13.212.251, который обслуживает сценарий PowerShell второго этапа и начальную полезную нагрузку. Последующий кластер, связанный с действиями после эксплуатации, использует IP-адрес 23.227.202.114. Чтобы облегчить идентификацию и отслеживание этой кампании, Elastic Security разработала специальные правила YARA, нацеленные на сигнатуры и поведенческие паттерны, демонстрируемые полезной нагрузкой MIMICRAT.

Последствия такой изощренной кампании подчеркивают растущую сложность действий злоумышленник, подчеркивая необходимость создания надежных механизмов защиты от таких скоординированных атак с использованием законных инфраструктур для доставки вредоносных программ.

#ParsedReport #CompletenessLow
19-02-2026

Brand Trust as a Weapon: Multi-Brand Impersonation Campaigns Deliver JWrapper Malware

https://cofense.com/blog/brand-trust-as-a-weapon-multi-brand-impersonation-campaigns-deliver-jwrapper-malware

Report completeness: Low

Threats:
Simplehelp_tool

Victims:
Docusign users, Simplehelp users

CVEs:
CVE-2024-57727 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- simple-help simplehelp (<5.5.8)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1105, T1204.002, T1566.001, T1566.002

IOCs:
Url: 9
IP: 10
Hash: 3

Soft:
JWrapper, Zoom

Algorithms:
sha256, md5

Languages:
java

Platforms:
cross-platform