CTT Report Hub
#ParsedReport #CompletenessMedium 26-02-2026 Malicious Go crypto Module Steals Passwords and Deploys Rekoobe Backdoor https://socket.dev/blog/malicious-go-crypto-module-steals-passwords-and-deploys-rekoobe-backdoor Report completeness: Medium Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносный модуль Go, замаскированный под законный golang.org/x/crypto библиотека, предназначенная для систем Linux путем встраивания бэкдора в функцию ReadPassword. Этот многоступенчатый дроппер добавляет SSH-ключ к файлу authorized_keys и загружает дополнительные полезные файлы, такие как бэкдор Rekoobe Linux, связанный со шпионской деятельностью APT31's. Он захватывает конфиденциальные учетные данные пользователя и извлекает их во время выполнения команд с использованием гибкой сетевой инфраструктуры, используя уязвимости в supply chain программного обеспечения.
-----
Недавно выявленная угроза связана с вредоносным модулем Go, github.com/xinfeisoft/crypto , который маскируется под законный golang.org/x/crypto библиотека. Этот вредоносный модуль нацелен на системы Linux, в частности, ставя под угрозу безопасность с помощью встроенного бэкдора в функции ReadPassword в ssh/terminal/terminal.go. Учитывая, что библиотека x/crypto является основополагающей криптографической библиотекой, пользующейся широким доверием в экосистеме Go, такая Имперсонация делает вредоносный модуль мощной угрозой, поскольку он может легко вписываться в графики зависимостей, используемые различными приложениями.
Вредоносный модуль работает как многоступенчатый Linux-дроппер. При вызове он добавляет SSH-ключ к файлу authorized_keys пользователя ubuntu по умолчанию, изменяет iptables, чтобы разрешить весь трафик, и загружает дополнительные полезные файлы, замаскированные под медиафайлы .mp5, с сайта, контролируемого злоумышленник. Наш анализ выявил одну такую полезную нагрузку, названную 555.mp5, как бэкдор Rekoobe Linux, который обычно связывают атрибутирован с шпионской деятельностью APT31.
После выполнения встроенной функции ReadPassword модуль извлекает промежуточный файл со страницы, размещенной на GitHub, который он использует для определения следующей вредоносной конечной точки в цепочке выполнения. Примечательно, что цепочка выполнения включает в себя несколько сетевых переходов, которые приводят к развертыванию дополнительных полезных нагрузок, усиливая возможности модуля для гибких операций командования и контроля. Он фиксирует конфиденциальные интерактивные учетные данные, которые пользователи могут вводить во время типичных операций, позволяя злоумышленник извлекать их с помощью HTTP POST-запроса на внешний сервер, а также получать команды обратно.
Успех этой атаки зависит от тактики маскировки, которую использует злоумышленник, использующий доверие к оригинальной библиотеке Go. Такой подход не только подчеркивает опасность уязвимостей, связанных с supply chain программного обеспечения, но и открывает дискуссию о необходимости тщательного изучения сторонних модулей в рабочих процессах разработки программного обеспечения. В настоящее время пакет остается в списке общедоступных репозиториев, хотя команда Go security предприняла шаги по его блокировке после того, как стало известно о его вредоносном характере.
Этот инцидент согласуется с несколькими тактическими приемами, описанными в MITRE ATT&CK фреймворк, выделяя такие методы, как Компрометация цепочки поставок, Перехват вводимых данных и манипулирование авторизованным ключом SSH для сохранения доступа. Кроме того, инфраструктура указывает на дизайн, адаптированный для конкретных сценариев нацелен, включая потенциальные облачные среды, обычно использующие учетную запись ubuntu. Такой нацелен подход предполагает углубленное понимание операционной среды, создающей значительные риски для организаций в конкретных секторах.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносный модуль Go, замаскированный под законный golang.org/x/crypto библиотека, предназначенная для систем Linux путем встраивания бэкдора в функцию ReadPassword. Этот многоступенчатый дроппер добавляет SSH-ключ к файлу authorized_keys и загружает дополнительные полезные файлы, такие как бэкдор Rekoobe Linux, связанный со шпионской деятельностью APT31's. Он захватывает конфиденциальные учетные данные пользователя и извлекает их во время выполнения команд с использованием гибкой сетевой инфраструктуры, используя уязвимости в supply chain программного обеспечения.
-----
Недавно выявленная угроза связана с вредоносным модулем Go, github.com/xinfeisoft/crypto , который маскируется под законный golang.org/x/crypto библиотека. Этот вредоносный модуль нацелен на системы Linux, в частности, ставя под угрозу безопасность с помощью встроенного бэкдора в функции ReadPassword в ssh/terminal/terminal.go. Учитывая, что библиотека x/crypto является основополагающей криптографической библиотекой, пользующейся широким доверием в экосистеме Go, такая Имперсонация делает вредоносный модуль мощной угрозой, поскольку он может легко вписываться в графики зависимостей, используемые различными приложениями.
Вредоносный модуль работает как многоступенчатый Linux-дроппер. При вызове он добавляет SSH-ключ к файлу authorized_keys пользователя ubuntu по умолчанию, изменяет iptables, чтобы разрешить весь трафик, и загружает дополнительные полезные файлы, замаскированные под медиафайлы .mp5, с сайта, контролируемого злоумышленник. Наш анализ выявил одну такую полезную нагрузку, названную 555.mp5, как бэкдор Rekoobe Linux, который обычно связывают атрибутирован с шпионской деятельностью APT31.
После выполнения встроенной функции ReadPassword модуль извлекает промежуточный файл со страницы, размещенной на GitHub, который он использует для определения следующей вредоносной конечной точки в цепочке выполнения. Примечательно, что цепочка выполнения включает в себя несколько сетевых переходов, которые приводят к развертыванию дополнительных полезных нагрузок, усиливая возможности модуля для гибких операций командования и контроля. Он фиксирует конфиденциальные интерактивные учетные данные, которые пользователи могут вводить во время типичных операций, позволяя злоумышленник извлекать их с помощью HTTP POST-запроса на внешний сервер, а также получать команды обратно.
Успех этой атаки зависит от тактики маскировки, которую использует злоумышленник, использующий доверие к оригинальной библиотеке Go. Такой подход не только подчеркивает опасность уязвимостей, связанных с supply chain программного обеспечения, но и открывает дискуссию о необходимости тщательного изучения сторонних модулей в рабочих процессах разработки программного обеспечения. В настоящее время пакет остается в списке общедоступных репозиториев, хотя команда Go security предприняла шаги по его блокировке после того, как стало известно о его вредоносном характере.
Этот инцидент согласуется с несколькими тактическими приемами, описанными в MITRE ATT&CK фреймворк, выделяя такие методы, как Компрометация цепочки поставок, Перехват вводимых данных и манипулирование авторизованным ключом SSH для сохранения доступа. Кроме того, инфраструктура указывает на дизайн, адаптированный для конкретных сценариев нацелен, включая потенциальные облачные среды, обычно использующие учетную запись ubuntu. Такой нацелен подход предполагает углубленное понимание операционной среды, создающей значительные риски для организаций в конкретных секторах.
GitHub
GitHub - xinfeisoft/crypto
Contribute to xinfeisoft/crypto development by creating an account on GitHub.
#ParsedReport #CompletenessLow
26-02-2026
Fake Zoom and Google Meet scams install Teramind: A technical deep dive
https://www.malwarebytes.com/blog/threat-intel/2026/02/fake-zoom-and-google-meet-scams-install-teramind-a-technical-deep-dive
Report completeness: Low
Victims:
Zoom users, Google meet users
ChatGPT TTPs:
T1036.003, T1204.002, T1566.002
IOCs:
Domain: 2
Hash: 2
Path: 2
File: 2
Soft:
Zoom, Windows installer, Microsoft Store, Ubuntu, LiteSpeed, Windows Performance Monitor
Algorithms:
md5, sha256
Functions:
ReadPropertiesFromMsiName
Languages:
php
26-02-2026
Fake Zoom and Google Meet scams install Teramind: A technical deep dive
https://www.malwarebytes.com/blog/threat-intel/2026/02/fake-zoom-and-google-meet-scams-install-teramind-a-technical-deep-dive
Report completeness: Low
Victims:
Zoom users, Google meet users
ChatGPT TTPs:
do not use without manual checkT1036.003, T1204.002, T1566.002
IOCs:
Domain: 2
Hash: 2
Path: 2
File: 2
Soft:
Zoom, Windows installer, Microsoft Store, Ubuntu, LiteSpeed, Windows Performance Monitor
Algorithms:
md5, sha256
Functions:
ReadPropertiesFromMsiName
Languages:
php
Malwarebytes
Fake Zoom and Google Meet scams install Teramind: A technical deep dive
Attackers don’t always need custom malware. Sometimes they just need a trusted brand and a legitimate tool.
CTT Report Hub
#ParsedReport #CompletenessLow 26-02-2026 Fake Zoom and Google Meet scams install Teramind: A technical deep dive https://www.malwarebytes.com/blog/threat-intel/2026/02/fake-zoom-and-google-meet-scams-install-teramind-a-technical-deep-dive Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Была выявлена продолжающаяся киберкампания, которая использует поддельные сервисы Zoom и Google Meet для распространения программного обеспечения для мониторинга Teramind под злонамеренным предлогом. Кампания начинается с фишинг-подхода, использующего копии законных сервисов, чтобы обманом заставить пользователей загрузить установщик. Оба варианта используют различные веб-инфраструктуры, но имеют общий вредоносный двоичный файл, который извлекает идентификаторы для конфигураций командования и контроля, используя запутывание и прокси-серверы SOCKS5, чтобы избежать обнаружения и поддерживать постоянный мониторинг.
-----
Недавний анализ выявил продолжающуюся киберкампанию с использованием поддельных сервисов Zoom и Google Meet для распространения законного программного обеспечения для мониторинга Teramind в вредоносном контексте. Первоначально замеченная в инциденте, произошедшем в феврале 2026 года, кампания началась с изощренной техники фишинг, которая использовала точную копию зала ожидания Zoom, чтобы побудить пользователей загрузить установщик Teramind без их согласия. Несмотря на то, что Teramind отрицает какую-либо связь с этими действиями, несанкционированное использование их программного обеспечения в целях слежки представляет значительную угрозу.
С тех пор кампания расширилась и теперь включает версию, имитирующую Google Meet, которая представляет собой мошенническую страницу Microsoft Store, помеченную как "Google Meet для встреч". Механизм установки использует серверную часть PHP для доставки MSI-файла непосредственно из инфраструктуры злоумышленника. Примечательно, что оба варианта мошенничества используют один и тот же базовый двоичный файл, но изменяют имя файла, чтобы оно соответствовало разным брендам. Этот двоичный файл идентифицируется с помощью общего хэша MD5, указывающего на одно вредоносное приложение, которое просто перемаркировано для разных доменов.
Технический анализ выявил различия в инфраструктуре между вариантами Zoom и Google Meet. Версия Zoom была размещена на веб-сервере Apache, в то время как в варианте Google Meet использовался сервер LiteSpeed, что предполагает стратегическую избыточность инфраструктуры во избежание обнаружения. В обоих вариантах использовалась комбинация поддельных регистраций доменов и вводящего в заблуждение дизайна сайтов, чтобы эффективно имитировать законные платформы.
Важно отметить, что развертывание установщика раскрывает его способность динамически извлекать идентификатор из имени файла для настройки параметров управления (C2), тем самым указывая на сложный механизм масштабируемости атаки. Вредоносное ПО проверяет наличие существующих установок Teramind и проверяет его параметры, выполняя тест подключения к предопределенному адресу сервера C2. Это подключение происходит почти сразу после установки, что указывает на постоянную угрозу мониторинга.
Кроме того, установленное программное обеспечение использует методы запутывания, используя имена, напоминающие законные Служба Windows, что увеличивает шансы избежать обнаружения средствами безопасности. Связь C2 также может использовать прокси-серверы SOCKS5, которые облегчают туннелирование данных, скрывая при этом природу трафика.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Была выявлена продолжающаяся киберкампания, которая использует поддельные сервисы Zoom и Google Meet для распространения программного обеспечения для мониторинга Teramind под злонамеренным предлогом. Кампания начинается с фишинг-подхода, использующего копии законных сервисов, чтобы обманом заставить пользователей загрузить установщик. Оба варианта используют различные веб-инфраструктуры, но имеют общий вредоносный двоичный файл, который извлекает идентификаторы для конфигураций командования и контроля, используя запутывание и прокси-серверы SOCKS5, чтобы избежать обнаружения и поддерживать постоянный мониторинг.
-----
Недавний анализ выявил продолжающуюся киберкампанию с использованием поддельных сервисов Zoom и Google Meet для распространения законного программного обеспечения для мониторинга Teramind в вредоносном контексте. Первоначально замеченная в инциденте, произошедшем в феврале 2026 года, кампания началась с изощренной техники фишинг, которая использовала точную копию зала ожидания Zoom, чтобы побудить пользователей загрузить установщик Teramind без их согласия. Несмотря на то, что Teramind отрицает какую-либо связь с этими действиями, несанкционированное использование их программного обеспечения в целях слежки представляет значительную угрозу.
С тех пор кампания расширилась и теперь включает версию, имитирующую Google Meet, которая представляет собой мошенническую страницу Microsoft Store, помеченную как "Google Meet для встреч". Механизм установки использует серверную часть PHP для доставки MSI-файла непосредственно из инфраструктуры злоумышленника. Примечательно, что оба варианта мошенничества используют один и тот же базовый двоичный файл, но изменяют имя файла, чтобы оно соответствовало разным брендам. Этот двоичный файл идентифицируется с помощью общего хэша MD5, указывающего на одно вредоносное приложение, которое просто перемаркировано для разных доменов.
Технический анализ выявил различия в инфраструктуре между вариантами Zoom и Google Meet. Версия Zoom была размещена на веб-сервере Apache, в то время как в варианте Google Meet использовался сервер LiteSpeed, что предполагает стратегическую избыточность инфраструктуры во избежание обнаружения. В обоих вариантах использовалась комбинация поддельных регистраций доменов и вводящего в заблуждение дизайна сайтов, чтобы эффективно имитировать законные платформы.
Важно отметить, что развертывание установщика раскрывает его способность динамически извлекать идентификатор из имени файла для настройки параметров управления (C2), тем самым указывая на сложный механизм масштабируемости атаки. Вредоносное ПО проверяет наличие существующих установок Teramind и проверяет его параметры, выполняя тест подключения к предопределенному адресу сервера C2. Это подключение происходит почти сразу после установки, что указывает на постоянную угрозу мониторинга.
Кроме того, установленное программное обеспечение использует методы запутывания, используя имена, напоминающие законные Служба Windows, что увеличивает шансы избежать обнаружения средствами безопасности. Связь C2 также может использовать прокси-серверы SOCKS5, которые облегчают туннелирование данных, скрывая при этом природу трафика.
#ParsedReport #CompletenessHigh
26-02-2026
[Op Report\] Velvet Tempest linked to ClickFix campaigns for Termite Ransomware, HoK Activity Observed
https://blog.deception.pro/blog/clickfix-hok-velvet-tempest-termite
Report completeness: High
Actors/Campaigns:
Alpha_spider (motivation: financially_motivated)
Threats:
Clickfix_technique
Termite
Donutloader
Nightshade
Credential_harvesting_technique
Lolbin_technique
Dead_drop_technique
Credential_dumping_technique
Nltest_tool
Bitsadmin_tool
Victims:
Non profit organizations
TTPs:
Tactics: 1
Technics: 1
ChatGPT TTPs:
T1036, T1057, T1059, T1059.001, T1059.003, T1087.002, T1105, T1105, T1140, T1204.002, have more...
IOCs:
File: 6
IP: 10
Domain: 19
Url: 10
Path: 4
Hash: 34
Command: 7
Soft:
Active Directory, Chrome, curl, Steam, Chromium, Windows PowerShell, Windows Installer
Algorithms:
sha256
Functions:
Remove-Item
Languages:
python, powershell
26-02-2026
[Op Report\] Velvet Tempest linked to ClickFix campaigns for Termite Ransomware, HoK Activity Observed
https://blog.deception.pro/blog/clickfix-hok-velvet-tempest-termite
Report completeness: High
Actors/Campaigns:
Alpha_spider (motivation: financially_motivated)
Threats:
Clickfix_technique
Termite
Donutloader
Nightshade
Credential_harvesting_technique
Lolbin_technique
Dead_drop_technique
Credential_dumping_technique
Nltest_tool
Bitsadmin_tool
Victims:
Non profit organizations
TTPs:
Tactics: 1
Technics: 1
ChatGPT TTPs:
do not use without manual checkT1036, T1057, T1059, T1059.001, T1059.003, T1087.002, T1105, T1105, T1140, T1204.002, have more...
IOCs:
File: 6
IP: 10
Domain: 19
Url: 10
Path: 4
Hash: 34
Command: 7
Soft:
Active Directory, Chrome, curl, Steam, Chromium, Windows PowerShell, Windows Installer
Algorithms:
sha256
Functions:
Remove-Item
Languages:
python, powershell
Deception.Pro Blog
[Op Report] Velvet Tempest linked to ClickFix campaigns for Termite Ransomware, HoK Activity Observed — Deception.Pro Blog
A recent deception operation shows Velvet Tempest leaning on a “ClickFix”-style lure to move fast from initial access into hands-on-keyboard activity consistent with Termite ransomware operations. In this post, we break down the timeline, highlight the most…
CTT Report Hub
#ParsedReport #CompletenessHigh 26-02-2026 [Op Report\] Velvet Tempest linked to ClickFix campaigns for Termite Ransomware, HoK Activity Observed https://blog.deception.pro/blog/clickfix-hok-velvet-tempest-termite Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Злоумышленник Velvet Tempest осуществил многоэтапное вторжение, используя Вредоносная реклама с поддельной капчей, что привело к запуску пользователями запутанных команд, что облегчило выполнение команд и проверку подключения. Операция включала в себя использование PowerShell для загрузки и запуска вредоносных компонентов, установление закрепление с помощью сценариев Python и проведение разведка Active Directory, при этом сбор учетных записей выполнялся с помощью сценариев браузера. Ключевые показатели включали использование определенных доменов и инструментов, в то время как доставка вредоносное ПО основывалась на таких методах, как двоичные файлы living-off-the-land, что указывает на наличие угрозы, предшествующей вымогательству, без немедленного шифрования.
-----
Операция, подробно описанная в этом отчете, описывает значительное многоэтапное вторжение, связанное с Velvet Tempest, известным злоумышленник, связанным с программой-вымогателем Termite. Все началось с кампании по Вредоносная реклама с использованием поддельной капчи в стиле ClickFix style, которая побуждала пользователей вставлять запутанную команду в диалоговое окно запуска Windows. Это действие вызвало выполнение вложенных команд с использованием cmd.exe и использовал finger.exe утилита для проверки исходящего подключения по TCP-порту 79, в конечном счете извлекающая запутанный файл, замаскированный под PDF, из инфраструктуры злоумышленника.
Затем актор применил несколько приемов, чтобы усилить атаку. Он использовал PowerShell для загрузки и выполнения компонентов из вредоносных доменов, запускал динамические полезные нагрузки .NET через csc.exe из временных пользовательских папок и настройте закрепление путем развертывания компонентов на основе Python в C:\ProgramData каталог. Последующие действия включали в себя разведка Active Directory на предмет доверия домену и списков пользователей, а также сбор учетных записей из браузеров с использованием сценариев PowerShell, полученных с идентифицированного сервера управление.
При доставке вредоносное ПО использовало устоявшиеся методы, такие как двоичные файлы "living-off-the-land" (LOLBins) и постоянный трафик управление, который смешивался с обычной активностью браузера. Несмотря на то, что в течение периода наблюдения шифрование с помощью программ-вымогателей не происходило, общая картина указывает на подготовку, соответствующую поведению программ-вымогателей, типичному для операций Velvet Tempest. В частности, кампания продемонстрировала акцент на управляемом пользователем выполнении команд, а не на традиционных методах, таких как макросы или вложения.
Показатели компрометация включали использование таких доменов, как vrstudio.студия жизни и игр.жизнь на этапах поиска в PowerShell, наряду с заметным использованием таких инструментов, как DonutLoader и CastleRAT. Вредоносное ПО использовало сложные методы, чтобы избежать обнаружения, включая компиляцию кода на хост-компьютере и продвинутые методы извлечения учетных данных.
Рекомендации по защите подчеркивают важность отслеживания необычных шаблонов выполнения, связанных с пользовательским вводом, особенно отмечая выполнение PowerShell через диалоговое окно запуска Windows. Обнаружение также должно быть сосредоточено на использовании необычных сетевых утилит, таких как finger.exe , шаблоны команд PowerShell (IEX + DownloadData) и необычное поведение из csc.exe и pythonw.exe , поскольку это указывает на сложная целенаправленная угроза, использующая поэтапные методы доставки и исполнения. Кроме того, особое внимание уделяется усилению безопасности с помощью упреждающих мер, таких как DNS-фильтрация подозрительных доменов и политики контроля приложений для ограничения использования LOLBins. В целом, кампания является примером передовой и изощренной стратегии выполнения, требующей бдительности и многоуровневого подхода к обеспечению безопасности для защиты от подобных угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Злоумышленник Velvet Tempest осуществил многоэтапное вторжение, используя Вредоносная реклама с поддельной капчей, что привело к запуску пользователями запутанных команд, что облегчило выполнение команд и проверку подключения. Операция включала в себя использование PowerShell для загрузки и запуска вредоносных компонентов, установление закрепление с помощью сценариев Python и проведение разведка Active Directory, при этом сбор учетных записей выполнялся с помощью сценариев браузера. Ключевые показатели включали использование определенных доменов и инструментов, в то время как доставка вредоносное ПО основывалась на таких методах, как двоичные файлы living-off-the-land, что указывает на наличие угрозы, предшествующей вымогательству, без немедленного шифрования.
-----
Операция, подробно описанная в этом отчете, описывает значительное многоэтапное вторжение, связанное с Velvet Tempest, известным злоумышленник, связанным с программой-вымогателем Termite. Все началось с кампании по Вредоносная реклама с использованием поддельной капчи в стиле ClickFix style, которая побуждала пользователей вставлять запутанную команду в диалоговое окно запуска Windows. Это действие вызвало выполнение вложенных команд с использованием cmd.exe и использовал finger.exe утилита для проверки исходящего подключения по TCP-порту 79, в конечном счете извлекающая запутанный файл, замаскированный под PDF, из инфраструктуры злоумышленника.
Затем актор применил несколько приемов, чтобы усилить атаку. Он использовал PowerShell для загрузки и выполнения компонентов из вредоносных доменов, запускал динамические полезные нагрузки .NET через csc.exe из временных пользовательских папок и настройте закрепление путем развертывания компонентов на основе Python в C:\ProgramData каталог. Последующие действия включали в себя разведка Active Directory на предмет доверия домену и списков пользователей, а также сбор учетных записей из браузеров с использованием сценариев PowerShell, полученных с идентифицированного сервера управление.
При доставке вредоносное ПО использовало устоявшиеся методы, такие как двоичные файлы "living-off-the-land" (LOLBins) и постоянный трафик управление, который смешивался с обычной активностью браузера. Несмотря на то, что в течение периода наблюдения шифрование с помощью программ-вымогателей не происходило, общая картина указывает на подготовку, соответствующую поведению программ-вымогателей, типичному для операций Velvet Tempest. В частности, кампания продемонстрировала акцент на управляемом пользователем выполнении команд, а не на традиционных методах, таких как макросы или вложения.
Показатели компрометация включали использование таких доменов, как vrstudio.студия жизни и игр.жизнь на этапах поиска в PowerShell, наряду с заметным использованием таких инструментов, как DonutLoader и CastleRAT. Вредоносное ПО использовало сложные методы, чтобы избежать обнаружения, включая компиляцию кода на хост-компьютере и продвинутые методы извлечения учетных данных.
Рекомендации по защите подчеркивают важность отслеживания необычных шаблонов выполнения, связанных с пользовательским вводом, особенно отмечая выполнение PowerShell через диалоговое окно запуска Windows. Обнаружение также должно быть сосредоточено на использовании необычных сетевых утилит, таких как finger.exe , шаблоны команд PowerShell (IEX + DownloadData) и необычное поведение из csc.exe и pythonw.exe , поскольку это указывает на сложная целенаправленная угроза, использующая поэтапные методы доставки и исполнения. Кроме того, особое внимание уделяется усилению безопасности с помощью упреждающих мер, таких как DNS-фильтрация подозрительных доменов и политики контроля приложений для ограничения использования LOLBins. В целом, кампания является примером передовой и изощренной стратегии выполнения, требующей бдительности и многоуровневого подхода к обеспечению безопасности для защиты от подобных угроз.
#ParsedReport #CompletenessHigh
26-02-2026
APT37 Adds New Capabilities for Air-Gapped Networks
https://www.zscaler.com/blogs/security-research/apt37-adds-new-capabilities-air-gapped-networks
Report completeness: High
Actors/Campaigns:
Scarcruft
Kimsuky
Threats:
Restleaf
Snakedropper
Thumbsbd
Virustask
Footwine
Bluelight
Chinotto
Process_injection_technique
Timestomp_technique
Victims:
Government related entities, Individuals interested in north korean media narratives, Air gapped systems users
Industry:
Government
Geo:
Dprk, North korean
TTPs:
Tactics: 3
Technics: 20
IOCs:
File: 10
Coin: 1
Path: 4
Registry: 2
Url: 3
Domain: 3
Hash: 7
IP: 1
Soft:
Android, Windows registry, Microsoft OneDrive, DropBox
Algorithms:
sha256, xor, zip
Functions:
rand
Languages:
powershell, ruby
26-02-2026
APT37 Adds New Capabilities for Air-Gapped Networks
https://www.zscaler.com/blogs/security-research/apt37-adds-new-capabilities-air-gapped-networks
Report completeness: High
Actors/Campaigns:
Scarcruft
Kimsuky
Threats:
Restleaf
Snakedropper
Thumbsbd
Virustask
Footwine
Bluelight
Chinotto
Process_injection_technique
Timestomp_technique
Victims:
Government related entities, Individuals interested in north korean media narratives, Air gapped systems users
Industry:
Government
Geo:
Dprk, North korean
TTPs:
Tactics: 3
Technics: 20
IOCs:
File: 10
Coin: 1
Path: 4
Registry: 2
Url: 3
Domain: 3
Hash: 7
IP: 1
Soft:
Android, Windows registry, Microsoft OneDrive, DropBox
Algorithms:
sha256, xor, zip
Functions:
rand
Languages:
powershell, ruby
Zscaler
APT37 Adds New Tools For Air-Gapped Networks | ThreatLabz
The APT37 Ruby Jumper campaign leverages newly discovered tools that can infect systems to communicate across air-gapped networks using removable media devices.
CTT Report Hub
#ParsedReport #CompletenessHigh 26-02-2026 APT37 Adds New Capabilities for Air-Gapped Networks https://www.zscaler.com/blogs/security-research/apt37-adds-new-capabilities-air-gapped-networks Report completeness: High Actors/Campaigns: Scarcruft Kimsuky…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT37, северокорейский злоумышленник, запустил кампанию Ruby Jumper, которая использует файлы ярлыков Windows для развертывания многоэтапной стратегии вредоносное ПО, нацеленной на сети с воздушным зазором через съемные носители. Ключевые компоненты вредоносное ПО включают RESTLEAF для первоначального заражения и C2 через Zoho WorkDrive, SNAKEDROPPER для загрузки, THUMBSBD для двунаправленной связи и эксфильтрация данных, а также VIRUSTASK, который маскируется для распространения инфекции. Дополнительные инструменты, такие как FOOTWINE и BLUELIGHT, расширяют возможности наблюдения и выполнения команд, демонстрируя значительную эволюцию тактики за счет использования законных Облачные сервисы в злонамеренных целях.
-----
APT37, связанный с Северной Кореей злоумышленник, запустил кампанию Ruby Jumper в декабре 2025 года. Кампания использует файлы ярлыков Windows (LNK) для развертывания новых инструментов вредоносное ПО: RESTLEAF, SNAKEDROPPER, THUMBSBD и VIRUSTASK. Вредоносное ПО в первую очередь нацелено на сети с воздушным зазором, использующие съемные носители для связи и эксфильтрация данных. Заражение начинается с вредоносного файла LNK, который выполняет команды PowerShell для извлечения полезной нагрузки, включая документ-приманку и исполняемое вредоносное ПО. RESTLEAF - это имплантат первой ступени, использующий Zoho WorkDrive для связи командования и контроля (C2). Он извлекает файл шелл-кода из облака, выполняет его с помощью Внедрение кода в процессы и создает файлы-маяки для подтверждения заражения. SNAKEDROPPER действует как загрузчик, устанавливает среду выполнения Ruby, маскируется под USB-утилиту и обеспечивает закрепление с помощью запланированной задачи. THUMBSBD - это бэкдор, который использует съемный носитель для ретрансляции команд и передачи данных, сбора системной информации и обеспечения выполнения команд. VIRUSTASK распространяет вредоносное ПО, заменяя законные файлы вредоносными ярлыками на съемных носителях, создавая обширные векторы атак. FOOTWINE поставляется позже в виде бэкдора с возможностями Регистрация нажатий клавиш и Захват видеоданных с использованием пользовательского протокола на основе XOR для связи C2. BLUELIGHT облегчает выполнение произвольных команд и полагается на Облачные сервисы для операций C2. Кампания подчеркивает значительные достижения в технологиях APT37's для обхода защиты от воздушного зазора.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
APT37, северокорейский злоумышленник, запустил кампанию Ruby Jumper, которая использует файлы ярлыков Windows для развертывания многоэтапной стратегии вредоносное ПО, нацеленной на сети с воздушным зазором через съемные носители. Ключевые компоненты вредоносное ПО включают RESTLEAF для первоначального заражения и C2 через Zoho WorkDrive, SNAKEDROPPER для загрузки, THUMBSBD для двунаправленной связи и эксфильтрация данных, а также VIRUSTASK, который маскируется для распространения инфекции. Дополнительные инструменты, такие как FOOTWINE и BLUELIGHT, расширяют возможности наблюдения и выполнения команд, демонстрируя значительную эволюцию тактики за счет использования законных Облачные сервисы в злонамеренных целях.
-----
APT37, связанный с Северной Кореей злоумышленник, запустил кампанию Ruby Jumper в декабре 2025 года. Кампания использует файлы ярлыков Windows (LNK) для развертывания новых инструментов вредоносное ПО: RESTLEAF, SNAKEDROPPER, THUMBSBD и VIRUSTASK. Вредоносное ПО в первую очередь нацелено на сети с воздушным зазором, использующие съемные носители для связи и эксфильтрация данных. Заражение начинается с вредоносного файла LNK, который выполняет команды PowerShell для извлечения полезной нагрузки, включая документ-приманку и исполняемое вредоносное ПО. RESTLEAF - это имплантат первой ступени, использующий Zoho WorkDrive для связи командования и контроля (C2). Он извлекает файл шелл-кода из облака, выполняет его с помощью Внедрение кода в процессы и создает файлы-маяки для подтверждения заражения. SNAKEDROPPER действует как загрузчик, устанавливает среду выполнения Ruby, маскируется под USB-утилиту и обеспечивает закрепление с помощью запланированной задачи. THUMBSBD - это бэкдор, который использует съемный носитель для ретрансляции команд и передачи данных, сбора системной информации и обеспечения выполнения команд. VIRUSTASK распространяет вредоносное ПО, заменяя законные файлы вредоносными ярлыками на съемных носителях, создавая обширные векторы атак. FOOTWINE поставляется позже в виде бэкдора с возможностями Регистрация нажатий клавиш и Захват видеоданных с использованием пользовательского протокола на основе XOR для связи C2. BLUELIGHT облегчает выполнение произвольных команд и полагается на Облачные сервисы для операций C2. Кампания подчеркивает значительные достижения в технологиях APT37's для обхода защиты от воздушного зазора.
#ParsedReport #CompletenessHigh
27-02-2026
Combating the FunNULL Black Market: In-depth Analysis of the RingH23 and MacCMS Poisoning Attack Chain
https://blog.xlab.qianxin.com/exposing-funnull-how-ringh23-maccms-are-poisoning-the-web/
Report completeness: High
Actors/Campaigns:
Funnull (motivation: script_kiddie, propaganda, cyber_criminal, financially_motivated)
Pig_butchering (motivation: cyber_criminal)
Unc3886
Threats:
Ringh23_tool
Badredis2s_tool
Badhide2s_tool
Supply_chain_technique
Auto-color
Dns_tunneling_technique
Iodine_tool
Mitm_technique
Sedexp
Victims:
Cdn providers, Open source software users, Video streaming websites, Website visitors on mobile devices, Goedge cdn nodes, Apple cms users
Industry:
Education, Government, Media
Geo:
China, Philippines, Asia, Chinese
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1014, T1021.004, T1041, T1059.004, T1071.001, T1071.004, T1090, T1105, T1140, T1190, have more...
IOCs:
Url: 28
Domain: 48
File: 14
Hash: 30
Coin: 1
IP: 26
Soft:
Nginx, Azure Blob, Polyfill, ThinkPHP, MySQL, Chrome, Android, Linux
Wallets:
tron
Crypto:
ethereum
Algorithms:
md5, base64, cbc, xor, aes-128-cbc, aes-cbc, gzip, aes
Functions:
isPc, step1
Win API:
decompress
Languages:
golang, javascript, php
Platforms:
apple
27-02-2026
Combating the FunNULL Black Market: In-depth Analysis of the RingH23 and MacCMS Poisoning Attack Chain
https://blog.xlab.qianxin.com/exposing-funnull-how-ringh23-maccms-are-poisoning-the-web/
Report completeness: High
Actors/Campaigns:
Funnull (motivation: script_kiddie, propaganda, cyber_criminal, financially_motivated)
Pig_butchering (motivation: cyber_criminal)
Unc3886
Threats:
Ringh23_tool
Badredis2s_tool
Badhide2s_tool
Supply_chain_technique
Auto-color
Dns_tunneling_technique
Iodine_tool
Mitm_technique
Sedexp
Victims:
Cdn providers, Open source software users, Video streaming websites, Website visitors on mobile devices, Goedge cdn nodes, Apple cms users
Industry:
Education, Government, Media
Geo:
China, Philippines, Asia, Chinese
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1014, T1021.004, T1041, T1059.004, T1071.001, T1071.004, T1090, T1105, T1140, T1190, have more...
IOCs:
Url: 28
Domain: 48
File: 14
Hash: 30
Coin: 1
IP: 26
Soft:
Nginx, Azure Blob, Polyfill, ThinkPHP, MySQL, Chrome, Android, Linux
Wallets:
tron
Crypto:
ethereum
Algorithms:
md5, base64, cbc, xor, aes-128-cbc, aes-cbc, gzip, aes
Functions:
isPc, step1
Win API:
decompress
Languages:
golang, javascript, php
Platforms:
apple
奇安信 X 实验室
围剿FUNNULL黑产：深度揭秘RingH23与MacCMS投毒攻击链
背景介绍
Funnull（全称 Funnull Technology Inc.，中文又称方能CDN或方能科技）是一家注册在菲律宾的公司，表面上看是一家提供CDN（内容分发网络）服务的公司，但实际上它是东南亚网络黑产链条中非常重要的基础设施提供商，专为“杀猪盘”网络诈骗提供一站式服务，被美国政府明确定性为重大网络犯罪支持者，在中国黑灰产圈内也长期被视为“诈骗专用云”。2025年5月29日美国财政部外国资产控制办公室（OFAC）正式宣布对Funnull黑产团伙进行制裁，之后 Funnull 的公开运营基…
Funnull（全称 Funnull Technology Inc.，中文又称方能CDN或方能科技）是一家注册在菲律宾的公司，表面上看是一家提供CDN（内容分发网络）服务的公司，但实际上它是东南亚网络黑产链条中非常重要的基础设施提供商，专为“杀猪盘”网络诈骗提供一站式服务，被美国政府明确定性为重大网络犯罪支持者，在中国黑灰产圈内也长期被视为“诈骗专用云”。2025年5月29日美国财政部外国资产控制办公室（OFAC）正式宣布对Funnull黑产团伙进行制裁，之后 Funnull 的公开运营基…
CTT Report Hub
#ParsedReport #CompletenessHigh 27-02-2026 Combating the FunNULL Black Market: In-depth Analysis of the RingH23 and MacCMS Poisoning Attack Chain https://blog.xlab.qianxin.com/exposing-funnull-how-ringh23-maccms-are-poisoning-the-web/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Преступная хакерская группировка FunNULL в Юго-Восточной Азии усовершенствовала свою тактику, в частности, благодаря атаке RingH23 и MacCMS poisoning, используя загрузчик ELF для развертывания сложного вредоносное ПО. Это включает в себя скрипты udev для закрепление, бэкдор для удаленного управления и модули Nginx для перехвата загрузки, использования узлов управления CDN и путей обновления Apple CMS. Их многоуровневая стратегия атаки использует вредоносный JavaScript для перенаправления пользователей и включает в себя руткит пользовательского пространства для скрытности, демонстрирующий эволюционирующий ландшафт угроз.
-----
FunNULL - преступная хакерская группировка, базирующаяся в Юго-Восточной Азии, известная тем, что прошла путь от мошенничества "pig butchering" до изощренных кибератак. Недавние действия группы включают атаки с отравлением RingH23 и MacCMS. Основное используемое вредоносное ПО - это загрузчик ELF, который запрашивает дополнительную вредоносную полезную нагрузку. Полезная нагрузка состоит из скриптов udev для закрепление, бэкдорных модулей для удаленных команд и модулей Nginx для перехвата загрузки и внедрения JavaScript.
Злоумышленники получают доступ к узлам управления сетью доставки контента (CDN) и развертывают компоненты с помощью удаленных команд на пограничных узлах. Два основных вектора заражения включают в себя отравление пути обновления Apple CMS для внедрения PHP-бэкдор и использование узлов управления GoEdge через SSH для распространения пакета RingH23.
Внедренный вредоносный JavaScript перенаправляет пользователей на вредоносные сайты, используя уязвимости, при этом воздействие затрагивает миллионы людей через основные CDN и легальные веб-сайты. Вредоносное ПО включает в себя продвинутые компоненты, такие как руткит в пользовательском пространстве для скрытия действий и модуль для манипулирования динамическими ссылками во время загрузки страницы. Злоумышленники адаптируют свои стратегии на основе оперативной обратной связи, изменяя поведение на стороне сервера и клиента, запускаемое условно.
Закрепление Udev используется для поддержания заражения при перезагрузках, что иллюстрирует сложность. Группа также перенесла свою инфраструктуру на новые домены, чтобы избежать обнаружения, демонстрируя непрерывную адаптацию к мерам Кибербезопасность. Веб-администраторам рекомендуется проводить тщательную проверку на наличие инфекций в файлах JavaScript и PHP и обеспечивать тщательное устранение бэкдор-систем, чтобы предотвратить повторное заражение.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Преступная хакерская группировка FunNULL в Юго-Восточной Азии усовершенствовала свою тактику, в частности, благодаря атаке RingH23 и MacCMS poisoning, используя загрузчик ELF для развертывания сложного вредоносное ПО. Это включает в себя скрипты udev для закрепление, бэкдор для удаленного управления и модули Nginx для перехвата загрузки, использования узлов управления CDN и путей обновления Apple CMS. Их многоуровневая стратегия атаки использует вредоносный JavaScript для перенаправления пользователей и включает в себя руткит пользовательского пространства для скрытности, демонстрирующий эволюционирующий ландшафт угроз.
-----
FunNULL - преступная хакерская группировка, базирующаяся в Юго-Восточной Азии, известная тем, что прошла путь от мошенничества "pig butchering" до изощренных кибератак. Недавние действия группы включают атаки с отравлением RingH23 и MacCMS. Основное используемое вредоносное ПО - это загрузчик ELF, который запрашивает дополнительную вредоносную полезную нагрузку. Полезная нагрузка состоит из скриптов udev для закрепление, бэкдорных модулей для удаленных команд и модулей Nginx для перехвата загрузки и внедрения JavaScript.
Злоумышленники получают доступ к узлам управления сетью доставки контента (CDN) и развертывают компоненты с помощью удаленных команд на пограничных узлах. Два основных вектора заражения включают в себя отравление пути обновления Apple CMS для внедрения PHP-бэкдор и использование узлов управления GoEdge через SSH для распространения пакета RingH23.
Внедренный вредоносный JavaScript перенаправляет пользователей на вредоносные сайты, используя уязвимости, при этом воздействие затрагивает миллионы людей через основные CDN и легальные веб-сайты. Вредоносное ПО включает в себя продвинутые компоненты, такие как руткит в пользовательском пространстве для скрытия действий и модуль для манипулирования динамическими ссылками во время загрузки страницы. Злоумышленники адаптируют свои стратегии на основе оперативной обратной связи, изменяя поведение на стороне сервера и клиента, запускаемое условно.
Закрепление Udev используется для поддержания заражения при перезагрузках, что иллюстрирует сложность. Группа также перенесла свою инфраструктуру на новые домены, чтобы избежать обнаружения, демонстрируя непрерывную адаптацию к мерам Кибербезопасность. Веб-администраторам рекомендуется проводить тщательную проверку на наличие инфекций в файлах JavaScript и PHP и обеспечивать тщательное устранение бэкдор-систем, чтобы предотвратить повторное заражение.
#ParsedReport #CompletenessLow
27-02-2026
Inside a fake Google security check that becomes a browser RAT
https://www.malwarebytes.com/blog/privacy/2026/02/inside-a-fake-google-security-check-that-becomes-a-browser-rat
Report completeness: Low
Victims:
Consumers, Mobile users, Browser users
ChatGPT TTPs:
T1056, T1056.001, T1056.004, T1059.007, T1070.004, T1071.001, T1090, T1102, T1105, T1119, have more...
IOCs:
Domain: 1
Hash: 1
File: 1
Soft:
Android, Chrome, Chromium, Firefox, macOS
Algorithms:
sha256
Languages:
javascript
27-02-2026
Inside a fake Google security check that becomes a browser RAT
https://www.malwarebytes.com/blog/privacy/2026/02/inside-a-fake-google-security-check-that-becomes-a-browser-rat
Report completeness: Low
Victims:
Consumers, Mobile users, Browser users
ChatGPT TTPs:
do not use without manual checkT1056, T1056.001, T1056.004, T1059.007, T1070.004, T1071.001, T1090, T1102, T1105, T1119, have more...
IOCs:
Domain: 1
Hash: 1
File: 1
Soft:
Android, Chrome, Chromium, Firefox, macOS
Algorithms:
sha256
Languages:
javascript
Malwarebytes
Inside a fake Google security check that becomes a browser RAT
Disguised as a security check, this fake Google alert uses browser permissions to harvest contacts, location data, and more.
CTT Report Hub
#ParsedReport #CompletenessLow 27-02-2026 Inside a fake Google security check that becomes a browser RAT https://www.malwarebytes.com/blog/privacy/2026/02/inside-a-fake-google-security-check-that-becomes-a-browser-rat Report completeness: Low Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Изощренная киберугроза включает в себя веб-сайт-мошенник, имитирующий проверку безопасности Google, функционирующий как Троянская программа удаленного доступа на основе браузера (RAT) и поставляющий вредоносный Android APK. Этот APK-файл, замаскированный под обновление для системы безопасности, запрашивает обширные разрешения для сбора данных и использует методы закрепление, чтобы избежать удаления. Кроме того, компонент браузера действует как HTTP-прокси, позволяя злоумышленникам перехватывать веб-трафик и выполнять произвольный JavaScript, создавая двухуровневую угрозу слежки.
-----
В статье освещается сложная киберугроза, которая включает вредоносный веб-сайт, Маскировка которого осуществляется под проверку безопасности Google, которая в конечном итоге служит в качестве Троянская программа для удаленного доступа на основе браузера (RAT) и предоставляет дополнительную полезную нагрузку для Android. Основной домен управление, google-prism.com , использует CDN Cloudflare для своей инфраструктуры, что усложняет усилия по обнаружению, обычно применяемые против чисто вредоносных сайтов.
При взаимодействии с сайтом жертвы непреднамеренно подвергают себя воздействию вредоносного приложения для Android, замаскированного под важное обновление для системы безопасности. Этот APK-файл запрашивает тревожные 33 разрешения, включая конфиденциальные права доступа, такие как SMS, журналы вызовов, микрофон и контакты, что облегчает всесторонний сбор данных и наблюдение. Примечательно, что APK использует различные стратегии закрепление, такие как регистрация в качестве администратора устройства, установка аварийных сигналов и установка загрузочного приемника. Такая тактика затрудняет удаление, поскольку приложение может автоматически перезапускать свои компоненты в случае прерывания, и оно включает функции, поддерживающие попытки наложения фишинг-кода.
На стороне браузера вредоносное ПО функционирует как HTTP-прокси, позволяя злоумышленникам перехватывать запросы на выборку и выполнять произвольный JavaScript с помощью удаленной команды eval, отправляемой через WebSocket. Это подчеркивает двухуровневый подход атаки - как веб—перехват данных через браузер, так и более глубокое наблюдение с помощью Android-имплантата.
Жертвам настоятельно рекомендуется немедленно предпринять меры по устранению потенциальной угрозы, которые включают проверку на наличие вредоносного PWA на Android, его удаление и отзыв любых опасных разрешений. Рекомендации распространяются на удаление разрешений на уведомления и данных сайта, относящихся к вредоносному домену, в различных браузерах (Chrome, Edge, Firefox и Safari). Для каждого браузера приведены конкретные рекомендации, обеспечивающие тщательное удаление и защиту персональных данных.
В конечном счете, сложность этой угрозы заключается в ее многогранном подходе, который использует как возможности браузера, так и функции мобильных устройств, способствуя широкомасштабному наблюдению и эксфильтрация данных. Постоянная бдительность при управлении разрешениями и мониторинге незнакомых приложений или компонентов браузера имеет решающее значение для снижения риска, создаваемого этим вредоносное ПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Изощренная киберугроза включает в себя веб-сайт-мошенник, имитирующий проверку безопасности Google, функционирующий как Троянская программа удаленного доступа на основе браузера (RAT) и поставляющий вредоносный Android APK. Этот APK-файл, замаскированный под обновление для системы безопасности, запрашивает обширные разрешения для сбора данных и использует методы закрепление, чтобы избежать удаления. Кроме того, компонент браузера действует как HTTP-прокси, позволяя злоумышленникам перехватывать веб-трафик и выполнять произвольный JavaScript, создавая двухуровневую угрозу слежки.
-----
В статье освещается сложная киберугроза, которая включает вредоносный веб-сайт, Маскировка которого осуществляется под проверку безопасности Google, которая в конечном итоге служит в качестве Троянская программа для удаленного доступа на основе браузера (RAT) и предоставляет дополнительную полезную нагрузку для Android. Основной домен управление, google-prism.com , использует CDN Cloudflare для своей инфраструктуры, что усложняет усилия по обнаружению, обычно применяемые против чисто вредоносных сайтов.
При взаимодействии с сайтом жертвы непреднамеренно подвергают себя воздействию вредоносного приложения для Android, замаскированного под важное обновление для системы безопасности. Этот APK-файл запрашивает тревожные 33 разрешения, включая конфиденциальные права доступа, такие как SMS, журналы вызовов, микрофон и контакты, что облегчает всесторонний сбор данных и наблюдение. Примечательно, что APK использует различные стратегии закрепление, такие как регистрация в качестве администратора устройства, установка аварийных сигналов и установка загрузочного приемника. Такая тактика затрудняет удаление, поскольку приложение может автоматически перезапускать свои компоненты в случае прерывания, и оно включает функции, поддерживающие попытки наложения фишинг-кода.
На стороне браузера вредоносное ПО функционирует как HTTP-прокси, позволяя злоумышленникам перехватывать запросы на выборку и выполнять произвольный JavaScript с помощью удаленной команды eval, отправляемой через WebSocket. Это подчеркивает двухуровневый подход атаки - как веб—перехват данных через браузер, так и более глубокое наблюдение с помощью Android-имплантата.
Жертвам настоятельно рекомендуется немедленно предпринять меры по устранению потенциальной угрозы, которые включают проверку на наличие вредоносного PWA на Android, его удаление и отзыв любых опасных разрешений. Рекомендации распространяются на удаление разрешений на уведомления и данных сайта, относящихся к вредоносному домену, в различных браузерах (Chrome, Edge, Firefox и Safari). Для каждого браузера приведены конкретные рекомендации, обеспечивающие тщательное удаление и защиту персональных данных.
В конечном счете, сложность этой угрозы заключается в ее многогранном подходе, который использует как возможности браузера, так и функции мобильных устройств, способствуя широкомасштабному наблюдению и эксфильтрация данных. Постоянная бдительность при управлении разрешениями и мониторинге незнакомых приложений или компонентов браузера имеет решающее значение для снижения риска, создаваемого этим вредоносное ПО.
#ParsedReport #CompletenessMedium
27-02-2026
Dark Web Profile: Andariel
https://socradar.io/blog/dark-web-profile-andariel/
Report completeness: Medium
Actors/Campaigns:
Andariel (motivation: cyber_criminal, financially_motivated, information_theft, cyber_espionage)
Lazarus
Bluenoroff
Threats:
Shatteredglass
Supply_chain_technique
Spear-phishing_technique
Watering_hole_technique
Lolbin_technique
Credential_dumping_technique
Mimikatz_tool
Procdump_tool
Putty_tool
Plink_tool
Stunnel_tool
Dtrack_rat
Process_hollowing_technique
Trurat
Tiger_rat
Earlyrat
Log4shell_vuln
Atharvan
Dora_rat
Dll_sideloading_technique
Durianbeacon
Nukesped_rat
Byovd_technique
Steganography_technique
Victims:
Defense sector, Nuclear engineering firms, Financial institutions, Healthcare providers, Software vendors, Aerospace firms, Telecommunications providers, Semiconductor firms, Engineering companies, Legal sector entities, have more...
Industry:
Aerospace, Government, Energy, Financial, Semiconductor_industry, Military, Telco, Healthcare, Critical_infrastructure
Geo:
Dprk, Asia, Japan, North korea, Korea
TTPs:
Tactics: 10
Technics: 12
IOCs:
File: 4
Soft:
Apache Tomcat, Microsoft SharePoint, WinSCP, 3Proxy
Algorithms:
aes-128, xor, zip, base64
Languages:
powershell, rust
27-02-2026
Dark Web Profile: Andariel
https://socradar.io/blog/dark-web-profile-andariel/
Report completeness: Medium
Actors/Campaigns:
Andariel (motivation: cyber_criminal, financially_motivated, information_theft, cyber_espionage)
Lazarus
Bluenoroff
Threats:
Shatteredglass
Supply_chain_technique
Spear-phishing_technique
Watering_hole_technique
Lolbin_technique
Credential_dumping_technique
Mimikatz_tool
Procdump_tool
Putty_tool
Plink_tool
Stunnel_tool
Dtrack_rat
Process_hollowing_technique
Trurat
Tiger_rat
Earlyrat
Log4shell_vuln
Atharvan
Dora_rat
Dll_sideloading_technique
Durianbeacon
Nukesped_rat
Byovd_technique
Steganography_technique
Victims:
Defense sector, Nuclear engineering firms, Financial institutions, Healthcare providers, Software vendors, Aerospace firms, Telecommunications providers, Semiconductor firms, Engineering companies, Legal sector entities, have more...
Industry:
Aerospace, Government, Energy, Financial, Semiconductor_industry, Military, Telco, Healthcare, Critical_infrastructure
Geo:
Dprk, Asia, Japan, North korea, Korea
TTPs:
Tactics: 10
Technics: 12
IOCs:
File: 4
Soft:
Apache Tomcat, Microsoft SharePoint, WinSCP, 3Proxy
Algorithms:
aes-128, xor, zip, base64
Languages:
powershell, rust
SOCRadar® Cyber Intelligence Inc.
Dark Web Profile: Andariel
Andariel operates as a North Korea–linked threat group under the Reconnaissance General Bureau (RGB). Security researchers widely assess it as a sub-cluster
CTT Report Hub
#ParsedReport #CompletenessMedium 27-02-2026 Dark Web Profile: Andariel https://socradar.io/blog/dark-web-profile-andariel/ Report completeness: Medium Actors/Campaigns: Andariel (motivation: cyber_criminal, financially_motivated, information_theft, cyber_espionage)…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Andariel - северокорейская преступная хакерская группировка, связанная с Генеральным бюро разведка, специализирующаяся на глобальном кибершпионаже и финансовых операциях, особенно против секторов, представляющих стратегический интерес, таких как оборона и финансы. Их тактика включает использование уязвимостей N-day в приложениях, Целевой фишинг и перемещение внутри компании с помощью сбор учетных записей и таких инструментов, как Mimikatz. Они внедряют сложное вредоносное ПО, включая Maui ransomware и DTrack, для облегчения шпионажа и вымогательства путем поэтапной эксфильтрация данных и манипулирования облачными хранилищами.
-----
Andariel - преступная хакерская группировка, связанная с Генеральным бюро разведка Северной Кореи (RGB) и считающаяся подразделением печально известной группировки Lazarus. Основанная примерно в 2009 году, Andariel переключила свое внимание с региональных потрясений на глобальный кибершпионаж и финансовые операции, в первую очередь нацеливаясь на секторы, имеющие решающее значение для стратегических и экономических интересов Северной Кореи. Сюда входят оборонные подрядчики, фирмы, занимающиеся ядерным инжинирингом, финансовые учреждения и поставщики медицинских услуг, что иллюстрирует гибридный подход, сочетающий сбор разведывательной информации с внедрением программ-вымогателей и кражей криптовалюты.
Andariel отличается не только своими технологическими возможностями, но и структурированной интеграцией в военную разведку Северной Кореи. Он работает под несколькими псевдонимами — Onyx Sleet, Silent Chollima и другими, что указывает на внутреннюю классификацию, а не на независимые организации. Соответствие всеобъемлющим целям, поставленным северокорейским режимом, определяет оперативное поведение Andariel's, которое может варьироваться между шпионажем и финансово мотивированными атаками в зависимости от текущих приоритетов.
Оперативная тактика группы эволюционировала и включает в себя такие сложные методы, как использование уязвимостей N-day в таких приложениях, как Apache Tomcat и Microsoft SharePoint, наряду с Целевой фишинг с использованием специальных приманок, связанных с работой, и атаками на watering hole, нацеленными на интересующие сектора. Оказавшись внутри целевой сети, Andariel использует перемещение внутри компании с помощью сбор учетных записей и методов, которые сводят к минимуму риск обнаружения, используя встроенные инструменты Windows, методы credential Dumping, такие как Mimikatz, и протоколы удаленного доступа, такие как RDP и SSH, для более глубокого проникновения.
В операциях с программами-вымогателями Andariel используются такие штаммы, как Maui, которые используют шифрование AES для каждого файла и методы обфускации для защиты ключей, а также поддерживают двойные операции шпионажа и финансового вымогательства. Кроме того, они внедряют другое сложное вредоносное ПО, в том числе DTrack и TigerRAT, которые помогают в перемещение внутри компании и управление командами. Эксфильтрация данных проводится тщательно, часто с использованием облачных хранилищ, чтобы скрыть передачу украденной информации, с последующим внедрением программ-вымогателей для оказания дополнительного давления на жертв.
Чтобы смягчить потенциальные угрозы, исходящие от Andariel, организациям следует внедрить многоуровневую модель безопасности, ориентированную на управление уязвимостями, многофакторную аутентификацию, сегментацию сети и безопасность конечных точек. Регулярный мониторинг трафика RDP и SMB наряду с поддержанием защищенных автономных резервных копий повышает устойчивость к атакам программ-вымогателей. Динамичный характер операций Andariel's требует активной интеграции разведывательной информации об угрозах и постоянной адаптации к обороне для эффективного противодействия этой постоянной угрозе. Этот комплексный подход необходим для обнаружения, сдерживания и срыва развивающихся кампаний Andariel's.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Andariel - северокорейская преступная хакерская группировка, связанная с Генеральным бюро разведка, специализирующаяся на глобальном кибершпионаже и финансовых операциях, особенно против секторов, представляющих стратегический интерес, таких как оборона и финансы. Их тактика включает использование уязвимостей N-day в приложениях, Целевой фишинг и перемещение внутри компании с помощью сбор учетных записей и таких инструментов, как Mimikatz. Они внедряют сложное вредоносное ПО, включая Maui ransomware и DTrack, для облегчения шпионажа и вымогательства путем поэтапной эксфильтрация данных и манипулирования облачными хранилищами.
-----
Andariel - преступная хакерская группировка, связанная с Генеральным бюро разведка Северной Кореи (RGB) и считающаяся подразделением печально известной группировки Lazarus. Основанная примерно в 2009 году, Andariel переключила свое внимание с региональных потрясений на глобальный кибершпионаж и финансовые операции, в первую очередь нацеливаясь на секторы, имеющие решающее значение для стратегических и экономических интересов Северной Кореи. Сюда входят оборонные подрядчики, фирмы, занимающиеся ядерным инжинирингом, финансовые учреждения и поставщики медицинских услуг, что иллюстрирует гибридный подход, сочетающий сбор разведывательной информации с внедрением программ-вымогателей и кражей криптовалюты.
Andariel отличается не только своими технологическими возможностями, но и структурированной интеграцией в военную разведку Северной Кореи. Он работает под несколькими псевдонимами — Onyx Sleet, Silent Chollima и другими, что указывает на внутреннюю классификацию, а не на независимые организации. Соответствие всеобъемлющим целям, поставленным северокорейским режимом, определяет оперативное поведение Andariel's, которое может варьироваться между шпионажем и финансово мотивированными атаками в зависимости от текущих приоритетов.
Оперативная тактика группы эволюционировала и включает в себя такие сложные методы, как использование уязвимостей N-day в таких приложениях, как Apache Tomcat и Microsoft SharePoint, наряду с Целевой фишинг с использованием специальных приманок, связанных с работой, и атаками на watering hole, нацеленными на интересующие сектора. Оказавшись внутри целевой сети, Andariel использует перемещение внутри компании с помощью сбор учетных записей и методов, которые сводят к минимуму риск обнаружения, используя встроенные инструменты Windows, методы credential Dumping, такие как Mimikatz, и протоколы удаленного доступа, такие как RDP и SSH, для более глубокого проникновения.
В операциях с программами-вымогателями Andariel используются такие штаммы, как Maui, которые используют шифрование AES для каждого файла и методы обфускации для защиты ключей, а также поддерживают двойные операции шпионажа и финансового вымогательства. Кроме того, они внедряют другое сложное вредоносное ПО, в том числе DTrack и TigerRAT, которые помогают в перемещение внутри компании и управление командами. Эксфильтрация данных проводится тщательно, часто с использованием облачных хранилищ, чтобы скрыть передачу украденной информации, с последующим внедрением программ-вымогателей для оказания дополнительного давления на жертв.
Чтобы смягчить потенциальные угрозы, исходящие от Andariel, организациям следует внедрить многоуровневую модель безопасности, ориентированную на управление уязвимостями, многофакторную аутентификацию, сегментацию сети и безопасность конечных точек. Регулярный мониторинг трафика RDP и SMB наряду с поддержанием защищенных автономных резервных копий повышает устойчивость к атакам программ-вымогателей. Динамичный характер операций Andariel's требует активной интеграции разведывательной информации об угрозах и постоянной адаптации к обороне для эффективного противодействия этой постоянной угрозе. Этот комплексный подход необходим для обнаружения, сдерживания и срыва развивающихся кампаний Andariel's.
#ParsedReport #CompletenessHigh
27-02-2026
StegaBin: 26 Malicious npm Packages Use Pastebin Steganography to Deploy Multi-Stage Credential Stealer
https://socket.dev/blog/stegabin-26-malicious-npm-packages-use-pastebin-steganography
Report completeness: High
Actors/Campaigns:
Stegabin (motivation: information_theft)
Contagious_interview
Famous_chollima
Lazarus
Threats:
Steganography_technique
Trufflehog_tool
Dead_drop_technique
Credential_harvesting_technique
Typosquatting_technique
Stegabin_loader
Victims:
Software development, Blockchain developers, Cryptocurrency sector
Industry:
Financial, Media
Geo:
North korea, North korean
TTPs:
Tactics: 5
Technics: 0
IOCs:
Hash: 9
IP: 3
File: 36
Domain: 31
Url: 8
Command: 1
Soft:
VSCode, Linux, macOS, Outlook, curl, Node.js, Chrome, Firefox, Opera, Vivaldi, have more...
Wallets:
metamask, coinbase, keplr
Crypto:
ethereum, binance
Algorithms:
bcrypt, base64, sha256, rc4, aes-256-cbc, xor
Functions:
checkNodeVersion, noEffectEnvCheck, getVSCodeUserDir, getOrCreateEncryptionKey, setInterval, writeEvent, SetWindowsHookEx, getActiveWindowTitle, GetWindowText, eval, have more...
Win API:
GetForegroundWindow, lockfile
Languages:
powershell, python, solidity
27-02-2026
StegaBin: 26 Malicious npm Packages Use Pastebin Steganography to Deploy Multi-Stage Credential Stealer
https://socket.dev/blog/stegabin-26-malicious-npm-packages-use-pastebin-steganography
Report completeness: High
Actors/Campaigns:
Stegabin (motivation: information_theft)
Contagious_interview
Famous_chollima
Lazarus
Threats:
Steganography_technique
Trufflehog_tool
Dead_drop_technique
Credential_harvesting_technique
Typosquatting_technique
Stegabin_loader
Victims:
Software development, Blockchain developers, Cryptocurrency sector
Industry:
Financial, Media
Geo:
North korea, North korean
TTPs:
Tactics: 5
Technics: 0
IOCs:
Hash: 9
IP: 3
File: 36
Domain: 31
Url: 8
Command: 1
Soft:
VSCode, Linux, macOS, Outlook, curl, Node.js, Chrome, Firefox, Opera, Vivaldi, have more...
Wallets:
metamask, coinbase, keplr
Crypto:
ethereum, binance
Algorithms:
bcrypt, base64, sha256, rc4, aes-256-cbc, xor
Functions:
checkNodeVersion, noEffectEnvCheck, getVSCodeUserDir, getOrCreateEncryptionKey, setInterval, writeEvent, SetWindowsHookEx, getActiveWindowTitle, GetWindowText, eval, have more...
Win API:
GetForegroundWindow, lockfile
Languages:
powershell, python, solidity
Socket
StegaBin: 26 Malicious npm Packages Use Pastebin Steganograp...
Socket uncovered 26 malicious npm packages tied to North Korea's Contagious Interview campaign, retrieving a live 9-module infostealer and RAT from th...