#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Сложная атака использовала CVE-2025-59287, критическую уязвимость в Microsoft WSUS, позволяющую выполнять Удаленное Выполнение Кода с системными привилегиями посредством небезопасной десериализации. Атака использовала msiexec для развертывания инструмента Velociraptor для удаленного управления, подключаясь к размещенному в облаке серверу управления. Финансово мотивированная группа DragonClover организовала инцидент, применив дополнительное вредоносное ПО, такое как Skuld Stealer, и используя методы туннелирования, основанные на компрометация сервиса WSUS.
-----

Анализ инцидента выявил сложную атаку, связанную с использованием критической уязвимости в службах обновления Microsoft Windows Server (WSUS), в частности CVE-2025-59287. Эта уязвимость связана с небезопасной десериализацией объектов AuthorizationCookie, позволяющей Удаленное Выполнение Кода (RCE) с системными привилегиями. Атака была инициирована через msiexec, что облегчило загрузку установщика (версия 2.msi), содержащего инструмент Velociraptor, инструмент цифровой криминалистики и реагирования на инциденты (DFIR), который был перепрофилирован для удаленного управления. Velociraptor был настроен для подключения к серверу управления (C2), размещенному на Cloudflare, с использованием домена velo.qaubctgg.workers.dev.

По мере продвижения атаки злоумышленник развертывал дополнительные компоненты, выполняя код Visual Studio (code.exe ) с включенными параметрами туннелирования. Это включало дальнейшее использование msiexec для загрузки дополнительного вредоносное ПО. Доказательства указывают на то, что последовательность атак коренится в службе компрометация WSUS, а журналы EDR показали, что атаки исходили из WsusService.exe процесс. Примечательно, что до выпуска исправления для CVE-2025-59287 уязвимый сервер Windows был запущен, что позволяет предположить, что эксплойт был успешно выполнен до того, как были применены какие-либо защитные меры.

Злонамеренный актор, стоящий за этим инцидентом, был идентифицирован как DragonClover, финансово мотивированная группа, связанная с несколькими псевдонимами, такими как Storm-2603 и Warlock Group. Известно, что DragonClover использует уязвимости в таких платформах, как SharePoint и WSUS. Их тактика включает использование неправильно сконфигурированных систем и развертывание Velociraptor в рамках их деятельности после эксплуатации. Эта группа продемонстрировала характер сетевых и системных вторжений, нацеленных на различные организации во многих странах.

В дополнение к Velociraptor, группа использовала другое вредоносное ПО, такое как Skuld Stealer, для эксфильтрация информации и PowerShell для задач разведка. Поток атак указывал на обширные оперативные методы, включая туннелирование и установку сервиса. Анализ также выявил использование конкретных доменных имен и имен учетных записей, которые использовались в предыдущих инцидентах, что подтверждает причастность к DragonClover.

Таким образом, инцидент не только подчеркивает значительный риск, связанный с CVE-2025-59287, но и высвечивает эволюционирующую тактику злоумышленник, таких как DragonClover, которые продолжают использовать законные инструменты в неблаговидных целях. Организациям следует проявлять повышенную осведомленность и своевременно вносить исправления, чтобы смягчить такие уязвимости и понять последствия их развертывания в облачных средах и средах удаленного управления.

#ParsedReport #CompletenessHigh
27-02-2026

Zerobot Malware Targets n8n Automation Platform

https://www.akamai.com/blog/security-research/2026/feb/zerobot-malware-targets-n8n-automation-platform

Report completeness: High

Threats:
Zerobot
Mirai
Netcat_tool
Socat_tool
Aisuru

Victims:
Internet of things devices, Routers, Workflow automation platforms, Organizations

Industry:
Iot, Critical_infrastructure

CVEs:
CVE-2025-7544 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- tenda ac1206_firmware (15.03.06.23)

CVE-2017-9841 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- phpunit_project phpunit (le4.8.27, <5.6.3)

CVE-2025-68613 [Vulners]
CVSS V3.1: 9.9,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- n8n (<1.120.4, <1.121.1)

CVE-2021-3129 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- facade ignition (<2.5.2)

CVE-2022-22947 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- vmware spring_cloud_gateway (<3.0.7, 3.1.0)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1059.004, T1071.001, T1105, T1190, T1562.001, T1587.001, T1588.005

IOCs:
File: 9
IP: 5
Url: 3
Domain: 3
Hash: 10

Soft:
Tenda, curl, Discord, Mac OS

Algorithms:
xor, sha256

Win API:
arc

Win Services:
InfoPath

Languages:
php, perl, python

Platforms:
m68k, mpsl, x86, mips, intel, arm, x64

YARA: Found

Links:
https://github.com/panda666-888/vuls/blob/main/tenda/ac1206/formSetMacFilterCfg.md#poc
have more...
https://github.com/TheStingR/CVE-2025-68613-POC/tree/master

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Продолжающаяся эксплуатация уязвимостей командного ввода CVE-2025-7544 и CVE-2025-68613 нацелена на маршрутизаторы Tenda AC1206 и платформу автоматизации n8n, связанных с вредоносная кАмпания на базе Mirai под названием Zerobot. Это вредоносное ПО извлекает скрипт для установки обновленного варианта Mirai, включающий различные методы атаки и использующий множество ранее выявленных уязвимостей. Кампания использует сочетание методов доставки и исполнения полезной нагрузки, подчеркивая постоянную угрозу, исходящую от менее опытных актор, использующих известные недостатки.
-----

Группа анализа безопасности и реагирования Akamai (SIRT) сообщила о продолжающейся эксплуатации двух уязвимостей для внедрения команд, CVE-2025-7544 и CVE-2025-68613, нацеленных на маршрутизаторы Tenda AC1206 и платформу автоматизации n8n. Эксплуатация, являющаяся частью вредоносная кАмпания на базе Mirai под названием Zerobot, была впервые обнаружена в январе 2026 года, после публичного раскрытия уязвимостей в середине 2025 года. Попытки эксплойта нацелены на устройства Tenda через критическое переполнение буфера на основе удаленного стека, когда ввод 500 символов "A" в параметре deviceList приводит к выполнению произвольного кода через уязвимую конечную точку /goform/setMacFilterCfg. Между тем, CVE-2025-68613 позволяет выполнять Удаленное Выполнение Кода на платформе n8n.

Вредоносное ПО Zerobot извлекает вредоносный сценарий оболочки с именем tol.sh с IP-адреса в США, выполнив его для дальнейшей установки полезной нагрузки Mirai с именем "zerobotv9". В этой версии вредоносное ПО включает поддержку различных архитектур и включает в себя набор методов атаки, отсутствовавших в предыдущих версиях. Примечательно, что в нем используется жестко закодированная область управления 0bot.qzz.io , и включает в себя различные возможности атаки, такие как TCPXmas, Mixamp и SSH. Вредоносное ПО использует множество ранее раскрытых уязвимостей наряду с недостатками Tenda и n8n, включая CVE-2017-9841, CVE-2021-3129 и CVE-2022-22947.

Метод атаки не только включает внедрение команд для получения первоначальный доступ, но также использует netcat, socat и различные методы написания сценариев для управления доставкой и выполнением полезной нагрузки. Эти методы подчеркивают универсальность злоумышленник, нацеленных на недавно выявленные уязвимости, что позволяет им оставаться незамеченными, потенциально используя уязвимости в критически важной инфраструктуре. Несмотря на предыдущие отказы от вариантов Mirai, простота использования известных уязвимостей позволяет менее опытным злоумышленник получать прибыль за счет развертывания ботнет с минимальными инвестициями в исследования и разработки.

Кроме того, для оказания помощи организациям в защите от этого меняющегося ландшафта угроз были предложены IOCS, включающие вышеупомянутые IP-адреса и домены, а также правила YARA для обнаружения потенциального вредоносное ПО Mirai. Недавние выводы подчеркивают настоятельную необходимость того, чтобы организации исправляли уязвимые системы для защиты от дальнейшего использования этих уязвимостей.

#ParsedReport #CompletenessMedium
26-02-2026

What to Know About the Notepad++ Supply-Chain Attack

https://flashpoint.io/blog/what-to-know-about-the-notepad-supply-chain-attack/

Report completeness: Medium

Actors/Campaigns:
Dragonfish

Threats:
Supply_chain_technique
Mitm_technique
Cobalt_strike_tool
Chrysalis
Process_injection_technique

Victims:
Government, Telecommunications, Critical infrastructure, Financial services

Industry:
Telco, Critical_infrastructure, Government

Geo:
Chinese

CVEs:
CVE-2025-15556 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- notepad-plus-plus notepad\+\+ (<8.8.9)


TTPs:
Tactics: 7
Technics: 20

IOCs:
File: 4

Soft:
NSIS installer, Windows Service

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атака Notepad++ supply-chain, идентифицированная как CVE-2025-15556, использовала уязвимость в программе обновления WinGUP из-за отсутствия проверки целостности файлов, что позволило злоумышленникам перенаправлять законные запросы на обновление с помощью MitM-атак, доставляя троянские установщики. Связанная с спонсируемой китайским государством группой в кампании "Lotus Blossom", атака проходила в три этапа, используя тактику, подобную развертыванию Cobalt Strike, и дополнительные компоненты, при этом использовались методы уклонения, такие как запутывание и Маскировка. Методы злоумышленник использует те же методы, что и MITRE ATT&CK, включая Выполнение с участием пользователя и process INJECTION.
-----

Атака Notepad++ supply-chain, идентифицированная как CVE-2025-15556, выявляет критический недостаток в компоненте обновления, известном как WinGUP. Эта уязвимость, действовавшая в основном в течение 2025 года, использовала отсутствие проверки подписи целостности файла в загруженных установщиках. Злоумышленникам удавалось перехватывать законные запросы на обновление и перенаправлять их на вредоносные серверы с помощью атак Man-in-the-Middle (MitM) или отравления кэша DNS, в конечном итоге доставляя троянские исполняемые файлы, которые маскировались под действительные исправления программного обеспечения.

Кампания, связанная с этой уязвимостью, получившая название "Lotus Blossom", атрибутирован с помощью изощренной китайской государственной преступная хакерская группировка. Атака разворачивалась в три отдельных этапа с июля по октябрь 2025 года, каждый из которых был направлен на то, чтобы скрыть свое присутствие. Первая цепочка использовала установщик NSIS объемом 1 МБ для инициирования многоэтапной атаки, развернув Cobalt Strike Beacon с помощью ProShow.exe . Во второй цепочке размер установщика был уменьшен до 140 КБ и была включена ротация URL-адресов управление (C2) для повышения скрытности при одновременной доставке шариков Cobalt Strike. Заключительный этап включал удаление дополнительных вредоносных компонентов, таких как BluetoothService.exe и войдите в систему.DLL, что привело к созданию бэкдора Chrysalis.

Тактика, инструменты и процедуры (TTP) кампании Lotus Blossom были сопоставлены с фреймворк MITRE ATT&CK. Известные методы атаки включают Выполнение с участием пользователя Вредоносный файл, перехват потоков выполнения с помощью библиотек DLL и process Injection. Актор угроз использовал методы уклонения, такие как Маскировка и запутывание файловой информации, используя в своих интересах случаи, когда MITRE не хватает конкретных рекомендаций по смягчению последствий.

Чтобы снизить риски, связанные с CVE-2025-15556, организациям настоятельно рекомендуется занять активную позицию. Немедленное действие включает обновление всех экземпляров Notepad++ до версии 8.9.1 или выше, в которой реализована необходимая проверка подписи. Не менее важно проводить аудит системных путей на предмет потенциального закрепление Вредоносный файл и усиливать сетевую защиту для отслеживания трафика, направленного на известные вредоносные домены. Кроме того, для обнаружения несанкционированных входов следует ввести меры по усилению защиты конечных точек, такие как предотвращение поведения и системный аудит.

#ParsedReport #CompletenessLow
26-02-2026

Active Reconnaissance Campaign Targets SonicWall Firewalls Through Commercial Proxy Infrastructure

https://www.greynoise.io/blog/active-reconnaissance-campaign-targets-sonicwall-firewalls-through-commercial-proxy-infrastructure

Report completeness: Low

Threats:
Fog_ransomware
Akira_ransomware
Residential_proxy_technique
Ipidea

Victims:
Sonicwall ssl vpn users, Vpn infrastructure operators, Organizations using sonicwall firewalls

Geo:
Germany, Seychelles, Canadian, Netherlands

CVEs:
CVE-2019-7481 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sma_100_firmware (<9.0.0.4)

CVE-2021-20028 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sma_210_firmware (<9.0.0.10-28sv)

CVE-2022-22274 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (le7.0.1-5050)

CVE-2023-0656 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (le7.0.1-5111)

CVE-2024-40766 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (<5.9.2.14-13o)

CVE-2024-53704 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (le7.1.1-7058, 7.1.2-7019)

CVE-2024-38475 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apache http_server (<2.4.60)


ChatGPT TTPs:
do not use without manual check
T1036, T1046, T1090, T1110.001, T1583.003, T1595

IOCs:
IP: 7
Domain: 1

Soft:
Slack, SonicOS, Chrome, Linux

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавняя активность указывает на проведение кампании разведка, нацеленной на инфраструктуру SonicWall SonicOS посредством обширного сканирования, с 84 142 сеансами, исходящими с 4 305 уникальных IP-адресов, нацеленных в первую очередь на одну конечную точку SSL VPN API, имеющую решающее значение для атак на учетные данные. Злоумышленники использовали коммерческие прокси-сервисы для маскировки своей активности, при этом кластеры также проверяли устройства Cisco ASA. Известные уязвимости, в том числе пять уязвимостей SonicWall CVE в списке известных эксплуатируемых уязвимостей CISA, повышают риск эксплуатации, особенно для организаций с открытыми учетные данные VPN.
-----

Недавняя активность, наблюдаемая GreyNoise, свидетельствует о значительной активной кампании разведка, нацеленной на инфраструктуру SonicWall SonicOS посредством обширных сеансов сканирования, в общей сложности 84 142 идентифицированных в период с 22 по 25 февраля 2026 года. Эта активность была прослежена до 4305 уникальных IP-адресов и включала 20 автономных систем, работающих скоординированным образом для перечисления конечных точек VPN. Примечательно, что 92% сеансов сканирования были сосредоточены на одной конечной точке API, предназначенной для проверки состояния конфигурации SSL VPN, что имеет решающее значение для последующих атак с использованием учетных данных.

Кампания использовала коммерческие прокси-сервисы, на долю которых пришлось 32% объема, используя 4102 сменяющихся выходных IP-адреса в течение двух основных пакетов за период кампании. Стратегическое использование этих прокси-серверов демонстрирует эволюцию техники кибератак, позволяющую злоумышленникам эффективно маскировать свои действия. Кроме того, кластеры вторичного сканирования, созданные в Нидерландах, также были нацелен как на устройства SonicWall, так и на устройства Cisco ASA, что указывает на более широкую инициативу, направленную на различные инфраструктуры VPN.

SSL VPN от SonicWall был признан основным средством доступа для атак программ-вымогателей, примером которых являются такие группы, как Akira и Fog, чья тактика обычно заключается в использовании компрометация учетные данные VPN для быстрого проникновения в сеть, что часто приводит к полному шифрованию менее чем за четыре часа. Исторические данные указывают на значительные вторжения, связанные с Akira, которая, как сообщается, сама по себе подвергла компрометация более 250 организаций, что подчеркивает настоятельную необходимость для пользователей SonicWall пересмотреть свои меры безопасности.

Особую озабоченность вызывают пять CVE SonicWall, имеющих отношение к наблюдаемой деятельности по разведка, которые включают уязвимости, занесенные в список известных эксплуатируемых уязвимостей CISA. Эти уязвимости могут послужить шлюзом для злоумышленников, если организации не предпримут упреждающих мер. Описанный здесь этап разведка имеет решающее значение, поскольку он служит предвестником потенциальной эксплуатации, и Microsoft призывает к немедленным действиям по блокировке IP-адресов, исправлению выявленных уязвимостей (в частности, CVE-2024-53704) и применению многофакторной аутентификации для усиления защиты от атак с использованием учетных данных.

Тактика разведка, продемонстрированная на протяжении всей этой кампании, указывает на четкую позицию перед эксплуатацией, а не на непосредственную угрозу эксплуатации. Поскольку 92% трафика направляется на единственную конечную точку, предназначенную для определения активности VPN, организации должны уделять первоочередное внимание защите своих интерфейсов управления, обеспечению ограничения доступа к SSL VPN и применению надежных мер против Подстановка украденных учетных данных, особенно по мере сокращения сроков от разведка до эксплуатации.

#ParsedReport #CompletenessHigh
27-02-2026

From Access to Encryption: Uncovering Qilin's Attack Lifecycle

https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_2_8_takahiro_takeda_en.pdf

Report completeness: High

Actors/Campaigns:
Spacebears
Scattered_lapsus_hunters (motivation: financially_motivated)
0ktapus
Shinyhunters

Threats:
Qilin_ransomware
Lynx
Safepay
Inc_ransomware
Clop
Ransomhub
Nightspire
Rhysida
Ransomhouse
Kawalocker
Gunra
Devman
Cicada_ransomware
Hunters_international
Fog_ransomware
Deadbolt
D4rk4rmy
Dharma
Cephalus
Cactus_ransomware
Eldorado_ransomware
Royal_ransomware
Blacknevas
Kerberoasting_technique
Mimikatz_tool
Nltest_tool
Shadow_copies_delete_technique
Netscan_tool
Credential_dumping_technique
Pingcastle_tool
Mimik_tool
Chromepass_tool
Netpass_tool
Passview_tool
Teamviewer_tool
Lsadump_tool
Screenconnect_tool
Hrsword_tool
Dark-kill_tool
Truesightkiller_tool
Edr-killer
Powertool_tool
Cobalt_strike_tool
Systembc
Sandbox_evasion_technique
Psexec_tool
Sharpdecryptpwd_tool

Victims:
Manufacturing, Professional scientific and technical services, Wholesale trade, Health care and social assistance, Construction, Finance and insurance, Retail trade, Real estate and rental and leasing, Public administration, Educational services, have more...

Industry:
Financial, Education, Transport, Semiconductor_industry, Retail, Entertainment, Healthcare, Chemical, E-commerce, Foodtech

Geo:
Japan

TTPs:
Tactics: 10
Technics: 2

IOCs:
File: 29
Command: 22
Registry: 7
Coin: 1
Path: 7
IP: 1

Soft:
Telegram, SoftPerfect Network Scanner, Active Directory, AzureAD, PostgreSQL, WinSCP, Navicat, Foxmail, RDCMan, chrome, have more...

Wallets:
onekey

Algorithms:
zip, aes-ctr, base64, rc4

Functions:
Get-WinEvent, Get-Unique, Write-Host, Get-Datacenter, Get-Cluster, Set-Cluster, Get-VMHost

Win API:
ZwTerminateProcess, CryptAcquireContextA, CryptGenRandom, VirtualAlloc, VirtualProtect, CreateThreadpoolWait, SetThreadpoolWait, WaitForSingleObject, CreateEventA

Languages:
swift, powershell

Platforms:
amd64, x64, x86

YARA: Found
SIGMA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа программ-вымогателей Qilin повысила изощренность своих атак, особенно в Японии, применяя тактику, включающую использование учетные данные VPN для компрометация для первоначальный доступ, что позволяет проводить разведка и перемещение внутри компании путем сброса credential Dumping и повышение привилегий. Методы Xploit включают вредоносные команды, изменения реестра и отключение механизмов восстановления, таких как журналы событий Windows. Их деятельность включает в себя обширную эксфильтрация данных и потенциальное сотрудничество с финансово мотивированными бандами, что свидетельствует о меняющемся ландшафте угроз для будущих операций.
-----

Группа вымогателей Qilin была связана с 22 случаями вымогательства, что составляет 16,4% инцидентов в Японии. Первоначальный доступ часто достигается с помощью компрометация учетные данные VPN с форумов Dark Web. Qilin actors получают административный доступ, позволяющий проводить разведка, включая RDP-соединения и использование таких инструментов, как Mimikatz и PowerShell. Методы разведка включают в себя такие команды, как "nltest", "пользователь сети" и "учетные записи сети" для выявления важных целей. Они выполняют credential dumping с помощью Active Directory и повышают привилегии с помощью аутентификации NTLM. Qilin модифицирует брандмауэры для удаленного доступа и использует инструменты удаленного управления.

Вредоносное ПО удаляет журналы событий Windows и моментальные снимки службы Shadow Copy томов, чтобы препятствовать восстановлению. Он использует специальные конфигурации для шифрования файлов, использует обход символических ссылок и занесение определенных процессов в черный список. Эксфильтрация данных нацелена на финансовые данные, личную информацию и служебные документы. Сообщается, что Qilin сотрудничает с финансово мотивированными группами, такими как Scattered Spider и Lapsus$. Эффективная защита включает в себя агрессивные конфигурации EDR, оперативное реагирование на инциденты и строгие ограничения безопасности. Улучшенное ведение журнала и мониторинг имеют решающее значение для криминалистический анализ и выявления нарушений. Среднее время выполнения Qilin's после первоначальной компрометация составляет приблизительно 6,1 дня, при этом ожидается, что их операции будут развиваться и автоматизируют процессы, если не будут приняты контрмеры.

#ParsedReport #CompletenessLow
01-03-2026

The Ghost in the Resolver: Abusing Windows nslookup for Clickfix Payloads

https://medium.com/@Mr.AnyThink/the-ghost-in-the-resolver-abusing-windows-nslookup-for-clickfix-payloads-d8e78c8468b3?source=rss-b61b59bd2c7c------2

Report completeness: Low

Threats:
Clickfix_technique

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1041, T1059.001, T1071.004, T1105, T1204, T1562.001

IOCs:
Command: 1
File: 1

Soft:
Ubuntu, sudo, Linux, Windows Event Viewer, Windows DNS

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Метод атаки "Clickfix" использует утилиту Windows nslookup и записи DNS для скрытой доставки полезной нагрузки вредоносное ПО, в частности команд PowerShell, замаскированных в записях CNAME и A. Манипулируя DNS-запросами, злоумышленники обходят традиционные средства контроля безопасности, используя социальную инженерию, чтобы обманом заставить пользователей выполнять вредоносные инструкции. Смоделированная среда выявила пробелы в регистрации Sysmon, поскольку nslookup может не генерировать ожидаемые журналы событий DNS, что усложняет криминалистический анализ.
-----

Появляющийся метод атаки "Clickfix" использует утилиту Windows nslookup для скрытой доставки полезной нагрузки вредоносное ПО путем манипулирования записями DNS, в частности записями CNAME и A. Злоумышленники используют систему доменных имен (DNS), протокол, который часто игнорируется брандмауэрами, для преобразования стандартных запросов в векторы для доставки команд. Вместо простого преобразования имен хостов в IP-адреса ответы DNS могут передавать сложные полезные данные PowerShell, замаскированные в тексте ответа, эффективно обходя традиционные средства контроля безопасности.

В смоделированной среде AWS этот метод был протестирован с использованием Scapy для наблюдения за переходом от простых запросов к записи A к более сложным записям CNAME, которые максимально увеличивают потенциал обнаружения в журналах криминалистический анализ, в частности, Sysmon Event ID 22. Стратегия переосмысливает социальную инженерию, переходя от типичных вложений электронной почты к интерактивному "ремонту", имитирующему ошибки браузера. Этот метод побуждает пользователей следовать инструкциям по "исправлению" вредоносных программ, используя надежные системные двоичные файлы.

Моделирование включало в себя создание поддельного DNS-сервер, способного доставлять эти вредоносные полезные данные. Было необходимо скорректировать конфигурации DNS, особенно на компьютерах с Windows, где поведение по умолчанию может усложнить тестирование. Например, использование порта 5353 часто помогало обходить конфликты в Linux, но Windows требовала более прямого подхода с использованием порта 53 для эффективного манипулирования записями. Важнейшим нововведением здесь является запись CNAME, которая позволяет беспрепятственно передавать строки, содержащие команды PowerShell.

Во время выполнения DNS-запрос, направленный на этот вредоносный сервер, привел к доставке полезной нагрузки в целевую систему. Моделирование выявило потенциальные артефакты криминалистический анализ, возникающие в результате такой активности, при этом Sysmon регистрировал DNS-запросы, раскрывающие команды PowerShell. Однако был отмечен пробел в обнаружении; поскольку nslookup не всегда использует API DNS-клиента Windows, используемый Sysmon, он может не запускать ожидаемые журналы событий DNS, вместо этого отображаясь в различных событиях создания процесса.

В конечном счете, механизм Clickfix является примером значительного технического использования надежных системных инструментов благодаря продуманной технологии, сочетающей социальную инженерию с глубоким пониманием функциональных возможностей DNS, что создает проблемы как для механизмов обнаружения, так и для предотвращения в области Кибербезопасность.

#ParsedReport #CompletenessLow
27-02-2026

A deep-dive into RapperBot C2 operation and DDoS attacks

https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_2_5_hideyuki-furukawa_en.pdf

Report completeness: Low

Actors/Campaigns:
Ddos-for-hire

Threats:
Rapperbot
Mirai
Udpflood_technique
Synflood_technique
Ackflood_technique
Tcpflood_technique
Tcpstomp_technique
Httpflood_technique

Victims:
Twitter inc, Gaming servers, Internet service providers, Social networking services

Industry:
Entertainment, Government, Iot

Geo:
Taiwan, Brazil, Pacific, Ireland, Turkey, Chinese, Russia, Japan, China, Hong kong, Netherlands, Germany

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1021.001, T1021.004, T1046, T1071, T1071.001, T1090, T1105, T1110, T1190, T1498, have more...

IOCs:
IP: 3
File: 16

Soft:
Twitter

Crypto:
monero

Algorithms:
xor, chacha20, sha256

Languages:
python

Platforms:
arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
RapperBot, вариант ботнет Mirai, был вовлечен в масштабные DDoS-атаки с использованием компрометация IoT-устройств на базе Linux, в частности видеорегистраторов, и, по прогнозам, к 2025 году число зараженных устройств вырастет примерно до 60 000. Ботнет использует различные методы распространения, такие как сканирование по SSH и Telnet, и выполняет несколько типов DDoS-атак, включая TCP, UDP и наводнения на прикладном уровне. После ареста его оператора Итана Дж. Фольца его операции по управление были прекращены, что означало потенциальный конец его деятельности на фоне существенной угрозы, которую он представлял во всем мире.
-----

RapperBot, один из вариантов ботнет Mirai, был вовлечен в серию распределенных атак типа "отказ в обслуживании" (DDoS) с использованием сети, состоящей в основном из компрометация IoT-устройств на базе Linux, в частности видеорегистраторов. Ботнет использует несколько методов распространения, включая сканирование по SSH, сканирование по Telnet, сканирование по HTTP и подход, обозначенный как "без сканирования". Прогноз по зараженным устройствам указывает на значительный рост, оцениваемый примерно в 60 000 устройств к 2025 году. Предполагаемый оператор, Итан Дж. Фольц, был арестован 6 августа 2025 года, что привело к захвату его серверов управление (C2).

Анализ показывает корреляцию между временем выполнения команд RapperBot и наблюдаемыми перебоями в обслуживании, особенно оказывающими воздействие на крупные организации, такие как Twitter Inc. Эта корреляция подчеркивает настоятельную необходимость анализа работы таких крупномасштабных ботнет-сетей для лучшей осведомленности об угрозах. Детальное изучение командной инфраструктуры RapperBot's C2 позволяет выявить различные операционные команды, такие как использование устройства и инициирование атаки.

Ключевые функциональные возможности RapperBot включают механизмы идентификации устройств, управления выполнением команд и проведения DDoS-атак по целому ряду протоколов. Возможности атак включают UDP floods, SYN floods, TCP floods и атаки прикладного уровня, такие как HTTP floods. Ботнет использует такую тактику, как отправка поддельных пакетов с поддельными IP-адресами источника и сбор информации об устройстве жертвы, которая передается обратно на серверы C2.

Ландшафт DDoS-атак, представленный RapperBot, обширен: в отчетах указывается, что с апреля по начало августа 2025 года было совершено более 370 000 атак, нацеленных на широкий круг жертв в нескольких странах, включая Китай, Японию и Соединенные Штаты. Структура команд для DDoS-атаки детализирует различные параметры полезной нагрузки и векторы атак, оптимизированные для скорости и эффективности, демонстрируя как интегрированные, так и новые возможности с течением времени.

Поразительной эксплуатационной характеристикой является то, что ботнет меняет свои серверы C2, если в течение определенного периода времени не поступают команды, что повышает его устойчивость к обнаружению и нарушению работы. Последняя зарегистрированная активность указывает на то, что связь с ботнет C2 прекратилась вскоре после ареста Фольца, что, возможно, ознаменовало окончание операций RapperBot's. Этот инцидент высвечивает текущие проблемы в борьбе с угрозами DDoS, исходящими от сложных инфраструктур ботнет, которые используют большие сети устройств компрометация.

#ParsedReport #CompletenessHigh
27-02-2026

Unmasking the CoGUI Phishing Kit, the Major Chinese Phishing-as-a-Service Targeting Japan

https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_2_2_%20shadow_liu-lime_chen-albert_song_en.pdf

Report completeness: High

Threats:
Cogui
Fishingmaster_tool
Cloaking_technique
Lighthouse_tool
Haozi_tool
Pheonix
Panda_shop_tool
Lucid_tool

Victims:
Financial services, Securities firms, Japanese organizations

Industry:
Aerospace, Petroleum, Financial

Geo:
Italia, Niger, China, Tokyo, America, American, New york, Chinese, Mali, Japan, Japanese, Asia

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1102, T1204.001, T1566, T1583.001, T1583.003, T1584.005, T1585.001, T1587.001, have more...

IOCs:
Domain: 3
File: 23
IP: 6
Hash: 2

Soft:
Telegram, curl, Ubuntu, Ubuntu Sudo, sudo, Android

Wallets:
coinbase

Algorithms:
aes-128-cbc, des, aes, base64

Functions:
createOrGetUserInfo, getState, Zr, 4, m4, up, w3, f299, f365, f307, have more...

Languages:
javascript

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4