#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Метод атаки "Clickfix" использует утилиту Windows nslookup и записи DNS для скрытой доставки полезной нагрузки вредоносное ПО, в частности команд PowerShell, замаскированных в записях CNAME и A. Манипулируя DNS-запросами, злоумышленники обходят традиционные средства контроля безопасности, используя социальную инженерию, чтобы обманом заставить пользователей выполнять вредоносные инструкции. Смоделированная среда выявила пробелы в регистрации Sysmon, поскольку nslookup может не генерировать ожидаемые журналы событий DNS, что усложняет криминалистический анализ.
-----

Появляющийся метод атаки "Clickfix" использует утилиту Windows nslookup для скрытой доставки полезной нагрузки вредоносное ПО путем манипулирования записями DNS, в частности записями CNAME и A. Злоумышленники используют систему доменных имен (DNS), протокол, который часто игнорируется брандмауэрами, для преобразования стандартных запросов в векторы для доставки команд. Вместо простого преобразования имен хостов в IP-адреса ответы DNS могут передавать сложные полезные данные PowerShell, замаскированные в тексте ответа, эффективно обходя традиционные средства контроля безопасности.

В смоделированной среде AWS этот метод был протестирован с использованием Scapy для наблюдения за переходом от простых запросов к записи A к более сложным записям CNAME, которые максимально увеличивают потенциал обнаружения в журналах криминалистический анализ, в частности, Sysmon Event ID 22. Стратегия переосмысливает социальную инженерию, переходя от типичных вложений электронной почты к интерактивному "ремонту", имитирующему ошибки браузера. Этот метод побуждает пользователей следовать инструкциям по "исправлению" вредоносных программ, используя надежные системные двоичные файлы.

Моделирование включало в себя создание поддельного DNS-сервер, способного доставлять эти вредоносные полезные данные. Было необходимо скорректировать конфигурации DNS, особенно на компьютерах с Windows, где поведение по умолчанию может усложнить тестирование. Например, использование порта 5353 часто помогало обходить конфликты в Linux, но Windows требовала более прямого подхода с использованием порта 53 для эффективного манипулирования записями. Важнейшим нововведением здесь является запись CNAME, которая позволяет беспрепятственно передавать строки, содержащие команды PowerShell.

Во время выполнения DNS-запрос, направленный на этот вредоносный сервер, привел к доставке полезной нагрузки в целевую систему. Моделирование выявило потенциальные артефакты криминалистический анализ, возникающие в результате такой активности, при этом Sysmon регистрировал DNS-запросы, раскрывающие команды PowerShell. Однако был отмечен пробел в обнаружении; поскольку nslookup не всегда использует API DNS-клиента Windows, используемый Sysmon, он может не запускать ожидаемые журналы событий DNS, вместо этого отображаясь в различных событиях создания процесса.

В конечном счете, механизм Clickfix является примером значительного технического использования надежных системных инструментов благодаря продуманной технологии, сочетающей социальную инженерию с глубоким пониманием функциональных возможностей DNS, что создает проблемы как для механизмов обнаружения, так и для предотвращения в области Кибербезопасность.

#ParsedReport #CompletenessLow
27-02-2026

A deep-dive into RapperBot C2 operation and DDoS attacks

https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_2_5_hideyuki-furukawa_en.pdf

Report completeness: Low

Actors/Campaigns:
Ddos-for-hire

Threats:
Rapperbot
Mirai
Udpflood_technique
Synflood_technique
Ackflood_technique
Tcpflood_technique
Tcpstomp_technique
Httpflood_technique

Victims:
Twitter inc, Gaming servers, Internet service providers, Social networking services

Industry:
Entertainment, Government, Iot

Geo:
Taiwan, Brazil, Pacific, Ireland, Turkey, Chinese, Russia, Japan, China, Hong kong, Netherlands, Germany

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1021.001, T1021.004, T1046, T1071, T1071.001, T1090, T1105, T1110, T1190, T1498, have more...

IOCs:
IP: 3
File: 16

Soft:
Twitter

Crypto:
monero

Algorithms:
xor, chacha20, sha256

Languages:
python

Platforms:
arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
RapperBot, вариант ботнет Mirai, был вовлечен в масштабные DDoS-атаки с использованием компрометация IoT-устройств на базе Linux, в частности видеорегистраторов, и, по прогнозам, к 2025 году число зараженных устройств вырастет примерно до 60 000. Ботнет использует различные методы распространения, такие как сканирование по SSH и Telnet, и выполняет несколько типов DDoS-атак, включая TCP, UDP и наводнения на прикладном уровне. После ареста его оператора Итана Дж. Фольца его операции по управление были прекращены, что означало потенциальный конец его деятельности на фоне существенной угрозы, которую он представлял во всем мире.
-----

RapperBot, один из вариантов ботнет Mirai, был вовлечен в серию распределенных атак типа "отказ в обслуживании" (DDoS) с использованием сети, состоящей в основном из компрометация IoT-устройств на базе Linux, в частности видеорегистраторов. Ботнет использует несколько методов распространения, включая сканирование по SSH, сканирование по Telnet, сканирование по HTTP и подход, обозначенный как "без сканирования". Прогноз по зараженным устройствам указывает на значительный рост, оцениваемый примерно в 60 000 устройств к 2025 году. Предполагаемый оператор, Итан Дж. Фольц, был арестован 6 августа 2025 года, что привело к захвату его серверов управление (C2).

Анализ показывает корреляцию между временем выполнения команд RapperBot и наблюдаемыми перебоями в обслуживании, особенно оказывающими воздействие на крупные организации, такие как Twitter Inc. Эта корреляция подчеркивает настоятельную необходимость анализа работы таких крупномасштабных ботнет-сетей для лучшей осведомленности об угрозах. Детальное изучение командной инфраструктуры RapperBot's C2 позволяет выявить различные операционные команды, такие как использование устройства и инициирование атаки.

Ключевые функциональные возможности RapperBot включают механизмы идентификации устройств, управления выполнением команд и проведения DDoS-атак по целому ряду протоколов. Возможности атак включают UDP floods, SYN floods, TCP floods и атаки прикладного уровня, такие как HTTP floods. Ботнет использует такую тактику, как отправка поддельных пакетов с поддельными IP-адресами источника и сбор информации об устройстве жертвы, которая передается обратно на серверы C2.

Ландшафт DDoS-атак, представленный RapperBot, обширен: в отчетах указывается, что с апреля по начало августа 2025 года было совершено более 370 000 атак, нацеленных на широкий круг жертв в нескольких странах, включая Китай, Японию и Соединенные Штаты. Структура команд для DDoS-атаки детализирует различные параметры полезной нагрузки и векторы атак, оптимизированные для скорости и эффективности, демонстрируя как интегрированные, так и новые возможности с течением времени.

Поразительной эксплуатационной характеристикой является то, что ботнет меняет свои серверы C2, если в течение определенного периода времени не поступают команды, что повышает его устойчивость к обнаружению и нарушению работы. Последняя зарегистрированная активность указывает на то, что связь с ботнет C2 прекратилась вскоре после ареста Фольца, что, возможно, ознаменовало окончание операций RapperBot's. Этот инцидент высвечивает текущие проблемы в борьбе с угрозами DDoS, исходящими от сложных инфраструктур ботнет, которые используют большие сети устройств компрометация.

#ParsedReport #CompletenessHigh
27-02-2026

Unmasking the CoGUI Phishing Kit, the Major Chinese Phishing-as-a-Service Targeting Japan

https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_2_2_%20shadow_liu-lime_chen-albert_song_en.pdf

Report completeness: High

Threats:
Cogui
Fishingmaster_tool
Cloaking_technique
Lighthouse_tool
Haozi_tool
Pheonix
Panda_shop_tool
Lucid_tool

Victims:
Financial services, Securities firms, Japanese organizations

Industry:
Aerospace, Petroleum, Financial

Geo:
Italia, Niger, China, Tokyo, America, American, New york, Chinese, Mali, Japan, Japanese, Asia

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1102, T1204.001, T1566, T1583.001, T1583.003, T1584.005, T1585.001, T1587.001, have more...

IOCs:
Domain: 3
File: 23
IP: 6
Hash: 2

Soft:
Telegram, curl, Ubuntu, Ubuntu Sudo, sudo, Android

Wallets:
coinbase

Algorithms:
aes-128-cbc, des, aes, base64

Functions:
createOrGetUserInfo, getState, Zr, 4, m4, up, w3, f299, f365, f307, have more...

Languages:
javascript

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Набор для фишинг-атак CoGUI стал заметной угрозой в Японии, используя модель "Фишинг как услуга" для проведения масштабных кампаний фишинг-рассылки с использованием сложной инфраструктуры, доступной для филиалов с низкой квалификацией. Он отличается упрощенным развертыванием через Docker и использует кастомные JavaScript-логики, чтобы избежать обнаружения. Несмотря на юридические проблемы и закрытие своих первоначальных платформ, адаптированные сообществом приложения, такие как "Shadow Garden", продолжают увековечивать угрозы фишинг, поддерживая эффективную тактику и адаптируясь к мерам по борьбе с фишинг.
-----

Набор для фишинг-анализа CoGUI недавно стал важным злоумышленник в экосистеме фишинг-анализа, особенно нацеленный на Японию. Первоначально выявленный в мае 2025 года, CoGUI участвовал в масштабных кампаниях по фишинг-рассылке миллионов сообщений, адресованных японским пользователям. Этот набор является примером модели "фишинг как услуга" (PhaaS), которая предоставляет филиалам с низкой квалификацией доступ к сложной инфраструктуре фишинг-мониторинга, снижая барьеры для проникновения киберпреступников.

Набор CoGUI и связанные с ним кампании включают в себя такие функции, как простые HTML-шаблоны с созданием контента из одного файла CSS и JavaScript с использованием Vue.js . Оперативная настройка этих фишинг-сайтов предполагает развертывание в один клик на основе Docker, что позволяет быстро и масштабируемо осуществлять фишинг-атаки. Каждый набор для фишинг-атак включает в себя отдельные файлы JavaScript, защищающие логику от обнаружения даже в тех случаях, когда автоматические сканеры могут не получить доступ к живым страницам.

Кроме того, административные панели, связанные с PhaaS-сервисом FishingMaster, были активны с середины 2024 года, достигнув пика в начале 2025 года, когда во время кампаний фишинг одновременно работало около 500 панелей. Изначально FishingMaster активно продвигался в сетях Телеграм, утверждая, что он предоставляет наборы для фишинг-атак для более чем 40 японских сервисов. Однако после судебных исков и публичного разоблачения, включая судебный иск Google в ноябре 2025 года против Lighthouse PhaaS, сервер лицензий и каналы связи FishingMaster были внезапно отключены.

Несмотря на закрытие, полезность наборов FishingMaster продолжалась благодаря тиражированию сообществом, а пиратская версия под названием "Shadow Garden" стала доступна в подпольных кругах. Устойчивость этих наборов указывает на то, что они по-прежнему считаются эффективными, подчеркивая потенциал сохраняющихся угроз фишинг, несмотря на неудачи их первоначальных разработчиков.

Оперативная тактика этих актор-фишинг-агентов свидетельствует о глубоком понимании ландшафта их целей. Они стратегически минимизируют риски, избегая дорогостоящих объектов, таких как компании, занимающиеся ценными бумагами, сохраняя при этом акцент на областях с низким уровнем риска. Постоянная корректировка шаблонов для фишинг-атак в ответ на изменения в области борьбы с фишинг-атаками отражает высокий уровень ситуационной осведомленности этих злоумышленник. Некоторые наборы для фишинг-атак даже используют механизмы cloaking, чтобы скрыть свои истинные намерения, что еще больше усложняет усилия по обнаружению.

#ParsedReport #CompletenessMedium
23-02-2026

Malicious OpenClaw Skills Used to Distribute Atomic macOS Stealer

https://www.trendmicro.com/en_us/research/26/b/openclaw-skills-used-to-distribute-atomic-macos-stealer.html

Report completeness: Medium

Actors/Campaigns:
Clawhavoc

Threats:
Amos_stealer
Supply_chain_technique
Clickfix_technique

Victims:
Apple users, Macos users, Ai agent platforms users

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1041, T1056.002, T1059, T1082, T1083, T1105, T1199, T1204, have more...

IOCs:
File: 3
Url: 3
Domain: 1

Soft:
OpenClaw, macOS, ClawHub, KeePass, Telegram, Claude, curl, Discord, Ledger Live

Wallets:
trezor, metamask, tron, exodus_wallet, coin98, mytonwallet, guarda_wallet, martian_wallet, cyano, jaxx, have more...

Crypto:
ethereum, solana

Algorithms:
zip, base64, xor

Platforms:
apple, intel

#ParsedReport #ExtractedSchema

Classified images:
windows: 12, code: 2, table: 1, schema: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Atomic macOS Stealer (AMOS) развивает свои методы распространения, внедряя вредоносное ПО в платформы, управляемые искусственным интеллектом, такие как OpenClaw, используя обманчивые SKILL.md файлы, чтобы обманом заставить пользователей установить их. Этот вариант нацелен на устройства Apple, удаляя конфиденциальные данные, такие как учетные данные и пользовательские документы, избегая при этом файлов .env, чтобы избежать обнаружения. AMOS функционирует как вредоносное ПО как услуга (MaaS) и использует методы, которые используют supply Chains, что еще больше усложняет обнаружение за счет стратегического манипулирования как поведением пользователей, так и базовыми архитектурами.
-----

Atomic macOS Stealer (AMOS) усовершенствовал свои методы распространения, используя рабочие процессы искусственного интеллекта и вводящие в заблуждение SKILL.md файлы загружаются на такие платформы, как ClawHub и SkillsMP. Это вредоносное ПО обманом заставляет пользователей устанавливать его, Маскировка под законные приложения и запрос на ввод пароля. Вариант AMOS использует supply Chains, внедряя вредоносное ПО в доброкачественные навыки OpenClaw, и фокусируется на извлечении конфиденциальных данных, таких как Связка ключей Apple и KeePass, пользовательских документов и сообщений из приложений, таких как Телеграм. Он работает как вредоносное ПО как услуга (MaaS), используя универсальный двоичный формат, совместимый как с кремниевыми архитектурами Intel, так и Apple. После установки AMOS собирает имена пользователей, пароли и системную информацию, отправляя данные на сервер управление (C&C). Вредоносное ПО позволяет избежать эксфильтрации env-файлов, которые обычно содержат API-ключи. Первоначальный доступ основан на введении пользователей в заблуждение, что позволяет избежать обнаружения такими инструментами, как VirusTotal. AMOS использует специальные методы подписи кода и может быть помечен сложными возможностями обнаружения искусственного интеллекта во время установки. Операторы также могут устанавливать бэкдорные версии криптовалютных кошельков, что указывает на акцент на нарушениях финансовой безопасности. Меняющийся ландшафт распространения вредоносное ПО усложняет усилия по обнаружению и реагированию, подчеркивая необходимость в проактивных стратегиях мониторинга и защиты.

#ParsedReport #CompletenessHigh
27-02-2026

APT36 : Multi-Vector Execution Malware Campaign Targeting Indian Government Entities

https://www.cyfirma.com/research/apt36-multi-vector-execution-malware-campaign-targeting-indian-government-entities/

Report completeness: High

Actors/Campaigns:
Transparenttribe (motivation: cyber_espionage, information_theft, financially_motivated)

Threats:
Junk_code_technique
Motw_bypass_technique
Spear-phishing_technique
Lolbin_technique

Victims:
Indian government entities, Defense organizations, Strategic individuals

Industry:
Government

Geo:
Indian, Pakistan

TTPs:
Tactics: 9
Technics: 29

IOCs:
File: 6
Path: 1
Hash: 7
IP: 1
Domain: 1

Soft:
Microsoft PowerPoint, Windows security, Microsoft Office

Algorithms:
sha256, exhibit, md5, zip

Functions:
Auto_Open, lauoksrimv

Languages:
visual_basic, powershell

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная кАмпания, связанная с пакистанским Transparent Tribe (APT36), нацелена на индийские правительственные учреждения с помощью социальной инженерии, в частности, с использованием вредоносных ZIP-файлов, замаскированных под экзаменационные документы. После выполнения эти файлы развертывают ряд вредоносных компонентов, запуская скрытые скрипты, которые устанавливают Троянская программа удаленного доступа (RAT) с возможностями обмена данными C2, эксфильтрация данных и закрепление системы. Скрытные и вводящие в заблуждение методы вредоносное ПО подчеркивают его намерение собирать разведывательные данные, а не нарушать работу.
-----

Проанализированная вредоносная кАмпания, атрибутирован с Пакистанской стороны злоумышленник Transparent Tribe (APT36), нацелена конкретно на государственные структуры Индии с помощью сложной многовекторной стратегии исполнения. Вектор первоначальный доступ включает в себя социальную инженерию, которая использует тактику манипулирования путем отправки вредоносного ZIP-архива, замаскированного под документы, связанные с экспертизой. Этот ZIP-файл содержит обманчивые файлы ярлыков Windows (.lnk) и надстройку PowerPoint с поддержкой макросов (.ppam). Выполнение ярлыка запускает пакетный сценарий, который создает и развертывает серию вредоносных компонентов, одновременно предоставляя пользователю фальсифицированный документ для поддержания видимости законной деятельности.

Последовательность выполнения команды запускает скрытый пакетный скрипт, который копирует и переименовывает Вредоносный файл в скрытых каталогах, позволяя вредоносное ПО работать незамеченным. Развертывание полезной нагрузки является методичным, при этом используются законные системные утилиты для сокрытия вредоносных действий от механизмов обнаружения безопасности. Встроенный макрос в надстройке PowerPoint создан для автоматического выполнения, что позволяет реконструировать конечную полезную нагрузку вредоносное ПО в зависимости от операционной системы жертвы. После развертывания вредоносное ПО запускает фоновые операции, предназначенные для установления функций удаленного доступа, характерных для Троянская программа удаленного доступа (RAT).

Вредоносное ПО выполняет несколько важных действий, включая установление прямой связи по протоколу TCP управление (C2) с жестко закодированными IP-адресами, используя резервный механизм домена, чтобы избежать обнаружения. Он демонстрирует возможности анти-криминалистический анализ, вставляя Junk code, чтобы скрыть свои операции, и изменяя параметры системного реестра для закрепление, сохраняя свое присутствие при перезагрузке системы. Вредоносное ПО также может делать снимки экрана, перемещаться по файловым системам для эксфильтрация данных и выполнять команды, отправляемые с сервера C2.

Такое поведение и возможности отражают стратегическую цель сбора разведывательных данных, а не срыва операций, и они демонстрируют характеристики сложная целенаправленная угроза с акцентом на скрытность, обман и оперативную эффективность. Кампания подчеркивает важность совершенствования стратегий обнаружения и реагирования во взаимосвязанных сетях, поскольку потенциальная возможность длительных необнаруженных нарушений представляет значительную угрозу для конфиденциальной информации и институциональной безопасности. Отслеживание активности и эволюции APT36, наряду с повышением осведомленности пользователей и уровня безопасности, являются важными мерами по снижению постоянных рисков, создаваемых такими злоумышленник, связанными с государством.

#ParsedReport #CompletenessMedium
27-02-2026

Hook, line, and vault: A technical deep dive into the 1Phish kit

https://securitylabs.datadoghq.com/articles/hook-line-vault-a-deep-dive-into-1phish/

Report completeness: Medium

Threats:
1phish_tool
Credential_harvesting_technique
Typosquatting_technique
Cloaking_technique

Victims:
1password users, Enterprise users

Geo:
Emea

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1056.009, T1102, T1204.001, T1497.001, T1497.003, T1566.002, T1583.001, T1591.002, have more...

IOCs:
Domain: 13
Url: 1
File: 5

Soft:
1Password, Selenium, PhantomJS, chrome, twitter

Algorithms:
base64

Functions:
createElement, getAttribute, getContext, getParameter, getExtension, getElementById

Languages:
javascript

Links:
https://github.com/DataDog/indicators-of-compromise/tree/main/1Phish

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Набор 1Phish представляет собой передовую эволюцию технологии фишинг, которая нацелен на пользователей 1Password с помощью многоступенчатой стратегии атаки, включающей Многофакторная аутентификация и средства защиты от анализа. Он превратился из базового сборщика учетных данных в сложный фреймворк, способный перехватывать сеансы в режиме реального времени, с такими функциями, как проверка на стороне клиента и интеграция с REST API. Продвинутые тактики уклонения, включая фильтрацию нацелен-ного трафика и обнаружение ботов, предполагают либо выделенного оператора, либо совместную криминальную экосистему, что указывает на значительную угрозу для пользователей password manager.
-----

Набор 1Phish предназначен для пользователей менеджера паролей 1Password и значительно эволюционировал в период с сентября 2025 по февраль 2026 года. Он превратился из простого средства сбора учетных данных в сложный инструмент фишинг-анализа, включающий Многофакторная аутентификация (MFA). В наборе используются электронные письма-приманки на тему срочных взломов, направляющие жертв на домены с typosquatted, напоминающие законные страницы входа с помощью 1Password.

Он включает средства защиты от анализа, проверку на стороне клиента для отправки форм и обнаруживает автоматизированные инструменты, такие как Selenium и Puppeteer. Более поздние версии собирают вторичные факторы аутентификации и коды восстановления, позволяя перехватывать сеанс в режиме реального времени.

Версия 1 была базовой страницей входа в систему, в то время как версия 2 улучшила визуальную точность и валидацию. В версии 3 был внедрен многоступенчатый рабочий процесс для сбора кодов аутентификации, а в версии 4 интегрирован REST API, который нацелен на фишинг для команд, и фреймворк JavaScript для запутывания кода.

Набор использует HideClick для фильтрации трафика, представляя фишинг-контент исключительно целевым пользователям, в то время как аналитикам он показывает безвредный контент. Он включает в себя методы обнаружения ботов и защиты от снятия отпечатков пальцев, что указывает на сложную стратегию атаки. Эволюция набора 1Phish подчеркивает тенденцию к фишинг-угрозам, специально нацеленным на Менеджеры паролей, что отражает стремление к инновациям в области фишинг-анализа и повышенный риск для пользователей.

#ParsedReport #CompletenessLow
26-02-2026

Detecting and responding to Salat stealer with Wazuh

https://wazuh.com/blog/detecting-and-responding-to-salat-stealer-with-wazuh/

Report completeness: Low

Threats:
Salatstealer

Victims:
Windows users, Organizations handling sensitive data

TTPs:
Tactics: 1
Technics: 6

IOCs:
File: 40
Registry: 2
Path: 1
Hash: 4
IP: 1

Soft:
CredSSP, pyinstaller, Telegram, Sysinternals

Algorithms:
sha256

Functions:
message

Languages:
python, powershell

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Salat stealer - это программа для кражи информации на основе Go, использующая модель "Вредоносное ПОкак услуга", которая нацелена на конфиденциальные данные с конечных точек Windows, включая учетные данные браузера и информацию о кошельке криптовалюты. Он использует методы скрытности, такие как проверка виртуальных сред, упаковка UPX для запутывания кода и взаимодействие с интерфейсом сканирования вредоносных программ, чтобы избежать обнаружения. Вредоносное ПО создает временные файлы данных для хранения украденных учетные данные, сохраняется с помощью ключей запуска реестра и отправляет данные на серверы управление по протоколу HTTPS.
-----

Salat stealer - это быстро развивающийся похититель информации на базе Go, распространяемый с помощью модели "Вредоносное ПО как услуга" (MaaS), которая фокусируется на сборе конфиденциальной информации с конечных точек Windows. Вредоносное ПО нацелено на учетные данные браузера, сеансы Телеграм и информацию о криптовалютном кошельке, используя комбинацию методов скрытности и закрепление, чтобы избежать обнаружения.

Его поведение включает в себя выполнение проверок на наличие виртуальных сред, чтобы избежать обнаружения, использование упаковки UPX для скрытия своего кода и взаимодействие с интерфейсом сканирования вредоносных программ (AMSI) для обхода мер безопасности. Вредоносное ПО работает путем создания временных файлов данных в каталоге Windows %Temp%, чтобы обработать собранные учетные данные перед эксфильтрация. Он копирует себя в надежные каталоги, имитируя законные исполняемые файлы, и устанавливает закрепление путем создания ключей запуска реестра в разделе HKCU\Software\Microsoft\Windows\CurrentVersion\Run. Когда он захватывает конфиденциальные данные, он отправляет эту информацию на свои серверы управление (C2) по протоколу HTTPS, часто используя резервные домены для поддержания подключения.

Для обнаружения Salat stealer с использованием платформы безопасности Wazuh были использованы специальные методы обнаружения, включая пользовательские правила обнаружения, специально направленные на выявление вредоносного поведения, связанного с вредоносное ПО. Эти правила используют Sysmon для улучшения видимости системных событий. Например, несколько идентификаторов правил нацелены на конкретные действия: идентификатор правила 100601 определяет, когда процесс SmartScreen загружает urlmon.библиотека dll, указывающая на разведка сети; Идентификатор правила 100602 сигнализирует, когда amsi.dll загружается, что указывает на попытку уклонения; Идентификатор правила 100603 идентифицирует выполнение скриптов PowerShell во временных каталогах; Идентификатор правила 100604 отслеживает изменения реестра на предмет возможных манипуляций с учетными данными; Идентификатор правила 100605 обнаруживает исходящие подключения к известным вредоносным IP-адресам, а идентификатор правила 100606 помечает подозрительные DNS-запросы.

Процесс обнаружения Wazuh еще более усиливается благодаря интеграции с VirusTotal, что позволяет платформе автоматически отправлять хэши вновь созданных или измененных файлов в VirusTotal для анализа угроз в режиме реального времени. Эта интеграция позволяет автоматически реагировать на угрозы, например удалять файлы, идентифицированные как вредоносные. Предупреждения, генерируемые Wazuh во время оперативной деятельности, можно просматривать через панель мониторинга, что позволяет специалистам по безопасности своевременно получать информацию о потенциальных угрозах.

Salat stealer представляет значительный риск для организаций и пользователей, и использование возможностей Wazuh в сочетании с VirusTotal предлагает упреждающий подход к выявлению и смягчению этой развивающейся угрозы. Постоянная адаптация стратегий обнаружения и активный мониторинг играют решающую роль в защите от таких изощренных атак вредоносное ПО.

#ParsedReport #CompletenessLow
01-03-2026

Yoroi Wallet Phishing Abuses GoTo Resolve and ScreenConnect for Device Takeover

https://malwr-analysis.com/2026/03/02/yoroi-wallet-phishing-abuses-goto-resolve-and-screenconnect-for-device-takeover/

Report completeness: Low

Threats:
Gotoresolve_tool
Screenconnect_tool
Logmein_tool

Victims:
Cryptocurrency users

ChatGPT TTPs:
do not use without manual check
T1036, T1105, T1204.002, T1219, T1566

IOCs:
Url: 3
File: 2
Hash: 4
Domain: 3

Wallets:
yoroi