#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавняя киберкампания, связанная с ВПО StealC, включала 19 поддельных репозиториев GitHub и использовала Python-дроппер для доставки вредоносных загрузок. Атака включала сервер управления на api.nailproxy.space, выполняющий команды для получения загрузчика Windows, который использовал однобайтовый XOR для расшифровки. Финальная загрузка, идентифицированная как StealC v2, обошла механизмы безопасности для доступа к конфиденциальным данным, таким как учетные данные браузеров и токены сессий, эксплуатируя контекст выполнения целевых браузеров.
-----

Недавний анализ выявил масштабную кампанию, связанную с операцией по распространению вредоносного ПО StealC, в рамках которой было обнаружено 19 поддельных репозиториев GitHub. Злоумышленники использовали структурированный метод доставки, начавшийся с загрузчика на Python. Кампания имитировала популярные проекты на Python и перенаправляла неосведомленных пользователей на api.nailproxy.space, который служил сервером управления (управление) для вредоносной нагрузки.

Начальный этап атаки включал созданный Python-дропер, интегрированный в поддельные репозитории. Этот дропер выполнял серию команд, включая POST-запрос к конечной точке аутентификации и синхронизацию зашифрованных данных, что в конечном итоге привело к загрузке нативного загрузчика Windows, обеспечившего дальнейшие эксплойты на машине жертвы. Примечательно, что он использовал такие техники, как однобайтовый XOR для расшифровки полезной нагрузки, и опирался на операционную среду для выполнения вредоносного кода без прямого воздействия в обычных операциях.

Финальный полезный код демонстрировал поведение, характерное для StealC v2, особенно в отношении выполнения методов, связанных с обходом шифрования, привязанного к приложению Chrome. Этот подход использует контекст выполнения целевого браузера для доступа к зашифрованным данным, тем самым обходя традиционные механизмы безопасности, предназначенные для защиты конфиденциальной информации, такой как учетные данные пользователей и токены сессий.

Атрибуция вредоносного ПО была подтверждена корреляциями инфраструктуры, в частности использованием IP-адреса 62.60.226.113, ранее идентифицированного в предыдущих отчетах, связанных со StealC. Анализ показал, что жертвы этой кампании могут ожидать компрометации различных конфиденциальных данных, включая сохраненные учетные данные браузеров, файлы cookie и артефакты сеансов из таких приложений, как Телеграм и Discord. Если пользователи взаимодействовали с скомпрометированными репозиториями, им рекомендовалось отключить свои системы, выполнить полное стирание данных и переустановку, а также сменить все пароли, связанные с онлайн-аккаунтами или сервисами, доступ к которым осуществлялся с зараженного компьютера.

#ParsedReport #CompletenessMedium
29-04-2026

A Mini Shai-Hulud has Appeared: Obfuscated Bun Runtime Payloads Hit SAP-Related npm Packages

https://www.stepsecurity.io/blog/a-mini-shai-hulud-has-appeared

Report completeness: Medium

Actors/Campaigns:
Teampcp (motivation: cyber_criminal)

Threats:
Shai-hulud
Dead_drop_technique
Supply_chain_technique
Credential_harvesting_technique
Typosquatting_technique
Plain-crypto-js_tool

Victims:
Software developers, Ci cd pipelines, Open source software ecosystem, Sap related npm packages

Geo:
Russia, Russian

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1003.007, T1027, T1036, T1057, T1059.006, T1059.007, T1070.004, T1071.001, T1082, T1105, have more...

IOCs:
Email: 3
File: 91
Hash: 5
Path: 6

Soft:
Claude, VSCode, Node.js, Linux, Alpine, TRAVIS, CIRCLECI, Dependabot, Kubernetes, helm, have more...

Algorithms:
zip, rsa-4096, aes-256-gcm, pbkdf2, aes-256, base64, gzip, sha256, aes

Functions:
isAlpineOrMusl, __decodeScrambled, 220__decodeScrambled, require, eval, TextDecoder, F30, N30, jA0, UZh, have more...

Languages:
python, javascript

Platforms:
intel

Links:
have more...
https://github.com/cap-js/cds-dbs/issues/1588
https://github.com/SAP/cloud-mta-build-tool/issues/1224

#ParsedReport #ExtractedSchema

Classified images:
windows: 7, schema: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Червь Shai-Hulud — это ВПО для кражи учетных данных, которое нацелено на программное обеспечение, связанное с SAP, через скомпрометированные пакеты npm, в частности mbt@1.2.48 и несколько модулей @cap-js с вредоносным хуком preinstall. Он устанавливает среду выполнения JavaScript Bun и развертывает обфусцированную полезную нагрузку, которая собирает конфиденциальные данные, используя AES-256-GCM для шифрования и RSA-4096 для защиты ключей. Червь эксплуатирует среды разработки, внедряя вредоносные конфигурации для обеспечения устойчивости в рабочих процессах разработчиков, одновременно осуществляя Маскировка под обновления Dependabot для распространения в облачных средах и захвата секретов из систем CI/CD.
-----

Недавняя киберугроза, связанная с компрометацией пакетов npm, нацеленных на программное обеспечение SAP, привела к появлению обфусцированного вредоносного ПО для кражи учетных данных, получившего название червь Shai-Hulud. Атака была обнаружена вскоре после публикации вредоносных пакетов, что привело к немедленному уведомлению владельцев репозиториев и команды безопасности SAP. Выявленные скомпрометированные пакеты — это mbt@1.2.48 и несколько модулей @cap-js, все из которых содержат вредоносный хук preinstall. Этот хук устанавливает среду выполнения JavaScript Bun и запускает 11,6 МБ обфусцированный полезный груз, который собирает конфиденциальную информацию, включая токены npm, которые он использует для дальнейшего распространения вредоносного ПО.

Червь Shai-Hulud уникальным образом шифрует украденные данные с помощью AES-256-GCM и оборачивает ключ шифрования с помощью RSA-4096, обеспечивая то, что даже если данные будут найдены в репозиториях жертв, они останутся нечитаемыми без закрытого ключа атакующего. Этот уровень шифрования создает значительные трудности для жертв, заставляя их рассматривать наихудший сценарий в отношении компрометации учетных данных.

Что касается закрепления, то вредоносное ПО примечательно своей способностью эксплуатировать среды разработки, такие как VSCode и Claude Code. Оно внедряет вредоносные файлы конфигурации задач, которые автоматически запускают вредоносное ПО каждый раз, когда разработчик открывает зараженный репозиторий, что фактически позволяет ему выполняться незамеченным в рамках обычных рабочих процессов разработки. Этот метод доставки является частью более широкой попытки нацелиться на уязвимости цепочки поставок, что делает его одним из первых продемонстрированных атак на цепочку поставок, направленных на конфигурации ИИ для программирования.

Отличительными особенностями этого ВПО являются его поведение на системах, настроенных с русской локалью, приводящее к выходу при обнаружении такой системы, что указывает на то, что злоумышленник, вероятно, действует из России или соседних регионов. Анализ во время выполнения выявил несколько механизмов извлечения учетных данных, включая возможность чтения памяти исполнителей процессов напрямую для получения конфиденциальной информации.

Червь дополнительно усиливает свои возможности эксфильтрации и репликации, маскируясь под рутинные обновления Dependabot путем внесения тонких изменений в рабочие процессы репозиториев. Эта тактика позволяет ему распространяться по нескольким облачным средам и захватывать учетные данные из систем CI/CD, не вызывая немедленных тревог. Он хранит эти учетные данные в репозиториях под контролем злоумышленника, что затрудняет для защитников своевременное обнаружение затронутых систем.

В качестве защитной меры организациям необходимо проводить аудит пакетов npm на наличие несанкционированных версий, проверять репозитории GitHub на предмет аномальных шаблонов именования, связанных с червем Shai-Hulud, а также внедрять защитные инструменты для мониторинга установки скомпрометированных пакетов. Динамичный характер этой угрозы подчеркивает насущную необходимость непрерывного бдительного контроля в цепочке поставок программного обеспечения и средах разработки.

#ParsedReport #CompletenessMedium
29-04-2026

Snow Malware Suite Turns Microsoft Teams Into a Help Desk Trap

https://cybersecsentinel.com/snow-malware-suite-turns-microsoft-teams-into-a-help-desk-trap/

Report completeness: Medium

Actors/Campaigns:
Unc6692

Threats:
Tunneler
Snowbelt
Snowglaze
Snowbasin
Email_bombing_technique
Credential_dumping_technique
Blackbasta
Spear-phishing_technique

Victims:
Enterprise users, Microsoft 365 environments, Microsoft teams environments, Organisations with on premises or hybrid identity estates

Industry:
Financial

TTPs:
Tactics: 3
Technics: 9

IOCs:
File: 3
Url: 2
Domain: 1

Soft:
Microsoft Teams, Chromium, FTK Imager, Active Directory, LimeWire, AutoHotkey, Microsoft Edge, Google Chrome

Languages:
python, javascript, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Семейство вредоносного ПО «Snow», связанное с хакерской группировкой UNC6692, использует трехэтапную атаку с использованием Microsoft Teams для взаимодействия с человеком. Оно включает SNOWBELT — вредоносное расширение браузера, выступающее в качестве бэкдора; SNOWGLAZE — туннелизатор, обеспечивающий безопасные соединения; и SNOWBASIN — локальный бэкдор для выполнения команд. Операция делает акцент на краже учетных данных, эксплуатации контроллеров домена и потенциальной эксфильтрации данных, демонстрируя значительные уязвимости в корпоративном использовании инструментов совместной работы.
-----

Набор вредоносного ПО под кодовым названием «Snow», приписываемый хакерской группировке UNC6692, мотивированной финансовыми целями, использует сложный трехэтапный вектор атаки, который в значительной степени опирается на человеческое взаимодействие и доверие в рамках Microsoft Teams. Этот модульный набор ВПО состоит из трех компонентов: SNOWBELT — вредоносное расширение браузера Chromium, функционирующее как бэкдор на JavaScript; SNOWGLAZE — туннелизатор на базе Python, предназначенный для создания аутентифицированных WebSocket-соединений и обеспечения SOCKS-прокси-сервисов для скрытого исходящего трафика; и SNOWBASIN — локальный HTTP-бэкдор, который прослушивает команды и обеспечивает удаленный доступ, включая создание снимков экрана и эксфильтрацию файлов.

Атака начинается с массового спама электронной почтой, который перегружает почтовый ящик жертвы поддельными сообщениями, предназначенными для создания правдоподобного предлога, позволяющего в дальнейшем связаться через Microsoft Teams. Эта имперсонация включает в себя то, что злоумышленник выдает себя за сотрудника внутренней службы технической поддержки IT, предлагающего помощь. Жертву направляют на фишинговую страницу, где она неосознанно загружает вредоносный скрипт AutoHotkey, который устанавливает расширение SNOWBELT, эффективно внедряя ВПО в среду пользователя.

После успешной начальной компрометации злоумышленник может использовать другие компоненты набора Snow для дальнейшей эксплуатации. SNOWGLAZE настраивает защищенный туннель, позволяя злоумышленнику ретранслировать команды через скомпрометированный браузер, в то время как SNOWBASIN выполняет эти команды локально. Действия после компрометации отличаются агрессивностью, включая применение методов Передача хеша (Pass the Hash) для проникновения в контроллеры домена. Злоумышленник использует FTK Imager для захвата конфиденциальных данных Active Directory и реестровых хивов системы, выводя их через такие инструменты, как LimeWire. Это указывает не только на фокус на краже учетных данных, но и на потенциальную возможность будущей развертывания программ-вымогателей или продажи украденных учетных данных.

Проектирование операции подрывает традиционные меры безопасности электронной почты, поскольку вредоносные вложения доставляются через доверенный канал Microsoft Teams. Это подчеркивает критический пробел в текущих практиках кибербезопасности, так как многие организации по-прежнему считают Teams безопасной платформой для коммуникаций. Следовательно, организациям необходимо внедрить строгие ограничения на внешние коммуникации в Teams, усилить защиту Active Directory от кражи учетных данных и внимательно отслеживать необычные шаблоны сетевого трафика, особенно соединения с Heroku и Amazon S3.

Последствия кампании Snow значительны, подчеркивая необходимость повышенной бдительности в инструментах совместной работы и лучшей интеграции защиты от фишинга по нескольким каналам связи. Поскольку методы теперь публично раскрыты, существует вероятность их быстрого внедрения другими злоумышленниками, что делает для организаций существенным пересмотр их безопасности в отношении внутренних платформ обмена сообщениями.

#ParsedReport #CompletenessMedium
29-04-2026

Geo Likho Group continues to attack targets in Russia, focusing on the aviation and water transportation industries

https://securelist.ru/tr/geo-likho-hits-russian-aviation/115306/

Report completeness: Medium

Actors/Campaigns:
Geo_likho (motivation: information_theft, cyber_espionage, cyber_criminal)

Threats:
Batavia
Uac_bypass_technique
Spear-phishing_technique

Victims:
Aviation organizations, Shipping companies, Machine building companies, Educational institutions, Government agencies, Commercial companies

Industry:
Government, Aerospace, Transport, Education

Geo:
Russian federation, Russia, Belarus, Hong kong, Russian, Germany, Serbia

TTPs:

ChatGPT TTPs:
do not use without manual check
T1005, T1025, T1027, T1036.008, T1041, T1047, T1059.005, T1071.001, T1082, T1105, have more...

IOCs:
Domain: 29
File: 23
Hash: 64
Url: 7
Path: 5

Soft:
LiteSpeed

Algorithms:
xor, md5, zip, fnv-1a, base64

Functions:
Navigate

Win API:
ShellExecuteExW

Languages:
delphi

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа Geo Likho, хакерская группировка, нацелена на организации в России и Беларуси, в первую очередь фокусируясь на секторах авиации и водного транспорта с июля 2024 года. Они используют целевой фишинг с вредоносными скриптами Visual Basic для получения первоначального доступа, за которым следует многоэтапный процесс заражения с использованием исполняемых файлов на базе Delphi для кражи данных и сбора информации о системе. Их подход включает кастомные инструменты ВПО и надежную инфраструктуру управления для скрытой эксфильтрации данных, что усложняет усилия по обнаружению и реагированию.
-----

Группа Geo Likho, актор сложной целенаправленной угрозы (APT), с июля 2024 года активно атакует организации в Российской Федерации и Беларуси, уделяя особое внимание секторам авиации и водного транспорта. Их методологический подход включает высокоточные атаки с использованием уникальных вредоносных файлов, адаптированных под каждого конкретного жертву. Основной целью этих кампаний является кража данных, для чего развертываются различные пользовательские вредоносные инструменты, разработанные специально для этой задачи.

Первоначальный доступ для Geo Likho осуществляется через целевой фишинг, при котором в письмах содержатся ссылки на вредоносные Visual Basic Scripts (VBE). Такая уникальная схема использования VBE-скриптов, нехарактерная для других киберпреступных групп, служит четким маркером их активности. После первоначальной компрометации злоумышленники применяют многоступенчатый процесс заражения. Переход по вредоносной ссылке приводит к загрузке архива в формате TAR, маскирующегося под файл RAR, внутри которого находится VBE-скрипт, выполняющий роль загрузчика. Этот скрипт внедряет уникальный идентификатор жертвы в каждый вредоносный образец, а последующие вредоносные компоненты обычно доставляются с инфраструктуры управления (управление), которую группа регулярно меняет для уклонения от обнаружения.

Загружаемый первичный полезный груз обычно представляет собой исполняемый файл, созданный в Delphi, который не только динамически извлекает дополнительное вредоносное содержимое, но и собирает информацию с компрометированной машины об установленном программном обеспечении, деталях операционной системы, а также периодически делает снимки экрана. Передаваемые данные эксфильтруются на домены C2, связанные с Geo Likho. ВПО гарантирует, что файлы не отправляются более одного раза, хешируя их содержимое и сравнивая эти значения с сохраненными записями.

Последующие компоненты заражения, идентифицированные как второй и третий этапы, следуют аналогичным принципам, но внедряют дополнительные функциональные возможности и строгие процессы сбора данных. Примечательно, что эти этапы также используют механизмы хеширования для предотвращения дублирующей эксфильтрации данных. Второй этап доставляется как полезная нагрузка, сохраняемая в файл, например `reader.exe`, тогда как компоненты третьего этапа включают разнообразные исполняемые файлы, такие как `ruby5.3.exe`, расширяя возможности группы по сбору информации и взаимодействию с её C2-сервером.

Операционные методы группы Geo Likho отличаются целенаправленным воздействием на конкретные отрасли и тщательной кастомизацией их вредоносных инструментов для определённых жертв, что усложняет защитные меры. Постоянный мониторинг их деятельности выявляет надёжную инфраструктуру, поддерживающую непрерывные вредоносные кампании, с значительными ресурсами, выделенными на разработку инструментов.

В заключение, группа Geo Likho представляет собой сложную угрозу в киберпространстве, что подтверждается их целевыми тактиками фишинга, уникальными сигнатурами ВПО и хорошо структурированной методологией атак, которая ставит во главу угла скрытность и кражу данных из критических секторов в России и Беларуси.

#ParsedReport #CompletenessLow
29-04-2026

Malicious npm Package Brand-Squats TanStack to Exfiltrate Environment Variables

https://socket.dev/blog/tanstack-brandsquat-compromise

Report completeness: Low

Threats:
Supply_chain_technique
Dead_drop_technique

TTPs:
Tactics: 2
Technics: 0

IOCs:
File: 7
Url: 2

Functions:
sendReadme

#ParsedReport #CompletenessHigh
30-04-2026

Silver Fox uses the new ABCDoor backdoor to target organizations in Russia and India

https://securelist.com/silver-fox-tax-notification-campaign/119575/

Report completeness: High

Actors/Campaigns:
Silver_fox

Threats:
Abcdoor
Valleyrat
Rustsl
Steganography_technique
Winos
Tailscale_tool
Spear-phishing_technique

Victims:
Industrial, Consulting, Retail, Transportation, Organizations in russia, Organizations in india

Industry:
Transport, Retail

Geo:
China, Indian, Russia, Indonesia, Russian, Chinese, South africa, Cambodia, Japan, India

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1021.005, T1027, T1027.016, T1036, T1036.005, T1036.008, T1053.005, T1059.001, T1059.003, T1059.006, have more...

IOCs:
Url: 16
File: 30
Hash: 72
Registry: 6
IP: 15
Path: 1
Command: 2
Domain: 11

Soft:
SendGrid, curl, WireGuard, Linux, macOS, Windows registry, Task scheduler

Algorithms:
zip, md5, sha256, base64, base32, xor

Functions:
ShellExecute

Win API:
RegisterApplicationRestart, SetProcessShutdownParameters, InternetReadFile

Languages:
cython, powershell, javascript, rust, python

Platforms:
x86, x64

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, chats: 1, dump: 6, schema: 1, code: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группировка Silver Fox начала сложную фишинговую кампанию, нацеленную на организации в России и Индии, используя письма, имитирующие официальные налоговые уведомления, для распространения ВПО. Эта кампания включает модифицированный загрузчик на базе Rust под названием RustSL, который активирует бэкдор ValleyRAT и внедряет новый бэкдор на базе Python под названием ABCDoor, применяя кастомные загрузчики для зашифрованных полезной нагрузки. Кроме того, RustSL включает улучшенные методы обхода обнаружения, включая проверки геолокации и метод закрепления, известный как Phantom Persistence, в то время как ABCDoor использует продвинутое программирование для скрытого удаленного управления и эксфильтрации данных.
-----

Группировка Silver Fox нацелена на организации в России и Индии, используя сложную фишинг-кампанию, начавшуюся в конце 2025 года. Эта кампания использует вредоносные электронные письма, стилизованные под официальные сообщения налоговых органов, для распространения ВПО. Изначально эти письма побуждали пользователей загружать архивы, якобы содержащие списки нарушений налогового законодательства, которые содержали модифицированный загрузчик на базе Rust, известный как RustSL. После запуска RustSL загружает и активирует бэкдор ValleyRAT, ранее связанный с операциями Silver Fox.

В рамках этой кампании злоумышленники не только развернули бэкдор ValleyRAT, но и внедрили новый бэкдор на базе Python под названием ABCDoor, что стало его первым задокументированным использованием в 2025 году. Механизм доставки ABCDoor включал серию кастомных загрузчиков и плагинов, которые выполняли зашифрованные полезную нагрузку. Загрузчик RustSL был специально модифицирован для улучшения техник уклонения и теперь включает дополнительные модули, такие как 'steganography.rs' для распаковки полезной нагрузки и 'guard.rs' для проверки окружения, включая геофенсинг на основе страны, направленный преимущественно на несколько стран Юго-Восточной Азии.

В частности, загрузчик RustSL был настроен на проверку страны жертвы, чтобы обеспечить работу вредоносного ПО только в определенных регионах, включая Индию, Россию и другие. Эта проверка геолокации взаимодействует с различными публичными сервисами для подтверждения пригодности окружения. Кроме того, была интегрирована новая техника под названием Phantom Persistence, позволяющая вредоносному ПО сохранять свое присутствие на зараженных системах путем перехвата сигналов завершения работы и перезапуска после перезагрузки.

Сам бэкдор ABCDoor работает на основе сложных парадигм программирования и использует библиотеки asyncio и Socket.IO для асинхронной связи с серверами управления (C2). Он спроектирован с использованием нескольких классов, обрабатывающих различные функции, такие как удаленное управление, эксфильтрация данных и закрепление через реестр Windows и планировщик задач. После компрометации ABCDoor выполняет ряд команд, позволяющих злоумышленникам скрыто контролировать зараженное устройство, включая функции захвата экрана с использованием ffmpeg.

На протяжении всей кампании Silver Fox значительно адаптировал методы распространения своего ВПО, используя сочетание устоявшихся инструментов и новых кастомизаций. Тактика группы включала использование самораспаковывающихся архивов и JavaScript-загрузчиков, инкапсулированных в ZIP-файлы, структурированных для обхода стандартных мер безопасности. По мере расширения Silver Fox своего географического охвата критическая необходимость для организаций в усилении обучения по кибербезопасности и возможностей обнаружения угроз остается первостепенной. Интеграция многогранных механизмов доставки позволяет группе маскировать свою деятельность и создавать существенные риски для целевых учреждений.

#ParsedReport #CompletenessLow
30-04-2026

A Closer Look at the Novel and Stealthy KarstoRAT Malware

https://www.levelblue.com/blogs/spiderlabs-blog/a-closer-look-at-the-novel-and-stealthy-karstorat-malware

Report completeness: Low

Threats:
Karsto
Arstorat

Victims:
Gaming, Roblox players

Industry:
E-commerce

ChatGPT TTPs:
do not use without manual check
T1033, T1041, T1056.001, T1057, T1070.004, T1071.001, T1082, T1105, T1113, T1123, have more...

Soft:
Roblox

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
KarstoRAT, троянская программа, появившаяся в начале 2026 года, обеспечивает обширный мониторинг и контроль над зараженными системами, позволяя выполнять такие функции, как регистрация нажатий клавиш, кража токена и мониторинг аудио/веб-камеры. Она функционирует через сложную инфраструктуру управления, используя многоцелевой дизайн для связи и доставки полезной нагрузки, а также применяет обманные тактики через фиктивный маркетплейс для распространения. Уникальные возможности включают функцию преобразования текста в речь для общения, манипуляцию рабочим столом для дезориентации пользователей и функцию самоуничтожения для минимизации рисков обнаружения.
-----

KarstoRAT — это новая обнаруженная троянская программа (RAT), появившаяся в начале 2026 года. Это ВПО предназначено для всестороннего наблюдения и контроля зараженных систем, позволяя злоумышленникам выполнять различные вредоносные действия, включая разведку системы, мониторинг аудио и веб-камеры, захват скриншотов, регистрацию нажатий клавиш и Кража токена. Примечательно, что KarstoRAT может загружать и выполнять дополнительные полез нагрузки, что указывает на возможность его использования для операций после компрометации.

ВПО использует сложную инфраструктуру управления (управление), которая задействует разнообразные открытые порты и службы, что указывает на многоцелевой дизайн как для связи управления, так и для распространения полезной нагрузки. Злоумышленники манипулируют мошенническим виртуальным маркетплейсом, тематика которого основана на популярной игре Blox Fruits, чтобы заманить жертв на загрузку ВПО, которое впоследствии устанавливает KarstoRAT на их системы.

Отличительной особенностью KarstoRAT является механизм закрепления, который включает вход в бесконечный двухсекундный цикл для поддержания активности на неопределенный срок. Он взаимодействует с сервером C2 по протоколу HTTP, используя пользовательский агент, обозначенный как SecurityNotifier, и осуществляет эксфильтрацию украденных данных — таких как скриншоты, аудио и видеопотоки с веб-камеры — посредством POST-запросов к определенным конечным точкам. Примечательно, что RAT настроен на автоматический запуск при входе пользователя в систему благодаря различным возможностям закрепления, включая STARTUP_ON и STARTUP_OFF.

С точки зрения функциональности, KarstoRAT обладает возможностью озвучивать текст с помощью функции преобразования текста в речь, что позволяет злоумышленникам передавать сообщения или создавать отвлекающие факторы для жертвы. Кроме того, он может манипулировать рабочим окружением пользователя, переворачивая дисплей вверх ногами и меняя местами функции кнопок мыши — тактика, предназначенная для дезориентации пользователей и усложнения их взаимодействия с системой. Дополнительно в него включена функция самоуничтожения, которая позволяет ему удалять себя с зараженного компьютера, снижая риск обнаружения и криминалистический анализ.

#ParsedReport #CompletenessHigh
30-04-2026

xlabs_v1 DDoS-for-Hire IoT Botnet Exposed: One Operator Error. An Entire Operation Revealed

https://hunt.io/blog/xlabs-v1-ddos-for-hire-operation-exposed#Indicators_of_Compromise

Report completeness: High

Actors/Campaigns:
Ddos-for-hire (motivation: script_kiddie)

Threats:
Mirai
Netcat_tool
Vltrig_tool
Decodo_socks5_tool

Victims:
Game servers, Minecraft hosts, Android tv boxes, Set top boxes, Smart tvs, Residential routers, Internet of things devices

Industry:
Iot, Transport, Media

Geo:
Japanese, Netherlands, Asian, Germany

TTPs:
Tactics: 9
Technics: 38

IOCs:
IP: 5
Domain: 3
File: 3
Coin: 1
Hash: 6

Soft:
Android, systemd, busybox, Telegram, Unix, Linux

Crypto:
monero

Algorithms:
sha256, chacha20, exhibit

Functions:
system

Win API:
ARC

Win Services:
bits

Languages:
python

Platforms:
m68k, mips, arm

Links:
http://github.com/HashVault/vltrig

#ParsedReport #GeneratedSchema
Generated with GPT-4