#ParsedReport #CompletenessLow
29-04-2026

Malicious npm Package Brand-Squats TanStack to Exfiltrate Environment Variables

https://socket.dev/blog/tanstack-brandsquat-compromise

Report completeness: Low

Threats:
Supply_chain_technique
Dead_drop_technique

TTPs:
Tactics: 2
Technics: 0

IOCs:
File: 7
Url: 2

Functions:
sendReadme

#ParsedReport #CompletenessHigh
30-04-2026

Silver Fox uses the new ABCDoor backdoor to target organizations in Russia and India

https://securelist.com/silver-fox-tax-notification-campaign/119575/

Report completeness: High

Actors/Campaigns:
Silver_fox

Threats:
Abcdoor
Valleyrat
Rustsl
Steganography_technique
Winos
Tailscale_tool
Spear-phishing_technique

Victims:
Industrial, Consulting, Retail, Transportation, Organizations in russia, Organizations in india

Industry:
Transport, Retail

Geo:
China, Indian, Russia, Indonesia, Russian, Chinese, South africa, Cambodia, Japan, India

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1021.005, T1027, T1027.016, T1036, T1036.005, T1036.008, T1053.005, T1059.001, T1059.003, T1059.006, have more...

IOCs:
Url: 16
File: 30
Hash: 72
Registry: 6
IP: 15
Path: 1
Command: 2
Domain: 11

Soft:
SendGrid, curl, WireGuard, Linux, macOS, Windows registry, Task scheduler

Algorithms:
zip, md5, sha256, base64, base32, xor

Functions:
ShellExecute

Win API:
RegisterApplicationRestart, SetProcessShutdownParameters, InternetReadFile

Languages:
cython, powershell, javascript, rust, python

Platforms:
x86, x64

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, chats: 1, dump: 6, schema: 1, code: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группировка Silver Fox начала сложную фишинговую кампанию, нацеленную на организации в России и Индии, используя письма, имитирующие официальные налоговые уведомления, для распространения ВПО. Эта кампания включает модифицированный загрузчик на базе Rust под названием RustSL, который активирует бэкдор ValleyRAT и внедряет новый бэкдор на базе Python под названием ABCDoor, применяя кастомные загрузчики для зашифрованных полезной нагрузки. Кроме того, RustSL включает улучшенные методы обхода обнаружения, включая проверки геолокации и метод закрепления, известный как Phantom Persistence, в то время как ABCDoor использует продвинутое программирование для скрытого удаленного управления и эксфильтрации данных.
-----

Группировка Silver Fox нацелена на организации в России и Индии, используя сложную фишинг-кампанию, начавшуюся в конце 2025 года. Эта кампания использует вредоносные электронные письма, стилизованные под официальные сообщения налоговых органов, для распространения ВПО. Изначально эти письма побуждали пользователей загружать архивы, якобы содержащие списки нарушений налогового законодательства, которые содержали модифицированный загрузчик на базе Rust, известный как RustSL. После запуска RustSL загружает и активирует бэкдор ValleyRAT, ранее связанный с операциями Silver Fox.

В рамках этой кампании злоумышленники не только развернули бэкдор ValleyRAT, но и внедрили новый бэкдор на базе Python под названием ABCDoor, что стало его первым задокументированным использованием в 2025 году. Механизм доставки ABCDoor включал серию кастомных загрузчиков и плагинов, которые выполняли зашифрованные полезную нагрузку. Загрузчик RustSL был специально модифицирован для улучшения техник уклонения и теперь включает дополнительные модули, такие как 'steganography.rs' для распаковки полезной нагрузки и 'guard.rs' для проверки окружения, включая геофенсинг на основе страны, направленный преимущественно на несколько стран Юго-Восточной Азии.

В частности, загрузчик RustSL был настроен на проверку страны жертвы, чтобы обеспечить работу вредоносного ПО только в определенных регионах, включая Индию, Россию и другие. Эта проверка геолокации взаимодействует с различными публичными сервисами для подтверждения пригодности окружения. Кроме того, была интегрирована новая техника под названием Phantom Persistence, позволяющая вредоносному ПО сохранять свое присутствие на зараженных системах путем перехвата сигналов завершения работы и перезапуска после перезагрузки.

Сам бэкдор ABCDoor работает на основе сложных парадигм программирования и использует библиотеки asyncio и Socket.IO для асинхронной связи с серверами управления (C2). Он спроектирован с использованием нескольких классов, обрабатывающих различные функции, такие как удаленное управление, эксфильтрация данных и закрепление через реестр Windows и планировщик задач. После компрометации ABCDoor выполняет ряд команд, позволяющих злоумышленникам скрыто контролировать зараженное устройство, включая функции захвата экрана с использованием ffmpeg.

На протяжении всей кампании Silver Fox значительно адаптировал методы распространения своего ВПО, используя сочетание устоявшихся инструментов и новых кастомизаций. Тактика группы включала использование самораспаковывающихся архивов и JavaScript-загрузчиков, инкапсулированных в ZIP-файлы, структурированных для обхода стандартных мер безопасности. По мере расширения Silver Fox своего географического охвата критическая необходимость для организаций в усилении обучения по кибербезопасности и возможностей обнаружения угроз остается первостепенной. Интеграция многогранных механизмов доставки позволяет группе маскировать свою деятельность и создавать существенные риски для целевых учреждений.

#ParsedReport #CompletenessLow
30-04-2026

A Closer Look at the Novel and Stealthy KarstoRAT Malware

https://www.levelblue.com/blogs/spiderlabs-blog/a-closer-look-at-the-novel-and-stealthy-karstorat-malware

Report completeness: Low

Threats:
Karsto
Arstorat

Victims:
Gaming, Roblox players

Industry:
E-commerce

ChatGPT TTPs:
do not use without manual check
T1033, T1041, T1056.001, T1057, T1070.004, T1071.001, T1082, T1105, T1113, T1123, have more...

Soft:
Roblox

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
KarstoRAT, троянская программа, появившаяся в начале 2026 года, обеспечивает обширный мониторинг и контроль над зараженными системами, позволяя выполнять такие функции, как регистрация нажатий клавиш, кража токена и мониторинг аудио/веб-камеры. Она функционирует через сложную инфраструктуру управления, используя многоцелевой дизайн для связи и доставки полезной нагрузки, а также применяет обманные тактики через фиктивный маркетплейс для распространения. Уникальные возможности включают функцию преобразования текста в речь для общения, манипуляцию рабочим столом для дезориентации пользователей и функцию самоуничтожения для минимизации рисков обнаружения.
-----

KarstoRAT — это новая обнаруженная троянская программа (RAT), появившаяся в начале 2026 года. Это ВПО предназначено для всестороннего наблюдения и контроля зараженных систем, позволяя злоумышленникам выполнять различные вредоносные действия, включая разведку системы, мониторинг аудио и веб-камеры, захват скриншотов, регистрацию нажатий клавиш и Кража токена. Примечательно, что KarstoRAT может загружать и выполнять дополнительные полез нагрузки, что указывает на возможность его использования для операций после компрометации.

ВПО использует сложную инфраструктуру управления (управление), которая задействует разнообразные открытые порты и службы, что указывает на многоцелевой дизайн как для связи управления, так и для распространения полезной нагрузки. Злоумышленники манипулируют мошенническим виртуальным маркетплейсом, тематика которого основана на популярной игре Blox Fruits, чтобы заманить жертв на загрузку ВПО, которое впоследствии устанавливает KarstoRAT на их системы.

Отличительной особенностью KarstoRAT является механизм закрепления, который включает вход в бесконечный двухсекундный цикл для поддержания активности на неопределенный срок. Он взаимодействует с сервером C2 по протоколу HTTP, используя пользовательский агент, обозначенный как SecurityNotifier, и осуществляет эксфильтрацию украденных данных — таких как скриншоты, аудио и видеопотоки с веб-камеры — посредством POST-запросов к определенным конечным точкам. Примечательно, что RAT настроен на автоматический запуск при входе пользователя в систему благодаря различным возможностям закрепления, включая STARTUP_ON и STARTUP_OFF.

С точки зрения функциональности, KarstoRAT обладает возможностью озвучивать текст с помощью функции преобразования текста в речь, что позволяет злоумышленникам передавать сообщения или создавать отвлекающие факторы для жертвы. Кроме того, он может манипулировать рабочим окружением пользователя, переворачивая дисплей вверх ногами и меняя местами функции кнопок мыши — тактика, предназначенная для дезориентации пользователей и усложнения их взаимодействия с системой. Дополнительно в него включена функция самоуничтожения, которая позволяет ему удалять себя с зараженного компьютера, снижая риск обнаружения и криминалистический анализ.

#ParsedReport #CompletenessHigh
30-04-2026

xlabs_v1 DDoS-for-Hire IoT Botnet Exposed: One Operator Error. An Entire Operation Revealed

https://hunt.io/blog/xlabs-v1-ddos-for-hire-operation-exposed#Indicators_of_Compromise

Report completeness: High

Actors/Campaigns:
Ddos-for-hire (motivation: script_kiddie)

Threats:
Mirai
Netcat_tool
Vltrig_tool
Decodo_socks5_tool

Victims:
Game servers, Minecraft hosts, Android tv boxes, Set top boxes, Smart tvs, Residential routers, Internet of things devices

Industry:
Iot, Transport, Media

Geo:
Japanese, Netherlands, Asian, Germany

TTPs:
Tactics: 9
Technics: 38

IOCs:
IP: 5
Domain: 3
File: 3
Coin: 1
Hash: 6

Soft:
Android, systemd, busybox, Telegram, Unix, Linux

Crypto:
monero

Algorithms:
sha256, chacha20, exhibit

Functions:
system

Win API:
ARC

Win Services:
bits

Languages:
python

Platforms:
m68k, mips, arm

Links:
http://github.com/HashVault/vltrig

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Ботнет xlabs_v1 DDoS-for-hire для Интернета вещей (IoT), управляемый индивидуумом по имени Тадаси, нацелен на игровые серверы, использует производные от Mirai и предлагает 21 вариант атаки по протоколам TCP и UDP. Используя Android Debug Bridge (ADB) в качестве основного вектора заражения, он компрометирует различные устройства IoT и выполняет метод профилирования пропускной способности для ценообразования услуг. Его деятельность характеризуется слабыми практиками шифрования, возможностями завершения процессов для управления ресурсами и наличием признаков совместного размещения с операцией криптоджекинга, что указывает на сложную, коммерчески-ориентированную инфраструктуру киберкриминала.
-----

Расследование ботнета xlabs_v1, предоставляющего услуги DDoS-атак для интернета вещей и управляемого индивидуумом по имени Тадаси, выявило сложную и коммерчески ориентированную операцию, нацеленную преимущественно на игровые серверы и хосты Minecraft. Ботнет создан на базе Mirai и предлагает 21 вариант атаки, использующих протоколы TCP, UDP и специфические сырые протоколы, такие как RakNet и OpenVPN, предназначенные для обхода стандартных средств защиты от DDoS-атак, обычно встречающихся на потребительских устройствах.

Основной вектор заражения xlabs_v1 — Android Debug Bridge (ADB), доступный по TCP/5555, что позволяет осуществлять компрометацию ряда устройств Интернета вещей (IoT), таких как Android TV-боксы, маршрутизаторы и умные телевизоры. Ботнет включает сборки для нескольких архитектур, охватывающие ARM, MIPS, x86-64 и Android APK. После заражения эти скомпрометированные устройства профилируются на предмет пропускной способности с помощью метода, включающего 8192 одновременных TCP-соединений для оценки скорости отправки данных, что определяет ценовую модель для клиентов, приобретающих услуги DDoS.

Канал управления работает по протоколу TCP/35342 без TLS, используя протокол с рамками в открытом тексте, который опирается на шифрование ChaCha20 для защиты отдельных строк, таких как домены C2 и токены аутентификации. Интересно, что шифрование имеет уязвимости из-за плохого управления ключами, что позволяет повторно использовать ключи и потенциально извлекать конфиденциальную информацию через анализ открытого текста. Архитектура бота включает «убийственную подсистему», которая принудительно завершает процессы, способные конкурировать за пропускную способность, что указывает на продвинутое понимание управления ресурсами в общих средах.

Инфраструктура, обеспечивающая работу xlabs_v1, встроена в единый защищенный /24 блок адресов, что позволяет размещать различные операционные компоненты, такие как серверы управления (C2) и механизмы распространения, все они размещены в среде, ориентированной на конфиденциальность, в Нидерландах. Примечательно, что есть доказательства совместного размещения с операцией криптоджекинг Monero, что указывает на возможные пересечения между различными преступными деятельностью, управляемыми одним и тем же актором или в рамках одной и той же среды размещения.

Сам бот способен устранять конкурирующее ВПО на хост-системе до установления связи с C2, а также содержит процедуры, обеспечивающие закрепление через механизм резервного слушателя, готового принимать входящие подключения оператора в случае отказа стандартных каналов связи. Такой системный подход к заражению, работе и повторному заражению, наряду с набором функций бота, адаптированным для эффективных DDoS-атак, подчеркивает коммерчески жизнеспособную модель, ориентированную на прибыльность и операционную эффективность.

Индикаторы, полученные в результате аналитического процесса, включая собранные свойства бота, протоколы связи и шаблоны трафика, связаны с более широкими криминальными сетями в подземной экосистеме DDoS-for-hire. Данное расследование раскрывает сведения об операционных методах и инфраструктуре xlabs_v1, подчеркивая его значимость в ландшафте IoT-ботнетов и услуг DDoS-for-hire.

#ParsedReport #CompletenessLow
30-04-2026

These new Mac threats are designed to evade antivirus detection

https://moonlock.com/new-macos-malware-evade-antivirus

Report completeness: Low

Threats:
Shadestager
Clickfix_technique

Victims:
Mac users, Mac developers, Cloud services

Geo:
Iranian

ChatGPT TTPs:
do not use without manual check
T1005, T1082, T1105, T1552.001, T1552.004, T1573

Soft:
macOS, Kubernetes, Docker

Platforms:
arm, apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ходе недавнего анализа были выявлены два типа вредоносного ПО для macOS — Phoenix Worm и ShadeStager, которые целенаправленно атакуют разработчиков. Phoenix Worm действует как загрузчик, уклоняясь от обнаружения, устанавливая закрепление и устанавливая связь с скомпрометированными системами, потенциально распространяясь через поддельные инструкции по устранению неполадок или репозитории разработчиков. ShadeStager сосредоточен на краже конфиденциальных учетных данных разработчиков, таких как SSH-ключи и учетные данные облачных сервисов, что подчеркивает уязвимости в macOS и возрастающую сложность угроз вредоносного ПО.
-----

Недавний анализ, проведенный компанией Mosyle, выявил два новых образца вредоносного ПО для macOS под названиями Phoenix Worm и ShadeStager, предназначенных для проникновения в системы Mac и представляющих особую опасность для разработчиков. Phoenix Worm выполняет роль стейджера, закрепляясь на устройствах macOS для обеспечения возможности будущих атак. Сообщается, что это ВПО действует скрытно от большинства алгоритмов безопасности, эффективно избегая обнаружения и позволяя злоумышленникам поддерживать канал связи с скомпрометированной системой. Возможности вредоносного ПО включают закрепление на устройстве, генерацию уникальных идентификаторов системы и возможность выполнения дополнительных полезной нагрузки. Его распространение может осуществляться путем имитации легитимных инструкций по устранению неполадок или скомпрометированных репозиториев разработчиков.

В отличие от этого, ShadeStager разработан специально для нацеливания и кражи конфиденциальных учетных данных из сред разработки. Его фокус заключается в извлечении информации, такой как SSH-ключи, учетные данные облачных сервисов AWS и Azure, конфигурации Kubernetes и данные аутентификации, связанные с Git и Docker. Как Phoenix Worm, так и ShadeStager демонстрируют низкую заметность при сканировании традиционными средствами защиты, что подчеркивает растущую сложность и скрытность угроз вредоносного ПО для macOS.

Способы проникновения этих угроз в системы, включая потенциальное отравление платформ, связанных с разработкой, подчеркивают уязвимости, присутствующие в экосистеме macOS. В связи с растущей сложностью такого ВПО поддержание надежных мер безопасности имеет решающее значение для пользователей, особенно тех, кто работает в средах разработки. Постоянное появление подобных угроз требует проактивных стратегий по снижению рисков, что подчеркивает необходимость для пользователей использовать обновленные решения безопасности для защиты от этих эволюционирующих атак ВПО.

#ParsedReport #CompletenessLow
30-04-2026

Shai-Hulud resurfaces: intercom-client@7.0.4 harvesting Github credentials

https://www.netskope.com/blog/shai-hulud-intercom-client-7-0-4

Report completeness: Low

Threats:
Shai-hulud
Dead_drop_technique

Victims:
Software developers, Npm ecosystem, Github users, Software sector

ChatGPT TTPs:
do not use without manual check
T1059.007, T1070.004, T1078.004, T1102.001, T1105, T1195.001, T1528

IOCs:
File: 2

Languages:
typescript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Компрометация библиотеки Intercom TypeScript версии intercom-client@7.0.4 создает серьезную киберугрозу, использующую метод «скачать и выполнить» для развертывания ВПО, крадущего информацию, которая нацелена на учетные данные GitHub. Заражение начинается с хука preinstall, который запускает скрипт для загрузки среды выполнения, исполняющий полезную нагрузку, собирающую сохраненные учетные данные GitHub и ищущую в публичных сообщениях коммитов инструкции. Функция самодеструкции ВПО минимизирует обнаружение, позволяя злоумышленникам использовать украденные учетные данные для распространения дальнейших заражений среди пользователей.
-----

Недавняя компрометация библиотеки Intercom на TypeScript, в частности версии intercom-client@7.0.4, представляет собой серьезную киберугрозу, поскольку использует классическую модель «скачать и выполнить» для развертывания вредоносного ПО, крадущего информацию, предназначенного для сбора учетных данных GitHub. Этот шаблон атаки напоминает предыдущие инциденты Shai-Hulud, которые характеризуются червеобразным поведением, позволяющим распространяться за счет использования собранных учетных данных для дальнейшего заражения дополнительных пакетов npm. Учитывая значительную базу пользователей библиотеки, насчитывающую около 361 510 загрузок в неделю, существует повышенный риск массового заражения среди разработчиков, использующих этот пакет.

Механизм заражения начинается с того, что пользователи устанавливают скомпрометированную версию intercom-client, что запускает preinstall-хук, выполняющий скрипт setup.mjs. Этот скрипт отвечает за загрузку среды выполнения Bun с GitHub, которая затем запускает полезную нагрузку router_runtime.js. Эта полезная нагрузка предназначена для выполнения команды `gh auth token`, эффективно собирая сохраненные учетные данные GitHub из среды пользователя. Кроме того, ВПО опрашивает службу по адресу zero.masscan.cloud и использует публичный API поиска коммитов GitHub для работы в качестве резолвера мертвой почты. Оно ищет определенные строки в публичных сообщениях коммитов (в частности, "beautifulcastle" и "EveryBoiWeBuildIsAWormyBoi"), чтобы извлечь инструкции управления (C2), встроенные в репозиторий GitHub. Этот метод не только использует легитимные службы для обхода традиционного обнаружения C2 на сетевом уровне, но и демонстрирует сложность оперативных техник ВПО.

После выполнения вредоносного кода бинарный файл Bun удаляется сам, что направлено на минимизацию криминалистический анализ следов и усложнение усилий по обнаружению. Получив украденные учетные данные GitHub, злоумышленник может использовать их для заражения дополнительных страниц, продолжая цикл компрометация. В результате пользователям библиотеки Intercom TypeScript рекомендуется проверить свои учетные записи на наличие любой необычной активности и срочно изменить учетные данные, чтобы предотвратить возможную эксплуатацию.

#ParsedReport #CompletenessLow
30-04-2026

lightning PyPI Package Compromised in Supply Chain Attack

https://socket.dev/blog/lightning-pypi-package-compromised

Report completeness: Low

Actors/Campaigns:
Teampcp
Lapsus

Threats:
Supply_chain_technique
Credential_stealing_technique

Victims:
Software developers, Python artificial intelligence and machine learning environments, Open source software ecosystem

Industry:
Transport

ChatGPT TTPs:
do not use without manual check
T1027, T1059.007, T1105, T1132, T1195.001, T1567.001

IOCs:
File: 2

Languages:
javascript, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Пакет PyPI "lightning" версий 2.6.2 и 2.6.3 был скомпрометирован в ходе атаки на Цепочку поставок, которая развертывает ВПО для кражи учетных данных при импорте и автоматически выполняет JavaScript-полезную нагрузку без взаимодействия с пользователем. ВПО нацелено на конфиденциальную информацию, включая токены аутентификации и переменные окружения, и имеет потенциал для эксплуатации API GitHub с целью передачи украденных данных. Атакующие, связанные с группой под названием Team PCP, подозреваются в более широкой деятельности по вымогательству, хотя утверждения об их принадлежности остаются неподтвержденными.
-----

Пакет PyPI "lightning", в частности версии 2.6.2 и 2.6.3, был скомпрометирован в ходе атаки на цепочку поставок, которая развертывает ВПО для кражи учетных данных при импорте. Этот инцидент затрагивает широко используемый фреймворк для искусственного интеллекта и машинного обучения, и он получил признание за свое значительное воздействие, учитывая существенные показатели ежедневных и ежемесячных загрузок пакетов.

Вредоносные версии были обнаружены сканером на базе искусственного интеллекта всего через восемнадцать минут после их публикации 30 апреля 2026 года. Скомпрометированный пакет внедряет скрытую директорию _runtime, содержащую загрузчик, который выполняет JavaScript-пэйлод с именем "router_runtime.js". Этот пэйлод размером 11 МБ, подвергнутый обфускации для уклонения от обнаружения, запускается автоматически при импорте модуля и не требует взаимодействия с пользователем. Загрузчик специально настраивается через скрипт "start.py", который загружает среду выполнения JavaScript (Bun) с GitHub.

Вредоносное ПО работает через демон-поток, который подавляет вывод и демонстрирует различные поведения, связанные с кражей учетных данных. В частности, оно нацелено на конфиденциальные материалы, такие как токены аутентификации, переменные среды, репозитории и связанные с облаком секреты. Кроме того, вредоносное ПО может активировать эксплуатацию API GitHub, позволяя зафиксировать закодированные данные в репозитории с использованием украденных токенов. Также вредоносное ПО обладает возможностью заражать архивы пакетов NPM для разработчиков, усиливая свое потенциальное воздействие.

Начальный отчет в репозитории Lightning-AI на GitHub указывал на проблему, ссылаясь на атаку через цепочку поставок в версии 2.6.3, что подтверждало скрытую цепочку выполнения. Этот отчет позже был закрыт без дополнительных публичных комментариев, оставив вопросы вокруг реакции со стороны сопровождающих.

Атакующие, связанные с этим инцидентом, связаны с группой, якобы называемой Team PCP, утверждающей связи с более широкой деятельностью по вымогательству и утечке данных. Это утверждение упоминает ссылки на другие организации, такие как LAPSUS$, которая была указана как совместный участник этой операции. Однако достоверность этих утверждений, включая подлинность подписи PGP и реальные аффилиации, остается неподтвержденной. Во время этого инцидента также сообщалось о признаках потенциальной компрометации учетных записей разработчиков, что указывает на оппортунистическое брендинг или потенциальную попытку ложного флага со стороны атакующих. Расследования поведения ВПО, связей с крупномасштабными атаками на Цепочка поставок и последствий участия Team PCP продолжаются.

#ParsedReport #CompletenessHigh
30-04-2026

Rock, paper, scissors: a new toolkit in Paper Werewolf cluster attacks

https://bi.zone/expertise/blog/kamen-nozhnitsy-bumaga-novyy-instrumentariy-v-atakakh-klastera-paper-werewolf/

Report completeness: High

Actors/Campaigns:
Paper_werewolf

Threats:
Mythic_c2_tool
Papergrabber
Echogather
Vain1
Spear-phishing_technique
Process_injection_technique
Costura_tool

Victims:
Industrial enterprises, Financial enterprises, Transportation organizations, Russian organizations

Industry:
Transport

Geo:
Russian

TTPs:
Tactics: 10
Technics: 0

IOCs:
Domain: 8
File: 32
Command: 2
Registry: 4
Path: 3
Url: 12
Hash: 27

Soft:
Telegram, Yandex Browser, Chrome, Opera, Chromium, Node.js, Visual Studio

Algorithms:
zip, rsa-4096, aes, base64, md5

Win API:
HeapCreate, HeapAlloc, CreateThread, CreateProcessW, ReadFile, TerminateProcess, CopyFileW, MoveFileExW, RegEnumKeyExW, RegEnumValueW, have more...

Languages:
javascript, visual_basic, python

Platforms:
x64, x86