#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В июле 2025 года вредоносная кампания с использованием вредоносного ПО BumbleBee применяла Отравление поисковой оптимизации (SEO) для доставки троянизированных установщиков, выполняя загрузчик первого этапа, который устанавливал связь с C2. Злоумышленник повышал привилегии и выполнял перемещение внутри компании с использованием RDP, развертывая инструменты для сбора учетных записей и эксфильтрации данных, в конечном итоге передав более 75 ГБ конфиденциальных данных. Операция привела к развертыванию ransomware Akira, используя передовые техники уклонения, боковую загрузку DLL и сетевые сканирования для достижения обширного контроля над целевой средой.
-----

В июле 2025 года вредоносная кампания BumbleBee нацелилась на пользователей через Отравление поисковой оптимизации (SEO), в частности используя поддельный сайт, маскирующийся под ManageEngine OpManager. Жертвы скачали троянизированный MSI-установщик, который выполнил загрузчик первого этапа BumbleBee (msimg32.dll) через боковую загрузку DLL. Этот первоначальный доступ установил связь управления (C2) с инфраструктурой, контролируемой злоумышленником. Вскоре после этого, примерно через пять часов после заражения, актор развернул AdgNsy.exe — переименованную утилиту Windows Address Book, встроенную с shellcode AdaptixC2, что обеспечило постоянную связь C2 и обширную разведку внутренней сети.

Злоумышленник повысил привилегии, создав доменные учетные записи с правами Enterprise Admin и развернув RustDesk на нескольких серверах. В течение трех дней они осуществляли перемещение внутри компании с использованием RDP, атаковали контроллеры домена и резервные серверы, собирали конфиденциальные данные с помощью строгих тактик сбора учетных записей и использовали такие инструменты, как wbadmin.exe, для выгрузки файла NTDS.dit, содержащего учетные данные активного каталога. Они применяли различные техники для обхода защиты, включая использование обратного SSH-туннеля для проксирования трафика RDP и применение смешанного регистра для обфускации командной строки.

Эксфильтрация данных осуществлялась с использованием FileZilla, которое актор, вероятно, внедрил через буфер обмена RDP, что позволило передать более 75 ГБ конфиденциальных данных, включая файловые шары и конфигурации SYSVOL, на сервер в Украине. Инцидент завершился развертыванием ransomware Akira примерно через 44 часа после первоначального доступа, при этом использовался бинарный файл locker.exe для шифрования ресурсов домена и дочернего домена, а затем инициировалось удаление теневых копий тома через WMI.

В ходе этой операции вредоносное ПО BumbleBee продемонстрировало сложные методы перемещения внутри компании и сбора данных, используя команды из утилит Windows и выполняя сетевые сканирования с помощью таких инструментов, как SoftPerfect Network Scanner. Фреймворк управления (command-and-control) AdaptixC2 обеспечивал устойчивую связь, одновременно облегчая злоумышленникам возможность для перемещения внутри компании и выполнения удаленных команд, что оказало значительное влияние на целевую среду.

Вектор нагрузки продемонстрировал продвинутые тактики подгрузки DLL и возможности внедрения кода в процессы для обхода обнаружения, одновременно используя встроенные системные утилиты и скрипты PowerShell для сбора информации о системе и развертывания дополнительных инструментов. Этот детальный анализ указывает на скоординированную и скрытую кибератаку, которая объединила различные методы атаки для достижения широкого сетевого доступа и контроля над данными, что в итоге привело к развертыванию программы-вымогателя.

#ParsedReport #CompletenessLow
02-07-2026

Branded Gambling Campaigns: How Scammers Are Exploiting Trusted Brand Names to Drive Casino Traffic

https://www.netcraft.com/blog/branded-gambling-campaigns-how-scammers-are-exploiting-trusted-brands

Report completeness: Low

Victims:
Consumers, Financial institutions, Retail, Streaming services, Lottery, Gambling

Industry:
Financial, Entertainment, Game_industry, Retail

Geo:
Spanish, Australia, Canadian, Irish, German

ChatGPT TTPs:
do not use without manual check
T1036, T1204.001, T1583.001

IOCs:
Domain: 12

Soft:
Google Play, Instagram, TikTok

Platforms:
apple

Links:
https://github.com/netcraft

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники используют известные названия брендов для создания обманных рекламных объявлений, которые направляют трафик на мошеннические сайты онлайн-казино. Пользователи сталкиваются с вводящими в заблуждение объявлениями на таких платформах, как Facebook и Instagram, которые ведут на поддельные целевые страницы, имитирующие доверенные бренды. Эти страницы продвигают прогрессивное веб-приложение (PWA), которое выглядит правдоподобно, но перенаправляет пользователей на платформу для ставок, предназначенную для извлечения средств, при этом мошенники получают выгоду от партнерской модели, основанной на вводящих в заблуждение ассоциациях с брендами и поддельных отзывах.
-----

Рассматриваемая кампания демонстрирует, как злоумышленники используют известные бренды для создания вводящих в заблуждение рекламных объявлений, направленных на привлечение трафика на мошеннические сайты онлайн-казино. Потребители сталкиваются с платными объявлениями на таких платформах, как Facebook и Instagram, которые ложно заявляют о партнерстве или предложениях от доверенных брендов, таких как банки и розничные торговцы. При нажатии на эти объявления пользователи перенаправляются на поддельные целевые страницы, имитирующие брендинг компаний, таких как Monzo, Tesco или Netflix, где представлены сфабрикованные отзывы или продукты, например, вымышленная игра в онлайн-слоты.

Попав на эти целевые страницы, пользователи убеждаются в том, что получают доступ к легитимным приложениям, однако на самом деле они устанавливают прогрессивное веб-приложение (PWA) вместо традиционных приложений. Это PWA действует как ярлык на домашнем экране пользователя, содержащий логотип имитируемого бренда. При открытии PWA загружает сайт для азартных игр, настроенный злоумышленниками, сохраняя при этом иллюзию легитимного брендового приложения. Использование параметров отслеживания аффилированных лиц как внутри PWA, так и в URL-адресах казино указывает на то, что бизнес-модель злоумышленника строится на привлечении пользователей такими обманными способами, при этом модели выплат, по сообщениям, варьируются от 50 до 350 долларов за каждого клиента, внесшего депозит.

Рекламные объявления и целевые страницы характеризуются нарастающими уровнями имперсонации брендов, используя поддельные записи в магазинах приложений, которые имитируют страницы Google Play или Apple App Store. В этих подделках злоумышленники создают фиктивные записи с вводящими в заблуждение рейтингами и отзывами, якобы для повышения доверия. Имена доменов для целевых страниц часто используют неопределенные или случайные комбинации слов, снижая вероятность обнаружения стандартными механизмами борьбы с мошенничеством.

Конечная цель — склонить пользователей к регистрации и внесению средств на связанных онлайн-казино, которые представляют собой функциональные игровые платформы, но не используют прямую Имперсонацию бренда. Мошенники используют узнаваемое брендовое оформление, чтобы ввести пользователей в заблуждение и вызвать доверие, необходимое для эксплуатации. Кампания демонстрирует закрепление и адаптивность злоумышленников в использовании партнерских моделей для извлечения прибыли из неосведомленных потребителей, при этом индикаторы компрометации, связанные с этими усилиями, задокументированы в открытых репозиториях для дальнейшего мониторинга и смягчения последствий.

#ParsedReport #CompletenessLow
06-07-2026

The Email Auth Was Green. The Image Still Carried Malware.

https://www.codeaintel.com/p/the-email-auth-was-green-the-image

Report completeness: Low

Threats:
Spear-phishing_technique

TTPs:

ChatGPT TTPs:
do not use without manual check
T1027, T1027.009, T1566.001

IOCs:
Hash: 2

Algorithms:
md5, sha256

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, table: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Дело IRONSCALES выявило уязвимость в безопасности электронной почты, где вредоносное ПО было скрыто во встроенных изображениях, таких как файлы PNG, обойдя стандартные проверки аутентификации (SPF, DKIM, DMARC). Этот инцидент соответствует техникам MITRE ATT&CK T1566.001 (Целевой фишинг с вложениями) и T1027 (зашифрованные полезная нагрузка), подчеркивая необходимость более тщательной проверки содержимого за пределами аутентификации отправителя. Дело демонстрирует важность критического анализа содержимого полезной нагрузки электронной почты, а не полагаться исключительно на меры аутентификации.
-----

Случай IRONSCALES демонстрирует существенную уязвимость в безопасности электронной почты, которая позволяет скрыть ВПО внутри кажущихся безобидными встроенных изображений, таких как файлы PNG. Несмотря на то, что письмо прошло проверки на соответствие SPF, DKIM и DMARC — стандартным мерам аутентификации, встроенная вредоносная нагрузка смогла обойти эти защиты. Это демонстрирует критический пробел в практике проверки содержимого, поскольку обнаружение угроз должно фокусироваться на доставляемом содержимом, а не только на аутентификации отправителя.

Специфическая техника, примененная в этом инциденте, соответствует фреймворку MITRE ATT&CK, в частности T1566.001, относящейся к целевому фишингу с вложением, и T1027, касающейся обфусцированных или встраиваемых полезных нагрузок. Такое сопоставление подчеркивает насущную необходимость усиления протоколов проверки, которые будут глубже анализировать содержимое полезной нагрузки, а не полагаться исключительно на метки аутентификации. Обнаружение таких угроз требует не только внимания к легитимности домена отправителя, но и тщательного анализа структур файлов, содержащихся в сообщении.

Важно отметить необходимость человеческого контекста при работе с этими потенциальными угрозами. Хотя не каждая странность в электронном письме должна восприниматься как злонамеренная, любое трение в доставке контента должно вызывать дополнительную проверку. Этот случай демонстрирует, что легитимные домены не следует блокировать исключительно на основе изолированных инцидентов передачи ВПО через аутентифицированные каналы. Аналогично, он предостерегает от обобщенной оценки, которая рассматривает все встроенные изображения как угрозы, подчеркивая, что DMARC не должен просто служить приговором безопасности содержимого письма.

#ParsedReport #CompletenessLow
06-07-2026

When checking the URL isn’t enough: a Device Code Phishing attack via a Microsoft website

https://securelist.com/microsoft-device-code-phishing-attack/120350/

Report completeness: Low

Threats:
Device_code_phishing_technique

Victims:
Enterprise users

Industry:
Media, Iot

Geo:
Brazil, Brazilian

ChatGPT TTPs:
do not use without manual check
T1027.013, T1528, T1566.001, T1566.002, T1656

IOCs:
Email: 1

Soft:
Microsoft Entra, Azure AD

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавняя фишинг-кампания использовала Device Authorization Grant OAuth 2.0, нацеливаясь на пользователей через электронные письма, которые выглядели как от юридической фирмы, и направляя их на поддельный портал, имитирующий корпоративный сайт. Злоумышленники манипулировали потоком аутентификации, используя легитимные URL-адреса для перенаправления жертв, тем самым эффективно скрывая свои вредоносные намерения. Этот развивающийся подход демонстрирует сдвиг в тактике, включая нацеливание на конкретные регионы и отказ от вложений в пользу встроенных ссылок, что усложняет обнаружение.
-----

В ходе недавней фишинг-кампании, использующей платформу Microsoft Identity Platform, злоумышленники эксплуатировали механизм Device Authorization Grant спецификации OAuth 2.0, который в основном применяется для упрощения входа на устройства с ограниченными возможностями ввода. Эта схема позволяет пользователям аутентифицировать такие устройства, как смарт-телевизоры или IoT-гаджеты, путем ввода пользовательского кода на вторичном устройстве. В рамках вредоносной кампании использовались фишинговые письма, замаскированные под уведомления от юридической фирмы, которые содержали PDF-файл, защищенный паролем. Вместо традиционного фишингового домена PDF-файлы содержали ссылки на легитимный URL-адрес Microsoft, который перенаправлял пользователей на поддельный портал, имитирующий корпоративный юридический сайт.

Когда пользователи инициируют этот процесс аутентификации, они запрашивают код авторизации на сервере Microsoft, отправляя POST-запрос к указанному URL. В ответе содержатся критические параметры, такие как device_code, user_code и verification_uri, которые направляют пользователей на завершение аутентификации на другом устройстве. Злоумышленники манипулировали этими взаимодействиями, перенаправляя жертв через легитимные платформы, которые функционировали исключительно как прокси для вредоносных конечных точек, тем самым маскируя свои фишинг-активности. В одном из случаев злоумышленники использовали cacoo.com, надежную платформу для создания диаграмм, для перенаправления пользователей, продемонстрировав усовершенствованный подход к эксплуатации открытых перенаправлений для фишинг-атак.

Методология этих атак оказалась адаптивной, с заметным смещением в сторону целевых атак на конкретные географические регионы, такие как Бразилия. Последующие фишинговые попытки отказались от вложений и стали полагаться на встроенные ссылки, что вновь подчеркивает постоянно меняющийся ландшафт угроз. Эта стратегия указывает на серьезную проблему, при которой злоумышленники используют легитимные сервисы, усложняя обнаружение и увеличивая вероятность кражи учетных данных без традиционного развертывания ВПО.

Для снижения рисков, связанных с фишингом через Device Code, пользователям рекомендуется сохранять бдительность и избегать одобрения подозрительных запросов на аутентификацию. Следует проявлять осторожность даже тогда, когда ссылки, по-видимому, ведут на доверенные домены, поскольку злоумышленники часто добавляют параметры перенаправления к легитимным URL-адресам для достижения своих целей. Организациям дополнительно рекомендуется оценивать необходимость Device Code Flow в своей инфраструктуре, потенциально отключая его с помощью Политики условного доступа. Усиленный мониторинг событий входа и обеспечение соответствия устройств, наряду с надежными мерами безопасности электронной почты, необходимы для защиты от таких сложных атак фишинга.