Человек утверждает, что бесплатный смартфон к тарифу Beeline оформляется как кредит (рассрочка). Кроме того того, в комментариях отмечают, что "кредит" выдаётся от микрофинансовой организации ❤️. Сами понимаете, как это отражается на вашей кредитной истории.. ➕

Ссылка на трэд: https://www.threads.com/@016aea/post/DZN_adRiJBK

Подтверждений этому у меня нет. Кто-то уже брал этот смартфон? Отпишитесь в комментариях.. 👇🏻

☄️ Новый вектор атаки APT-Q-27 (DragonBreath): Google Storage и угнанные сертификаты безопасности ‼️

На публичной песочнице ANY.RUN нашёл свежий семпл, связанный с группировкой APT-Q-27 (также известной как DragonBreath или Golden Eye Dog 🔍). Примечательно, что семпл был первоначально загружен на VirusTotal из Малайзии (MY), что в очередной раз подтверждает фокус группировки на Юго-Восточной Азии.

Джугурмеки 🥸 продолжают активно прокачивать техники обхода защиты, комбинируя облачную инфраструктуру и классические трюки. Вот как выглядит актуальная цепочка заражения:

🥇 Stage 1: Первичный лоадер
Атака начинается с обфусцированного .NET-загрузчика. Он подписан *отозванным* сертификатом на физическое лицо «Shi Hu» (вряд ли член этой APT группы). Чтобы усложнить статический анализ, лоадер не содержит в себе полезной нагрузки. Вместо этого он обращается к Google Storage, скачивает текстовый файл с листингом (le.txt) и выполняет пейлоады в зависимости от их расширения.

🥈 Stage 2: Классический DLL Side-Loading
Данные, которые подтягиваются из облака, реализуют старую добрую схему DLL Side-loading: легитимный EXE-файл тянет за собой вредоносную библиотеку и зашифрованный бинарник. Прямо как PlugX.

🥉 Stage 3: Распаковка финального пейлоада
Подгруженная библиотека DataPlugin.dll (подписанная еще одним отозванным сертификатом - «Lenovo United States») содержит простую процедуру дешифровки для файла lecco.dat. После расшифровки lecco.dat превращается в полноценный RAT (Remote Access Trojan), готовый к закреплению и работе с C2-сервером.

💡 Takeaway: Использование легитимных облачных сервисов в связке с отозванными сертификатами - рабочий метод злоумышленников для обхода Mark-of-the-Web (MotW) и корпоративных EDR-решений.

📌 Индикаторы компрометации (IoCs):
🔗 URL: hxxps[://]storage[.]googleapis[.]com/lecoos/le[.]txt
🔹 Loader (MD5): 6c3dabe4770a64b8adbd0f7cecf7e204
🔹 Malicious DLL - DataPlugin.dll (MD5): 42fe3b56300da1f15f2a442394a902ee
🔹 Encrypted payload - lecco.dat (MD5): 7047f9ae33243fa3ae227464cf227a6e
🔹 Decrypted RAT (MD5): 8c926955b11c6fc0db2647a790026257

P.S. У меня есть аккаунт в Twitter'е, там я в последнее время пишут как независимый исследователь - буду рад видеть вас среди своих читателей!

➡️ https://x.com/askardyuss 🛃

#угрозы@qcakz

☄️ Атака на российскую КИИ: Rust-дроппер под видом протоколов проверок и Облако Mail.ru ‼️

На публичной песочнице ANY RUN нашёл вредоносную кампанию, нацеленную на объекты критической информационной инфраструктуры РФ (в России сокращенно КИИ - это аналог наших КВОИКИ). Злоумышленники используют легитимные сервисы для доставки и классические трюки для маскировки.

Разбираем цепочку атаки: 👇

1️⃣ Вектор доставки: Вредоносный архив с кричащим именем Protokol_Prioretnoy_KVO.rar распространяется через публичные ссылки Облака Mail.ru.
2️⃣ Дроппер (Rust): Внутри архива находится файл Protokol_Prioretnoy_Proverki_Obektov_KVO_19.05.2026.pdf.exe. Это написанный на Rust дроппер, использующий трюк с двойным расширением и иконкой PDF-документа.
3️⃣ Приманка (Decoy): При запуске дроппер открывает PDF-документ с ограничительной пометкой "ДСП" 👮‍♀️, чтобы усыпить бдительность жертвы, пока в фоне идет заражение.
4️⃣ Финальный пейлоад: На втором этапе разворачивается инфостилер (Infostealer), который маскируется под процесс NXLog Community Edition.exe.
5️⃣ C2 (Командный сервер): Для эксфильтрации собранных данных стилер использует Telegram API. Это позволяет вредоносному трафику сливаться с легитимными запросами к мессенджеру и обходить сетевые фильтры.

📌 Индикаторы компрометации (IoCs):
🔗 URL: hxxps[://]cloud[.]mail[.]ru/public/RFLP/RVckpRqm1
✏️ Rust Dropper (MD5): ed73908c65575cae4ae7debf23220056
✏️ Infostealer / NXLog (MD5): 9ff0d43cc02136108bcc9744240c3aa7

#угрозы@qcakz #КВОИКИ #КИИ #Malware #ThreatIntel #Infostealer #Rust #CyberSecurity #IoC