Домен keden-kgd-gov[.]kz приостановлен регистратурой - поставлен на serverHold.

#ThreatIntel: Анализируя дампы на ANY[.]RUN обнаружил подозрительный EML-файл, содержащий целевую фишинговую атаку против турецкого оборонного гиганта Baykar Technology (производитель БПЛА Bayraktar).

Данный инцидент представляет собой критический кейс #VendorEmailCompromise (VEC) и компрометации цепочки поставок (#SupplyChain).

🎯 Взлом легитимного домена партнера:
Вредоносные письма рассылались с домена aviaventures[.]net. Это реальный легитимный домен компании Avia Ventures — официального партнера Baykar, строящего завод по сборке беспилотников в Украине. Поскольку технические проверки SPF, DKIM и DMARC дали статус PASS, это полностью исключает подделку имени (spoofing). Атакующие получили контроль над почтовой инфраструктурой партнера, что позволило им перехватывать реальные цепочки писем (Thread Hijacking) с максимальным уровнем доверия со стороны жертвы.

⚙️ Технический #АнализМалвари и цепочки заражения:

1️⃣ Обход песочниц (Sandbox Evasion): Жертве присылают ссылку на запароленный ZIP-архив на LimeWire. Внутри находится VBS-скрипт, искусственно «раздутый» комментариями до 6.14 МБ. Это сделано для обхода автоматических систем анализа (песочниц), которые часто пропускают файлы крупнее 5 МБ ради сохранения производительности.

2️⃣ Закрепление (Persistence): Деобфусцированный VBS запускает скрытый PowerShell-агент. Он копирует себя в %APPDATA%\Microsoft\Vault\sync_agent.ps1 (мимикрия под системное хранилище учетных данных) и прописывается в автозагрузку текущего пользователя (HKCU\...\Run) под именем WindowsUpdateSync.

3️⃣ Интерактивный бэкдор (RAT): Финальный PowerShell-агент генерирует уникальный UID устройства и каждые 5 секунд запрашивает задачи с C2-сервера. Малварь поддерживает полноценный Reverse Shell (выполнение любых команд), просмотр директорий (ls), точечную кражу файлов (grab) и автоматический сбор документов пользователя.

🚨 Индикаторы компрометации (IoCs):

• Скомпрометированный домен партнера: aviaventures[.]net
• IP почтового сервера партнера: 37[.]77[.]29[.]120
• Ссылка на архив: hxxps[:]//limewire[.]com/d/iCJG8#UKQoAFZKPG
• URL C2-сервера (Stager): hxxp[:]//181[.]215[.]18[.]89/hurry[.]ps1
• URL документа-приманки: hxxps[:]//filesdownloadsecurely[.]netlify[.]app/letter[.]pdf
• Хэш VBS-даунлоадера (MD5): E030A7A1AE5685E62879D522F2DB2104
• Хэш VBS-бэкдора (MD5): C0376786BD41F9851554000A15E5AB15

Рекомендуется провести оперативный Threat Hunting на конечных точках на наличие ключа реестра WindowsUpdateSync и заблокировать трафик к указанному IP-адресу C2.

#ti@qcakz

Судя по всему на URL hxxps://almaty-deti-indigo[.]kz/Docxzfillzs/index.html размещается фронтэнд фишинг-кита для кражи паролей доступа.

Имхо, взламывать медицинские организации, а, тем более, детские центры, для киберпреступника зашквар.. Тьфу!

Домен ai-nitec[.]kz приостановлен - регистратура поставила его на serverHold.

#угрозы@qcakz

Оп-па, а я не запрашивал. Я дома нахожусь. 🙄

Чрезвычайное оповещение

Информация о бедствии (Предупреждение о лесном пожаре) #GoogleCrisisResponse https://share.google/wd4h11eB4u4iiz1lf

Оказывается в Казахстане заблокирован доступ к сервису https://share.google из-за чего не получается уведомить людей об опасной ситуации природного характера, обнаруженного аналитикой Google.

Доказательство: https://ping-admin.com/free_test/result/178221175211jya6311b3vp9q31j6z5.html

Болеем за 🇺🇿 🥳

Нашёл интересный отчет, где описывается кибератака на оборонный сектор Украины, связанный с поставками БПЛА. Бэкдор (MD5 16a59e1fece21ca5394a8ec9ea596fec) вначале обращается к веб-страницу Telegram-канала (предпросмотр доступен из веб) и декодирует из его описания адрес C&C-сервера. Интересное это то, что сервер, судя по IP-адресу, находится в Казахстане (на скриншоте).

Детально про атаку можете почитать в самом отчёте:

https://blog.synapticsystems.de/ghostshell-mb-0009-targeting-ukraines-uav-operations-and-defense-supply-chain/

Фишинговый ресурс, мимикрирующий то ли под ЕНПФ, то ли под eGov.

i-enpf[.]kz

#угрозы@qcakz

Распаковал третий файл Canon.dat - там был и PDF-приманка, и EXE-пейлоад.

Последний загрузил на VirusTotal, соответствующий ему md5: 41f9450bba235c37d40cd0315c1013cf

Благодаря открытости казахстанского правосудия смог ознакомиться с материалами уголовного дела в отношении бывших бывших вице-министров и руководителя Первого кредитного бюро. Мне самому это было интересно, так как во время работы в ГТС косвенно был ознакомлен с некоторыми материалами.

Так вот, помимо злоупотребления должностными полномочиями и получения взятки, в обвинительном акте фигурирует факт создания, использования или распространения вредоносных программ в отношении КВОИКИ (см. на скриншоте ст. 210 ч. 2 п.п. 3). В деле помимо высокопоставленных квазичиновников фигурируют Б. и Д. - им вменяют только киберпреступление. Из документов непонятна их роль в этом деле, возможно, появятся позже материалы или же журналисты что-то раскопают.

Я думаю это самое громкое киберпреступление в истории Казахстана - интересно то, что его раскрыл АФМ, а не КНБ. Постараюсь следить за ходом дела.

Снова вспомнил про это дело, Сафронов в апелляции, в целом, проиграл, но приговор немного изменили в его пользу.

В связи с тем, что ПО Softswitch MVTS признано вредоносным, я планирую написать заявление об уголовном преследовании компании, разработавшей этот продукт. Тем более, раз это компания, то это группа лиц по предварительному сговору, получается?

А то Сафронова признали виновным за использование вредоносных программ, а его создали гуляют на свободе. Это нужно исправить.