Forwarded from Порвали два трояна
Обзор threat landscape за второй квартал:
⏺APT и общие наблюдения
⏺статистика атак на ПК
⏺статистика мобильных угроз.
APT Tropic Trooper/KeyBoy/PiratePanda проводит новые кибератаки против госучреждений на Ближнем Востоке. При этом применяются общедоступные ИТ-инструменты, популярное среди китайских APT ВПО вроде веб-шелла ChinaChopper и вариации бэкдора Crowdoor. Вектором начального проникновения являются известные уязвимости.
Тем временем APT Earth Luca усложнила свой набор инструментов и теперь применяет мультиплатформенный обфусцированный бэкдор KLTVdor, написанный на Golang. Исследователи называют атаку масштабной — идентифицировано около 50 серверов C2.
Интересный разбор кибершпионажа за военно-промышленным комплексом Тайваня. Угадайте источник атак с одного раза.
Cloudflare опубликовали обзор и научную работу по поводу частоты и методики различных попыток нарушить интернет-соединение. До 20% мировых соединений преждевременно обрываются по разным причинам: от интернет-цензуры до блокировок операторов на ограниченных и бесплатных тарифах.
#новости #APT #дайджест @П2Т
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4🔥2
Forwarded from Порвали два трояна
ВПО Hadooken атакует Linux-серверы Oracle Weblogic через подбор паролей, устанавливает ВПО Tsunami и криптомайнер.
В странах Центральной Азии замечен банковский Android-троянец Ajina. Он активно распространяется через партнёрскую программу и весьма вероятно получит популярность и в других регионах.
#новости #APT @П2Т
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Порвали два трояна
Вредоносные QR-коды теперь и в почте: жителям Швейцарии прислали бумажные письма, якобы от местного метеорологического агентства, с предложением установить новое погодное приложение. По ссылке раздавали банкер Coper.
#новости #дайджест #APT @П2Т
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2
Компания #ESET отслеживает #APT кампании кибершпионажа от i-SOON (Anxun) как #FishMonger, которая использует характерные для китайских хакерских группировок инструменты #ShadowPad, #Spyder и #SodaMaster.
К счастью, лоадеры последнего были загружены на #Malware Bazaar, что позволило мне их скачать и просмотреть. В целом, ничего особенного, традиционно используется DLL Side Loading вкупе со сложной цепочкой запуска: DllEntryPoint => dllmain_dispatch => DllMain => %Changing execution flow of legitimate signed EXE% => ServiceMain => ThreadStartAddress.
Кроме того, вредоносная программа использует технику Process Hollowing и недокументированную функцию NtCreateThreadEx в попытке обойти средства защиты информации.
Жаль, что ESET не смогли извлечь сами пейлоады (они хранятся на диске отдельно от лоадера в зашифрованном виде), было бы интересно взглянуть на их код, чтобы понять используемые техники.
К счастью, лоадеры последнего были загружены на #Malware Bazaar, что позволило мне их скачать и просмотреть. В целом, ничего особенного, традиционно используется DLL Side Loading вкупе со сложной цепочкой запуска: DllEntryPoint => dllmain_dispatch => DllMain => %Changing execution flow of legitimate signed EXE% => ServiceMain => ThreadStartAddress.
Кроме того, вредоносная программа использует технику Process Hollowing и недокументированную функцию NtCreateThreadEx в попытке обойти средства защиты информации.
Жаль, что ESET не смогли извлечь сами пейлоады (они хранятся на диске отдельно от лоадера в зашифрованном виде), было бы интересно взглянуть на их код, чтобы понять используемые техники.
👍5🔥3🤡1
Forwarded from s0ld13r ch. (s0ld13r)
WMIHACKER 2.0 CAME BACK 👾
WMIHACKER 2.0 — бэкдор построенный как модульный C2 через WMI/DCOM. В исследовании будем разбирать его архитектуру, примеры применения в Red Team/Adversary Emulation операциях и детекты🛡
Фичей инструмента является использование ресурсов атакуемой инфраструктуры, как С2. Т.е вооружение уже скомпрометированных хостов на этапе закрепления🇵🇰
В посте я еще разобрал отличие симметричной и ассиметричной С2 инфраструктуры, описал принцип работы бэкдора через кастомные ICMP ECHO запросы и коммуникацию с С2. Приятного чтения!😘
Вдохновение подчерпнул из поста @ThreatHuntingFather про цепочку атаки АРТ группировки EARTH KURMA🦔
🔗 Link: https://www.s0ld13r.kz/posts/wmihacker-2.0/
5️⃣ Repo: https://github.com/s0ld13rr/WMIHACKER
P.S Сделано для Red Team и ресерча. Не для зла — для понимания🙏
#RedTeam #APT #Research
🧢 s0ld13r
WMIHACKER 2.0 — бэкдор построенный как модульный C2 через WMI/DCOM. В исследовании будем разбирать его архитектуру, примеры применения в Red Team/Adversary Emulation операциях и детекты
Фичей инструмента является использование ресурсов атакуемой инфраструктуры, как С2. Т.е вооружение уже скомпрометированных хостов на этапе закрепления
В посте я еще разобрал отличие симметричной и ассиметричной С2 инфраструктуры, описал принцип работы бэкдора через кастомные ICMP ECHO запросы и коммуникацию с С2. Приятного чтения!
Вдохновение подчерпнул из поста @ThreatHuntingFather про цепочку атаки АРТ группировки EARTH KURMA
🔗 Link: https://www.s0ld13r.kz/posts/wmihacker-2.0/
P.S Сделано для Red Team и ресерча. Не для зла — для понимания
#RedTeam #APT #Research
Please open Telegram to view this post
VIEW IN TELEGRAM
❤2👍1
Forwarded from SecuriXy.kz
🧬 Plague - стелс PAM-бэкдор для Linux.
Исследователи Nextron раскрыли продвинутый бэкдор Plague, внедряющийся в PAM-цепочку Linux и дающий невидимый SSH-доступ без логов, без истории команд, с жёстко заданными паролями.
📌 Особенности:
- маскируется под pam_unix.so, pam_loginuid.so;
- сбрасывает SSH_CLIENT, HISTFILE, очищает следы;
- полностью переживает обновления системы;
- нулевой детект на VirusTotal годами.
🧪 Методы обнаружения:
🚩 IoC (SHA256)
📍 Проверь /etc/pam.d/sshd на подключение посторонних .so
📍 Отслеживай входы без логов, пустую историю, неизвестные PAM-модули.
⚠️ Уязвимы те, кто уже был скомпрометирован. Это APT-инструмент, а не эксплойт в ядре.
🔗 Подробности: nextron-systems.com
#Linux #Security #APT #Plague #Backdoor #PAM #Securixy
✅ check_plague.sh (универсальный чек)
Исследователи Nextron раскрыли продвинутый бэкдор Plague, внедряющийся в PAM-цепочку Linux и дающий невидимый SSH-доступ без логов, без истории команд, с жёстко заданными паролями.
📌 Особенности:
- маскируется под pam_unix.so, pam_loginuid.so;
- сбрасывает SSH_CLIENT, HISTFILE, очищает следы;
- полностью переживает обновления системы;
- нулевой детект на VirusTotal годами.
🧪 Методы обнаружения:
grep pam_ /etc/pam.d/sshd
find /lib* /usr/lib* -name "pam_*.so" -exec sha256sum {} \;
strings /lib*/security/pam_*.so | grep -Ei "unsetenv|HISTFILE|gcc"
🚩 IoC (SHA256)
3fa1a707be16fd1d64d063215f169a063a6478f41e3e7bfa7d1f5569e7723ce5
c3600c376c5c3573d7a6460cd8cb871e24a4ed3f63e503296c02b447fd87711d
d2f82e8c9fc44a9f48e0bde7603c69ea2a4006c8f6a168d8edc5c7d1578d39e3
📍 Проверь /etc/pam.d/sshd на подключение посторонних .so
📍 Отслеживай входы без логов, пустую историю, неизвестные PAM-модули.
⚠️ Уязвимы те, кто уже был скомпрометирован. Это APT-инструмент, а не эксплойт в ядре.
🔗 Подробности: nextron-systems.com
#Linux #Security #APT #Plague #Backdoor #PAM #Securixy
✅ check_plague.sh (универсальный чек)
#!/bin/bash
echo "🔍 Проверка на PAM-бэкдор Plague..."
# IoC по хешам
ioc_hashes=(
"3fa1a707be16fd1d64d063215f169a063a6478f41e3e7bfa7d1f5569e7723ce5"
"c3600c376c5c3573d7a6460cd8cb871e24a4ed3f63e503296c02b447fd87711d"
"d2f82e8c9fc44a9f48e0bde7603c69ea2a4006c8f6a168d8edc5c7d1578d39e3"
)
# Временные файлы
tmp_hashes=$(mktemp)
tmp_strings=$(mktemp)
# 1. Поиск pam_*.so и хеш-сравнение
find /lib* /usr/lib* -name "pam_*.so" -exec sha256sum {} \; > "$tmp_hashes"
found_ioc_hash=""
for h in "${ioc_hashes[@]}"; do
if grep -q "$h" "$tmp_hashes"; then
found_ioc_hash=$h
break
fi
done
# 2. Проверка /etc/pam.d/sshd на кастомные модули
pam_line=$(grep -E 'pam_.*\.so' /etc/pam.d/sshd | grep -vE 'pam_(unix|env|nologin|motd|limits|permit).so')
# 3. Поиск строк в pam_*.so
strings /lib*/security/pam_*.so 2>/dev/null | grep -Ei 'unsetenv|HISTFILE|gcc' > "$tmp_strings"
# 4. Вывод результата
echo
if [[ -n "$found_ioc_hash" ]]; then
echo "⚠️ Обнаружен вредоносный PAM-модуль (IoC: $found_ioc_hash)"
elif [[ -n "$pam_line" ]]; then
echo "⚠️ Внимание: в /etc/pam.d/sshd найден нестандартный модуль:"
echo "$pam_line"
elif [[ -s "$tmp_strings" ]]; then
echo "⚠️ Подозрительные строки внутри PAM-модулей:"
cat "$tmp_strings"
else
echo "✅ Plague: не обнаружен"
fi
# Очистка
rm -f "$tmp_hashes" "$tmp_strings"
🔥5❤1
Forwarded from BELYAEV_SECURITY
🛰 Что вообще произошло
🧬 Новая биология Tomiris: малварь как конструктор
📡 C2 через публичные сервисы
🏛 Госорганы под прицелом
🎣 Фишинг 2025: не «Поздравляем, вы выиграли айфон»
📧 Очень целевой spear-phishing
- Пересмотреть правила фильтрации и мониторинга трафика к публичным сервисам: Telegram, Discord и другим платформам должна сопутствовать поведенческая аналитика, а не «заведомое доверие» по домену.
- Усилить контроль почты для привилегированных и чувствительных подразделений: строгие политики вложений, песочницы для офисных файлов и изоляция потенциально опасного контента.
- Централизовать логирование и аномалитику по рабочим станциям сотрудников, внешнеполитических и регуляторных органов, где подобные атаки наиболее вероятны.
#кибербезопасность #APT #Tomiris #инфобез_для_своих #SOC_в_истерике
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍4❤3🔥2
🚨 Новая кампания с вредоносными XLL-файлами
Фиксируется распространение вредоносных надстроек Excel (имеют расширение XLL и иконку MS Excel, но по факту это PE32 DLL🚩 ). Злоумышленники используют социальную инженерию, маскируя файлы под отбор объяснительной от 👮♀️ 🚨 .
⚙️ Детали исполнения:
Атакующие используют технику загрузки легитимного окружения. Загрузчик скачивает официальный архив Node.js v22.16.0, распаковывает его в
🕵️♂️ Атрибуция:
Наблюдаются значительные сходства с группировкой HeartlessSoul (подробнее: https://securelist.ru/tr/heartlesssoul-campaign-javascript-rat/115376/).
🔬 Анализ в ANY RUN: https://app.any.run/tasks/235232dd-177a-480b-93a6-b95bd3ea2629 (отдельное им спасибо, что шейрят сэмплы)
IOCs:
🌐 Network:
📄 Loaders (MD5):
📦 Payload (MD5):
#ThreatIntel #XLL #HeartlessSoul #Malware #APT
Фиксируется распространение вредоносных надстроек Excel (имеют расширение XLL и иконку MS Excel, но по факту это PE32 DLL
⚙️ Детали исполнения:
Атакующие используют технику загрузки легитимного окружения. Загрузчик скачивает официальный архив Node.js v22.16.0, распаковывает его в
AppData\Local\nodejs, прописывает пути и использует легитимный node.exe для загрузки и выполнения JavaScript-пейлоада с удаленного сервера.🕵️♂️ Атрибуция:
Наблюдаются значительные сходства с группировкой HeartlessSoul (подробнее: https://securelist.ru/tr/heartlesssoul-campaign-javascript-rat/115376/).
🔬 Анализ в ANY RUN: https://app.any.run/tasks/235232dd-177a-480b-93a6-b95bd3ea2629 (отдельное им спасибо, что шейрят сэмплы)
IOCs:
🌐 Network:
hxxps[:]//theoryviraleliminate[.]com/3da439a5bef462fahxxps[:]//theoryviraleliminate[.]com/?cid=3da439a5bef462fa📄 Loaders (MD5):
1c507591246e5d7dfab64d972ba8139b6653a7339e64fe6c98feba94380a7bc6e07ce67fc21f87fa301c7c3a4a416c22📦 Payload (MD5):
7300832837842224336503A33CBD8215#ThreatIntel #XLL #HeartlessSoul #Malware #APT
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5
🎯 Целевая кибератака на структуры Минобороны РФ (ВАИ)
На ANY[.]RUN загружен свежий вредоносный образец, нацеленный на Вооруженные силы РФ. В качестве вектора используется классический фишинг с маскировкой под официальный документ от Военной автомобильной инспекции (ВАИ).
Как устроена атака:
1. Жертве подсовывают 7-Zip SFX-архив
2. При запуске архив распаковывает два файла: легитимную приманку
3. Документ-приманка (см. скриншот) представляет собой якобы телеграмму Начальникам ВАИ (территориальных) Центрального и Московского военных округов касательно сроков действия и оформления служебных паспортов военнослужащих до мая-декабря 2026 года.
Технические детали:
В ходе отладки пейлоада выявлено создание мьютекса
Индикаторы компрометации (IoCs):
Хэши (MD5):
C&C:
dezinsekciya-top[.]ru:443
ahmetgurses[.]net:443
94.232.248[.]34:443
194.190.153[.]182:443
Мьютекс:
#CyberSecurity #CTI #ThreatIntelligence #MalwareAnalysis #ReverseEngineering #InfoSec #APT #CyberWar
На ANY[.]RUN загружен свежий вредоносный образец, нацеленный на Вооруженные силы РФ. В качестве вектора используется классический фишинг с маскировкой под официальный документ от Военной автомобильной инспекции (ВАИ).
Как устроена атака:
1. Жертве подсовывают 7-Zip SFX-архив
исх1051_от_20.04.2026_сл паспорт.exe с иконкой PDF-файла.2. При запуске архив распаковывает два файла: легитимную приманку
Vppq.pdf и обфусцированный вредоносный пейлоад Baresl.exe.3. Документ-приманка (см. скриншот) представляет собой якобы телеграмму Начальникам ВАИ (территориальных) Центрального и Московского военных округов касательно сроков действия и оформления служебных паспортов военнослужащих до мая-декабря 2026 года.
Технические детали:
В ходе отладки пейлоада выявлено создание мьютекса
301525677, а также процедура расшифровки строк, содержащих адреса управляющих (C&C) серверов.Индикаторы компрометации (IoCs):
Хэши (MD5):
509F19417E20A960A031B9B4F0676E54 - исх1051_от_20.04.2026_сл паспорт.exe (дроппер)66F3E59650EC2CC430EF4CE2F82A448B - Vppq.pdf (приманка)29D8E6D9FB9C7775C54247832AE5B3A6 - Baresl.exe (пейлоад)C&C:
dezinsekciya-top[.]ru:443
ahmetgurses[.]net:443
94.232.248[.]34:443
194.190.153[.]182:443
Мьютекс:
301525677#CyberSecurity #CTI #ThreatIntelligence #MalwareAnalysis #ReverseEngineering #InfoSec #APT #CyberWar
❤9
🔥 Новый сэмпл APT-Q-27: Легитимные подписи и DLL Side-Loading
Обнаружен свежий образец китайской группировки APT-Q-27, демонстрирующий классические техники обхода средств защиты (Defense Evasion).
Как устроена цепочка атаки:
1. Дроппер с подписью: Вредонос подписан валидной цифровой подписью компании «广州栩冠科技有限公司» (на данный момент сертификат не отозван). Дроппер стучится на C2, забирает список дополнительных модулей и обрабатывает их в зависимости от расширения.
2. DLL Side-Loading через Tencent: Для выполнения основного пейлоада атакующие используют уязвимость DLL Side-Loading в легитимном исполняемом файле, который подписан доверенным сертификатом «Tencent Technology (Shenzhen) Company Limited».
Использование доверенного софта от Tencent позволяет вредоносу успешно маскироваться в процессах и обходить базовые EDR/AV-решения.
📊 Индикаторы компрометации (IoCs):
Хэши (MD5):
Управляющие серверы (C2):
#ThreatIntel #APT #MalwareAnalysis #SideLoading
P.S. Я напоминаю о том, что у меня есть аккаунт в X, буду рад видеть вас в качестве читателей там - https://x.com/askardyuss
Обнаружен свежий образец китайской группировки APT-Q-27, демонстрирующий классические техники обхода средств защиты (Defense Evasion).
Как устроена цепочка атаки:
1. Дроппер с подписью: Вредонос подписан валидной цифровой подписью компании «广州栩冠科技有限公司» (на данный момент сертификат не отозван). Дроппер стучится на C2, забирает список дополнительных модулей и обрабатывает их в зависимости от расширения.
2. DLL Side-Loading через Tencent: Для выполнения основного пейлоада атакующие используют уязвимость DLL Side-Loading в легитимном исполняемом файле, который подписан доверенным сертификатом «Tencent Technology (Shenzhen) Company Limited».
Использование доверенного софта от Tencent позволяет вредоносу успешно маскироваться в процессах и обходить базовые EDR/AV-решения.
📊 Индикаторы компрометации (IoCs):
Хэши (MD5):
8838DF7298ABF4D4312648E2EE80BDEE — EXE Dropper (подписанный)C0ACA5DFBBFCB1C9796B3D974B1EE78B — DLL Loader (подписанный)1D1808686DBF36138F3067C34566D627 — DAT Payload130FBE74FEA31B30B59B071CCF22BF68 — Легитимный файл Tencent (подписанный)Управляющие серверы (C2):
hxxps[:]//storage.googleapis[.]com/snapshothelper/he.txthxxp://api.keensie[.]com:5198/#ThreatIntel #APT #MalwareAnalysis #SideLoading
P.S. Я напоминаю о том, что у меня есть аккаунт в X, буду рад видеть вас в качестве читателей там - https://x.com/askardyuss
🔥5
🚨 Разбор кибератаки на российский ВПК: Возможный след Rare Werewolf ✈️🛰
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
IP-адреса:
Хэши:
MD5:
MD5:
SHA-256:
#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
aviatronika[.]onlinevniir-avia[.]spacefgub-vniir[.]spacevniir-info[.]spacenova-stream[.]siteIP-адреса:
198.54.120[.]13194.87.57[.]812.23.88[.]201145.224.101[.]166Хэши:
MD5:
eabd440c996846d0992e37ab01d01208 (Dropper)MD5:
6cc3c68c56e099792fdeadde76256d56 (Payload RAR)SHA-256:
f57e010541fb4ccbf23aefc4a827f753a6ff3f8792d9c04c3eea83f6963c6bae (Payload RAR)#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
🚨 Новая кампания против организаций в Кыргызстане: анализ малвари из песочницы
В песочнице ANY.RUN был обнаружен свежий вредоносный архив, нацеленный на государственные или коммерческие структуры Кыргызстана. Злоумышленники используют классическую схему с документом-приманкой и скрытым бэкдором.
📦 Содержимое архива:
1. «Приложение.pdf» — легитимный документ (краткий статистический справочник Национального статистического комитета Кыргызской Республики, изданный в Бишкеке). Используется для усыпления бдительности.
2. «Исправленная версия документа.exe» — вредоносный файл, маскирующийся под обновление или исправление документа.
🔍 Технический анализ:
Исполняемый файл представляет собой 64-битную утилиту, собранную в Visual Studio 2022 и упакованную с помощью PyInstaller (версия Python 3.13).
После распаковки архива с помощью
• Бэкдор стучится на C2-сервер по пути
• Раз в 10 секунд запускается цикл опроса (polling) сервера.
• Передаваемые команды исполняются в системе через скрытый командный интерпретатор (
• Результат выполнения команды отправляется обратно на сервер в формате JSON.
• Предусмотрена команда самоликвидации
🌐 Инфраструктура и атрибуция:
Управляющий сервер (C2) расположен по адресу:
📌 Индикаторы компрометации (IoCs):
• Вредоносный EXE (MD5):
• Документ-приманка PDF (MD5):
• Сетевой C2-сервер:
#ThreatIntel #Malware #APT
#ti@qcakz
В песочнице ANY.RUN был обнаружен свежий вредоносный архив, нацеленный на государственные или коммерческие структуры Кыргызстана. Злоумышленники используют классическую схему с документом-приманкой и скрытым бэкдором.
📦 Содержимое архива:
1. «Приложение.pdf» — легитимный документ (краткий статистический справочник Национального статистического комитета Кыргызской Республики, изданный в Бишкеке). Используется для усыпления бдительности.
2. «Исправленная версия документа.exe» — вредоносный файл, маскирующийся под обновление или исправление документа.
🔍 Технический анализ:
Исполняемый файл представляет собой 64-битную утилиту, собранную в Visual Studio 2022 и упакованную с помощью PyInstaller (версия Python 3.13).
После распаковки архива с помощью
pyinstxtractor и декомпиляции основного скрипта (exec.pyc) был обнаружен лаконичный, но опасный HTTP-бэкдор. Логика его работы следующая:• Бэкдор стучится на C2-сервер по пути
/connect и получает уникальный токен сессии.• Раз в 10 секунд запускается цикл опроса (polling) сервера.
• Передаваемые команды исполняются в системе через скрытый командный интерпретатор (
subprocess.Popen, shell=True).• Результат выполнения команды отправляется обратно на сервер в формате JSON.
• Предусмотрена команда самоликвидации
killbot для завершения работы.🌐 Инфраструктура и атрибуция:
Управляющий сервер (C2) расположен по адресу:
65.38.120[.]129[:]5556 (провайдер BL Networks, Румыния). Специфика выбранной приманки и характер исполнения указывают на возможную активность целевой кибершпионской группировки (suspected APT).📌 Индикаторы компрометации (IoCs):
• Вредоносный EXE (MD5):
80fbb8ed636178d30b1a3a864cd1f231• Документ-приманка PDF (MD5):
048de81368e46adf9dd12df7278f7821• Сетевой C2-сервер:
65.38.120[.]129[:]5556#ThreatIntel #Malware #APT
#ti@qcakz
❤4🔥1
🚨 Свежий ThreatIntel: Анализ скрытной малвари, нацеленной на пакистанских военных 🇵🇰
В публичном доступе песочницы ANY.RUN был обнаружен примечательный образец, нацеленный на оборонный сектор и военных Пакистана 🇵🇰. Характер приманки и технические особенности сборки указывают на активность неизвестной APT группировки, которая успешно совмещает старые методы обхода систем защиты с продвинутыми инструментами компиляции для проведения целевого кибершпионажа.
📬 Документ-приманка
В качестве вектора первоначального заражения используется вредоносный файл справки (CHM). При его открытии жертве демонстрируется структурированный служебный документ, содержащий детальные графики и планы участия пакистанских военных ведомств и предприятий ВПК в международных оборонных выставках. Тематика приманки однозначно указывает на то, что главной мишенью атаки являются пакистанские военные структуры.
⚙️ Технический анализ цепочки выполнения
1. Обход через ActiveX: Внутри HTML-структуры CHM-файла зашит лаконичный JavaScript-скрипт, автоматически вызывающий встроенный элемент управления
2. Компиляция Nuitka: Дропнутый EXE-файл защищен упаковщиком Nuitka (в режиме OneFile). Этот инструмент переводит исходный код Python в код на Си, после чего компилирует его в полноценные машинные инструкции. Стандартные декомпиляторы Python здесь абсолютно бессильны.
3. Анатомия полезной нагрузки: Распаковка окружения выявила ключевой компонент вредоноса —
Разработчики вредоносного ПО приложили серьезные усилия для усложнения статического реверса, выбрав в качестве мишени оборонные ведомства и военную инфраструктуру.
🔍 Индикаторы компрометации (IOCs)
• Файл-приманка CHM:
• Загрузчик Nuitka EXE:
• Полезная нагрузка DLL:
#ThreatIntel #Малварь #Реверсинжиниринг #APT #Кибербезопасность #Пакистан
#ti@qcakz
В публичном доступе песочницы ANY.RUN был обнаружен примечательный образец, нацеленный на оборонный сектор и военных Пакистана 🇵🇰. Характер приманки и технические особенности сборки указывают на активность неизвестной APT группировки, которая успешно совмещает старые методы обхода систем защиты с продвинутыми инструментами компиляции для проведения целевого кибершпионажа.
📬 Документ-приманка
В качестве вектора первоначального заражения используется вредоносный файл справки (CHM). При его открытии жертве демонстрируется структурированный служебный документ, содержащий детальные графики и планы участия пакистанских военных ведомств и предприятий ВПК в международных оборонных выставках. Тематика приманки однозначно указывает на то, что главной мишенью атаки являются пакистанские военные структуры.
⚙️ Технический анализ цепочки выполнения
1. Обход через ActiveX: Внутри HTML-структуры CHM-файла зашит лаконичный JavaScript-скрипт, автоматически вызывающий встроенный элемент управления
HHCTRL.OCX с командой ShortCut. Это позволяет скрытно запустить исполняемый EXE-файл, находящийся в той же директории, в момент открытия справки.2. Компиляция Nuitka: Дропнутый EXE-файл защищен упаковщиком Nuitka (в режиме OneFile). Этот инструмент переводит исходный код Python в код на Си, после чего компилирует его в полноценные машинные инструкции. Стандартные декомпиляторы Python здесь абсолютно бессильны.
3. Анатомия полезной нагрузки: Распаковка окружения выявила ключевой компонент вредоноса —
client_exe.dll. Для реализации своих функций малварь использует нативные модули _wmi.pyd (сбор информации о системе и проверка на песочницы) и _ctypes.pyd (для прямых низкоуровневых вызовов Windows API). В директории криптографических модулей также обнаружены следы библиотек, написанных на Rust, что усложняет анализ сетевого трафика и конфигурации.Разработчики вредоносного ПО приложили серьезные усилия для усложнения статического реверса, выбрав в качестве мишени оборонные ведомства и военную инфраструктуру.
🔍 Индикаторы компрометации (IOCs)
• Файл-приманка CHM:
9CBE5D435F63E16B85BCA1F8C6EA4A9B• Загрузчик Nuitka EXE:
37B7AABFAD89345AACE02C294AB940EC• Полезная нагрузка DLL:
422E4A3F1C69FF834DFC4688E8893716#ThreatIntel #Малварь #Реверсинжиниринг #APT #Кибербезопасность #Пакистан
#ti@qcakz
1👍5
Forwarded from CSIRT Central Asia
🇰🇿 UAT-6275 / Silent Lynx: кибершпионаж против госорганов Центральной Азии
Cisco Talos вместе с Recorded Future (у них группа идёт как TAG-193) опубликовали разбор группировки UAT-6275. Её интерес сосредоточен на ЦА и СНГ, и, по оценке исследователей, группа сама, скорее всего, связана с Казахстаном (уверенность средняя). На это указывают русскоязычные артефакты, тестовые загрузки малвари из KZ сразу после компиляции и коммиты на GitHub, которые ложатся в рабочие часы по UTC+5.
🎯 Кого атакуют. В выборке 9 стран: Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Цели — МИДы, министерства экономики, сельского хозяйства и экологии, а также водные ресурсы и энергетика.
• Активность в госорганизации Таджикистана зафиксировали сразу после переговоров по договору с Казахстаном в марте 2026 года.
• Атакован проект Smart Forestry в Узбекистане.
• В качестве приманки использовали письмо о сотрудничестве «Туркменнебит» с Орским НПЗ. Этот завод поставляет нефтепродукты в Казахстан.
• Среди приманок есть темы саммита «Китай — Центральная Азия».
🛠 Как заходят (июнь 2025 — 2026):
• A: Word-документы с макросами.
• B: загрузчики, собранные через PS2EXE, с закреплением через планировщик задач.
• C: ярлык LNK запускает PowerShell-скрипт, который лежит на GitHub.
• D: архив RAR с эксплойтом WinRAR CVE-2025-8088, который кладёт PickleShell в автозагрузку.
В качестве нагрузки идут лёгкие реверс-шеллы Chvost, Laplas и PickleShell. На инфраструктуре группы нашли инструменты под Linux и PoC для FortiWeb CVE-2025-25257, так что следующими целями могут стать периметровые устройства.
😅 Где прокололись. Три открытые staging-директории и репозиторий на GitHub с историей коммитов позволили увидеть, как группа разрабатывает малварь и меняет C2.
🧩 Группа пересекается с Silent Lynx, YoroTrooper, Tomiris, ShadowSilk и Cavalry Werewolf, то есть это один большой региональный кластер.
🛡 Что делать защитникам в ЦА:
• Обновить WinRAR.
• Отслеживать PowerShell, который скачивает что-то с GitHub и других публичных сервисов.
• Следить за новыми scheduled tasks и изменениями в папке Startup.
• Проверить и пропатчить FortiWeb.
• Подтянуть IOC из репозитория Talos.
🔗 https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/
#APT #CentralAsia #Kazakhstan #SilentLynx #ThreatIntel
Cisco Talos вместе с Recorded Future (у них группа идёт как TAG-193) опубликовали разбор группировки UAT-6275. Её интерес сосредоточен на ЦА и СНГ, и, по оценке исследователей, группа сама, скорее всего, связана с Казахстаном (уверенность средняя). На это указывают русскоязычные артефакты, тестовые загрузки малвари из KZ сразу после компиляции и коммиты на GitHub, которые ложатся в рабочие часы по UTC+5.
🎯 Кого атакуют. В выборке 9 стран: Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Цели — МИДы, министерства экономики, сельского хозяйства и экологии, а также водные ресурсы и энергетика.
• Активность в госорганизации Таджикистана зафиксировали сразу после переговоров по договору с Казахстаном в марте 2026 года.
• Атакован проект Smart Forestry в Узбекистане.
• В качестве приманки использовали письмо о сотрудничестве «Туркменнебит» с Орским НПЗ. Этот завод поставляет нефтепродукты в Казахстан.
• Среди приманок есть темы саммита «Китай — Центральная Азия».
🛠 Как заходят (июнь 2025 — 2026):
• A: Word-документы с макросами.
• B: загрузчики, собранные через PS2EXE, с закреплением через планировщик задач.
• C: ярлык LNK запускает PowerShell-скрипт, который лежит на GitHub.
• D: архив RAR с эксплойтом WinRAR CVE-2025-8088, который кладёт PickleShell в автозагрузку.
В качестве нагрузки идут лёгкие реверс-шеллы Chvost, Laplas и PickleShell. На инфраструктуре группы нашли инструменты под Linux и PoC для FortiWeb CVE-2025-25257, так что следующими целями могут стать периметровые устройства.
😅 Где прокололись. Три открытые staging-директории и репозиторий на GitHub с историей коммитов позволили увидеть, как группа разрабатывает малварь и меняет C2.
🧩 Группа пересекается с Silent Lynx, YoroTrooper, Tomiris, ShadowSilk и Cavalry Werewolf, то есть это один большой региональный кластер.
🛡 Что делать защитникам в ЦА:
• Обновить WinRAR.
• Отслеживать PowerShell, который скачивает что-то с GitHub и других публичных сервисов.
• Следить за новыми scheduled tasks и изменениями в папке Startup.
• Проверить и пропатчить FortiWeb.
• Подтянуть IOC из репозитория Talos.
🔗 https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/
#APT #CentralAsia #Kazakhstan #SilentLynx #ThreatIntel
🔥4