На публичной песочнице ANY RUN нашёл вредоносную кампанию, нацеленную на объекты критической информационной инфраструктуры РФ (в России сокращенно КИИ - это аналог наших КВОИКИ). Злоумышленники используют легитимные сервисы для доставки и классические трюки для маскировки.
Разбираем цепочку атаки:
1️⃣ Вектор доставки: Вредоносный архив с кричащим именем
Protokol_Prioretnoy_KVO.rar распространяется через публичные ссылки Облака Mail.ru.2️⃣ Дроппер (Rust): Внутри архива находится файл
Protokol_Prioretnoy_Proverki_Obektov_KVO_19.05.2026.pdf.exe. Это написанный на Rust дроппер, использующий трюк с двойным расширением и иконкой PDF-документа.3️⃣ Приманка (Decoy): При запуске дроппер открывает PDF-документ с ограничительной пометкой "ДСП"
4️⃣ Финальный пейлоад: На втором этапе разворачивается инфостилер (Infostealer), который маскируется под процесс
NXLog Community Edition.exe.5️⃣ C2 (Командный сервер): Для эксфильтрации собранных данных стилер использует Telegram API. Это позволяет вредоносному трафику сливаться с легитимными запросами к мессенджеру и обходить сетевые фильтры.
hxxps[://]cloud[.]mail[.]ru/public/RFLP/RVckpRqm1ed73908c65575cae4ae7debf232200569ff0d43cc02136108bcc9744240c3aa7#угрозы@qcakz #КВОИКИ #КИИ #Malware #ThreatIntel #Infostealer #Rust #CyberSecurity #IoC
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
❤8
Forwarded from CSIRT Central Asia
🚨 Обнаружен C2-сервер на территории Казахстана 🇰🇿
Специалисты CSIRT Central Asia зафиксировали на территории Республики Казахстан активный командный центр (C2), используемый злоумышленниками для управления вредоносным программным обеспечением.
Ниже приведены технические детали выявленного хоста для анализа и блокировки на стороне ваших средств защиты (SIEM, Firewall, EDR):
🔍 Технические индикаторы (IOCs)
* IP-адрес:
* Провайдер (ISP):
* Автономная система (ASN):
* Тип угрозы: Covenant C2 (инструментарий для пост-эксплуатации и управления .NET-агентами/Grunt)
* Репутация и анализ: Профиль IP на VirusTotal (https://www.virustotal.com/gui/ip-address/95.141.133.7/detection)
💡 Справка: Что такое Covenant C2?
🛡 Рекомендации по реагированию:
1. Блокировка трафика: Внесите указанный IP-адрес
2. Ретроспективный анализ: Проверьте сетевые журналы (NetFlow, прокси, DNS-запросы) вашей организации на предмет исходящих соединений к данному IP-адресу за последнее время.
3. Поиск хостовых аномалий: В случае обнаружения сетевых контактов с указанным адресом, проведите немедленный аудит конечной точки на наличие подозрительных процессов .NET и сетевых сессий.
Если вы обнаружили следы взаимодействия вашего периметра с данным C2, рекомендуем изолировать скомпрометированный хост и начать процедуру расследования инцидента.
Специалисты CSIRT Central Asia зафиксировали на территории Республики Казахстан активный командный центр (C2), используемый злоумышленниками для управления вредоносным программным обеспечением.
Ниже приведены технические детали выявленного хоста для анализа и блокировки на стороне ваших средств защиты (SIEM, Firewall, EDR):
🔍 Технические индикаторы (IOCs)
* IP-адрес:
95.141.133[.]7* Провайдер (ISP):
Jusan Mobile JSC* Автономная система (ASN):
AS35104* Тип угрозы: Covenant C2 (инструментарий для пост-эксплуатации и управления .NET-агентами/Grunt)
* Репутация и анализ: Профиль IP на VirusTotal (https://www.virustotal.com/gui/ip-address/95.141.133.7/detection)
💡 Справка: Что такое Covenant C2?
Covenant — это популярный среди атакующих (как Red Team, так и реальных киберпреступников) фреймворк совместной работы .NET. Он используется для управления скомпрометированными узлами сети через агентов (Grunt). С его помощью злоумышленники могут выполнять команды на зараженных машинах, осуществлять горизонтальное перемещение по сети (Lateral Movement) и похищать конфиденциальные данные.
🛡 Рекомендации по реагированию:
1. Блокировка трафика: Внесите указанный IP-адрес
95.141.133[.]7 в черный список на внешних сетевых шлюзах (Firewall/IPS).2. Ретроспективный анализ: Проверьте сетевые журналы (NetFlow, прокси, DNS-запросы) вашей организации на предмет исходящих соединений к данному IP-адресу за последнее время.
3. Поиск хостовых аномалий: В случае обнаружения сетевых контактов с указанным адресом, проведите немедленный аудит конечной точки на наличие подозрительных процессов .NET и сетевых сессий.
Если вы обнаружили следы взаимодействия вашего периметра с данным C2, рекомендуем изолировать скомпрометированный хост и начать процедуру расследования инцидента.
#C2 #Covenant #IOC #кибербезопасность #Казахстан #CSIRT_CA #угроза🔥10