⚡️ #ThreatIntel: Фишинг против структур НАТО, предположительная активность Mustang Panda (TA416)
В песочнице ANY[.]RUN обнаружен свежий образец высококлассной фишинговой атаки, направленной на военное представительство Греции при НАТО. По набору используемых тактик и техническим деталям эта кампания с высокой долей вероятности принадлежит APT-группировке #TA416 (#MustangPanda).
Детали цепочки заражения:
🎯 Жертва и приманка
Письмо было отправлено с замаскированного ящика Gmail под видом Постоянного представительства Черногории при НАТО. В качестве приманки использовался (поддельный?) отчет о брифинге «На пути к саммиту в Анкаре».
🌐 Доставка и маскировка
Ссылка ведет на сайт за Cloudflare. После прохождения фейковой проверки на робота жертва попадает на детальный клон интерфейса Google Drive, откуда скачивается вредоносный ZIP-архив.
⚙️ Хитрая цепочка запуска (Data Carving)
Внутри архива находится LNK-ярлык с иконкой PDF. При клике он запускает скрытую команду PowerShell, которая считывает сырые байты ZIP-файла, «вырезает» из него скрытый TAR-контейнер и распаковывает его с помощью встроенной в Windows утилиты tar.exe, обходя поведенческие фильтры EDR.
💉 DLL Side-Loading
Распаковывается классическое трио файлов:
▪️ CNMNSST.exe — легитимный файл от Canon.
▪️ CNCLID.dll — вредоносная библиотека-перехватчик.
▪️ Canon.dat — зашифрованная полезная нагрузка.
📡 Сетевая активность (C2)
Малварь сразу открывает в браузере качественный PDF-документ (приманку), пока в фоне скрытый поток отправляет HTTPS GET-запросы на командный сервер, маскируясь под трафик веб-аналитики с динамическими параметрами.
Индикаторы компрометации (IOCs)
Сетевая инфраструктура:
▪️ resources.babyafrosapparel[.]com (Фишинговый гейт)
▪️ drive.babyafrosapparel[.]com (Доставка пейлоада)
▪️ concreteinportland[.]com (C2 сервер)
Хэши файлов (MD5):
▪️ B791C416988D068A3E548A0F21CD3518 (LNK-ярлык)
▪️ c836a6bbe16354a21ee688e3eeb32d86 (Вредоносная DLL - CNCLID.dll)
▪️ e70a5908e5eaee1bcd15eef82b1bcfdd (Зашифрованный пейлоад - Canon.dat)
▪️ adb67ffe941a706b6343f94413f6e5f2 (Легитимный EXE Canon - CNMNSST.exe)
Артефакты письма:
▪️ Отправитель: stasa.stojkovic.mne@gmail[.]com
#Фишинг #MalwareAnalysis #ANYRUN
#ti@qcakz
В песочнице ANY[.]RUN обнаружен свежий образец высококлассной фишинговой атаки, направленной на военное представительство Греции при НАТО. По набору используемых тактик и техническим деталям эта кампания с высокой долей вероятности принадлежит APT-группировке #TA416 (#MustangPanda).
Детали цепочки заражения:
🎯 Жертва и приманка
Письмо было отправлено с замаскированного ящика Gmail под видом Постоянного представительства Черногории при НАТО. В качестве приманки использовался (поддельный?) отчет о брифинге «На пути к саммиту в Анкаре».
🌐 Доставка и маскировка
Ссылка ведет на сайт за Cloudflare. После прохождения фейковой проверки на робота жертва попадает на детальный клон интерфейса Google Drive, откуда скачивается вредоносный ZIP-архив.
⚙️ Хитрая цепочка запуска (Data Carving)
Внутри архива находится LNK-ярлык с иконкой PDF. При клике он запускает скрытую команду PowerShell, которая считывает сырые байты ZIP-файла, «вырезает» из него скрытый TAR-контейнер и распаковывает его с помощью встроенной в Windows утилиты tar.exe, обходя поведенческие фильтры EDR.
💉 DLL Side-Loading
Распаковывается классическое трио файлов:
▪️ CNMNSST.exe — легитимный файл от Canon.
▪️ CNCLID.dll — вредоносная библиотека-перехватчик.
▪️ Canon.dat — зашифрованная полезная нагрузка.
📡 Сетевая активность (C2)
Малварь сразу открывает в браузере качественный PDF-документ (приманку), пока в фоне скрытый поток отправляет HTTPS GET-запросы на командный сервер, маскируясь под трафик веб-аналитики с динамическими параметрами.
Индикаторы компрометации (IOCs)
Сетевая инфраструктура:
▪️ resources.babyafrosapparel[.]com (Фишинговый гейт)
▪️ drive.babyafrosapparel[.]com (Доставка пейлоада)
▪️ concreteinportland[.]com (C2 сервер)
Хэши файлов (MD5):
▪️ B791C416988D068A3E548A0F21CD3518 (LNK-ярлык)
▪️ c836a6bbe16354a21ee688e3eeb32d86 (Вредоносная DLL - CNCLID.dll)
▪️ e70a5908e5eaee1bcd15eef82b1bcfdd (Зашифрованный пейлоад - Canon.dat)
▪️ adb67ffe941a706b6343f94413f6e5f2 (Легитимный EXE Canon - CNMNSST.exe)
Артефакты письма:
▪️ Отправитель: stasa.stojkovic.mne@gmail[.]com
#Фишинг #MalwareAnalysis #ANYRUN
#ti@qcakz
❤3👍1