Компания #ESET отслеживает #APT кампании кибершпионажа от i-SOON (Anxun) как #FishMonger, которая использует характерные для китайских хакерских группировок инструменты #ShadowPad, #Spyder и #SodaMaster.
К счастью, лоадеры последнего были загружены на #Malware Bazaar, что позволило мне их скачать и просмотреть. В целом, ничего особенного, традиционно используется DLL Side Loading вкупе со сложной цепочкой запуска: DllEntryPoint => dllmain_dispatch => DllMain => %Changing execution flow of legitimate signed EXE% => ServiceMain => ThreadStartAddress.
Кроме того, вредоносная программа использует технику Process Hollowing и недокументированную функцию NtCreateThreadEx в попытке обойти средства защиты информации.
Жаль, что ESET не смогли извлечь сами пейлоады (они хранятся на диске отдельно от лоадера в зашифрованном виде), было бы интересно взглянуть на их код, чтобы понять используемые техники.
К счастью, лоадеры последнего были загружены на #Malware Bazaar, что позволило мне их скачать и просмотреть. В целом, ничего особенного, традиционно используется DLL Side Loading вкупе со сложной цепочкой запуска: DllEntryPoint => dllmain_dispatch => DllMain => %Changing execution flow of legitimate signed EXE% => ServiceMain => ThreadStartAddress.
Кроме того, вредоносная программа использует технику Process Hollowing и недокументированную функцию NtCreateThreadEx в попытке обойти средства защиты информации.
Жаль, что ESET не смогли извлечь сами пейлоады (они хранятся на диске отдельно от лоадера в зашифрованном виде), было бы интересно взглянуть на их код, чтобы понять используемые техники.
👍5🔥3🤡1
Forwarded from Похек (Сергей Зыбнев)
MacSync Stealer: Как подписанное Apple приложение обходит Gatekeeper
#macos #malware #stealer #gatekeeper #cybersecurity
➡️ Как это работает?
Вредонос распространяется под видом установщика мессенджера
1. Обход Gatekeeper: Приложение подписано легитимным (уже отозванным) Apple Developer ID (GNJLS3UYZ4) и нотариально заверено. Gatekeeper видит валидную подпись и не показывает никаких страшных окон. Пользователь спокоен.
2. Загрузка полезной нагрузки: После запуска приложение, написанное на Swift, проверяет доступ в интернет и незаметно скачивает с C2-сервера (
3. Исполнение: Скрипт сохраняется в
❗️ Эволюция угрозы
Раньше подобные стиллеры требовали от пользователя ручных действий (перетащить скрипт в терминал, вставить команду). Теперь всё автоматизировано. Это показывает, что авторы малвари становятся хитрее и профессиональнее. А с приходом AI атаки становятся проще, масштабнее и иногда быстрее.
😉 Apple уже отозвала сертификат, но это не мешает атакующим получить новый и повторить атаку. Техника остаётся рабочей.
🔗 Источник
🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK
#macos #malware #stealer #gatekeeper #cybersecurity
Думали, что Gatekeeper и нотаризация Apple — это непробиваемая стена? Как бы не так. Новый вариант стилера MacSync показывает, что даже "проверенное" приложение может оказаться трояном, который система macOS с радостью пропустит без единого предупреждения.
Вредонос распространяется под видом установщика мессенджера
zk-call-messenger-installer-3.9.2-lts.dmg. Жертва скачивает, монтирует образ и запускает приложение. И тут начинается самое интересное:1. Обход Gatekeeper: Приложение подписано легитимным (уже отозванным) Apple Developer ID (GNJLS3UYZ4) и нотариально заверено. Gatekeeper видит валидную подпись и не показывает никаких страшных окон. Пользователь спокоен.
2. Загрузка полезной нагрузки: После запуска приложение, написанное на Swift, проверяет доступ в интернет и незаметно скачивает с C2-сервера (
gatemaden.space) вторую стадию — обфусцированный zsh-скрипт.3. Исполнение: Скрипт сохраняется в
/tmp/runner, с него снимается атрибут карантина, и он запускается. Этот скрипт — и есть сам стилер, который работает в памяти, воруя пароли, куки и данные из Keychain.Раньше подобные стиллеры требовали от пользователя ручных действий (перетащить скрипт в терминал, вставить команду). Теперь всё автоматизировано. Это показывает, что авторы малвари становятся хитрее и профессиональнее. А с приходом AI атаки становятся проще, масштабнее и иногда быстрее.
Please open Telegram to view this post
VIEW IN TELEGRAM
1😱2
На публичной песочнице ANY RUN нашёл вредоносную кампанию, нацеленную на объекты критической информационной инфраструктуры РФ (в России сокращенно КИИ - это аналог наших КВОИКИ). Злоумышленники используют легитимные сервисы для доставки и классические трюки для маскировки.
Разбираем цепочку атаки:
1️⃣ Вектор доставки: Вредоносный архив с кричащим именем
Protokol_Prioretnoy_KVO.rar распространяется через публичные ссылки Облака Mail.ru.2️⃣ Дроппер (Rust): Внутри архива находится файл
Protokol_Prioretnoy_Proverki_Obektov_KVO_19.05.2026.pdf.exe. Это написанный на Rust дроппер, использующий трюк с двойным расширением и иконкой PDF-документа.3️⃣ Приманка (Decoy): При запуске дроппер открывает PDF-документ с ограничительной пометкой "ДСП"
4️⃣ Финальный пейлоад: На втором этапе разворачивается инфостилер (Infostealer), который маскируется под процесс
NXLog Community Edition.exe.5️⃣ C2 (Командный сервер): Для эксфильтрации собранных данных стилер использует Telegram API. Это позволяет вредоносному трафику сливаться с легитимными запросами к мессенджеру и обходить сетевые фильтры.
hxxps[://]cloud[.]mail[.]ru/public/RFLP/RVckpRqm1ed73908c65575cae4ae7debf232200569ff0d43cc02136108bcc9744240c3aa7#угрозы@qcakz #КВОИКИ #КИИ #Malware #ThreatIntel #Infostealer #Rust #CyberSecurity #IoC
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
❤8
🚨 Новая кампания с вредоносными XLL-файлами
Фиксируется распространение вредоносных надстроек Excel (имеют расширение XLL и иконку MS Excel, но по факту это PE32 DLL🚩 ). Злоумышленники используют социальную инженерию, маскируя файлы под отбор объяснительной от 👮♀️ 🚨 .
⚙️ Детали исполнения:
Атакующие используют технику загрузки легитимного окружения. Загрузчик скачивает официальный архив Node.js v22.16.0, распаковывает его в
🕵️♂️ Атрибуция:
Наблюдаются значительные сходства с группировкой HeartlessSoul (подробнее: https://securelist.ru/tr/heartlesssoul-campaign-javascript-rat/115376/).
🔬 Анализ в ANY RUN: https://app.any.run/tasks/235232dd-177a-480b-93a6-b95bd3ea2629 (отдельное им спасибо, что шейрят сэмплы)
IOCs:
🌐 Network:
📄 Loaders (MD5):
📦 Payload (MD5):
#ThreatIntel #XLL #HeartlessSoul #Malware #APT
Фиксируется распространение вредоносных надстроек Excel (имеют расширение XLL и иконку MS Excel, но по факту это PE32 DLL
⚙️ Детали исполнения:
Атакующие используют технику загрузки легитимного окружения. Загрузчик скачивает официальный архив Node.js v22.16.0, распаковывает его в
AppData\Local\nodejs, прописывает пути и использует легитимный node.exe для загрузки и выполнения JavaScript-пейлоада с удаленного сервера.🕵️♂️ Атрибуция:
Наблюдаются значительные сходства с группировкой HeartlessSoul (подробнее: https://securelist.ru/tr/heartlesssoul-campaign-javascript-rat/115376/).
🔬 Анализ в ANY RUN: https://app.any.run/tasks/235232dd-177a-480b-93a6-b95bd3ea2629 (отдельное им спасибо, что шейрят сэмплы)
IOCs:
🌐 Network:
hxxps[:]//theoryviraleliminate[.]com/3da439a5bef462fahxxps[:]//theoryviraleliminate[.]com/?cid=3da439a5bef462fa📄 Loaders (MD5):
1c507591246e5d7dfab64d972ba8139b6653a7339e64fe6c98feba94380a7bc6e07ce67fc21f87fa301c7c3a4a416c22📦 Payload (MD5):
7300832837842224336503A33CBD8215#ThreatIntel #XLL #HeartlessSoul #Malware #APT
Please open Telegram to view this post
VIEW IN TELEGRAM
❤5
Через сервис ANY[.]RUN обнаружил вредоносный репозиторий на GitHub для распространения малвари, которая нацелена на пользователей из Колумбии 🇨🇴.
Дроппер при запуске он выполняет проверку системной локали и языка (LCID). Если малварь обнаруживает признаки 🇷🇺 или 🇧🇾 окружения, то процесс заражения прерывается. В связи с этим, у меня возникает вопрос: "А чего нету 🇰🇿 , 🇰🇬 , 🇺🇿, 🇹🇯 и 🇹🇲?!"
📌 Индикаторы компрометации (IOCs):
🌐 Репозиторий:
📡 C2:
📦 Droppers:
💣 Payload:
#ThreatIntel #Malware #ReverseEngineering #ANYRUN
Дроппер при запуске он выполняет проверку системной локали и языка (LCID). Если малварь обнаруживает признаки 🇷🇺 или 🇧🇾 окружения, то процесс заражения прерывается. В связи с этим, у меня возникает вопрос: "А чего нету 🇰🇿 , 🇰🇬 , 🇺🇿, 🇹🇯 и 🇹🇲?!"
📌 Индикаторы компрометации (IOCs):
🌐 Репозиторий:
hxxps://github[.]com/ricardofonseca2132-lang/res289/📡 C2:
remanso00399[.]ydns[.]eu📦 Droppers:
d3633daf56134b32ec3aee1daa84f3f3d4be86eb4bd8d84693e710dbf09a6401💣 Payload:
ef7cc12f17e522e126ae8a9b3f6f962e#ThreatIntel #Malware #ReverseEngineering #ANYRUN
❤6😁1
🚨 Разбор кибератаки на российский ВПК: Возможный след Rare Werewolf ✈️🛰
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
IP-адреса:
Хэши:
MD5:
MD5:
SHA-256:
#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
aviatronika[.]onlinevniir-avia[.]spacefgub-vniir[.]spacevniir-info[.]spacenova-stream[.]siteIP-адреса:
198.54.120[.]13194.87.57[.]812.23.88[.]201145.224.101[.]166Хэши:
MD5:
eabd440c996846d0992e37ab01d01208 (Dropper)MD5:
6cc3c68c56e099792fdeadde76256d56 (Payload RAR)SHA-256:
f57e010541fb4ccbf23aefc4a827f753a6ff3f8792d9c04c3eea83f6963c6bae (Payload RAR)#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
🚨 Новая кампания против организаций в Кыргызстане: анализ малвари из песочницы
В песочнице ANY.RUN был обнаружен свежий вредоносный архив, нацеленный на государственные или коммерческие структуры Кыргызстана. Злоумышленники используют классическую схему с документом-приманкой и скрытым бэкдором.
📦 Содержимое архива:
1. «Приложение.pdf» — легитимный документ (краткий статистический справочник Национального статистического комитета Кыргызской Республики, изданный в Бишкеке). Используется для усыпления бдительности.
2. «Исправленная версия документа.exe» — вредоносный файл, маскирующийся под обновление или исправление документа.
🔍 Технический анализ:
Исполняемый файл представляет собой 64-битную утилиту, собранную в Visual Studio 2022 и упакованную с помощью PyInstaller (версия Python 3.13).
После распаковки архива с помощью
• Бэкдор стучится на C2-сервер по пути
• Раз в 10 секунд запускается цикл опроса (polling) сервера.
• Передаваемые команды исполняются в системе через скрытый командный интерпретатор (
• Результат выполнения команды отправляется обратно на сервер в формате JSON.
• Предусмотрена команда самоликвидации
🌐 Инфраструктура и атрибуция:
Управляющий сервер (C2) расположен по адресу:
📌 Индикаторы компрометации (IoCs):
• Вредоносный EXE (MD5):
• Документ-приманка PDF (MD5):
• Сетевой C2-сервер:
#ThreatIntel #Malware #APT
#ti@qcakz
В песочнице ANY.RUN был обнаружен свежий вредоносный архив, нацеленный на государственные или коммерческие структуры Кыргызстана. Злоумышленники используют классическую схему с документом-приманкой и скрытым бэкдором.
📦 Содержимое архива:
1. «Приложение.pdf» — легитимный документ (краткий статистический справочник Национального статистического комитета Кыргызской Республики, изданный в Бишкеке). Используется для усыпления бдительности.
2. «Исправленная версия документа.exe» — вредоносный файл, маскирующийся под обновление или исправление документа.
🔍 Технический анализ:
Исполняемый файл представляет собой 64-битную утилиту, собранную в Visual Studio 2022 и упакованную с помощью PyInstaller (версия Python 3.13).
После распаковки архива с помощью
pyinstxtractor и декомпиляции основного скрипта (exec.pyc) был обнаружен лаконичный, но опасный HTTP-бэкдор. Логика его работы следующая:• Бэкдор стучится на C2-сервер по пути
/connect и получает уникальный токен сессии.• Раз в 10 секунд запускается цикл опроса (polling) сервера.
• Передаваемые команды исполняются в системе через скрытый командный интерпретатор (
subprocess.Popen, shell=True).• Результат выполнения команды отправляется обратно на сервер в формате JSON.
• Предусмотрена команда самоликвидации
killbot для завершения работы.🌐 Инфраструктура и атрибуция:
Управляющий сервер (C2) расположен по адресу:
65.38.120[.]129[:]5556 (провайдер BL Networks, Румыния). Специфика выбранной приманки и характер исполнения указывают на возможную активность целевой кибершпионской группировки (suspected APT).📌 Индикаторы компрометации (IoCs):
• Вредоносный EXE (MD5):
80fbb8ed636178d30b1a3a864cd1f231• Документ-приманка PDF (MD5):
048de81368e46adf9dd12df7278f7821• Сетевой C2-сервер:
65.38.120[.]129[:]5556#ThreatIntel #Malware #APT
#ti@qcakz
❤4🔥1