CTT Report Hub
#ParsedReport #CompletenessHigh 19-11-2025 What We Do In The Shadow (AI): New Malware Strain Vamps Up https://www.akamai.com/blog/security-research/2025/nov/new-malware-chat-completions-llm-shadow-ai Report completeness: High Threats: Lamehug_tool Promptlock…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
LameHug - это новый штамм вредоносного ПО, который использует законный API модели большого языка для маскировки своих вредоносных действий, устанавливая командные соединения с помощью замаскированных строк Base64. Он напрямую взаимодействует с API Hugging Face для динамической генерации и выполнения команд в системах-жертвах, тем самым избегая обнаружения. Это вредоносное ПО обладает такими функциями, как создание пользователя, Удаление файлов и скриншоты, используя жестко закодированные ссылки на сервер C2 и методы постоянной установки для обеспечения скрытого и долгосрочного доступа.
-----
Появилась новая разновидность вредоносного ПО, известная как LameHug, которая использует законную конечную точку API large language model (LLM) для маскировки своей вредоносной активности. Это вредоносное ПО устанавливает соединение command and control (C2), передавая строку, имитирующую кодировку Base64, вместо того, чтобы следовать стандартным протоколам связи. Этот сложный метод сопряжен со значительными рисками, в том числе позволяет злоумышленникам получить полный контроль над системами жертв и отфильтровать конфиденциальные данные.
В ходе анализа было обнаружено, что LameHug напрямую взаимодействует с моделью LLM, доступной через API Hugging Face, динамически генерируя команды, которые вредоносное ПО выполняло бы в системе жертвы. Такое неправомерное использование API не только подчеркивает эволюционирующую тактику киберпреступников, но и их способность использовать те самые инструменты, которые предназначены для законных целей. Коммуникация вредоносного ПО намеренно сконструирована таким образом, чтобы отклоняться от ожидаемых шаблонов ответов API, что затрудняет ее обнаружение.
Вредоносное ПО использует процесс расшифровки XOR и Base64 для управления данными ответа, которые оно извлекает, что позволяет ему скрытно выполнять команды. Примечательно, что были идентифицированы предыдущие варианты LameHug, которые имеют схожие структуры команд и методологии C2, хотя и с разными адресами серверов. Полезная нагрузка вредоносного ПО включает в себя такие функции, как создание новых пользователей, выполнение команд, удаление файлов, мониторинг локальных дисков и даже создание скриншотов, что указывает на широкие возможности удаленного доступа и контроля.
Кроме того, LameHug включает в себя жестко запрограммированные ссылки на различные серверы C2 и способен загружать дополнительные полезные данные динамическими средствами. Он регистрируется как постоянное присутствие на компьютере жертвы, что включает в себя запись его двоичного файла в общие каталоги и настройку запланированных задач для обеспечения его непрерывной работы. Использование общей программной инфраструктуры не только облегчает скрытность вредоносного ПО среди обычного сетевого трафика, но и увеличивает его шансы на долгосрочное выживание в целевой среде.
Стратегическое решение направлять командный трафик и трафик эксфильтрации через широко используемую конечную точку использует преимущества быстрого внедрения LLMS, стирая границы между законной деятельностью и вредоносным поведением. Поскольку злоумышленники адаптируют свои стратегии в ответ на развитие технологий, организации должны сохранять бдительность и укреплять свою защиту от таких изощренных угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
LameHug - это новый штамм вредоносного ПО, который использует законный API модели большого языка для маскировки своих вредоносных действий, устанавливая командные соединения с помощью замаскированных строк Base64. Он напрямую взаимодействует с API Hugging Face для динамической генерации и выполнения команд в системах-жертвах, тем самым избегая обнаружения. Это вредоносное ПО обладает такими функциями, как создание пользователя, Удаление файлов и скриншоты, используя жестко закодированные ссылки на сервер C2 и методы постоянной установки для обеспечения скрытого и долгосрочного доступа.
-----
Появилась новая разновидность вредоносного ПО, известная как LameHug, которая использует законную конечную точку API large language model (LLM) для маскировки своей вредоносной активности. Это вредоносное ПО устанавливает соединение command and control (C2), передавая строку, имитирующую кодировку Base64, вместо того, чтобы следовать стандартным протоколам связи. Этот сложный метод сопряжен со значительными рисками, в том числе позволяет злоумышленникам получить полный контроль над системами жертв и отфильтровать конфиденциальные данные.
В ходе анализа было обнаружено, что LameHug напрямую взаимодействует с моделью LLM, доступной через API Hugging Face, динамически генерируя команды, которые вредоносное ПО выполняло бы в системе жертвы. Такое неправомерное использование API не только подчеркивает эволюционирующую тактику киберпреступников, но и их способность использовать те самые инструменты, которые предназначены для законных целей. Коммуникация вредоносного ПО намеренно сконструирована таким образом, чтобы отклоняться от ожидаемых шаблонов ответов API, что затрудняет ее обнаружение.
Вредоносное ПО использует процесс расшифровки XOR и Base64 для управления данными ответа, которые оно извлекает, что позволяет ему скрытно выполнять команды. Примечательно, что были идентифицированы предыдущие варианты LameHug, которые имеют схожие структуры команд и методологии C2, хотя и с разными адресами серверов. Полезная нагрузка вредоносного ПО включает в себя такие функции, как создание новых пользователей, выполнение команд, удаление файлов, мониторинг локальных дисков и даже создание скриншотов, что указывает на широкие возможности удаленного доступа и контроля.
Кроме того, LameHug включает в себя жестко запрограммированные ссылки на различные серверы C2 и способен загружать дополнительные полезные данные динамическими средствами. Он регистрируется как постоянное присутствие на компьютере жертвы, что включает в себя запись его двоичного файла в общие каталоги и настройку запланированных задач для обеспечения его непрерывной работы. Использование общей программной инфраструктуры не только облегчает скрытность вредоносного ПО среди обычного сетевого трафика, но и увеличивает его шансы на долгосрочное выживание в целевой среде.
Стратегическое решение направлять командный трафик и трафик эксфильтрации через широко используемую конечную точку использует преимущества быстрого внедрения LLMS, стирая границы между законной деятельностью и вредоносным поведением. Поскольку злоумышленники адаптируют свои стратегии в ответ на развитие технологий, организации должны сохранять бдительность и укреплять свою защиту от таких изощренных угроз.
#ParsedReport #CompletenessLow
19-11-2025
Analyzing the latest Sneaky2FA Browser-in-the-Browser phishing page
https://pushsecurity.com/blog/analyzing-the-latest-sneaky2fa-phishing-page/
Report completeness: Low
Threats:
Sneaky_2fa_tool
Bitm_technique
Tycoon_framework
Nakedpages_tool
Flowerstorm_tool
Salty_2fa_tool
Evilginx_tool
Aitm_technique
Victims:
Enterprise business targets
Industry:
E-commerce
ChatGPT TTPs:
T1027, T1036, T1071.001, T1090.003, T1189, T1204.001, T1497.003, T1556.006, T1564.003, T1566.002, have more...
IOCs:
Domain: 1
Soft:
Telegram, Cloudflare Turnstile
Languages:
javascript
19-11-2025
Analyzing the latest Sneaky2FA Browser-in-the-Browser phishing page
https://pushsecurity.com/blog/analyzing-the-latest-sneaky2fa-phishing-page/
Report completeness: Low
Threats:
Sneaky_2fa_tool
Bitm_technique
Tycoon_framework
Nakedpages_tool
Flowerstorm_tool
Salty_2fa_tool
Evilginx_tool
Aitm_technique
Victims:
Enterprise business targets
Industry:
E-commerce
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1071.001, T1090.003, T1189, T1204.001, T1497.003, T1556.006, T1564.003, T1566.002, have more...
IOCs:
Domain: 1
Soft:
Telegram, Cloudflare Turnstile
Languages:
javascript
Push Security
Analyzing the latest Sneaky2FA BITB phishing page
Analyzing a BITB phishing page linked to the Sneaky2FA Phishing-as-a-Service operation.
CTT Report Hub
#ParsedReport #CompletenessLow 19-11-2025 Analyzing the latest Sneaky2FA Browser-in-the-Browser phishing page https://pushsecurity.com/blog/analyzing-the-latest-sneaky2fa-phishing-page/ Report completeness: Low Threats: Sneaky_2fa_tool Bitm_technique …
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Инструментарий Sneaky2FA для фишинга эволюционировал за счет интеграции технологии Browser-in-the-Browser (BITB), которая усиливает обман за счет размещения подлинных страниц фишинга во встроенном браузере. Злоумышленники внедряют надежную защиту от ботов, такую как CAPTCHA, и условную загрузку, чтобы ограничить доступ к страницам фишинга на основе IP-адресов, что усложняет обнаружение. Кроме того, они используют ротацию доменов и длинные, безобидные на вид URL-адреса наряду с запутанным внутренним кодом, чтобы повысить эффективность кампании и обойти меры безопасности.
-----
Инструментарий Sneaky2FA для фишинга недавно интегрировал технологию Browser-in-the-Browser (BITB), что ознаменовало заметную эволюцию в методологиях фишинга. Первоначально идентифицированный в 2022 году, BITB заметно отличается от традиционных подходов "Атакующий посередине" (AITM), поскольку использует встроенное окно браузера для размещения реальных страниц фишинга, что усиливает обман, связанный с этими атаками.
Чтобы помешать анализу с помощью мер безопасности, злоумышленники внедряют надежные механизмы защиты от ботов, такие как CAPTCHA и Cloudflare Turnstile. Эти меры вынуждают пользователей проходить проверку ботом, прежде чем получить доступ к странице фишинга, что усложняет автоматизированное обнаружение и позволяет в ходе операции фишинга получать критическую информацию без вмешательства средств безопасности.
Кроме того, злоумышленники используют условную загрузку, чтобы ограничить доступ к своим страницам фишинга, что помогает продлить срок службы их кампаний. Эта тактика нацелена на известные IP-адреса поставщиков систем безопасности и может даже нацеливаться на конкретные организации или пользователей, что еще больше снижает риск обнаружения. Внутренний код страниц Sneaky2FA сильно запутан, используются стратегии HTML и JavaScript, которые скрывают интерфейс и контент от систем обнаружения, оставаясь визуально понятными пользователям.
Смена домена и маскировка URL-адресов являются важнейшими компонентами этих операций фишинга. В каждой кампании обычно используются недавно сгенерированные длинные URL-адреса (около 150 символов), связанные с доброкачественными доменами, часто скомпрометированными или ранее неактивными. Такие домены, как правило, недолговечны, и многие из них быстро удаляются после использования, придерживаясь стратегии "сжечь и заменить", которая усложняет традиционную защиту, зависящую от репутации домена.
Внедрение методов BITB, похоже, набирает обороты среди различных платформ для фишинга как услуги (PhaaS), таких как Raccoon0365, которая выразила намерения включить аналогичную функциональность BITB в свои предложения. Эта тенденция означает более широкий сдвиг в тактике фишинга в рамках все более профессиональной экосистемы киберпреступности, особенно в связи с тем, что атаки, основанные на идентификационных данных, остаются основной причиной утечек данных. Таким образом, злоумышленники получают стимул совершенствовать свои методы, подчеркивая необходимость постоянной адаптации мер кибербезопасности к меняющимся угрозам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Инструментарий Sneaky2FA для фишинга эволюционировал за счет интеграции технологии Browser-in-the-Browser (BITB), которая усиливает обман за счет размещения подлинных страниц фишинга во встроенном браузере. Злоумышленники внедряют надежную защиту от ботов, такую как CAPTCHA, и условную загрузку, чтобы ограничить доступ к страницам фишинга на основе IP-адресов, что усложняет обнаружение. Кроме того, они используют ротацию доменов и длинные, безобидные на вид URL-адреса наряду с запутанным внутренним кодом, чтобы повысить эффективность кампании и обойти меры безопасности.
-----
Инструментарий Sneaky2FA для фишинга недавно интегрировал технологию Browser-in-the-Browser (BITB), что ознаменовало заметную эволюцию в методологиях фишинга. Первоначально идентифицированный в 2022 году, BITB заметно отличается от традиционных подходов "Атакующий посередине" (AITM), поскольку использует встроенное окно браузера для размещения реальных страниц фишинга, что усиливает обман, связанный с этими атаками.
Чтобы помешать анализу с помощью мер безопасности, злоумышленники внедряют надежные механизмы защиты от ботов, такие как CAPTCHA и Cloudflare Turnstile. Эти меры вынуждают пользователей проходить проверку ботом, прежде чем получить доступ к странице фишинга, что усложняет автоматизированное обнаружение и позволяет в ходе операции фишинга получать критическую информацию без вмешательства средств безопасности.
Кроме того, злоумышленники используют условную загрузку, чтобы ограничить доступ к своим страницам фишинга, что помогает продлить срок службы их кампаний. Эта тактика нацелена на известные IP-адреса поставщиков систем безопасности и может даже нацеливаться на конкретные организации или пользователей, что еще больше снижает риск обнаружения. Внутренний код страниц Sneaky2FA сильно запутан, используются стратегии HTML и JavaScript, которые скрывают интерфейс и контент от систем обнаружения, оставаясь визуально понятными пользователям.
Смена домена и маскировка URL-адресов являются важнейшими компонентами этих операций фишинга. В каждой кампании обычно используются недавно сгенерированные длинные URL-адреса (около 150 символов), связанные с доброкачественными доменами, часто скомпрометированными или ранее неактивными. Такие домены, как правило, недолговечны, и многие из них быстро удаляются после использования, придерживаясь стратегии "сжечь и заменить", которая усложняет традиционную защиту, зависящую от репутации домена.
Внедрение методов BITB, похоже, набирает обороты среди различных платформ для фишинга как услуги (PhaaS), таких как Raccoon0365, которая выразила намерения включить аналогичную функциональность BITB в свои предложения. Эта тенденция означает более широкий сдвиг в тактике фишинга в рамках все более профессиональной экосистемы киберпреступности, особенно в связи с тем, что атаки, основанные на идентификационных данных, остаются основной причиной утечек данных. Таким образом, злоумышленники получают стимул совершенствовать свои методы, подчеркивая необходимость постоянной адаптации мер кибербезопасности к меняющимся угрозам.
#ParsedReport #CompletenessMedium
19-11-2025
ShadowPad attack case analysis exploiting WSUS remote code execution vulnerability (CVE-2025-59287)
https://asec.ahnlab.com/ko/91101/
Report completeness: Medium
Actors/Campaigns:
Winnti
Threats:
Shadowpad
Powercat_tool
Netcat_tool
Dll_sideloading_technique
Victims:
Wsus servers, Enterprises
Geo:
Chinese
CVEs:
CVE-2025-59287 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.8524)
- microsoft windows_server_2019 (<10.0.17763.7922)
- microsoft windows_server_2022 (<10.0.20348.4297)
- microsoft windows_server_2022_23h2 (<10.0.25398.1916)
have more...
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1059.003, T1105, T1190, T1574.002
IOCs:
Command: 1
File: 2
IP: 1
Path: 6
Url: 3
Hash: 2
Soft:
curl, Task Scheduler
Algorithms:
gzip, deflate, md5
Win Services:
WebClient
Languages:
powershell
Platforms:
x64
Links:
19-11-2025
ShadowPad attack case analysis exploiting WSUS remote code execution vulnerability (CVE-2025-59287)
https://asec.ahnlab.com/ko/91101/
Report completeness: Medium
Actors/Campaigns:
Winnti
Threats:
Shadowpad
Powercat_tool
Netcat_tool
Dll_sideloading_technique
Victims:
Wsus servers, Enterprises
Geo:
Chinese
CVEs:
CVE-2025-59287 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.8524)
- microsoft windows_server_2019 (<10.0.17763.7922)
- microsoft windows_server_2022 (<10.0.20348.4297)
- microsoft windows_server_2022_23h2 (<10.0.25398.1916)
have more...
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1059.003, T1105, T1190, T1574.002
IOCs:
Command: 1
File: 2
IP: 1
Path: 6
Url: 3
Hash: 2
Soft:
curl, Task Scheduler
Algorithms:
gzip, deflate, md5
Win Services:
WebClient
Languages:
powershell
Platforms:
x64
Links:
https://github.com/besimorhino/powercatASEC
WSUS 원격 코드 실행 취약점(CVE-2025-59287)을 악용한 ShadowPad 공격 사례 분석 - ASEC
WSUS 원격 코드 실행 취약점(CVE-2025-59287)을 악용한 ShadowPad 공격 사례 분석 ASEC
CTT Report Hub
#ParsedReport #CompletenessMedium 19-11-2025 ShadowPad attack case analysis exploiting WSUS remote code execution vulnerability (CVE-2025-59287) https://asec.ahnlab.com/ko/91101/ Report completeness: Medium Actors/Campaigns: Winnti Threats: Shadowpad…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Аналитический центр безопасности AhnLab сообщил об использовании уязвимости CVE-2025-59287 в службах обновления Microsoft Windows Server, позволяющей злоумышленникам выполнять произвольный код с системными привилегиями. После раскрытия информации PowerCat был использован для получения доступа к командной оболочке, что привело к развертыванию вредоносного ПО ShadowPad с помощью законных инструментов, таких как curl.exe . ShadowPad использует DLL Sideloading, что усложняет обнаружение и обеспечивает постоянный контроль над скомпрометированными системами, подчеркивая срочность устранения этой угрозы.
-----
Недавний анализ, проведенный аналитическим центром безопасности AhnLab (ASEC), выявил значительную киберугрозу, связанную с использованием уязвимости удаленного выполнения кода в службах обновления Microsoft Windows Server (WSUS), каталогизированной как CVE-2025-59287. Эта уязвимость позволяет злоумышленникам выполнять произвольный код с системными привилегиями на серверах, на которых включена служба WSUS. После его раскрытия Microsoft 14 октября 2023 года была подчеркнута серьезность CVE-2025-59287, особенно после того, как 22 октября был обнародован код проверки концепции (PoC).
30 октября инфраструктура AhnLab Smart Defense (ASD) обнаружила использование PowerCat против уязвимого сервера Windows. Этот инструмент облегчил злоумышленникам доступ к командной оболочке целевой системы, что свидетельствует об успешном первоначальном проникновении. Впоследствии, 6 ноября, злоумышленники воспользовались той же уязвимостью для развертывания вредоносного ПО ShadowPad, используя законные утилиты Windows, такие как curl.exe и certutil.exe . Это знаменует собой ключевой этап атаки, поскольку демонстрирует стратегическое использование встроенных инструментов для облегчения вредоносных действий.
ShadowPad, который был задействован в многочисленных кампаниях различных китайских APT-группировок с момента своего первого появления в 2017 году, работает с использованием методологии, которая обходит традиционное обнаружение. В отличие от типичного вредоносного ПО, которое функционирует как автономный исполняемый файл, ShadowPad использует методы DLL Sideloading, используя файлы, которые могут казаться законными или совпадать с именами из предыдущих случаев атаки, тем самым усложняя усилия по обнаружению.
Использование CVE-2025-59287 сопряжено со значительными рисками, поскольку оно допускает распространение ShadowPad, который может установить постоянный контроль над скомпрометированными системами. Быстро развивающийся характер этой угрозы подчеркивает необходимость немедленных действий со стороны групп корпоративной безопасности, использующих WSUS, для устранения уязвимостей и предотвращения потенциальных нарушений, связанных с этим критическим эксплойтом.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Аналитический центр безопасности AhnLab сообщил об использовании уязвимости CVE-2025-59287 в службах обновления Microsoft Windows Server, позволяющей злоумышленникам выполнять произвольный код с системными привилегиями. После раскрытия информации PowerCat был использован для получения доступа к командной оболочке, что привело к развертыванию вредоносного ПО ShadowPad с помощью законных инструментов, таких как curl.exe . ShadowPad использует DLL Sideloading, что усложняет обнаружение и обеспечивает постоянный контроль над скомпрометированными системами, подчеркивая срочность устранения этой угрозы.
-----
Недавний анализ, проведенный аналитическим центром безопасности AhnLab (ASEC), выявил значительную киберугрозу, связанную с использованием уязвимости удаленного выполнения кода в службах обновления Microsoft Windows Server (WSUS), каталогизированной как CVE-2025-59287. Эта уязвимость позволяет злоумышленникам выполнять произвольный код с системными привилегиями на серверах, на которых включена служба WSUS. После его раскрытия Microsoft 14 октября 2023 года была подчеркнута серьезность CVE-2025-59287, особенно после того, как 22 октября был обнародован код проверки концепции (PoC).
30 октября инфраструктура AhnLab Smart Defense (ASD) обнаружила использование PowerCat против уязвимого сервера Windows. Этот инструмент облегчил злоумышленникам доступ к командной оболочке целевой системы, что свидетельствует об успешном первоначальном проникновении. Впоследствии, 6 ноября, злоумышленники воспользовались той же уязвимостью для развертывания вредоносного ПО ShadowPad, используя законные утилиты Windows, такие как curl.exe и certutil.exe . Это знаменует собой ключевой этап атаки, поскольку демонстрирует стратегическое использование встроенных инструментов для облегчения вредоносных действий.
ShadowPad, который был задействован в многочисленных кампаниях различных китайских APT-группировок с момента своего первого появления в 2017 году, работает с использованием методологии, которая обходит традиционное обнаружение. В отличие от типичного вредоносного ПО, которое функционирует как автономный исполняемый файл, ShadowPad использует методы DLL Sideloading, используя файлы, которые могут казаться законными или совпадать с именами из предыдущих случаев атаки, тем самым усложняя усилия по обнаружению.
Использование CVE-2025-59287 сопряжено со значительными рисками, поскольку оно допускает распространение ShadowPad, который может установить постоянный контроль над скомпрометированными системами. Быстро развивающийся характер этой угрозы подчеркивает необходимость немедленных действий со стороны групп корпоративной безопасности, использующих WSUS, для устранения уязвимостей и предотвращения потенциальных нарушений, связанных с этим критическим эксплойтом.
#ParsedReport #CompletenessLow
20-11-2025
Reoccurring Use of Highly Suspicious PDF Editors to Infiltrate Environments
https://www.truesec.com/hub/blog/reoccurring-use-of-highly-suspicious-pdf-editors-to-infiltrate-environments
Report completeness: Low
IOCs:
File: 3
Hash: 4
Domain: 8
Algorithms:
exhibit, sha256
20-11-2025
Reoccurring Use of Highly Suspicious PDF Editors to Infiltrate Environments
https://www.truesec.com/hub/blog/reoccurring-use-of-highly-suspicious-pdf-editors-to-infiltrate-environments
Report completeness: Low
IOCs:
File: 3
Hash: 4
Domain: 8
Algorithms:
exhibit, sha256
Truesec
Reoccurring Use of Highly Suspicious PDF Editors to Infiltrate Environments - Truesec
The activities observed are the following: -- File is downloaded from conmateappcom ortrmconmateappcom (OSINT suggests that these are downloaded through
#ParsedReport #CompletenessLow
20-11-2025
Dark Web Profile: Sarcoma Ransomware
https://socradar.io/dark-web-profile-sarcoma-ransomware/
Report completeness: Low
Threats:
Sarcoma
Credential_dumping_technique
Victims:
Manufacturing sector, Technology sector, Organizations in western jurisdictions
Industry:
Retail, Healthcare, Foodtech
Geo:
Italy, Canada
ChatGPT TTPs:
T1021, T1041, T1059, T1069, T1190, T1486, T1490, T1591, T1654
Soft:
Linux, ESXi
Algorithms:
chacha20
Languages:
powershell
20-11-2025
Dark Web Profile: Sarcoma Ransomware
https://socradar.io/dark-web-profile-sarcoma-ransomware/
Report completeness: Low
Threats:
Sarcoma
Credential_dumping_technique
Victims:
Manufacturing sector, Technology sector, Organizations in western jurisdictions
Industry:
Retail, Healthcare, Foodtech
Geo:
Italy, Canada
ChatGPT TTPs:
do not use without manual checkT1021, T1041, T1059, T1069, T1190, T1486, T1490, T1591, T1654
Soft:
Linux, ESXi
Algorithms:
chacha20
Languages:
powershell
SOCRadar® Cyber Intelligence Inc.
Dark Web Profile: Sarcoma Ransomware
Sarcoma ransomware group emerged in late 2024 and quickly launched aggressive double-extortion campaigns worldwide; Sarcoma’s fast-growing victim list and use
CTT Report Hub
#ParsedReport #CompletenessLow 20-11-2025 Dark Web Profile: Sarcoma Ransomware https://socradar.io/dark-web-profile-sarcoma-ransomware/ Report completeness: Low Threats: Sarcoma Credential_dumping_technique Victims: Manufacturing sector, Technology sector…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа вымогателей Sarcoma, действующая с конца 2024 года, использует агрессивную тактику двойного вымогательства, похищая конфиденциальные данные перед шифрованием систем, чтобы использовать переговоры о выкупе. Нацеливаясь на организации в таких критически важных секторах, как производство и технологии, Sarcoma проводит методичные многоэтапные вторжения, начиная с разведки, а затем расширяя их доступ для сбора ценных данных. Группа представляет значительную угрозу из-за своей оперативной направленности на максимизацию ущерба путем публичного раскрытия украденной информации.
-----
Группа вымогателей Sarcoma, появившаяся в конце 2024 года, быстро зарекомендовала себя как серьезная киберугроза благодаря своей агрессивной тактике двойного вымогательства. Эта группа использует комбинацию кражи данных и системного шифрования, чтобы максимально использовать рычаги воздействия при переговорах о выкупе, создавая риски для множества организаций по всему миру. Операционная модель Sarcoma's предполагает кражу конфиденциальной информации перед шифрованием систем, тем самым оказывая давление на жертв угрозой разглашения общедоступных данных.
Группа нацелена на организации, основанные на четком коммерческом обосновании, уделяя особое внимание тем, чья деятельность критически нарушена шифрованием и репутации которых может быть нанесен ущерб в результате утечки данных. Следовательно, Sarcoma в основном работает в западных юрисдикциях, уделяя особое внимание таким секторам, как производство и технологии. Эти отрасли особенно привлекательны из-за высокой ценности украденных данных, таких как файлы дизайна и записи клиентов, которые могут значительно усилить переговорную силу при переговорах о выкупе.
Оперативная стратегия Sarcoma состоит из методичных, многоэтапных вторжений, которые сочетают разведку с внезапными, впечатляющими сбоями. Первоначально группа проводит тщательный анализ потенциальных целей, позволяя им адаптировать свои стратегии входа и эскалации в зависимости от конкретных условий, с которыми они сталкиваются. После успешного проникновения злоумышленники следуют последовательному процессу: расширяют свой доступ в сети, собирают ценные данные и шифруют системы, одновременно угрожая опубликовать украденную информацию, если не будет выплачен выкуп.
Для защиты от программ-вымогателей Sarcoma организациям рекомендуется внедрять многоуровневые и упреждающие меры безопасности. Учитывая скоординированный характер атак Sarcoma's, полагаться на единый защитный механизм недостаточно. Вместо этого для снижения риска и ограничения общего воздействия таких киберугроз необходим комплексный подход, учитывающий множество потенциальных векторов атак.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа вымогателей Sarcoma, действующая с конца 2024 года, использует агрессивную тактику двойного вымогательства, похищая конфиденциальные данные перед шифрованием систем, чтобы использовать переговоры о выкупе. Нацеливаясь на организации в таких критически важных секторах, как производство и технологии, Sarcoma проводит методичные многоэтапные вторжения, начиная с разведки, а затем расширяя их доступ для сбора ценных данных. Группа представляет значительную угрозу из-за своей оперативной направленности на максимизацию ущерба путем публичного раскрытия украденной информации.
-----
Группа вымогателей Sarcoma, появившаяся в конце 2024 года, быстро зарекомендовала себя как серьезная киберугроза благодаря своей агрессивной тактике двойного вымогательства. Эта группа использует комбинацию кражи данных и системного шифрования, чтобы максимально использовать рычаги воздействия при переговорах о выкупе, создавая риски для множества организаций по всему миру. Операционная модель Sarcoma's предполагает кражу конфиденциальной информации перед шифрованием систем, тем самым оказывая давление на жертв угрозой разглашения общедоступных данных.
Группа нацелена на организации, основанные на четком коммерческом обосновании, уделяя особое внимание тем, чья деятельность критически нарушена шифрованием и репутации которых может быть нанесен ущерб в результате утечки данных. Следовательно, Sarcoma в основном работает в западных юрисдикциях, уделяя особое внимание таким секторам, как производство и технологии. Эти отрасли особенно привлекательны из-за высокой ценности украденных данных, таких как файлы дизайна и записи клиентов, которые могут значительно усилить переговорную силу при переговорах о выкупе.
Оперативная стратегия Sarcoma состоит из методичных, многоэтапных вторжений, которые сочетают разведку с внезапными, впечатляющими сбоями. Первоначально группа проводит тщательный анализ потенциальных целей, позволяя им адаптировать свои стратегии входа и эскалации в зависимости от конкретных условий, с которыми они сталкиваются. После успешного проникновения злоумышленники следуют последовательному процессу: расширяют свой доступ в сети, собирают ценные данные и шифруют системы, одновременно угрожая опубликовать украденную информацию, если не будет выплачен выкуп.
Для защиты от программ-вымогателей Sarcoma организациям рекомендуется внедрять многоуровневые и упреждающие меры безопасности. Учитывая скоординированный характер атак Sarcoma's, полагаться на единый защитный механизм недостаточно. Вместо этого для снижения риска и ограничения общего воздействия таких киберугроз необходим комплексный подход, учитывающий множество потенциальных векторов атак.
#ParsedReport #CompletenessMedium
20-11-2025
Blockchain and Node.js abused by Tsundere: an emerging botnet
https://securelist.com/tsundere-node-js-botnet-uses-ethereum-blockchain/117979/
Report completeness: Medium
Threats:
Tsundere
Typosquatting_technique
Supply_chain_technique
Victims:
Software supply chain, Gaming users
Industry:
E-commerce, Financial
Geo:
Russian
ChatGPT TTPs:
T1027, T1036, T1059.001, T1059.007, T1071.001, T1102, T1104, T1105, T1132, T1140, have more...
IOCs:
File: 6
Domain: 1
Registry: 1
Coin: 8
IP: 5
Hash: 16
Path: 1
Soft:
Node.js, Linux, macOS, valorant, Windows Installer
Crypto:
ethereum, monero
Algorithms:
aes-256, aes-256-cbc, zip, base64, cbc, aes
Languages:
javascript, powershell
20-11-2025
Blockchain and Node.js abused by Tsundere: an emerging botnet
https://securelist.com/tsundere-node-js-botnet-uses-ethereum-blockchain/117979/
Report completeness: Medium
Threats:
Tsundere
Typosquatting_technique
Supply_chain_technique
Victims:
Software supply chain, Gaming users
Industry:
E-commerce, Financial
Geo:
Russian
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1059.001, T1059.007, T1071.001, T1102, T1104, T1105, T1132, T1140, have more...
IOCs:
File: 6
Domain: 1
Registry: 1
Coin: 8
IP: 5
Hash: 16
Path: 1
Soft:
Node.js, Linux, macOS, valorant, Windows Installer
Crypto:
ethereum, monero
Algorithms:
aes-256, aes-256-cbc, zip, base64, cbc, aes
Languages:
javascript, powershell
Securelist
The Tsundere botnet uses the Ethereum blockchain to infect its targets
Kaspersky GReAT experts discovered a new campaign featuring the Tsundere botnet. Node.js-based bots abuse web3 smart contracts and are spread via MSI installers and PowerShell scripts.
CTT Report Hub
#ParsedReport #CompletenessMedium 20-11-2025 Blockchain and Node.js abused by Tsundere: an emerging botnet https://securelist.com/tsundere-node-js-botnet-uses-ethereum-blockchain/117979/ Report completeness: Medium Threats: Tsundere Typosquatting_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Ботнет Tsundere, обнаруженный Kaspersky GReAT в середине 2025 года, использует Node.js и технологию блокчейн для своих операций, использующую 287 вредоносных программ Node.js пакеты, распространяемые через npm с использованием typosquatting. Первоначальные заражения были связаны со скомпрометированными инструментами удаленного мониторинга и управления, в то время как вредоносное ПО распространяется через установщики MSI и скрипты PowerShell, использующие шифрование AES-256-CBC. Его инфраструктура управления использует соединения WebSocket и блокчейн Ethereum для динамического обновления адресов, что указывает на постоянного и адаптируемого злоумышленника, вероятно, российского происхождения.
-----
Ботнет Tsundere, обнаруженный Kaspersky GReAT в середине 2025 года, представляет собой значительную эволюцию в области киберугроз, использующую Node.js и технология блокчейн для его работы. Этот злоумышленник разработал и распространял вредоносные программы Node.js пакеты через диспетчер пакетов Node (npm) с помощью методов typosquatting, создающих 287 пакетов вредоносного ПО, нацеленных на несколько операционных систем, включая Windows, Linux и macOS. Пакеты имитировали популярные библиотеки и были удалены вскоре после обнаружения, но они ознаменовали серьезную атаку по Цепочке поставок.
Первоначальные векторы заражения ботнет Tsundere остаются несколько неоднозначными, но, по крайней мере, один случай был связан с использованием скомпрометированного инструмента удаленного мониторинга и управления (RMM). В данном случае был загружен исполняемый файл, замаскированный под PDF-файл. Другие предлагаемые методы включают маскировку вредоносного ПО под популярные игры, такие как "Valorant" и "CS2", обслуживающие пиратские сообщества.
Вредоносное ПО Tsundere может распространяться через два основных формата: установщик MSI и скрипт PowerShell. Установщик MSI замаскирован под законный установщик программного обеспечения и работает с обновленным списком файлов JavaScript и Node.js исполняемые файлы. Используемый им скрипт загрузки отвечает за расшифровку и выполнение основной функциональности бота, которая обрабатывает распаковку npm. Вариант PowerShell, с другой стороны, более оптимизирован. Он загружает официальный Node.js пакет и использует AES-256-CBC для расшифровки скриптов бота и закрепления непосредственно на целевом компьютере, в конечном счете выполняя вредоносные задачи.
Центральное место в работе бота Tsundere занимает его коммуникационный протокол управления (C2), который использует соединения WebSocket для доставки динамического кода JavaScript ботам. Бот использует блокчейн Ethereum для хранения своих адресов C2, изменяя переменные состояния с помощью смарт-контрактов. Это обеспечивает постоянную и отказоустойчивую инфраструктуру C2, поскольку адреса могут динамически обновляться при каждой транзакции и оставаться неизменяемыми после записи.
Процесс взаимодействия вредоносного ПО включает отправку зашифрованных объектов JSON обратно в C2, что обеспечивает безопасные и гибкие операции. Кроме того, ботнет оснащен торговой площадкой и Панелью управления, что консолидирует его командную структуру. Атрибуция предполагает, что разработчик, скорее всего, русскоязычный, что согласуется с предыдущими атаками, связанными с этим злоумышленником.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Ботнет Tsundere, обнаруженный Kaspersky GReAT в середине 2025 года, использует Node.js и технологию блокчейн для своих операций, использующую 287 вредоносных программ Node.js пакеты, распространяемые через npm с использованием typosquatting. Первоначальные заражения были связаны со скомпрометированными инструментами удаленного мониторинга и управления, в то время как вредоносное ПО распространяется через установщики MSI и скрипты PowerShell, использующие шифрование AES-256-CBC. Его инфраструктура управления использует соединения WebSocket и блокчейн Ethereum для динамического обновления адресов, что указывает на постоянного и адаптируемого злоумышленника, вероятно, российского происхождения.
-----
Ботнет Tsundere, обнаруженный Kaspersky GReAT в середине 2025 года, представляет собой значительную эволюцию в области киберугроз, использующую Node.js и технология блокчейн для его работы. Этот злоумышленник разработал и распространял вредоносные программы Node.js пакеты через диспетчер пакетов Node (npm) с помощью методов typosquatting, создающих 287 пакетов вредоносного ПО, нацеленных на несколько операционных систем, включая Windows, Linux и macOS. Пакеты имитировали популярные библиотеки и были удалены вскоре после обнаружения, но они ознаменовали серьезную атаку по Цепочке поставок.
Первоначальные векторы заражения ботнет Tsundere остаются несколько неоднозначными, но, по крайней мере, один случай был связан с использованием скомпрометированного инструмента удаленного мониторинга и управления (RMM). В данном случае был загружен исполняемый файл, замаскированный под PDF-файл. Другие предлагаемые методы включают маскировку вредоносного ПО под популярные игры, такие как "Valorant" и "CS2", обслуживающие пиратские сообщества.
Вредоносное ПО Tsundere может распространяться через два основных формата: установщик MSI и скрипт PowerShell. Установщик MSI замаскирован под законный установщик программного обеспечения и работает с обновленным списком файлов JavaScript и Node.js исполняемые файлы. Используемый им скрипт загрузки отвечает за расшифровку и выполнение основной функциональности бота, которая обрабатывает распаковку npm. Вариант PowerShell, с другой стороны, более оптимизирован. Он загружает официальный Node.js пакет и использует AES-256-CBC для расшифровки скриптов бота и закрепления непосредственно на целевом компьютере, в конечном счете выполняя вредоносные задачи.
Центральное место в работе бота Tsundere занимает его коммуникационный протокол управления (C2), который использует соединения WebSocket для доставки динамического кода JavaScript ботам. Бот использует блокчейн Ethereum для хранения своих адресов C2, изменяя переменные состояния с помощью смарт-контрактов. Это обеспечивает постоянную и отказоустойчивую инфраструктуру C2, поскольку адреса могут динамически обновляться при каждой транзакции и оставаться неизменяемыми после записи.
Процесс взаимодействия вредоносного ПО включает отправку зашифрованных объектов JSON обратно в C2, что обеспечивает безопасные и гибкие операции. Кроме того, ботнет оснащен торговой площадкой и Панелью управления, что консолидирует его командную структуру. Атрибуция предполагает, что разработчик, скорее всего, русскоязычный, что согласуется с предыдущими атаками, связанными с этим злоумышленником.
#ParsedReport #CompletenessLow
20-11-2025
NovaStealer - Apple Intelligence is leaving a plist.. it is legit, right?
https://bruceketta.space/posts/nova-script-251110/
Report completeness: Low
Threats:
Nova_stealer
Victims:
Cryptocurrency users, Macos users
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1005, T1027, T1036.005, T1041, T1057, T1059.004, T1082, T1105, T1119, T1204.002, have more...
IOCs:
File: 13
Url: 3
Hash: 7
Domain: 5
Soft:
macOS, Ledger Live
Wallets:
trezor, exodus_wallet, ledgerlive
Algorithms:
zip
Functions:
setTimeout, setInterval
Languages:
swift, python
Platforms:
apple
20-11-2025
NovaStealer - Apple Intelligence is leaving a plist.. it is legit, right?
https://bruceketta.space/posts/nova-script-251110/
Report completeness: Low
Threats:
Nova_stealer
Victims:
Cryptocurrency users, Macos users
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1027, T1036.005, T1041, T1057, T1059.004, T1082, T1105, T1119, T1204.002, have more...
IOCs:
File: 13
Url: 3
Hash: 7
Domain: 5
Soft:
macOS, Ledger Live
Wallets:
trezor, exodus_wallet, ledgerlive
Algorithms:
zip
Functions:
setTimeout, setInterval
Languages:
swift, python
Platforms:
apple
bruceketta.space
NovaStealer - Apple Intelligence is leaving a plist.. it is legit, right?
Some of my notes on a little bash-based cryptostealer developed by some rude people
CTT Report Hub
#ParsedReport #CompletenessLow 20-11-2025 NovaStealer - Apple Intelligence is leaving a plist.. it is legit, right? https://bruceketta.space/posts/nova-script-251110/ Report completeness: Low Threats: Nova_stealer Victims: Cryptocurrency users, Macos…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносное ПО NovaStealer использует дроппер для загрузки скрипта, mdriversinstall.sh , который устанавливает фреймворк в \~/.mdrivers и регистрирует LaunchAgent для закрепления. Он извлекает и выполняет дополнительные сценарии в кодировке Base64 с сервера управления, включая mdriversfiles.sh для эксфильтрации криптовалютных данных и mdriversswaps.sh , который заменяет законные приложения для кошельков поддельными для сбора конфиденциальной информации, такой как начальные фразы для восстановления. Использование демонизированных скриптов помогает скрыть его вредоносные действия от пользователей.
-----
Вредоносное ПО NovaStealer работает с помощью дроппера, который загружает и выполняет скрипт, известный как mdriversinstall.sh . Этот скрипт устанавливает вредоносный фреймворк в каталоге \~/.mdrivers и регистрирует агент запуска, получивший название application.com.artificialintelligence. С помощью этого фреймворка вредоносное ПО извлекает дополнительные скрипты, закодированные в Base64, с сервера управления (C2), помещая их в \~/.mdrivers/scripts и выполняя их в отдельных сеансах фонового экрана. Этот метод позволяет скриптам функционировать независимо от пользовательского интерфейса, обеспечивая закрепление, даже если пользователь выходит из системы.
Тот mdriversinstall.sh скрипт использует команду screen с флагом -dmS, указывающую, что все запущенные дочерние скрипты запускаются как демоны, тем самым скрывая их присутствие от пользователей. Главный дирижер, mdriversmngr.sh , играет решающую роль в операции. Его первоначальная задача заключается в обращении к серверу C2 для получения списка сценариев для выполнения, который возвращается в формате, разделенном двоеточием, с указанием имен сценариев наряду с их содержимым в формате Base64.
Среди вредоносных функций, mdriversfiles.sh разработан специально для эксфильтрации данных, связанных с криптовалютой, в частности для извлечения файла app.json из Ledger Live. Другой компонент, mdriversmetrics.sh , фокусируется на перечислении системной среды, собирая подробную информацию об операционной системе, включая версию сборки, установленные приложения и наличие как законных, так и поддельных приложений для криптокошельков. Примечательно, что этот скрипт также может захватывать информацию о процессе для таких приложений, как Ledger Live и Trezor Suite.
Особенно тревожная тактика, применяемая NovaStealer, предполагает использование mdriversswaps.sh . Этот скрипт использует стратегию подмены вредоносных приложений, которая влечет за собой замену законных приложений для криптовалютных кошельков поддельными версиями. Это позволяет злоумышленникам побуждать жертв вводить начальные фразы для восстановления, тем самым ставя под угрозу их кошельки. Поддельные LedgerLive.app и TrezorSuite.app созданы с использованием Swift и используют API-интерфейсы WebKit framework, способные отображать веб-контент и потенциально представляющие значительный риск для пользователей из-за их способности отображать реальные URL-адреса в виде открытого текста.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносное ПО NovaStealer использует дроппер для загрузки скрипта, mdriversinstall.sh , который устанавливает фреймворк в \~/.mdrivers и регистрирует LaunchAgent для закрепления. Он извлекает и выполняет дополнительные сценарии в кодировке Base64 с сервера управления, включая mdriversfiles.sh для эксфильтрации криптовалютных данных и mdriversswaps.sh , который заменяет законные приложения для кошельков поддельными для сбора конфиденциальной информации, такой как начальные фразы для восстановления. Использование демонизированных скриптов помогает скрыть его вредоносные действия от пользователей.
-----
Вредоносное ПО NovaStealer работает с помощью дроппера, который загружает и выполняет скрипт, известный как mdriversinstall.sh . Этот скрипт устанавливает вредоносный фреймворк в каталоге \~/.mdrivers и регистрирует агент запуска, получивший название application.com.artificialintelligence. С помощью этого фреймворка вредоносное ПО извлекает дополнительные скрипты, закодированные в Base64, с сервера управления (C2), помещая их в \~/.mdrivers/scripts и выполняя их в отдельных сеансах фонового экрана. Этот метод позволяет скриптам функционировать независимо от пользовательского интерфейса, обеспечивая закрепление, даже если пользователь выходит из системы.
Тот mdriversinstall.sh скрипт использует команду screen с флагом -dmS, указывающую, что все запущенные дочерние скрипты запускаются как демоны, тем самым скрывая их присутствие от пользователей. Главный дирижер, mdriversmngr.sh , играет решающую роль в операции. Его первоначальная задача заключается в обращении к серверу C2 для получения списка сценариев для выполнения, который возвращается в формате, разделенном двоеточием, с указанием имен сценариев наряду с их содержимым в формате Base64.
Среди вредоносных функций, mdriversfiles.sh разработан специально для эксфильтрации данных, связанных с криптовалютой, в частности для извлечения файла app.json из Ledger Live. Другой компонент, mdriversmetrics.sh , фокусируется на перечислении системной среды, собирая подробную информацию об операционной системе, включая версию сборки, установленные приложения и наличие как законных, так и поддельных приложений для криптокошельков. Примечательно, что этот скрипт также может захватывать информацию о процессе для таких приложений, как Ledger Live и Trezor Suite.
Особенно тревожная тактика, применяемая NovaStealer, предполагает использование mdriversswaps.sh . Этот скрипт использует стратегию подмены вредоносных приложений, которая влечет за собой замену законных приложений для криптовалютных кошельков поддельными версиями. Это позволяет злоумышленникам побуждать жертв вводить начальные фразы для восстановления, тем самым ставя под угрозу их кошельки. Поддельные LedgerLive.app и TrezorSuite.app созданы с использованием Swift и используют API-интерфейсы WebKit framework, способные отображать веб-контент и потенциально представляющие значительный риск для пользователей из-за их способности отображать реальные URL-адреса в виде открытого текста.
#ParsedReport #CompletenessLow
19-11-2025
Fake Malware TOAD via Malvertizing
https://malasada.tech/fake-malware-toad-via-malvertizing/
Report completeness: Low
Threats:
Toad_technique
Victims:
Users of federalpay org, General internet users
ChatGPT TTPs:
T1071.001, T1204, T1204.001, T1608.006
IOCs:
File: 1
Url: 1
Domain: 13
Soft:
Chrome
19-11-2025
Fake Malware TOAD via Malvertizing
https://malasada.tech/fake-malware-toad-via-malvertizing/
Report completeness: Low
Threats:
Toad_technique
Victims:
Users of federalpay org, General internet users
ChatGPT TTPs:
do not use without manual checkT1071.001, T1204, T1204.001, T1608.006
IOCs:
File: 1
Url: 1
Domain: 13
Soft:
Chrome
Malasada Tech
Fake Malware TOAD via Malvertizing - Malasada Tech
TL;DR There was a campaign for a Fake Malware TOAD via Malvertizing. Tactical Pause THE CONTENT, VIEWS, AND OPINIONS EXPRESSED ON THIS DOCUMENT ARE MY OWN AND DO NOT REFLECT THOSE OF MY EMPLOYER OR ANY AFFILIATED ORGANIZATIONS. ALL RESEARCH, ANALYSIS, AND…