#ParsedReport #CompletenessMedium
19-11-2025

ShadowPad attack case analysis exploiting WSUS remote code execution vulnerability (CVE-2025-59287)

https://asec.ahnlab.com/ko/91101/

Report completeness: Medium

Actors/Campaigns:
Winnti

Threats:
Shadowpad
Powercat_tool
Netcat_tool
Dll_sideloading_technique

Victims:
Wsus servers, Enterprises

Geo:
Chinese

CVEs:
CVE-2025-59287 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.8524)
- microsoft windows_server_2019 (<10.0.17763.7922)
- microsoft windows_server_2022 (<10.0.20348.4297)
- microsoft windows_server_2022_23h2 (<10.0.25398.1916)
have more...

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1059.003, T1105, T1190, T1574.002

IOCs:
Command: 1
File: 2
IP: 1
Path: 6
Url: 3
Hash: 2

Soft:
curl, Task Scheduler

Algorithms:
gzip, deflate, md5

Win Services:
WebClient

Languages:
powershell

Platforms:
x64

Links:
https://github.com/besimorhino/powercat

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Аналитический центр безопасности AhnLab сообщил об использовании уязвимости CVE-2025-59287 в службах обновления Microsoft Windows Server, позволяющей злоумышленникам выполнять произвольный код с системными привилегиями. После раскрытия информации PowerCat был использован для получения доступа к командной оболочке, что привело к развертыванию вредоносного ПО ShadowPad с помощью законных инструментов, таких как curl.exe . ShadowPad использует DLL Sideloading, что усложняет обнаружение и обеспечивает постоянный контроль над скомпрометированными системами, подчеркивая срочность устранения этой угрозы.
-----

Недавний анализ, проведенный аналитическим центром безопасности AhnLab (ASEC), выявил значительную киберугрозу, связанную с использованием уязвимости удаленного выполнения кода в службах обновления Microsoft Windows Server (WSUS), каталогизированной как CVE-2025-59287. Эта уязвимость позволяет злоумышленникам выполнять произвольный код с системными привилегиями на серверах, на которых включена служба WSUS. После его раскрытия Microsoft 14 октября 2023 года была подчеркнута серьезность CVE-2025-59287, особенно после того, как 22 октября был обнародован код проверки концепции (PoC).

30 октября инфраструктура AhnLab Smart Defense (ASD) обнаружила использование PowerCat против уязвимого сервера Windows. Этот инструмент облегчил злоумышленникам доступ к командной оболочке целевой системы, что свидетельствует об успешном первоначальном проникновении. Впоследствии, 6 ноября, злоумышленники воспользовались той же уязвимостью для развертывания вредоносного ПО ShadowPad, используя законные утилиты Windows, такие как curl.exe и certutil.exe . Это знаменует собой ключевой этап атаки, поскольку демонстрирует стратегическое использование встроенных инструментов для облегчения вредоносных действий.

ShadowPad, который был задействован в многочисленных кампаниях различных китайских APT-группировок с момента своего первого появления в 2017 году, работает с использованием методологии, которая обходит традиционное обнаружение. В отличие от типичного вредоносного ПО, которое функционирует как автономный исполняемый файл, ShadowPad использует методы DLL Sideloading, используя файлы, которые могут казаться законными или совпадать с именами из предыдущих случаев атаки, тем самым усложняя усилия по обнаружению.

Использование CVE-2025-59287 сопряжено со значительными рисками, поскольку оно допускает распространение ShadowPad, который может установить постоянный контроль над скомпрометированными системами. Быстро развивающийся характер этой угрозы подчеркивает необходимость немедленных действий со стороны групп корпоративной безопасности, использующих WSUS, для устранения уязвимостей и предотвращения потенциальных нарушений, связанных с этим критическим эксплойтом.

#ParsedReport #CompletenessLow
20-11-2025

Reoccurring Use of Highly Suspicious PDF Editors to Infiltrate Environments

https://www.truesec.com/hub/blog/reoccurring-use-of-highly-suspicious-pdf-editors-to-infiltrate-environments

Report completeness: Low

IOCs:
File: 3
Hash: 4
Domain: 8

Algorithms:
exhibit, sha256

#ParsedReport #CompletenessLow
20-11-2025

Dark Web Profile: Sarcoma Ransomware

https://socradar.io/dark-web-profile-sarcoma-ransomware/

Report completeness: Low

Threats:
Sarcoma
Credential_dumping_technique

Victims:
Manufacturing sector, Technology sector, Organizations in western jurisdictions

Industry:
Retail, Healthcare, Foodtech

Geo:
Italy, Canada

ChatGPT TTPs:
do not use without manual check
T1021, T1041, T1059, T1069, T1190, T1486, T1490, T1591, T1654

Soft:
Linux, ESXi

Algorithms:
chacha20

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа вымогателей Sarcoma, действующая с конца 2024 года, использует агрессивную тактику двойного вымогательства, похищая конфиденциальные данные перед шифрованием систем, чтобы использовать переговоры о выкупе. Нацеливаясь на организации в таких критически важных секторах, как производство и технологии, Sarcoma проводит методичные многоэтапные вторжения, начиная с разведки, а затем расширяя их доступ для сбора ценных данных. Группа представляет значительную угрозу из-за своей оперативной направленности на максимизацию ущерба путем публичного раскрытия украденной информации.
-----

Группа вымогателей Sarcoma, появившаяся в конце 2024 года, быстро зарекомендовала себя как серьезная киберугроза благодаря своей агрессивной тактике двойного вымогательства. Эта группа использует комбинацию кражи данных и системного шифрования, чтобы максимально использовать рычаги воздействия при переговорах о выкупе, создавая риски для множества организаций по всему миру. Операционная модель Sarcoma's предполагает кражу конфиденциальной информации перед шифрованием систем, тем самым оказывая давление на жертв угрозой разглашения общедоступных данных.

Группа нацелена на организации, основанные на четком коммерческом обосновании, уделяя особое внимание тем, чья деятельность критически нарушена шифрованием и репутации которых может быть нанесен ущерб в результате утечки данных. Следовательно, Sarcoma в основном работает в западных юрисдикциях, уделяя особое внимание таким секторам, как производство и технологии. Эти отрасли особенно привлекательны из-за высокой ценности украденных данных, таких как файлы дизайна и записи клиентов, которые могут значительно усилить переговорную силу при переговорах о выкупе.

Оперативная стратегия Sarcoma состоит из методичных, многоэтапных вторжений, которые сочетают разведку с внезапными, впечатляющими сбоями. Первоначально группа проводит тщательный анализ потенциальных целей, позволяя им адаптировать свои стратегии входа и эскалации в зависимости от конкретных условий, с которыми они сталкиваются. После успешного проникновения злоумышленники следуют последовательному процессу: расширяют свой доступ в сети, собирают ценные данные и шифруют системы, одновременно угрожая опубликовать украденную информацию, если не будет выплачен выкуп.

Для защиты от программ-вымогателей Sarcoma организациям рекомендуется внедрять многоуровневые и упреждающие меры безопасности. Учитывая скоординированный характер атак Sarcoma's, полагаться на единый защитный механизм недостаточно. Вместо этого для снижения риска и ограничения общего воздействия таких киберугроз необходим комплексный подход, учитывающий множество потенциальных векторов атак.

#ParsedReport #CompletenessMedium
20-11-2025

Blockchain and Node.js abused by Tsundere: an emerging botnet

https://securelist.com/tsundere-node-js-botnet-uses-ethereum-blockchain/117979/

Report completeness: Medium

Threats:
Tsundere
Typosquatting_technique
Supply_chain_technique

Victims:
Software supply chain, Gaming users

Industry:
E-commerce, Financial

Geo:
Russian

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1059.001, T1059.007, T1071.001, T1102, T1104, T1105, T1132, T1140, have more...

IOCs:
File: 6
Domain: 1
Registry: 1
Coin: 8
IP: 5
Hash: 16
Path: 1

Soft:
Node.js, Linux, macOS, valorant, Windows Installer

Crypto:
ethereum, monero

Algorithms:
aes-256, aes-256-cbc, zip, base64, cbc, aes

Languages:
javascript, powershell

#ParsedReport #ExtractedSchema

Classified images:
code: 6, schema: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Ботнет Tsundere, обнаруженный Kaspersky GReAT в середине 2025 года, использует Node.js и технологию блокчейн для своих операций, использующую 287 вредоносных программ Node.js пакеты, распространяемые через npm с использованием typosquatting. Первоначальные заражения были связаны со скомпрометированными инструментами удаленного мониторинга и управления, в то время как вредоносное ПО распространяется через установщики MSI и скрипты PowerShell, использующие шифрование AES-256-CBC. Его инфраструктура управления использует соединения WebSocket и блокчейн Ethereum для динамического обновления адресов, что указывает на постоянного и адаптируемого злоумышленника, вероятно, российского происхождения.
-----

Ботнет Tsundere, обнаруженный Kaspersky GReAT в середине 2025 года, представляет собой значительную эволюцию в области киберугроз, использующую Node.js и технология блокчейн для его работы. Этот злоумышленник разработал и распространял вредоносные программы Node.js пакеты через диспетчер пакетов Node (npm) с помощью методов typosquatting, создающих 287 пакетов вредоносного ПО, нацеленных на несколько операционных систем, включая Windows, Linux и macOS. Пакеты имитировали популярные библиотеки и были удалены вскоре после обнаружения, но они ознаменовали серьезную атаку по Цепочке поставок.

Первоначальные векторы заражения ботнет Tsundere остаются несколько неоднозначными, но, по крайней мере, один случай был связан с использованием скомпрометированного инструмента удаленного мониторинга и управления (RMM). В данном случае был загружен исполняемый файл, замаскированный под PDF-файл. Другие предлагаемые методы включают маскировку вредоносного ПО под популярные игры, такие как "Valorant" и "CS2", обслуживающие пиратские сообщества.

Вредоносное ПО Tsundere может распространяться через два основных формата: установщик MSI и скрипт PowerShell. Установщик MSI замаскирован под законный установщик программного обеспечения и работает с обновленным списком файлов JavaScript и Node.js исполняемые файлы. Используемый им скрипт загрузки отвечает за расшифровку и выполнение основной функциональности бота, которая обрабатывает распаковку npm. Вариант PowerShell, с другой стороны, более оптимизирован. Он загружает официальный Node.js пакет и использует AES-256-CBC для расшифровки скриптов бота и закрепления непосредственно на целевом компьютере, в конечном счете выполняя вредоносные задачи.

Центральное место в работе бота Tsundere занимает его коммуникационный протокол управления (C2), который использует соединения WebSocket для доставки динамического кода JavaScript ботам. Бот использует блокчейн Ethereum для хранения своих адресов C2, изменяя переменные состояния с помощью смарт-контрактов. Это обеспечивает постоянную и отказоустойчивую инфраструктуру C2, поскольку адреса могут динамически обновляться при каждой транзакции и оставаться неизменяемыми после записи.

Процесс взаимодействия вредоносного ПО включает отправку зашифрованных объектов JSON обратно в C2, что обеспечивает безопасные и гибкие операции. Кроме того, ботнет оснащен торговой площадкой и Панелью управления, что консолидирует его командную структуру. Атрибуция предполагает, что разработчик, скорее всего, русскоязычный, что согласуется с предыдущими атаками, связанными с этим злоумышленником.

#ParsedReport #CompletenessLow
20-11-2025

NovaStealer - Apple Intelligence is leaving a plist.. it is legit, right?

https://bruceketta.space/posts/nova-script-251110/

Report completeness: Low

Threats:
Nova_stealer

Victims:
Cryptocurrency users, Macos users

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1036.005, T1041, T1057, T1059.004, T1082, T1105, T1119, T1204.002, have more...

IOCs:
File: 13
Url: 3
Hash: 7
Domain: 5

Soft:
macOS, Ledger Live

Wallets:
trezor, exodus_wallet, ledgerlive

Algorithms:
zip

Functions:
setTimeout, setInterval

Languages:
swift, python

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносное ПО NovaStealer использует дроппер для загрузки скрипта, mdriversinstall.sh , который устанавливает фреймворк в \~/.mdrivers и регистрирует LaunchAgent для закрепления. Он извлекает и выполняет дополнительные сценарии в кодировке Base64 с сервера управления, включая mdriversfiles.sh для эксфильтрации криптовалютных данных и mdriversswaps.sh , который заменяет законные приложения для кошельков поддельными для сбора конфиденциальной информации, такой как начальные фразы для восстановления. Использование демонизированных скриптов помогает скрыть его вредоносные действия от пользователей.
-----

Вредоносное ПО NovaStealer работает с помощью дроппера, который загружает и выполняет скрипт, известный как mdriversinstall.sh . Этот скрипт устанавливает вредоносный фреймворк в каталоге \~/.mdrivers и регистрирует агент запуска, получивший название application.com.artificialintelligence. С помощью этого фреймворка вредоносное ПО извлекает дополнительные скрипты, закодированные в Base64, с сервера управления (C2), помещая их в \~/.mdrivers/scripts и выполняя их в отдельных сеансах фонового экрана. Этот метод позволяет скриптам функционировать независимо от пользовательского интерфейса, обеспечивая закрепление, даже если пользователь выходит из системы.

Тот mdriversinstall.sh скрипт использует команду screen с флагом -dmS, указывающую, что все запущенные дочерние скрипты запускаются как демоны, тем самым скрывая их присутствие от пользователей. Главный дирижер, mdriversmngr.sh , играет решающую роль в операции. Его первоначальная задача заключается в обращении к серверу C2 для получения списка сценариев для выполнения, который возвращается в формате, разделенном двоеточием, с указанием имен сценариев наряду с их содержимым в формате Base64.

Среди вредоносных функций, mdriversfiles.sh разработан специально для эксфильтрации данных, связанных с криптовалютой, в частности для извлечения файла app.json из Ledger Live. Другой компонент, mdriversmetrics.sh , фокусируется на перечислении системной среды, собирая подробную информацию об операционной системе, включая версию сборки, установленные приложения и наличие как законных, так и поддельных приложений для криптокошельков. Примечательно, что этот скрипт также может захватывать информацию о процессе для таких приложений, как Ledger Live и Trezor Suite.

Особенно тревожная тактика, применяемая NovaStealer, предполагает использование mdriversswaps.sh . Этот скрипт использует стратегию подмены вредоносных приложений, которая влечет за собой замену законных приложений для криптовалютных кошельков поддельными версиями. Это позволяет злоумышленникам побуждать жертв вводить начальные фразы для восстановления, тем самым ставя под угрозу их кошельки. Поддельные LedgerLive.app и TrezorSuite.app созданы с использованием Swift и используют API-интерфейсы WebKit framework, способные отображать веб-контент и потенциально представляющие значительный риск для пользователей из-за их способности отображать реальные URL-адреса в виде открытого текста.

#ParsedReport #CompletenessLow
19-11-2025

Fake Malware TOAD via Malvertizing

https://malasada.tech/fake-malware-toad-via-malvertizing/

Report completeness: Low

Threats:
Toad_technique

Victims:
Users of federalpay org, General internet users

ChatGPT TTPs:
do not use without manual check
T1071.001, T1204, T1204.001, T1608.006

IOCs:
File: 1
Url: 1
Domain: 13

Soft:
Chrome

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавняя кампания, получившая название "TOAD", использует Вредоносную рекламу на federalpay.org , рассылающий поддельные предупреждения о вредоносном ПО, чтобы заманить жертв на контакт с злоумышленниками. В атаке использовалась вредоносная реклама, размещенная на доменах ".site", которая последовательно перенаправляла пользователей на URL-адрес TOAD, причем реклама менялась каждый час, чтобы избежать обнаружения. Были отмечены методы фильтрации трафика, поскольку вариации пользовательских агентов приводили к различным ответам, при этом автоматические проверки обходились с помощью вводящих в заблуждение шаблонов.
-----

Недавно была выявлена кампания, которая распространяет поддельное предупреждение о вредоносном ПО, называемое "TOAD" (доставка атак, ориентированных на телефон), посредством Вредоносной рекламы. Эта вредоносная активность была замечена именно на веб-сайте federalpay.org . Атака использует серию вредоносных рекламных объявлений, которые перенаправляют пользователей на вредоносный URL-адрес TOAD, предназначенный для того, чтобы заманить жертв и заставить их позвонить злоумышленникам для дальнейших действий.

В ходе анализа было отмечено, что вредоносные рекламные объявления, показанные в разное время, размещались на доменах, заканчивающихся на ".site", и они неизменно приводили к одному и тому же URL-адресу TOAD. Вредоносная реклама была активна примерно в течение часа, после чего она была заменена новой рекламой, которая вскоре полностью исчезла. После расследования стало ясно, что злоумышленники использовали методы фильтрации трафика, чтобы избежать обнаружения, поскольку ответы значительно варьировались в зависимости от используемого пользовательского агента. При доступе с виртуальной машины Flare сайты-перенаправители надежно приводили к URL-адресу TOAD. Однако попытки проверить эти сайты с помощью PowerShell Invoke-WebRequest (IWR) с настраиваемым пользовательским агентом, имитирующим Chrome, привели к стандартному ответу страницы шаблона, указывающему на активные меры по уклонению от автоматического сканирования.

#ParsedReport #CompletenessMedium
20-11-2025

A Pain in the Mist: Navigating Operation DreamJobs arsenal

https://www.orangecyberdefense.com/global/blog/cert-news/a-pain-in-the-mist-navigating-operation-dreamjobs-arsenal

Report completeness: Medium

Actors/Campaigns:
Dream_job
Unc2970

Threats:
Burnbook
Mistpen
Passthehash_technique
Dll_sideloading_technique

Victims:
Manufacturing sector, Asian subsidiary of a large european manufacturing organization

Geo:
North korean, Dprk, Asian

ChatGPT TTPs:
do not use without manual check
T1204.002, T1566.002, T1584.004

IOCs:
File: 3
Hash: 8
Domain: 5
Url: 3

Soft:
WhatsApp, WordPress, SumatraPDF, Active Directory, wordpad, TightVNC

Algorithms:
zip

Links:
https://github.com/cert-orangecyberdefense/cti/tree/main/dreamjob

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В августе 2025 года кибератака, приписываемая северокорейской группе UNC2970, была нацелена на европейскую производственную дочернюю компанию, используя социальную инженерию с помощью приманки, связанной с работой, отправленной через WhatsApp. В атаке были задействованы загрузчик BURNBOOK и бэкдор MISTPEN, которые предоставляли удаленный доступ к скомпрометированным системам и использовали скомпрометированные SharePoint и WordPress для управления инфраструктурой. Инцидент свидетельствует о передовой тактике UNC2970's и закреплении кибервзломов.
-----

В августе 2025 года было расследовано вторжение, нацеленное на азиатскую дочернюю компанию европейской производственной организации, выявившее сложную цепочку атак, приписываемую северокорейской хакерской группировке UNC2970, известной своей операцией DreamJob. Атака началась с тактики социальной инженерии, которая включала отправку целевого веб-сообщения WhatsApp, содержащего приманку, связанную с работой, инженеру проекта. Это побудило жертву загрузить и запустить ZIP-архив, что способствовало заражению.

Вредоносное ПО, конкретно идентифицированное в этом инциденте, включало варианты загрузчика BURNBOOK и Backdoor. MISTPEN ("Черный ход"). Эти инструменты были неотъемлемой частью выполнения атаки, поскольку они обеспечивали удаленный доступ и контроль над скомпрометированными системами. Атака также использовала скомпрометированные ресурсы SharePoint и WordPress для создания инфраструктуры командования и контроля (C2), предоставляя злоумышленникам средства для поддержания постоянного доступа и сохранения в сети.

Полный анализ, приведенный в отчете, посвящен конкретным характеристикам и поведению BURNBOOK и MISTPEN, а также процессам цифровой криминалистики и реагирования на инциденты (DFIR) и методам обратного проектирования. Включены рекомендации по стратегиям обнаружения и охоты, подчеркивающие важность распознавания тактик социальной инженерии, используемых при таких вторжениях. Этот случай подчеркивает закрепление и эволюционирующие методологии, используемые UNC2970, подчеркивая необходимость для организаций усиливать свою защиту от подобных целенаправленных атак.

#ParsedReport #CompletenessMedium
20-11-2025

License to Encrypt: The Gentlemen Make Their Move

https://www.cybereason.com/blog/the-gentlemen-ransomware

Report completeness: Medium

Actors/Campaigns:
Gentlemen_ransomware
Hastalamuerte

Threats:
Gentlemen_ransomware
Qilin_ransomware
Edr-killer
Teamviewer_tool
Edrevasion_tool

Victims:
Organizations

Geo:
Russia

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1059.001, T1486, T1562

IOCs:
Hash: 1
File: 1
Registry: 4

Soft:
Linux, ESXi, Windows Defender, Windows Firewall, MSSQL, postgresql, MySQL, MSExchange, Windows registry

Algorithms:
xchacha20, curve25519

Win Services:
sqlservr, MSSQL$SQLEXPRESS, SQLAGENT, SQLWriter, GxVss, vsnapvss, xfssvccon, qbdbMgrN

Languages:
powershell, golang

Platforms:
cross-platform