#ParsedReport #CompletenessHigh
06-01-2026

The Ghost in the Machine: Unmasking CrazyHunter's Stealth Tactics

https://www.trellix.com/blogs/research/the-ghost-in-the-machine-crazyhunters-stealth-tactics/

Report completeness: High

Threats:
Crazyhunter_ransomware
Prince_ransomware
Sharpgpoabuse_tool
Byovd_technique
Zemana_tool
Av-killer
Donut
Credential_dumping_technique

Victims:
Companies in taiwan

Industry:
Healthcare

Geo:
Taiwan

TTPs:
Tactics: 10
Technics: 11

IOCs:
File: 14
Url: 1
Email: 1
Domain: 1
Hash: 7

Soft:
Active Directory, nuget, vscode, Telegram

Algorithms:
chacha20, sha256

Functions:
getDrives, EncryptDirectory, setWallpaper, main_getDrives

Languages:
powershell, dotnet

Platforms:
intel, x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Программа-вымогатель CrazyHunter, производная от кодовой базы Prince ransomware и разработанная в Go, нацелена на системы Windows, используя передовые тактики для компрометации системы и обхода мер безопасности. Он использует многоэтапную стратегию атаки, включая отключение безопасности перед развертыванием полезной нагрузки, использование SharpGPOAbuse для использования объектов групповой политики и гибридное шифрование для защиты файлов. Атака включает в себя различные методы MITRE ATT&CK, включая использование учетных данных и закрепление с помощью модификаций объектов групповой политики, при этом переговоры происходят по электронной почте с идентифицируемыми каналами, привязанными к злоумышленникам.
-----

CrazyHunter вымогателей стала сложной и тревожной киберугроза, уходит корнями в Prince Ransomware кода, и усиливается с передовой тактики для сети компромисса и уклонения от кибербезопасность кибербезопасность. Это вымогателей, созданное в Go, в первую очередь ориентирован на Windows-систем и использует стратегический подход как атаковать, так и эксфильтрации эксфильтрация, используя специальный утечка данных сайта жертвам давления, которые не соблюдают требования.

Жизненный цикл атаки CrazyHunter характеризуется многоэтапной операцией, где первоначальные действия целенаправленно разрабатываются для отключения мер безопасности перед развертыванием полезной нагрузки программы-вымогателя. Аналитики определили подробные стратегии выполнения, включая использование специальных пакетных сценариев, которые систематически компрометируют системы. Центральное место в этих операциях занимает использование объектов групповой политики (GPO) с использованием общедоступного инструмента, известного как SharpGPOAbuse.СЕТЕВОЕ приложение, которое позволяет злоумышленникам манипулировать объектами групповой политики в различных вредоносных целях.

С технической точки зрения программа-вымогатель использует гибридный метод шифрования, использующий как симметричные, так и асимметричные алгоритмы, что обеспечивает надежную защиту файлов. Атака включает в себя сложные методы выполнения; например, CrazyHunter использует зашифрованный шелл-код (crazyhunter.sys ), который расшифровывается и выполняется в памяти с помощью загрузчика с именем bb.exe , таким образом избегая обнаружения традиционным программным обеспечением безопасности. В процессе развертывания также используются дополнительные исполняемые компоненты, такие как file.exe , который может работать с различными аргументами командной строки для облегчения таких функций, как эксфильтрация данных.

Переговоры о выкупе, как правило, происходит через электронную почту, с указанием контактной каналы связаны с нападавшими, с указанием структурированный процесс вымогательства. Методика атаки включает в себя широкий спектр методов Митре АТТ&КФК, выделяя первоначальный доступ по эксплуатации учетных данных, выполнение по инициативе пользователя вредоносные файлы, закрепление через изменения политики домена и перемещение внутри компании с использованием скомпрометированных активные учетные данные учетные данные.

В ответ на растущую угрозу, исходящую от CrazyHunter, были рекомендованы упреждающие меры защиты. Организациям следует укрепить свои среды Active Directory с помощью Многофакторной аутентификации (MFA) и ограниченных прав на изменение объектов групповой политики, чтобы уменьшить потенциальное использование с помощью таких инструментов, как SharpGPOAbuse. Охранные фирмы внедрили расширенный мониторинг и комплексные сигнатуры обнаружения для выявления и защиты от характеристик программ-вымогателей CrazyHunter, стремясь свести к минимуму риски заражения и последующего сбоя в работе.

#ParsedReport #CompletenessLow
05-01-2026

CNCERT: Risk Warning Regarding the "Black Cat" Gang's Use of Search Engines to Spread Counterfeit Notepad++ Download Remote Control Backdoors

https://mp.weixin.qq.com/s?__biz=MzI4NDY2MDMwMw==&mid=2247515424&idx=2&sn=d07dc41546fd6db93f14582cea697821&poc_token=HMFfYmmjPID9iFf7ZAm5VM7e3vTVBCEV81T7nR6v

Report completeness: Low

Actors/Campaigns:
Black_cat (motivation: information_theft)

Industry:
Ngo

Geo:
China

IOCs:
Domain: 24
IP: 7
Hash: 10

Soft:
Chrome

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CNCERT выпустила предупреждение о банде киберпреступников "Black Cat", которая распространяет поддельную версию Notepad++, встроенную с бэкдорами дистанционного управления. Эта операция использует оптимизацию в поисковых системах, чтобы повысить видимость и обманом заставить пользователей загрузить вредоносное программное обеспечение. Встроенные бэкдоры позволяют злоумышленникам получать контроль над системами жертв, облегчая эксфильтрацию данных, манипулирование системой и развертывание дополнительных вредоносных программ.
-----

В CNCERT выпустило предупреждение в отношении рисков, связанных с хакерской бандой "черная кошка", известной по распространению поддельных версия Notepad++, который обеспечивает дистанционное управление ПК. Такая тактика предполагает использование поисковой оптимизации, чтобы эффективно распространять вредоносное программное обеспечение, что делает его более вероятно, что пользователи неосознанно скачать взломанные приложения из пораженных мест.

"Черная кошка" была связана с различными кибератаками и принимает все более изощренные методы, чтобы сконцентрировать свои усилия в киберугроза пейзаж. В настоящее время их работа мишенями доверчивых пользователей, которые ищут законные Блокнот++ приложение, выдающее себя за его доставку вредоносное ПО. Эта стратегия не только эксплуатирует доверие пользователей, но и использует поисковые системы, чтобы увеличить видимость их загрузки вредоносного программного обеспечения.

Вредоносная версия Notepad++ оснащена ПО для удаленного доступа, позволяющим злоумышленникам удаленно управлять системой жертвы. Использование таких бэкдоров позволяет банде выполнять целый ряд действий, включая эксфильтрацию данных, манипулирование системой и потенциальное развертывание дополнительных полезных нагрузок по желанию, тем самым ставя под угрозу целостность и конфиденциальность целевых систем.

Предупреждение о риске служит важным предупреждением для пользователей о необходимости сохранять бдительность при загрузке программного обеспечения, подчеркивая необходимость получения приложений исключительно из официальных и проверенных источников. Кроме того, организациям и частным лицам рекомендуется применять передовые методы обеспечения безопасности, такие как использование решений для защиты конечных точек, постоянное обновление программного обеспечения и проведение регулярных аудитов безопасности для снижения рисков, связанных с такой тактикой обмана. Появление этой конкретной атаки подчеркивает эволюционирующий ландшафт угроз, в котором злоумышленники продолжают совершенствовать свои методологии взлома систем с помощью социальной инженерии и манипулирования законными путями распространения программного обеспечения.

#ParsedReport #CompletenessLow
09-01-2026

Maduro Arrest Used as a Lure to Deliver Backdoor

https://www.darktrace.com/blog/maduro-arrest-used-as-a-lure-to-deliver-backdoor

Report completeness: Low

Actors/Campaigns:
Red_delta

Threats:
Spear-phishing_technique
Dllsearchorder_hijacking_technique

Geo:
Taiwan, Chinese, Ukrainian, Ukraine, China, Tibet

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036.005, T1204.002, T1566.001

IOCs:
Path: 2
File: 1
Registry: 1
IP: 1
Hash: 3

Algorithms:
zip

Win API:
LoadLibraryW

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники используют геополитические события, такие как арест президента Венесуэлы Николаса Мадуро, для распространения бэкдоров вредоносного ПО с помощью кампаний Целевого фишинга. Исследователи Darktrace сообщили, что хакерская группировка использовала zip-архив под названием "МЫ сейчас решаем, что делать дальше". Venezuela.zip " для доставки исполняемого файла и библиотеки DLL, обманом заставляя пользователей запускать вредоносное программное обеспечение. Эта тактика согласуется с более широкой тенденцией, когда киберугрозы переплетаются с текущими событиями для повышения эффективности атак.
-----

Злоумышленники постоянно изобретают новые способы использовать текущие события в злонамеренных целях, примером чему может служить недавний случай, связанный с арестом президента Венесуэлы Николаса Мадуро. Исследователи из Darktrace обнаружили хакерскую группировку, использующую это событие в качестве приманки для распространения бэкдоров вредоносного ПО. Хотя конкретный метод первоначального доступа остается неясным, вполне вероятно, что атака была инициирована с помощью Целевого фишинга электронных писем, направленных потенциальным жертвам. Сообщается, что эти электронные письма содержали zip-архив с надписью "МЫ сейчас решаем, что делать дальше Venezuela.zip ," что привело бы пользователей к запуску вредоносных файлов.

Содержимое zip-файла исполняемого файла под названием "Мадуро будет принято к новым York.exe" и библиотеки динамической компоновки (DLL) с именем "kugou.dll." Использование такой узнаваемый и своевременный прикорм блюда, чтобы повысить вероятность пользователи ошибочно выполнение вредоносного программного обеспечения, предоставляя злоумышленникам бэкдор доступ к системам жертв.

Эта тактика использования выдающихся геополитических событий для повышения доверия к вредоносному контенту не нова. Исторически сложилось так, что хакерские группировки часто ссылались на важные глобальные проблемы, включая войну на Украине, в своих кампаниях по Целевому фишингу. Китайская хакерская группировка Mustang Panda известна тем, что использует аналогичные стратегии, фокусируясь на текущих событиях, таких как украинский конфликт или проблемы, связанные с Тибетом, Южно-Китайским морем и Тайванем. Такие примеры отражают более широкую тенденцию, когда киберугрозы переплетаются с событиями реального мира, позволяя злоумышленникам манипулировать эмоциями и срочностью для достижения своих вредоносных целей.

#ParsedReport #CompletenessMedium
10-01-2026

Q4 2025 Malware Statistics Report for Windows Database Servers

https://asec.ahnlab.com/ko/91968/

Report completeness: Medium

Threats:
Clrshell
Coinminer
Gh0st_rat
Cobalt_strike_tool
Meterpreter_tool
Anydesk_tool
Rustdesk_tool
Trigona
Bitsadmin_tool
Juicypotato_tool
Loveminer
Mykings
Netcat_tool

Victims:
Ms sql server, Mysql server, Windows database servers

ChatGPT TTPs:
do not use without manual check
T1078, T1082, T1105, T1110, T1505.002

IOCs:
Command: 2
File: 3
Path: 2
Url: 7
Hash: 5
IP: 2

Soft:
MS-SQL, MySQL, Curl, Bat2Exe

Algorithms:
md5

Languages:
powershell, rust

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Отчет о статистике вредоносного ПО за 4 квартал 2025 года показывает, что Trigona group нацелена на общедоступные серверы MS-SQL, используя слабые учетные данные с помощью брутфорса или атак по словарю. После взлома этих серверов они используют оболочку CLR для развертывания вредоносных полезных нагрузок и выполнения команд для сбора обширной системной информации, способствующей дальнейшему использованию. Это подчеркивает необходимость повышенной бдительности и безопасности в отношении развивающихся киберугроз, нацеленных на серверы баз данных.
-----

В отчете о статистике вредоносного ПО для серверов баз данных Windows за 4 квартал 2025 года Аналитический центр безопасности AhnLab (ASEC) проанализировал атаки, нацеленные на серверы MS-SQL и MySQL, работающие на платформах Windows. В отчете раскрывается значительное количество скомпрометированных серверов с подробным описанием методов и вредоносного ПО, использованных при этих атаках.

Одним из наиболее заметных злоумышленников в этом квартале является Trigona group, которая продолжает проводить атаки, используя обновленное вредоносное ПО и методы. Основное внимание группы сосредоточено на серверах MS-SQL, которые являются общедоступными и уязвимыми для атак брутфорсом или по словарю, в первую очередь нацеленных на серверы со слабыми учетными данными учетной записи. После успешного взлома сервера злоумышленники Trigona используют оболочку CLR (Common Language Runtime) для развертывания дополнительных вредоносных программ. Это говорит об оптимизации их тактики, поскольку они адаптируют свои методы, сохраняя при этом неизменный профиль цели.

Получив доступ к серверу MS-SQL, злоумышленники из Trigona используют серию команд, предназначенных для извлечения подробной информации о скомпрометированной системе. Такой подход указывает на стратегический план, направленный на обеспечение того, чтобы они полностью понимали среду сервера, что облегчает дальнейшую эксплуатацию или установку стойкого вредоносного ПО. В отчете подчеркивается острая необходимость в усиленных механизмах проверки безопасности и защиты от таких нацеленных атак, особенно в средах, где SQL-серверы подключены к Интернету с недостаточной защитой.

По мере развития угроз акцент делается на понимании векторов атак, используемых такими группами, как Trigona, что подчеркивает важность поддержания надежных методов обеспечения безопасности для защиты от таких нацеленных киберугроз.

#ParsedReport #CompletenessHigh
08-01-2026

Reborn in Rust: Muddy Water Evolves Tooling with RustyWater Implant

https://www.cloudsek.com/blog/reborn-in-rust-muddywater-evolves-tooling-with-rustywater-implant

Report completeness: High

Actors/Campaigns:
Muddywater

Threats:
Rustywater
Spear-phishing_technique
Rustric

Victims:
Diplomatic sector, Maritime sector, Financial sector, Telecom sector

Industry:
Education, Government, Maritime, Telco

Geo:
Middle east, Turkmenistan, Israeli

TTPs:
Tactics: 2
Technics: 6

IOCs:
File: 7
Path: 1
Hash: 10
Domain: 3
IP: 3

Soft:
nginx

Algorithms:
exhibit, base64, xor, sha256

Functions:
WriteHexToFile, Chr, CreateObject

Win API:
VirtualAllocEx, WriteProcessMemory, RegOpenKeyExW, GetUserNameW, GetComputerNameExW, CreateWaitableTimerExW

Languages:
rust, powershell

Platforms:
x64

#ParsedReport #ExtractedSchema

Classified images:
schema: 3, code: 6, windows: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В Muddy Water apt-группировка ввела RustyWater имплантата, используя целевой фишинг spearphishing в том, что использовать значок подмены и вредоносные документы Word в предназначенных для различных секторов на Ближнем Востоке. Имплантат поддерживает асинхронный командования и управления связи, включает в себя анти-анализа, и устанавливает сохранением закрепление сохранить свое присутствие. Кроме того, модульная конструкция RustyWater's позволяет проводить индивидуальные операции после компрометации, повышая адаптивность злоумышленника и оперативную эффективность.
-----

В Muddy Water apt-группировка в последнее время превратилась его тактика по реализации RustyWater имплант, после выявления целевой фишинг spearphishing в предназначенных для различных секторов на Ближнем Востоке, включая дипломатию, морское, финансов и телекоммуникаций. Эта кампания использует методы, такие как значок подмены и распространение вредоносных документов Word, чтобы облегчить доставку своего ржавчины на основе вредоносное ПО.

Имплантат RustyWater предназначен для асинхронной передачи команд и контроля (C2), что позволяет ему эффективно управлять взаимодействиями с зараженными системами, избегая обнаружения. В дополнение к своим возможностям C2, имплант включает в себя функции антианализа, что затрудняет исследователям безопасности анализ его поведения. Кроме того, он обеспечивает закрепление реестра, гарантируя, что вредоносное ПО сохранит свое присутствие в скомпрометированных системах даже после перезагрузки.

Более того, RustyWater поддерживает модульные операции после компрометации, позволяя злоумышленникам расширять свои возможности в сети жертвы. Такая модульность позволяет проводить индивидуальные операции в зависимости от конкретных целей атаки, повышая адаптивность и эффективность злоумышленника. Использование Rust для разработки этого импланта свидетельствует о тенденции к созданию более сложного, ориентированного на производительность вредоносного ПО в среде киберугроз.

#ParsedReport #CompletenessLow
08-01-2026

Threat Actors Actively Targeting LLMs

https://www.greynoise.io/blog/threat-actors-actively-targeting-llms

Report completeness: Low

Threats:
Nuclei_tool
React2shell_vuln

Victims:
Llm infrastructure, Llm model endpoints

Geo:
Netherlands, Sri lanka, Japan, Romania

CVEs:
CVE-2023-1389 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2025-55182 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1046, T1102, T1190, T1210, T1212, T1552, T1592, T1595, T1595.002

IOCs:
IP: 7

Soft:
Slack, Ollama, OpenAI, Claude, DeepSeek, DeepSeek-R1, Ubuntu

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние кампании были нацелены на большие языковые модели (LLM) с использованием таких методов, как подделка запросов на стороне сервера (SSRF), которые используют функциональность извлечения модели Ollama с помощью введенных вредоносных URL-адресов. Злоумышленники провели разведку более чем на 73 конечных точках LLM с двух IP-адресов, сгенерировав 80 469 сеансов для выявления неправильно настроенных прокси-серверов, которые могут привести к утечке доступа к коммерческим API. Этот повышенный риск эксфильтрации данных указывает на критические уязвимости в инфраструктуре LLM.
-----

Злоумышленники недавно нацелили большие языковые модели (LLM) с помощью специальных кампаний атак. Один из известных методов включал кампанию по подделке запросов на стороне сервера (SSRF), которая использовала функциональность извлечения модели Ollama путем внедрения вредоносных URL-адресов реестра. Это позволило злоумышленникам манипулировать потоком запросов, заставляя серверы выполнять несанкционированные HTTP-запросы к своей инфраструктуре. Кроме того, кампания включала интеграцию Twilio SMS webhook, где вредоносные параметры в mediaUrl приводили к исходящим подключениям к местоположениям, контролируемым злоумышленниками.

Начиная с 28 декабря 2025 года, другая кампания была сосредоточена на разведке, в ходе которой было исследовано более 73 конечных точек модели LLM. Эта систематическая работа по перечислению была проведена по двум IP-адресам, которые сгенерировали ошеломляющие 80 469 сеансов всего за одиннадцать дней. Цель состояла в том, чтобы выявить неправильно настроенные прокси-серверы, которые могли привести к утечке доступа к коммерческим API, увеличивая риск эксфильтрации данных или несанкционированного использования моделей.

Для смягчения угроз, создаваемых инфраструктуре LLM, рекомендуется несколько защитных мер. Организациям следует ограничить использование моделей, настроив Ollama на прием моделей только из доверенных реестров. Реализация фильтрации на выходе может помочь заблокировать доступ обратных вызовов SSRF к инфраструктуре злоумышленника. Также крайне важно обнаруживать и предупреждать о шаблонах, указывающих на перечисление, в частности о быстрых запросах, нацеленных на несколько конечных точек модели, а также о конкретных запросах на снятие отпечатков пальцев, таких как запросы о количестве штатов в Соединенных Штатах.

В дальнейшем укреплять оборону, такие меры, как блокирование исходящего сеанса приложения трафик (Ост) на уровне DNS может отсечь каналы, подтверждающие успешные попытки эксплуатации. Лимитирующей связи с подозрительной номера автономной системы (ASN), специально AS152194, AS210558, и AS51396, которые были заметны в атаке дорожного движения, также имеет важное значение. Наконец, мониторинг JA4 отпечатков пальцев поможет в выявлении и блокировании средств автоматизации таргетинга обучение инфраструктуры, тем самым повышая общий уровень безопасности против этих новых угроз.

#ParsedReport #CompletenessLow
11-01-2026

Fake "Fast Ray VPN" Site on Cloudflare Pages Leading to PUA Downloads

https://malwr-analysis.com/2026/01/11/fake-fast-ray-vpn-site-on-cloudflare-pages-leading-to-pua-downloads/

Report completeness: Low

Actors/Campaigns:
Fast_ray_vpn (motivation: financially_motivated)

Threats:
Pixelsee

Victims:
Consumers

IOCs:
Url: 6
Domain: 8
File: 2
Hash: 1

Soft:
Opera, TikTok, Google Play

Algorithms:
md5

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4