Fsecurity | HH
Kanalga Telegram’da o‘tish
👾 Канал про КБ и пентест Наш Discord: https://discord.gg/Eg8aDS7Hn7 ✉️ По сотрудничеству: @OxHaskar 🍩 Поддержать: https://www.donationalerts.com/r/xackapb
Ko'proq ko'rsatish2 069
Obunachilar
Ma'lumot yo'q24 soatlar
-47 kun
-330 kun
Postlar arxiv
2 069
Repost from Ralf Hacker Channel
NTLM релей в WinRMS, не ждали? А вот...
Blog: https://sensepost.com/blog/2025/is-tls-more-secure-the-winrms-case./
Soft: https://github.com/fortra/impacket/pull/1947
#pentest #redteam #relay #ad #lateralmovement
2 069
Repost from ESCalator
+4
Большой браузер следит за тобой 👹
Группа киберразведки зафиксировала новую кампанию с использованием обновленного стилера Unicorn, начавшуюся в середине февраля и продолжающуюся по сей день. Целью атак является государственный сектор, а за их проведением стоит ранее не идентифицированная хакерская группировка.
Злоумышленники рассылают фишинговые письма с тематикой СВО, содержащие вложенные архивы с вредоносным HTA-файлом (скриншот 1). Этот файл содержит обфусцированный код и имеет название, совпадающее с темой письма. При его открытии запускается документ-приманка (скриншот 2), а вместе с ним — вредоносный код (посредством события
window_OnLoad).
ВПО пытается мимикрировать под Яндекс Браузер. Вредоносный скрипт создает VBA-файлы по пути %USERPROFILE%\AppData\Local\YandexUpdate, добавляет полезную нагрузку в реестр HKCU\Software\YandexUpdate (скриншоты 3, 4), прописывает VBA-файлы в автозагрузку через реестр HKCU\Software\Microsoft\Windows\CurrentVersion\Run, а также регистрирует задания в планировщике с помощью schtasks.
🔤 Изначально злоумышленники использовали три скрипта:
• log01.vbs — выполняет обход директорий пользователей, анализирует содержимое определенных папок и сохраняет файлы с заданными расширениями (.pdf, .txt, .doc, .docx, .rtf, .odt, .xls, .xlsx, .ods, .csv, .jpg, .png, .zip, .rar).
• log02.vbs — похищает учетные данные из Telegram и браузеров (из Chrome, Edge, Opera, Яндекс Браузера).
• log03.vbs — передает собранные данные на командный сервер.
👾 В последних атаках группировка модифицировала и расширила функциональность ВПО:
• В crash_report.vbs (ранее — log01.vbs) увеличен список расширений файлов для сбора (.vsdx, .vdx, .7z, .tar, .jpeg, .cdr, .kmz, .kml, .aqe). Важно, что были добавлены расширения .kml и .kmz, используемые в военной топографии.
• С помощью service_report.vba злоумышленники пытались получить список всех флеш-накопителей, но скрипт оказался нерабочим.
• Добавлен механизм самозащиты: update_logging.vbs восстанавливает удаленные вредоносные файлы, подгружая их содержимое из реестра.
⚠️ Важно отметить, что VBA-скрипты не детектируются антивирусными решениями, так как считывают значения из реестра и запускают вредоносный код напрямую. Это усложняет процесс обнаружения (скриншот 5).
Анализ атаки указывает на развитие методики злоумышленников. Кроме того, стоит отметить, что группировка проявляет интерес к расширениям, связанным с картографией. Это может свидетельствовать о специфической цели или о стратегическом интересе в указанной области.
IoCs
Домен vm-tiktok.org Хеш-суммы 096c340e9a20476a191721e6eaeedcc2 0debff602f2912127c562839c7fcd3d7 e25042fba726356d7e88efe0608a4e36 290a4cff70029ca2a0095a3e3a8b19e7 65ef77db51277a046f76f21a59dee9e0 80bc350629a1ba59b2a19b9029feece5 d0f9fadbf157a8236b88cfc03f17a811 4feaa6c50348641799a8f56e76cd52e7#TI #APT #Malware #Phishing @ptescalator
2 069
Repost from s0ld13r ch.
Стилеры н-нада?? 😈
Последние дни админ был в состоянии глубокой фрустрации... пока не надыбал годноту, которой просто грех не поделиться 👋
Недавно @ThreatHuntingFather поднимал интересную тему — Initial Access Brokers (IAB). Это такие пробивалы, которые не сами ломают инфраструктуру, а продают уже готовые доступы другим злоумышленникам. Такой себе доступ по подписке 💸
А как же они эти доступы получают? Один из популярных способов — всеми любимые инфостилеры. Атакующему проще сперва найти уже слитые креды сотрудников, чем шуметь в инфраструктуре и ловить внимание SOC 🛡
Стилеров сейчас пруд пруди — они массово распространяются, чтобы выкачивать пароли, VPN-конфиги и прочий сочный лут. И вот чтобы разбирать их техники и понимать, как это всё работает, есть отличный ресурс — InfoStealers.com 🐸
В общем, must-have в закладках 🕺
🧢 s0ld13r
