Исследователи Лаборатории Касперского сообщают о новых похождениях китайской APT-группы HoneyMyte (Mustang Panda и Bronze President), в арсенале которой были замечены новые версии вредоносного ПО.

Ее кампании затрагивают Европу и Азию, при этом особое внимание уделяется Юго-Восточной Азии, а основными целями являются государственные организации.

Как и другие APT-группы, HoneyMyte использует ряд сложных инструментов, включая бэкдоры ToneShell и CoolClient, USB-черви Tonedisk и SnakeDisk, а также другие зловреды.

В 2025 году группа продолжила обновлять арсенал: добавила новые функции в бэкдор CoolClient, развернула несколько вариантов браузерного стилера и применяла различные скрипты для разведки и кражи данных.

CoolClient используется Mustang Panda с 2022 года в качестве вторичного бэкдора наряду с PlugX и LuminousMoth. Обновленный вариант способен красть данные для входа в браузеры и отслеживать содержимое буфера обмена.

По данным ЛК, вредоносная ПО также использовалась для распространения ранее неизвестного руткита. Однако технический анализ будет представлен в будущем отчете.

Новый CoolClient был детектирован в атаках на госструктуры в Мьянме, Монголии, Малайзии, России и Пакистане, где был развернут с помощью легитимного ПО от китайской Sangfor.

Ранее операторы CoolClient запускали вредоносное ПО путем установки DLL-файлов, используя подписанные бинарные файлы от Bitdefender, VLC Media Player и Ulead PhotoImpact.

CoolClient использует зашифрованные файлы .DAT в многоэтапном режиме выполнения и обеспечивает постоянное присутствие в системе за счет изменений в реестре, добавления новых служб Windows и запланированных задач, поддерживая обход UAC и EoP.

Основные функции CoolClient интегрированы в DLL-библиотеку, встроенную в файл main.dat. При запуске программа сначала проверяет, включены ли кейлоггер, программа для кражи буфера обмена и программа для перехвата учетных данных HTTP-прокси.

Основные функции вредоносной ПО включают: профилирование системы и пользователя, файловые операции, перехват нажатий клавиш, TCP-туннелирование, обратное проксирование и выполнение динамически загружаемых плагинов в оперативной памяти.

Причем все они доступны как в старых, так и в новых версиях, но в самых последних вариантах они достаточно усовершенствованы.

Уникальными новыми функциями последней версии CoolClient являются: модуль мониторинга буфера обмена, возможность отслеживания заголовков активных окон и перехват учетных данных HTTP-прокси на основе анализа необработанных пакетов и извлечения заголовков.

Кроме того, экосистема плагинов была расширена за счет внедрения специального плагина удаленной оболочки, плагина управления службами и более функционального плагина управления файлами.

Плагин управления службами позволяет операторам сканировать, создавать, запускать, останавливать, удалять и изменять конфигурацию запуска служб Windows, а плагин управления файлами предоставляет расширенные возможности работы с файлами, включая анализ дисков, поиск файлов, сжатие ZIP-архивов, сопоставление сетевых дисков и выполнение файлов.

Функциональность удаленной оболочки реализована с помощью отдельного плагина, который запускает скрытый процесс cmd.exe и перенаправляет его стандартный ввод и вывод через каналы, обеспечивая интерактивное выполнение команд по каналу C2.

Новинкой в работе CoolClient является использование инфостиллеров для сбора данных для входа в систему из браузеров.

В ЛК задокументировали три различных семейства ПО, нацеленных на Chrome (вариант A), Edge (вариант B) и более универсальный вариант C, нацеленный на любой Chromium-браузер.

Еще одно заметное изменение в операционной деятельности заключается в том, что кража данных из браузера и документов теперь реализуется через жестко закодированные токены API для легитимных общедоступных сервисов, Google Drive или Pixeldrain.

Технический разбор и подробности - в отчете.

• Смотрите какая удобная тулза для работы с логами: logmerger. Иногда бывает нужно осуществить сортировку данных из нескольких лог-файлов по времени и сравнить их между собой, так вот эта софтина как раз и предназначена для этого. Само собой logmerger имеет открытый исходный код. Детальное описание есть тут: https://github.com/ptmcg/logmerger

• Кстати, в качестве альтернативы есть еще https://lnav.org, тут найдете удобную фильтрацию, подсветку синтаксиса и другие полезные фичи.

#Разное #Tools

Подкатило еще одно совместное исследование от SentinelOne, SentinelLABS и Censys, демонстрирующее масштаб угроз, связанных с внедрением ИИ с открытым исходным кодом.

Согласно результатам, «обширный неуправляемый и общедоступный уровень вычислительной инфраструктуры ИИ» охватывает 175 000 уникальных хостов Ollama в 130 странах.

Исследователи подчеркивают, что эти системы, как облачные, так и частные сети по всему миру, работают вне рамок защитных механизмов и систем мониторинга, которые поставщики платформ внедряют по умолчанию.

Подавляющее большинство уязвимостей сосредоточено в КНР, на его долю приходится чуть более 30%. К странам с наибольшей инфраструктурой относятся США, Германия, Франция, Южная Корея, Индия, Россия, Сингапур, Бразилия и Великобритания.

Почти половина наблюдаемых хостов настроена с возможностями вызова инструментов, позволяющими им выполнять код, получать доступ к API и взаимодействовать с внешними системами, что демонстрирует растущее внедрение LLM в более крупные системные процессы.

Ollama представляет собо фреймворк с открытым исходным кодом, позволяющий пользователям легко загружать, запускать и управлять большими языковыми моделями (LLM) локально в Windows, macOS и Linux.

По умолчанию сервис привязывается к адресу localhost 127.0.0[.]1:11434, но он может оказаться доступным из интернета с помощью простого изменения: настройки на привязку к 0.0.0[.]0 или публичному интерфейсу.

Ollama, как и недавно обозреваемый нами Moltbot (Clawdbot), размещается локально и работает за пределами периметра корпоративной безопасности, создавая таким образом новые вызовы по части безопасности, что, в свою очередь, требует новых подходов для защиты вычислительных ресурсов ИИ.

Среди наблюдаемых хостов более 48% рекламируют возможности вызова инструментов через свои API-интерфейсы, которые при запросе возвращают метаданные, описывающие поддерживаемые ими функции.

Вызов инструментов (или вызов функций) позволяет LLM взаимодействовать с внешними системами, API и базами данных, расширяя их возможности или получая данные в режиме реального времени.

Однако возможности вызова инструментов коренным образом меняют модель угроз. Конечная точка генерации текста может создавать вредоносный контент, а конечная точка с поддержкой инструментов - выполнять привилегированные операции.

В сочетании с недостаточной аутентификацией и уязвимостью сети - это создает, по оценке исследователей, самый высокий уровень риска в экосистеме.

Анализ также выявил хосты, поддерживающие различные режимы работы, выходящие за рамки текста, включая возможности логического мышления и визуального анализа, при этом 201 хост использовал шаблоны подсказок без цензуры и без защитных ограничений.

Открытость подвергает такие системы LLMjacking, когда ресурсы инфраструктуры LLM жертвы используются злоумышленниками в своих интересах, а жертва оплачивает все расходы.

Причем обозначенные риски теперь имею вполне практическую реализацию, если верить результатам упомянутого выше отчета Pillar Security в отношении Operation Bizarre Bazaar.

• Знаете, почему, придя на новое место, никто не любит разбираться с наследием предыдущего владельца, а предпочитает снести всё и начать заново?
Так вот именно поэтому!

#Юмор

РОЗЫГРЫШ VICTORINOX SWISS TOOL PLUS + ЗНАНИЯ В ПОДАРОК

В "Инженерном сообществе" проходит розыгрыш мультитула Victorinox SwissTool Plus

Почему стоит зайти и подписаться?
Это площадка “для своих” — инженеров, которые любят свою работу и ценят настоящую компетенцию.
Это не корпоративный блог, не медиа, не реклама — это точка притяжения для профессионалов, где можно увидеть реальную инженерную жизнь: проекты, объекты, шутки, наблюдения, фото “из полей”

Как участвовать в розыгрыше:
1. Подписаться на канал @engineers_com
2. Нажать кнопку «Участвую» в конкурсном посте

Розыгрыш — 23 февраля.
Заходите, подписывайтесь, участвуйте: @engineers_com
Реклама. ООО "УРАЛЭНЕРГОТЕЛ". ИНН 6670171718. erid: 2W5zFH4ruSp

Исследователи из Лаборатории Касперского сообщают о детектировании активности группировки Stan Ghouls (Bloody Wolf), нацеленной на Узбекистан и Россию с использованием NetSupport RAT.

Группа действует как минимум с 2023 года на российском, киргизском, казахском и узбекском направлениях, фокусирует на финансовых, производственных и IT компаниях, атаки готовит тщательно, адаптируясь под конкретных жертв, включая инфраструктуру, и задействуя семейство специальных вредоносных загрузчиков на Java.

В общей сложности на счету Stan Ghouls в рамках новой наблюдаемой кампании примерно 50 жертв в Узбекистане, 10 - в России, а также еще несколько в Казахстане, Турции, Сербии и Беларуси (вероятно, что заражения в последних трех странах носили случайный характер).

Stan Ghouls использует в качестве первоначального вектора фишинговые электронные письма, содержащие вредоносные PDF-вложения. Это подтверждают и результаты исследований коллег ЛК (1, 2, 3).

Почти все фишинговые письма и файлы-приманки содержат текст на узбекском, что согласуется с их прошлыми атаками, где также применялись языки стран-целей.

Большинство жертв относятся к промышленному производству, сфере финансов и IT.

Кроме того, фиксировались попытки заражений устройств в госорганизациях, логистических компаниях, учебных и медицинских учреждениях.

Примечательно, что более 60 жертв - это довольно много для одной таргетированной кампании, включающей атаки с существенным участием операторов. Это указывает на готовность инвестировать значительные ресурсы в свою деятельность. 

Поскольку Stan Ghouls активно атакует финансовые организации, мы полагаем, что основная мотивация этой группы финансовая.

При этом стоит отметить, что злоумышленники используют RAT-ники, что может также указывать на кибершпионаж.

Ранее основным инструментом злоумышленников выступал STRRAT, также известный как Strigoi Master, однако с прошлого года они начали использовать легитимное ПО NetSupport в качестве средства управления зараженной машиной.

Как показали новые наблюдения, Stan Ghouls продолжает использовать прежний набор инструментов, включая легитимную утилиту удаленного управления NetSupport, а также уникальный вредоносный загрузчик, написанный на Java.

Злоумышленники активно обновляют только инфраструктуру.

В частности, для этой вредоносной кампании они использовали два новых домена для размещения своего вредоносного загрузчика и один новый домен для хостинга файлов NetSupport RAT.

Любопытной находкой стали файлы Mirai на одном из доменов, фигурировавших в прошлых кампаниях группы, что может указывать на то, что операторы этой группы начали использовать вредоносное ПО для IoT-систем. Однако достоверно это утверждать пока сложно.

Подробный технический разбор и IOCs - в отчете.

В ЛК также отмечают, что дополнительные индикаторы и правило YARA для детектирования активности Stan Ghouls доступны клиентам сервиса Threat Intelligence.