Азия под угрозой!

⏺️ Вирус UAT-8099, связанный с Китаем, атакует серверы IIS в Азии с помощью вредоносного ПО BadIIS SEO.

🧾 Обнаруженная с помощью Cisco Talos активность была направлена ​​на уязвимые серверы Internet Information Services (IIS), расположенные по всей Азии, но с особым акцентом на цели в Таиланде и Вьетнаме. Масштабы кампании в настоящее время неизвестны.

🎇 «UAT-8099 использует веб-оболочки и PowerShell для выполнения скриптов и развертывания инструмента GotoHTTP, предоставляя злоумышленнику удаленный доступ к уязвимым серверам IIS», — заявил исследователь безопасности Джои Чен

⛓️‍💥 Цепочка атак начинается с того, что UAT-8099 получает первоначальный доступ к серверу IIS, как правило, используя уязвимость безопасности или слабые настройки в функции загрузки файлов веб-сервера. Затем злоумышленник инициирует ряд шагов для развертывания вредоносных полезных нагрузок:

➡️ Выполнение команды обнаружения и разведки для сбора информации о системе.
➡️ Разворачивание VPN-инструментов и обеспечение постоянный доступ, создав скрытую учетную запись пользователя с именем "admin$".
➡️ Внедрение новых инструментов, такие как Sharp4RemoveLog (удаление журналов событий Windows), CnCrypt Protect (скрытие вредоносных файлов), OpenArk64 (антируткит с открытым исходным кодом для завершения процессов продуктов безопасности) и GotoHTTP (удаленное управление сервером).
➡️ Разворачивание вредоносного ПО BadIIS, используя только что созданную учетную запись.

🔎 Компания Cisco Talos сообщила об обнаружении трех различных вариантов в кластере BadIIS asdSearchEngine:

➡️ Эксклюзивный вариант с несколькими расширениями, который проверяет путь к файлу в запросе и игнорирует его, если он содержит расширение из списка исключений, которое может быть ресурсоемким или препятствовать отображению веб-сайта.
➡️ Вариант «Загрузка HTML-шаблонов» содержит систему генерации HTML-шаблонов для динамического создания веб-контента путем загрузки шаблонов с диска или использования встроенных резервных вариантов и замены заполнителей случайными данными, датами и содержимым, полученным из URL-адресов.
➡️ Вариант проверки соответствия запрошенного пути динамическому расширению страницы или индексу каталога, который проверяет, соответствует ли запрошенный путь динамическому расширению страницы или индексу каталога.

❗️ На данный момент не зафиксированы случаи атаки в РФ, но будьте внимательны!

#apt #iis #attack

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🎇 В Packagist обнаружены вредоносные Laravel-пакеты, распространяющие RAT для Windows, macOS и Linux

Исследователи обнаружили вредоносные PHP-пакеты в репозитории Packagist, которые маскируются под вспомогательные библиотеки для Laravel. На самом деле они устанавливают кроссплатформенный троян удалённого доступа (RAT), способный работать на Windows, macOS и Linux.

Атака относится к классу supply chain attacks — злоумышленники распространяют вредоносный код через зависимости, которые разработчики устанавливают в свои проекты.

❗️ Вредоносные пакеты
Специалисты обнаружили следующие подозрительные пакеты:
▶️nhattuanbl/lara-helper
▶️nhattuanbl/simple-queue
▶️nhattuanbl/lara-swagger

Количество загрузок у них было небольшим, однако они всё равно представляют серьёзную угрозу для разработчиков и серверов, где используются.

Особенность атаки в том, что пакет lara-swagger не содержит вредоносный код напрямую — вместо этого он добавляет зависимость lara-helper, которая уже устанавливает RAT. Такой подход усложняет обнаружение угрозы.


❓Как работает вредоносный код
🔔 В пакетах lara-helper и simple-queue исследователи нашли PHP-файл:

src/helper.php

🔔 Вредоносный код использует несколько техник, чтобы затруднить анализ:
⏺️обфускацию потока управления
⏺️кодирование доменных имён
⏺️скрытие команд и путей
⏺️рандомизацию имён функций и переменных

Это значительно усложняет статический анализ и поиск вредоносной логики.

🕸 Подключение к серверу управления (C2)

После загрузки вредоносный код устанавливает соединение с сервером управления:
helper.leuleu[.]net:2096

Далее заражённая система отправляет информацию о системе и начинает ждать команды оператора. Это фактически даёт злоумышленнику полный удалённый доступ к машине.

Связь происходит по TCP через PHP-функцию:
stream_socket_client()

Благодаря этому вредоносный код остаётся работоспособным даже в средах с жёсткой конфигурацией безопасности PHP.

#rat #attack #laravel #windows #linux

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером