Группа киберразведки PT ESC представила обзор кибератак за IV квартал 2025 года ✍️

В отчете проанализирована активность хакерских группировок, нацеленных на российские организации — от госсектора и ВПК до промышленности, финансов и телекоммуникаций.

Описана активность APT31, ExCobalt, QuietCrabs, Rare Werewolf, PseudoGamaredon, а также финансово мотивированных Werewolves, NetMedved, Silver Fox и Hive0117.

✉️ Основные векторы первоначального доступа:

• Таргетированный фишинг с легендами деловой переписки, уведомлений от государственных ведомств и закупочной документации;
• Запароленные архивы с LNK-, SCR-, EXE-загрузчиками и документами-приманками;
• Эксплуатация свежих RCE-уязвимостей с массовым сканированием внешних сервисов;
• Компрометация подрядчиков и открытых RDP-сервисов.

🔧 Ключевые тенденции и техники:

• Постоянная эволюция инструментария;
• Активное использование легитимных сервисов и облаков для скрытного управления;
• Новые способы закрепления;
• Стеганография и многоступенчатые цепочки;
• Быстрая эксплуатация уязвимостей нулевого и энного дня.

Ознакомиться с отчетом можно в нашем блоге.

#TI #APT #Malware #Phishing
@ptescalator

Пришел, увидел, подал заявку 👍

Всем привет! Мы продолжаем сбор заявок на доклады в треке DEFENSE на нашем ежегодном киберфестивале Positive Hack Days, который пройдет с 28 по 30 мая в Москве.

Пример тем, которые можно подать на трек:

Актуальные киберугрозы: расследование инцидентов, киберразведка (от тактического до стратегического уровня), OSINT, проактивное детектирование и отслеживание киберугроз, Threat Hunting, исследование Dark Web, исследование киберугроз для мобильных и промышленных систем.

Автоматизация и новые технологии: AI-агенты в исследовании киберугроз и мониторинге, автоматизация в расследовании инцидентов, автоматизация рутинных процессов в защите от киберугроз, автоматизированное написание детектирующих правил.

Новые методы детектирования киберугроз: детектирование аномалий в сетевом трафике, выявление фишинга и мошенничества во всех формах, детектирование угроз в облачных средах, Supply Chain Security.

Процессы управления уязвимостями: алгоритмы приоритезации устранения уязвимостей, in-house vulnerability management, контроль периметра.

Взгляд изнутри: как работает ваша команда по расследованию и реагированию, киберразведке, мониторингу и т.д. Любые процессы или технологии, которые вы используете у себя в компании в рамках борьбы с киберугрозами и которыми хотели бы поделиться.

🎤 Формат доклада:

• 30 минут с вопросами
• до двух спикеров на доклад
• без рекламы продуктов и сервисов
• только практические доклады

✈️ Что мы предлагаем:

• входной билет для спикера и двух персон
• билет на самолет или поезд туда и обратно
• номер в гостинице на три ночи
• мерч

💡 Недавно также вышел небольшой гайд, как правильно составить заявку, чтобы ваша тема была понятна программному комитету и имела высокие шансы на одобрение.

Мы ждем ваши темы до 9 марта! Заявку можно оставить на сайте CFP.

#PHDays
@ptescalator

Препарируем сетевой трафик с помощью ML в поисках новых вредоносов 📖

🧪 Мы — команда отдела сетевой экспертизы антивирусной лаборатории ESC и команда машинного обучения — однажды уже построили ML-модель на сетевом трафике, обучили ее на реальных сетевых сессиях и запустили в песочнице PT Sandbox для усиления возможностей по обнаружению вредоносов. Но мы решили не останавливаться на достигнутом — провели серию новых экспериментов, расширили набор входных признаков и протестировали модель на более сложных сценариях.

👾 Благодаря обновлению модель уже успела поймать несколько ранее неизвестных образцов: новую версию бэкдора Oyster, загрузчик APT GOFFEE, несколько стилеров (например, JustAskJacky) и еще ряд небольших, но подозрительных загрузчиков.

💡 Этот опыт подтверждает, что машинное обучение — отличный помощник традиционным сигнатурным решениям: оно видит скрытые паттерны и повышает общую детектируемость вредоносных сетевых сценариев.

Обо всем этом и не только рассказали в нашей статье на Хабре.

#network #avlab #ml
@ptescalator

QR не открылся? Напишите в поддержку 🆘

В середине января группа киберразведки PT ESC зафиксировала фишинговую кампанию под видом уведомлений от государственных ведомств.

1️⃣ Жертве приходит письмо с PDF-документом: внутри — QR-код для получения документов и контакт технической поддержки в Telegram на случай проблем.

2️⃣ При сканировании QR-кода страница оказывается недоступной — и это часть сценария: пользователя подталкивают перейти в диалог с мошенниками.

3️⃣ В переписке запрашивают ФИО и телефон отправителя, а затем выдают новую ссылку — якобы для оплаты доставки.

4️⃣ Сайт визуально копирует интерфейсы легитимных сервисов, но деньги уходят злоумышленникам 💰

В статье на Хабре подробно разобрали мошенническую схему и собрали простые рекомендации для быстрой проверки легитимности письма.

#TI #Phishing
@ptescalator

pip install teligram 🧐 (лучше не запускайте)

Восьмого февраля была опубликована библиотека teligram.

Ее описание гласит: Telegram-based friendly library.

Увы, как обычно у нас в постах, чудес не бывает — библиотека представлена самописным Remote Access Tool (RAT).

Его особенности:

• Есть следы использования LLM.

• Содержит в себе одну большую функцию khelo, в которой реализованы 16 подфункций.

• Присутствуют следы индийского языка (khelo переводится как «играть»; выбранное имя разработчика Om Devendra — индийское).

• Код не обфусцирован, и приветствие бота, отправляемое при использовании команд /help и /start администратором, отражает возможности:

Available commands:
pwd - Show current directory
ls or ls -la - List files
cd <directory> - Change directory
whoami - Show current user
date - Show date and time

TAKE COMMANDS:
1. take <number> - Get the nth file
   Example: take 1

2. take <file_name> - Get file by name
   Example: take myfile.txt

3. take .<extension> - Get all files with extension
   Example: take .jpg or take .py

4. take all - Get ALL non-empty files

5. /send - Upload files to current directory

Special features:
- Working directory saved between commands
- Empty files automatically skipped

Версия 1.0.0 не обладает функционалом запуска после установки. Остальные версии не успели выйти — пакет был отправлен в карантин, хотя и просуществовал 19 часов.

💬 К слову, читать ESCalator можно теперь и в MAX. И это не скам.

#pypi #ti #scs #pyanalysis
@ptescalator

Клик-ловушка: не только для пользователей, но и для анализаторов ссылок 🐭

При ручном разборе ссылок мы, как правило, задаем себе лишь один вопрос — «безопасна ли она?» ✔️❌

Перенести подобный подход в потоковую среду для анализа нельзя: действия, инициируемые переходом по ссылке, могут привести к возникновению новых проблем. Так, приглашения из почтовых сообщений могут автоматически приниматься или отклоняться, производиться автоматическая отписка и/или подписка на корреспонденцию и так далее. В случае если подобное действие вызывает на сервисе отправку нового письма с подобными ссылками, то автоматический переход по ним вызовет непрекращающуюся «лавину» сообщений, что может привести к снижению производительности защитных решений или просто к раздражению пользователей.

🫵 Для решения этой проблемы можно предложить подход, логически схожий с процессом выбора ссылок при ручном анализе: какие-то ссылки нам кажутся крайне подозрительными или однозначно требующими дополнительного контекста для анализа, а какие-то — точно безопасными или, как в предыдущей ситуации, вызывающими определенные действия на сервисах (или вообще одноразовыми). Подход, где система определяет набор признаков «точно нужно переходить» и набор признаков «точно не нужно переходить», называется принятием решений на основе правил (rule-based decision system). Какие признаки можно предложить для реализации подобной системы?

В наборе условий, предотвращающих переход по ссылке, можно рассмотреть:

• наличие паттернов в URL-пути, семантически указывающих на возможное действие при активации, например, /(un)subscribe/, /login/, /exit/, /action/, /track/ и т.д.;

• наличие параметров запроса token, key, uid со значениями, по формату совпадающими с UUID или JWT;

• наличие параметров запроса ts или expires, указывающих на время жизни ссылки;

• если ссылка пришла из почтового сообщения, можно проверить ее наличие в отдельных заголовках подписки/отписки от корреспонденции — List-(Un)Subscribe:;

• при наличии поставки потоков данных с набором «белых» доменов можно рассмотреть отключение анализа содержащих их URL-ссылок. С подобной опцией нужно быть осторожнее, поскольку даже самые популярные и известные сервисы и домены могут использоваться в сценариях с перенаправлением контента.

В наборе условий, вызывающих переход по ссылке, можно рассмотреть:

• ссылки с явным указанием IP-адреса и/или нестандартного порта;

• ссылки с недавно зарегистрированным доменом;

• при наличии категоризатора web-ресурсов с подобной классификацией — ссылки на сервисы-shortener'ы. В случае отсутствия можно рассмотреть условие с короткой длиной URL-ссылки;

• ссылки с указанием в URL-пути файлов с конкретными статическими расширениями, например, *.pdf, *.exe и т.д.;

• ссылки на сервисы объектных хранилищ, например на S3- или IPFS-хранилища.

🧐 Что остается делать со ссылками из анализируемого объекта, которые не попали ни под один из перечней? Здесь можно опираться на реальную картину, которая получается после работы подобного алгоритма: если позволяет производительность системы или время анализа не превышает допустимый SLA на обработку объектов, можно отправлять все «серые» ссылки на получение контента. Либо же ввести ограничение на количество одновременно анализируемых ссылок у одного объекта.

Также для URL-ссылок, не прокатегоризированных системой принятия решений, можно предусмотреть «осторожный» алгоритм получения дополнительного контекста для анализа: переходить по ссылке методом HEAD без получения контента. Таким образом можно получить дополнительную информацию из HTTP-заголовков, применимую как внутри вышеописанного алгоритма, так и в целом для принятия решения о вредоносности ссылки.

#tip #url #mail
@ptescalator
💬 X 💬 Max