😈 Вирус OfflRouter уже почти 10 лет остаётся незамеченным в правительственных сетях Украины

Некоторые правительственные сети Украины остаются заражёнными с далёкого 2015 года. Исследователи из Cisco Talos проанализировали более 100 заражённых документов, что и позволило им выявить продолжающуюся активность вируса на территории Украины.

‼️ Принцип действия OfflRouter: VBA-макросы, вложенные в документы Microsoft Word, при запуске заражённого документа сбрасывают исполняемый .NET-файл с именем «ctrlpanel.exe», который затем заражает все файлы с расширением «.doc», найденные на компьютере и подключенных съёмных носителях, не трогая при этом документы «.docx» и любые другие файлы прочих форматов.

— Вредонос OfflRouter уже несколько раз был замечен различными организациями безопасности. В 2018 году о нём впервые сообщила команда MalwareHunterTeam, а в 2021 эксперты CSIRT.SK направили информацию о заражённых файлах прямо на веб-сайт украинских киберспециалистов.

#Malware #Vulnerability #Ukraine | 🧑‍💻 Этичный хакер

😈 Разработка вредоносного ПО для MacOS: создание заготовки

В этой статье мы погрузимся в мир проектирования и разработки вредоносного ПО для macOS, которая по сути является операционной системой на основе Unix.

При исследовании внутренностей системы Apple мы воспользуемся классическим подходом с опорой на базовые знания эксплойтов, программирования на C и Python, а также знакомство с низкоуровневым языком ассемблера.

❗️ Что будет затрагиваться в статье:
- Знакомства с архитектурой macOS и с особенностями её безопасности
- Углубимся во внутреннее устройство и рассмотрим ключевые элементы: Mach API и ядро
- Создадим заготовку зловредного ПО

🗣 Ссылка на чтиво

#Malware #MacOS #SIP | 🧑‍💻 Этичный хакер

😈 Gomir: инструмент из Северной Кореи для атак на Linux

Был выявлен инструмент северокорейской группировки Kimsuki, использующийся для атак на правительственные и коммерческие организации Южной Кореи.

Вредонос является Linux-версией известного трояна GoBear, ориентированного на Windows. Новая версия обладает всеми основными функциями своего предшественника, включая прямую связь с C2-сервером, механизмы сохранения в системе и поддержку выполнения широкого спектра команд.

ПО поддерживает 17 операций, полученные через HTTP-запросы POST с C2-сервера. Операции включают: приостановку связи с C2-сервером; выполнение произвольных shell-команд; сбор информации о системе (имя хоста, имя пользователя, CPU, RAM, сетевые интерфейсы); создание произвольных файлов на системе и их эксфильтрацию.

#News #Korea #APT #Malware | 🧑‍💻 Этичный хакер

😈 Разработка вредоносного ПО для MacOS: инъекция и закрепление шелл-кода

Мы продолжаем тему о проектировании и разработке вредоносного ПО для macOS.

❗️ Что будет затрагиваться в статье:
- Методики инъецирования кода и то, как он применяется в вредоносном ПО
- Способы обеспечения постоянства хранения
- Процесс инъецирования шелл-кода и его закрепление на конечном устройстве

🗣 Ссылка на чтиво

#Malware #MacOS #SIP | 🧑‍💻 Этичный хакер

😈 Stack Overflow: новый способ распространения вредоносного ПО

Злоумышленники нашли новый способ распространения вредоносного ПО через Stack Overflow – отвечая на вопросы пользователей, хакеры рекомендуют установить вредоносный PyPi-пакет, который заражает компьютеры и похищает конфиденциальную информацию.

Новый вредоносный PyPi-пакет, связанный с уже известной кампанией «Cool package». Кампания, начавшаяся в прошлом году, нацелена на пользователей Windows и использует пакет под названием «pytoileur»

— Пакет был загружен на репозиторий PyPi под видом инструмента для управления API. Его они продвигают через ответы на вопросы пользователей Stack Overflow, представляя пакет как решение для различных проблем.

#News #Malware #PyPi | 🧑‍💻 Этичный хакер

😈 Стилер Lumma прячется в репо для разработчиков

В репозитории PyPI обнаружен вредоносный пакет, предназначенный для похищения информации Lumma (также известной как LummaC2). Это пакет с названием «crytic-compilers», являющийся подделкой легитимной библиотеки «crytic-compile». Фальшивый пакет был загружен 441 раз, прежде чем его удалили.

- Примечательно, что некоторые версии «crytic-compilers», действительно устанавливали легитимное содержимое, однако в версии 0.3.11, определяя операционную систему как Windows, пакет запускает исполняемый файл («s.exe»), который в свою очередь загружает дополнительные компоненты, включая инфостилер Lumma.

#News #Stealer #PiPI #Malware | 🧑‍💻 Этичный хакер

😈 Обнаружены вредоносные расширения VSCode, установленные миллионы раз

Началось всё с израильских ИБ-спецов, которые в рамках эксперимента сумели «заразить» более 100 организаций, создав клона популярной темы Dracula Official с вредоносным кодом.

— Расширение использовало код легитимной темы Darcula, но также содержало дополнительный скрипт, который собирал информацию о системе, включая имя хоста, количество установленных расширений, доменное имя устройства и информацию об ОС, а затем передавал все это на удаленный сервер через HTTPS POST-запрос.

❗️ Дальнейший анализ VSCode Marketplace и вовсе выявил тысячи опасных расширений с миллионами установок.

#News #Malware #VSCode | 🧑‍💻 Этичный хакер

😈 Разработка вредоносного ПО для MacOS: создание заготовки

В этой статье мы погрузимся в мир проектирования и разработки вредоносного ПО для macOS, которая по сути является операционной системой на основе Unix.

При исследовании внутренностей системы Apple мы воспользуемся классическим подходом с опорой на базовые знания эксплойтов, программирования на C и Python, а также знакомство с низкоуровневым языком ассемблера.

❗️ Что будет затрагиваться в статье:
- Знакомства с архитектурой macOS и с особенностями её безопасности
- Углубимся во внутреннее устройство и рассмотрим ключевые элементы: Mach API и ядро
- Создадим заготовку зловредного ПО

🗣 Ссылка на чтиво

#Malware #MacOS #SIP | 🧑‍💻 Этичный хакер

😈 Малварь с управлением через эмодзи в Discord

Обнаружен Linux-малварь DISGOMOJI, которая использует эмодзи для выполнения команд на зараженных устройствах и в основном атакует правительственные учреждения в Индии, предполагается, что этот вредонос связан с пакистанскими хакерами, известным под идентификатором UTA0137.

— DISGOMOJI похож на многие другие бэкдоры, позволяя выполнять команды, делать скриншоты, похищать файлы, развертывать дополнительные полезные нагрузки и искать конкретные файлы. Однако от других этот отличается использованием Discord в качестве управляющего сервера и эмодзи, что позволяет ему обходить защитные системы, которые обычно реагируют на текстовые команды.

❗️ После успешной атаки злоумышленники используют полуученый доступ для бокового перемещения по сети жертвы, кражи данных, а также пытаются похитить дополнительные учетные данные.

#Malware #News #Discord | 🧑‍💻 Этичный хакер

😈 Более 1300 доменов распространяют малвари под видом софта

Сеть, состоящая более чем из 1300 доменов, предлагает пользователям малварь под видом популярных утилит и офисных приложений (вместе с ключами активации или кряками).

Все началось с вредоносного файла, загруженного на рабочее устройство сотрудника неназванной российской компании, как оказалось, вредоносный архив был скачан с файлообменника MediaFire, а перед этим пострадавший пользователь посещал ресурс, на котором предлагались для скачивания популярные утилиты и офисные приложения.

❗ Дальнейшее расследование выявило реальный масштаб этой кампании. С помощью системы графового анализа исследователи изучили сетевую инфраструктуру вредоносного сайта из упомянутого инцидента и обнаружили более 1316 уникальных доменов, распространяющих малварь.

#Malware #News #RU | 🧑‍💻 Этичный хакер