Мир сегодня с "Юрий Подоляка"

Труха⚡️Україна

View

Николаевский Ванёк

View

Мир сегодня с "Юрий Подоляка"

View

Труха⚡️Україна

View

Николаевский Ванёк

View

Threat Hunting Father

• All about Threat Hunting, detecting malicious activity.
• We try to learn, and learn all about APT
• Also we try learn interesting TTP, instruments and features of systems, what use attacker’s
Questions: @rarh1k
For educational purposes only🧠

TGlist rating

TypePublic

Verification

Not verified

Trust

Not trusted

Location

LanguageOther

Channel creation dateJan 16, 2024

Added to TGlist

Jan 20, 2025

I own this channel

History of changes

Linked chat

Threat Hunting Father Chat

Statistic of Telegram Channel Threat Hunting Father

More details

Subscribers

834

24 hours

719.3%Week

9112.3%Month

18027.6%

Citation index

0

Mentions2Shares on channels0Mentions on channels2

Average views per post

152

12 hours650%24 hours1520%48 hours230

74.2%

Engagement rate (ER)

3.95%

Reposts2Comments0Reactions4

Engagement rate by reach (ERR)

19.92%

24 hours0%Week0%Month

4.47%

Average views per ad post

152

1 hour7146.71%1 – 4 hours2919.08%4 - 24 hours85.26%

More details

Connect our bot to the channel to find out the gender distribution of this channel's audience.

Total posts in 24 hours

2

Dynamic

Latest posts in group "Threat Hunting Father"

All posts

Reposted from:

Сертификат безопасности

19.04.202512:25

⚡️KazInfoSec - подборка личных TG-каналов казахстанского ИБ-комьюнити 💭

https://t.me/addlist/kI9Bkz-4Bs41ZmRi

19.04.202506:39

Kimsuky, Konni, Lazarus — март 2025
В марте ASEC зафиксировал активность APT групп: Kimsuky, Konni и Lazarus

Инструменты и техники:
1. Kimsuky
Тема:
фальшивые документы об образовательных программах
Инструменты:
document.bat, 0304.exe, 0304_1.exe
OLE-объекты в HWP-документах
VBScript / Task Scheduler
Техники:
Загрузка .manifest и выполнение скриптов
Устойчивость через планировщик заданий

2. Konni
Тема:

рассылка LNK-файлов, маскирующихся под документы

Инструменты:

AsyncRAT
PowerShell / VBScript / LNK
Комбинация скриптов и скрытые команды

Техники:

Многоуровневая загрузка
Динамические URL и обфускация
Самоудаление следов
Маскировка под

.docx

3. Lazarus

Сценарий 1: Атаки на IIS-серверы (Южная Корея)

Инструменты:

Web shell “RedHat Hacker”

LazarLoader

UACMe

Техники:

Загрузка shell через уязвимость
Выполнение C2-команд
Повышение привилегий

Сценарий 2: npm-атаки

Инструменты:

Зловреды:

BeaverTail

,

InvisibleFerret

Пакеты:

is-buffer-validator

,

auth-validator

,

event-handle-package

GitHub-репозитории

Техники:

Typosquatting
Загрузка и выполнение вредоносного JS-кода при установке

Сценарий 3: Атаки на криптокомпании

Инструменты:

GolangGhost

— бэкдор на Go

FrostyFerret

— стилер для macOS

BeaverTail / InvisibleFerret

— кража данных и кейлоггер

FriendlyFerret / FlexibleFerret / FrostyFerret

— вариации под macOS

nvidia.js

— NodeJS-загрузчик

Техники:

Социальная инженерия (фальшивые интервью)
Метод

ClickFix

Вызов PowerShell, curl, bash, wscript для загрузки и выполнения полезной нагрузки

🔗: ASEC Report – март 2025
🦔 THF

17.04.202505:46

Waiting Thread Hijacking: A Stealthier Version of Thread Execution Hijacking

- Process Injection is one of the important techniques in the attackers’ toolkit. In the constant cat-and-mouse game, attackers try to invent its new implementations that bypass defenses, using creative methods and lesser-known APIs.
- Combining common building blocks in an atypical way, Check Point Research was able to create a much stealthier version of a known method, Thread Execution Hijacking.

Waiting Thread Hijacking involves handles with the following access:
- For the target process: PROCESS_VM_OPERATION, PROCESS_VM_READ, PROCESS_VM_WRITE
- For the target thread: THREAD_GET_CONTEXT

Used APIs:
- NtQuerySystemInformation (with a parameter of SystemProcessInformation )
- GetThreadContext
- ReadProcessMemory
- VirtualAllocEx
- WriteProcessMemory
- VirtualProtectEx

CheckPoint^-^
were able to inject a payload and run it without being noticed by most tested EDRs (Endpoint Detection & Response systems)

🔗 https://research.checkpoint.com/2025/waiting-thread-hijacking/
🐱POC: https://github.com/hasherezade/waiting_thread_hijacking

🦔THF

16.04.202509:39

Оставлю это тутъ👽

🔗https://github.com/CVEProject/cvelistV5

🦔THF

08.04.202512:17

How ToddyCat tried to hide behind AV software 🔦

Когда дело доходит до кибершпионажа, APT группы часто начинают мимикрировать/эксплуатировать антивирусное ПО, чтобы их было сложней найти.
ToddyCat , исполнили такой трюк, запустив свой инструмент TCESB в контексте решения по обеспечению безопасности.
(Attackers use a DLL-proxying technique (Hijack Execution Flow, T1574) to run the malicious code.)

В утилите ESET Command line scanner динамический анализ показал, что сканер небезопасно загружает DLL, сначала проверяя файл в текущем каталоге, а затем выполняя его поиск в системных каталогах. Это может привести к загрузке вредоносной библиотеки DLL, что представляет собой уязвимость - CVE-2024-11859 - (21 января 2025 вендор исправил) Ну а далее когда атакер успешно подгрузил код библиотеки, остается фантазировать)

Найденный инструмент использует цепочку уязвимостей, а также старую версию известного вредоносного ПО с открытым исходным кодом, которую злоумышленники модифицировали, чтобы расширить ее функциональность.

Про цепочку атаки и другие подробности⬇️
🔗https://securelist.com/toddycat-apt-exploits-vulnerability-in-eset-software-for-dll-proxying/116086/

🦔THF

07.04.202518:40

Windows Remote Desktop Protocol: Remote to Rogue

The campaign employed signed .rdp file attachments to establish Remote Desktop Protocol (RDP) connections from victims' machines. Unlike typical RDP attacks focused on interactive sessions, this campaign creatively leveraged resource redirection (mapping victim file systems to the attacker servers) and RemoteApps (presenting attacker-controlled applications to victims). Evidence suggests this campaign may have involved the use of an RDP proxy tool like PyRDP to automate malicious activities like file exfiltration and clipboard capture.

Супер интересный вектор, а также рекомендации от ресерчеров 🔥

🔗https://cloud.google.com/blog/topics/threat-intelligence/windows-rogue-remote-desktop-protocol

🦔THF

Reposted from:

s0ld13r ch.

06.04.202513:37

Threat Intelligence drop ragghhhh 🕺🕺

Рефлексируя тематику этого канала, решил запустить небольшой комьюнити проект для шейра индикаторов компрометации и угроз которые таргетят Центральную Азию (и не только) 💃

Думаю это логичное продолжение тематики TI на канале, чтобы где то можно было собрать все находки и передавать их комьюнити ❤️

В скором времени начну активно добавлять IoC с различных исследований, фидов и залью индикаторы которые смог найти в предыдущих постах 😎

Буду рад вкладу каждого в развитие TI платформы (на базе MISP) — можно присылать свои находки, ссылки на репорты, дампы, фиды и просто идеи. Даже маленький IoC может оказаться критически важным для других, все абсолютно бесплатно и на безвозмездной основе, если будет желание подключиться и помочь то мой лс всегда открыт 😸

Рад представить вам threatintel.kz 👋

🧢 s0ld13r

06.04.202507:44

https://www.blackhat.com/asia-25/briefings/schedule/

🥰

04.04.202506:04

UAC-0219: кибершпионаж с использованием PowerShell-стилера WRECKSTEEL (CERT-UA#14283)

CERT-UA пишут что в течение марта 2025 года зафиксировано по меньшей мере три кибератаки в отношении органов государственного управления и объектов критической инфраструктуры Украины, целью которых был сбор и похищение информации с компьютеров с применением соответствующих программных средств.

Атаки проходили с использованием скомпрометированных учетных записей осуществляется распространение электронных писем со ссылками на публичные файловые сервисы DropMeFiles, Google Drive и другие (иногда ссылки содержатся в PDF-вложения), переход по которым приводит к загрузке и запуску VBScript-загрузчика (обычно имеет расширение ".js"). Его назначение — загрузка и запуск PowerShell-скрипта, который выполняет поиск и выгрузку с помощью cURL файлов с определенными расширениями (".doc", ".txt", ".docx", ".xls", ".xlsx", ".pdf", ".rtf", ".odt", ".csv", ".ods", ".ppt", ".pptx", ".png", ".jpg", "*.jpeg"), а также снимков экрана компьютера.

Детальное исследование киберугрозы позволило сделать вывод, что описанная активность ведется, как минимум, с осени 2024 года. При этом, в течение 2024 года во время осуществления кибератак использовались EXE-файлы, созданные с помощью NSIS-инсталлятора, которые содержали документ-приманку (PDF, JPG), VBScript-стилер, а также программу-графический редактор "IrfanView", использовавшуюся для создания скриншотов (следует отметить, что с 2025 года функция создания снимков экрана реализована с помощью PowerShell).

Основное программное средство, версии которого известны на языках программирования VBScript и PowerShell и которое предназначено для похищения файлов, классифицировано как WRECKSTEEL.

Активность отслеживается под идентификатором UAC-0219.

🔗https://cert.gov.ua/article/6282902
🦔THF

03.04.202515:45

Suspected China-Nexus Threat Actor Actively Exploiting Critical Ivanti Connect Secure Vulnerability (CVE-2025-22457)

On Thursday, April 3, 2025, Ivanti disclosed a critical security vulnerability, CVE-2025-22457, impacting Ivanti Connect Secure (“ICS”) VPN appliances version 22.7R2.5 and earlier. CVE-2025-22457 is a buffer overflow vulnerability, and successful exploitation would result in remote code execution. Mandiant and Ivanti have identified evidence of active exploitation in the wild against ICS 9.X (end of life) and 22.7R2.5 and earlier versions. Ivanti and Mandiant encourage all customers to upgrade as soon as possible.

Свежая эксплуатация и интересные семейства вредоносов🐱

The earliest evidence of observed CVE-2025-22457 exploitation occurred in mid-March 2025. Following successful exploitation, we observed the deployment of two newly identified malware families, the TRAILBLAZE in-memory only dropper and the BRUSHFIRE passive backdoor. Additionally, deployment of the previously reported

SPAWN ecosystem of malware

attributed to UNC5221 was also observed.

🔗 https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-exploiting-critical-ivanti-vulnerability
🦔THF

03.04.202510:52

Extra TTP! 😠

Initial Access (TA0001) в MITRE ATT&CK — это тактики и техники, которые злоумышленники используют для первого проникновения в целевую систему или сеть.

Основные техники:
Phishing (T1566) – доставка вредоносных ссылок или файлов через email или соцсети.
Exploit Public-Facing Application (T1190) – эксплуатация уязвимостей в веб-приложениях.
Valid Accounts (T1078) – использование украденных или скомпрометированных учетных данных.
Drive-by Compromise (T1189) – заражение системы при посещении вредоносного сайта.
Supply Chain Compromise (T1195) – внедрение вредоносного кода через сторонних поставщиков.
External Remote Services (T1133) – доступ через удаленные сервисы (VPN, RDP, SSH).
Hardware Additions (T1200) – подключение зараженных устройств (USB, сетевое оборудование).

Initial Access — ключевой этап атаки, после которого злоумышленники переходят к закреплению в системе (Persistence) и дальнейшему движению по сети (Lateral Movement).

🦔THF

02.04.202508:38

Rule-ATT&CK Mapper (RAM): Mapping SIEM Rules to TTPs Using LLMs 🤖

Ну что? AI будем интегрировать?

🔗https://arxiv.org/html/2502.02337v1
🦔THF

02.04.202506:44

APT34, also known as OilRig , Helix Kitten, IRN2 or Earth Simnavaz

APT34 нацелена в основном на Ближний Восток. Атаки затрагивают такие сектора как: правительство, энергетику, финансы, телекоммуникации, авиацию, национальную оборону, образование, химическую промышленность и многие другие отрасли.

В отчете ThreatBook - описана недавняя целевая атака на Иракские гос. учреждения.
Данные атаки имеют следующие характеристики:

1) The sample forges names such as documents and invitation letters to induce operation, then releases the backdoor and encrypted configuration files and modifies the creation time, creates a persistent task and then exits, thus realizing the function of disconnecting and executing the backdoor.

2) There are two main communication methods for the samples, namely HTTP communication and email communication. The former secretly sends control instructions based on the characteristic value of the body content, and the latter uses a large number of compromised Iraqi official government mailboxes for email communication;

3) The group created a large number of European assets and then used similar pages to mimic 404 interfaces to hide the purpose of their own assets;

Основной вектор по прежнему целевой фишинг с острыми темами для организаций и люди как обычно самое уязвимое звено.
Мимикрирование под 404 😬🔝

🔗https://threatbook.io/blog/id/1101
🦔 THF

31.03.202512:55

You will always remember this as the day you finally caught FamousSparrow

Кey points
- ESET researchers discovered that FamousSparrow compromised a trade group for the financial sector in the United States and a research institute in Mexico.
- FamousSparrow deployed two previously undocumented versions of the SparrowDoor backdoor, one of them modular.
- Both versions constitute considerable progress over previous ones and implement parallelization of commands.
- The APT group was also observed using the ShadowPad backdoor for the first time.
- ESET discuss Microsoft Threat Intelligence’s attribution claims linking FamousSparrow to Salt Typhoon.

Классный отчет, особенно IOC и мапинг инструментов на Mitre с разбивкой на Kill Chain 🔎

🔗https://www.welivesecurity.com/en/eset-research/you-will-always-remember-this-as-the-day-you-finally-caught-famoussparrow/
🦔THF

31.03.202509:38

The Espionage Toolkit of Earth Alux: A Closer Look at its Advanced Techniques 👽

Key takeaways:
•
Trend Research’s consistent monitoring and investigation efforts have uncovered Earth Alux’s stealthy activities and advanced techniques. One of the tools in the arsenal of this advanced persistent threat group (APT) is its primary backdoor, VARGEIT.
• Left undetected, the attack can maintain a foothold in the system and carry out cyberespionage. The long-term collection and exfiltration of data could lead to far-reaching consequences, such as disrupted operations and financial losses.
• The attacks are targeted toward the Asia-Pacific (APAC) and Latin American regions, hitting key sectors such as government, technology, logistics, manufacturing, telecommunications, IT services, and retail.
• Regular patching and updating, vigilant monitoring for any signs of compromise, and proactive protection can help prevent such threats from infiltrating organizations’ systems.

Очень рекомендую к прочтению технических деталей в отчете, инструментарий довольно подробно описан 🤓

🔗 https://www.trendmicro.com/en_us/research/25/c/the-espionage-toolkit-of-earth-alux.html
🦔THF

All posts

Nothing found 😢

More details

Records

19.04.202523:59

834Subscribers

24.03.202519:56

300Citation index

15.02.202515:32

1.2KAverage views per post

15.02.202515:32

1.2KAverage views per ad post

02.02.202510:18

15.79%ER

15.02.202523:59

235.73%ERR

Growth

More details

Subscribers

Citation index

Avg views per post

Avg views per ad post

ERR

More details

Popular posts Threat Hunting Father

All posts

25.03.202507:26

Persistence map's for windows and linux😊

Mitres Att&ck framework write about persistence TA0003: "The adversary is trying to maintain their foothold."

Persistence consists of techniques that adversaries use to keep access to systems across restarts, changed credentials, and other interruptions that could cut off their access. Techniques used for persistence include any access, action, or configuration changes that let them maintain their foothold on systems, such as replacing or hijacking legitimate code or adding startup code.

📎Windows-persistence
📎Linux persistence

🦔THF

23.03.202507:30

macOS: Malware Knowledge Base 💻

Обожаю таких чуваков, такие заметки это бриллиант!
Stuart Ashenbrenner - собрал базу по Malware под MacOS:

I have amassed quite the stockpile of notes from my years of working in macOS and with macOS internals. There is a lot of information that I am attempting to collate into more-readable documents. Furthermore, sharing is caring, so I felt it was time to start putting these documents available online through my site Crash Security.

Если знаешь как работает атака, ты сможешь выстроить эффективную защиту! 😠

📎https://notes.crashsecurity.io/notes/b/06C749EC-4BB5-4D23-82EF-B64444AF4C5D/Malware-Knowledge-Base

🐱https://github.com/stuartjash

🦔THF

Делитесь своими заметками 😈

Reposted from:

s0ld13r ch.

06.04.202513:37

27.03.202516:00

SMBexec Abuse 🤔

Let’s hunt and detect 🔎

🦔 THF

AgADwnAAAulRMEs

4.57 MB

Reposted from:

Сертификат безопасности

19.04.202512:25

⚡️KazInfoSec - подборка личных TG-каналов казахстанского ИБ-комьюнити 💭

https://t.me/addlist/kI9Bkz-4Bs41ZmRi

19.04.202506:39

рассылка LNK-файлов, маскирующихся под документы

Инструменты:

AsyncRAT
PowerShell / VBScript / LNK
Комбинация скриптов и скрытые команды

Техники:

Многоуровневая загрузка
Динамические URL и обфускация
Самоудаление следов
Маскировка под

.docx

3. Lazarus

Сценарий 1: Атаки на IIS-серверы (Южная Корея)

Инструменты:

Web shell “RedHat Hacker”

LazarLoader

UACMe

Техники:

Загрузка shell через уязвимость
Выполнение C2-команд
Повышение привилегий

Сценарий 2: npm-атаки

Инструменты:

Зловреды:

BeaverTail

,

InvisibleFerret

Пакеты:

is-buffer-validator

,

auth-validator

,

event-handle-package

GitHub-репозитории

Техники:

Typosquatting
Загрузка и выполнение вредоносного JS-кода при установке

Сценарий 3: Атаки на криптокомпании

Инструменты:

GolangGhost

— бэкдор на Go

FrostyFerret

— стилер для macOS

BeaverTail / InvisibleFerret

— кража данных и кейлоггер

FriendlyFerret / FlexibleFerret / FrostyFerret

— вариации под macOS

nvidia.js

— NodeJS-загрузчик

Техники:

Социальная инженерия (фальшивые интервью)
Метод

ClickFix

Вызов PowerShell, curl, bash, wscript для загрузки и выполнения полезной нагрузки

🔗: ASEC Report – март 2025
🦔 THF

02.04.202508:38

Rule-ATT&CK Mapper (RAM): Mapping SIEM Rules to TTPs Using LLMs 🤖

Ну что? AI будем интегрировать?

🔗https://arxiv.org/html/2502.02337v1
🦔THF

31.03.202509:38

03.04.202510:52

24.03.202511:18

Bypassing Detections with Command-Line Obfuscation 👀

Какой интересный вектор 🤓
Не забудьте затюнить свой детект😉
Defensive tools like AVs and EDRs rely on command-line arguments for detecting malicious activity. This post demonstrates how command-line obfuscation, a shell-independent technique that exploits executables’ parsing “flaws”, can bypass such detections. It also introduces
ArgFuscator, a new tool that documents obfuscation opportunities and generates obfuscated command lines.

🔗 https://www.wietzebeukema.nl/blog/bypassing-detections-with-command-line-obfuscation

🦔THF

02.04.202506:44

1) The sample forges names such as documents and invitation letters to induce operation, then releases the backdoor and encrypted configuration files and modifies the creation time, creates a persistent task and then exits, thus realizing the function of disconnecting and executing the backdoor.

2) There are two main communication methods for the samples, namely HTTP communication and email communication. The former secretly sends control instructions based on the characteristic value of the body content, and the latter uses a large number of compromised Iraqi official government mailboxes for email communication;

3) The group created a large number of European assets and then used similar pages to mimic 404 interfaces to hide the purpose of their own assets;

07.04.202518:40

Windows Remote Desktop Protocol: Remote to Rogue

The campaign employed signed .rdp file attachments to establish Remote Desktop Protocol (RDP) connections from victims' machines. Unlike typical RDP attacks focused on interactive sessions, this campaign creatively leveraged resource redirection (mapping victim file systems to the attacker servers) and RemoteApps (presenting attacker-controlled applications to victims). Evidence suggests this campaign may have involved the use of an RDP proxy tool like PyRDP to automate malicious activities like file exfiltration and clipboard capture.

20.03.202510:24

NanoCore RAT Malware Analysis

Детали очередного ратника и его доступный анализ

🔗https://malwr-analysis.com/2025/02/10/nanocore-rat-malware-analysis/

🦔THF

22.03.202503:51

Берите печеньки и устраивайтесь поудобнее)

Корееязычные хакеры из Lazarus снова наносят удар по криптомиру, воруя полтора миллиарда долларов в валюте Etherium. С экспертами Kaspersky решили вспомним, кто такие Lazarus и рассказать о прошлогоднем взломе Google Chrome, из-за которого каждый его пользователь мог потерять контроль над своим ПК.

🔗https://youtu.be/WCXIwclS6GA

🦔THF

16.04.202509:39

Оставлю это тутъ👽

🔗https://github.com/CVEProject/cvelistV5

🦔THF