from logs-system.security-default-*
| where @timestamp > now() - 7 day
| where host.os.family == "windows" and event.code == "4698" and event.action == "scheduled-task-created"
/* parsing unstructured data from winlog message to extract a scheduled task Exec command */
| grok message "(?<command><command>.+)" | eval Command = replace(Command, "(<command>|)", "")
| where Command is not null
/* normalise task name by removing usersid and uuid string patterns */
| eval TaskName = replace(winlog.event_data.TaskName, """((-S-1-5-.*)|\{[0-9a-fA-F]{8}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{4}-[0-9a-fA-F]{12}\})""", "")
/* normalise task name by removing random patterns in a file path */
| eval Task_Command = replace(Command, """(ns[a-z][A-Z0-9]{3,4}\.tmp|DX[A-Z0-9]{3,4}\.tmp|7z[A-Z0-9]{3,5}\.tmp|[0-9\.\-\_]{3,})""", "")
/* normalize user home profile path */
| eval Task_Command = replace(Task_Command, """[cC]:\\[uU][sS][eE][rR][sS]\\[a-zA-Z0-9\.\-\_\$~]+\\""", "C:\\\\users\\\\user\\\\")
| where Task_Command like "?*" and not starts_with(Task_Command, "C:\\Program Files") and not starts_with(Task_Command, "\"C:\\Program Files")
| stats tasks_count = count(*), hosts_count = count_distinct(host.id) by Task_Command, TaskName
| where hosts_count == 1

это APT-группировка, осуществляющая операции кибершпионажа с ноября 2020 года.
С июня 2024 года их активность усилилась: основными целями стали правительственные структуры и телекоммуникационные компании в Юго-Восточной Азии, особенно на Филиппинах, во Вьетнаме, Таиланде и Малайзии.

Начальный доступ:
Точные векторы первоначального проникновения установить не удалось, поскольку анализ велся ретроспективно.

Инструменты для перемещения по сети:
• NBTScan — сканирование сети
• LADON — фреймворк для тестирования на проникновение
• FRPC — обратный прокси-сервер
• WMIHACKER — эксплуатация Windows Management Instrumentation
• ICMPinger — обнаружение устройств в сети через ICMP-пакеты
Кража учетных данных:
• KMLOG — кейлоггер для перехвата пользовательских данных

• TESDAT — кастомная утилита для сбора и эксфильтрации информации
• SIMPOBOXSPY — ПО для сбора и хищения данныхRootkit-компоненты:
• KRNRAT — руткит на уровне ядра для сохранения доступа
• MORIYA — пассивный бэкдор для скрытого управления системой (ранее замечен в операции TunnelSnake)Каналы эксфильтрации данных:
Использование легитимных облачных сервисов Dropbox и OneDrive для скрытой передачи данных за пределы сети.

• Наблюдаются сходства между MORIYA и инструментами из операции TunnelSnake.
• Пересечения между SIMPOBOXSPY и инструментами APT-группы ToddyCat.
• Однако особенности применения инструментов и тактики позволяют предположить, что Earth Kurma действует как отдельная группировка.

The Billbug espionage group (aka Lotus Blossom, Lotus Panda, Bronze Elgin) compromised multiple organizations in a single Southeast Asian country during an intrusion campaign that ran between August 2024 and February 2025. Targets included a government ministry, an air traffic control organization, a telecoms operator, and a construction company.

- DLL sideloading: Злоумышленники использовали легитимные исполняемые файлы от

и

для загрузки вредоносных DLL.
- Sagerunex: Обновлённая версия бэкдора с механизмом постоянства через реестр.
- ChromeKatz и CredentialKatz: Инструменты для кражи учётных данных и cookies из браузера Chrome.
- Reverse SSH Tool: Пользовательский инструмент, слушающий соединения на порту 22.
- Zrok: P2P-инструмент для удалённого доступа к внутренним сервисам.
- datechanger.exe: Утилита для изменения временных меток файлов.

1) tmdbglog.exe - > load - tmdglog.dll - > read - C:\Windows\temp\TmDebug.log
2) bds.exe -> load - log.dll -> read - winnt.config
3) Ну и запуски других процессов от вредоносной цепочки)

Mimikatz with a valid signature from... McDonald's? When did McDelivery put mimikatz on their menu?!

рассылка LNK-файлов, маскирующихся под документы

AsyncRAT
PowerShell / VBScript / LNK
Комбинация скриптов и скрытые команды

Многоуровневая загрузка
Динамические URL и обфускация
Самоудаление следов
Маскировка под

Web shell “RedHat Hacker”

UACMe

Загрузка shell через уязвимость
Выполнение C2-команд
Повышение привилегий

Зловреды:

,

Пакеты:

,

,

GitHub-репозитории

Typosquatting
Загрузка и выполнение вредоносного JS-кода при установке

— бэкдор на Go

— стилер для macOS

— кража данных и кейлоггер

— вариации под macOS

— NodeJS-загрузчик

Социальная инженерия (фальшивые интервью)
Метод

Вызов PowerShell, curl, bash, wscript для загрузки и выполнения полезной нагрузки

The campaign employed signed .rdp file attachments to establish Remote Desktop Protocol (RDP) connections from victims' machines. Unlike typical RDP attacks focused on interactive sessions, this campaign creatively leveraged resource redirection (mapping victim file systems to the attacker servers) and RemoteApps (presenting attacker-controlled applications to victims). Evidence suggests this campaign may have involved the use of an RDP proxy tool like PyRDP to automate malicious activities like file exfiltration and clipboard capture.

On Thursday, April 3, 2025, Ivanti disclosed a critical security vulnerability, CVE-2025-22457, impacting Ivanti Connect Secure (“ICS”) VPN appliances version 22.7R2.5 and earlier. CVE-2025-22457 is a buffer overflow vulnerability, and successful exploitation would result in remote code execution. Mandiant and Ivanti have identified evidence of active exploitation in the wild against ICS 9.X (end of life) and 22.7R2.5 and earlier versions. Ivanti and Mandiant encourage all customers to upgrade as soon as possible. 

The earliest evidence of observed CVE-2025-22457 exploitation occurred in mid-March 2025. Following successful exploitation, we observed the deployment of two newly identified malware families, the TRAILBLAZE in-memory only dropper and the BRUSHFIRE passive backdoor. Additionally, deployment of the previously reported

attributed to UNC5221 was also observed.

EDR Tier list rated by a ransomware operator. Ranked by difficulty to bypass.

это техника социальной инженерии, в рамках которой используются диалоговые окна с инструкциями для копирования, вставки и запуска вредоносных команд на устройстве жертвы. Эта методика включает не только поддельные сообщения об ошибке (в качестве "проблемы"), но и якобы системные уведомления с авторитетными инструкциями (в качестве "решения"), которые выглядят как рекомендации от самой операционной системы.

• Изначально техника ClickFix была связана в основном с киберпреступниками, исследователи Proofpoint впервые зафиксировали её использование государственными APT-группами в ряде кампаний.
• В период — с конца 2024 года по начало 2025-го — группы из Северной Кореи, Ирана и России применяли технику ClickFix в своих атаках.
• Интеграция ClickFix не изменила радикально сами кампании, проводимые TA427, TA450, UNK_RemoteRogue и TA422, но стала заменой этапов установки и исполнения вредоносного кода в уже существующих цепочках заражения.

•

не доставляет вредоносное ПО напрямую, а лишь трекает и маскирует ссылки — используется как элемент социальной инженерии и инструмент обхода фильтров.
• Использование

— часто первая стадия «чистая» (лишь переход или подмена шаблона), а вредоносная активность начинается позже.
• Почти все цепочки завязаны на

, включая отсутствие вложений и доверие на пользовательские действия (клик, логин, разрешение макросов).