Threat Hunting Father
• All about Threat Hunting, detecting malicious activity.
• We try to learn, and learn all about APT
• Also we try learn interesting TTP, instruments and features of systems, what use attacker’s
Questions: @rarh1k
For educational purposes only🧠
• We try to learn, and learn all about APT
• Also we try learn interesting TTP, instruments and features of systems, what use attacker’s
Questions: @rarh1k
For educational purposes only🧠
Рейтинг TGlist
0
0
ТипПублічний
Верифікація
Не верифікованийДовіреність
Не надійнийРозташування
МоваІнша
Дата створення каналуСіч 16, 2024
Додано до TGlist
Січ 20, 2025Прикріплена група
Threat Hunting Father Chat
4
Останні публікації в групі "Threat Hunting Father"
24.04.202505:30
🔍 ClickGrab Analyzer
Analyze websites for potential ClickFix/FakeCAPTCHA phishing techniques. This tool helps identify malicious web pages that may be attempting to trick users with fake CAPTCHA verification or other social engineering techniques.
🔗https://clickgrab.streamlit.app/
🦔THF
Analyze websites for potential ClickFix/FakeCAPTCHA phishing techniques. This tool helps identify malicious web pages that may be attempting to trick users with fake CAPTCHA verification or other social engineering techniques.
🔗https://clickgrab.streamlit.app/
🦔THF
23.04.202511:31
APT-группа «забыла» сервер — утекли эксплойты, шеллы
APT-группа допустила редкую для себя оплошность — на короткое время неправильно настроила C2-сервер, связанный с вредоносом KEYPLUG. Команда Hunt Intelligence успела проанализировать содержимое сервака.
Кто за этим стоит:
Исследователи связывают инфраструктуру с группировкой RedGolf (пересекается с APT41), давно известной своими кампаниями против правительственных и телеком-секторов.
Что утекло:
KEYPLUG — модульный бекдор с поддержкой HTTP(S)/TCP/SMB C2 и функционалом удалённого управления.
Эксплойты Fortinet — включая скрипты для эксплуатации CVE-2022-42475 и других уязвимостей в FortiGate/SSL-VPN.
PHP вебшеллы — упрощённый доступ и закреплерие после компрометации.
Скрипты разведки и подготовки — в том числе нацеленные на крупную японскую организацию.
Сервер был доступен менее суток, но успел показать: за «тихой работой» APT стоит чёткая структура подготовки и развертывания — всё это отразилось в обнажённых артефактах.
🔗: hunt.io/blog/keyplug-server-exposes-fortinet-exploits-webshells
🦔 THF
APT-группа допустила редкую для себя оплошность — на короткое время неправильно настроила C2-сервер, связанный с вредоносом KEYPLUG. Команда Hunt Intelligence успела проанализировать содержимое сервака.
Кто за этим стоит:
Исследователи связывают инфраструктуру с группировкой RedGolf (пересекается с APT41), давно известной своими кампаниями против правительственных и телеком-секторов.
Что утекло:
KEYPLUG — модульный бекдор с поддержкой HTTP(S)/TCP/SMB C2 и функционалом удалённого управления.
Эксплойты Fortinet — включая скрипты для эксплуатации CVE-2022-42475 и других уязвимостей в FortiGate/SSL-VPN.
PHP вебшеллы — упрощённый доступ и закреплерие после компрометации.
Скрипты разведки и подготовки — в том числе нацеленные на крупную японскую организацию.
Сервер был доступен менее суток, но успел показать: за «тихой работой» APT стоит чёткая структура подготовки и развертывания — всё это отразилось в обнажённых артефактах.
🔗: hunt.io/blog/keyplug-server-exposes-fortinet-exploits-webshells
🦔 THF
23.04.202511:11
Playbook’s
Коллекция практических плейбуков для SOC-аналитиков по расследованию инцидентов. Стандартизированные шаги, примеры и полезные рекомендации.
🔗https://github.com/socfortress/Playbooks/tree/main
🦔THF
Коллекция практических плейбуков для SOC-аналитиков по расследованию инцидентов. Стандартизированные шаги, примеры и полезные рекомендации.
🔗https://github.com/socfortress/Playbooks/tree/main
🦔THF
22.04.202510:51
Heheh 😏
(Sample SHA1: 2E33DFC94B8B2AFFF1CA73AF9516F0D649DF0282)
🔗https://x.com/tangent65536/status/1914373135337701588?s=46
🔗https://www.virustotal.com/gui/file/d719cb6f0288867122e8780c2e326952b1858036f7a036821d77e2e7443fe2fb/detection
🦔THF
Mimikatz with a valid signature from... McDonald's? When did McDelivery put mimikatz on their menu?!
(Sample SHA1: 2E33DFC94B8B2AFFF1CA73AF9516F0D649DF0282)
🔗https://x.com/tangent65536/status/1914373135337701588?s=46
🔗https://www.virustotal.com/gui/file/d719cb6f0288867122e8780c2e326952b1858036f7a036821d77e2e7443fe2fb/detection
🦔THF
22.04.202510:51
22.04.202505:01
Around the World in 90 Days: State-Sponsored Actors Try ClickFix 👆
ClickFix —
Что нашли Proofpoint:
Итого:
В таких атаках будет зависеть, завоюет ли внимание пользователя атакующий 😁
🔗 https://www.proofpoint.com/us/blog/threat-insight/around-world-90-days-state-sponsored-actors-try-clickfix
🦔THF
ClickFix —
это техника социальной инженерии, в рамках которой используются диалоговые окна с инструкциями для копирования, вставки и запуска вредоносных команд на устройстве жертвы. Эта методика включает не только поддельные сообщения об ошибке (в качестве "проблемы"), но и якобы системные уведомления с авторитетными инструкциями (в качестве "решения"), которые выглядят как рекомендации от самой операционной системы.
Что нашли Proofpoint:
• Изначально техника ClickFix была связана в основном с киберпреступниками, исследователи Proofpoint впервые зафиксировали её использование государственными APT-группами в ряде кампаний.
• В период — с конца 2024 года по начало 2025-го — группы из Северной Кореи, Ирана и России применяли технику ClickFix в своих атаках.
• Интеграция ClickFix не изменила радикально сами кампании, проводимые TA427, TA450, UNK_RemoteRogue и TA422, но стала заменой этапов установки и исполнения вредоносного кода в уже существующих цепочках заражения.
Итого:
•
ClickFix
не доставляет вредоносное ПО напрямую, а лишь трекает и маскирует ссылки — используется как элемент социальной инженерии и инструмент обхода фильтров.
• Использование
multi-stage infection
— часто первая стадия «чистая» (лишь переход или подмена шаблона), а вредоносная активность начинается позже.
• Почти все цепочки завязаны на
low-observable delivery
, включая отсутствие вложений и доверие на пользовательские действия (клик, логин, разрешение макросов).
В таких атаках будет зависеть, завоюет ли внимание пользователя атакующий 😁
🔗 https://www.proofpoint.com/us/blog/threat-insight/around-world-90-days-state-sponsored-actors-try-clickfix
🦔THF
Переслав з:
Сертификат безопасности
19.04.202512:25
⚡️KazInfoSec - подборка личных TG-каналов казахстанского ИБ-комьюнити 💭
https://t.me/addlist/kI9Bkz-4Bs41ZmRi
https://t.me/addlist/kI9Bkz-4Bs41ZmRi
19.04.202506:39
Kimsuky, Konni, Lazarus — март 2025
В марте ASEC зафиксировал активность APT групп: Kimsuky, Konni и Lazarus
Инструменты и техники:
1. Kimsuky
Инструменты:
OLE-объекты в HWP-документах
VBScript / Task Scheduler
Техники:
Загрузка .manifest и выполнение скриптов
Устойчивость через планировщик заданий
2. Konni
3. Lazarus
🔗: ASEC Report – март 2025
🦔 THF
В марте ASEC зафиксировал активность APT групп: Kimsuky, Konni и Lazarus
Инструменты и техники:
1. Kimsuky
Тема:фальшивые документы об образовательных программах
Инструменты:
document.bat, 0304.exe, 0304_1.exeOLE-объекты в HWP-документах
VBScript / Task Scheduler
Техники:
Загрузка .manifest и выполнение скриптов
Устойчивость через планировщик заданий
2. Konni
Тема:
рассылка LNK-файлов, маскирующихся под документы
Инструменты:
AsyncRAT
PowerShell / VBScript / LNK
Комбинация скриптов и скрытые команды
Техники:
Многоуровневая загрузка
Динамические URL и обфускация
Самоудаление следов
Маскировка под
.docx
3. Lazarus
Сценарий 1: Атаки на IIS-серверы (Южная Корея)
Инструменты:
Web shell “RedHat Hacker”
LazarLoader
UACMe
Техники:
Загрузка shell через уязвимость
Выполнение C2-команд
Повышение привилегий
Сценарий 2: npm-атаки
Инструменты:
Зловреды:
BeaverTail
,
InvisibleFerret
Пакеты:
is-buffer-validator
,
auth-validator
,
event-handle-package
GitHub-репозитории
Техники:
Typosquatting
Загрузка и выполнение вредоносного JS-кода при установке
Сценарий 3: Атаки на криптокомпании
Инструменты:
GolangGhost
— бэкдор на Go
FrostyFerret
— стилер для macOS
BeaverTail / InvisibleFerret
— кража данных и кейлоггер
FriendlyFerret / FlexibleFerret / FrostyFerret
— вариации под macOS
nvidia.js
— NodeJS-загрузчик
Техники:
Социальная инженерия (фальшивые интервью)
Метод
ClickFix
Вызов PowerShell, curl, bash, wscript для загрузки и выполнения полезной нагрузки
🔗: ASEC Report – март 2025
🦔 THF
17.04.202505:46
Waiting Thread Hijacking: A Stealthier Version of Thread Execution Hijacking
- Process Injection is one of the important techniques in the attackers’ toolkit. In the constant cat-and-mouse game, attackers try to invent its new implementations that bypass defenses, using creative methods and lesser-known APIs.
- Combining common building blocks in an atypical way, Check Point Research was able to create a much stealthier version of a known method, Thread Execution Hijacking.
Waiting Thread Hijacking involves handles with the following access:
Used APIs:
CheckPoint^-^
🔗 https://research.checkpoint.com/2025/waiting-thread-hijacking/
🐱POC: https://github.com/hasherezade/waiting_thread_hijacking
🦔THF
- Process Injection is one of the important techniques in the attackers’ toolkit. In the constant cat-and-mouse game, attackers try to invent its new implementations that bypass defenses, using creative methods and lesser-known APIs.
- Combining common building blocks in an atypical way, Check Point Research was able to create a much stealthier version of a known method, Thread Execution Hijacking.
Waiting Thread Hijacking involves handles with the following access:
- For the target process: PROCESS_VM_OPERATION, PROCESS_VM_READ, PROCESS_VM_WRITE
- For the target thread: THREAD_GET_CONTEXT
Used APIs:
- NtQuerySystemInformation (with a parameter of SystemProcessInformation )
- GetThreadContext
- ReadProcessMemory
- VirtualAllocEx
- WriteProcessMemory
- VirtualProtectEx
CheckPoint^-^
were able to inject a payload and run it without being noticed by most tested EDRs (Endpoint Detection & Response systems)
🔗 https://research.checkpoint.com/2025/waiting-thread-hijacking/
🐱POC: https://github.com/hasherezade/waiting_thread_hijacking
🦔THF
16.04.202509:39
Оставлю это тутъ👽
🔗https://github.com/CVEProject/cvelistV5
🦔THF
🔗https://github.com/CVEProject/cvelistV5
🦔THF
08.04.202512:17
How ToddyCat tried to hide behind AV software 🔦
Когда дело доходит до кибершпионажа, APT группы часто начинают мимикрировать/эксплуатировать антивирусное ПО, чтобы их было сложней найти.
ToddyCat , исполнили такой трюк, запустив свой инструмент TCESB в контексте решения по обеспечению безопасности.
(Attackers use a DLL-proxying technique (Hijack Execution Flow, T1574) to run the malicious code.)
В утилите ESET Command line scanner динамический анализ показал, что сканер небезопасно загружает DLL, сначала проверяя файл в текущем каталоге, а затем выполняя его поиск в системных каталогах. Это может привести к загрузке вредоносной библиотеки DLL, что представляет собой уязвимость - CVE-2024-11859 - (21 января 2025 вендор исправил) Ну а далее когда атакер успешно подгрузил код библиотеки, остается фантазировать)
Найденный инструмент использует цепочку уязвимостей, а также старую версию известного вредоносного ПО с открытым исходным кодом, которую злоумышленники модифицировали, чтобы расширить ее функциональность.
Про цепочку атаки и другие подробности⬇️
🔗https://securelist.com/toddycat-apt-exploits-vulnerability-in-eset-software-for-dll-proxying/116086/
🦔THF
Когда дело доходит до кибершпионажа, APT группы часто начинают мимикрировать/эксплуатировать антивирусное ПО, чтобы их было сложней найти.
ToddyCat , исполнили такой трюк, запустив свой инструмент TCESB в контексте решения по обеспечению безопасности.
(Attackers use a DLL-proxying technique (Hijack Execution Flow, T1574) to run the malicious code.)
В утилите ESET Command line scanner динамический анализ показал, что сканер небезопасно загружает DLL, сначала проверяя файл в текущем каталоге, а затем выполняя его поиск в системных каталогах. Это может привести к загрузке вредоносной библиотеки DLL, что представляет собой уязвимость - CVE-2024-11859 - (21 января 2025 вендор исправил) Ну а далее когда атакер успешно подгрузил код библиотеки, остается фантазировать)
Найденный инструмент использует цепочку уязвимостей, а также старую версию известного вредоносного ПО с открытым исходным кодом, которую злоумышленники модифицировали, чтобы расширить ее функциональность.
Про цепочку атаки и другие подробности⬇️
🔗https://securelist.com/toddycat-apt-exploits-vulnerability-in-eset-software-for-dll-proxying/116086/
🦔THF
07.04.202518:40
Windows Remote Desktop Protocol: Remote to Rogue
Супер интересный вектор, а также рекомендации от ресерчеров 🔥
🔗https://cloud.google.com/blog/topics/threat-intelligence/windows-rogue-remote-desktop-protocol
🦔THF
The campaign employed signed .rdp file attachments to establish Remote Desktop Protocol (RDP) connections from victims' machines. Unlike typical RDP attacks focused on interactive sessions, this campaign creatively leveraged resource redirection (mapping victim file systems to the attacker servers) and RemoteApps (presenting attacker-controlled applications to victims). Evidence suggests this campaign may have involved the use of an RDP proxy tool like PyRDP to automate malicious activities like file exfiltration and clipboard capture.
Супер интересный вектор, а также рекомендации от ресерчеров 🔥
🔗https://cloud.google.com/blog/topics/threat-intelligence/windows-rogue-remote-desktop-protocol
🦔THF
Переслав з:
s0ld13r ch.
06.04.202513:37
Threat Intelligence drop ragghhhh 🕺🕺
Рефлексируя тематику этого канала, решил запустить небольшой комьюнити проект для шейра индикаторов компрометации и угроз которые таргетят Центральную Азию (и не только) 💃
Думаю это логичное продолжение тематики TI на канале, чтобы где то можно было собрать все находки и передавать их комьюнити ❤️
В скором времени начну активно добавлять IoC с различных исследований, фидов и залью индикаторы которые смог найти в предыдущих постах 😎
Буду рад вкладу каждого в развитие TI платформы (на базе MISP) — можно присылать свои находки, ссылки на репорты, дампы, фиды и просто идеи. Даже маленький IoC может оказаться критически важным для других, все абсолютно бесплатно и на безвозмездной основе, если будет желание подключиться и помочь то мой лс всегда открыт 😸
Рад представить вам threatintel.kz 👋
🧢 s0ld13r
Рефлексируя тематику этого канала, решил запустить небольшой комьюнити проект для шейра индикаторов компрометации и угроз которые таргетят Центральную Азию (и не только) 💃
Думаю это логичное продолжение тематики TI на канале, чтобы где то можно было собрать все находки и передавать их комьюнити ❤️
В скором времени начну активно добавлять IoC с различных исследований, фидов и залью индикаторы которые смог найти в предыдущих постах 😎
Буду рад вкладу каждого в развитие TI платформы (на базе MISP) — можно присылать свои находки, ссылки на репорты, дампы, фиды и просто идеи. Даже маленький IoC может оказаться критически важным для других, все абсолютно бесплатно и на безвозмездной основе, если будет желание подключиться и помочь то мой лс всегда открыт 😸
Рад представить вам threatintel.kz 👋
🧢 s0ld13r
06.04.202507:44
04.04.202506:04
UAC-0219: кибершпионаж с использованием PowerShell-стилера WRECKSTEEL (CERT-UA#14283)
🔗https://cert.gov.ua/article/6282902
🦔THF
CERT-UA пишут что в течение марта 2025 года зафиксировано по меньшей мере три кибератаки в отношении органов государственного управления и объектов критической инфраструктуры Украины, целью которых был сбор и похищение информации с компьютеров с применением соответствующих программных средств.
Атаки проходили с использованием скомпрометированных учетных записей осуществляется распространение электронных писем со ссылками на публичные файловые сервисы DropMeFiles, Google Drive и другие (иногда ссылки содержатся в PDF-вложения), переход по которым приводит к загрузке и запуску VBScript-загрузчика (обычно имеет расширение ".js"). Его назначение — загрузка и запуск PowerShell-скрипта, который выполняет поиск и выгрузку с помощью cURL файлов с определенными расширениями (".doc", ".txt", ".docx", ".xls", ".xlsx", ".pdf", ".rtf", ".odt", ".csv", ".ods", ".ppt", ".pptx", ".png", ".jpg", "*.jpeg"), а также снимков экрана компьютера.
Детальное исследование киберугрозы позволило сделать вывод, что описанная активность ведется, как минимум, с осени 2024 года. При этом, в течение 2024 года во время осуществления кибератак использовались EXE-файлы, созданные с помощью NSIS-инсталлятора, которые содержали документ-приманку (PDF, JPG), VBScript-стилер, а также программу-графический редактор "IrfanView", использовавшуюся для создания скриншотов (следует отметить, что с 2025 года функция создания снимков экрана реализована с помощью PowerShell).
Основное программное средство, версии которого известны на языках программирования VBScript и PowerShell и которое предназначено для похищения файлов, классифицировано как WRECKSTEEL.
Активность отслеживается под идентификатором UAC-0219.
🔗https://cert.gov.ua/article/6282902
🦔THF
Рекорди
24.04.202523:59
872Підписників16.04.202517:23
400Індекс цитування15.02.202515:32
1.2KОхоплення 1 допису15.02.202515:32
1.2KОхоп рекл. допису03.02.202503:32
15.79%ER15.02.202523:59
235.73%ERRУвійдіть, щоб розблокувати більше функціональності.
