Группа Insikt выявила многоуровневую инфраструктуру, связанную с системой распределения трафика (TDS), известной как TAG-124. TAG-124 включает в себя сеть взломанных сайтов WordPress, серверы с полезной нагрузкой, центральный сервер, сервер управления и другие компоненты.
TAG-124 APT
Злоумышленники, связанные с TAG-124, проявляют высокую активность, обновляя URL-адреса на взломанных сайтах, добавляя новые серверы и совершенствуя тактику заражения с помощью TDS, включая использование техники ClickFix. Ряд злоумышленников, включая операторов Rhysida ransomware, Interlock ransomware и других, используют TAG-124 в своих атаках. Совместное использование TAG-124 усиливает связь между Rhysida и Interlock ransomware. Группа Insikt предполагает, что TAG-124 продолжит развиваться, увеличивая свою эффективность и привлекая новых партнеров.
TAG-124 является TDS, используемым различными злоумышленниками для распространения вредоносного ПО. Он обманывает посетителей, внедряя вредоносный JavaScript-код на взломанные сайты WordPress. Когда посетители заходят на зараженный сайт, они загружают вредоносное ПО, которое затем выполняется. TAG-124 также использует технику ClickFix, которая выводит диалоговое окно с инструкцией для пользователя выполнить определенную команду.
Исследователи Insikt Group выявили несколько злоумышленников, включая операторов Rhysida ransomware, Interlock ransomware, TA866/Asylum Ambuscade, SocGholish и других, которые используют TAG-124 в своих атаках. Аналитики отмечают, что Rhysida и Interlock ransomware уже связаны друг с другом из-за сходства тактик, инструментов и поведения шифровальщиков. Совместное использование TAG-124 усиливает эту связь и возможно привлечет новых партнеров и пользователей.
Insikt Group выявила, что инфраструктура TAG-124 включает в себя сеть взломанных сайтов WordPress, у серверов с полезной нагрузкой, центрального сервера, сервера управления и дополнительной панели управления. Взломанные сайты WordPress предоставляют возможность заражения посетителей, путем загрузки и выполнения вредоносной программы. Эти сайты не имеют общей тематики, что позволяет предположить, что они были скомпрометированы случайно или путем использования украденных учетных данных. Insikt Group рекомендует организациям принять меры безопасности, чтобы предотвратить атаки связанные с TAG-124.
Indicators of Compromise
IPv4
- 146.70.41.191
- 162.33.177.36
- 162.33.177.82
- 162.33.178.113
- 162.33.178.59
- 162.33.178.63
- 162.33.178.75
- 193.149.176.179
- 193.149.176.223
- 193.149.176.248
- 216.245.184.179
- 216.245.184.210
- 216.245.184.225
- 45.61.136.132
- 45.61.136.196
- 45.61.136.40
- 45.61.136.41
- 45.61.136.67
- 45.61.136.89
- 45.61.136.9
- 64.190.113.111
- 64.190.113.41
- 64.7.198.66
- 64.94.85.248
- 64.94.85.98
- 64.95.11.184
- 64.95.11.65
- 64.95.12.38
- 64.95.12.98
Domains
- 1stproducts.com
- 3hti.com
- 527newagain.top
- abhbdiiaehdejgh.top
- academictutoringcenters.com
- adednihknaalilg.top
- adpages.com
- adsbicloud.com
- advanceair.net
- airbluefootgear.com
- airinnovations.com
- allaces.com.au
- alumni.clemson.edu
- ambir.com
- ambiwa.com
- amdradeon.shop
- americanreloading.com
- anjmhjidinfmlci.top
- antiagewellness.com
- architectureandgovernance.com
- astromachineworks.com
- athsvic.org.au
- avayehazar.ir
- azurearc-cdn.top
- azuregetrequest.icu
- azure-getrequest.icu
- baseball.razzball.com
- bastillefestival.com.au
- bigfoot99.com
- bkkeiekjfcdaaen.top
- blacksportsonline.com
- blog.contentstudio.io
- bluefrogplumbing.com
- boneyn.com
- calbbs.com
- canadamotoguide.com
- canadanickel.com
- capecinema.org
- careers.bms.com
- careers.fortive.com
- castellodelpoggio.com
- catholiccharities.org
- chamonixskipasses.com
- changemh.org
- chewels.com
- chhimi.com
- chicklitplus.com
- cignjjgmdnbchhc.top
- ckebfjgimhmjgmb.top
- cljhkcjfimibhci.top
- clmfireproofing.com
- cmcebigeiajbfcb.top
- cmcuauec.top
- coeshor.com
- comingoutcovenant.com
- complete-physio.co.uk
- complete-pilates.co.uk
- conical-fermenter.com
- cryptoslate.cc
- cryptotap.site
- cssp.org
- cvqrcode.lpmglobalrelations.com
- dating2go.store
- deathtotheworld.com
- dechromo.com
- deerfield.com
- denhamlawoffice.com
- dev.azliver.com
- development.3hti.com
- dhusch.com
- digimind.nl
- discoves.com
- djnito.com
- dncoding.com
- dotnetreport.com
- drcolbert.com
- dsassoc.com
- dzyne.com
- earthboundfarm.com
- ecrut.com
- eebchjechginddk.top
- ehnediemcaffbij.top
- eivcapital.com
- ejlhaidjmhcmami.top
- elamoto.com
- elitetournaments.com
- elizgallery.com
- eliztalks.com
- enerjjoy.com
- enethost.com
- ergos.com
- esaleerugs.com
- esfna.org
- espumadesign.com
- evolverangesolutions.com
- exceptionalindividuals.com
- experiencebrightwater.ca
- expressbuycomputers.shop
- fastard.com
- faybzuy3byz2v.top
- firstpresbyterianpaulding.com
- fpziviec.top
- fractalerts.com
- franklinida.com
- fusionstone.ca
- futnbuzj3nh.top
- gbkffjcglabkmne.top
- gcafin.com
- gdihcicdghmcldd.top
- genhil.com
- getazurecommand.icu
- get-azurecommand.icu
- get-iwrreq.top
- global-engage.com
- gmdva.org
- gnmdjjckbgddaie.top
- gobrightwing.com
- gov2x.com
- gubyzywey6b.top
- gwcomics.com
- habfan.com
- hdtele.com
- hksusa.com
- hmgcreative.com
- hmh.org
- hoodcontainer.com
- hospitalnews.com
- housingforhouston.com
- houstonmaritime.org
- howmanychairs.com
- hrsoft.com
- hungryman.com
- iadkainhkafngnk.top
- icmcontrols.com
- ijmtolldiv.com
- ikhgijabfnkajem.top
- ikjfjkkagafbdke.top
- ilsotto.com
- imfiejalbhhgijl.top
- incalzireivar.ro
- innsbrook.com
- iognews.com
- jewelryexchange.com
- jodymassagetherapyclinic.com
- joelbieber.com
- kffgkjmjangegkg.top
- khcjgjmfjgdleag.top
- kjalcimbfaaddff.top
- knewhealth.com
- lamaisonquilting.com
- legacy.orlandparkprayercenter.org
- levyso.com
- luxlifemiamiblog.com
- magnoliagreen.com
- magnotics.com
- manawatunz.co.nz
- mantonpushrods.com
- mcajijknegnbbga.top
- melmejkjaakiakn.top
- mercro.com
- mgjabikgjhhambm.top
- mgssoft.com
- michiganchronicle.com
- michigantownships.org
- micronsoftwares.com
- mirugby.com
- mktgads.com
- mobileyas.shop
- monlamdesigns.com
- montessoriwest.com
- movinbed.com
- mtclibraries.com
- my.networknuts.net
- myrtlebeachgolf.com
- mysamsung7.shop
- nastictac.com
- ncma.org
- ns1.webasatir.ir
- nvidias.shop
- nyciot.com
- oglethorpe.edu
- oningroup.com
- opgears.com
- orlandparkprayercenter.org
- outdoornativitystore.com
- parksaverscom.kinsta.cloud
- pemalite.com
- peoria.org
- peridotdentalcare.ca
- phfi.org
- piedsmontlaw.com
- pikapp.org
- powerlineblog.com
- prek4sa.com
- pretoria24.top
- psafetysolutions.com
- puntademita-rentals.com
- pursyst.com
- pushcg.com
- pweobmxdlboi.com
- resf.com
- retaildatallc.com
- rhodenroofing.com
- rifiziec.top
- riuzvi4tc.top
- rm-arquisign.com
- robnzuwubz.top
- rshank.com
- rvthereyet.com
- safigdata.com
- saighbuzu32uvv.top
- satpr.com
- schroederindustries.com
- sdrce.com
- sec-group.co.uk
- selectmotors.net
- selmanc.com
- sixpoint.com
- slotomoons.com
- sokrpro.com
- sollishealth.com
- sparkcarwash.com
- spectralogic.com
- sramanamitra.com
- stg-seatrail-staging.kinsta.cloud
- stg-townandcountryplanningassoci-staging.kinsta.cloud
- sustaincharlotte.org
- tayakay.com
- teamtoc.com
- terryrossplumbing.com
- theawningcompanc.mrmarketing.us
- theepicentre.com
- theinb.com
- theyard.com
- tibetin.com
- tickerwell.com
- tristatecr.com
- true-blood.net
- turtl.co
- tustinhistory.com
- tysonmutrux.com
- uk.pattern.com
- unsolved.com
- update-chronne.com
- usbkits.com
- vanillajoy.ykv.ijh.mybluehost.me
- vectare.co.uk
- vicrin.com
- villageladies.co.uk
- walkerroofingandconstruction.com
- wildwestguns.com
- wildwoodpress.org
- winworld.es
- wlplastics.com
- worldorphans.org
- www.211cny.com
- www.6connex.com
- www.900biscaynebaymiamicondos.com
- www.accentawnings.com
- www.acvillage.net
- www.airandheatspecialistsnj.com
- www.als-mnd.org
- www.americancraftbeer.com
- www.anoretaresort.com
- www.architectureandgovernance.com
- www.atlantaparent.com
- www.atlas-sp.com
- www.atmosera.com
- www.belvoirfarm.co.uk
- www.betterengineering.com
- www.bluefoxcasino.com
- www.boatclubtrafalgar.com
- www.bordgaisenergytheatre.ie
- www.brandamos.com
- www.cairnha.com
- www.cdhcpa.com
- www.cds.coop
- www.cgimgolf.com
- www.cheericca.org
- www.conwire.com
- www.cssp.org
- www.dces.com
- www.de.digitaalkantoor.online
- www.disabilityscot.org.uk
- www.doctorkiltz.com
- www.drivenbyboredom.com
- www.ecowas.int
- www.evercoat.com
- www.facefoundrie.com
- www.foxcorphousing.com
- www.genderconfirmation.com
- www.gofreight.com
- www.gunnerroofing.com
- www.hayeshvacllc.com
- www.hksusa.com
- www.hollingsworth-vose.com
- www.hollywoodburbankairport.com
- www.hopechc.org
- www.icmcontrols.com
- www.inboundlogistics.com
- www.infra-metals.com
- www.jasperpim.com
- www.koimoi.com
- www.louisvillemechanical.com
- www.lovebscott.com
- www.lsbn.state.la.us
- www.mallorcantonic.com
- www.marketlist.com
- www.mocanyc.org
- www.motherwellfc.co.uk
- www.murphyoilcorp.com
- www.myrtlebeachgolfpackages.co
- www.napcis.org
- www.nelsongonzalez.com
- www.netzwerkreklame.de
- www.onthegreenmagazine.com
- www.orthodontie-laurentides.com
- www.pamelasandalldesign.com
- www.parajohn.com
- www.parksavers.com
- www.parmacalcio1913.com
- www.patio-supply.com
- www.pcbc.gov.pl
- www.perfectduluthday.com
- www.powerlineblog.com
- www.progarm.com
- www.rafilawfirm.com
- www.reddiseals.com
- www.reloadinternet.com
- www.riaa.com
- www.robertomalca.com
- www.sevenacres.org
- www.sigmathermal.com
- www.sisdisinfestazioni.it
- www.spectralink.com
- www.sramanamitra.com
- www.sunkissedindecember.com
- www.sweetstreet.com
- www.system-scale.com
- www.tcpa.org.uk
- www.thatcompany.com
- www.thecreativemom.com
- www.thedesignsheppard.com
- www.the-kaisers.de
- www.therialtoreport.com
- www.thetrafalgargroup.co.uk
- www.thetruthaboutguns.com
- www.totem.tech
- www.ultrasound-guided-injections.co.uk
- www.urbis-realestate.com
- www.vending.com
- www.venetiannj.com
- www.visitarundel.co.uk
- www.wefinanceanycar.com
- www.wilsonsd.org
- www.wilymanager.com
- www.wvwc.edu
- xaides.com
- zerocap.com
SHA256
- 183c57d9af82964bfbb06fbb0690140d3f367d46d870e290e2583659609b19f2
- 22dc96b3b8ee42096c66ab08e255adce45e5e09a284cbe40d64e83e812d1b910
- 28c49af7c95ab41989409d2c7f98e8f8053e5ca5f7a02b2a11ad4374085ec6ff
- 2da62d1841a6763f279c481e420047a108da21cd5e16eae31661e6fd5d1b25d7
- 342b889d1d8c81b1ba27fe84dec2ca375ed04889a876850c48d2b3579fbac206
- 42c1550b035353ae529e98304f89bf6065647833e582d08f0228185b493d0022
- 42d7135378ed8484a6a86a322ea427765f2e4ad37ee6449691b39314b5925a27
- 430fd4d18d22d0704db1c4a1037d8e1664bfc003c244650cb7538dbe7c3be63e
- 43f4ca1c7474c0476a42d937dc4af01c8ccfc20331baa0465ac0f3408f52b2e2
- 46aac6bf94551c259b4963157e75073cb211310e2afab7a1c0eded8a175d0a28
- 4fa213970fdef39d2506a1bd4f05a7ceee191d916b44b574022a768356951a23
- 57e9e1e3ebd78d4878d7bb69e9a2b0d0673245a87eb56cf861c7c548c4e7b457
- 6464cdbfddd98f3bf6301f2bf525ad3642fb18b434310ec731de08c79e933b3e
- 67b5b54c85e7590d81a404d6c7ea7dd90d4bc773785c83b85bcce82cead60c37
- 700f1afeb67c105760a9086b0345cb477737ab62616fd83add3f7adf9016c5e5
- 7683d38c024d0f203b374a87b7d43cc38590d63adb8e5f24dff7526f5955b15a
- 77bd80e2a7c56eb37a33c2a0518a27deb709068fdc66bd1e00b5d958a25c7ad8
- 77dc705cecbc29089c8e9eea3335ba83de57a17ed99b0286b3d9301953a84eca
- 7b8d4b1ab46f9ad4ef2fd97d526e936186503ecde745f5a9ab9f88397678bc96
- 7ea83cca00623a8fdb6c2d6268fa0d5c4e50dbb67ab190d188b8033d884e4b75
- 7f8e9d7c986cc45a78c0ad2f11f28d61a4b2dc948c62b10747991cb33ce0e241
- 8d911ef72bdb4ec5b99b7548c0c89ffc8639068834a5e2b684c9d78504550927
- 92d2488e401d24a4bfc1598d813bc53af5c225769efedf0c7e5e4083623f4486
- 941fa9119eb1413fdd4f05333e285c49935280cc85f167fb31627012ef71a6b3
- 950f1f8d94010b636cb98be774970116d98908cd4c45fbb773e533560a4beea7
- 95b9c9bf8fa3874ad9e6204f408ce162cd4ae7a8253e69c3c493188cb9d1f4da
- 97105ed172e5202bc219d99980ebbd01c3dfd7cd5f5ac29ca96c5a09caa8af67
- 9d508074a830473bf1dee096b02a25310fa7929510b880a5875d3c316617dd50
- ccdf82b45b2ee9173c27981c51958e44dee43131edfbce983b6a5c146479ac33
- d738eef8756a03a516b02bbab0f1b06ea240efc151f00c05ec962d392cfddb93