Google Threat Analysis Group
Российская группа COLDRIVER, также известная под именами UNC4057, Star Blizzard и Callisto, расширила свою деятельность, направленную на западных чиновников, и теперь использует вредоносное ПО. Группа сосредоточилась на фишинге учетных данных высокопоставленных лиц в неправительственных организациях
Группа анализа угроз компании Google (TAG) обнаружила эксплойт 0-day для Zimbra Collaboration, используемый для кражи данных электронной почты международных правительственных организаций и отслеживаемый как CVE-2023-37580.
В последние недели группа анализа угроз (Threat Analysis Group, TAG) компании Google наблюдала, как несколько поддерживаемых правительством хакерских групп эксплуатируют известную уязвимость CVE-2023-38831 в WinRAR, популярном файловом архиваторе для Windows. Киберпреступные группы начали использовать
FROZENBARENTS (она же Sandworm) остается наиболее универсальным кибер-субъектом с наступательными возможностями, включая фишинг учетных данных, мобильную активность, вредоносное ПО, внешнюю эксплуатацию сервисов и другие. Их целью являются сектора, представляющие интерес для российской разведки, включая
Google Threat Analysis Group начала активно отслеживать UAC-0098 после того, как в конце апреля 2022 года обнаружила фишинговую кампанию по рассылке AnchorMail (под названием "LackeyBuilder"). AnchorMail - это версия бэкдора Anchor, использующая простой протокол передачи почты (SMTPS) для командно-контрольной связи (C2).
В декабре 2021 года Google TAG обнаружила новый инструмент APT35 (Charming Kitten) под названием HYPERSCRAPE, используемый для кражи пользовательских данных из учетных записей Gmail, Yahoo! и Microsoft Outlook.
COLDRIVER, иногда упоминаемый как Callisto, продолжает рассылать фишинговые электронные письма, содержащие учетные данные, в том числе правительственным и оборонным чиновникам, политикам, неправительственным организациям и аналитическим центрам, а также журналистам.
IOC
Специалисты Google Threat Analysis Group (TAG) выявили компанию по распространению шпионского программного обеспечения в Италии и Казахстане, в рамках которой интернет провайдеры помогали распространять ВПО.
В прошлом месяце группа анализа угроз (TAG) Google сообщила о том, что EXOTIC LILY использует службы передачи файлов, такие как TransferNow, TransferXL, WeTransfer или OneDrive, для распространения вредоносного ПО. Используя эту информацию, исследователи обнаружил еще несколько активных URL-адресов