ChocoShell — викрадач облікових даних на базі PowerShell, пов’язаний із кампанією CaptiveCrunch. Його код спрямований на отримання облікових даних браузерів, сеансових cookie, артефактів Microsoft TokenBroker та збережених паролів Wi-Fi. Він також реалізує механізми обходу захисту шифрування браузерів, ухилення від захисних засобів і завантаження додаткових компонентів.

Наш аналіз виявив помилку в механізмі визначення адміністративних прав ChocoShell. Під час виконання від імені локального адміністратора з розділеним токеном шкідливе ПЗ не розпізнало SID групи Administrators з атрибутом deny-only. Унаслідок цього замість прихованих механізмів підвищення привілеїв було викликано видимий запит UAC.

Anonymous Sudan: між хактивізмом, геополітикою та DDoS-бізнесом

За трохи більше ніж рік Anonymous Sudan вдалося створити образ значно більшого й технічно складнішого кібероператора, ніж можна припустити з доступних відкритих даних. Група атакувала сервіси Microsoft, ChatGPT, PayPal, державні установи, фінансові та медичні організації й транспортну інфраструктуру. Водночас її ядро, за найбільш обґрунтованими оцінками, могло складатися лише з кількох осіб.

Charming Kitten, відоме також як APT35 і пов’язане в публічних дослідженнях із такими кластерами, як APT42, Mint Sandstorm, Magic Hound та TA453, роками атакує дослідників, журналістів, дипломатів, аналітиків, активістів та інших людей, чиї акаунти відкривають доступ до цінної інформації й професійних мереж.

Найцікавіше в діяльності цього угруповання — сама логіка операцій: знайти потрібну людину, створити правдоподібний привід для контакту, поступово сформувати довіру, а потім перевести її в дію з цифровою ідентичністю.

Cadet Blizzard: коли кібершпигунство переростає в кіберсаботаж

Далеко не всі державні кіберугруповання обмежуються збором розвідувальної інформації. Частина з них поєднує кібершпигунство, деструктивні атаки та інформаційно-психологічні операції в межах єдиної стратегії.

Саме до таких належить Cadet Blizzard (також відоме як Ember Bear або DEV-0586) — угруповання, яке провідні міжнародні дослідники пов’язують із військовою частиною 29155 ГРУ РФ. За останні роки воно стало одним із найактивніших російських кіберсуб’єктів, що діють проти України, країн НАТО та організацій, залучених до підтримки України.

У центрі уваги нашого нового OSINT-звіту — KillNet.

KillNet давно вийшов за межі звичайного хактивістського угруповання. Аналіз його діяльності показує, що більшість кампаній синхронізуються з політичними подіями та зовнішньополітичними інтересами російської федерації, а технічні атаки регулярно поєднуються з інформаційно-психологічними операціями.

Попри відносно невисоку технічну складність більшості операцій, KillNet залишається одним із найвпливовіших проросійських кіберугруповань завдяки здатності швидко мобілізувати велику мережу прихильників, координувати масові DDoS-кампанії та створювати значний інформаційний ефект через Telegram та інші платформи.