final payload #purelogs 📡212.23.222[.56: 20341 #purerat injected into aspnet_compiler.exe, downloads #purelogs dubbed ClassLibrary4.dll from c2, which in turn sends stolen info back malware version: 4.0.1 NEW DAY @abuse_ch please adjust c2 tag accordly

Interesante: APT-C-36 aka #BlindEagle, en su operación dirigida a organizaciones en Colombia 🇨🇴 (también conocida como Operación Spalax) está utilizando una serie de sitios web que en las últimas horas han entregado, al menos, 4 descargas diferentes: 1.- Documento_digitaL.UUE (tria.ge/230706-r1hg1scc53/be…) 2.- Documento.uue (tria.ge/230707-ew2nwagc9z/be…) 3.- CARPETA_DE_FOLIO_Y_ACTA_ENTREGADA-PDF.UUE (tria.ge/230707-elcxrsfb83/be…) 4.- carpeta_documento_digital_ acta_ del_caso_jurídico.scr (virustotal.com/gui/file/5c40…) Los correos phishing simulan ser demandas de estudios jurídicos o firmas de abogados y contienen adjuntos PDF o Word inofensivos, con enlaces no clicables hacia los sitios maliciosos (montados en website[.]org): - notificacionesjuridicasonline.otcy[.]com - notificacionesjuridicas.blog-online[.]eu Flujo de infección: email > .pdf -> sitio web > archivo .uue protegido con contraseña (desde Discord) > .vbs (ofuscado con Vbs-Crypter "Codigo") > .ps1 > DLL desde cryptersandtools.minhacasa[.]tv/e/e > PDF decoy. Payloads finales son: #NjRAT C2 46.246.86[.]19:0509 nj0509.duckdns[.]org #RemcosRAT C2 46.246.86[.]19:2798 yumaguoc.duckdns[.]org 46.246.86[.]19:2525 yumaguoc.duckdns[.]org 46.246.86[.]19:2798 matarife.duckdns[.]org master1981.duckdns[.]org remnew.duckdns[.]org kbum1963.duckdns[.]org Todos los C2 en 46.246.86.19 🇸🇪 (FrootVPN), como de costumbre últimamente para esta distribución (en ocasiones comparada con #Aggah aka #Haggah). 📌 Respecto a cryptersandtools.minhacasa[.]tv todo indica que debería ser un servicio de crypters y herramientas para distintos actores de amenaza (tipo MaaS), ya que desde aquí se pueden ver ataques en otros lenguajes, dirigidos hacia otras partes del mundo y que no forman parte del flujo de infección aquí descrito 👇 Dos #opendir en el servidor utilizado por este servicio: cryptersandtools.minhacasa[.]tv/e/ cryptersandtools.minhacasa[.]tv/inf/ [ ] (virustotal.com/gui/domain/cr…) Más infra asociada a este tercero (desde 2021 en uso): 91.213.50[.]74/CRYPS/ 91.213.50[.]74/GREEN/ 91.213.50[.]74/new/ [ ] (virustotal.com/gui/ip-addres…) 79.110.49[.]55/ [ ] (virustotal.com/gui/ip-addres…)

Check out my recent writeup on #AndeLoader delivering #0bj3ctivityStealer. It's been some time since we last saw AndeLoader popping up ☺️ Link: esentire.com/blog/ande-loade…