Loading malware…
1 distinct threat actor Mallory has associated with this family across public reporting. Open in Mallory to see the full evidence chain and overlapping campaigns.
Не успели мы рассказать о кампании с использованием PhantomHeart, как обнаружили еще одну масштабную фишинговую рассылку...
8 distinct techniques documented for this family, organized by ATT&CK tactic.
Head Mare продолжает эксплуатировать уязвимость BDU:2025-10114 в программном обеспечении TrueConf Server... В этой кампании вновь используется эксплуатация уязвимости BDU:2025-10114 в TrueConf Server... включая внедрение команд PowerShell через параметры запуска tc_server.exe, что позволяло атакующим выполнять произвольный код в целевых системах.
...бэкдор запускался через планировщик задач под видом легитимного скрипта обновления... Новая версия PhantomProxyLite... закрепление теперь осуществляется через задачу планировщика Windows с тем же именем, SSHService, настроенную на запуск при старте системы от имени учетной записи SYSTEM.
Ключевой находкой стал новый бэкдор PhantomHeart, который изначально распространялся в виде DLL-библиотеки, а позднее был переработан в PowerShell-скрипт... PhantomProxyLite... также получил реализацию на PowerShell... включая внедрение команд PowerShell через параметры запуска tc_server.exe.
...бэкдор запускался через планировщик задач под видом легитимного скрипта обновления... Новая версия PhantomProxyLite... закрепление теперь осуществляется через задачу планировщика Windows с тем же именем, SSHService, настроенную на запуск при старте системы от имени учетной записи SYSTEM.
...бэкдор запускался через планировщик задач под видом легитимного скрипта обновления... Новая версия PhantomProxyLite... закрепление теперь осуществляется через задачу планировщика Windows с тем же именем, SSHService, настроенную на запуск при старте системы от имени учетной записи SYSTEM.
...бэкдор запускался через планировщик задач под видом легитимного скрипта обновления, размещенного в директории средства удаленного администрирования LiteManager. Использование пути $ProgramFiles\LiteManager Pro - Server\rom\check-update.ps1 указывает на попытку замаскировать вредоносную активность под штатную работу легитимного программного обеспечения.
При получении соответствующих параметров... бэкдор запускает клиент OpenSSH... инициирует сессию с использованием удаленного проброса портов... PhantomProxyLite... запускает ssh.exe для установления обратного туннеля.
После расшифровки адресов PhantomHeart переходит в основной цикл взаимодействия с C2. Для обмена данными используются HTTP POST-запросы, содержащие вредоносную нагрузку в формате JSON.
Ключевой функциональной возможностью PhantomHeart является развертывание SSH-туннеля по указанию C2-сервера... Затем PhantomHeart динамически создает временный конфигурационный файл... и инициирует сессию... Это позволяет оператору получить устойчивый удаленный доступ к скомпрометированной системе.
Ключевой функциональной возможностью PhantomHeart является развертывание SSH-туннеля... инициирует сессию с использованием удаленного проброса портов (remote port forwarding)... PhantomProxyLite... запускает ssh.exe для установления обратного туннеля.
30 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Values are masked here and available in full in Mallory.
4 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.