Коллеги из ЛК отметили, что группировка RevengeHotels (TA558) использует LLM для разработки дроперов на JS. Отличительная особенность - большое количество комментариев и отсутствие обфускации
🔭 Обнаружение:
🔤 Ищем JS-файлы по паттерну
*.js в директориях пользователя
ProviderName="Microsoft-Windows-Sysmon" and EventId=11 and TargetFilename endswith ".js" and TargetFilename contains ":\Users\"
🔤 Для закрепа VenomRAT использует ключ реестра
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
ProviderName="Microsoft-Windows-Sysmon" and EventId=13 and EventType="SetValue" and TargetObject startswith "HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run"
обнаружим
Run, RunOnce, RunOnceEx🔤 Малварь копирует себя на съемные диски под именем
My Pictures.exe. Отслеживаем создание EXE-файлов на съемных устройствах
ProviderName="Microsoft-Windows-Sysmon" and EventId=11 and TargetFilename endswith ".exe" and TargetFilename matches "[C-M]:\\\\.*" and not Image endswith "explorer.exe"
#detectioneasy
#ttp@detectioneasy