Всем привет! 💻✌️
Давайте продолжим обзор отчета Solar о фишинговых кампаниях, применяемых группировкой NGC6061

В 2025 году, группировка продолжает использовать self-extracted LNK, но последним этапом стал дроп файлов KeyScrambler.exe и KeyScramblerIE.dll, (exe-легитимный бинарь, а dll-metasploit дропер)

KeyScrambler.exe - антикейлоггер, уязвим к DLL sideloading

🔭 Обнаружение:

🔤 Отслеживание файлов с именем KeyScramblerIE.dll. Можем похантить в $mft

ProviderName="Microsoft-Windows-Sysmon" and EventId=11 and TargetFilename contains "KeyScramblerIE.dll"

🔤 Загрузка библиотеки с именем KeyScramblerIE.dll

ProviderName="Microsoft-Windows-Sysmon" and EventId=7 
and Image endswith "KeyScrambler.exe"
and ImageLoaded endswith "KeyScramblerIE.dll" 
and SignatureStatus != "Valid" 
and Signature != "QFX Software Corporation"

UPD:
🔤 можем похантить в amcache и prefetch - KeyScrambler.exe

#detection@detectioneasy
#ttp@detectioneasy