Продвинутая разведка угроз
Kinryū Labs
Мы — исследовательская группа, которая находит уязвимости в космических системах, разворачивает сети ловушек (honeypot), чтобы наблюдать за атакующими в реальных условиях, и готовит киберразведку угроз. Мы сообщаем о найденном затронутым организациям и публикуем то, что можем, когда материал готов и допущен к публикации.
Делаем это из любви к делу.
Последние отчёты
Смотреть все →-
Открытый Elasticsearch: внутри экономики стирания и выкупа
Kinryū Labs провела перепись 17,043 доступных из интернета хостов Elasticsearch и обнаружила, что вычищенная оболочка с запиской о выкупе — самое частое состояние открытого кластера: таких 5,073. Отслеживание каждого кошелька, указанного в записках, даёт пять акторов, одиннадцать платежей и около $5,553 суммарной выручки и показывает, что обещание вернуть удалённые данные уликами не подтверждается.
elasticsearch · ransomware · extortion · data-exposure · on-chain-analysis · bitcoin
-
Threat teardown
godhive: A Novel Rust Crypto-Stealer and Miner Framework
Kinryū Labs analysed godhive, a novel and undocumented Rust offensive framework caught abusing an exposed Docker API on our honeypot network. It mines Monero, drains cryptocurrency wallets across major exchanges and more than eight blockchains, spreads as a worm, and hides behind a command channel built to survive takedown. We assess with high confidence that it is purpose-built crimeware, and that it was deployed by a single developer field-testing their own tool from a consumer mobile connection.
malware · cryptojacking · crypto-stealer · rust · docker · worm
-
Threat teardown
Inside a Gaming DDoS-for-Hire Operation
Kinryū Labs assesses with high confidence that this is a commercial gaming DDoS-for-hire operation running on a shared botnet builder kit. The same Go codebase is compiled by different operators with their own C2 servers and attack loadouts; the fleet analysed here fronts a self-serve, account-gated for-hire API and a live bot inventory of roughly 28 to 32 devices, dispatching customer attack orders against gaming and voice infrastructure. Its raw-TCP command channel is unauthenticated while bot registration is gated behind a password-authenticated SSH channel.
malware · botnet · ddos · golang · iot · honeypot
kinryu@lab