The Threat CodexSep 12, 2025
You’re invited: Four phishing lures in campaigns dropping RMM tools
#ITarian #PDQConnect #SimpleHelp #AteraAgent
https://redcanary.com/blog/threat-intelligence/phishing-rmm-tools/
You’re invited: Four phishing lures in campaigns dropping RMM tools | Red Canary

Joint research from Red Canary Intelligence and Zscaler threat hunters spotlights phishing campaigns dropping RMM tools

Red Canary
James_inthe_boxSep 5, 2025

Spoofed @Zoom invite drops #AteraAgent msi at:

https://khoancatbetong89\.vn/us/zoom/Windows/invite.php

d12af789ffa55828debceb3cd888f2794f5ee3165ed4f8973da103e7638f6136

IntegratorLogin="[email protected]"
AccountId="001Q300000VcgSfIAJ"

CyberVeille.chAug 21, 2025
📢 MuddyWater cible des CFO via hameçonnage multi‑étapes et abus de NetBird
📝 Selon Hunt.io (billet du 20 août 2025, avec recoupements Trellix), une campagne sophistiquée attribuée à APT MuddyWater cible des directeurs fin...
📖 cyberveille : https://cyberveille.ch/posts/2025-08-21-muddywater-cible-des-cfo-via-hameconnage-multi-etapes-et-abus-de-netbird/
🌐 source : https://hunt.io/blog/apt-muddywater-deploys-multi-stage-phishing-to-target-cfos
#AteraAgent #Firebase #Cyberveille
MuddyWater cible des CFO via hameçonnage multi‑étapes et abus de NetBird

Selon Hunt.io (billet du 20 août 2025, avec recoupements Trellix), une campagne sophistiquée attribuée à APT MuddyWater cible des directeurs financiers sur plusieurs continents via des leurres hébergés sur Firebase/Web.app, des scripts VBS et l’abus d’outils légitimes pour maintenir un accès persistant. • Panorama de l’attaque 🎯: Des e‑mails d’hameçonnage ciblé se faisant passer pour un recruteur de Rothschild & Co mènent vers des pages Firebase avec CAPTCHA/maths et redirections AES chiffrées. La chaîne d’infection déploie des scripts VBS, livre des charges additionnelles depuis une infrastructure contrôlée et installe NetBird et OpenSSH afin d’établir une persistance et un contrôle à distance. Les opérateurs abusent également d’outils légitimes comme AteraAgent.exe. Des recoupements d’IoC, d’infrastructure et de TTPs alignent cette activité avec APT MuddyWater.

CyberVeille