Cyber Threat Researcher
Turkey
Joined August 2019
- Tweets103
- Following286
- Followers1.5K
- Likes2.2K
Pinned Tweet
My new paper: Forensic Analysis of the HackRF One with PortaPack Mayhem Firmware
Paper: arxiv.org/abs/2610.20647
HackRF forensic image: zenodo.org/records/23219006
Two new detectors are live on PusulaTrace: Locky and Cerber ransomware. Paste a Bitcoin address and the AI attributes the wallet to the group behind it.
Live evaluation:
• Locky: 98% recall, 0.2% false positives
• Cerber: 99.8% recall, 0.3% false positives
🔗 pusulatrace.com
Düzgün retweeted
hatırlarsanız geçtiğimiz yaz BtcTürk'teki cüzdanlar hedef alınarak yaklaşık 45-50 milyon dolarlık bir siber saldırı gerçekleşmişti. @Root0ne 'ın geliştirdiği PusulaTrace isimli algoritmik model, bu saldırının Kuzey Kore ilişkili Lazarus APT grubuna atfetdildiğini önemli ölçüde kanıtlar nitelikte. 👇
Free access for researchers and cybersecurity professionals: fill in the form at pusulatrace.com/apply
Anonymous profiles will not be accepted.
My blog post on the Iran-backed APT group MuddyWater is out. MuddyWater uses tools from TAG-150, a Malware-as-a-Service platform run by Russian-speaking cybercriminals. In this campaign, an MSI package is distributed through Amadey, installs the Deno-based DinDoor agent and runs it in memory. The agent collects browser passwords, cookies and crypto wallet data, and the final stage of the chain connects to a CastleRAT C2 server.
medium.com/@Root0ne/muddywat…
The Threat Actor Profiling course I prepared for Brandefense Academy is now live and available for free. You can access the content via the link below.
academy.brandefense.io/cours…
Bahsedilen yöntem, klasik steganografiden ziyade polyglot dosya mimarisinden kaynaklanır. Tek bir dosya, hem geçerli bir görüntü hem de bir ZIP/RAR arşivi olacak şekilde hazırlanabilir. Görüntüleyiciler genellikle resmin bitiş işaretini gördüğünde okumayı durdurur; arşiv programları ise dosyanın sonundan indeks aradığı için içindeki arşivi açabilir.
PNG-ZIP polyglot tekniğini 2021’de David Buchanan paylaşmıştı:
github.com/DavidBuchanan314/…
pdvzip adlı araç ise bu fikri biraz daha ileri götürüyor. PNG içindeki chunk yapısını kullanarak görüntünün içine arşivler ve betikler yerleştirebiliyor. Böylece tek bir PNG dosyasının içinde .ps1 veya Python payload’ları taşınabiliyor:
github.com/CleasbyCode/pdvzi…
Sorun şu: birçok sistem yalnızca dosyanın geçerli bir görüntü olup olmadığına bakar. Polyglot dosyalar ise aynı anda birden fazla formatın kurallarına uyduğu için payload saklama veya dağıtma amacıyla kötüye kullanılabilir.
twitterda sadece görsel paylaşan gizemli bir hesap keşfettim. şimdilik hesabı paylaşmayacağım.
çok yüksek ihtimalle steganografik iletişim kuruyorlar, görselleri Polyglot olarak yüklemiş. RAR ile açınca şifreli txt dosyaları zipli olarak gömülmüş. şifresini çözmeye çalışıyorum.
çözene kadar nasıl çalıştığını görmek için bu resmi indirip RAR ile açabilirsiniz :)
Türkiye'deki çok sayıda kurumu hedef alan, İran Devrim Muhafızları Ordusuna bağlı APT35'in (Charming Kitten) finansal analizi👇
1/3 APT35 sızıntısında yer alan Bitcoin cüzdanları ve işlem geçmişleri incelendiğinde, grubun finansal izlerini gizlemek amacıyla layering (katmanlama) stratejisi uyguladığı tespit ettim. İlgili sızıntıdaki cüzdanları inceleyerek APT35 ile ilişkilendirdiğim 2.600’den fazla cüzdanın toplam işlem hacmi yaklaşık 2,5 milyon dolar seviyesinde ve bu cüzdanların yarısından fazlası P2SH tipinde.
3/3 APT35, kripto varlıkları doğrudan saldırı altyapısını finanse etmek amacıyla kullanmaktadır. Bu varlıklar, başta KVM tabanlı offshore VPS hizmetleri ve çeşitli alan adlarını satın almak için operasyonel giderlerde ana ödeme yöntemi olarak tercih edilmiş. APT35, Batılı otoritelerle iş birliği yapmayan ve yasa dışı Rus forumlarında yoğun şekilde reklamı yapılan offshore servisleri sıkça kullanmış.
DomainTools tarafından oluşturulan aşağıdaki diyagramda, grubun satın alımlar sırasındaki stratejisi net bir şekilde açıklanmış.
DomainTools tarafından yapılan analiz: dti.domaintools.com/the-apt3…
Our new paper reveals that many Ethereum fraud detection models are too optimistic. By switching from random data splits to temporal validation, we exposed a bias in previous research. This approach gives a much more realistic picture of how to detect rug pulls and honeypots in the real world.
Our paper: onlinelibrary.wiley.com/doi/…
With the artificial intelligence model we developed, we can detect Ethereum wallets belonging to the North Korea-backed #Lazarus APT group with an accuracy of 98.998%.
Using the software we developed, and provided that we have the necessary dataset, we can identify the wallet addresses of any #terrorist organization or #threat actor employing a money laundering strategy on EVM-based networks.
Artificial intelligence is used to detect money laundering in both traditional finance and the cryptocurrency sector; however, a method that enables the attribution of an account or wallet to a specific threat group or actor had not been developed until our work.
Our paper: ieeexplore.ieee.org/document…
Türk şitketlerini hedef alan tehdit aktörü, ransomware panelini AI kullanarak yazmış. AI tarafından yazılan yorum satırlarını da olduğu gibi bırakmış arkadaş 😀
In recent weeks, our research team’ve identified a sophisticated phishing campaign targeting Türkiye. Threat actors targeted computers running Windows operating systems located in Türkiye and using the Turkish language.
Key takeaway: the malware bypassed every public sandbox and AV aside from Threat.Zone, and also evaded EDR/XDR in real-world incidents. We noted impact across many banks, ISPs, and mid-level organizations.
This case again shows why on-premises sandboxes are essential for critical infrastructure and why real dynamic analysis is crucial for SOC teams.
malwation.com/blog/technical…
Which #ransomware groups use which offshore domain providers?
Our new research “Beyond Whois: Offshore Domains in Modern Cybercrime and Ransomware Ecosystems” with @eceiseverywhere is now available in its TLP:CLEAR version (link below ⬇️).
