#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
AuraStealer - это вредоносное ПО-стиллер на основе C++, предназначенное для систем Windows от 7 до 11, предназначенное для извлечения данных из более чем 110 браузеров и 70 приложений, в частности кошельков и средств аутентификации. Он распространяется с помощью вводящих в заблуждение видеороликов TikTok, используя административные команды PowerShell для своей установки. Вредоносное ПО использует передовые методы обфускации и антианализа, включая динамическую генерацию мьютексов и специальные проверки защитных сред, чтобы избежать обнаружения, одновременно облегчая масштабные операции по краже данных.
-----

AuraStealer - это стиллер вредоносного ПО типа "как услуга", разработанный на C++ и предназначенный для систем Windows от Windows 7 до Windows 11. Он извлекает данные из более чем 110 браузеров и 70 приложений, включая кошельки и инструменты двухфакторной аутентификации. Вредоносное ПО использует вводящие в заблуждение видеоролики TikTok, чтобы заставить пользователей выполнять вредоносные команды и загружать полезную нагрузку через PowerShell. Он использует методы запутывания, такие как косвенное запутывание потока управления, хэширование API, управляемое исключениями, и запутывание строк, чтобы затруднить анализ. AuraStealer включает в себя методы антианализа, проверку наличия защитных сред и диалоговые окна пользовательского ввода. Он также проводит проверку геолокации и обнаруживает аномалии, такие как отладчики и виртуальные машины. Его процесс выполнения включает в себя настройку пользовательских обработчиков исключений, расшифровку конфигураций и кражу данных с помощью динамически генерируемого мьютекса для ограничения количества экземпляров. Он обходит шифрование, привязанное к приложениям, в браузерах на базе Chromium, выполняя их в приостановленном безголовом режиме. Сетевые действия начинаются с проверки подключения и взаимодействия с инфраструктурой управления для поиска конфигурации и эксфильтрации файлов через назначенные конечные точки API.

#ParsedReport #CompletenessHigh
19-12-2025

Stealth in Layers: Unmasking the Loader used in Targeted Email Campaigns

https://cyble.com/blog/stealth-in-layers-unmasking-loader-in-targeted-email-campaigns/

Report completeness: High

Threats:
Steganography_technique
Purelogs
Katz_stealer
Asyncrat
Remcos_rat
Process_injection_technique
Uac_bypass_technique
Process_hollowing_technique
Spear-phishing_technique

Victims:
Manufacturing, Government, Industrial

Industry:
Entertainment, Government

Geo:
Middle east, Saudi arabia, Italy, Finland

CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)


TTPs:
Tactics: 8
Technics: 22

IOCs:
File: 2
IP: 1
Hash: 6
Url: 4

Soft:
Task Scheduler, Firefox, NET framework

Algorithms:
cbc, sha256, gzip, des, base64, zip

Functions:
TaskScheduler

Languages:
javascript, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Был обнаружен сложный загрузчик, нацеленный на производственный и государственный секторы Италии, Финляндии и Саудовской Аравии с целью кражи конфиденциальных данных и компрометации учетных данных. Он предоставляет различные трояны удаленного доступа и использует Стеганографию, чтобы скрыть вредоносную полезную нагрузку внутри доброкачественных изображений, что затрудняет обнаружение. Атака использует такие методы, как запутывание JavaScript, гибридная сборка в библиотеках с открытым исходным кодом, UAC bypass для получения повышенных привилегий и Внедрение в пустой процесс, создавая сложную среду угроз.
-----

CRIL выявила сложный загрузчик, используемый многочисленными злоумышленниками в нацеленных кампаниях, нацеленных на производственный и государственный секторы, главным образом в Италии, Финляндии и Саудовской Аравии. Основной целью этих кампаний является кража конфиденциальных промышленных данных и компрометация административных учетных данных. Загрузчик функционирует как универсальная платформа распространения вредоносного ПО, предоставляя ряд троянов удаленного доступа (RAT) и стиллеров информации, включая PureLog Stealer, Katz Stealer, DC RAT, Async Rat и Remcos. Использование Стеганографии позволяет встраивать вредоносную полезную нагрузку в доброкачественные изображения, размещенные на законных платформах, таким образом избегая традиционной сетевой защиты.

Злоумышленники используют метод, называемый "гибридной сборкой", для вставки вредоносных функций в надежные библиотеки с открытым исходным кодом, в частности в библиотеку TaskScheduler. Этот процесс позволяет файлам выглядеть законными, скрывая при этом их вредоносные возможности, что усложняет усилия по обнаружению на основе сигнатур. Процесс заражения проходит по четырехэтапному конвейеру, разработанному для минимального криминалистического обнаружения: он начинается с обфускации JavaScript, чтобы скрыть его назначение, за которой следует стеганографическое извлечение полезной нагрузки из файла изображения, которое затем автоматически загружается в память для выполнения без взаимодействия с диском. Кроме того, был использован уникальный метод обхода контроля учетных записей пользователей (UAC), который обманом заставляет операционную систему предоставлять повышенные привилегии, случайно задействуя запросы UAC во время обычных операций.

Первоначальным источником заражения в первую очередь являются электронные письма с Целевым фишингом, замаскированные под законные заказы на покупку, отправляемые нацеленным организациям. Файл JavaScript содержит сильно запутанный код, выполняемый PowerShell, который извлекает вредоносный PNG-файл из Archive.org , встраивая .NET-сборку в кодировке base64. Эта сборка становится оружием путем внедрения вредоносного кода в троянскую версию библиотеки TaskScheduler. Наконец, вредоносное ПО использует Внедрение в пустой процесс, вводя полезную нагрузку во вновь созданный приостановленный RegAsm.exe процесс, позволяющий ему функционировать как законному приложению Windows при выполнении своих вредоносных задач.

Конечная полезная нагрузка, PureLog Stealer, извлекается с помощью процесса тройного дешифрования DES с последующей распаковкой в GZip перед вызовом полезной нагрузки. Методология атаки отражает последовательное использование передовых методов обфускации, Стеганографии и существующих системных процессов для уклонения от обнаружения, что делает этот загрузчик частью постоянной и адаптируемой среды киберугроз.

#ParsedReport #CompletenessLow
18-12-2025

ShadyPanda: The Silent Browser Takeover Threat and How Qualys TruRisk Eliminate Helps You Stop It

https://blog.qualys.com/product-tech/patch-management/2025/12/17/shadypanda-malicious-browser-extensions-prevention

Report completeness: Low

Actors/Campaigns:
Shadypanda

Industry:
E-commerce

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1056, T1059, T1105, T1195, T1195.003, T1204, T1566

Soft:
Chrome, Firefox

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ShadyPanda представляет собой эволюцию в области киберугроз, использующую надежные расширения браузера для доставки вредоносного ПО, а не традиционного фишинга или использования zero-day. С 2024 по 2025 год актор скомпрометировал миллионы пользователей, внедрив вредоносные возможности в законные расширения, что выявило значительное слабое место в системе безопасности. Этот подход фокусируется на использовании доверия пользователей к существующему программному обеспечению, а не на прямых атаках, что требует переоценки методов обеспечения безопасности в экосистеме расширений для браузера.
-----

ShadyPanda представляет собой значительный сдвиг в тактике борьбы с киберугрозами, используя надежные расширения браузера в качестве средства доставки вредоносного ПО вместо того, чтобы полагаться на традиционные методы, такие как фишинг или использование уязвимостей zero-day. В период с 2024 по 2025 год этот злоумышленник успешно скомпрометировал миллионы пользователей, внедрив вредоносные возможности в законные расширения браузера, продемонстрировав, как обычное программное обеспечение может превратиться в серьезную проблему безопасности. Их метод основан на использовании врожденного доверия пользователей к расширениям, а не на прямых атаках на недостатки программного обеспечения.

Эта сложная операция вызвала тревогу у организаций, указывая на то, что экосистема расширений для браузера стала новым слепым пятном в области кибербезопасности. Действия ShadyPanda's показывают, как злоумышленники могут использовать, казалось бы, законные инструменты для бесшумного проникновения в среду пользователей, что повышает важность упреждающих мер безопасности, выходящих за рамки стандартного исправления.

Для борьбы с угрозами, подобными ShadyPanda, организациям рекомендуется внедрять такие решения, как Qualys TruRisk Eliminate, которые помогают выявлять рискованное поведение, связанное с расширениями браузера. Инструмент определяет приоритеты подлинных угроз и помогает устранить вредоносные компоненты до того, как они смогут быть использованы. Два важных шага, рекомендуемых для усиления защиты, включают внедрение автоматических исправлений с нулевым касанием для безопасного обновления браузера на конечных точках, что сводит к минимуму подверженность угрозам со стороны вредоносных расширений, и использование сценариев CAR для быстрого выявления и удаления нестандартных или вредоносных расширений.

Стратегия требует всесторонней очистки установленных расширений, гарантируя, что они соответствуют утвержденному списку, и немедленно устраняя все, что считается ненадежным. По мере развития киберугроз важность использования поведенческого анализа и упреждающего управления рисками становится первостепенной для предприятий, стремящихся защитить свои активы и данные от таких изощренных атак.

#ParsedReport #CompletenessMedium
17-12-2025

Inside DPRK Operations: New Lazarus and Kimsuky Infrastructure Uncovered Across Global Campaigns

https://hunt.io/blog/dprk-lazarus-kimsuky-infrastructure-uncovered

Report completeness: Medium

Actors/Campaigns:
Lazarus (motivation: cyber_espionage)
Kimsuky (motivation: cyber_espionage)
Smoothoperator
Famous_chollima
Bluenoroff

Threats:
Credential_harvesting_technique
Http_troy
Blindingcan
Memload
Supply_chain_technique
Badcall
Passview_tool
Passwordfox_tool
Netpass_tool
Dialupass_tool
Pstpassword_tool
Rclone_tool
Mythic_c2
Quasar_rat
Sqlmap_tool
Masscan_tool
Nmap_tool
Ngrok_tool
Microsocks_tool
Frpc_tool
Impacket_tool
Nuclei_tool
Mimikatz_tool
Poolrat
Fastreverseproxy_tool
Opendir_technique

Geo:
Hong kong, Chinese, Singapore, North korean, Dprk, Ireland

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1036, T1041, T1053, T1057, T1059, T1078, T1090, T1102, have more...

IOCs:
IP: 38
Hash: 8
File: 11
Domain: 1

Soft:
Linux, Burp Suite

Algorithms:
sha256, exhibit, zip

Functions:
Fake_Cmd, logMessage

Languages:
python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Расследование деятельности северокорейских хакерских группировок, таких как Lazarus и Kimsuky, выявило использование ими сложных методов для получения разведывательной информации и финансовой выгоды, таких как использование открытых структур каталогов для промежуточных узлов и инструментов сбора учетных записей. Известный инструмент, бэкдор Badcall, сыграл свою роль в 3CX supply-chain attack 2023 года, продемонстрировав свою адаптивность. В открытых каталогах были обнаружены обширные коллекции вредоносных инструментов, что указывает на хорошо отлаженную инфраструктуру, использующую быстрый обратный прокси-сервер для обеспечения согласованности работы кампаний.
-----

Недавние расследования северокорейских хакерских операций выявили продолжающуюся деятельность таких групп, как Lazarus и Kimsuky. Эти спонсируемые государством кибер-акторы используют сложные методы для сбора разведывательных данных, получения финансовой выгоды и более широких оперативных целей. Их кампании демонстрируют отличительные закономерности, используя открытые структуры каталогов в качестве промежуточных узлов, последовательное использование инструментов сбора учетных записей и повторяющуюся вредоносную инфраструктуру в различных глобальных кампаниях.

Одно из важнейших открытий относится к бэкдору Badcall, который связан с операциями Lazarus. Linux-вариант Badcall сыграл заметную роль в 3CX supply-chain Attack 2023 года, что указывает на адаптируемость вредоносного ПО к сменным сценариям и сценариям после эксплуатации. Операции Lazarus также использовали открытые каталоги, содержащие множество наборов для кражи учетных данных, замаскированных под законные инструменты. Например, недавняя атака, Маскировка под оценку найма персонала NVIDIA, привела к обнаружению двух утилит для восстановления учетных данных, MailPassView и WebBrowserPassView, которые использовались для извлечения конфиденциальной информации.

Анализ открытой инфраструктуры показал преобладание обширных коллекций инструментов. В одном наблюдении из открытого каталога по IP-адресу 207.254.22.248 был обнаружен набор инструментов для кражи учетных данных, состоящий из различных инструментов для восстановления и извлечения паролей, объемом 112 МБ. Другая важная находка на 149.28.139.62 выявила еще большую коллекцию объемом 270 МБ, которая включала компоненты Quasar RAT наряду с инструментами сбора учетных записей и утилитами для передачи файлов. Кроме того, хостинг по адресу 154.216.177.215 обнаружил массивный набор данных объемом 2 ГБ с вредоносными инструментами безопасности и многочисленными скриптами, предназначенными для использования и сбора данных.

Эти усилия по расследованию также выявили зависимость инфраструктуры от Fast Reverse Proxy (FRP), которая связывает различные кампании, сохраняя при этом постоянный оперативный охват. Развертывание двоичных файлов FRP на нескольких узлах VPS, работающих одинаково, иллюстрирует предсказуемую схему, которую можно отслеживать для получения дополнительной информации о деятельности КНДР.

Ключевые рекомендации для защитников включают мониторинг случаев уязвимости open directory, которые могут содержать эти вредоносные наборы инструментов, распознавание повторных развертываний FRP, создающих наблюдаемые шаблоны, и выявление повторного использования сертификатов, которые могут подвергать опасности кластеры операционной инфраструктуры. Кроме того, отслеживание исторической телеметрии провайдеров общего доступа к VPS может помочь выявить и сорвать новые кампании до того, как они полностью реализуются.

#ParsedReport #CompletenessMedium
19-12-2025

APT-C-36 (Blind Eagle) utilizes Hijackloader for attack activities

https://www.ctfiot.com/287745.html

Report completeness: Medium

Actors/Campaigns:
Blindeagle
Purecoder

Threats:
Hijackloader
Heavens_gate_technique
Rshell
Dotnet_reactor_tool

Geo:
Colombia

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1055, T1204, T1562

IOCs:
File: 18
Hash: 4
Domain: 1

Soft:
NET Reactor, WeChat

Algorithms:
gzip, base64, lznt1, crc-32, zip

Win API:
LoadLibrary, VirtualProtect, RtlDecompressBuffer, NtQuerySystemInformation, CreateProcessW, NtDelayExecution, NtOpenProcess, NtGetContextThread, NtSetContextThread, NtResumeThread, have more...

Win Services:
bits, avastsvc

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
APT-C-36, также известный как Blind Eagle, использует модульную вредоносную полезную нагрузку под названием Hijackloader в своих кампаниях атак. Этот загрузчик использует многоступенчатые и повторяющиеся методы внедрения шелл-кода, создавая сложные цепочки атак, которые скрывают его действия и усложняют усилия по обнаружению. Адаптивность Hijackloader повышает его эффективность в различных сценариях эксплуатации, позволяя APT-C-36 достигать своих целей, обходя меры безопасности.
-----

Было замечено, что APT-C-36, также известный как Blind Eagle, использует вредоносную полезную нагрузку под названием Hijackloader в рамках своих атакующих кампаний. Этот загрузчик работает по модульному принципу, что позволяет ему выполнять различные методы внедрения, включая многоступенчатые и повторяющиеся внедрения шелл-кода. Такая сложность разработана для повышения ее эффективности в различных сценариях атак.

Модульная природа Hijackloader позволяет злоумышленнику адаптировать загрузчик для различных случаев эксплуатации, повышая его универсальность. Повторяющийся метод внедрения шеллкода в сочетании с многоэтапным выполнением создает сложную цепочку атак, которая может ввести жертв в заблуждение и затруднить судебно-медицинский анализ. Используя эти сложные методы, APT-C-36 стремится запутать свою деятельность, усложнить процессы обнаружения систем безопасности и, в конечном счете, достичь своих вредоносных целей без подачи предупреждений.

#ParsedReport #CompletenessLow
19-12-2025

Atomic macOS stealer is spreading via ChatGPT and Grok answers

https://moonlock.com/amos-stealer-spread-chatgpt-grok

Report completeness: Low

Threats:
Amos_stealer
Ai-clickfix_technique
Clickfix_technique

Victims:
Macos users

ChatGPT TTPs:
do not use without manual check
T1204, T1566

Soft:
macOS, ChatGPT, Ledger Live, Chrome, Firefox, OpenAI

Wallets:
electrum, metamask, coinbase

Algorithms:
base64

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Стиллер Atomic macOS (AMOS) распространяется через платформы искусственного интеллекта, используя социальную инженерию, чтобы обманом заставить пользователей загружать вредоносное ПО по, казалось бы, заслуживающим доверия ссылкам. Этот вариант поддерживает те же функциональные возможности, что и более ранние версии, и представляет значительную угрозу для пользователей macOS из-за компрометации конфиденциальной информации. Кампания подчеркивает уязвимость, связанную с контентом, генерируемым искусственным интеллектом, и растущую распространенность стиллеров macOS в среде киберпреступников.
-----

Стиллер Atomic macOS (AMOS) в настоящее время распространяется через платформы искусственного интеллекта, такие как ChatGPT и Grok, демонстрируя легкость, с которой злоумышленники-акторы могут использовать эти технологии для обмена вредоносным контентом. Этот вариант обладает теми же функциональными возможностями, что и ранее идентифицированные экземпляры AMOS, что делает его серьезной угрозой для пользователей macOS. Кампания освещает тактику киберпреступников, которые создают общедоступные ссылки, по которым можно распространять AMOS, привлекая внимание к уязвимостям, связанным с контентом, генерируемым искусственным интеллектом.

Метод распространения, используемый злоумышленниками, в значительной степени опирается на социальную инженерию, извлекая выгоду из доверия пользователей к платформам искусственного интеллекта. Создавая ссылки, которые кажутся заслуживающими доверия, они повышают вероятность того, что пользователи непреднамеренно загрузят вредоносное ПО. AMOS не только компрометирует конфиденциальную информацию, но и является примером более широкой тенденции появления стиллеров macOS, которые распространяются в среде киберпреступников.

Чтобы снизить риск таких угроз, она имеет важное значение для пользователей проявлять бдительность в отношении новейшее вредоносное ПО распространения вредоносных программ, особенно связанных с ИИ. Понимание потенциальных рисков, связанных с публичных ссылок может помочь пользователям выявлять и пресекать попытки внедрить вредоносное ПО на своих систем, эффективно нарушая цепочки атаки, прежде чем он может взять.

#ParsedReport #CompletenessLow
18-12-2025

Quishing Campaigns : Advanced QR-Code Phishing Evaluation and Insights

https://www.cyfirma.com/research/quishing-campaigns-advanced-qr-code-phishing-evaluation-and-insights/

Report completeness: Low

Threats:
Qshing_technique
Credential_harvesting_technique
Spear-phishing_technique

Industry:
Education

TTPs:
Tactics: 7
Technics: 12

Algorithms:
xor

Languages:
javascript

SIGMA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавний анализ, проведенный CYFIRMA, выявил продвинутую кампанию фишинга с использованием QR-кодов, известную как "quishing", которая нацелена на сотрудников с помощью срочных сообщений, связанных с выплатой заработной платы. Этот метод использует социальную инженерию и запутанные скрипты, что затрудняет системам безопасности обнаружение этих угроз, особенно по мере того, как атаки переносятся на персональные мобильные устройства. В кампании используется динамически генерируемая инфраструктура, позволяющая злоумышленникам обходить традиционные меры безопасности и эффективно собирать учетные данные пользователей.
-----

Недавний анализ, проведенный CYFIRMA, выявил продвинутую кампанию фишинга с использованием QR-кодов, получившую название "quishing", для эффективной рассылки сотрудникам сообщений, связанных с начислением заработной платы и компенсациями. Этот метод использует персонализированную тактику социальной инженерии и запутанные сценарии, что усложняет системам безопасности обнаружение и блокирование таких попыток. Используя динамически генерируемую инфраструктуру, кампания значительно повышает шансы на вовлечение пользователей, обходя при этом стандартные меры безопасности.

Атака, как правило, начинается с фишинг-рассылки по электронной почте, которая имитирует уведомление об обновлении платежной ведомости, призванное создать ощущение срочности. Получателям предлагается отсканировать QR-код, а не переходить по традиционным ссылкам, что переносит зону атаки на персональные мобильные устройства, которым часто не хватает надежной видимости безопасности. Этот метод позволяет злоумышленникам обходить обычные фильтры безопасности электронной почты, которые в первую очередь ориентированы на встроенные гиперссылки.

Наблюдения CYFIRMA указывают на то, что эти нацеленные электронные письма создаются таким образом, чтобы казаться законными, сочетая знакомый язык и срочность, связанную с процессами вознаграждения сотрудников, чтобы побудить к взаимодействию. Стратегический выбор использования QR-кодов вместо прямых ссылок еще больше снижает риск автоматического обнаружения, иллюстрируя сложную эволюцию тактики фишинга, которая фокусируется на сборе учетных данных.

Чтобы расширить возможности обнаружения, CYFIRMA ввела правило Sigma, направленное на выявление фишингов электронных писем на тему заработной платы, содержащих QR-коды. Правило нацелено на ключевые слова, связанные с обновлением заработной платы и компенсациями, наряду с показателями, связанными со сканированием QR, которые могут помочь отличить эти вредоносные сообщения от законных.

Таким образом, анализ CYFIRMA выявляет многогранную кампанию фишинга, которая объединяет социальную инженерию, техническое обфускацию и специфическую для жертвы инфраструктуру для эффективного компрометирования учетных данных пользователей. Использование QR-кодов, наряду с динамически изменяющимися URL-адресами и методами шифрования, усложняет процессы обнаружения и анализа для организаций. Полученные результаты подчеркивают необходимость повышения осведомленности пользователей, упреждающего мониторинга и внедрения средств защиты, основанных на разведданных, для защиты данных организации от таких сложных и персонализированных киберугроз.

#ParsedReport #CompletenessMedium
18-12-2025

LongNosedGoblin tries to sniff out governmental affairs in Southeast Asia and Japan

https://www.welivesecurity.com/en/eset-research/longnosedgoblin-tries-sniff-out-governmental-affairs-southeast-asia-japan/

Report completeness: Medium

Actors/Campaigns:
Longnosedgoblin (motivation: cyber_espionage)
Webworm

Threats:
Nosyhistorian
Nosydoor
Nosystealer
Nosydownloader
Nosylogger
Lolbin_technique
Luckystrike
Cobalt_strike_tool

Victims:
Governmental entities

Industry:
Government

Geo:
China, Asia, Japan, Asian, Russian

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036.005, T1218, T1546.009

IOCs:
File: 14
Path: 4

Soft:
Microsoft OneDrive, Active Directory, Google Chrome, Microsoft Edge, Mozilla Firefox, Google Chrome, Microsoft Edge, Windows scheduled task

Algorithms:
base64, des

Functions:
GetBrowserHistory

Languages:
csharp

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 1