#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В январе 2026 года была обнаружена серия атак с использованием блокчейна Solana, инициированных с помощью фишинг-писем, содержащих ZIP-архивы с вредоносными XLL-файлами, которые выполняют запутанный JavaScript. Это приводит к развертыванию Троянская программа удаленного доступа (RAT), способная собирать конфиденциальную информацию и выполнять различные действия в зараженных системах, включая файловые операции и выполнение команд PowerShell. RAT подключается к службе имен Solana, чтобы скрыть сервер злоумышленника, и использует сетевую связь через прокси-сервер WebSocket, чтобы скрыть свой трафик.
-----

В январе 2026 года команда киберразведки Экспертного центра безопасности выявила серию атак, использующих блокчейн Solana с помощью вредоносных XLL-файлов, содержащих запутанный JavaScript, которые были развернуты с помощью фишинг-писем. Атака была инициирована с помощью ZIP-архива, который содержал вредоносную полезную нагрузку, замаскированную под законный документ. Вредоносный XLL-файл при выполнении декодирует команду PowerShell в кодировке Base64, позволяя злоумышленникам загружать различные вредоносные компоненты в систему жертвы.

Центральное место в атаке занимает Троянская программа удаленного доступа (RAT), которая может похвастаться множеством команд для сбора конфиденциальной информации и выполнения действий на зараженном компьютере. Вредоносный код использует подключения к службе имен Solana (SNS) для сокрытия адреса сервера злоумышленников. Детальный анализ показывает, что хронология атак простирается с середины октября 2025 года по настоящее время, что указывает на продолжающуюся вредоносную активность.

Основная полезная нагрузка состоит из значительно увеличенного, запутанного кода JavaScript, содержащего Node.js модули, интегрированные в загрузчик. Эта полезная нагрузка выполняет ряд операций, включая сетевое взаимодействие через WebSocket с использованием прокси-объекта для сокрытия трафика с атакующего сервера. Системы жертв подвергаются воздействию множества команд, включая такие возможности, как загрузка файлов, извлечение данных Outlook, извлечение системной информации и выполнение команд PowerShell с помощью предопределенных шаблонов.

Одной из примечательных особенностей этого RAT является его обширный набор команд, который позволяет злоумышленникам анализировать файловые системы, получать системные метаданные и выполнять файловые операции. Различные команды предлагают такие функциональные возможности, как загрузка файлов, сбор информации и запуск исполняемых файлов. Эта активность, по-видимому, отражает аналогичные прошлые инциденты, описанные другими экспертами по Кибербезопасность, хотя были отмечены различия в методах, особенно в способах выполнения команд.

#ParsedReport #CompletenessMedium
20-02-2026

Facebook ads spread fake Windows 11 downloads that steal passwords and crypto wallets

https://www.malwarebytes.com/blog/scams/2026/02/facebook-ads-spread-fake-windows-11-downloads-that-steal-passwords-and-crypto-wallets

Report completeness: Medium

Threats:
Process_injection_technique

Victims:
Consumers

Industry:
Financial

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1105, T1112, T1204.002, T1583.001, T1585.001, T1587.003, T1608.006

IOCs:
Domain: 4
File: 1
Path: 3
Command: 2
Registry: 1
Hash: 1
Url: 1

Soft:
Windows installer, Electron, Slack, Visual Studio Code, Node.js, Windows registry

Algorithms:
hc-128, xor, sha256, rc4, zip

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавняя киберугроза связана с вредоносной рекламой на Facebook, которая продвигает поддельные загрузки Windows 11, предназначенные для кражи конфиденциальной информации, включая пароли и криптовалютные кошельки. Вредоносное ПО использует геозонирование для нацеливания на конкретных пользователей, доставляя замаскированный файл с именем ms-update32.exe , который устанавливает приложение на базе Electron, которое остается постоянным, скрываясь в реестре Windows. Этот метод атаки повышает доверие к Социальные сети, облегчая доставку наряду с законным контентом.
-----

Недавно появилась киберугроза, когда вредоносная реклама на Facebook продвигает поддельные загрузки Windows 11, которые в конечном итоге крадут конфиденциальную информацию, такую как пароли и криптовалютные кошельки. Атака использует методы геозонирования, чтобы гарантировать, что вредоносное ПО доставляется только определенным целям. Если подключение осуществляется с IP—адреса центра обработки данных, часто связанного с исследователями безопасности или автоматическими средствами сканирования, пользователь перенаправляется на безопасный сайт, такой как google.com , эффективно маскируя цель вредоносной операции.

Как только пользователь подключается из соответствующего места, ему предлагается загрузить файл с именем ms-update32.exe , размер которого составляет 75 МБ и имитирует законный установщик Windows. После запуска вредоносное ПО устанавливает комплексное приложение на базе Electron, которое хранится в пользовательском каталоге Windows в разделе C:\Users\USER\AppData\Roaming\LunarApplication \. Фреймворк Electron позволяет вредоносное ПО выдавать себя за известную и заслуживающую доверия программную среду, тем самым повышая его шансы на выполнение в системе жертвы.

Чтобы обеспечить закрепление и избежать обнаружения, вредоносное ПО сохраняет обширный двоичный объект в реестре Windows, в частности, в разделе HKEY_LOCAL_MACHINE\SYSTEM\Software\Microsoft\TIP\AggregateResults. Этот метод скрытия в реестре позволяет вредоносное ПО переживать перезагрузки системы и сохранять работоспособность в течение долгого времени.

Метод распространения атаки через платную рекламу в Facebook вызывает особые опасения, поскольку он обходит типичную тактику фишинг по электронной почте и появляется рядом с законными публикациями в лентах пользователей, используя доверенную среду Социальные сети для получения злонамеренной выгоды.

Жертвам этого вредоносное ПО настоятельно рекомендуется не входить в какие-либо учетные записи с зараженного устройства до тех пор, пока оно не будет тщательно отсканировано и очищено. Рекомендуется менять пароли для критически важных учетных записей, таких как электронная почта, банковские услуги и Социальные сети, с защищенного устройства. В случае, когда криптовалютные кошельки используются на машине для компрометация, пользователи должны перевести средства на недавно созданный кошелек, отличный от зараженного устройства, чтобы уменьшить потери. Мониторинг мошеннических действий с финансовыми учреждениями также рекомендуется проводить тем, у кого, возможно, была доступная конфиденциальная информация в зараженной системе.

#ParsedReport #CompletenessHigh
20-02-2026

VShell and SparkRAT Observed in Exploitation of BeyondTrust Critical Vulnerability (CVE-2026-1731)

https://unit42.paloaltonetworks.com/beyondtrust-cve-2026-1731/

Report completeness: High

Actors/Campaigns:
Hafnium
Emissary_panda
Quietcrabs

Threats:
Vshell
Spark_rat
Beyondtrust_tool
Simplehelp_tool
Anydesk_tool
Chinachopper
Antsword
Nezha_tool
Metasploit_tool
Meterpreter_tool
Bomgar_tool
Ncat_tool
Netcat_tool
Socat_tool

Victims:
Identity and access management, Remote support software users

Industry:
Iot, Education, Healthcare, Retail

Geo:
Asia, Canada, Korea, Germany, Japan, Middle east, India, France, Australia, China

CVEs:
CVE-2024-12356 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- beyondtrust privileged_remote_access (le24.3.1)
- beyondtrust remote_support (le24.3.1)

CVE-2026-1731 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- beyondtrust privileged_remote_access (<25.1)
- beyondtrust remote_support (<25.3.2)


TTPs:
Tactics: 4
Technics: 1

IOCs:
File: 23
Domain: 3
IP: 16
Url: 16
Hash: 9

Soft:
Unix, Linux, curl, busybox, Burp Suite, PostgreSQL, crontab

Algorithms:
base64

Functions:
eval

Languages:
powershell, python, php, java, lua

Platforms:
cross-platform

Links:
https://github.com/XZB-1248/Spark

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CVE-2026-1731 - это критическая уязвимость в программном обеспечении удаленной поддержки Удаленное Выполнение Кода BeyondTrust's, возникающая из-за сбоя очистки WebSocket, который позволяет злоумышленникам выполнять команды операционной системы. Злоумышленник использует это, подключаясь к определенным конечным точкам с помощью специально созданной полезной нагрузки, чтобы получить несанкционированный доступ к учетным записям администратора и развернуть Веб-шелл для действий после эксплуатации. Кроме того, с этими атаками был связан бэкдор SparkRAT, при этом злоумышленники использовали DNS tunneling для эксфильтрация данных, что указывает на значительные риски для непатентованных систем.
-----

CVE-2026-1731 - это критическая уязвимость Удаленное Выполнение Кода (RCE), выявленная в программном обеспечении удаленной поддержки BeyondTrust's, в частности, затрагивающая компонент тонкой scc-оболочки. Обнаруженная 6 февраля 2026 года, эта уязвимость позволяет злоумышленникам выполнять команды операционной системы в контексте пользователя уязвимого сайта, что потенциально приводит к значительным системным компрометация, таким как несанкционированный доступ, эксфильтрация данных и сбои в обслуживании.

Использование CVE-2026-1731 происходит из-за сбоя очистки во время установления соединения с WebSocket. Злоумышленники инициируют подключение WebSocket к определенным конечным точкам, предоставляя созданное значение "remoteVersion", которое содержит введенную полезную нагрузку. Эта полезная нагрузка предназначена для запуска выполнения команды оболочки из-за неправильной обработки входных данных сценарием thin-scc-wrapper.

Активные расследования, проведенные подразделением 42, показали, что злоумышленник эффективно использует эту уязвимость для получения несанкционированного доступа к административным учетным записям в затронутых системах. Злоумышленники используют пользовательский скрипт на Python для временного доступа к учетной записи администратора (идентификатор пользователя 1) на шестьдесят секунд, что позволяет им манипулировать хэшами паролей в базе данных. Кроме того, в системах компрометация были установлены несколько Веб-шелл, в том числе Веб-шелл на PHP, который позволяет злоумышленникам выполнять команды и выполнять различные действия после эксплуатации, не оставляя значительных следов.

Более того, был обнаружен бэкдор SparkRAT, связанный с этими атаками. Первоначально обнаруженный в 2023 году, SparkRAT представляет собой кроссплатформенную Троянская программа для удаленного доступа (RAT), которая используется с 2022 года. Его кроссплатформенные возможности позволяют злоумышленник поддерживать постоянный доступ в различных средах.

Чтобы избежать обнаружения и предотвратить реакцию средств защиты сети, злоумышленники использовали DNS tunneling с помощью внеполосных методов. Этот метод эффективно обеспечивает эксфильтрация конфиденциальной информации, включая системные базы данных и файлы конфигурации, на серверы компрометация управления (C2) в обход традиционных сетевых брандмауэров.

Проблема проверки входных данных, которая занимает центральное место в CVE-2026-1731, имеет историческое значение по сравнению с CVE-2024-12356, подчеркивая повторяющуюся проблему обеспечения безопасности путей выполнения в продуктах BeyondTrust. Это продолжающееся использование подчеркивает необходимость для организаций оперативно исправлять уязвимости, чтобы снизить риск подобных атак. Действия, выявленные в связи с CVE-2026-1731, представляют серьезную угрозу для организаций, использующих непатченные версии технологии BeyondTrust's.

#ParsedReport #CompletenessMedium
21-02-2026

CharlieKirk GRABBER : A PYTHON-BASED INFOSTEALER

https://www.cyfirma.com/research/charliekirk-grabber-a-python-based-infostealer/

Report completeness: Medium

Threats:
Charliekirk_grabber
Credential_harvesting_technique
Lolbin_technique

Victims:
General users, Enterprises

Industry:
E-commerce, Telco

Geo:
Usa

TTPs:
Tactics: 9
Technics: 11

IOCs:
File: 6
Command: 1
Hash: 1

Soft:
PyInstaller, Discord, Telegram, Microsoft Defender, Firefox, Chromium, Steam

Algorithms:
aes-gcm, zip, md5

Functions:
IsUserAnAdmin

Languages:
powershell, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CharlieKirk Grabber - это стиллер на базе Python, ориентированный на системы Windows, ориентированный на быстрый сбор учетных записей и эксфильтрация данных без закрепление. Он использует законные утилиты Windows для сбора конфиденциальных данных, таких как имена пользователей, пароли и история браузера, завершая процессы браузера для доступа к сохраненным учетные данные. Данные быстро сжимаются и загружаются в сторонние сервисы, такие как GoFile, с уведомлениями, отправляемыми злоумышленникам через Discord или Телеграм, что подчеркивает их зависимость от законных инфраструктур для управление.
-----

CharlieKirk Grabber - это стиллер на базе Python, ориентированный на системы Windows, который делает упор на быстрый сбор учетных записей и эксфильтрация данных без установления долгосрочного контроля или закрепление на компрометация машин. Упакованное с использованием PyInstaller, вредоносное ПО работает в контексте вошедшего в систему пользователя, позволяя ему выполнять разведка системы и собирать идентификаторы, такие как имя пользователя, имя хоста, UUID Аппаратное обеспечение и внешний IP-адрес. Он использует стандартные утилиты командной строки Windows, такие как TASKKILL, NETSH и PowerShell, для выполнения своих вредоносных действий, смешивая их с законными системными операциями.

Вредоносное ПО для доступа к сохраненным учетные данные принудительно завершает процессы веб-браузера, чтобы разблокировать базы данных, содержащие конфиденциальную информацию. Он собирает данные из различных браузеров, включая Chromium и Firefox, расшифровывая сохраненные учетные данные и извлекая сохраненные пароли, файлы cookie и историю посещенных страниц. Кроме того, он может собирать учетные данные Wi-Fi с помощью сетевых утилит Windows. Вредоносное ПО также нацелено на Discord, проверяя украденные токены аутентификации через Discord API и делая снимки экрана рабочего стола жертвы для дальнейшего сбора данных.

Процесс эксфильтрация включает в себя сжатие собранных данных в архив, который загружается на сторонний файлообменный сервис, в частности GoFile. Затем вредоносное ПО отправляет уведомление со ссылкой для скачивания в инфраструктуру, контролируемую злоумышленником, через Discord или Телеграм по протоколу HTTPS. Этот сбор данных выполняется быстро и бесшумно, с использованием многопоточной системы для ускорения поиска учетных данных при минимизации риска обнаружения.

В то время как CharlieKirk Grabber демонстрирует минималистичный подход, избегая продвинутых методов антианализа, его зависимость от законных инфраструктур для управление системой увеличивает сложность усилий по обнаружению. Хотя вредоносное ПО изначально пытается установить закрепление с помощью запланированных задач и повышение привилегий, такие механизмы не были подтверждены в анализируемом варианте, что усиливает его основную цель - немедленную кражу данных, а не текущую эксплуатацию системы.

Этот стиллер информации является частью более широкой тенденции в области киберугроза, использующей надежные сервисы для управление и нацеленной на кражу учетные данные пользователей, что позволяет захватывать учетные записи, мошенничать с идентификационными данными и последующей перепродажей на криминальных рынках. Наблюдаемая архитектура указывает на потенциал для дальнейшего развития, предполагая, что это вредоносное ПО может эволюционировать и включать более сложные возможности в будущих версиях.

#ParsedReport #CompletenessHigh
20-02-2026

SANDWORM_MODE: Shai-Hulud-Style npm Worm Hijacks CI Workflows and Poisons AI Toolchains

https://socket.dev/blog/sandworm-mode-npm-worm-ai-toolchain-poisoning

Report completeness: High

Actors/Campaigns:
Sandworm_mode
Official334

Threats:
Sandworm_mode
Supply_chain_technique
Shai-hulud
Typosquatting_technique
Polymorphism_technique
Dns_tunneling_technique
Credential_harvesting_technique
Timebomb_technique

Victims:
Software supply chain, Developers, Maintainers, Continuous integration systems, Ai coding tools

Industry:
Financial

Geo:
Japanese

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1021.004, T1027, T1027.010, T1036, T1041, T1048, T1059.007, T1078, T1098, T1102, have more...

IOCs:
File: 52
Url: 2
Domain: 2
Email: 3
Hash: 3

Soft:
Node.js, Claude, OpenClaw, Linux, OpenAI, Ollama, Bitwarden, 1Password, LastPass, macOS, have more...

Wallets:
metamask

Crypto:
solana, bitcoin, ethereum

Algorithms:
base32, aes-256-gcm, hmac, aes, sha256, md5, xor, base64

Functions:
eval, require, unlink, setTimeout, scorePackages, downloadAndExtract, bumpPatch, writeFileSync, patchNpmLockfile, patchYarnLockfile, have more...

Win API:
lockfile

Languages:
javascript, swift

Platforms:
apple

Links:
http://api.github.com
https://github.com/ci-quality/code-quality-check/
have more...

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атака SANDWORM_MODE supply chain нацелена на экосистему npm, используя 19 вредоносных пакетов, которые используют typosquatting и манипулируют цепочками инструментов искусственного интеллекта для проникновения в среду разработчиков и сбора секретов CI. Вредоносное ПО, напоминающее варианты Shai-Hulud, использует API-интерфейсы GitHub для эксфильтрация, поддерживает закрепление с помощью git-перехватчиков и имеет "мертвый переключатель" для стирания следов в случае обнаружения. Он также включает в себя передовые методы антианализа и направлен на компрометация инструментов разработчика и сбор секретов, что создает значительные риски для сред CI.
-----

Новая кампания атаки supply chain под названием SANDWORM_MODE нацелена на экосистему npm, используя typosquatting и манипулирование цепочкой инструментов искусственного интеллекта. В кампании задействовано по меньшей мере 19 вредоносных пакетов npm, распространяемых под двумя псевдонимами, которые собирают секреты непрерывной интеграции (CI). Вредоносное ПО демонстрирует поведение, характерное для вариантов Shai-Hulud, фокусируясь на краже учетных данных и перемещение внутри компании с помощью компрометация идентификаторов npm и GitHub.

Вредоносный код проникает в среду разработчиков с помощью вооруженного действия на GitHub, которое захватывает секреты CI и поддерживает иллюзию законных операций. Полезная нагрузка использует GitHub API для эксфильтрация и включает в себя резервные механизмы DNS. Закрепление достигается с помощью git-перехватчиков, что позволяет распространять его на новые репозитории.

Функция "мертвого переключения" удаляет пользовательские каталоги, если вредоносное ПО теряет доступ к GitHub для эксфильтрация или npm для функциональности. Тактика Typosquatting использует соглашения об именовании в Node.js сообщество, с вредоносными пакетами, замаскированными под доброкачественные, такие как "suport-color", чтобы заманить разработчиков. При импорте они выполняют многоэтапную загрузку, начиная с сбор учетных записей и последующего обширного извлечения данных.

Полезная нагрузка использует методы обфускации, такие как кодирование base64, декомпрессия zlib и динамический вызов eval, чтобы скрыть свои операции. В дополнение к сбору токенов npm и GitHub, вредоносное ПО нацелено на инструменты разработчиков, связанные с платформами искусственного интеллекта, внедряя вредоносный модуль McpInject и собирая ключи API у основных поставщиков услуг языковой модели.

Кампания включает в себя передовые методы антианализа, включая бездействующий polymorphic engine, что указывает на дальнейшую разработку злоумышленник. Непосредственные угрозы включают распространение токенов GitHub и значительный сбор секретных данных в средах CI. Чтобы снизить риски, npm и GitHub удалили вредоносные пакеты, в то время как организациям настоятельно рекомендуется применять более строгие методы управления токенами.

#ParsedReport #CompletenessLow
21-02-2026

Inside the Fix: Analysis of In-the-Wild Exploit of CVE-2026-21513

https://www.akamai.com/blog/security-research/2026/feb/inside-the-fix-cve-2026-21513-mshtml-exploit-analysis

Report completeness: Low

Actors/Campaigns:
Fancy_bear

Threats:
Motw_bypass_technique

Victims:
Windows users

Geo:
Russian

CVEs:
CVE-2026-21513 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1607 (<10.0.14393.8868)
- microsoft windows_10_1809 (<10.0.17763.8389)
- microsoft windows_10_21h2 (<10.0.19044.6937)
- microsoft windows_10_22h2 (<10.0.19045.6937)
- microsoft windows_11_23h2 (<10.0.22631.6649)
have more...

TTPs:

ChatGPT TTPs:
do not use without manual check
T1202, T1204, T1204.001, T1566.001

IOCs:
File: 3
Domain: 1
Hash: 1

Soft:
Internet Explorer

Functions:
The

Win API:
ShellExecuteExW

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CVE-2026-21513 - серьезная уязвимость для обхода функций безопасности, затрагивающая все версии Windows, с оценкой CVSS 8,8. Эксплуатируемая спонсируемым российским государством злоумышленник APT28, она позволяет злоумышленникам обходить защиту браузера и запускать произвольные файлы, используя недостатки в логике системы. ieframe.dll компонент. Изначально использовалось вредоносное по .В файлах LNK этот эксплойт позволяет злоумышленникам понизить уровень безопасности браузера и запускать контент за пределами установленных границ безопасности, что потенциально позволяет использовать дополнительные механизмы доставки в будущих атаках.
-----

В феврале 2026 года корпорация Майкрософт устранила CVE-2026-21513, значительную уязвимость в обходе функций безопасности, затрагивающую все версии Windows через фреймворк MSHTML. Эта уязвимость, которая имеет высокий балл CVSS - 8,8, активно эксплуатируется в дикой природе, в частности, спонсируемым российским государством злоумышленник APT28. Уязвимость позволяет злоумышленникам обходить границы безопасности браузера и запускать произвольные файлы, повышая риск эксплуатации.

Анализ основных причин уязвимости CVE-2026-21513, выполненных сотрудниками компании Akamai через автоматизированный инструмент, PatchDiff-Ай, указал на изъян в логике внутри компонента ieframe.dll ответственные за переходы по гиперссылкам. В частности, недостаточная проверка целевых URL-адресов позволяет контролируемому злоумышленником вводу данных достигать путей выполнения, которые вызывают функцию ShellExecuteExW. Этой уязвимостью можно воспользоваться, вызывая Internet Explorer с помощью ActiveX forms, что позволяет злоумышленникам использовать локальные или удаленные ресурсы вне предполагаемого контекста безопасности браузера.

Эксплойт, связанный с CVE-2026-21513, был впервые отправлен в VirusTotal 30 января 2026 года, незадолго до февральского обновления во вторник. В нем использовался вредоносный код .Файл LNK для инициирования связи с доменом, связанным с APT28, что эффективно снижает меры безопасности браузера и запускает уязвимый поток навигации. Этот метод позволяет обойти веб-метку (MotW) и расширенную конфигурацию безопасности Internet Explorer (IE ESC), позволяя выполнять контролируемый злоумышленником контент незащищенным способом.

В то время как текущая наблюдаемая кампания сосредоточена на файлах LNK, уязвимость также может быть использована с помощью любого компонента, который встраивает MSHTML. Это говорит о том, что для будущих атак могут появиться дополнительные механизмы доставки, помимо фишинг на основе LNK. Чтобы усилить защиту от этой угрозы, организациям необходимо отслеживать активность домена APT28's и использовать системы обнаружения, которые могут предупреждать о закономерностях, связанных с этим конкретным вектором атаки. Akamai Hunt предоставляет информацию о таких действиях и способен автоматически уведомлять пользователей об уязвимых ресурсах, повышая безопасность организации от этой уязвимости.

#ParsedReport #CompletenessMedium
20-02-2026

AI-augmented threat actor accesses FortiGate devices at scale

https://aws.amazon.com/blogs/security/ai-augmented-threat-actor-accesses-fortigate-devices-at-scale/

Report completeness: Medium

Threats:
Credential_harvesting_technique
Nuclei_tool
Meterpreter_tool
Mimikatz_tool
Dcsync_technique
Passthehash_technique
Impacket_tool

Victims:
Organizations using fortigate appliances, Managed service providers, Large organizational networks

Geo:
Africa, Asia, Latin america

CVEs:
CVE-2024-40711 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam_backup_\&_replication (<12.2.0.334)

CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam_backup_\&_replication (<11.0.1.1261, 12.0.0.1420)

CVE-2019-7192 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- qnap photo_station (<6.0.3)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1003.006, T1036, T1046, T1053.005, T1059.001, T1069.002, T1078, T1105, T1110.001, T1110.003, have more...

IOCs:
IP: 2

Soft:
Active Directory, GuardDuty

Languages:
powershell, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние расследования показывают, что финансово мотивированные русскоязычные злоумышленник используют коммерческие инструменты искусственного интеллекта для крупномасштабных кибератак на более чем 600 устройств FortiGate по всему миру, используя слабые методы обеспечения безопасности, такие как открытые порты управления и слабая защита учетные данные. Злоумышленники использовали автоматизированные скрипты для извлечения конфиденциальной информации — такой как учетные данные SSL-VPN — из конфигураций FortiGate, что позволило осуществлять дальнейшие сетевые вторжения с использованием базовых методов постэксплуатации. Эта кампания подчеркивает сдвиг в сторону менее квалифицированных операторов, проводящих обширные операции с помощью искусственного интеллекта, что приводит к оппортунистическому нацеливанию, а не к сложным методам, с заметным процентом неудач при атаке на хорошо защищенные цели.
-----

Злоумышленник, мотивированный финансовыми соображениями, использует коммерческие инструменты искусственного интеллекта для крупномасштабных кибератак, оказывая воздействие на более чем 600 устройств FortiGate в более чем 55 странах. Кампания проходила с 11 января по 18 февраля 2026 года. Злоумышленники сосредоточились на использовании слабых методов обеспечения безопасности, включая незащищенные порты управления и неадекватную защиту учетные данные, а не на конкретных уязвимостях в устройствах FortiGate. Автоматизированные сценарии с поддержкой искусственного интеллекта использовались для извлечения конфиденциальных данных из конфигураций FortiGate, включая учетные данные SSL-VPN и данные сетевой маршрутизации. Эта информация была использована для дальнейшего доступа к целевым сетям с использованием таких методов, как Meterpreter для атак DCSync на контроллеры домена. Нападавшие проявляли оппортунистическую нацеленность и часто меняли фокус, сталкиваясь с усиленной обороной. В инфраструктуре атаки отсутствовали меры безопасности для документации, созданной искусственным интеллектом, содержащей методы атаки и стратегии нацеливания. Инструменты искусственного интеллекта включали в себя фреймворк разведка, написанный на Go и Python. Последующая эксплуатация включала в себя простое извлечение учетные данные и перемещение внутри компании. Автоматизация злоумышленник позволяла им проводить масштабные операции с техническими возможностями от низкого до среднего уровня, что приводило к сбоям в работе с хорошо защищенными целями. Рекомендации для организаций включают обеспечение безопасности интерфейсов управления, ужесточение политики в отношении учетные данные, проведение аудитов и укрепление инфраструктуры резервного копирования для предотвращения несанкционированного доступа и использования программ-вымогателей.

#ParsedReport #CompletenessLow
20-02-2026

Scammers are Targeting Crypto Users Through the Mail

https://flare.io/learn/resources/blog/scammers-targeting-crypto-users-mail

Report completeness: Low

Victims:
Trezor users, Ledger users, Cryptocurrency users

ChatGPT TTPs:
do not use without manual check
T1566, T1566.001, T1566.002, T1583.001

IOCs:
Url: 2

Soft:
Chrome

Wallets:
trezor

#ParsedReport #GeneratedSchema
Generated with GPT-4