CTT Report Hub
#ParsedReport #CompletenessHigh 20-02-2026 SANDWORM_MODE: Shai-Hulud-Style npm Worm Hijacks CI Workflows and Poisons AI Toolchains https://socket.dev/blog/sandworm-mode-npm-worm-ai-toolchain-poisoning Report completeness: High Actors/Campaigns: Sandworm_mode…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака SANDWORM_MODE supply chain нацелена на экосистему npm, используя 19 вредоносных пакетов, которые используют typosquatting и манипулируют цепочками инструментов искусственного интеллекта для проникновения в среду разработчиков и сбора секретов CI. Вредоносное ПО, напоминающее варианты Shai-Hulud, использует API-интерфейсы GitHub для эксфильтрация, поддерживает закрепление с помощью git-перехватчиков и имеет "мертвый переключатель" для стирания следов в случае обнаружения. Он также включает в себя передовые методы антианализа и направлен на компрометация инструментов разработчика и сбор секретов, что создает значительные риски для сред CI.
-----
Новая кампания атаки supply chain под названием SANDWORM_MODE нацелена на экосистему npm, используя typosquatting и манипулирование цепочкой инструментов искусственного интеллекта. В кампании задействовано по меньшей мере 19 вредоносных пакетов npm, распространяемых под двумя псевдонимами, которые собирают секреты непрерывной интеграции (CI). Вредоносное ПО демонстрирует поведение, характерное для вариантов Shai-Hulud, фокусируясь на краже учетных данных и перемещение внутри компании с помощью компрометация идентификаторов npm и GitHub.
Вредоносный код проникает в среду разработчиков с помощью вооруженного действия на GitHub, которое захватывает секреты CI и поддерживает иллюзию законных операций. Полезная нагрузка использует GitHub API для эксфильтрация и включает в себя резервные механизмы DNS. Закрепление достигается с помощью git-перехватчиков, что позволяет распространять его на новые репозитории.
Функция "мертвого переключения" удаляет пользовательские каталоги, если вредоносное ПО теряет доступ к GitHub для эксфильтрация или npm для функциональности. Тактика Typosquatting использует соглашения об именовании в Node.js сообщество, с вредоносными пакетами, замаскированными под доброкачественные, такие как "suport-color", чтобы заманить разработчиков. При импорте они выполняют многоэтапную загрузку, начиная с сбор учетных записей и последующего обширного извлечения данных.
Полезная нагрузка использует методы обфускации, такие как кодирование base64, декомпрессия zlib и динамический вызов eval, чтобы скрыть свои операции. В дополнение к сбору токенов npm и GitHub, вредоносное ПО нацелено на инструменты разработчиков, связанные с платформами искусственного интеллекта, внедряя вредоносный модуль McpInject и собирая ключи API у основных поставщиков услуг языковой модели.
Кампания включает в себя передовые методы антианализа, включая бездействующий polymorphic engine, что указывает на дальнейшую разработку злоумышленник. Непосредственные угрозы включают распространение токенов GitHub и значительный сбор секретных данных в средах CI. Чтобы снизить риски, npm и GitHub удалили вредоносные пакеты, в то время как организациям настоятельно рекомендуется применять более строгие методы управления токенами.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака SANDWORM_MODE supply chain нацелена на экосистему npm, используя 19 вредоносных пакетов, которые используют typosquatting и манипулируют цепочками инструментов искусственного интеллекта для проникновения в среду разработчиков и сбора секретов CI. Вредоносное ПО, напоминающее варианты Shai-Hulud, использует API-интерфейсы GitHub для эксфильтрация, поддерживает закрепление с помощью git-перехватчиков и имеет "мертвый переключатель" для стирания следов в случае обнаружения. Он также включает в себя передовые методы антианализа и направлен на компрометация инструментов разработчика и сбор секретов, что создает значительные риски для сред CI.
-----
Новая кампания атаки supply chain под названием SANDWORM_MODE нацелена на экосистему npm, используя typosquatting и манипулирование цепочкой инструментов искусственного интеллекта. В кампании задействовано по меньшей мере 19 вредоносных пакетов npm, распространяемых под двумя псевдонимами, которые собирают секреты непрерывной интеграции (CI). Вредоносное ПО демонстрирует поведение, характерное для вариантов Shai-Hulud, фокусируясь на краже учетных данных и перемещение внутри компании с помощью компрометация идентификаторов npm и GitHub.
Вредоносный код проникает в среду разработчиков с помощью вооруженного действия на GitHub, которое захватывает секреты CI и поддерживает иллюзию законных операций. Полезная нагрузка использует GitHub API для эксфильтрация и включает в себя резервные механизмы DNS. Закрепление достигается с помощью git-перехватчиков, что позволяет распространять его на новые репозитории.
Функция "мертвого переключения" удаляет пользовательские каталоги, если вредоносное ПО теряет доступ к GitHub для эксфильтрация или npm для функциональности. Тактика Typosquatting использует соглашения об именовании в Node.js сообщество, с вредоносными пакетами, замаскированными под доброкачественные, такие как "suport-color", чтобы заманить разработчиков. При импорте они выполняют многоэтапную загрузку, начиная с сбор учетных записей и последующего обширного извлечения данных.
Полезная нагрузка использует методы обфускации, такие как кодирование base64, декомпрессия zlib и динамический вызов eval, чтобы скрыть свои операции. В дополнение к сбору токенов npm и GitHub, вредоносное ПО нацелено на инструменты разработчиков, связанные с платформами искусственного интеллекта, внедряя вредоносный модуль McpInject и собирая ключи API у основных поставщиков услуг языковой модели.
Кампания включает в себя передовые методы антианализа, включая бездействующий polymorphic engine, что указывает на дальнейшую разработку злоумышленник. Непосредственные угрозы включают распространение токенов GitHub и значительный сбор секретных данных в средах CI. Чтобы снизить риски, npm и GitHub удалили вредоносные пакеты, в то время как организациям настоятельно рекомендуется применять более строгие методы управления токенами.
#ParsedReport #CompletenessLow
21-02-2026
Inside the Fix: Analysis of In-the-Wild Exploit of CVE-2026-21513
https://www.akamai.com/blog/security-research/2026/feb/inside-the-fix-cve-2026-21513-mshtml-exploit-analysis
Report completeness: Low
Actors/Campaigns:
Fancy_bear
Threats:
Motw_bypass_technique
Victims:
Windows users
Geo:
Russian
CVEs:
CVE-2026-21513 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1607 (<10.0.14393.8868)
- microsoft windows_10_1809 (<10.0.17763.8389)
- microsoft windows_10_21h2 (<10.0.19044.6937)
- microsoft windows_10_22h2 (<10.0.19045.6937)
- microsoft windows_11_23h2 (<10.0.22631.6649)
have more...
TTPs:
ChatGPT TTPs:
T1202, T1204, T1204.001, T1566.001
IOCs:
File: 3
Domain: 1
Hash: 1
Soft:
Internet Explorer
Functions:
The
Win API:
ShellExecuteExW
21-02-2026
Inside the Fix: Analysis of In-the-Wild Exploit of CVE-2026-21513
https://www.akamai.com/blog/security-research/2026/feb/inside-the-fix-cve-2026-21513-mshtml-exploit-analysis
Report completeness: Low
Actors/Campaigns:
Fancy_bear
Threats:
Motw_bypass_technique
Victims:
Windows users
Geo:
Russian
CVEs:
CVE-2026-21513 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1607 (<10.0.14393.8868)
- microsoft windows_10_1809 (<10.0.17763.8389)
- microsoft windows_10_21h2 (<10.0.19044.6937)
- microsoft windows_10_22h2 (<10.0.19045.6937)
- microsoft windows_11_23h2 (<10.0.22631.6649)
have more...
TTPs:
ChatGPT TTPs:
do not use without manual checkT1202, T1204, T1204.001, T1566.001
IOCs:
File: 3
Domain: 1
Hash: 1
Soft:
Internet Explorer
Functions:
The
Win API:
ShellExecuteExW
Akamai
Inside the Fix: Analysis of In-the-Wild Exploit of CVE-2026-21513 | Akamai
Read how PatchDiff-AI uncovered the root cause of CVE-2026-21513 — an actively exploited MSHTML vulnerability — and how APT28 leveraged it in real-world attacks.
CTT Report Hub
#ParsedReport #CompletenessLow 21-02-2026 Inside the Fix: Analysis of In-the-Wild Exploit of CVE-2026-21513 https://www.akamai.com/blog/security-research/2026/feb/inside-the-fix-cve-2026-21513-mshtml-exploit-analysis Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2026-21513 - серьезная уязвимость для обхода функций безопасности, затрагивающая все версии Windows, с оценкой CVSS 8,8. Эксплуатируемая спонсируемым российским государством злоумышленник APT28, она позволяет злоумышленникам обходить защиту браузера и запускать произвольные файлы, используя недостатки в логике системы. ieframe.dll компонент. Изначально использовалось вредоносное по .В файлах LNK этот эксплойт позволяет злоумышленникам понизить уровень безопасности браузера и запускать контент за пределами установленных границ безопасности, что потенциально позволяет использовать дополнительные механизмы доставки в будущих атаках.
-----
В феврале 2026 года корпорация Майкрософт устранила CVE-2026-21513, значительную уязвимость в обходе функций безопасности, затрагивающую все версии Windows через фреймворк MSHTML. Эта уязвимость, которая имеет высокий балл CVSS - 8,8, активно эксплуатируется в дикой природе, в частности, спонсируемым российским государством злоумышленник APT28. Уязвимость позволяет злоумышленникам обходить границы безопасности браузера и запускать произвольные файлы, повышая риск эксплуатации.
Анализ основных причин уязвимости CVE-2026-21513, выполненных сотрудниками компании Akamai через автоматизированный инструмент, PatchDiff-Ай, указал на изъян в логике внутри компонента ieframe.dll ответственные за переходы по гиперссылкам. В частности, недостаточная проверка целевых URL-адресов позволяет контролируемому злоумышленником вводу данных достигать путей выполнения, которые вызывают функцию ShellExecuteExW. Этой уязвимостью можно воспользоваться, вызывая Internet Explorer с помощью ActiveX forms, что позволяет злоумышленникам использовать локальные или удаленные ресурсы вне предполагаемого контекста безопасности браузера.
Эксплойт, связанный с CVE-2026-21513, был впервые отправлен в VirusTotal 30 января 2026 года, незадолго до февральского обновления во вторник. В нем использовался вредоносный код .Файл LNK для инициирования связи с доменом, связанным с APT28, что эффективно снижает меры безопасности браузера и запускает уязвимый поток навигации. Этот метод позволяет обойти веб-метку (MotW) и расширенную конфигурацию безопасности Internet Explorer (IE ESC), позволяя выполнять контролируемый злоумышленником контент незащищенным способом.
В то время как текущая наблюдаемая кампания сосредоточена на файлах LNK, уязвимость также может быть использована с помощью любого компонента, который встраивает MSHTML. Это говорит о том, что для будущих атак могут появиться дополнительные механизмы доставки, помимо фишинг на основе LNK. Чтобы усилить защиту от этой угрозы, организациям необходимо отслеживать активность домена APT28's и использовать системы обнаружения, которые могут предупреждать о закономерностях, связанных с этим конкретным вектором атаки. Akamai Hunt предоставляет информацию о таких действиях и способен автоматически уведомлять пользователей об уязвимых ресурсах, повышая безопасность организации от этой уязвимости.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2026-21513 - серьезная уязвимость для обхода функций безопасности, затрагивающая все версии Windows, с оценкой CVSS 8,8. Эксплуатируемая спонсируемым российским государством злоумышленник APT28, она позволяет злоумышленникам обходить защиту браузера и запускать произвольные файлы, используя недостатки в логике системы. ieframe.dll компонент. Изначально использовалось вредоносное по .В файлах LNK этот эксплойт позволяет злоумышленникам понизить уровень безопасности браузера и запускать контент за пределами установленных границ безопасности, что потенциально позволяет использовать дополнительные механизмы доставки в будущих атаках.
-----
В феврале 2026 года корпорация Майкрософт устранила CVE-2026-21513, значительную уязвимость в обходе функций безопасности, затрагивающую все версии Windows через фреймворк MSHTML. Эта уязвимость, которая имеет высокий балл CVSS - 8,8, активно эксплуатируется в дикой природе, в частности, спонсируемым российским государством злоумышленник APT28. Уязвимость позволяет злоумышленникам обходить границы безопасности браузера и запускать произвольные файлы, повышая риск эксплуатации.
Анализ основных причин уязвимости CVE-2026-21513, выполненных сотрудниками компании Akamai через автоматизированный инструмент, PatchDiff-Ай, указал на изъян в логике внутри компонента ieframe.dll ответственные за переходы по гиперссылкам. В частности, недостаточная проверка целевых URL-адресов позволяет контролируемому злоумышленником вводу данных достигать путей выполнения, которые вызывают функцию ShellExecuteExW. Этой уязвимостью можно воспользоваться, вызывая Internet Explorer с помощью ActiveX forms, что позволяет злоумышленникам использовать локальные или удаленные ресурсы вне предполагаемого контекста безопасности браузера.
Эксплойт, связанный с CVE-2026-21513, был впервые отправлен в VirusTotal 30 января 2026 года, незадолго до февральского обновления во вторник. В нем использовался вредоносный код .Файл LNK для инициирования связи с доменом, связанным с APT28, что эффективно снижает меры безопасности браузера и запускает уязвимый поток навигации. Этот метод позволяет обойти веб-метку (MotW) и расширенную конфигурацию безопасности Internet Explorer (IE ESC), позволяя выполнять контролируемый злоумышленником контент незащищенным способом.
В то время как текущая наблюдаемая кампания сосредоточена на файлах LNK, уязвимость также может быть использована с помощью любого компонента, который встраивает MSHTML. Это говорит о том, что для будущих атак могут появиться дополнительные механизмы доставки, помимо фишинг на основе LNK. Чтобы усилить защиту от этой угрозы, организациям необходимо отслеживать активность домена APT28's и использовать системы обнаружения, которые могут предупреждать о закономерностях, связанных с этим конкретным вектором атаки. Akamai Hunt предоставляет информацию о таких действиях и способен автоматически уведомлять пользователей об уязвимых ресурсах, повышая безопасность организации от этой уязвимости.
#ParsedReport #CompletenessMedium
20-02-2026
AI-augmented threat actor accesses FortiGate devices at scale
https://aws.amazon.com/blogs/security/ai-augmented-threat-actor-accesses-fortigate-devices-at-scale/
Report completeness: Medium
Threats:
Credential_harvesting_technique
Nuclei_tool
Meterpreter_tool
Mimikatz_tool
Dcsync_technique
Passthehash_technique
Impacket_tool
Victims:
Organizations using fortigate appliances, Managed service providers, Large organizational networks
Geo:
Africa, Asia, Latin america
CVEs:
CVE-2024-40711 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam_backup_\&_replication (<12.2.0.334)
CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam_backup_\&_replication (<11.0.1.1261, 12.0.0.1420)
CVE-2019-7192 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- qnap photo_station (<6.0.3)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1003.006, T1036, T1046, T1053.005, T1059.001, T1069.002, T1078, T1105, T1110.001, T1110.003, have more...
IOCs:
IP: 2
Soft:
Active Directory, GuardDuty
Languages:
powershell, python
20-02-2026
AI-augmented threat actor accesses FortiGate devices at scale
https://aws.amazon.com/blogs/security/ai-augmented-threat-actor-accesses-fortigate-devices-at-scale/
Report completeness: Medium
Threats:
Credential_harvesting_technique
Nuclei_tool
Meterpreter_tool
Mimikatz_tool
Dcsync_technique
Passthehash_technique
Impacket_tool
Victims:
Organizations using fortigate appliances, Managed service providers, Large organizational networks
Geo:
Africa, Asia, Latin america
CVEs:
CVE-2024-40711 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam_backup_\&_replication (<12.2.0.334)
CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam_backup_\&_replication (<11.0.1.1261, 12.0.0.1420)
CVE-2019-7192 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- qnap photo_station (<6.0.3)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1003.006, T1036, T1046, T1053.005, T1059.001, T1069.002, T1078, T1105, T1110.001, T1110.003, have more...
IOCs:
IP: 2
Soft:
Active Directory, GuardDuty
Languages:
powershell, python
Amazon
AI-augmented threat actor accesses FortiGate devices at scale | Amazon Web Services
Commercial AI services are enabling even unsophisticated threat actors to conduct cyberattacks at scale—a trend Amazon Threat Intelligence has been tracking closely. A recent investigation illustrates this shift: Amazon Threat Intelligence observed a Russian…
CTT Report Hub
#ParsedReport #CompletenessMedium 20-02-2026 AI-augmented threat actor accesses FortiGate devices at scale https://aws.amazon.com/blogs/security/ai-augmented-threat-actor-accesses-fortigate-devices-at-scale/ Report completeness: Medium Threats: Creden…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние расследования показывают, что финансово мотивированные русскоязычные злоумышленник используют коммерческие инструменты искусственного интеллекта для крупномасштабных кибератак на более чем 600 устройств FortiGate по всему миру, используя слабые методы обеспечения безопасности, такие как открытые порты управления и слабая защита учетные данные. Злоумышленники использовали автоматизированные скрипты для извлечения конфиденциальной информации — такой как учетные данные SSL-VPN — из конфигураций FortiGate, что позволило осуществлять дальнейшие сетевые вторжения с использованием базовых методов постэксплуатации. Эта кампания подчеркивает сдвиг в сторону менее квалифицированных операторов, проводящих обширные операции с помощью искусственного интеллекта, что приводит к оппортунистическому нацеливанию, а не к сложным методам, с заметным процентом неудач при атаке на хорошо защищенные цели.
-----
Злоумышленник, мотивированный финансовыми соображениями, использует коммерческие инструменты искусственного интеллекта для крупномасштабных кибератак, оказывая воздействие на более чем 600 устройств FortiGate в более чем 55 странах. Кампания проходила с 11 января по 18 февраля 2026 года. Злоумышленники сосредоточились на использовании слабых методов обеспечения безопасности, включая незащищенные порты управления и неадекватную защиту учетные данные, а не на конкретных уязвимостях в устройствах FortiGate. Автоматизированные сценарии с поддержкой искусственного интеллекта использовались для извлечения конфиденциальных данных из конфигураций FortiGate, включая учетные данные SSL-VPN и данные сетевой маршрутизации. Эта информация была использована для дальнейшего доступа к целевым сетям с использованием таких методов, как Meterpreter для атак DCSync на контроллеры домена. Нападавшие проявляли оппортунистическую нацеленность и часто меняли фокус, сталкиваясь с усиленной обороной. В инфраструктуре атаки отсутствовали меры безопасности для документации, созданной искусственным интеллектом, содержащей методы атаки и стратегии нацеливания. Инструменты искусственного интеллекта включали в себя фреймворк разведка, написанный на Go и Python. Последующая эксплуатация включала в себя простое извлечение учетные данные и перемещение внутри компании. Автоматизация злоумышленник позволяла им проводить масштабные операции с техническими возможностями от низкого до среднего уровня, что приводило к сбоям в работе с хорошо защищенными целями. Рекомендации для организаций включают обеспечение безопасности интерфейсов управления, ужесточение политики в отношении учетные данные, проведение аудитов и укрепление инфраструктуры резервного копирования для предотвращения несанкционированного доступа и использования программ-вымогателей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние расследования показывают, что финансово мотивированные русскоязычные злоумышленник используют коммерческие инструменты искусственного интеллекта для крупномасштабных кибератак на более чем 600 устройств FortiGate по всему миру, используя слабые методы обеспечения безопасности, такие как открытые порты управления и слабая защита учетные данные. Злоумышленники использовали автоматизированные скрипты для извлечения конфиденциальной информации — такой как учетные данные SSL-VPN — из конфигураций FortiGate, что позволило осуществлять дальнейшие сетевые вторжения с использованием базовых методов постэксплуатации. Эта кампания подчеркивает сдвиг в сторону менее квалифицированных операторов, проводящих обширные операции с помощью искусственного интеллекта, что приводит к оппортунистическому нацеливанию, а не к сложным методам, с заметным процентом неудач при атаке на хорошо защищенные цели.
-----
Злоумышленник, мотивированный финансовыми соображениями, использует коммерческие инструменты искусственного интеллекта для крупномасштабных кибератак, оказывая воздействие на более чем 600 устройств FortiGate в более чем 55 странах. Кампания проходила с 11 января по 18 февраля 2026 года. Злоумышленники сосредоточились на использовании слабых методов обеспечения безопасности, включая незащищенные порты управления и неадекватную защиту учетные данные, а не на конкретных уязвимостях в устройствах FortiGate. Автоматизированные сценарии с поддержкой искусственного интеллекта использовались для извлечения конфиденциальных данных из конфигураций FortiGate, включая учетные данные SSL-VPN и данные сетевой маршрутизации. Эта информация была использована для дальнейшего доступа к целевым сетям с использованием таких методов, как Meterpreter для атак DCSync на контроллеры домена. Нападавшие проявляли оппортунистическую нацеленность и часто меняли фокус, сталкиваясь с усиленной обороной. В инфраструктуре атаки отсутствовали меры безопасности для документации, созданной искусственным интеллектом, содержащей методы атаки и стратегии нацеливания. Инструменты искусственного интеллекта включали в себя фреймворк разведка, написанный на Go и Python. Последующая эксплуатация включала в себя простое извлечение учетные данные и перемещение внутри компании. Автоматизация злоумышленник позволяла им проводить масштабные операции с техническими возможностями от низкого до среднего уровня, что приводило к сбоям в работе с хорошо защищенными целями. Рекомендации для организаций включают обеспечение безопасности интерфейсов управления, ужесточение политики в отношении учетные данные, проведение аудитов и укрепление инфраструктуры резервного копирования для предотвращения несанкционированного доступа и использования программ-вымогателей.
#ParsedReport #CompletenessLow
20-02-2026
Scammers are Targeting Crypto Users Through the Mail
https://flare.io/learn/resources/blog/scammers-targeting-crypto-users-mail
Report completeness: Low
Victims:
Trezor users, Ledger users, Cryptocurrency users
ChatGPT TTPs:
T1566, T1566.001, T1566.002, T1583.001
IOCs:
Url: 2
Soft:
Chrome
Wallets:
trezor
20-02-2026
Scammers are Targeting Crypto Users Through the Mail
https://flare.io/learn/resources/blog/scammers-targeting-crypto-users-mail
Report completeness: Low
Victims:
Trezor users, Ledger users, Cryptocurrency users
ChatGPT TTPs:
do not use without manual checkT1566, T1566.001, T1566.002, T1583.001
IOCs:
Url: 2
Soft:
Chrome
Wallets:
trezor
Flare | Threat Exposure Management | Unmatched Visibility into Cybercrime
Scammers Are Targeting Crypto Users Through the Mail
On February 12th, 2026, security researcher Dmitry Smilyanets posted to X that he had received a physical letter supposedly from Trezor, the crypto hardware wallet company, regarding a “Mandatory Authentication Check.” He quickly identified it as a scam designed…
CTT Report Hub
#ParsedReport #CompletenessLow 20-02-2026 Scammers are Targeting Crypto Users Through the Mail https://flare.io/learn/resources/blog/scammers-targeting-crypto-users-mail Report completeness: Low Victims: Trezor users, Ledger users, Cryptocurrency users…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние фишинг-кампании, нацеленные на пользователей криптовалют, распространяются с цифровой почты на физическую, примером чего является мошенническое письмо, выдающее себя за поставщика кошельков для Аппаратное обеспечение Trezor. Сообщение ложно запрашивало "Обязательную проверку подлинности" и направляло получателей на вредоносный сайт для ввода фраз восстановления кошелька, которые могут предоставить злоумышленникам доступ к пользовательским средствам. Аналогичная тактика наблюдалась у пользователей Ledger, что указывает на тревожную тенденцию к постоянному фишинг-атакам с использованием данных о прошлых нарушениях.
-----
Недавние события указывают на изменение тактики фишинг-атак на пользователей криптовалют, которая теперь выходит за рамки традиционных цифровых каналов и распространяется на физическую почту. Инцидент, о котором сообщил исследователь безопасности Дмитрий Смилянец, указывает на мошенническое письмо, Маскировка под сообщение от Trezor, авторитетного поставщика кошельков для Аппаратное обеспечение. В письме утверждалось, что оно объявляет об "обязательной проверке подлинности", поощряя получателей загружать свои Закрытые ключи с помощью предоставленного QR-кода, фактически направляя их на вредоносный фишинг-сайт.
Фишинг-домен, связанный с этой кампанией, был разработан для имитации законных страниц, побуждая жертв вводить фразы для восстановления своего кошелька. Такие фразы служат отмычками к криптовалютным кошелькам, позволяя злоумышленникам, получившим эту информацию, получить контроль и истощить средства жертв. Хотя с тех пор фишинг-сайт был деактивирован и помечен предупреждениями о безопасности браузера, его существование иллюстрирует опасную тенденцию.
Были выявлены аналогичные инициативы по фишинг-атакам, нацеленные на пользователей Ledger, другой компании, занимающейся Аппаратное обеспечение кошельков, в которых использовались письма с предупреждением о необходимости "Проверки транзакции", снова связанные с QR-кодом, ведущим на сайт фишинг. Эти продолжающиеся атаки были отмечены еще в октябре 2025 года, что указывает на постоянные усилия злоумышленник.
Эта тактика основана на предыдущих примерах, когда злоумышленник использовал физическую почту для нацеливания на потребителей, в частности, ссылаясь на кампанию 2021 года, которая включала рассылку модифицированных кошельков Ledger, используя данные, полученные в результате взлома базы данных Ledger в 2020 году. В результате взлома было обнародовано 1,1 миллиона пользовательских записей, включая личные адреса, что эффективно предоставило злоумышленник информацию, необходимую для осуществления фишинг-рассылки по электронной почте.
Организациям и частным лицам рекомендуется сообщать о любой подозрительной переписке или попытках фишинг-рассылки непосредственно соответствующим компаниям (Trezor или Ledger) и соответствующим органам, таким как FTC и Google. Бдительность имеет решающее значение, поскольку эти мошенничества становятся все более частыми и изощренными, что подчеркивает необходимость надежного мониторинга и быстрой отчетности для уменьшения потенциальных потерь.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние фишинг-кампании, нацеленные на пользователей криптовалют, распространяются с цифровой почты на физическую, примером чего является мошенническое письмо, выдающее себя за поставщика кошельков для Аппаратное обеспечение Trezor. Сообщение ложно запрашивало "Обязательную проверку подлинности" и направляло получателей на вредоносный сайт для ввода фраз восстановления кошелька, которые могут предоставить злоумышленникам доступ к пользовательским средствам. Аналогичная тактика наблюдалась у пользователей Ledger, что указывает на тревожную тенденцию к постоянному фишинг-атакам с использованием данных о прошлых нарушениях.
-----
Недавние события указывают на изменение тактики фишинг-атак на пользователей криптовалют, которая теперь выходит за рамки традиционных цифровых каналов и распространяется на физическую почту. Инцидент, о котором сообщил исследователь безопасности Дмитрий Смилянец, указывает на мошенническое письмо, Маскировка под сообщение от Trezor, авторитетного поставщика кошельков для Аппаратное обеспечение. В письме утверждалось, что оно объявляет об "обязательной проверке подлинности", поощряя получателей загружать свои Закрытые ключи с помощью предоставленного QR-кода, фактически направляя их на вредоносный фишинг-сайт.
Фишинг-домен, связанный с этой кампанией, был разработан для имитации законных страниц, побуждая жертв вводить фразы для восстановления своего кошелька. Такие фразы служат отмычками к криптовалютным кошелькам, позволяя злоумышленникам, получившим эту информацию, получить контроль и истощить средства жертв. Хотя с тех пор фишинг-сайт был деактивирован и помечен предупреждениями о безопасности браузера, его существование иллюстрирует опасную тенденцию.
Были выявлены аналогичные инициативы по фишинг-атакам, нацеленные на пользователей Ledger, другой компании, занимающейся Аппаратное обеспечение кошельков, в которых использовались письма с предупреждением о необходимости "Проверки транзакции", снова связанные с QR-кодом, ведущим на сайт фишинг. Эти продолжающиеся атаки были отмечены еще в октябре 2025 года, что указывает на постоянные усилия злоумышленник.
Эта тактика основана на предыдущих примерах, когда злоумышленник использовал физическую почту для нацеливания на потребителей, в частности, ссылаясь на кампанию 2021 года, которая включала рассылку модифицированных кошельков Ledger, используя данные, полученные в результате взлома базы данных Ledger в 2020 году. В результате взлома было обнародовано 1,1 миллиона пользовательских записей, включая личные адреса, что эффективно предоставило злоумышленник информацию, необходимую для осуществления фишинг-рассылки по электронной почте.
Организациям и частным лицам рекомендуется сообщать о любой подозрительной переписке или попытках фишинг-рассылки непосредственно соответствующим компаниям (Trezor или Ledger) и соответствующим органам, таким как FTC и Google. Бдительность имеет решающее значение, поскольку эти мошенничества становятся все более частыми и изощренными, что подчеркивает необходимость надежного мониторинга и быстрой отчетности для уменьшения потенциальных потерь.
#ParsedReport #CompletenessHigh
21-02-2026
Operation Olalampo: Inside MuddyWaters Latest Campaign
https://www.group-ib.com/blog/muddywater-operation-olalampo/
Report completeness: High
Actors/Campaigns:
Olalampo
Muddywater
Threats:
Ghostfetch
Ghostbackdoor
Http_vip
Char
Spear-phishing_technique
Anydesk_tool
Blackbeard
Rustric
Victims:
Government, Telecommunications, Energy, Critical infrastructure, Contractors, Individuals of interest, System integrator companies
Industry:
Government, Energy, Telco, Critical_infrastructure, Healthcare
Geo:
Middleeast, Mena, Iranian, Middle east
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1005, T1021.001, T1027, T1027.013, T1029, T1030, T1036, T1036.003, T1059, T1059.001, have more...
IOCs:
File: 12
Command: 1
Path: 8
Domain: 5
IP: 5
Hash: 45
Url: 1
Soft:
Telegram, Microsoft Office, curl, sudo, flask, Microsoft Excel, Microsoft Word, linux
Algorithms:
aes, sha1, exhibit
Functions:
Workbook_Open, wait
Win API:
GetTickCount64, SeShutdownPrivilege, SeChangeNotifyPrivilege, SeUndockPrivilege, SeIncreaseWorkingSetPrivilege, SeTimeZonePrivilege
Languages:
rust, python, powershell
21-02-2026
Operation Olalampo: Inside MuddyWaters Latest Campaign
https://www.group-ib.com/blog/muddywater-operation-olalampo/
Report completeness: High
Actors/Campaigns:
Olalampo
Muddywater
Threats:
Ghostfetch
Ghostbackdoor
Http_vip
Char
Spear-phishing_technique
Anydesk_tool
Blackbeard
Rustric
Victims:
Government, Telecommunications, Energy, Critical infrastructure, Contractors, Individuals of interest, System integrator companies
Industry:
Government, Energy, Telco, Critical_infrastructure, Healthcare
Geo:
Middleeast, Mena, Iranian, Middle east
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1021.001, T1027, T1027.013, T1029, T1030, T1036, T1036.003, T1059, T1059.001, have more...
IOCs:
File: 12
Command: 1
Path: 8
Domain: 5
IP: 5
Hash: 45
Url: 1
Soft:
Telegram, Microsoft Office, curl, sudo, flask, Microsoft Excel, Microsoft Word, linux
Algorithms:
aes, sha1, exhibit
Functions:
Workbook_Open, wait
Win API:
GetTickCount64, SeShutdownPrivilege, SeChangeNotifyPrivilege, SeUndockPrivilege, SeIncreaseWorkingSetPrivilege, SeTimeZonePrivilege
Languages:
rust, python, powershell
Group-IB
Operation Olalampo: Inside MuddyWater’s Latest Campaign
MuddyWater APT has launched a new cyber offensive operation, dubbed Operation Olalampo, deploying new malware variants and leveraging Telegram bots for command-and-control. Analysis of the campaign provides a glimpse into the group’s post-exploitation tactics…
CTT Report Hub
#ParsedReport #CompletenessHigh 21-02-2026 Operation Olalampo: Inside MuddyWaters Latest Campaign https://www.group-ib.com/blog/muddywater-operation-olalampo/ Report completeness: High Actors/Campaigns: Olalampo Muddywater Threats: Ghostfetch Ghostbackdoor…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция Olalampo, атрибутирован с иранской APT-группировка MuddyWater, нацелена на организации региона MENA, использующие новые варианты вредоносное ПО, начиная с 26 января 2026 года. Ключевые компоненты включают в себя бэкдор на основе Rust, CHAR, который обменивается данными через Телеграм, и два загрузчика с именами GhostFetch и HTTP_VIP, которые выполняют полезную нагрузку и проводят разведка системы, избегая обнаружения в виртуальных средах. В ходе операции особое внимание уделяется тактике фишинг с использованием вредоносных офисных документов и демонстрируются передовые механизмы командования и контроля, использующие зашифрованные коммуникации и сложную систему обфускации.
-----
Операция "Olalampo" - это новая киберкампания, атрибутирован с иранской APT-группировка MuddyWater, ориентированная на организации в регионе MENA. Запущенная 26 января 2026 года, эта операция использует несколько новых вариантов вредоносное ПО, поддерживает связь командования и контроля (C2) через бота Телеграм и демонстрирует действия после эксплуатации, соответствующие исторической тактике группы. Вредоносное ПО включает в себя бэкдор на основе Rust с именем CHAR и два загрузчика, известные как GhostFetch и HTTP_VIP, а также продвинутый бэкдор под названием GhostBackDoor.
Методы работы MuddyWater's эволюционировали, но остаются в строгом соответствии с предыдущими методами. Кампания была инициирована с помощью фишинг-писем, содержащих вредоносные документы Microsoft Office. В этих документах использовалось выполнение макросов для развертывания различных полезных нагрузок вредоносное ПО при открытии, специально предназначенных для отдельных лиц и организаций, связанных с энергетическим сектором. Например, один документ Excel имитировал законную компанию и развернул CHAR backdoor, в то время как другое приглашение на загрузку привело к выполнению GhostFetch, который извлекает GhostBackDoor.
GhostFetch функционирует как загрузчик первого этапа, предназначенный для загрузки вторичных полезных данных в память, сохраняя низкий уровень защиты от обнаружения в изолированной среде. Он особенно чувствителен к экологическим проверкам, чтобы избежать выполнения в виртуализированных средах, и кодирует базовые коммуникации C2. Напротив, HTTP_VIP - это загрузчик, который проводит разведка системы и связывается со своим сервером C2 для аутентификации и выполнения дополнительных команд. Вредоносное ПО предназначено для исключения узлов компрометация, связанных с определенными доменами, которые, по-видимому, коррелируют с "приманками", созданными для выявления угроз.
CHAR backdoor представляет собой заметный сдвиг в возможностях MuddyWater's, позволяющий отправлять команды через Телеграм. Он обеспечивает зашифрованную связь и специальные конечные точки API для выполнения команд, направленные на то, чтобы избежать обнаружения. Кампания также указывает на потенциальное использование искусственного интеллекта при разработке некоторых компонентов вредоносное ПО, о чем свидетельствуют аномалии в коде, предполагающие автоматизацию процесса создания.
Инфраструктура C2 для доступного вредоносное ПО охватывает множество доменов, включая те, которые были идентифицированы в ходе предыдущих операций MuddyWater. GhostFetch и HTTP_VIP используют различные серверные архитектуры, использующие фреймворк Python, а также реализуют эффективные методы запутывания, позволяющие оставаться скрытыми от механизмов безопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция Olalampo, атрибутирован с иранской APT-группировка MuddyWater, нацелена на организации региона MENA, использующие новые варианты вредоносное ПО, начиная с 26 января 2026 года. Ключевые компоненты включают в себя бэкдор на основе Rust, CHAR, который обменивается данными через Телеграм, и два загрузчика с именами GhostFetch и HTTP_VIP, которые выполняют полезную нагрузку и проводят разведка системы, избегая обнаружения в виртуальных средах. В ходе операции особое внимание уделяется тактике фишинг с использованием вредоносных офисных документов и демонстрируются передовые механизмы командования и контроля, использующие зашифрованные коммуникации и сложную систему обфускации.
-----
Операция "Olalampo" - это новая киберкампания, атрибутирован с иранской APT-группировка MuddyWater, ориентированная на организации в регионе MENA. Запущенная 26 января 2026 года, эта операция использует несколько новых вариантов вредоносное ПО, поддерживает связь командования и контроля (C2) через бота Телеграм и демонстрирует действия после эксплуатации, соответствующие исторической тактике группы. Вредоносное ПО включает в себя бэкдор на основе Rust с именем CHAR и два загрузчика, известные как GhostFetch и HTTP_VIP, а также продвинутый бэкдор под названием GhostBackDoor.
Методы работы MuddyWater's эволюционировали, но остаются в строгом соответствии с предыдущими методами. Кампания была инициирована с помощью фишинг-писем, содержащих вредоносные документы Microsoft Office. В этих документах использовалось выполнение макросов для развертывания различных полезных нагрузок вредоносное ПО при открытии, специально предназначенных для отдельных лиц и организаций, связанных с энергетическим сектором. Например, один документ Excel имитировал законную компанию и развернул CHAR backdoor, в то время как другое приглашение на загрузку привело к выполнению GhostFetch, который извлекает GhostBackDoor.
GhostFetch функционирует как загрузчик первого этапа, предназначенный для загрузки вторичных полезных данных в память, сохраняя низкий уровень защиты от обнаружения в изолированной среде. Он особенно чувствителен к экологическим проверкам, чтобы избежать выполнения в виртуализированных средах, и кодирует базовые коммуникации C2. Напротив, HTTP_VIP - это загрузчик, который проводит разведка системы и связывается со своим сервером C2 для аутентификации и выполнения дополнительных команд. Вредоносное ПО предназначено для исключения узлов компрометация, связанных с определенными доменами, которые, по-видимому, коррелируют с "приманками", созданными для выявления угроз.
CHAR backdoor представляет собой заметный сдвиг в возможностях MuddyWater's, позволяющий отправлять команды через Телеграм. Он обеспечивает зашифрованную связь и специальные конечные точки API для выполнения команд, направленные на то, чтобы избежать обнаружения. Кампания также указывает на потенциальное использование искусственного интеллекта при разработке некоторых компонентов вредоносное ПО, о чем свидетельствуют аномалии в коде, предполагающие автоматизацию процесса создания.
Инфраструктура C2 для доступного вредоносное ПО охватывает множество доменов, включая те, которые были идентифицированы в ходе предыдущих операций MuddyWater. GhostFetch и HTTP_VIP используют различные серверные архитектуры, использующие фреймворк Python, а также реализуют эффективные методы запутывания, позволяющие оставаться скрытыми от механизмов безопасности.
#ParsedReport #CompletenessMedium
21-02-2026
January 2026 APT Attack Trends Report (Domestic)
https://asec.ahnlab.com/ko/92647/
Report completeness: Medium
Threats:
Spear-phishing_technique
Endrat
Hadesdoor
Mudsdoor
Thumbstealer
Xenorat
Victims:
Korea
Geo:
Korea
ChatGPT TTPs:
T1036, T1041, T1053.005, T1056.001, T1059, T1059.001, T1083, T1105, T1204.002, T1218.005, have more...
IOCs:
File: 9
Hash: 5
Url: 5
Soft:
curl, task scheduler
Algorithms:
md5
Languages:
powershell, autoit
21-02-2026
January 2026 APT Attack Trends Report (Domestic)
https://asec.ahnlab.com/ko/92647/
Report completeness: Medium
Threats:
Spear-phishing_technique
Endrat
Hadesdoor
Mudsdoor
Thumbstealer
Xenorat
Victims:
Korea
Geo:
Korea
ChatGPT TTPs:
do not use without manual checkT1036, T1041, T1053.005, T1056.001, T1059, T1059.001, T1083, T1105, T1204.002, T1218.005, have more...
IOCs:
File: 9
Hash: 5
Url: 5
Soft:
curl, task scheduler
Algorithms:
md5
Languages:
powershell, autoit
ASEC
2026년 1월 APT 공격 동향 보고서(국내) - ASEC
2026년 1월 APT 공격 동향 보고서(국내) ASEC
CTT Report Hub
#ParsedReport #CompletenessMedium 21-02-2026 January 2026 APT Attack Trends Report (Domestic) https://asec.ahnlab.com/ko/92647/ Report completeness: Medium Threats: Spear-phishing_technique Endrat Hadesdoor Mudsdoor Thumbstealer Xenorat Victims: Korea…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В январе 2026 года APT-атаки в Корее в основном использовали spear phishing, уделяя особое внимание вредоносным файлам LNK для доставки полезной нагрузки. Атаки типа A использовали файлы LNK для выполнения команд PowerShell, которые загружали вредоносное ПО AutoIt, обеспечивая постоянное управление с помощью запланированных сценариев. Используемые атаки типа В curl.exe загружать и запускать HTA-файлы с хостинговых платформ, облегчая развертывание вредоносное ПО стиллер, кейлоггера и бэкдора, тем самым усиливая контроль злоумышленников над компрометация систем.
-----
В январе 2026 года большинство APT-атак в Корее были осуществлены с помощью spear phishing, с заметным акцентом на вредоносные файлы LNK в качестве механизма доставки. Spear phishing - это метод нацелен-ной атаки, который включает в себя обширную разведка с целью сбора подробной информации о конкретных лицах или группах. Эта информация позволяет злоумышленникам создавать убедительные фишинг-письма, в которых часто указаны поддельные адреса отправителей и содержатся вредоносные вложения или ссылки, предназначенные для того, чтобы побудить получателей к совершению вредоносных действий.
В недавней тенденции наблюдались два основных типа атак. Первый, обозначенный как тип A, включал использование файлов LNK для выполнения команд PowerShell, которые инициируют загрузку вредоносное ПО AutoIt. Во время этого процесса файл LNK подключается к внешнему URL-адресу, загружает дополнительные файлы и переименовывает законный curl.exe программа для выполнения вредоносных скриптов. Эти скрипты, которые зарегистрированы в планировщике задач для постоянного выполнения, могут выполнять различные команды, получать доступ к каталогам, загружать файлы, что указывает на значительный уровень возможностей управления.
Атаки типа B использовали встроенные средства Windows, в частности curl.exe , чтобы загрузить и запустить вредоносный HTA-файл из папки %TEMP%. Эти HTA-файлы часто размещались на таких платформах, как Github или Google Drive, и были разработаны для создания загрузчика, который маскировался под файл-приманку и sys.имя библиотеки dll. Загрузчик активирует вредоносное ПО типа "стиллер", которое собирает конфиденциальную системную информацию, списки файлов и сведения о виртуальных активах. Кроме того, этот тип атаки включает в себя кейлоггер и бэкдор, которые предоставляют злоумышленникам возможность отдавать удаленные команды, значительно усиливая их контроль над зараженными системами.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В январе 2026 года APT-атаки в Корее в основном использовали spear phishing, уделяя особое внимание вредоносным файлам LNK для доставки полезной нагрузки. Атаки типа A использовали файлы LNK для выполнения команд PowerShell, которые загружали вредоносное ПО AutoIt, обеспечивая постоянное управление с помощью запланированных сценариев. Используемые атаки типа В curl.exe загружать и запускать HTA-файлы с хостинговых платформ, облегчая развертывание вредоносное ПО стиллер, кейлоггера и бэкдора, тем самым усиливая контроль злоумышленников над компрометация систем.
-----
В январе 2026 года большинство APT-атак в Корее были осуществлены с помощью spear phishing, с заметным акцентом на вредоносные файлы LNK в качестве механизма доставки. Spear phishing - это метод нацелен-ной атаки, который включает в себя обширную разведка с целью сбора подробной информации о конкретных лицах или группах. Эта информация позволяет злоумышленникам создавать убедительные фишинг-письма, в которых часто указаны поддельные адреса отправителей и содержатся вредоносные вложения или ссылки, предназначенные для того, чтобы побудить получателей к совершению вредоносных действий.
В недавней тенденции наблюдались два основных типа атак. Первый, обозначенный как тип A, включал использование файлов LNK для выполнения команд PowerShell, которые инициируют загрузку вредоносное ПО AutoIt. Во время этого процесса файл LNK подключается к внешнему URL-адресу, загружает дополнительные файлы и переименовывает законный curl.exe программа для выполнения вредоносных скриптов. Эти скрипты, которые зарегистрированы в планировщике задач для постоянного выполнения, могут выполнять различные команды, получать доступ к каталогам, загружать файлы, что указывает на значительный уровень возможностей управления.
Атаки типа B использовали встроенные средства Windows, в частности curl.exe , чтобы загрузить и запустить вредоносный HTA-файл из папки %TEMP%. Эти HTA-файлы часто размещались на таких платформах, как Github или Google Drive, и были разработаны для создания загрузчика, который маскировался под файл-приманку и sys.имя библиотеки dll. Загрузчик активирует вредоносное ПО типа "стиллер", которое собирает конфиденциальную системную информацию, списки файлов и сведения о виртуальных активах. Кроме того, этот тип атаки включает в себя кейлоггер и бэкдор, которые предоставляют злоумышленникам возможность отдавать удаленные команды, значительно усиливая их контроль над зараженными системами.
#ParsedReport #CompletenessHigh
21-02-2026
Massive Winos 4.0 Campaigns Target Taiwan
https://www.fortinet.com/blog/threat-research/massive-winos-40-campaigns-target-taiwan
Report completeness: High
Actors/Campaigns:
Silver_fox
Threats:
Winos
Byovd_technique
Dll_sideloading_technique
Valleyrat
Uac_bypass_technique
Victims:
Organizations in taiwan, Organizations across asia, Tax administration related targets
Industry:
Financial
Geo:
Asia, Chinese, Taiwanese, China, Taiwan
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1036.003, T1064, T1071.001, T1102, T1105, T1106, T1112, T1140, T1204.001, have more...
IOCs:
File: 49
Path: 3
Domain: 11
Url: 5
IP: 2
Hash: 2
Soft:
curl, Windows kernel-mode driver, Microsoft Defender
Algorithms:
base64, sha256
Functions:
RunUAC
Win API:
RtlInitUnicodeString, NtLoadDriver, RtlAdjustPrivilege
Win Services:
MsMpEng, AvastSvc
Platforms:
x64
21-02-2026
Massive Winos 4.0 Campaigns Target Taiwan
https://www.fortinet.com/blog/threat-research/massive-winos-40-campaigns-target-taiwan
Report completeness: High
Actors/Campaigns:
Silver_fox
Threats:
Winos
Byovd_technique
Dll_sideloading_technique
Valleyrat
Uac_bypass_technique
Victims:
Organizations in taiwan, Organizations across asia, Tax administration related targets
Industry:
Financial
Geo:
Asia, Chinese, Taiwanese, China, Taiwan
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036.003, T1064, T1071.001, T1102, T1105, T1106, T1112, T1140, T1204.001, have more...
IOCs:
File: 49
Path: 3
Domain: 11
Url: 5
IP: 2
Hash: 2
Soft:
curl, Windows kernel-mode driver, Microsoft Defender
Algorithms:
base64, sha256
Functions:
RunUAC
Win API:
RtlInitUnicodeString, NtLoadDriver, RtlAdjustPrivilege
Win Services:
MsMpEng, AvastSvc
Platforms:
x64
Fortinet Blog
Massive Winos 4.0 Campaigns Target Taiwan
FortiGuard Labs analyzes Winos 4.0 (ValleyRat) campaigns targeting Taiwan, detailing phishing lures, DLL sideloading, BYOVD abuse, and evolving attacker infrastructure…
CTT Report Hub
#ParsedReport #CompletenessHigh 21-02-2026 Massive Winos 4.0 Campaigns Target Taiwan https://www.fortinet.com/blog/threat-research/massive-winos-40-campaigns-target-taiwan Report completeness: High Actors/Campaigns: Silver_fox Threats: Winos Byovd_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Silver Fox нацелен на тайваньские организации, используя изощренные фишинг-кампании для развертывания вредоносное ПО Winos 4.0 (ValleyRat). Их методы включают DLL Sideloading, вредоносные LNK-файлы и методы BYOVD с многоэтапными процессами заражения, инициируемыми с помощью поддельных документов, связанных с налогами. Winos 4.0 демонстрирует расширенные возможности уклонения за счет взаимодействия с Нативный API и включает постоянное подключение к своей инфраструктуре управление, обеспечивая постоянный доступ к системам компрометация.
-----
Недавние кампании группы Silver Fox были нацелен на организации на Тайване, используя сложные стратегии кибератак, сосредоточенные на вредоносное ПО Winos 4.0 (ValleyRat). Злоумышленники используют тактику фишинг, замаскированную под законные налоговые уведомления и электронные счета-фактуры, для распространения вредоносных полезных данных. Анализ, проведенный FortiGuard Labs, выявил две заметные кампании, использующие различные векторы атак, включая DLL Sideloading, вредоносные файлы LNK и методы "Принеси свой собственный уязвимый драйвер" (BYOVD).
В первой кампании злоумышленники создали многоэтапный процесс заражения, используя RAR-архив с надписью "taxIs_RX3001.rar " содержащий как документ-приманку, так и вредоносный LNK-файл. После выполнения скрипт создает рабочий каталог и использует системную двоичную Маскировка путем копирования и переименования законных утилит, чтобы скрыть присутствие вредоносное ПО. Этот процесс позволяет злоумышленнику загрузить исполняемый файл, который извлекает встроенную полезную нагрузку, ответственную за развертывание Winos 4.0 и облегчающую последующую загрузку драйвер для уклонения.
Вторая кампания также использует приманки на налоговую тематику, но меняет свою методологию, распространяя поддельные документы Министерства финансов через фишинг-электронные письма. Злоумышленники перенаправляют пользователей с поддельного официального домена на китайский облачный сервис для загрузки архива, содержащего вредоносную DLL-библиотеку. Эта библиотека DLL загружается через легальное приложение с использованием тех же методов, которые использовались в первой кампании, что подчеркивает адаптивность группы и эволюцию в области доставки вредоносное ПО.
Winos 4.0 демонстрирует расширенные возможности закрепление и уклонения. Вредоносное ПО использует драйвер в режиме ядра, wsftprm.sys , и спроектирован таким образом, чтобы обходить стандартный мониторинг путем динамического взаимодействия с Нативный API. Он активно запрашивает значения системного реестра, чтобы корректировать свои операции в зависимости от наличия или влияния мер безопасности. Вредоносное ПО включает в себя жестко запрограммированный список активных процессов, привязанных к различным продуктам безопасности, нацеленный на ряд антивирусных решений, чтобы отключить их для бесперебойной работы.
Примечательным аспектом Winos 4.0 является его инфраструктура управление (C2), идентифицируемая закодированным адресом 47.76.86.151. Вредоносное ПО поддерживает постоянное соединение с этим C2 для загрузки основных модулей, обеспечивая постоянный доступ и контроль над компрометация систем. Отнесение атак к группе Silver Fox подтверждается согласованными схемами регистрации доменов и наблюдаемыми метаданными, которые связывают недавние действия с предыдущими операциями, атрибутирован с этим актор - сложная целенаправленная угроза. Методы этой группы отличаются высоким уровнем изощренности, с акцентом на локализованную тактику, разработанную для использования конкретных региональных процессов и уязвимостей в рамках операционных фреймворк тайваньских организаций.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Silver Fox нацелен на тайваньские организации, используя изощренные фишинг-кампании для развертывания вредоносное ПО Winos 4.0 (ValleyRat). Их методы включают DLL Sideloading, вредоносные LNK-файлы и методы BYOVD с многоэтапными процессами заражения, инициируемыми с помощью поддельных документов, связанных с налогами. Winos 4.0 демонстрирует расширенные возможности уклонения за счет взаимодействия с Нативный API и включает постоянное подключение к своей инфраструктуре управление, обеспечивая постоянный доступ к системам компрометация.
-----
Недавние кампании группы Silver Fox были нацелен на организации на Тайване, используя сложные стратегии кибератак, сосредоточенные на вредоносное ПО Winos 4.0 (ValleyRat). Злоумышленники используют тактику фишинг, замаскированную под законные налоговые уведомления и электронные счета-фактуры, для распространения вредоносных полезных данных. Анализ, проведенный FortiGuard Labs, выявил две заметные кампании, использующие различные векторы атак, включая DLL Sideloading, вредоносные файлы LNK и методы "Принеси свой собственный уязвимый драйвер" (BYOVD).
В первой кампании злоумышленники создали многоэтапный процесс заражения, используя RAR-архив с надписью "taxIs_RX3001.rar " содержащий как документ-приманку, так и вредоносный LNK-файл. После выполнения скрипт создает рабочий каталог и использует системную двоичную Маскировка путем копирования и переименования законных утилит, чтобы скрыть присутствие вредоносное ПО. Этот процесс позволяет злоумышленнику загрузить исполняемый файл, который извлекает встроенную полезную нагрузку, ответственную за развертывание Winos 4.0 и облегчающую последующую загрузку драйвер для уклонения.
Вторая кампания также использует приманки на налоговую тематику, но меняет свою методологию, распространяя поддельные документы Министерства финансов через фишинг-электронные письма. Злоумышленники перенаправляют пользователей с поддельного официального домена на китайский облачный сервис для загрузки архива, содержащего вредоносную DLL-библиотеку. Эта библиотека DLL загружается через легальное приложение с использованием тех же методов, которые использовались в первой кампании, что подчеркивает адаптивность группы и эволюцию в области доставки вредоносное ПО.
Winos 4.0 демонстрирует расширенные возможности закрепление и уклонения. Вредоносное ПО использует драйвер в режиме ядра, wsftprm.sys , и спроектирован таким образом, чтобы обходить стандартный мониторинг путем динамического взаимодействия с Нативный API. Он активно запрашивает значения системного реестра, чтобы корректировать свои операции в зависимости от наличия или влияния мер безопасности. Вредоносное ПО включает в себя жестко запрограммированный список активных процессов, привязанных к различным продуктам безопасности, нацеленный на ряд антивирусных решений, чтобы отключить их для бесперебойной работы.
Примечательным аспектом Winos 4.0 является его инфраструктура управление (C2), идентифицируемая закодированным адресом 47.76.86.151. Вредоносное ПО поддерживает постоянное соединение с этим C2 для загрузки основных модулей, обеспечивая постоянный доступ и контроль над компрометация систем. Отнесение атак к группе Silver Fox подтверждается согласованными схемами регистрации доменов и наблюдаемыми метаданными, которые связывают недавние действия с предыдущими операциями, атрибутирован с этим актор - сложная целенаправленная угроза. Методы этой группы отличаются высоким уровнем изощренности, с акцентом на локализованную тактику, разработанную для использования конкретных региональных процессов и уязвимостей в рамках операционных фреймворк тайваньских организаций.
#ParsedReport #CompletenessLow
20-02-2026
Incident Response at the Edge: Unmasking the Massive Exploitation of Ivanti
https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_1_7_Greg_chen_Sharon_liu_en.pdf
Report completeness: Low
Actors/Campaigns:
Chimera
Slime68
Teleboyi
Threats:
Textdoor
Debttheft
Prawns
Spawnchimera
Spawnmole
Spawnsnail
Spawnsloth
Victims:
Ivanti vpn users, Technology sector, Telecommunications sector, Government sector, Financial services
Industry:
Ics
Geo:
Germany, Sweden, United arab emirates, United kingdom, Austria, Japan, Singapore, Korea, France, China, Pakistan, Poland, Turkey, Malaysia, Taiwan, Canada, Arab emirates, Spain, Australia, Barbados
CVEs:
CVE-2025-0283 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti connect_secure (<9.1, <22.7, 21.9, 21.12, 22.1)
- ivanti neurons_for_zero-trust_access (-, 22.2, 22.3, 22.4, 22.5)
- ivanti policy_secure (<22.7)
CVE-2025-22457 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti connect_secure (<22.7)
- ivanti policy_secure (<22.7)
- ivanti zero_trust_access_gateway (<22.8)
CVE-2025-0282 [Vulners]
CVSS V3.1: 9.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti connect_secure (22.7)
- ivanti neurons_for_zero-trust_access (22.7)
- ivanti policy_secure (22.7)
TTPs:
Tactics: 4
Technics: 0
IOCs:
File: 43
Email: 1
Soft:
Ivanti, Linux, BusyBox, SELinux, sudo, Ubuntu, Debian, UNIX
Algorithms:
crc-32, gzip, sha256
Functions:
strlcpy
Languages:
c_language, python
20-02-2026
Incident Response at the Edge: Unmasking the Massive Exploitation of Ivanti
https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_1_7_Greg_chen_Sharon_liu_en.pdf
Report completeness: Low
Actors/Campaigns:
Chimera
Slime68
Teleboyi
Threats:
Textdoor
Debttheft
Prawns
Spawnchimera
Spawnmole
Spawnsnail
Spawnsloth
Victims:
Ivanti vpn users, Technology sector, Telecommunications sector, Government sector, Financial services
Industry:
Ics
Geo:
Germany, Sweden, United arab emirates, United kingdom, Austria, Japan, Singapore, Korea, France, China, Pakistan, Poland, Turkey, Malaysia, Taiwan, Canada, Arab emirates, Spain, Australia, Barbados
CVEs:
CVE-2025-0283 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti connect_secure (<9.1, <22.7, 21.9, 21.12, 22.1)
- ivanti neurons_for_zero-trust_access (-, 22.2, 22.3, 22.4, 22.5)
- ivanti policy_secure (<22.7)
CVE-2025-22457 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti connect_secure (<22.7)
- ivanti policy_secure (<22.7)
- ivanti zero_trust_access_gateway (<22.8)
CVE-2025-0282 [Vulners]
CVSS V3.1: 9.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti connect_secure (22.7)
- ivanti neurons_for_zero-trust_access (22.7)
- ivanti policy_secure (22.7)
TTPs:
Tactics: 4
Technics: 0
IOCs:
File: 43
Email: 1
Soft:
Ivanti, Linux, BusyBox, SELinux, sudo, Ubuntu, Debian, UNIX
Algorithms:
crc-32, gzip, sha256
Functions:
strlcpy
Languages:
c_language, python