#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания SERPENTINE#CLOUD демонстрирует сложный метод выполнения и доставки Троянская программа удаленного доступа (RAT), использующая nine RAT семейства в различных цепочках атак в течение 176 дней. Ключевые методы включают использование пакетных файлов для извлечения полезной нагрузки через туннели Cloudflare, расширенное шифрование, такое как AES-256-CBC, и методы внедрения, использующие процессы Windows, такие как explorer.exe для скрытного исполнения. Кроме того, в ходе кампании использовались сложные стратегии запутывания и меры по борьбе с криминалистический анализ, чтобы усилить закрепление и избежать обнаружения.
-----

Анализ кампании SERPENTINE#CLOUD выявляет сложный и эволюционирующий подход к выполнению и доставке Троянская программа удаленного доступа (RAT). В кампании использовались семейства Nine RAT в шести цепочках атак, используя пакетный файл для извлечения ZIP-файла из временного туннеля Cloudflare. Этот ZIP-файл включал среду выполнения на Python и сценарии загрузки, которые расшифровывали шелл-код для начальной загрузки среды выполнения на общем языке .NET (CLR) для выполнения полезных нагрузок. Кампания продемонстрировала пять различных волн эволюции загрузчиков за период в 176 дней.

В первой волне использовались две архитектуры загрузчика, использующие такие методы шифрования, как double XOR и RC4. Загрузчики выполняли шелл-код непосредственно из процесса на Python, используя при этом методы внедрения, включающие как блокнот, так и операции, связанные с созданием приостановленных процессов. Последующие волны интегрировали шифрование AES-256-CBC и передовые методы внедрения, повышая скрытность и эффективность за счет использования процессов Windows, таких как explorer.exe для early bird APC injection, которая произошла до того, как процесс выполнил свою первую инструкцию.

Значительный переход произошел в волнах 4 и 5 с внедрением обфускатора Крамера, который компилировал загрузчики в байт-код Python. Эта волна продемонстрировала возврат к более простому шифрованию RC4, но объединила его с расширенными параметрами запутывания, в результате чего размеры файлов были значительно больше по сравнению с предыдущими волнами — некоторые загрузчики Bloated превышали 20 МБ. Они также продемонстрировали более высокую сложность своих архитектур, демонстрируя детализированные настройки этапов с уникальными механизмами извлечения и исполнения.

Кампания эффективно использовала фреймворк Donut для перехода от выполнения шеллкода на Python к полезным нагрузкам .NET, включив передовые методы исправления интерфейса сканирования вредоносных программ Microsoft (AMSI), чтобы избежать обнаружения во время выполнения. Кроме того, для выборочного завершения процессов, связанных с выполнением вредоносных программ на Python, были использованы методы анти-криминалистический анализ, что повысило закрепление RAT с помощью автоматизированных сценариев, предназначенных для поддержания активности сеансов.

На протяжении всех этапов кампании поведенческие показатели включали аномальное появление explorer.exe от python.exe , конкретные методологии внедрения, которые нацелен на существующие процессы, и сложные методы управления ключами, которые обеспечивают уникальные ключи для каждого развертывания, тем самым усложняя усилия по обнаружению. В конечном счете, кампания продемонстрировала адаптивную и устойчивую методологию доставки RAT, постоянно развивающуюся для улучшения маскировки и операционной эффективности, с использованием нескольких уровней запутывания и тактики антианализа, чтобы минимизировать влияние и избежать обнаружения системой безопасности.

#ParsedReport #CompletenessHigh
25-02-2026

PureLogs: Reverse Engineering a .NET RAT From the PureCoder Ecosystem

https://www.derp.ca/plog-rat-analysis/

Report completeness: High

Actors/Campaigns:
Purecoder

Threats:
Purelogs
Purehvnc_tool
Confuserex_tool
Asyncrat
Venomrat
Dcrat
Xworm_rat
Remcos_rat
Process_injection_technique
Sandbox_evasion_technique

Victims:
Cryptocurrency users, Telegram users, Email users

Geo:
Russian

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1012, T1027, T1041, T1047, T1053.005, T1055, T1056, T1056.006, T1057, have more...

IOCs:
File: 18
IP: 2
Path: 1
Command: 3
Hash: 3

Soft:
NET Framework, Xen, TryCloudflare, Chromium, Chrome, Vivaldi, Opera, CocCoc, Amigo, Torch, have more...

Wallets:
metamask, coinbase, exodus_wallet, keplr, tronlink, xdefi, math_wallet, bitkeep_wallet, electrum, atomicwallet, have more...

Crypto:
binance, ethereum

Algorithms:
sha256, aes-256-cbc, aes, xor, base64, md5, gzip

Functions:
GetWindowText, SetWindowsHookEx

Win API:
Decompress, VirtualAlloc, WriteProcessMemory, VirtualProtect, varint, OpenProcess, CloseHandle, GetForegroundWindow, SetThreadExecutionState, SetProcessDPIAware, have more...

Languages:
python, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Анализ образец PureLogs из экосистемы PureCoder вредоносное ПО как услуга показывает, что оно работает как Троянская программа удаленного доступа на основе плагинов (RAT), использующая многоступенчатый загрузчик, который использует загрузку сборки .NET. Не имея встроенных атакующих возможностей, он извлекает и запускает плагины с сервера управления, обеспечивая скрытность за счет предотвращения обнаружения статических сигнатур. Его коммуникация включает в себя минималистичное рукопожатие и передачу данных в зашифрованном виде AES, что свидетельствует о переходе к модульному дизайну вредоносное ПО для улучшенного уклонения.
-----

В центре анализа - образец PureLogs, идентифицированный как компонент экосистемы PureCoder вредоносное ПО как услуга (MaaS). Первоначально обнаруженный с нулевыми показателями и позже помеченный VirusTotal как Trojan.tedy/msil, PureLogs - это сборка .NET, в основном функционирующая как Троянская программа удаленного доступа на основе плагинов (RAT). Его архитектура демонстрирует многоступенчатый механизм загрузки, при котором внешний шифровальщик расшифровывает и распаковывает перед загрузкой библиотеки DLL через сборку .NET.Метод Load().

В RAT отсутствуют встроенные атакующие возможности, такие как Регистрация нажатий клавиш, Захват экрана или сбор учетных записей. Вместо этого он извлекает плагины со своего сервера command and control (C2) во время выполнения, выполняя их с помощью отражения, что гарантирует, что он остается скрытым и необнаружимым во время первоначального анализа. Структура библиотеки DLL запрещает обнаружение статических сигнатур, поскольку она не содержит какого-либо заранее определенного вредоносного содержимого.

Чтобы запутать свое поведение, PureLogs проводит различные проверки антианализа при запуске, включая обнаружение виртуализации с помощью проверок на соответствие известным средам изолированной среды, снятие отпечатков пальцев BIOS и оценку порогового разрешения экрана. Его связь с сервером C2 использует минималистичный метод рукопожатия и использует протокол сообщений protobuf для передачи команд и получения плагинов, инкапсулированных в сообщения.

Параметры конфигурации указывают, что RAT подключается к определенному хосту C2 (ydspwie.duckdns.org ) и порт (9045) со встроенным ключом шифрования AES для обеспечения безопасности связи. При подключении он отправляет на сервер полный системный профиль. Более того, он может выполнять предопределенные команды сразу после первого подключения C2, демонстрируя присущие ему возможности, выходящие за рамки пассивного ожидания.

Важным вариантом вредоносное ПО является сборка Oct05, которая служит более монолитной RAT, содержащей все функции в одном DLL-файле. В этой версии реализованы такие функциональные возможности, как кража криптовалюты, нацеленная на несколько популярных расширений и приложений для браузерных кошельков, зависимости от PowerShell для закрепление и отсутствие методов Обход песочницы.

PureLogs подчеркивает переход в разработке вредоносное ПО, переход от монолитных сборок, содержащих обширные функции, позволяющие обнаруживать на основе статических сигнатур, к модульному, более незаметному подходу, при котором все функциональные возможности извлекаются и выполняются в памяти. Такая эволюция позволяет злоумышленник минимизировать показатели поверхностного уровня, усложняя усилия по обнаружению и максимально повышая их оперативную безопасность. Всеобъемлющая кампания, отслеживаемая как SERPENTINE#CLOUD, иллюстрирует сложное использование общей инфраструктуры в различных инструментах PureCoder.

#ParsedReport #CompletenessMedium
26-02-2026

New Head Mare newsletter: the phantom contract

https://securelist.ru/head-mare-new-campaign/114892/

Report completeness: Medium

Actors/Campaigns:
Head_mare (motivation: hacktivism)

Threats:
Phantomheart
Phantomcore
Phantomdl
Com_hijacking_technique

Victims:
Public sector, Logistics sector, Financial sector, Industrial sector, Russian organizations

Industry:
Logistic

Geo:
Russian

ChatGPT TTPs:
do not use without manual check
T1027, T1036.007, T1053.005, T1059.001, T1071.001, T1090.003, T1105, T1140, T1204.001, T1204.002, have more...

IOCs:
File: 8
Hash: 28
IP: 2
Path: 2
Url: 13
Domain: 4

Algorithms:
zip, xor, md5, base64

Languages:
golang, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В феврале 2026 года хактивистская группа Head Mare запустила фишинг-кампанию, используя PhantomDL-вариант Backdoor. PhantomCore от "PhantomCore.CC" ("Черный ход"). Злоумышленники отправляли электронные письма с зашифрованными архивами, содержащими файлы ярлыков .lnk, которые при открытии запускали скрипт PowerShell для загрузки бэкдора, замаскированного под txt-файл. Бэкдор, использующий COM Hijacking PSFactoryBuffer для сохранения, использует POST-запросы в формате JSON для связи со своим сервером C2, позволяя выполнять такие команды, как загрузка дополнительного вредоносное ПО и создание сетевого туннеля для дальнейшей эксплуатации.
-----

В феврале 2026 года хактивистская группа Head Mare инициировала широкомасштабную фишинг-кампанию с использованием нового варианта бэкдора PhantomCore, называемого PhantomDL. Цели получали электронные письма, созданные так, чтобы они выглядели как сообщение от законной исследовательской организации, содержащие зашифрованные архивы. Примечательно, что текущий год служит паролем к этим архивам, которые включают в себя несколько файлов быстрого доступа (.lnk). При открытии эти ярлыки позволяют автоматически загружать и устанавливать Backdoor.

Каждый ярлык работает аналогично, отличаясь только спецификой ссылок, ведущих к соответствующим бэкдор и документам. Механизм вредоносной доставки использует скрипт PowerShell, который загружает файл с именем USOCachedData.txt , которая, несмотря на расширение .txt, является исполняемой библиотекой последней версии PhantomCore. Этот Вредоносный файл защищен в системе и настроен на автоматический запуск. Для закрепление используется метод PSFactoryBuffer COM Hijacking, который изменяет путь реестра к системной библиотеке, позволяя запускать Вредоносный файл, когда законные приложения пытаются получить доступ к соответствующим COM-объектам.

Бэкдор PhantomCore, написанный на C++, использует побайтовое шифрование XOR для своих строк, обеспечивая связь со своим сервером command and control (C2) посредством POST-запросов в формате JSON. Бэкдор сначала регистрирует зараженную систему, передавая закодированные данные, а затем отправляет только идентификатор бота для последующих команд. Он выполняет последовательность команд, включающих загрузку архива, содержащего TemplateMaintenanceHost.exe вредоносное ПО, которое используется для создания сетевого туннеля.

Команды, выполняемые бэкдором, включают загрузку вредоносное ПО через PowerShell и извлечение его в каталог AppData. Кроме того, он планирует задачу для обеспечения последовательного выполнения, в конечном счете запуская cmd.exe процессы для установления соединения с удаленным хостом с использованием ssh.exe инструмент, эффективно действующий как прокси-сервер SOCKS5. Это позволяет злоумышленникам направлять трафик через систему компрометация для взаимодействия с другими устройствами в сети. Кампания успешно нацелен на несколько сотен пользователей из российских организаций, в частности, оказав воздействие на различные структуры государственного сектора и компании в логистическом, финансовом и промышленном секторах.

#ParsedReport #CompletenessHigh
26-02-2026

Chronology of MuddyWater APT Attacks Targeting the Middle East

https://www.genians.co.kr/en/blog/threat_intelligence/muddywater-apt

Report completeness: High

Actors/Campaigns:
Muddywater (motivation: information_theft, cyber_espionage, financially_motivated)

Threats:
Spear-phishing_technique
Dll_sideloading_technique
Syncro_tool
Atera_tool
Screenconnect_tool
Simplehelp_tool
N-able_tool
Splashtop_tool
Anydesk_tool
Teamviewer_tool

Victims:
Telecommunications providers, Universities, Government agencies, Foreign ministries, Embassies, International organizations, Insurance industry, Pension fund management, It services providers, Energy sector, have more...

Industry:
Education, Military, Government, Energy, Telco

Geo:
Jordan, Oman, Americas, Malaysia, Iraq, Malaysian, Asia, Middle east, Iran, United kingdom, Turkmenistan, Egypt, Africa, France, America, Israel

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1016, T1027, T1033, T1036, T1059.001, T1059.005, T1071.001, T1082, T1106, have more...

IOCs:
File: 17
Domain: 3
Path: 1
IP: 2
Hash: 39

Soft:
Microsoft Office, Microsoft Word, Dropbox, Microsoft OneDrive, Windows Installer, Microsoft Defender

Algorithms:
md5, xor, zip

Functions:
Document_Open, dddd, love_me_

Win API:
InitializeSecurityContextW

Languages:
rust, powershell

#ParsedReport #ExtractedSchema

Classified images:
windows: 14, code: 1, table: 1, dump: 5, schema: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
MuddyWater APT, преступная хакерская группировка с Ближнего Востока, специализируется на долгосрочном проникновении и сборе разведданных, главным образом, путем Целевой фишинг с использованием макросов VBA в документах, в обход последних мер макробезопасности. Они используют инструменты удаленного мониторинга и управления для первоначальный доступ, сочетая вредоносную активность с законными операциями, и перешли к использованию HTML-файлов, которые направляют пользователей к вредоносное ПО, размещенному в Облачные сервисы. Их изощренная тактика включает в себя разведка и использование вредоносное ПО на основе Rust, что указывает на эволюционирующий ландшафт угроз, нацеленных на различные секторы, особенно на правительство и телекоммуникации.
-----

MuddyWater APT - хакерская группировка с Ближнего Востока, специализирующаяся на долгосрочном проникновении и сборе разведданных. Группа использует Целевой фишинг-атаки с использованием вредоносных документов, содержащих макросы VBA в Microsoft Word. Они используют социальную инженерию, чтобы убедить пользователей включить макросы, особенно в средах с устаревшим программным обеспечением. Вредоносные документы часто маскируются под законные деловые сообщения, чтобы побудить пользователей выполнять макросы, которые запускают дальнейшее вредоносное ПО с помощью встроенных команд PowerShell или бэкдор. MuddyWater также использует инструменты удаленного мониторинга и управления (RMM), такие как Syncro и Atera, для первоначальный доступ, маскируя вредоносные действия под обычные административные задачи. Современные методы включают использование вредоносных HTML-файлов, которые побуждают пользователей загружать вредоносное ПО из законных облачных сервисов хранения данных. Группа нацелена на несколько организаций в пределах одного сектора, что указывает на стратегический подход к компрометация сети. Их бэкдор взаимодействует с серверами командования и контроля (C2) для извлечения системной информации и развертывания дополнительных полезных нагрузок. Интеграция вредоносное ПО на основе Rust демонстрирует прогресс в изощренности их кампаний. Эффективная стратегия обнаружения конечных точек и реагирования на них (EDR) имеет решающее значение для обороны, поскольку традиционная защита периметра неадекватна их тактике. EDR улучшает видимость поведения конечных точек, обнаруживая ненормальные действия с использованием законных инструментов и отслеживая подозрительные сетевые подключения.

#ParsedReport #CompletenessHigh
25-02-2026

Exposing the Undercurrent: Disrupting the GRIDTIDE Global Cyber Espionage Campaign

https://cloud.google.com/blog/topics/threat-intelligence/disrupting-gridtide-global-espionage-campaign/

Report completeness: High

Actors/Campaigns:
Unc2814 (motivation: cyber_espionage)
Ghostemperor

Threats:
Gridtide
Lolbin_technique

Victims:
Telecommunications, Government organizations

Industry:
Telco, Government

Geo:
Asia, China, Africa, Americas

TTPs:
Tactics: 4
Technics: 0

IOCs:
Hash: 7
File: 4
IP: 26
Domain: 192
Url: 7

Soft:
SoftEther, Curl, Sudo, firefox, systemd

Algorithms:
cbc, sha256, base64, aes-128, gzip

Functions:
Sheets

YARA: Found

#ParsedReport #ExtractedSchema

Classified images:
schema: 4

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания кибершпионажа UNC2814, связанная с Китаем и действующая с 2017 года, использует сложные методы для нацеливания на телекоммуникационные и правительственные организации по всему миру. Примечательно, что он использует бэкдор под названием GRIDTIDE, который использует Google Sheets API для операций управление, маскируя вредоносный трафик под законные вызовы API, что усложняет обнаружение. Вредоносное ПО позволяет выполнять произвольные команды оболочки и сохраняется путем создания зашифрованных конфигураций и использования механизма опроса операций, что иллюстрирует риск, создаваемый такими злоумышленник.
-----

UNC2814 - это кампания кибершпионажа, связанная с Китаем, действующая с 2017 года. Недавно группа внедрила бэкдор под названием GRIDTIDE для операций управление с использованием функциональности Google Sheets API. Этот метод маскирует вредоносный трафик под законные вызовы API, чтобы избежать обнаружения. Подтвержденные вторжения затронули 53 жертвы в 42 странах, с возможными нападениями еще в 20. Вектор первоначальный доступ остается неподтвержденным, но исторические методы включают в себя компрометация веб-серверов и пограничных систем. Исследования выявили двоичный файл, который повышал привилегии и устанавливал закрепление за GRIDTIDE. Вредоносное ПО выполняет команды для сохранения доступа после завершения сеансов и обменивается данными через механизм опроса в определенных ячейках Google Sheet. GRIDTIDE может выполнять произвольные команды оболочки и загружать файлы, используя Google Sheets в качестве канала C2, скрывая свои операции. Данные конфигурации, включая данные учетной записи службы, зашифрованы и защищены локально. Вредоносное ПО очищает свой Google Sheet, удаляя предыдущие записи, чтобы сохранить конфиденциальность. Сбой в работе UNC2814 повлек за собой прекращение работы облачной инфраструктуры и публикацию индикаторов компрометация (IOCs). Несмотря на эту неудачу, ожидается, что группа адаптируется и продолжит свою деятельность. Кампания нацелена на телекоммуникации и конфиденциальные данные с целью шпионажа против диссидентов и активистов.

#ParsedReport #CompletenessMedium
26-02-2026

GTFire Phishing Scheme: Avoiding Detection Using Google Services

https://www.group-ib.com/blog/gtfire-phishing-scheme/

Report completeness: Medium

Actors/Campaigns:
Gtfire

Threats:
Credential_harvesting_technique

Victims:
Multiple organizations, Global users

Industry:
Government, Education

Geo:
India, Spain, Mexico, Argentina, Spanish, Latin american

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1056.003, T1204.001, T1564.003, T1566.002

IOCs:
File: 1
Domain: 2

Soft:
LiteSpeed, Telegram

Algorithms:
base64

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Схема GTFire фишинг-атаки использует надежные Облачные сервисы, в первую очередь Google Firebase, для проведения крупномасштабного сбор учетных записей с помощью обманчивых страниц фишинг-атак, имитирующих законные URL-адреса. Используя Google Translate для маскировки конечных пунктов назначения и динамической загрузки шаблонов входа в систему, специфичных для конкретного бренда, злоумышленники повышают эффективность своих усилий, одновременно усложняя обнаружение. Процесс атаки заключается в том, что жертвам предлагается дважды ввести свои учетные данные, что позволяет получать информацию с помощью HTTP-запросов GET, демонстрируя сложный подход к фишинг.
-----

Схема GTFire фишинг-атак иллюстрирует эволюцию фишинг-атак, использующих надежные Облачные сервисы и популярные платформы для облегчения крупномасштабного сбор учетных записей. Эта кампания преимущественно использует Google Firebase для размещения фишинг-страниц под видом законных URL-адресов, эффективно обходя меры безопасности, основанные на репутации URL-адресов. Использование Google Translate в качестве посредника еще больше скрывает истинную природу этих ссылок, затрудняя как автоматизированным методам обнаружения, так и пользователям идентификацию вредоносного контента.

GTFire работает путем создания широкого спектра поддоменов через Firebase, что позволяет злоумышленникам быстро менять инфраструктуру и минимизировать затраты, а также гарантирует, что страницы для фишинг-атак имитируют брендинг нацелен на организации. Методология фишинг включает динамическую загрузку шаблонов входа в систему, специфичных для конкретного бренда, которые кажутся жертвам заслуживающими доверия, тем самым повышая вероятность предоставления учетных данных, не вызывая подозрений. Более того, злоумышленники используют многоуровневую схему перенаправления с использованием URL-адресов Google Translate (translate.goog), которая усложняет анализ, скрывая конечный пункт назначения на странице, размещенной на Firebase, до конца процесса.

Рабочий процесс сбор учетных записей особенно прост и включает в себя запрос жертвам дважды ввести свои учетные данные, одновременно извлекая информацию с помощью HTTP-запросов GET. Первоначальный ввод сопровождается сообщением "неверный пароль", побуждающим жертву повторно ввести свои данные, что позволяет злоумышленникам зафиксировать обе попытки. Собранные учетные данные, наряду с метаданными о жертве (такими как местоположение и язык браузера), отправляются на серверы управление (C2), использующие инфраструктуру веб-сервера LiteSpeed, что предполагает организованный подход к хранению учетные данные и потенциальному использованию.

Эта кампания затронула более тысячи организаций в более чем ста странах, демонстрируя широкий охват подобной тактики фишинг. Простота развертывания готовых фишинг-скриптов и оперативная эффективность, достигаемая за счет использования платформ, пользующихся широким доверием, позволяют GTFire работать незамеченным в течение длительного времени.

Чтобы противодействовать этим изощренным тактикам, организациям рекомендуется внедрять многофакторную аутентификацию (MFA), устойчивую к атакам на фишинг, постоянно отслеживать случаи Имперсонация бренда на облачных платформах и обучать сотрудников распознаванию схем фишинг, основанных на Google. Случай с GTFire подчеркивает необходимость переоценки моделей доверия и усовершенствованных стратегий обнаружения неправомерного использования законных сервисов в киберугроза.

#ParsedReport #CompletenessLow
25-02-2026

Active exploitation of Cisco Catalyst SD-WAN by UAT-8616

https://blog.talosintelligence.com/uat-8616-sd-wan/

Report completeness: Low

Actors/Campaigns:
Uat-8616

Victims:
Critical infrastructure, High value organizations, Network edge device users, Cisco catalyst sd wan users

Industry:
Critical_infrastructure

CVEs:
CVE-2026-20127 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2022-20775 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco catalyst_sd-wan_manager (<20.6.3, <20.7.2, 20.8)
- cisco sd-wan_vbond_orchestrator (<20.6.3, <20.7.2, 20.8)
- cisco sd-wan_vsmart_controller (<20.6.3, <20.7.2, 20.8)


ChatGPT TTPs:
do not use without manual check
T1021.004, T1068, T1070.003, T1070.004, T1078, T1098, T1098.004, T1136, T1190, T1550.004, have more...

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Продолжающаяся эксплуатация CVE-2026-20127 представляет значительную угрозу для контроллеров SD-WAN Cisco Catalyst, позволяя злоумышленникам, не прошедшим проверку подлинности, идентифицированным как UAT-8616, обходить аутентификацию и получать административные привилегии. Этот изощренный злоумышленник воспользовался связанными уязвимостями, включая CVE-2022-20775, с помощью таких методов, как понижение версии программного обеспечения для получения корневого доступа. Ключевыми показателями компрометация являются неавторизованные учетные записи пользователей, аномальные SSH-ключи и подозрительные события пиринга контрольного соединения, что подчеркивает важность тщательного мониторинга потенциальных атак.
-----

Активно отслеживается использование CVE-2026-20127, что указывает на значительную угрозу Кибербезопасность, направленную против контроллеров SD-WAN Cisco Catalyst, ранее известных как vSmart. Эта уязвимость позволяет злоумышленникам, не прошедшим проверку подлинности, обходить аутентификацию и получать административные привилегии, отправляя специально созданные запросы в уязвимую систему. Успешная эксплуатация предоставляет злоумышленникам доступ в качестве пользователя с высокими привилегиями, не являющегося root, что может привести к дальнейшим вредоносным действиям.

Злоумышленник, идентифицированный как UAT-8616, оцененный как сложная организация, предположительно использовал эту уязвимость в течение длительного периода, и расследования предполагают, что их деятельность насчитывает не менее трех лет. Злоумышленники, по-видимому, используют методы повышения своих привилегий путем понижения версии программного обеспечения, что исторически позволяло им использовать CVE-2022-20775, тем самым получая root-доступ перед возвратом к предыдущей версии программного обеспечения.

Особое внимание уделяется выявлению событий пиринга управляющего соединения в журналах систем Cisco Catalyst SD-WAN, поскольку они могут указывать на попытки использования вышеупомянутой уязвимости. Любое пиринговое событие должно быть проверено вручную, чтобы определить его легитимность, особенно в отношении типов vManage. Злоумышленники-актор часто устанавливают несанкционированные одноранговые соединения, которые могут напоминать обычный трафик, но могут инициироваться с незнакомых IP-адресов или возникать в подозрительное время, несовместимое со стандартным операционным поведением. Таким образом, тщательный процесс проверки имеет решающее значение для проведения различия между обычной сетевой активностью и потенциальными показателями компрометация.

Ключевые этапы проверки криминалистический анализ включают проверку временных меток на соответствие запланированному техническому обслуживанию, подтверждение IP-адресов с помощью организационных описей и анализ ролей одноранговых устройств для обеспечения соответствия ожидаемым конфигурациям. Сопоставление аномальных событий или нераспознанных связей может выявить закономерности, указывающие на разведка или постоянные попытки доступа.

Дополнительные высокоточные индикаторы успешной компрометация с помощью UAT-8616 включают создание неавторизованных учетных записей пользователей и манипулирование ими, необъяснимые SSH-ключи и усеченные журналы, которые указывают на попытки запутывания. Случаи корневого доступа, зафиксированные во время интерактивных сеансов, и наличие истории вредоносных команд в неожиданных местах должны вызывать тревогу. Индикаторы понижения версии в сочетании с перезагрузками системы также могут указывать на попытки эксплуатации, равно как и на наличие эксплойтов обхода пути, связанных с CVE-2022-20775.

Подводя итог, продолжающееся использование уязвимостей в инфраструктуре SD-WAN Cisco с помощью UAT-8616 подчеркивает необходимость тщательного мониторинга и принятия мер упреждающего реагирования в рамках критически важной сетевой инфраструктуры.