#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атака Notepad++ supply-chain, идентифицированная как CVE-2025-15556, использовала уязвимость в программе обновления WinGUP из-за отсутствия проверки целостности файлов, что позволило злоумышленникам перенаправлять законные запросы на обновление с помощью MitM-атак, доставляя троянские установщики. Связанная с спонсируемой китайским государством группой в кампании "Lotus Blossom", атака проходила в три этапа, используя тактику, подобную развертыванию Cobalt Strike, и дополнительные компоненты, при этом использовались методы уклонения, такие как запутывание и Маскировка. Методы злоумышленник использует те же методы, что и MITRE ATT&CK, включая Выполнение с участием пользователя и process INJECTION.
-----

Атака Notepad++ supply-chain, идентифицированная как CVE-2025-15556, выявляет критический недостаток в компоненте обновления, известном как WinGUP. Эта уязвимость, действовавшая в основном в течение 2025 года, использовала отсутствие проверки подписи целостности файла в загруженных установщиках. Злоумышленникам удавалось перехватывать законные запросы на обновление и перенаправлять их на вредоносные серверы с помощью атак Man-in-the-Middle (MitM) или отравления кэша DNS, в конечном итоге доставляя троянские исполняемые файлы, которые маскировались под действительные исправления программного обеспечения.

Кампания, связанная с этой уязвимостью, получившая название "Lotus Blossom", атрибутирован с помощью изощренной китайской государственной преступная хакерская группировка. Атака разворачивалась в три отдельных этапа с июля по октябрь 2025 года, каждый из которых был направлен на то, чтобы скрыть свое присутствие. Первая цепочка использовала установщик NSIS объемом 1 МБ для инициирования многоэтапной атаки, развернув Cobalt Strike Beacon с помощью ProShow.exe . Во второй цепочке размер установщика был уменьшен до 140 КБ и была включена ротация URL-адресов управление (C2) для повышения скрытности при одновременной доставке шариков Cobalt Strike. Заключительный этап включал удаление дополнительных вредоносных компонентов, таких как BluetoothService.exe и войдите в систему.DLL, что привело к созданию бэкдора Chrysalis.

Тактика, инструменты и процедуры (TTP) кампании Lotus Blossom были сопоставлены с фреймворк MITRE ATT&CK. Известные методы атаки включают Выполнение с участием пользователя Вредоносный файл, перехват потоков выполнения с помощью библиотек DLL и process Injection. Актор угроз использовал методы уклонения, такие как Маскировка и запутывание файловой информации, используя в своих интересах случаи, когда MITRE не хватает конкретных рекомендаций по смягчению последствий.

Чтобы снизить риски, связанные с CVE-2025-15556, организациям настоятельно рекомендуется занять активную позицию. Немедленное действие включает обновление всех экземпляров Notepad++ до версии 8.9.1 или выше, в которой реализована необходимая проверка подписи. Не менее важно проводить аудит системных путей на предмет потенциального закрепление Вредоносный файл и усиливать сетевую защиту для отслеживания трафика, направленного на известные вредоносные домены. Кроме того, для обнаружения несанкционированных входов следует ввести меры по усилению защиты конечных точек, такие как предотвращение поведения и системный аудит.

#ParsedReport #CompletenessLow
26-02-2026

Active Reconnaissance Campaign Targets SonicWall Firewalls Through Commercial Proxy Infrastructure

https://www.greynoise.io/blog/active-reconnaissance-campaign-targets-sonicwall-firewalls-through-commercial-proxy-infrastructure

Report completeness: Low

Threats:
Fog_ransomware
Akira_ransomware
Residential_proxy_technique
Ipidea

Victims:
Sonicwall ssl vpn users, Vpn infrastructure operators, Organizations using sonicwall firewalls

Geo:
Germany, Seychelles, Canadian, Netherlands

CVEs:
CVE-2019-7481 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sma_100_firmware (<9.0.0.4)

CVE-2021-20028 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sma_210_firmware (<9.0.0.10-28sv)

CVE-2022-22274 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (le7.0.1-5050)

CVE-2023-0656 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (le7.0.1-5111)

CVE-2024-40766 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (<5.9.2.14-13o)

CVE-2024-53704 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (le7.1.1-7058, 7.1.2-7019)

CVE-2024-38475 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apache http_server (<2.4.60)


ChatGPT TTPs:
do not use without manual check
T1036, T1046, T1090, T1110.001, T1583.003, T1595

IOCs:
IP: 7
Domain: 1

Soft:
Slack, SonicOS, Chrome, Linux

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавняя активность указывает на проведение кампании разведка, нацеленной на инфраструктуру SonicWall SonicOS посредством обширного сканирования, с 84 142 сеансами, исходящими с 4 305 уникальных IP-адресов, нацеленных в первую очередь на одну конечную точку SSL VPN API, имеющую решающее значение для атак на учетные данные. Злоумышленники использовали коммерческие прокси-сервисы для маскировки своей активности, при этом кластеры также проверяли устройства Cisco ASA. Известные уязвимости, в том числе пять уязвимостей SonicWall CVE в списке известных эксплуатируемых уязвимостей CISA, повышают риск эксплуатации, особенно для организаций с открытыми учетные данные VPN.
-----

Недавняя активность, наблюдаемая GreyNoise, свидетельствует о значительной активной кампании разведка, нацеленной на инфраструктуру SonicWall SonicOS посредством обширных сеансов сканирования, в общей сложности 84 142 идентифицированных в период с 22 по 25 февраля 2026 года. Эта активность была прослежена до 4305 уникальных IP-адресов и включала 20 автономных систем, работающих скоординированным образом для перечисления конечных точек VPN. Примечательно, что 92% сеансов сканирования были сосредоточены на одной конечной точке API, предназначенной для проверки состояния конфигурации SSL VPN, что имеет решающее значение для последующих атак с использованием учетных данных.

Кампания использовала коммерческие прокси-сервисы, на долю которых пришлось 32% объема, используя 4102 сменяющихся выходных IP-адреса в течение двух основных пакетов за период кампании. Стратегическое использование этих прокси-серверов демонстрирует эволюцию техники кибератак, позволяющую злоумышленникам эффективно маскировать свои действия. Кроме того, кластеры вторичного сканирования, созданные в Нидерландах, также были нацелен как на устройства SonicWall, так и на устройства Cisco ASA, что указывает на более широкую инициативу, направленную на различные инфраструктуры VPN.

SSL VPN от SonicWall был признан основным средством доступа для атак программ-вымогателей, примером которых являются такие группы, как Akira и Fog, чья тактика обычно заключается в использовании компрометация учетные данные VPN для быстрого проникновения в сеть, что часто приводит к полному шифрованию менее чем за четыре часа. Исторические данные указывают на значительные вторжения, связанные с Akira, которая, как сообщается, сама по себе подвергла компрометация более 250 организаций, что подчеркивает настоятельную необходимость для пользователей SonicWall пересмотреть свои меры безопасности.

Особую озабоченность вызывают пять CVE SonicWall, имеющих отношение к наблюдаемой деятельности по разведка, которые включают уязвимости, занесенные в список известных эксплуатируемых уязвимостей CISA. Эти уязвимости могут послужить шлюзом для злоумышленников, если организации не предпримут упреждающих мер. Описанный здесь этап разведка имеет решающее значение, поскольку он служит предвестником потенциальной эксплуатации, и Microsoft призывает к немедленным действиям по блокировке IP-адресов, исправлению выявленных уязвимостей (в частности, CVE-2024-53704) и применению многофакторной аутентификации для усиления защиты от атак с использованием учетных данных.

Тактика разведка, продемонстрированная на протяжении всей этой кампании, указывает на четкую позицию перед эксплуатацией, а не на непосредственную угрозу эксплуатации. Поскольку 92% трафика направляется на единственную конечную точку, предназначенную для определения активности VPN, организации должны уделять первоочередное внимание защите своих интерфейсов управления, обеспечению ограничения доступа к SSL VPN и применению надежных мер против Подстановка украденных учетных данных, особенно по мере сокращения сроков от разведка до эксплуатации.

#ParsedReport #CompletenessHigh
27-02-2026

From Access to Encryption: Uncovering Qilin's Attack Lifecycle

https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_2_8_takahiro_takeda_en.pdf

Report completeness: High

Actors/Campaigns:
Spacebears
Scattered_lapsus_hunters (motivation: financially_motivated)
0ktapus
Shinyhunters

Threats:
Qilin_ransomware
Lynx
Safepay
Inc_ransomware
Clop
Ransomhub
Nightspire
Rhysida
Ransomhouse
Kawalocker
Gunra
Devman
Cicada_ransomware
Hunters_international
Fog_ransomware
Deadbolt
D4rk4rmy
Dharma
Cephalus
Cactus_ransomware
Eldorado_ransomware
Royal_ransomware
Blacknevas
Kerberoasting_technique
Mimikatz_tool
Nltest_tool
Shadow_copies_delete_technique
Netscan_tool
Credential_dumping_technique
Pingcastle_tool
Mimik_tool
Chromepass_tool
Netpass_tool
Passview_tool
Teamviewer_tool
Lsadump_tool
Screenconnect_tool
Hrsword_tool
Dark-kill_tool
Truesightkiller_tool
Edr-killer
Powertool_tool
Cobalt_strike_tool
Systembc
Sandbox_evasion_technique
Psexec_tool
Sharpdecryptpwd_tool

Victims:
Manufacturing, Professional scientific and technical services, Wholesale trade, Health care and social assistance, Construction, Finance and insurance, Retail trade, Real estate and rental and leasing, Public administration, Educational services, have more...

Industry:
Financial, Education, Transport, Semiconductor_industry, Retail, Entertainment, Healthcare, Chemical, E-commerce, Foodtech

Geo:
Japan

TTPs:
Tactics: 10
Technics: 2

IOCs:
File: 29
Command: 22
Registry: 7
Coin: 1
Path: 7
IP: 1

Soft:
Telegram, SoftPerfect Network Scanner, Active Directory, AzureAD, PostgreSQL, WinSCP, Navicat, Foxmail, RDCMan, chrome, have more...

Wallets:
onekey

Algorithms:
zip, aes-ctr, base64, rc4

Functions:
Get-WinEvent, Get-Unique, Write-Host, Get-Datacenter, Get-Cluster, Set-Cluster, Get-VMHost

Win API:
ZwTerminateProcess, CryptAcquireContextA, CryptGenRandom, VirtualAlloc, VirtualProtect, CreateThreadpoolWait, SetThreadpoolWait, WaitForSingleObject, CreateEventA

Languages:
swift, powershell

Platforms:
amd64, x64, x86

YARA: Found
SIGMA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа программ-вымогателей Qilin повысила изощренность своих атак, особенно в Японии, применяя тактику, включающую использование учетные данные VPN для компрометация для первоначальный доступ, что позволяет проводить разведка и перемещение внутри компании путем сброса credential Dumping и повышение привилегий. Методы Xploit включают вредоносные команды, изменения реестра и отключение механизмов восстановления, таких как журналы событий Windows. Их деятельность включает в себя обширную эксфильтрация данных и потенциальное сотрудничество с финансово мотивированными бандами, что свидетельствует о меняющемся ландшафте угроз для будущих операций.
-----

Группа вымогателей Qilin была связана с 22 случаями вымогательства, что составляет 16,4% инцидентов в Японии. Первоначальный доступ часто достигается с помощью компрометация учетные данные VPN с форумов Dark Web. Qilin actors получают административный доступ, позволяющий проводить разведка, включая RDP-соединения и использование таких инструментов, как Mimikatz и PowerShell. Методы разведка включают в себя такие команды, как "nltest", "пользователь сети" и "учетные записи сети" для выявления важных целей. Они выполняют credential dumping с помощью Active Directory и повышают привилегии с помощью аутентификации NTLM. Qilin модифицирует брандмауэры для удаленного доступа и использует инструменты удаленного управления.

Вредоносное ПО удаляет журналы событий Windows и моментальные снимки службы Shadow Copy томов, чтобы препятствовать восстановлению. Он использует специальные конфигурации для шифрования файлов, использует обход символических ссылок и занесение определенных процессов в черный список. Эксфильтрация данных нацелена на финансовые данные, личную информацию и служебные документы. Сообщается, что Qilin сотрудничает с финансово мотивированными группами, такими как Scattered Spider и Lapsus$. Эффективная защита включает в себя агрессивные конфигурации EDR, оперативное реагирование на инциденты и строгие ограничения безопасности. Улучшенное ведение журнала и мониторинг имеют решающее значение для криминалистический анализ и выявления нарушений. Среднее время выполнения Qilin's после первоначальной компрометация составляет приблизительно 6,1 дня, при этом ожидается, что их операции будут развиваться и автоматизируют процессы, если не будут приняты контрмеры.

#ParsedReport #CompletenessLow
01-03-2026

The Ghost in the Resolver: Abusing Windows nslookup for Clickfix Payloads

https://medium.com/@Mr.AnyThink/the-ghost-in-the-resolver-abusing-windows-nslookup-for-clickfix-payloads-d8e78c8468b3?source=rss-b61b59bd2c7c------2

Report completeness: Low

Threats:
Clickfix_technique

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1041, T1059.001, T1071.004, T1105, T1204, T1562.001

IOCs:
Command: 1
File: 1

Soft:
Ubuntu, sudo, Linux, Windows Event Viewer, Windows DNS

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Метод атаки "Clickfix" использует утилиту Windows nslookup и записи DNS для скрытой доставки полезной нагрузки вредоносное ПО, в частности команд PowerShell, замаскированных в записях CNAME и A. Манипулируя DNS-запросами, злоумышленники обходят традиционные средства контроля безопасности, используя социальную инженерию, чтобы обманом заставить пользователей выполнять вредоносные инструкции. Смоделированная среда выявила пробелы в регистрации Sysmon, поскольку nslookup может не генерировать ожидаемые журналы событий DNS, что усложняет криминалистический анализ.
-----

Появляющийся метод атаки "Clickfix" использует утилиту Windows nslookup для скрытой доставки полезной нагрузки вредоносное ПО путем манипулирования записями DNS, в частности записями CNAME и A. Злоумышленники используют систему доменных имен (DNS), протокол, который часто игнорируется брандмауэрами, для преобразования стандартных запросов в векторы для доставки команд. Вместо простого преобразования имен хостов в IP-адреса ответы DNS могут передавать сложные полезные данные PowerShell, замаскированные в тексте ответа, эффективно обходя традиционные средства контроля безопасности.

В смоделированной среде AWS этот метод был протестирован с использованием Scapy для наблюдения за переходом от простых запросов к записи A к более сложным записям CNAME, которые максимально увеличивают потенциал обнаружения в журналах криминалистический анализ, в частности, Sysmon Event ID 22. Стратегия переосмысливает социальную инженерию, переходя от типичных вложений электронной почты к интерактивному "ремонту", имитирующему ошибки браузера. Этот метод побуждает пользователей следовать инструкциям по "исправлению" вредоносных программ, используя надежные системные двоичные файлы.

Моделирование включало в себя создание поддельного DNS-сервер, способного доставлять эти вредоносные полезные данные. Было необходимо скорректировать конфигурации DNS, особенно на компьютерах с Windows, где поведение по умолчанию может усложнить тестирование. Например, использование порта 5353 часто помогало обходить конфликты в Linux, но Windows требовала более прямого подхода с использованием порта 53 для эффективного манипулирования записями. Важнейшим нововведением здесь является запись CNAME, которая позволяет беспрепятственно передавать строки, содержащие команды PowerShell.

Во время выполнения DNS-запрос, направленный на этот вредоносный сервер, привел к доставке полезной нагрузки в целевую систему. Моделирование выявило потенциальные артефакты криминалистический анализ, возникающие в результате такой активности, при этом Sysmon регистрировал DNS-запросы, раскрывающие команды PowerShell. Однако был отмечен пробел в обнаружении; поскольку nslookup не всегда использует API DNS-клиента Windows, используемый Sysmon, он может не запускать ожидаемые журналы событий DNS, вместо этого отображаясь в различных событиях создания процесса.

В конечном счете, механизм Clickfix является примером значительного технического использования надежных системных инструментов благодаря продуманной технологии, сочетающей социальную инженерию с глубоким пониманием функциональных возможностей DNS, что создает проблемы как для механизмов обнаружения, так и для предотвращения в области Кибербезопасность.

#ParsedReport #CompletenessLow
27-02-2026

A deep-dive into RapperBot C2 operation and DDoS attacks

https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_2_5_hideyuki-furukawa_en.pdf

Report completeness: Low

Actors/Campaigns:
Ddos-for-hire

Threats:
Rapperbot
Mirai
Udpflood_technique
Synflood_technique
Ackflood_technique
Tcpflood_technique
Tcpstomp_technique
Httpflood_technique

Victims:
Twitter inc, Gaming servers, Internet service providers, Social networking services

Industry:
Entertainment, Government, Iot

Geo:
Taiwan, Brazil, Pacific, Ireland, Turkey, Chinese, Russia, Japan, China, Hong kong, Netherlands, Germany

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1021.001, T1021.004, T1046, T1071, T1071.001, T1090, T1105, T1110, T1190, T1498, have more...

IOCs:
IP: 3
File: 16

Soft:
Twitter

Crypto:
monero

Algorithms:
xor, chacha20, sha256

Languages:
python

Platforms:
arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
RapperBot, вариант ботнет Mirai, был вовлечен в масштабные DDoS-атаки с использованием компрометация IoT-устройств на базе Linux, в частности видеорегистраторов, и, по прогнозам, к 2025 году число зараженных устройств вырастет примерно до 60 000. Ботнет использует различные методы распространения, такие как сканирование по SSH и Telnet, и выполняет несколько типов DDoS-атак, включая TCP, UDP и наводнения на прикладном уровне. После ареста его оператора Итана Дж. Фольца его операции по управление были прекращены, что означало потенциальный конец его деятельности на фоне существенной угрозы, которую он представлял во всем мире.
-----

RapperBot, один из вариантов ботнет Mirai, был вовлечен в серию распределенных атак типа "отказ в обслуживании" (DDoS) с использованием сети, состоящей в основном из компрометация IoT-устройств на базе Linux, в частности видеорегистраторов. Ботнет использует несколько методов распространения, включая сканирование по SSH, сканирование по Telnet, сканирование по HTTP и подход, обозначенный как "без сканирования". Прогноз по зараженным устройствам указывает на значительный рост, оцениваемый примерно в 60 000 устройств к 2025 году. Предполагаемый оператор, Итан Дж. Фольц, был арестован 6 августа 2025 года, что привело к захвату его серверов управление (C2).

Анализ показывает корреляцию между временем выполнения команд RapperBot и наблюдаемыми перебоями в обслуживании, особенно оказывающими воздействие на крупные организации, такие как Twitter Inc. Эта корреляция подчеркивает настоятельную необходимость анализа работы таких крупномасштабных ботнет-сетей для лучшей осведомленности об угрозах. Детальное изучение командной инфраструктуры RapperBot's C2 позволяет выявить различные операционные команды, такие как использование устройства и инициирование атаки.

Ключевые функциональные возможности RapperBot включают механизмы идентификации устройств, управления выполнением команд и проведения DDoS-атак по целому ряду протоколов. Возможности атак включают UDP floods, SYN floods, TCP floods и атаки прикладного уровня, такие как HTTP floods. Ботнет использует такую тактику, как отправка поддельных пакетов с поддельными IP-адресами источника и сбор информации об устройстве жертвы, которая передается обратно на серверы C2.

Ландшафт DDoS-атак, представленный RapperBot, обширен: в отчетах указывается, что с апреля по начало августа 2025 года было совершено более 370 000 атак, нацеленных на широкий круг жертв в нескольких странах, включая Китай, Японию и Соединенные Штаты. Структура команд для DDoS-атаки детализирует различные параметры полезной нагрузки и векторы атак, оптимизированные для скорости и эффективности, демонстрируя как интегрированные, так и новые возможности с течением времени.

Поразительной эксплуатационной характеристикой является то, что ботнет меняет свои серверы C2, если в течение определенного периода времени не поступают команды, что повышает его устойчивость к обнаружению и нарушению работы. Последняя зарегистрированная активность указывает на то, что связь с ботнет C2 прекратилась вскоре после ареста Фольца, что, возможно, ознаменовало окончание операций RapperBot's. Этот инцидент высвечивает текущие проблемы в борьбе с угрозами DDoS, исходящими от сложных инфраструктур ботнет, которые используют большие сети устройств компрометация.

#ParsedReport #CompletenessHigh
27-02-2026

Unmasking the CoGUI Phishing Kit, the Major Chinese Phishing-as-a-Service Targeting Japan

https://jsac.jpcert.or.jp/archive/2026/pdf/JSAC2026_2_2_%20shadow_liu-lime_chen-albert_song_en.pdf

Report completeness: High

Threats:
Cogui
Fishingmaster_tool
Cloaking_technique
Lighthouse_tool
Haozi_tool
Pheonix
Panda_shop_tool
Lucid_tool

Victims:
Financial services, Securities firms, Japanese organizations

Industry:
Aerospace, Petroleum, Financial

Geo:
Italia, Niger, China, Tokyo, America, American, New york, Chinese, Mali, Japan, Japanese, Asia

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1102, T1204.001, T1566, T1583.001, T1583.003, T1584.005, T1585.001, T1587.001, have more...

IOCs:
Domain: 3
File: 23
IP: 6
Hash: 2

Soft:
Telegram, curl, Ubuntu, Ubuntu Sudo, sudo, Android

Wallets:
coinbase

Algorithms:
aes-128-cbc, des, aes, base64

Functions:
createOrGetUserInfo, getState, Zr, 4, m4, up, w3, f299, f365, f307, have more...

Languages:
javascript

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Набор для фишинг-атак CoGUI стал заметной угрозой в Японии, используя модель "Фишинг как услуга" для проведения масштабных кампаний фишинг-рассылки с использованием сложной инфраструктуры, доступной для филиалов с низкой квалификацией. Он отличается упрощенным развертыванием через Docker и использует кастомные JavaScript-логики, чтобы избежать обнаружения. Несмотря на юридические проблемы и закрытие своих первоначальных платформ, адаптированные сообществом приложения, такие как "Shadow Garden", продолжают увековечивать угрозы фишинг, поддерживая эффективную тактику и адаптируясь к мерам по борьбе с фишинг.
-----

Набор для фишинг-анализа CoGUI недавно стал важным злоумышленник в экосистеме фишинг-анализа, особенно нацеленный на Японию. Первоначально выявленный в мае 2025 года, CoGUI участвовал в масштабных кампаниях по фишинг-рассылке миллионов сообщений, адресованных японским пользователям. Этот набор является примером модели "фишинг как услуга" (PhaaS), которая предоставляет филиалам с низкой квалификацией доступ к сложной инфраструктуре фишинг-мониторинга, снижая барьеры для проникновения киберпреступников.

Набор CoGUI и связанные с ним кампании включают в себя такие функции, как простые HTML-шаблоны с созданием контента из одного файла CSS и JavaScript с использованием Vue.js . Оперативная настройка этих фишинг-сайтов предполагает развертывание в один клик на основе Docker, что позволяет быстро и масштабируемо осуществлять фишинг-атаки. Каждый набор для фишинг-атак включает в себя отдельные файлы JavaScript, защищающие логику от обнаружения даже в тех случаях, когда автоматические сканеры могут не получить доступ к живым страницам.

Кроме того, административные панели, связанные с PhaaS-сервисом FishingMaster, были активны с середины 2024 года, достигнув пика в начале 2025 года, когда во время кампаний фишинг одновременно работало около 500 панелей. Изначально FishingMaster активно продвигался в сетях Телеграм, утверждая, что он предоставляет наборы для фишинг-атак для более чем 40 японских сервисов. Однако после судебных исков и публичного разоблачения, включая судебный иск Google в ноябре 2025 года против Lighthouse PhaaS, сервер лицензий и каналы связи FishingMaster были внезапно отключены.

Несмотря на закрытие, полезность наборов FishingMaster продолжалась благодаря тиражированию сообществом, а пиратская версия под названием "Shadow Garden" стала доступна в подпольных кругах. Устойчивость этих наборов указывает на то, что они по-прежнему считаются эффективными, подчеркивая потенциал сохраняющихся угроз фишинг, несмотря на неудачи их первоначальных разработчиков.

Оперативная тактика этих актор-фишинг-агентов свидетельствует о глубоком понимании ландшафта их целей. Они стратегически минимизируют риски, избегая дорогостоящих объектов, таких как компании, занимающиеся ценными бумагами, сохраняя при этом акцент на областях с низким уровнем риска. Постоянная корректировка шаблонов для фишинг-атак в ответ на изменения в области борьбы с фишинг-атаками отражает высокий уровень ситуационной осведомленности этих злоумышленник. Некоторые наборы для фишинг-атак даже используют механизмы cloaking, чтобы скрыть свои истинные намерения, что еще больше усложняет усилия по обнаружению.

#ParsedReport #CompletenessMedium
23-02-2026

Malicious OpenClaw Skills Used to Distribute Atomic macOS Stealer

https://www.trendmicro.com/en_us/research/26/b/openclaw-skills-used-to-distribute-atomic-macos-stealer.html

Report completeness: Medium

Actors/Campaigns:
Clawhavoc

Threats:
Amos_stealer
Supply_chain_technique
Clickfix_technique

Victims:
Apple users, Macos users, Ai agent platforms users

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1041, T1056.002, T1059, T1082, T1083, T1105, T1199, T1204, have more...

IOCs:
File: 3
Url: 3
Domain: 1

Soft:
OpenClaw, macOS, ClawHub, KeePass, Telegram, Claude, curl, Discord, Ledger Live

Wallets:
trezor, metamask, tron, exodus_wallet, coin98, mytonwallet, guarda_wallet, martian_wallet, cyano, jaxx, have more...

Crypto:
ethereum, solana

Algorithms:
zip, base64, xor

Platforms:
apple, intel

#ParsedReport #ExtractedSchema

Classified images:
windows: 12, code: 2, table: 1, schema: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Atomic macOS Stealer (AMOS) развивает свои методы распространения, внедряя вредоносное ПО в платформы, управляемые искусственным интеллектом, такие как OpenClaw, используя обманчивые SKILL.md файлы, чтобы обманом заставить пользователей установить их. Этот вариант нацелен на устройства Apple, удаляя конфиденциальные данные, такие как учетные данные и пользовательские документы, избегая при этом файлов .env, чтобы избежать обнаружения. AMOS функционирует как вредоносное ПО как услуга (MaaS) и использует методы, которые используют supply Chains, что еще больше усложняет обнаружение за счет стратегического манипулирования как поведением пользователей, так и базовыми архитектурами.
-----

Atomic macOS Stealer (AMOS) усовершенствовал свои методы распространения, используя рабочие процессы искусственного интеллекта и вводящие в заблуждение SKILL.md файлы загружаются на такие платформы, как ClawHub и SkillsMP. Это вредоносное ПО обманом заставляет пользователей устанавливать его, Маскировка под законные приложения и запрос на ввод пароля. Вариант AMOS использует supply Chains, внедряя вредоносное ПО в доброкачественные навыки OpenClaw, и фокусируется на извлечении конфиденциальных данных, таких как Связка ключей Apple и KeePass, пользовательских документов и сообщений из приложений, таких как Телеграм. Он работает как вредоносное ПО как услуга (MaaS), используя универсальный двоичный формат, совместимый как с кремниевыми архитектурами Intel, так и Apple. После установки AMOS собирает имена пользователей, пароли и системную информацию, отправляя данные на сервер управление (C&C). Вредоносное ПО позволяет избежать эксфильтрации env-файлов, которые обычно содержат API-ключи. Первоначальный доступ основан на введении пользователей в заблуждение, что позволяет избежать обнаружения такими инструментами, как VirusTotal. AMOS использует специальные методы подписи кода и может быть помечен сложными возможностями обнаружения искусственного интеллекта во время установки. Операторы также могут устанавливать бэкдорные версии криптовалютных кошельков, что указывает на акцент на нарушениях финансовой безопасности. Меняющийся ландшафт распространения вредоносное ПО усложняет усилия по обнаружению и реагированию, подчеркивая необходимость в проактивных стратегиях мониторинга и защиты.