#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В марте 2026 года злоумышленник из Китая, потенциально связанный с Mustang Panda, провел киберкампанию, нацеленную на Персидский залив, используя социальную инженерию с вводящим в заблуждение документом на арабском языке. Атака использовала многоступенчатый подход, инициируясь с помощью ZIP-файла, содержащего вредоносный ярлык Windows, который загружал скомпилированный HTML-файл справки с запутыванием, развертывая бэкдор PlugX, оснащенный передовыми методами обфускации для скрытности и закрепления. Вредоносное ПО позволяло проводить обширную разведку и коммуникацию, используя при этом такие методы, как DLL sideloading и DNS-over-HTTPS для операций управления.
-----

В начале марта 2026 года злоумышленник, связанный с Китаем, потенциально связанный с Mustang Panda, запустил киберкампанию, нацеленную на страны региона Персидского залива в условиях эскалации конфликта на Ближнем Востоке. Кампания использовала сложную тактику социальной инженерии, используя документ на арабском языке, в котором ложно изображались ракетные удары, чтобы заманить жертв к запуску вредоносного ПО.

Атака осуществлялась по многоэтапному принципу, начиная с ZIP-архива, содержащего файл ярлыка Windows (LNK), который при выполнении инициировал загрузку вредоносного скомпилированного файла HTML-справки (CHM) с сервера компрометации. Этот CHM-файл содержал запутанный шелл-код, который привел к развертыванию бэкдора PlugX, демонстрирующего передовые методы запутывания, включая сглаживание потока управления (CFF) и смешанную булеву арифметику (MBA).

Во время первого этапа атаки пользователи взаимодействовали с вредоносным файлом LNK с именем "photo_2026-03-01_01-20-48 .pdf.lnk", который выполнил команду cURL для извлечения файла CHM. Этот файл, в свою очередь, содержал множество компонентов, включая поддельный PDF-файл, предназначенный для имитации законных сообщений. На втором этапе был обнаружен вредоносный загрузчик ShellFolderDepend.библиотека dll, вводимая через DLL sideloading, что указывает на сосредоточенность на поддержании закрепления в зараженных системах.

Шелл-код был тщательно разработан, чтобы скрыть его операции. Он использовал расшифровку во время выполнения с помощью пользовательского алгоритма XOR и установил закрепление путем создания записей реестра, чтобы гарантировать повторное появление вредоносного ПО при загрузке системы. Бэкдор PlugX не только укрепил свои каналы связи с использованием HTTPS, но и интегрировал возможность DNS-over-HTTPS (DOH) для повышения скрытности во время операций управления.

Анализ этого варианта PlugX выявил сложности, характерные для предыдущих атак, связанных с акторами China-nexus. Вредоносное ПО продемонстрировало широкое использование обфускации, что усложнило аналитикам процесс обратного проектирования. Бэкдор позволял проводить разведку, облегчая выполнение таких команд, как сбор системной информации, обновление конфигураций и прокси-связь между несколькими экземплярами PlugX.

#ParsedReport #CompletenessHigh
12-03-2026

Suspected China-Based Espionage Operation Against Military Targets in Southeast Asia

https://unit42.paloaltonetworks.com/espionage-campaign-against-military-targets/

Report completeness: High

Actors/Campaigns:
Cl-sta-1087 (motivation: cyber_espionage)

Threats:
Applechris
Memfun
Getpass_tool
Mimikatz_tool
Dll_hijacking_technique
Shadow_copies_delete_technique
Dead_drop_technique
Tunneler
Timestomp_technique
Process_hollowing_technique
Credential_harvesting_technique

Victims:
Military organizations, Military infrastructure

Industry:
Military

Geo:
China, Asian, Asia, Chinese

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1003.001, T1005, T1021.002, T1027, T1036, T1036.005, T1041, T1047, T1055.012, T1057, have more...

IOCs:
IP: 9
File: 8
Hash: 7

Soft:
Dropbox, Windows authentication

Algorithms:
aes, rsa-1024, sha256, xor

Win API:
SeDebugPrivilege

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Шпионская операция CL-STA-1087 нацелена на военные организации в Юго-Восточной Азии, атрибутируемые с 2020 года китайским акторам, спонсируемым государством. В нем используется сложное вредоносное ПО, включая универсальный бэкдор AppleChris с несколькими вариантами скрытного выполнения команд и сбора учетных записей через Getpass, а также бэкдор MemFun, работающий только с памятью, использующий process Hollowing. Инфраструктура операции допускает разделение на части и согласована с графиком работы злоумышленников, что указывает на преднамеренную тактику шпионажа.
-----

Подозреваемая шпионская операция, получившая обозначение CL-STA-1087, была идентифицирована как нацеленная на военные организации в Юго-Восточной Азии, вероятно, проводимая спонсируемыми государством акторами из Китая. Эта кампания продолжается по меньшей мере с 2020 года и характеризуется высоконаправленным подходом, направленным на сбор конкретной военной разведывательной информации, а не на массовую кражу данных. Основные инструменты, используемые в этой операции, включают бэкдоры AppleChris и MemFun, а также средство сбора учетных данных, известное как Getpass.

Операционная методология CL-STA-1087 раскрывает сложную стратегию, включающую долгосрочное закрепление и изощренное поведение вредоносного ПО. Изначально бездействующая точка доступа позволяла злоумышленникам выполнять вредоносные скрипты PowerShell, которые устанавливали обратные оболочки для серверов command and control (C2). Разместившись на неуправляемой конечной точке, они расширили свое присутствие по всей сети, используя Инструментарий управления Windows(WMI) и команды .NET, внедряя варианты вредоносного ПО, сохраняя при этом стабильность работы.

Бэкдор AppleChris демонстрирует значительную универсальность благодаря множеству вариантов, таких как Dropbox и Tunneler. В каждом варианте используются различные методы Закладки с данными (DDR) для доступа к IP-адресам сервера C2 через общую учетную запись Pastebin, что позволяет злоумышленникам обойти традиционные методы обнаружения. Вредоносное ПО AppleChris может выполнять различные команды, связанные с управлением системой, эксфильтрацией файлов и сетевым туннелированием, и все это при использовании скрытых методов, таких как DLL hijacking и модуляция процессов. Тактика уклонения, включая таймеры ожидания, используется для того, чтобы избежать обнаружения системами безопасности, гарантируя, что вредоносное ПО остается необнаруженным в течение длительного времени.

Параллельно MemFun действует как модульный бэкдор, который работает полностью в памяти, используя process hollowing для внедрения вредоносного кода в законные процессы, не оставляя следов на диске. Этот метод расширяет возможности скрытности и облегчает динамическую связь с серверами C2 с помощью пользовательских HTTP-запросов и механизмов шифрования, зависящих от сеанса.

Кроме того, инструмент Getpass функционирует как адаптированная версия Mimikatz, предназначенная для скрытого сбора учетных записей. Используя тактику защиты от криминалистического анализа, такую как timestomping и повышение привилегий, он нацелен на процессы проверки подлинности Windows для извлечения конфиденциальных данных непосредственно из памяти, сохраняя их в файл, который выглядит как законная системная база данных.

Злоумышленники поддерживают сложную инфраструктуру, включающую несколько IP-адресов C2 через Облачные сервисы, чтобы обеспечить разделение операций и устойчивость к обнаружению. Кампания демонстрирует четкую временную схему активности, согласованную с рабочим временем в таких регионах, как Китай, что указывает на методичный подход к шпионажу.

#ParsedReport #CompletenessMedium
13-03-2026

Dark Web Profile: Handala Hack

https://socradar.io/blog/dark-web-profile-handala-hack/

Report completeness: Medium

Actors/Campaigns:
Handala-hacking-team (motivation: propaganda, hacktivism)
Void_manticore
Cyberav3nger
Scarred_manticore
Oilrig

Threats:
Karma
Lolbin_technique
Process_hollowing_technique
Byovd_technique
Bibi-wiper
Handala_wiper
Hatef
Hamsa
Elrawdisk_driver_tool
Coolwipe
Chillwipe
Spear-phishing_technique

Victims:
Technology sector, Information technology sector, Government and defense sector, Critical infrastructure, Energy sector, Education sector, Financial sector, Medical devices sector, Payment processing sector, Israeli organizations, have more...

Industry:
Critical_infrastructure, Petroleum, Financial, Healthcare, Government, Aerospace, Energy, Education

Geo:
Iran, Iranian, Albania, United kingdom, Jordan, Israel, Palestinian, Israeli, Riyadh

CVEs:
CVE-2019-0604 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft sharepoint_enterprise_server (2016)
- microsoft sharepoint_foundation (2013)
- microsoft sharepoint_server (2010, 2019)


TTPs:
Tactics: 9
Technics: 22

IOCs:
File: 2

Soft:
Telegram, Microsoft SharePoint, NSIS installer, Twitter, Linux, AutoHotKey

Languages:
autoit, powershell

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Handala Hack идентифицируется как преступная хакерская группировка, связанная с Министерством разведки Ирана, которая появилась в декабре 2023 года и нацелена на израильские и западные организации, в частности американские корпорации. Они используют агрессивную тактику, такую как пользовательское вредоносное ПО wiper, примером чего является их операция Epic Fury, в результате которой было уничтожено более 200 000 устройств Stryker Corporation. Используя уязвимости, подобные CVE-2019-0604, с помощью Целевого фишинга, Handala использует сложную социальную инженерию и многоэтапное выполнение, чтобы нанести широкомасштабный ущерб, и собирает разведданные перед выполнением разрушительной полезной нагрузки.
-----

Handala Hack - преступная хакерская группировка, связанная с Министерством разведки и безопасности Ирана (MOIS), действующая с декабря 2023 года. Группировка нацелена на израильские и западные организации, уделяя повышенное внимание американским корпорациям после нападения ХАМАСА 7 октября 2023 года. Его операции включают в себя развертывание пользовательского вредоносного ПО wiper, которое наносит значительный ущерб гражданской инфраструктуре, примером чего является операция Epic Fury в марте 2026 года, в результате которой пострадало более 200 000 устройств Stryker Corporation. Исследования связывают Handala с иранскими кибер-подразделениями и сотрудничеством с такими группами, как Scarred Manticore и Void Manticore. Группа использует уязвимости, такие как CVE-2019-0604, с помощью кампаний Целевого фишинга для получения первоначального доступа с последующим сбором разведывательной информации и выполнением деструктивных полезных нагрузок. С начала 2024 по начало 2025 года Handala заявила по меньшей мере о 85 атаках, сосредоточив внимание на технологиях, обороне и критически важных секторах инфраструктуры. Методы атаки включают социальную инженерию, деструктивное вредоносное ПО, такое как BiBi Wiper и Hamsa, а также многоэтапные процессы выполнения с использованием законных инструментов Windows и запутанных скриптов. Рекомендуемые защитные меры включают устойчивую к фишингу Многофакторную аутентификацию, обучение персонала распознаванию фишинга, мониторинг сети на предмет необычных действий и расширенную защиту конечных точек для противодействия деструктивному вредоносному ПО.

#ParsedReport #CompletenessLow
13-03-2026

Investigations into the MIMICRAT ClickFix campaign

https://www.stormshield.com/news/investigations-into-the-mimicrat-clickfix-campaign/

Report completeness: Low

Threats:
Mimicrat
Clickfix_technique

Victims:
Multiple sectors

ChatGPT TTPs:
do not use without manual check
T1059.001, T1105

IOCs:
Hash: 35
IP: 8
Domain: 145
File: 1
Path: 1

Algorithms:
sha256, zip

Languages:
lua, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix использует метод самоэксплуатации для распространения Троянской программы удаленного доступа MIMICRAT (RAT) через законные веб-сайты, подвергшиеся компрометации, побуждая жертв выполнять команды со своих устройств. Ключевые показатели компрометации (IOCs) включают хэши SHA-256 для различных компонентов вредоносного ПО, при этом доставка, командование и контроль осуществляются через сеть определенных IP-адресов, связанных с неправильно сконфигурированными доменами. Примечательно, что был идентифицирован сервер C2 с IP-адресом 23.227.202.114, что раскрывает дополнительный потенциал отслеживания сообщений после заражения.
-----

Кампания ClickFix, расследуемая Elastic Security Labs, использует метод самоэксплуатации для распространения Троянской программы удаленного доступа MIMICRAT (RAT) через законные веб-сайты, подвергшиеся компрометации. Этот метод основан на побуждении жертв выполнять команды со своих собственных устройств, что облегчает атаку, не требуя прямых манипуляций со стороны злоумышленников.

Ключевые показатели компрометации (IOCs), связанные с MIMICRAT, включают несколько хэшей SHA-256, идентифицирующих различные компоненты вредоносного ПО и способы его доставки. Хэш SHA-256 bcc7a0e53ebc62c77b7b6e3585166bfd7164f65a8115e7c8bda568279ab4f6f1 соответствует начальной полезной нагрузке PowerShell, в то время как 5e0a30d8d91d5fd46da73f3e6555936233d870ac789ca7dd64c9d3cc74719f51 относится к загрузчику Lua. Другой соответствующий хэш, a508d0bb583dc6e5f97b6094f8f910b5b6f2b9d5528c04e4dee62c343fce6f4b, отмечает маяк MIMICRAT. Кампания использует сеть IP-адресов для доставки полезной нагрузки и возможностей управления после эксплуатации (C2), которые были прослежены до таких доменов, как msservice.network и plugins-manager.network.

Примечательно, что инфраструктура выявила различные неправильно настроенные домены, в том числе один, предоставляющий сертификат, который был неправильно связан с предполагаемым веб-сайтом. Эта неправильная конфигурация была замечена на mispolishal.com , который неправильно выдал сертификат, предназначенный для avprog.cc . Примечательно, что папки в этих доменах содержали такие каталоги, как /cmd и /update, со сценариями, потенциально связанными с более широкой инициативой ClickFix. Сценарий PowerShell, идентифицированный в домене msservice.network, загружает файл MSI в каталог Windows ProgramData, хотя сам файл не был доступен для извлечения во время анализа.

Сервер C2, связанный с кампанией, идентифицированный как 23.227.202.114, отображает страницу с надписью "CryptoBet Arena". Это изменение домена выявило дополнительные потенциальные IOC, которые могли бы помочь в отслеживании сообщений C2 после заражения.

В ответ на полученные результаты рекомендуется уделять особое внимание осведомленности и практике в области Кибербезопасности. Проведение кампаний, ориентированных на методы фишинга, в частности ClickFix, наряду с внедрением мер сетевой безопасности, таких как сегментация, контроль доступа и регулярные обновления, имеет решающее значение для снижения рисков, связанных с этой и подобными угрозами.

#ParsedReport #CompletenessLow
13-03-2026

Fake Temu Coin airdrop uses ClickFix trick to install stealthy malware

https://www.malwarebytes.com/blog/threat-intel/2026/03/fake-temu-coin-airdrop-uses-clickfix-trick-to-install-stealthy-malware

Report completeness: Low

Threats:
Clickfix_technique
Coruna_tool

Victims:
Consumers, Cryptocurrency users

ChatGPT TTPs:
do not use without manual check
T1016, T1056.001, T1059.001, T1059.006, T1071.001, T1102, T1105, T1113, T1204.002, T1539, have more...

IOCs:
File: 1
Path: 1
Domain: 1

Soft:
Telegram, Android

Languages:
powershell, python

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix использует мошеннический криптовалютный airdrop для распространения скрытого вредоносного ПО, которое устанавливает постоянный бэкдор в зараженных системах. Вредоносное ПО, использующее встроенную среду выполнения Python, чтобы избежать обнаружения, собирает системную информацию и связывается с командным сервером для получения динамических инструкций, избегая традиционного обнаружения сигнатур файлов. Его ключевые возможности включают кражу конфиденциальных данных, регистрацию нажатий клавиш и создание скриншотов, в то время как его инфраструктура предполагает постоянный мониторинг жертв.
-----

Недавняя кампания ClickFix предполагает использование поддельной криптовалюты airdrop для скрытого распространения вредоносного ПО, которое создает постоянный бэкдор в зараженных системах. Атака начинается с мошеннического веб-сайта, рекламирующего бессмысленный airdrop в размере $TEMU, связанный с законной торговой платформой. Пользователей обманывают, заставляя выполнять вредоносные команды, предположительно связанные с проверками безопасности, что в конечном итоге инициирует установку вредоносного ПО.

Вредоносное ПО начинает свою цепочку заражения со сбора базовой системной информации и передачи ее на командный сервер. Затем этот сервер отвечает уникальной полезной нагрузкой, включающей идентификатор компьютера, что усложняет усилия по обнаружению за счет создания вариантов вредоносного ПО, которые не соответствуют типичным сигнатурам, хранящимся в антивирусных базах данных. Вместо использования обычного установленного приложения полезная нагрузка развертывается с помощью встроенной среды выполнения на Python, помеченной как pythonw.exe , который работает без видимой консоли, еще больше скрывая свое присутствие от пользователей и программного обеспечения безопасности.

Примечательно, что это вредоносное ПО не хранит свой скрипт локально на компьютере, вместо этого динамически извлекая инструкции с командного сервера при каждой регистрации. Такое выполнение кода "в дикой природе" ограничивает механизмы обнаружения на основе сигнатур файлов и позволяет злоумышленникам изменять свою тактику или функции, не оставляя постоянного следа в файле. Учитывая распространенность Python в корпоративной среде, его деятельность может казаться законной, что требует мониторинга на основе поведения для эффективного обнаружения.

Возможности бэкдора включают в себя кражу конфиденциальных данных, таких как учетные данные браузера и сеансовые файлы cookie, а также ведение журнала нажатий клавиш и создание скриншотов. Кроме того, инфраструктура, позволяющая получать уведомления через Телеграм, указывает на постоянный мониторинг жертв, хотя флаг отладки указывает либо на этапы разработки, либо на осторожные методы эксплуатации.

Поскольку тактика ClickFix продолжает развиваться, эта конкретная кампания иллюстрирует смещение акцента с способа доставки вредоносного ПО на обеспечение того, чтобы не оставалось согласованных файлов для анализа. Такой адаптивный подход усложняет меры защиты и подчеркивает необходимость для пользователей проявлять осторожность при обработке онлайн-запросов, особенно тех, которые связаны с исполняемыми командами или сценариями. Рекомендации для пользователей включают ручную проверку инструкций, ограничение копирования-вставки из непроверенных источников и поддержание обновленных решений для защиты от вредоносного ПО для борьбы с такими все более изощренными киберугрозами.

#ParsedReport #CompletenessLow
13-03-2026

Watch out for fake Malwarebytes renewal notices in your calendar

https://www.malwarebytes.com/blog/threat-intel/2026/03/fake-malwarebytes-renewal-notices-in-your-calendar

Report completeness: Low

Threats:
Teamviewer_tool
Clickfix_technique
Coruna_tool

Victims:
Consumers

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1219, T1565.003, T1566.003, T1566.004, T1589

Soft:
Outlook, Gmail, Android, Chrome

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Новая мошенническая кампания использует поддельные приглашения в календарь, имитирующие Malwarebytes, чтобы обманом заставить пользователей обратиться в службу поддержки мошеннических платежей с целью сбора конфиденциальной личной и финансовой информации. Эта схема может включать в себя указание жертвам войти в свои учетные записи онлайн-банкинга по телефону или с помощью программного обеспечения удаленного доступа, что позволяет мошенникам манипулировать учетными записями и потенциально устанавливать вредоносное ПО. Использование срочных, незапрашиваемых уведомлений увеличивает вероятность того, что отдельные лица будут действовать без проверки, повышая риск кражи личных данных.
-----

Недавно появилась мошенническая кампания, в которой используются поддельные приглашения в календарь, выдающие себя за Malwarebytes, чтобы обманом заставить пользователей обратиться в службу поддержки мошеннических платежей. Эти приглашения, как правило, содержат непрофессиональный язык и форматирование, что служит явным признаком мошенничества. Цель состоит в сборе конфиденциальной личной и финансовой информации, включая данные платежной карты, банковские учетные данные и одноразовые коды доступа, которые затем могут быть использованы для кражи личных данных.

Мошенники могут привлекать жертв, прося их войти в свои учетные записи онлайн-банкинга по телефону или с помощью программного обеспечения удаленного доступа, такого как AnyDesk или TeamViewer. Эта тактика позволяет им манипулировать учетными записями, направлять средства по незаконным каналам и потенциально устанавливать вредоносное ПО на устройства жертв. Даже если физические лица не divulge банковские реквизиты, мошенничество все равно может привести к попыткам извлечения информации для будущих мошеннических действий, таких как открытие новых кредитных линий на имена жертв или захват счетов.

Мошенничество создает ощущение срочности, вынуждая людей действовать быстро и конфиденциально, тем самым сводя к минимуму вероятность того, что они проверят законность запроса через свой банк или обратившись в подлинную компанию. Суть мошенничества заключается в рассылке нежелательных событий календаря, которые внешне напоминают уведомления о законных транзакциях, таких как “Уведомление о продлении подписки” или “Платеж успешно обработан”..

#ParsedReport #CompletenessLow
14-03-2026

Promptmorphism: How LLMs Are Mass-Producing Disposable Stage 1 Loaders

https://www.gendigital.com/blog/insights/research/promptmorphism

Report completeness: Low

Threats:
Promptmorphism_technique
Polymorphism_technique
Wincir
Stealc

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.001, T1105, T1140, T1204, T1564, T1587.001, T1588.002, T1608.001

Algorithms:
aes, chacha20

Platforms:
x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Promptmorphism - это новый метод разработки вредоносного ПО, который использует большие языковые модели (LLM) для создания разнообразных загрузчиков этапа 1 путем реорганизации кода и изменения API, что усложняет усилия по обнаружению. Такой подход позволяет авторам вредоносного ПО генерировать множество уникальных вариантов загрузчика, которые остаются эффективными при доставке полезных нагрузок, таких как Wincir и Stealc, отходя от традиционных методов запутывания. Хотя это усложняет задачу обнаружения для защитников, оно по-прежнему опирается на идентифицируемые поведенческие паттерны, которые можно использовать для анализа безопасности.
-----

Promptmorphism появляется как новый подход, применяемый авторами вредоносного ПО, использующий большие языковые модели (LLM) для итеративного обновления и изменения формы загрузчиков этапа 1. Такая гибкая регенерация позволяет атакующим создавать множество различных вариаций исходного загрузчика, что значительно усложняет задачу обнаружения для защитников. В отличие от классического серверного polymorphism, который в первую очередь изменяет представление артефакта посредством упаковки или шифрования, promptmorphism фундаментально изменяет реализацию. Это достигается путем реорганизации структур кода, замены API-интерфейсов и переписывания вспомогательной логики при сохранении предполагаемого поведения вредоносного ПО.

Разработчики вредоносного ПО используют promptmorphism для создания “одноразовых” загрузчиков, которые служат просто оболочкой для более сложных полезных нагрузок. Типичный пример можно увидеть в экосистемах loader-as-a-service (LaaS), где общий загрузчик часто обновляется и перепрофилируется в рамках различных кампаний. Эта стратегия позволяет злоумышленникам размывать границы обнаружения, предоставляя слегка измененные варианты файлов, которые выполняют те же вредоносные задачи, такие как доставка вредоносного ПО, такого как Wincir и Stealc.

Внедрение promptmorphism знаменует собой значительный сдвиг в области разработки вредоносного ПО. Этот метод позволяет злоумышленникам отойти от традиционных методов мутации кода, основанных исключительно на запутывании, вместо этого используя возможности искусственного интеллекта для быстрого создания новых реализаций. Неотъемлемая природа LLM, которые выдают вероятностные выходные данные, допускает небольшие вариации за счет минимальных изменений в подсказках или выборке, создавая непрерывный приток различных вариантов загрузки.

Однако, несмотря на свои преимущества, promptmorphism создает определенные проблемы для злоумышленников. Хотя это увеличивает давление на защитников, вынуждающих их адаптировать свои стратегии обнаружения от традиционных методов, основанных на сигнатурах, к более широкому пониманию поведения кампании, это не делает обнаружение невозможным. Этот сдвиг требует, чтобы защитники сосредоточились на поведенческом анализе, выявлении закономерностей в процессах, выборе вариантов закрепления и последовательности выполнения, а также на сопоставлении инфраструктуры кампании и методов доставки.

В ответ на меняющийся ландшафт угроз, создаваемый promptmorphism, защитникам следует искать общие поведенческие привязки и контрольные точки, которые остаются неизменными на разных итерациях загрузки. Изучая эти устойчивые черты и общее поведение вредоносных кампаний, специалисты по безопасности могут усилить свои стратегии обнаружения и смягчения последствий от этой все более изощренной формы внедрения вредоносного ПО.

#ParsedReport #CompletenessLow
13-03-2026

73 Malicious Open VSX Extensions Linked to GlassWorm Campaign Now Using Transitive Dependencies

https://socket.dev/blog/open-vsx-transitive-glassworm-campaign

Report completeness: Low

Threats:
Glassworm
Typosquatting_technique

Victims:
Software developers, Developer workstations, Open vsx users

Geo:
Russian

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1071, T1102, T1105, T1195, T1199, T1204, T1583, T1584, have more...

IOCs:
IP: 3
File: 5

Soft:
VSCode, Outlook, Flutter, Claude, Node.js

Crypto:
solana

Algorithms:
rc4, base64, aes

Languages:
php, javascript, python