#ParsedReport #CompletenessLow
30-04-2026
Copy Fail: 732 Bytes to Root on Every Major Linux Distribution.
https://xint.io/blog/copy-fail-linux-distributions
Report completeness: Low
Threats:
Copyfail_vuln
Dirty_cow_vuln
Dirty_pipe_vuln
Victims:
Linux distributions, Kubernetes platforms, Cloud computing
CVEs:
CVE-2026-31431 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.254, <5.15.204, <6.1.170, <6.6.137, <6.12.85)
CVE-2022-0847 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.102, <5.15.25, <5.16.11)
CVE-2016-5195 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- canonical ubuntu_linux (12.04, 14.04, 16.04, 16.10)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1059.006, T1068, T1548.001, T1611
IOCs:
File: 5
Soft:
Linux, Ubuntu, Kubernetes, Android
Algorithms:
sha256, cbc, aes, hmac
Functions:
splice, read, mmap, execve, recvmsg, sg_chain, crypto_authenc_esn_decrypt, crypto_authenc_esn_decrypt_tail, sendmsg, recv, have more...
Languages:
python
Links:
have more...
30-04-2026
Copy Fail: 732 Bytes to Root on Every Major Linux Distribution.
https://xint.io/blog/copy-fail-linux-distributions
Report completeness: Low
Threats:
Copyfail_vuln
Dirty_cow_vuln
Dirty_pipe_vuln
Victims:
Linux distributions, Kubernetes platforms, Cloud computing
CVEs:
CVE-2026-31431 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.254, <5.15.204, <6.1.170, <6.6.137, <6.12.85)
CVE-2022-0847 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.102, <5.15.25, <5.16.11)
CVE-2016-5195 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- canonical ubuntu_linux (12.04, 14.04, 16.04, 16.10)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1059.006, T1068, T1548.001, T1611
IOCs:
File: 5
Soft:
Linux, Ubuntu, Kubernetes, Android
Algorithms:
sha256, cbc, aes, hmac
Functions:
splice, read, mmap, execve, recvmsg, sg_chain, crypto_authenc_esn_decrypt, crypto_authenc_esn_decrypt_tail, sendmsg, recv, have more...
Languages:
python
Links:
have more...
https://github.com/torvalds/linux/commit/104880a6b470https://github.com/torvalds/linux/commit/a5079d084f8bxint.io
Copy Fail: 732 Bytes to Root on Every Major Linux Distribution. - Xint
Xint Code disclosed CVE-2026-31431, an authencesn scratch-write bug chaining AF_ALG + splice() into a 4-byte page cache write. A 732-byte PoC gets root on Ubuntu, Amazon Linux, RHEL, SUSE. | AI for Security, Vulnerability Research
CTT Report Hub
#ParsedReport #CompletenessLow 30-04-2026 Copy Fail: 732 Bytes to Root on Every Major Linux Distribution. https://xint.io/blog/copy-fail-linux-distributions Report completeness: Low Threats: Copyfail_vuln Dirty_cow_vuln Dirty_pipe_vuln Victims: Linux…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2026-31431, известная как «Copy Fail», — это критическая уязвимость в ядре Linux, позволяющая не привилегированным локальным пользователям выполнять контролируемые 4-байтовые записи в кэш страниц читаемых файлов. Эксплойт использует интерфейс AF_ALG для манипуляции бинарными файлами, в частности /usr/bin/su, что может предоставить доступ к root при выполнении. Эта уязвимость также представляет риски для побега из контейнеров, особенно в многопользовательских облачных средах, таких как Kubernetes, что делает её особенно опасной для безопасности системы.
-----
CVE-2026-31431, идентифицированный как «Copy Fail», представляет собой критическую уязвимость логики в шаблоне аутентификационного шифрования ядра Linux, которая позволяет не привилегированному локальному пользователю выполнять контролируемую запись 4 байт в кэш страниц любого доступного для чтения файла. Эта уязвимость была раскрыта Xint Code и применима ко всем основным дистрибутивам Linux, включая Ubuntu, Amazon Linux, RHEL и SUSE. Эксплуатация может быть выполнена с помощью простого 732-байтового скрипта на Python, использующего функциональность стандартных библиотечных модулей, что делает его особенно примечательным благодаря своей простоте и переносимости.
Корень проблемы «Copy Fail» кроется в обработке криптографических операций и управлении кэшем страниц ядром Linux. В частности, эксплойт манипулирует интерфейсом AF_ALG, широко используемым для криптографии, чтобы выполнить детерминированную запись, изменяющую кэш страниц без условий гонки или ошибочных временных окон. Этот простой подход отличает его от предыдущих уязвимостей повышения привилегий, таких как «Dirty Cow» и «Dirty Pipe», которые требовали более сложных условий и зависели от конкретных версий.
Механизм эксплуатации включает целевую запись в кэш страниц бинарного файла с правами setuid, а именно /usr/bin/su, который присутствует в основных дистрибутивах начиная с 2017 года. Атака осуществляется путем формирования полезной нагрузки, которая отправляется частями через функции sendmsg() и splice(), при этом определенные параметры тщательно подбираются для обеспечения вставки полезной нагрузки в системные бинарные файлы. После внедрения полезной нагрузки выполнение измененного бинарного файла предоставляет доступ к root.
Кроме того, последствия данной уязвимости выходят за рамки простого повышения привилегий на локальном уровне; общая природа кэша страниц позволяет осуществить потенциальный побег из контейнера, что существенно затрагивает среды Kubernetes. Таким образом, уязвимость Copy Fail представляет собой значительный риск, особенно в многопользовательских облачных инфраструктурах, где компрометация одного контейнера может привести к более широкому доступу к системе.
Уязвимость была сообщена команде безопасности ядра Linux в марте 2026 года и оперативно подтверждена, при этом исправления были предложены и включены в основное ядро вскоре после этого, что продемонстрировало проактивный подход к снижению рисков. Публичное раскрытие информации состоялось 29 апреля 2026 года после установления эффективного графика устранения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2026-31431, известная как «Copy Fail», — это критическая уязвимость в ядре Linux, позволяющая не привилегированным локальным пользователям выполнять контролируемые 4-байтовые записи в кэш страниц читаемых файлов. Эксплойт использует интерфейс AF_ALG для манипуляции бинарными файлами, в частности /usr/bin/su, что может предоставить доступ к root при выполнении. Эта уязвимость также представляет риски для побега из контейнеров, особенно в многопользовательских облачных средах, таких как Kubernetes, что делает её особенно опасной для безопасности системы.
-----
CVE-2026-31431, идентифицированный как «Copy Fail», представляет собой критическую уязвимость логики в шаблоне аутентификационного шифрования ядра Linux, которая позволяет не привилегированному локальному пользователю выполнять контролируемую запись 4 байт в кэш страниц любого доступного для чтения файла. Эта уязвимость была раскрыта Xint Code и применима ко всем основным дистрибутивам Linux, включая Ubuntu, Amazon Linux, RHEL и SUSE. Эксплуатация может быть выполнена с помощью простого 732-байтового скрипта на Python, использующего функциональность стандартных библиотечных модулей, что делает его особенно примечательным благодаря своей простоте и переносимости.
Корень проблемы «Copy Fail» кроется в обработке криптографических операций и управлении кэшем страниц ядром Linux. В частности, эксплойт манипулирует интерфейсом AF_ALG, широко используемым для криптографии, чтобы выполнить детерминированную запись, изменяющую кэш страниц без условий гонки или ошибочных временных окон. Этот простой подход отличает его от предыдущих уязвимостей повышения привилегий, таких как «Dirty Cow» и «Dirty Pipe», которые требовали более сложных условий и зависели от конкретных версий.
Механизм эксплуатации включает целевую запись в кэш страниц бинарного файла с правами setuid, а именно /usr/bin/su, который присутствует в основных дистрибутивах начиная с 2017 года. Атака осуществляется путем формирования полезной нагрузки, которая отправляется частями через функции sendmsg() и splice(), при этом определенные параметры тщательно подбираются для обеспечения вставки полезной нагрузки в системные бинарные файлы. После внедрения полезной нагрузки выполнение измененного бинарного файла предоставляет доступ к root.
Кроме того, последствия данной уязвимости выходят за рамки простого повышения привилегий на локальном уровне; общая природа кэша страниц позволяет осуществить потенциальный побег из контейнера, что существенно затрагивает среды Kubernetes. Таким образом, уязвимость Copy Fail представляет собой значительный риск, особенно в многопользовательских облачных инфраструктурах, где компрометация одного контейнера может привести к более широкому доступу к системе.
Уязвимость была сообщена команде безопасности ядра Linux в марте 2026 года и оперативно подтверждена, при этом исправления были предложены и включены в основное ядро вскоре после этого, что продемонстрировало проактивный подход к снижению рисков. Публичное раскрытие информации состоялось 29 апреля 2026 года после установления эффективного графика устранения.
#ParsedReport #CompletenessHigh
30-04-2026
ClickFix Removes Your Background but Leaves the Malware
https://www.huntress.com/blog/clickfix-castleloader-backgroundfix
Report completeness: High
Threats:
Clickfix_technique
Backgroundfix
Castleloader
Castlestealer
Process_hollowing_technique
Netsupportmanager_rat
Sandbox_evasion_technique
Apc_injection_technique
Antidebugging_technique
Lumma_stealer
Stealc
Victims:
Individual users, Telegram users, Cryptocurrency wallet users
Industry:
Transport
Geo:
Russian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1005, T1027, T1027.007, T1033, T1036.003, T1036.008, T1041, T1047, T1053.005, T1055.004, have more...
IOCs:
File: 35
Email: 1
Domain: 12
Url: 6
Path: 2
Command: 13
IP: 1
Hash: 2
Soft:
Telegram, Linux, curl, winhttp, Windows Defender, VirtualBox, indexeddb, Firefox, Discord, chrome, have more...
Wallets:
metamask
Algorithms:
xor, aes, chacha20, base64, zip, aes-cbc, rc4, aes-128, aes-256, aes-256-cbc
Functions:
exec, Windows
Win API:
decompress, HeapCreate, HeapAlloc, RtlMoveMemory, VirtualProtect, GetDesktopWindow, GetLastError, GetPrivateProfileStringW, CreateFileW, ShellExecuteW, have more...
Win Services:
bits
Languages:
python, powershell
Links:
have more...
30-04-2026
ClickFix Removes Your Background but Leaves the Malware
https://www.huntress.com/blog/clickfix-castleloader-backgroundfix
Report completeness: High
Threats:
Clickfix_technique
Backgroundfix
Castleloader
Castlestealer
Process_hollowing_technique
Netsupportmanager_rat
Sandbox_evasion_technique
Apc_injection_technique
Antidebugging_technique
Lumma_stealer
Stealc
Victims:
Individual users, Telegram users, Cryptocurrency wallet users
Industry:
Transport
Geo:
Russian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1027, T1027.007, T1033, T1036.003, T1036.008, T1041, T1047, T1053.005, T1055.004, have more...
IOCs:
File: 35
Email: 1
Domain: 12
Url: 6
Path: 2
Command: 13
IP: 1
Hash: 2
Soft:
Telegram, Linux, curl, winhttp, Windows Defender, VirtualBox, indexeddb, Firefox, Discord, chrome, have more...
Wallets:
metamask
Algorithms:
xor, aes, chacha20, base64, zip, aes-cbc, rc4, aes-128, aes-256, aes-256-cbc
Functions:
exec, Windows
Win API:
decompress, HeapCreate, HeapAlloc, RtlMoveMemory, VirtualProtect, GetDesktopWindow, GetLastError, GetPrivateProfileStringW, CreateFileW, ShellExecuteW, have more...
Win Services:
bits
Languages:
python, powershell
Links:
https://gist.github.com/RussianPanda95/beefe07b6ead220de05fa63e2e5f556b#file-gistfile1-txthttps://github.comhave more...
https://gist.github.com/RussianPanda95/beefe07b6ead220de05fa63e2e5f556b/raw/9481136956fda26cad4a3b0fb56bf6321eac3976/gistfile1.txtHuntress
ClickFix Removes Your Background but Leaves the Malware | Huntress
Your background is gone, but malware is here. Huntress breaks down BackgroundFix, a new ClickFix social engineering tactic involving CastleLoader, NetSupport RAT, and CastleStealer. Read the analysis.
CTT Report Hub
#ParsedReport #CompletenessHigh 30-04-2026 ClickFix Removes Your Background but Leaves the Malware https://www.huntress.com/blog/clickfix-castleloader-backgroundfix Report completeness: High Threats: Clickfix_technique Backgroundfix Castleloader Castlestealer…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания BackgroundFix использует обманчивый инструмент для редактирования изображений для распространения ВПО, в частности применяя компонент под названием CastleLoader для развертывания NetSupport RAT и CastleStealer, последний из которых нацелен на конфиденциальную информацию, такую как учетные данные браузеров и данные криптографических кошельков. CastleLoader выполняет вредоносные коды скрыто, используя различные компоненты Windows и техники манипуляции, в то время как CastleStealer применяет передовые методы для извлечения учетных данных без прерывания активности пользователя, например, используя Restart Manager для операций с файлами. Кампания демонстрирует сложный подход к развертыванию ВПО и краже данных, объединяя удаленный доступ с автоматизированным сбором учетных записей.
-----
Кампания BackgroundFix использует обманчивый инструмент для редактирования изображений для распространения вредоносного ПО через мошеннические веб-сайты.
Выявлено восемь связанных доменов, входящих в кампанию BackgroundFix.
CastleLoader является основным угрозой, обеспечивающим развертывание вредоносных загрузок (ВПО).
CastleLoader устанавливает две основные угрозы: NetSupport RAT для удалённого управления и CastleStealer для кражи учётных данных.
CastleStealer извлекает конфиденциальную информацию, включая учетные данные браузеров, данные криптографических кошельков и файлы сеансов Телеграм.
CastleLoader использует ошибочный метод выполнения, ссылающийся на `regsrv32.exe` вместо `regsvr32.exe`, что приводит к ошибкам.
Использует компоненты Windows, такие как `finger.exe`, для связи с сервером управления и передачи команд.
Методы выполнения включают запуск скриптов PowerShell, манипулирование командами через `cmd.exe` и внедрение в пустой процесс.
CastleStealer нацелен на пароли, хранящиеся в браузерах и приложениях, сфокусировавшись на извлечении данных из баз данных IndexedDB, используемых криптокошельками.
Использует диспетчер перезапуска (Restart Manager) для операций с файлами, чтобы обойти блокировки приложений, минимизируя прерывания для пользователей.
CastleLoader тщательно выстраивает свои каналы управления с использованием встроенного шифрования на основе ChaCha20.
Сочетание CastleLoader и CastleStealer обеспечивает удаленный доступ и автоматизированный сбор учетных записей, представляя значительную угрозу для целевых систем.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания BackgroundFix использует обманчивый инструмент для редактирования изображений для распространения ВПО, в частности применяя компонент под названием CastleLoader для развертывания NetSupport RAT и CastleStealer, последний из которых нацелен на конфиденциальную информацию, такую как учетные данные браузеров и данные криптографических кошельков. CastleLoader выполняет вредоносные коды скрыто, используя различные компоненты Windows и техники манипуляции, в то время как CastleStealer применяет передовые методы для извлечения учетных данных без прерывания активности пользователя, например, используя Restart Manager для операций с файлами. Кампания демонстрирует сложный подход к развертыванию ВПО и краже данных, объединяя удаленный доступ с автоматизированным сбором учетных записей.
-----
Кампания BackgroundFix использует обманчивый инструмент для редактирования изображений для распространения вредоносного ПО через мошеннические веб-сайты.
Выявлено восемь связанных доменов, входящих в кампанию BackgroundFix.
CastleLoader является основным угрозой, обеспечивающим развертывание вредоносных загрузок (ВПО).
CastleLoader устанавливает две основные угрозы: NetSupport RAT для удалённого управления и CastleStealer для кражи учётных данных.
CastleStealer извлекает конфиденциальную информацию, включая учетные данные браузеров, данные криптографических кошельков и файлы сеансов Телеграм.
CastleLoader использует ошибочный метод выполнения, ссылающийся на `regsrv32.exe` вместо `regsvr32.exe`, что приводит к ошибкам.
Использует компоненты Windows, такие как `finger.exe`, для связи с сервером управления и передачи команд.
Методы выполнения включают запуск скриптов PowerShell, манипулирование командами через `cmd.exe` и внедрение в пустой процесс.
CastleStealer нацелен на пароли, хранящиеся в браузерах и приложениях, сфокусировавшись на извлечении данных из баз данных IndexedDB, используемых криптокошельками.
Использует диспетчер перезапуска (Restart Manager) для операций с файлами, чтобы обойти блокировки приложений, минимизируя прерывания для пользователей.
CastleLoader тщательно выстраивает свои каналы управления с использованием встроенного шифрования на основе ChaCha20.
Сочетание CastleLoader и CastleStealer обеспечивает удаленный доступ и автоматизированный сбор учетных записей, представляя значительную угрозу для целевых систем.
#ParsedReport #CompletenessMedium
02-05-2026
'Copy Fail' Flaw: 5 YARA Rules for Detection
https://www.reversinglabs.com/blog/copy-fail-5-yara-rules
Report completeness: Medium
Threats:
Copyfail_vuln
Victims:
Server infrastructure, Cloud computing, Enterprise workloads, Multi tenant servers, Ci/cd pipelines, Container clusters
CVEs:
CVE-2026-31431 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.254, <5.15.204, <6.1.170, <6.6.137, <6.12.85)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1027.002, T1027.008, T1027.009, T1059.004, T1059.006, T1068, T1105, T1548.001, T1611, have more...
IOCs:
File: 2
Hash: 21
Soft:
Linux, Twitter, Ubuntu, Kubernetes, curl, PyInstaller
Algorithms:
sha1, aes, sha256, cbc, hmac
Functions:
splice, sendmsg
Win API:
PIE
Languages:
javascript, python
Platforms:
amd64, arm, riscv64
YARA: Found
Links:
02-05-2026
'Copy Fail' Flaw: 5 YARA Rules for Detection
https://www.reversinglabs.com/blog/copy-fail-5-yara-rules
Report completeness: Medium
Threats:
Copyfail_vuln
Victims:
Server infrastructure, Cloud computing, Enterprise workloads, Multi tenant servers, Ci/cd pipelines, Container clusters
CVEs:
CVE-2026-31431 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.254, <5.15.204, <6.1.170, <6.6.137, <6.12.85)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1027.002, T1027.008, T1027.009, T1059.004, T1059.006, T1068, T1105, T1548.001, T1611, have more...
IOCs:
File: 2
Hash: 21
Soft:
Linux, Twitter, Ubuntu, Kubernetes, curl, PyInstaller
Algorithms:
sha1, aes, sha256, cbc, hmac
Functions:
splice, sendmsg
Win API:
PIE
Languages:
javascript, python
Platforms:
amd64, arm, riscv64
YARA: Found
Links:
https://github.com/Neo23x0/signature-base/blob/master/yara/expl\_copy\_fail\_cve\_2026\_31431.yarReversingLabs
Copy Fail: 5 YARA Rules for Detection and Remediation | ReversingLabs
Here’s what you need to know about the Linux kernel privilege escalation — and how to leverage YARA rulesets to get on top of it.
CTT Report Hub
#ParsedReport #CompletenessMedium 02-05-2026 'Copy Fail' Flaw: 5 YARA Rules for Detection https://www.reversinglabs.com/blog/copy-fail-5-yara-rules Report completeness: Medium Threats: Copyfail_vuln Victims: Server infrastructure, Cloud computing, Enterprise…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Уязвимость Copy Fail (CVE-2026-31431) — это критическая локальная эскалация привилегий в ядре Linux, затрагивающая все основные дистрибутивы с 2017 года, позволяющая локальным пользователям получать административный контроль без паролей. Эта уязвимость возникает из-за ошибки логики в поддержке криптографических шаблонов ядра через сокет AF_ALG, что позволяет осуществлять контролируемые записи в важные файлы. Эксплойты включают минимальные скрипты на Python и их вариации, которые обходят хеш-базированное обнаружение, что стимулировало разработку правил YARA для выявления как оригинальных, так и модифицированных экземпляров эксплойта.
-----
Уязвимость Copy Fail, получившая идентификатор CVE-2026-31431, представляет собой критическую уязвимость повышения локальных привилегий, обнаруженную в ядре Linux, о которой компания Theori сообщила 29 апреля 2026 года. Она затрагивает все основные дистрибутивы Linux, выпущенные с 2017 года, и позволяет любому пользователю с Локальная учетная запись получить полный административный контроль без необходимости использования паролей или каких-либо специальных инструментов. Эксплойт представляет собой минимальный Python-скрипт размером 732 байта, который можно надежно выполнить на любой затронутой системе.
Основной механизм Copy Fail — это логическая ошибка, связанная с поддержкой криптографических шаблонов в ядре, которая доступна через интерфейс сокетов AF_ALG. Манипулируя этим интерфейсом, злоумышленник может выполнить контролируемое действие записи, способное повлиять на критически важные файлы, включая setuid-бинарники, такие как /usr/bin/su. Этот эксплойт представляет исключительную опасность в средах, где несколько пользователей или рабочих нагрузок разделяют одно ядро, например, на многопользовательских серверах и в кластерах контейнеров.
Область уязвимости охватывает версии ядра Linux от 4.14 до 7.0-rc. Хотя исправления доступны, на момент раскрытия информации они не были развернуты во всех дистрибутивах. Простота эксплуатации означает, что системы остаются подверженными до тех пор, пока не будут обновлены. Атака может быстро эскалировать, если злоумышленник уже имеет доступ к среде Linux.
ReversingLabs сообщил, что выявил несколько экземпляров уязвимого эксплойта вскоре после его публичного раскрытия, включая четыре различных образца на Python, созданных на основе исходного доказательства уязвимости (PoC). Эти образцы представляли собой вариации начального скрипта, демонстрировавшие изменения, такие как изменённые окончания строк или незначительные корректировки пробелов, не влиявшие на их функциональность. Подобная вариативность указывает на ограничения методов обнаружения на основе хешей, поскольку один и тот же исходный код может давать разные хеш-значения при незначительных модификациях.
В ответ ReversingLabs разработала целевые правила YARA для борьбы с угрозой Copy Fail. Они варьировались от правил с высокой степенью достоверности, обнаруживающих точные совпадения оригинального доказательства концепции (PoC), до более широких правил, направленных на выявление вариантов и скомпилированных ELF-бинарников, связанных с тем же эксплойтом. Одним из заметных производных работ является реализация на C под названием goodcopy.c, которая позволяет нацеливаться на различные архитектуры и включает улучшенные меры очистки для сброса кэша страниц после эксплуатации, тем самым предотвращая последующие атаки.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Уязвимость Copy Fail (CVE-2026-31431) — это критическая локальная эскалация привилегий в ядре Linux, затрагивающая все основные дистрибутивы с 2017 года, позволяющая локальным пользователям получать административный контроль без паролей. Эта уязвимость возникает из-за ошибки логики в поддержке криптографических шаблонов ядра через сокет AF_ALG, что позволяет осуществлять контролируемые записи в важные файлы. Эксплойты включают минимальные скрипты на Python и их вариации, которые обходят хеш-базированное обнаружение, что стимулировало разработку правил YARA для выявления как оригинальных, так и модифицированных экземпляров эксплойта.
-----
Уязвимость Copy Fail, получившая идентификатор CVE-2026-31431, представляет собой критическую уязвимость повышения локальных привилегий, обнаруженную в ядре Linux, о которой компания Theori сообщила 29 апреля 2026 года. Она затрагивает все основные дистрибутивы Linux, выпущенные с 2017 года, и позволяет любому пользователю с Локальная учетная запись получить полный административный контроль без необходимости использования паролей или каких-либо специальных инструментов. Эксплойт представляет собой минимальный Python-скрипт размером 732 байта, который можно надежно выполнить на любой затронутой системе.
Основной механизм Copy Fail — это логическая ошибка, связанная с поддержкой криптографических шаблонов в ядре, которая доступна через интерфейс сокетов AF_ALG. Манипулируя этим интерфейсом, злоумышленник может выполнить контролируемое действие записи, способное повлиять на критически важные файлы, включая setuid-бинарники, такие как /usr/bin/su. Этот эксплойт представляет исключительную опасность в средах, где несколько пользователей или рабочих нагрузок разделяют одно ядро, например, на многопользовательских серверах и в кластерах контейнеров.
Область уязвимости охватывает версии ядра Linux от 4.14 до 7.0-rc. Хотя исправления доступны, на момент раскрытия информации они не были развернуты во всех дистрибутивах. Простота эксплуатации означает, что системы остаются подверженными до тех пор, пока не будут обновлены. Атака может быстро эскалировать, если злоумышленник уже имеет доступ к среде Linux.
ReversingLabs сообщил, что выявил несколько экземпляров уязвимого эксплойта вскоре после его публичного раскрытия, включая четыре различных образца на Python, созданных на основе исходного доказательства уязвимости (PoC). Эти образцы представляли собой вариации начального скрипта, демонстрировавшие изменения, такие как изменённые окончания строк или незначительные корректировки пробелов, не влиявшие на их функциональность. Подобная вариативность указывает на ограничения методов обнаружения на основе хешей, поскольку один и тот же исходный код может давать разные хеш-значения при незначительных модификациях.
В ответ ReversingLabs разработала целевые правила YARA для борьбы с угрозой Copy Fail. Они варьировались от правил с высокой степенью достоверности, обнаруживающих точные совпадения оригинального доказательства концепции (PoC), до более широких правил, направленных на выявление вариантов и скомпилированных ELF-бинарников, связанных с тем же эксплойтом. Одним из заметных производных работ является реализация на C под названием goodcopy.c, которая позволяет нацеливаться на различные архитектуры и включает улучшенные меры очистки для сброса кэша страниц после эксплуатации, тем самым предотвращая последующие атаки.
#ParsedReport #CompletenessHigh
30-04-2026
That AI Extension Helping You Write Emails? It’s Reading Them First
https://unit42.paloaltonetworks.com/high-risk-gen-ai-browser-extensions/
Report completeness: High
Threats:
Mitm_technique
Process_injection_technique
Victims:
Ai users, Ai developers, Email users, Job applicants, Online retailers, Fast fashion brands, Banking users, Corporate users
Industry:
Financial, Retail, E-commerce, Education
Geo:
Chinese
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1020, T1036, T1059.007, T1071.001, T1090, T1113, T1114.001, T1176, T1217, T1587.001, have more...
IOCs:
Url: 10
File: 6
BrowserExtension: 23
Hash: 6
Domain: 13
IP: 1
Coin: 2
Soft:
Chrome, ChatGPT, Gmail, Outlook, OpenAI, Claude
Algorithms:
sha256, exhibit
Functions:
JavaScript, Function
Languages:
javascript
Links:
have more...
30-04-2026
That AI Extension Helping You Write Emails? It’s Reading Them First
https://unit42.paloaltonetworks.com/high-risk-gen-ai-browser-extensions/
Report completeness: High
Threats:
Mitm_technique
Process_injection_technique
Victims:
Ai users, Ai developers, Email users, Job applicants, Online retailers, Fast fashion brands, Banking users, Corporate users
Industry:
Financial, Retail, E-commerce, Education
Geo:
Chinese
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1020, T1036, T1059.007, T1071.001, T1090, T1113, T1114.001, T1176, T1217, T1587.001, have more...
IOCs:
Url: 10
File: 6
BrowserExtension: 23
Hash: 6
Domain: 13
IP: 1
Coin: 2
Soft:
Chrome, ChatGPT, Gmail, Outlook, OpenAI, Claude
Algorithms:
sha256, exhibit
Functions:
JavaScript, Function
Languages:
javascript
Links:
https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/main/2025-08-18-IOCs-for-Chrome-extensions-leading-to-thank-you-pages-for-unwanted-content.txthttps://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/main/2025-08-19-IOCs-for-Chrome-extensions-leading-to-adware-or-PUP.txthave more...
https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/main/2025-09-24-IOCs-for-AI-prompt-hijacker-extensions.txtUnit 42
That AI Extension Helping You Write Emails? It’s Reading Them First
Unit 42 uncovers high-risk AI browser extensions. Disguised as productivity tools, they steal data, intercept prompts, and exfiltrate passwords. Protect your browser.
CTT Report Hub
#ParsedReport #CompletenessHigh 30-04-2026 That AI Extension Helping You Write Emails? It’s Reading Them First https://unit42.paloaltonetworks.com/high-risk-gen-ai-browser-extensions/ Report completeness: High Threats: Mitm_technique Process_injection_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние исследования показывают рост киберугроз, использующих вредоносные расширения браузера, маскирующиеся под инструменты ИИ, которые доставляют ВПО, такие как трояны удаленного доступа, атаки «человек посередине» и инфостилеры. Эти расширения применяют такие техники, как каналы управления на основе WebSocket для постоянного взаимодействия, перехват API браузера и эксфильтрация на основе DOM для сбора конфиденциальной информации без обнаружения. Яркими примерами являются расширения, которые собирают личные данные и изменяют настройки браузера для отслеживания поведения пользователей, демонстрируя сложность этих атак, основанных на ИИ.
-----
Наблюдается рост киберугроз, использующих расширения браузера, замаскированные под инструменты ИИ, которые доставляют вредоносное ПО, такое как трояны удаленного доступа (RAT), атаки типа «человек посередине» (MitM) и инфостилеры.
Злоумышленники используют популярность генеративного ИИ для создания расширений, которые осуществляют слежку за взаимодействиями пользователей и собирают конфиденциальные данные.
Злоумышленники используют большие языковые модели для повышения уровня сложности создания и доработки ВПО.
Вредоносные расширения используют каналы управления на основе WebSocket для постоянной связи с удаленными серверами.
Эти каналы могут восстанавливаться после сетевых сбоев, позволяя злоумышленникам непрерывно управлять сессиями.
Расширения используют такие методы, как перехват вызовов API браузера и эксфильтрация на основе DOM, для перехвата сетевого трафика и извлечения конфиденциальных данных без видимых сетевых запросов.
Расширение "Chrome MCP Server - AI Browser Control" действует как RAT с жёстко закодированным WebSocket-соединением для контролируемого доступа к контексту браузера жертвы.
Расширение «Reverse Recruiting - AI Job Application Assistant» собирает личную информацию и конфиденциальные ключи API искусственного интеллекта, отправляя эти данные на удаленный сервер без ведома пользователя.
«Chat AI for Chrome» — это перехватчик поиска, который изменяет настройки поиска для перенаправления запросов на контролируемые злоумышленниками сайты, позволяя отслеживать активность пользователей на различных устройствах.
Эта вредоносная архитектура использует многоуровневые методы хранения для закрепления даже после очистки файлов cookie.
Расширения шпионского ПО, такие как инструмент перевода на китайский язык, собирают данные через ненужные разрешения и конфигурации прокси.
Код, сгенерированный искусственным интеллектом, используется в кампаниях для разработки расширений, что иллюстрируется схемой перехвата аффилиатов 10xprofit, использующей формализованные практики программирования.
Эволюционирующий ландшафт угроз требует обновления стратегий защиты, в которых веб-браузеры рассматриваются как ключевые точки безопасности.
Надежные механизмы обнаружения должны фокусироваться на поведенческом анализе сетевой активности и включать контекстную разведку для противодействия техникам вымогательства на тему искусственного интеллекта.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние исследования показывают рост киберугроз, использующих вредоносные расширения браузера, маскирующиеся под инструменты ИИ, которые доставляют ВПО, такие как трояны удаленного доступа, атаки «человек посередине» и инфостилеры. Эти расширения применяют такие техники, как каналы управления на основе WebSocket для постоянного взаимодействия, перехват API браузера и эксфильтрация на основе DOM для сбора конфиденциальной информации без обнаружения. Яркими примерами являются расширения, которые собирают личные данные и изменяют настройки браузера для отслеживания поведения пользователей, демонстрируя сложность этих атак, основанных на ИИ.
-----
Наблюдается рост киберугроз, использующих расширения браузера, замаскированные под инструменты ИИ, которые доставляют вредоносное ПО, такое как трояны удаленного доступа (RAT), атаки типа «человек посередине» (MitM) и инфостилеры.
Злоумышленники используют популярность генеративного ИИ для создания расширений, которые осуществляют слежку за взаимодействиями пользователей и собирают конфиденциальные данные.
Злоумышленники используют большие языковые модели для повышения уровня сложности создания и доработки ВПО.
Вредоносные расширения используют каналы управления на основе WebSocket для постоянной связи с удаленными серверами.
Эти каналы могут восстанавливаться после сетевых сбоев, позволяя злоумышленникам непрерывно управлять сессиями.
Расширения используют такие методы, как перехват вызовов API браузера и эксфильтрация на основе DOM, для перехвата сетевого трафика и извлечения конфиденциальных данных без видимых сетевых запросов.
Расширение "Chrome MCP Server - AI Browser Control" действует как RAT с жёстко закодированным WebSocket-соединением для контролируемого доступа к контексту браузера жертвы.
Расширение «Reverse Recruiting - AI Job Application Assistant» собирает личную информацию и конфиденциальные ключи API искусственного интеллекта, отправляя эти данные на удаленный сервер без ведома пользователя.
«Chat AI for Chrome» — это перехватчик поиска, который изменяет настройки поиска для перенаправления запросов на контролируемые злоумышленниками сайты, позволяя отслеживать активность пользователей на различных устройствах.
Эта вредоносная архитектура использует многоуровневые методы хранения для закрепления даже после очистки файлов cookie.
Расширения шпионского ПО, такие как инструмент перевода на китайский язык, собирают данные через ненужные разрешения и конфигурации прокси.
Код, сгенерированный искусственным интеллектом, используется в кампаниях для разработки расширений, что иллюстрируется схемой перехвата аффилиатов 10xprofit, использующей формализованные практики программирования.
Эволюционирующий ландшафт угроз требует обновления стратегий защиты, в которых веб-браузеры рассматриваются как ключевые точки безопасности.
Надежные механизмы обнаружения должны фокусироваться на поведенческом анализе сетевой активности и включать контекстную разведку для противодействия техникам вымогательства на тему искусственного интеллекта.
#ParsedReport #CompletenessMedium
29-04-2026
AccountDumpling Hunting Down the Google-Sent Phishing Wave Compromising 30,000+ Facebook Accounts
https://guard.io/labs/accountdumpling---hunting-down-the-google-sent-phishing-wave-compromising-30-000-facebook-accounts
Report completeness: Medium
Threats:
Httrack_tool
Supply_chain_technique
Victims:
Facebook users, Page administrators, Business users
Industry:
Government
Geo:
Italy, Philippines, Brazil, Mexico, Vietnam, India, Canada, Vietnamese, Spain, Australia, Chinese
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1036, T1078, T1102.002, T1111, T1113, T1566.002, T1567, T1583.006, T1588.002, have more...
IOCs:
Email: 2
Domain: 21
Url: 47
Soft:
Gmail, Telegram, WhatsApp
Languages:
javascript
Platforms:
apple
29-04-2026
AccountDumpling Hunting Down the Google-Sent Phishing Wave Compromising 30,000+ Facebook Accounts
https://guard.io/labs/accountdumpling---hunting-down-the-google-sent-phishing-wave-compromising-30-000-facebook-accounts
Report completeness: Medium
Threats:
Httrack_tool
Supply_chain_technique
Victims:
Facebook users, Page administrators, Business users
Industry:
Government
Geo:
Italy, Philippines, Brazil, Mexico, Vietnam, India, Canada, Vietnamese, Spain, Australia, Chinese
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1078, T1102.002, T1111, T1113, T1566.002, T1567, T1583.006, T1588.002, have more...
IOCs:
Email: 2
Domain: 21
Url: 47
Soft:
Gmail, Telegram, WhatsApp
Languages:
javascript
Platforms:
apple
guard.io
"AccountDumpling" – The Google-Sent Phishing Wave Hijacking 30k Facebook Accounts
Hunting Down the Google-Sent Phishing Wave Compromising 30,000+ Facebook Accounts
CTT Report Hub
#ParsedReport #CompletenessMedium 29-04-2026 AccountDumpling Hunting Down the Google-Sent Phishing Wave Compromising 30,000+ Facebook Accounts https://guard.io/labs/accountdumpling---hunting-down-the-google-sent-phishing-wave-compromising-30-000-facebook…
#ParsedReport #ExtractedSchema
Classified images:
windows: 4, chart: 1, schema: 2, chats: 1, table: 1, code: 1
Classified images:
windows: 4, chart: 1, schema: 2, chats: 1, table: 1, code: 1
CTT Report Hub
#ParsedReport #CompletenessMedium 29-04-2026 AccountDumpling Hunting Down the Google-Sent Phishing Wave Compromising 30,000+ Facebook Accounts https://guard.io/labs/accountdumpling---hunting-down-the-google-sent-phishing-wave-compromising-30-000-facebook…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция по фишингу AccountDumpling, приписываемая вьетнамским злоумышленникам, привела к компрометации более 30 000 аккаунтов Facebook с использованием Google AppSheet для доставки реалистично выглядящих фишинговых писем. Сложная схема включает использование поддельных страниц Facebook и PDF-файла, размещенного на Google Drive, содержащего ссылку на динамическую фишинговую панель, способную в реальном времени собирать пароли и коды 2FA. Для эксфильтрации украденных данных используются уникальные боты Телеграм, что отражает структурированный подход к краже учетных данных и захвату аккаунтов в рамках развивающейся экосистемы киберкриминал.
-----
Операция AccountDumpling по фишингу скомпрометировала более 30 000 аккаунтов Facebook.
Эта операция приписывается связанным с Вьетнамом злоумышленникам.
Фишинговые письма доставляются через AppSheet от Google, который является легитимным сервисом.
Атакующие используют доверенные платформы для обхода традиционных методов блокировки электронной почты.
Фишинговая кампания нацелена на пользователей Facebook с приманками, связанными с проблемами аккаунта и поддельными предложениями о работе.
Злоумышленники используют различные домены и инструменты, включая клоны легитимных страниц Facebook, размещённые на Netlify и Vercel.
Один из вариантов фишинговой схемы использовал PDF-файл, размещённый на Google Drive, который маскировался под уведомление от Meta.
PDF содержал встроенную ссылку, перенаправляющую пользователей на динамическую фишинговую панель на базе Socket IO.
Панель фишинга собирает конфиденциальные данные, такие как пароли, коды 2FA и скриншоты.
Операционная модель включает интерфейс взаимодействия с жертвами в реальном времени.
Боты Телеграм используются для эксфильтрации украденных данных, что позволяет оперативно реагировать на собранную информацию.
Аналитика выявила конкретные боты, связанные с операцией, что позволило получить представление о сетях злоумышленников.
Кампания способствует краже учётных данных, захвату учётных записей и перепродаже скомпрометированных учётных записей.
Установление связи с конкретными лицами подтверждается анализом метаданных, собранных с помощью фишинговых инструментов.
Один из PDF-файлов связал следователей с вьетнамским гражданином по имени Phạm Tài Tân.
Пересекающиеся каналы и общие языковые шаблоны в фишинговых наборах помогают аналитикам кибербезопасности отслеживать угрозу.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция по фишингу AccountDumpling, приписываемая вьетнамским злоумышленникам, привела к компрометации более 30 000 аккаунтов Facebook с использованием Google AppSheet для доставки реалистично выглядящих фишинговых писем. Сложная схема включает использование поддельных страниц Facebook и PDF-файла, размещенного на Google Drive, содержащего ссылку на динамическую фишинговую панель, способную в реальном времени собирать пароли и коды 2FA. Для эксфильтрации украденных данных используются уникальные боты Телеграм, что отражает структурированный подход к краже учетных данных и захвату аккаунтов в рамках развивающейся экосистемы киберкриминал.
-----
Операция AccountDumpling по фишингу скомпрометировала более 30 000 аккаунтов Facebook.
Эта операция приписывается связанным с Вьетнамом злоумышленникам.
Фишинговые письма доставляются через AppSheet от Google, который является легитимным сервисом.
Атакующие используют доверенные платформы для обхода традиционных методов блокировки электронной почты.
Фишинговая кампания нацелена на пользователей Facebook с приманками, связанными с проблемами аккаунта и поддельными предложениями о работе.
Злоумышленники используют различные домены и инструменты, включая клоны легитимных страниц Facebook, размещённые на Netlify и Vercel.
Один из вариантов фишинговой схемы использовал PDF-файл, размещённый на Google Drive, который маскировался под уведомление от Meta.
PDF содержал встроенную ссылку, перенаправляющую пользователей на динамическую фишинговую панель на базе Socket IO.
Панель фишинга собирает конфиденциальные данные, такие как пароли, коды 2FA и скриншоты.
Операционная модель включает интерфейс взаимодействия с жертвами в реальном времени.
Боты Телеграм используются для эксфильтрации украденных данных, что позволяет оперативно реагировать на собранную информацию.
Аналитика выявила конкретные боты, связанные с операцией, что позволило получить представление о сетях злоумышленников.
Кампания способствует краже учётных данных, захвату учётных записей и перепродаже скомпрометированных учётных записей.
Установление связи с конкретными лицами подтверждается анализом метаданных, собранных с помощью фишинговых инструментов.
Один из PDF-файлов связал следователей с вьетнамским гражданином по имени Phạm Tài Tân.
Пересекающиеся каналы и общие языковые шаблоны в фишинговых наборах помогают аналитикам кибербезопасности отслеживать угрозу.
#ParsedReport #CompletenessLow
02-05-2026
Defending Against CORDIAL SPIDER and SNARKY SPIDER with Falcon Shield
https://www.crowdstrike.com/en-us/blog/defending-against-cordial-spider-and-snarky-spider-with-falcon-shield/
Report completeness: Low
Actors/Campaigns:
Cordial_spider (motivation: information_theft)
Snarky_spider (motivation: information_theft)
Threats:
Aitm_technique
Residential_proxy_technique
Nsocks_tool
Victims:
Software as a service, Information technology
TTPs:
Tactics: 5
Technics: 0
Soft:
Android, Linux, macOS, QEMU, HubSpot
Platforms:
intel
02-05-2026
Defending Against CORDIAL SPIDER and SNARKY SPIDER with Falcon Shield
https://www.crowdstrike.com/en-us/blog/defending-against-cordial-spider-and-snarky-spider-with-falcon-shield/
Report completeness: Low
Actors/Campaigns:
Cordial_spider (motivation: information_theft)
Snarky_spider (motivation: information_theft)
Threats:
Aitm_technique
Residential_proxy_technique
Nsocks_tool
Victims:
Software as a service, Information technology
TTPs:
Tactics: 5
Technics: 0
Soft:
Android, Linux, macOS, QEMU, HubSpot
Platforms:
intel
CrowdStrike.com
Defending Against CORDIAL SPIDER and SNARKY SPIDER
Learn how CrowdStrike Falcon Shield identifies and disrupts SaaS-centric attacks that bypass endpoint visibility.
CTT Report Hub
#ParsedReport #CompletenessLow 02-05-2026 Defending Against CORDIAL SPIDER and SNARKY SPIDER with Falcon Shield https://www.crowdstrike.com/en-us/blog/defending-against-cordial-spider-and-snarky-spider-with-falcon-shield/ Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С октября 2025 года две группы злоумышленников, CORDIAL SPIDER и SNARKY SPIDER, эволюционировали тактики для атак в быстром темпе, ориентированных на SaaS, используя голосовой фишинг для направления жертв на страницы adversary-in-the-middle (AiTM), имитирующие легитимные порталы SSO. Они собирают учетные данные с помощью этих схем AiTM, одновременно применяя различные техники, включая закрепление через контролируемые злоумышленником устройства MFA и создание правил почтового ящика для удаления предупреждений безопасности. Их основная цель заключается в масштабной эксфильтрации данных из таких платформ, как SharePoint и Google Workspace, с использованием коммерческих VPN и резидентных прокси для сокрытия своей деятельности.
-----
С октября 2025 года подразделение CrowdStrike Counter Adversary Operations сообщает о значительной эволюции методов кибератак, особенно через деятельность двух враждебных группировок, CORDIAL SPIDER и SNARKY SPIDER. Эти группы в основном осуществляют быстрые атаки, ориентированные на SaaS, которые эффективно обходят традиционные средства защиты конечных точек. Используя голосовой фишинг, или вишинг, они манипулируют жертвами, заставляя их посещать страницы атакующего посередине (AiTM), имитирующие легитимные порталы единого входа (SSO); это позволяет им собирать учетные данные и токены сеанса непосредственно в момент входа пользователей.
Эти страницы AiTM создаются так, чтобы максимально точно имитировать настоящие интерфейсы входа, обманывая жертв и предлагая опыт, идентичный легитимному доступу. Эта тактика позволяет им использовать доверенные среды SaaS, одновременно минимизируя риск обнаружения. Получив первоначальный доступ, эти злоумышленники часто устанавливают закрепление, регистрируя устройства многофакторной аутентификации (MFA), контролируемые атакующим. Они часто удаляют существующие конфигурации MFA перед добавлением собственных, при этом SNARKY SPIDER отдает предпочтение эмулятору Android Genymobile из-за его возможностей MFA, а CORDIAL SPIDER использует комбинацию мобильных устройств и конфигурации Windows на базе QEMU.
Для дальнейшего уклонения от обнаружения SNARKY SPIDER реализует стратегию подавления любых уведомлений, связанных с скомпрометированными учетными записями. Это включает создание правил почтового ящика, которые автоматически удаляют предупреждения безопасности и переписку, содержащие ключевые слова, связанные с подозрительной деятельностью. Эта тактика снижает вероятность обнаружения и обеспечивает продолжительный несанкционированный доступ.
Основная цель этих групп сосредоточена на масштабной эксфильтрации данных из различных платформ SaaS, включая SharePoint и Google Workspace. Наблюдается, что они проводят целевые поиски для выявления конфиденциальных данных, что указывает на их фокус на критически важной бизнес-информации. Для обеспечения своей деятельности без привлечения внимания они используют коммерческие VPN-сервисы и резидентные прокси, которые маскируют их трафик и делают его похожим на нормальный.
Несмотря на то, что некоторые организации усиливают защиту конечных точек, характер этих атак подчеркивает пробел в обнаружении, особенно на уровне провайдера идентификации (IdP) и SaaS. В частности, CrowdStrike Falcon Shield разработан для устранения этого пробела путем применения передовых методов обнаружения аномалий, которые позволяют отличать легитимную активность от вредоносной. Инструмент обеспечивает широкую видимость по всему стеку SaaS и учитывает данные, полученные из анализа поведения пользователей и конкретных конфигураций платформы. Falcon Shield расширяет эту возможность за счет классификации сервисов анонимизации и мониторинга доступа через инфраструктуру, не принадлежащую предприятию, стремясь тем самым обеспечить точное определение источников подозрительной активности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
С октября 2025 года две группы злоумышленников, CORDIAL SPIDER и SNARKY SPIDER, эволюционировали тактики для атак в быстром темпе, ориентированных на SaaS, используя голосовой фишинг для направления жертв на страницы adversary-in-the-middle (AiTM), имитирующие легитимные порталы SSO. Они собирают учетные данные с помощью этих схем AiTM, одновременно применяя различные техники, включая закрепление через контролируемые злоумышленником устройства MFA и создание правил почтового ящика для удаления предупреждений безопасности. Их основная цель заключается в масштабной эксфильтрации данных из таких платформ, как SharePoint и Google Workspace, с использованием коммерческих VPN и резидентных прокси для сокрытия своей деятельности.
-----
С октября 2025 года подразделение CrowdStrike Counter Adversary Operations сообщает о значительной эволюции методов кибератак, особенно через деятельность двух враждебных группировок, CORDIAL SPIDER и SNARKY SPIDER. Эти группы в основном осуществляют быстрые атаки, ориентированные на SaaS, которые эффективно обходят традиционные средства защиты конечных точек. Используя голосовой фишинг, или вишинг, они манипулируют жертвами, заставляя их посещать страницы атакующего посередине (AiTM), имитирующие легитимные порталы единого входа (SSO); это позволяет им собирать учетные данные и токены сеанса непосредственно в момент входа пользователей.
Эти страницы AiTM создаются так, чтобы максимально точно имитировать настоящие интерфейсы входа, обманывая жертв и предлагая опыт, идентичный легитимному доступу. Эта тактика позволяет им использовать доверенные среды SaaS, одновременно минимизируя риск обнаружения. Получив первоначальный доступ, эти злоумышленники часто устанавливают закрепление, регистрируя устройства многофакторной аутентификации (MFA), контролируемые атакующим. Они часто удаляют существующие конфигурации MFA перед добавлением собственных, при этом SNARKY SPIDER отдает предпочтение эмулятору Android Genymobile из-за его возможностей MFA, а CORDIAL SPIDER использует комбинацию мобильных устройств и конфигурации Windows на базе QEMU.
Для дальнейшего уклонения от обнаружения SNARKY SPIDER реализует стратегию подавления любых уведомлений, связанных с скомпрометированными учетными записями. Это включает создание правил почтового ящика, которые автоматически удаляют предупреждения безопасности и переписку, содержащие ключевые слова, связанные с подозрительной деятельностью. Эта тактика снижает вероятность обнаружения и обеспечивает продолжительный несанкционированный доступ.
Основная цель этих групп сосредоточена на масштабной эксфильтрации данных из различных платформ SaaS, включая SharePoint и Google Workspace. Наблюдается, что они проводят целевые поиски для выявления конфиденциальных данных, что указывает на их фокус на критически важной бизнес-информации. Для обеспечения своей деятельности без привлечения внимания они используют коммерческие VPN-сервисы и резидентные прокси, которые маскируют их трафик и делают его похожим на нормальный.
Несмотря на то, что некоторые организации усиливают защиту конечных точек, характер этих атак подчеркивает пробел в обнаружении, особенно на уровне провайдера идентификации (IdP) и SaaS. В частности, CrowdStrike Falcon Shield разработан для устранения этого пробела путем применения передовых методов обнаружения аномалий, которые позволяют отличать легитимную активность от вредоносной. Инструмент обеспечивает широкую видимость по всему стеку SaaS и учитывает данные, полученные из анализа поведения пользователей и конкретных конфигураций платформы. Falcon Shield расширяет эту возможность за счет классификации сервисов анонимизации и мониторинга доступа через инфраструктуру, не принадлежащую предприятию, стремясь тем самым обеспечить точное определение источников подозрительной активности.
#ParsedReport #CompletenessLow
02-05-2026
Threat Brief: CVE-2026-41940: Critical cPanel & WHM Authentication Bypass Actively Exploited in the Wild
https://www.catonetworks.com/blog/threat-brief-cve-2026-41940-critical-cpanel-whm-authentication-bypass-actively-exploited-in-the-wild/
Report completeness: Low
Threats:
Seo_poisoning_technique
Victims:
Hosting providers, Website owners, Managed hosting customers, Organizations that rely on hosted web assets
Geo:
Japan, Ireland
CVEs:
CVE-2026-41940 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cpanel (<86.0.41, <110.0.97, <118.0.63, <126.0.54, <130.0.19)
ChatGPT TTPs:
T1053.003, T1056.007, T1136, T1190, T1491.002, T1505.003, T1565.001, T1566, T1584.001
IOCs:
IP: 8
Soft:
cPanel
Algorithms:
base64
Languages:
javascript
02-05-2026
Threat Brief: CVE-2026-41940: Critical cPanel & WHM Authentication Bypass Actively Exploited in the Wild
https://www.catonetworks.com/blog/threat-brief-cve-2026-41940-critical-cpanel-whm-authentication-bypass-actively-exploited-in-the-wild/
Report completeness: Low
Threats:
Seo_poisoning_technique
Victims:
Hosting providers, Website owners, Managed hosting customers, Organizations that rely on hosted web assets
Geo:
Japan, Ireland
CVEs:
CVE-2026-41940 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cpanel (<86.0.41, <110.0.97, <118.0.63, <126.0.54, <130.0.19)
ChatGPT TTPs:
do not use without manual checkT1053.003, T1056.007, T1136, T1190, T1491.002, T1505.003, T1565.001, T1566, T1584.001
IOCs:
IP: 8
Soft:
cPanel
Algorithms:
base64
Languages:
javascript
Vulners Database
CVE-2026-41940 - vulnerability database | Vulners.com
CVE-2026-41940 — cPanel/WHM Authentication Bypass (CRLF Injection) Technical synopsis: A CRLF injection in the login/session handling enables unauthenticated remote attackers to bypass authentication and gain root-level access via the cpsess session...