#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 3, code: 6

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция Silent Rotor нацелена на евразийский сектор беспилотной авиации, применяя тактики целевого фишинга через ZIP-файл, содержащий исполняемый файл на Rust, который маскируется под документ с подтверждением заказа. ВПО сначала собирает системную информацию, а затем загружает вторичную полезную нагрузку с идентифицированного сервера управления в Москве, используя шифрование AES-256 для полезной нагрузки. Первоначальный исполняемый файл выполняет разведку, собирая данные, специфичные для машины, и служит вектором для развертывания дополнительной вредоносной функциональности.
-----

Операция Silent Rotor — это целевая киберкампания, направленная на сектор евразийской беспилотной авиации, стратегически согласованная с предстоящим XIII Евразийским международным форумом беспилотной авиации 2026 в Москве. Кампания использует целевой фишинг, распространяя архив с именем cai partner.zip, содержащий исполняемый файл на базе Rust, маскирующийся под легитимный документ подтверждения заказа от Российского центра аэронавигационной информации.

Исследователи из SEQRITE Labs выявили первоначальную подозрительную активность, связанную с ZIP-файлом, на платформах открытой разведки об угрозах, хотя изначально она избежала обнаружения системами безопасности. Дальнейшее исследование выявило основной исполняемый файл с именем Подтверждение заказа продукции ЦАИ.exe, который служит основным носителем вредоносной функциональности. Этот исполняемый файл работает в два этапа: сначала он собирает системную информацию, а затем загружает второй этап полезной нагрузки с выделенного сервера управления (C2).

Обнаруженная инфраструктура использует домен C2 (hxxp://kleymarket.ru), который был зарегистрирован незадолго до проведения анализа. Домен имеет несколько исторических разрешений, ведущих на активный C2-сервер по IP-адресу 45.142.36.76, расположенный в Москве и являющийся частью российской автономной системы. Хотя на данный момент нет прямых указаний на связь с известными злоумышленниками, конкретная целевая направленность и использование приманок на русском языке свидетельствуют о высоком уровне сложности, характерном для спланированной операции.

При анализе поведения вредоносного исполняемого файла выяснилось, что он сначала взаимодействует с документами-приманками, которые выглядят легитимно и предназначены для введения жертв в заблуждение. Эти документы используют реалистичные элементы, связанные с авиационными бизнес-сделками, тем самым повышая свою убедительность. После запуска вредоносная программа начинает сбор информации о системе для создания уникального идентификатора, собирая имя хоста машины, серийный номер тома и обширные сетевые данные. Эти данные подготавливаются и отправляются на сервер C2 после того, как они собраны в формат JSON и зашифрованы с использованием простого метода XOR.

На втором этапе атаки ВПО переходит от разведки к развертыванию полезной нагрузки. Оно получает зашифрованную полезную нагрузку с сервера C2, которая расшифровывается через многоступенчатый процесс с использованием шифрования AES-256. Расшифрованная полезная нагрузка сохраняется под случайным именем и выполняется без каких-либо указаний на её происхождение, тем самым запуская новый процесс на машине жертвы.

#ParsedReport #CompletenessMedium
05-05-2026

CloudZ RAT potentially steals OTP messages using Pheno plugin

https://blog.talosintelligence.com/cloudz-pheno-infostealer/

Report completeness: Medium

Threats:
Cloudz_rat
Pheno
Screenconnect_tool
Lolbin_technique
Confuserex_tool
Bitsadmin_tool

Victims:
Users of microsoft phone link, Credentials, One time passwords

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1036, T1041, T1057, T1059.001, T1071.001, T1095, T1102.001, T1105, have more...

IOCs:
File: 7
Command: 1
Url: 11
IP: 1
Path: 1
Hash: 5
Domain: 3

Soft:
Android, task scheduler, NET Framework, Windows task scheduler, Pastebin, Mac OS, curl

Algorithms:
xor, base64

Functions:
Get-CimInstance, GetWidgetLog, RemovePlugins

Win API:
GetEnvironmentVariable

Languages:
powershell, rust

Platforms:
apple, x64

Links:
https://github.com/Cisco-Talos/IOCs/blob/main/2026/05/cloudz-pheno-infostealer.txt

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Cisco Talos сообщает о продолжающейся кибератаке с использованием инструмента удаленного доступа (RAT) CloudZ и плагина Pheno, направленной на кражу учетных данных и одноразовых паролей (OTP). Злоумышленники эксплуатируют приложение Microsoft Phone Link для перехвата конфиденциальных данных, развертывая ВПО через вредоносный исполняемый файл, замаскированный под легитимное обновление. CloudZ использует сложные техники уклонения, включая выполнение в памяти и проверку окружения, чтобы оставаться незамеченным, при этом тщательно отслеживая активность Phone Link в целях потенциального извлечения данных.
-----

Команда Cisco Talos выявила продолжающуюся кибератаку, связанную с инструментом удаленного доступа CloudZ (RAT) и новым плагином под названием Pheno. Эта операция активна как минимум с января 2026 года и характеризуется целью похищения учетных данных и одноразовых паролей (OTP). RAT CloudZ использует приложение Microsoft Phone Link для установления соединения между ПК жертвы и ее смартфоном, что позволяет Pheno отслеживать активные действия Phone Link. Этот метод позволяет злоумышленнику перехватывать конфиденциальные данные, такие как SMS и OTP, без необходимости развертывать ВПО непосредственно на мобильном устройстве. Примечательно, что CloudZ применяет различные техники уклонения, выполняя вредоносные функции в памяти и проводя проверки окружения для избежания обнаружения средствами защиты.

Приложение Phone Link, интегрированное в Windows 10 и 11, синхронизирует уведомления телефона, SMS-сообщения и журналы вызовов с ПК пользователя через Wi-Fi и Bluetooth. Во время наблюдаемой инциденте злоумышленник использовал приложение Phone Link для мониторинга данных и потенциальной компрометации OTP-сообщений, основанных на SMS. Первоначальный доступ был получен с помощью вредоносного исполняемого файла, замаскированного под легитимное обновление приложения ScreenConnect, которое запустило промежуточный загрузчик .NET, впоследствии развернувший CloudZ на зараженной машине.

Вредоносное ПО действует как дроппер, выполняя встроенный PowerShell-скрипт, который обеспечивает закрепление через запланированные задачи. Этот скрипт проверяет, запущен ли уже вредоносный .NET-загрузчик, и создает новую запланированную задачу, если он не активен, обеспечивая сохранение вредоносного ПО после перезагрузок. Во время выполнения загрузчик применяет сложные меры уклонения, включая проверку наличия активных средств защиты, и использует техники обфускации для затруднения реверс-инжиниринга.

Сам CloudZ RAT представляет собой модульный .NET-исполняемый файл, скомпилированный недавно, и спроектирован с использованием нескольких уровней защиты от анализа. Он использует встроенные конфигурационные данные, которые расшифровывает и загружает в память, обеспечивая различные функции управления (C2). RAT может похищать учетные данные из браузеров и собирать данные из приложения Phone Link, передавая их обратно злоумышленнику через каналы управления, установленные после получения конфигураций сервера из определенных URL-адресов. Это включает ротацию строк пользовательского агента и применение мер против кэширования в своих HTTP-запросах для маскировки своего трафика под легитимную активность.

Плагин Pheno играет ключевую роль, проводя разведку приложения Phone Link. Он сканирует наличие конкретных процессов, связанных с синхронизацией Phone Link, регистрирует соответствующие данные и проверяет наличие признаков активных прокси-соединений, что подтвердило бы, что сеанс Phone Link в данный момент маршрутизирует трафик. Выявляя эти аспекты, злоумышленник может эффективно отслеживать конфиденциальные коммуникации, такие как SMS-сообщения и запросы OTP, что значительно усиливает его возможности перехвата данных.

#ParsedReport #CompletenessHigh
06-05-2026

Easter Bunny

https://lab52.io/blog/easterbunny/

Report completeness: High

Actors/Campaigns:
Apt29 (motivation: cyber_espionage)

Threats:
Easterbunny
Cobalt_strike_tool
Sliver_c2_tool
Trailblazer
Golden_ticket_technique
Golden_saml_technique
Supply_chain_technique
Junk_code_technique
Steganography_technique
Dcsync_technique
Mimikatz_tool
Process_injection_technique
Brc4_tool

Victims:
Government agencies, Nongovernmental organizations, Think tanks, Foreign ministries, Diplomatic delegations, National defense organizations, Pharmaceutical companies, Information technology service providers, Political organizations, Spain, have more...

Industry:
Ics, Government, Petroleum, Healthcare, Media

Geo:
Spain, Italian, Russian, New zealand, Canada, Australia, German, Russian federation, Asia

TTPs:
Tactics: 4
Technics: 13

IOCs:
File: 60
Hash: 14
IP: 24
Command: 1

Soft:
Chrome, Visual Studio, Windows Error Reporting, virtualBox, Microsoft Powershell, Firefox, Mozilla Firefox, Nginx, Linux

Algorithms:
md5, sha1, des, xor, base64, aes

Functions:
GetProcAddressO, GetUserName, GetComputerName, getPoraasfuddr, getAddrf

Win API:
SetErrorMode, OpenFile, HeapFree, GetProcAddress, GetProcessHeap, HeapAlloc, VirtualAlloc, VirtualProtect, VirtualFree, ExitProcess, have more...

Win Services:
bits

Languages:
php, javascript, powershell

Platforms:
intel, x86, arm, x64

Links:
https://gist.github.com/
https://github.com/dlvoy/lzg
have more...

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
APT29, связанная с российской Службой внешней разведки (SVR), создала высоконастраиваемое ВПО под названием EasterBunny, которое использует передовые техники оперативной безопасности, включая шифрование и обфускацию. Оно обладает модульной архитектурой для динамических обновлений, системой управления, имитирующей легитимный трафик, а также возможностями для сбора учетных записей при сохранении закрепления. Анализ указывает на его сложность и целевой характер, подчеркивая серьезную угрозу со стороны спонсируемых государством акторов.
-----

Кибершпионская группа APT29, связанная с Службой внешней разведки Российской Федерации (SVR), разработала сложное ВПО под названием EasterBunny, которое было подробно проанализировано компанией S2GRUPO и её аналитическим подразделением LAB52. ВПО отличается высокой степенью настраиваемости, что делает его серьезной угрозой, которую сложно обнаружить с помощью традиционных индикаторов компрометации, таких как хеши или домены. Уникальная инфраструктура и артефакты ВПО указывают на целевой подход, адаптированный под конкретных жертв.

EasterBunny применяет передовые практики операционной безопасности, включая различные уровни шифрования и запутывания, эффективно маскируя свою внутреннюю логику и тем самым усложняя усилия по обнаружению и атрибуции. ВПО использует модульную архитектуру, которая способствует динамическим обновлениям и модификациям во время продолжающейся атаки. Эта модульность позволяет операторам повторно внедрять дополнительные инструменты или модули для эксфильтрации информации. Примечательно, что некоторые из этих инструментов имеют сходство с фреймворками Cobalt Strike и Sliver, известными своими возможностями пост-эксплуатации.

Вредоносное ПО оснащено операционным бэкдором, обеспечивающим долгосрочное закрепление в скомпрометированных организациях. Его структуры позволяют систематический сбор учетных записей, избегая при этом механизмов обнаружения, включая уклонение от действий по сбросу паролей администраторов с помощью таких техник, как Golden Ticket Kerberos и атаки DCSync. APT29 использует различные тактики, техники и процедуры (TTPs), которые варьируются в зависимости от атакующей организации, что дополнительно повышает ее скрытность и эффективность.

Анализ выявил несколько исполняемых артефактов из семейства вредоносного ПО EasterBunny, раскрывающих конкретные операционные поведения, включая сложную платформу управления для операций управления (C2). Вредоносное ПО, по-видимому, использует продвинутые техники для поддержания скрытой связи со своим C2, имитируя легитимный интернет-трафик и внедряя обманные скрипты для дальнейшего маскирования своей деятельности. Важно отметить, что использование позиционно-независимого кода повышает способность вредоносного ПО работать незамеченным.

Свидетельства указывают на то, что APT29 имеет десятилетнюю историю аналогичной деятельности, включая такие заметные инциденты, как вмешательство в выборы в США и кибератаки на данные о вакцинах во время пандемии COVID-19. Сложная природа EasterBunny, особенно его техники обфускации и операционный дизайн, позиционируют его как одну из самых продвинутых угроз вредоносного ПО, выявленных на сегодняшний день, подчеркивая постоянный риск, создаваемый спонсируемыми государством акторами в киберпространстве.

Представленные здесь результаты сосредоточены на предоставлении ценных сведений о методах APT29, с целью усиления обнаружения и защитных мер среди специалистов по кибербезопасности против этой и подобных продвинутых угроз. Сложная конструкция и операционная сложность вредоносного ПО подчеркивают эволюцию тактик киберугроз и необходимость постоянной адаптации защитных стратегий.

#ParsedReport #CompletenessHigh
06-05-2026

DAEMON Tools software infected – supply chain attack ongoing since April 8, 2026

https://securelist.com/tr/daemon-tools-backdoor/119654/

Report completeness: High

Threats:
Supply_chain_technique
Typosquatting_technique

Victims:
Individuals, Businesses and organizations, Retail, Scientific research, Government, Manufacturing, Education

Industry:
Retail, Healthcare, Government

Geo:
Italy, China, Belarus, France, Turkey, Germany, Russia, Thailand, Brazil, Spain, Chinese

ChatGPT TTPs:
do not use without manual check
T1027, T1041, T1055, T1059.001, T1059.003, T1070.004, T1071.001, T1071.004, T1082, T1095, have more...

IOCs:
File: 18
Path: 1
Hash: 20
Url: 2
Command: 2
Domain: 1
IP: 1

Soft:
WolfSSL, eScan, CPU-Z

Algorithms:
rc4, sha1

Win API:
WriteProcessMemory, CreateRemoteThread

Win Services:
WebClient

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В мае 2026 года атака на Цепочку поставок была направлена на программное обеспечение DAEMON Tools, в ходе которой в легитимные установщики были внедрены вредоносные компоненты, затронувшие тысячи пользователей по всему миру. Первичный вредоносный модуль, 'envchk.exe', собирал системную информацию и взаимодействовал с сервером C2, предположительно управляемым злоумышленником, говорящим на китайском языке. Атака продемонстрировала детальное понимание инфраструктуры цели, при этом были развернуты вторичные компоненты, включая скрытый бэкдор и сложный RAT QUIC против конкретных организаций, что указывает на потенциальные мотивы кибершпионажа.
-----

В мае 2026 года было выявлено значительное нападение на цепочку поставок, направленное на программное обеспечение DAEMON Tools, в ходе которого в легитимные установщики внедрялись вредоносные компоненты. Эти скомпрометированные установщики, распространяемые с официального сайта DAEMON Tools и подписанные действительными цифровыми сертификатами, затронули версии с 12.5.0.2421 по 12.5.0.2434 по состоянию на 8 апреля 2026 года. Первоначальный анализ предполагает, что атака была осуществлена актором, говорящим на китайском языке, хотя конкретная атрибуция пока не установлена. Внедренное программное обеспечение затронуло тысячи пользователей более чем в 100 странах, при этом последующие компоненты внедрялись только для избранных организаций, что указывает на целевой характер атаки.

Атака включала бэкдор, активированный во время загрузки машины, который отправлял GET-запросы на вредоносный сервер, использующий тайпсквоттинг легитимного домена. Регистрация сервера началась незадолго до атаки. Зараженные машины выполняли команды PowerShell для загрузки и выполнения дополнительных вредоносных файлов без сбоев. Первый обнаруженный полезный груз, получивший название 'envchk.exe', служил сборщиком информации, нацеленным на системную информацию и отправляющим данные на сервер управления (C2). Этот исполняемый файл примечателен наличием строк на китайском языке, что подтверждает предположение о наличии злоумышленника, говорящего на китайском языке.

Более того, хотя сборщик информации был развернут широко, лишь небольшое количество систем было атаковано для доставки вторичного полезного груза — минималистичного бэкдора, предназначенного для более скрытной работы. Этот бэкдор распространялся с помощью аналогичных команд PowerShell и использовал шеллкод для скрытных операций, позволяя злоумышленникам выполнять широкий спектр команд удаленно при этом общаясь через различные протоколы, включая HTTP и потенциально QUIC.

В некоторых случаях злоумышленники пытались развернуть более сложную Троянскую программу (RAT) под названием QUIC RAT, которая применялась против одного образовательного учреждения в России. Эта RAT, разработанная на C++ и сильно запутанная, демонстрировала расширенные функции, такие как внедрение полезной нагрузки в доверенные процессы.

Шаблоны развертывания, продемонстрированные в этой атаке, отражают глубокое понимание инфраструктуры цели, при этом около 10% затронутых систем принадлежат бизнесу и организациям. Большинство заражений ограничивалось сборщиком информации, тогда как более сложные полезная нагрузка использовались редко, вероятно, в соответствии с конкретными стратегическими целями, такими как кибершпионаж.

Решения Kaspersky активно выявляли аспекты этой вредоносной кампании, при этом механизмы обнаружения были сосредоточены на мониторинге активности PowerShell, подозрительных инъекциях кода и необычном сетевом трафике, связанном с коммуникациями C2, что свидетельствует о надежном ответе безопасности на текущие угрозы, исходящие от подобных компрометаций Цепочки поставок.

#ParsedReport #CompletenessLow
06-05-2026

Turbulence Ahead: Cyber Threats Targeting Aviation and Aerospace in 2026

https://blog.polyswarm.io/turbulence-ahead-cyber-threats-targeting-aviation-and-aerospace-in-2026

Report completeness: Low

Actors/Campaigns:
0ktapus
Apt33
Winnti
Fancy_bear (motivation: cyber_espionage)

Threats:
Qilin_ransomware
Lockbit
Clop
Darkrace
Supply_chain_technique
Sim_swapping_technique

Victims:
Airports, Airlines, Aerospace suppliers, Aerospace manufacturers, Ground handlers, Maintenance providers, Reservation platforms, Aviation it vendors

Industry:
E-commerce, Aerospace, Military, Energy, Government

Geo:
Berlin

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1486, T1656

IOCs:
Hash: 90

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Сектор авиации и аэрокосмической отрасли сталкивается с повышенными киберугрозами, включая программы-вымогатели от группировок Qilin и LockBit, атаки на основе идентификации со стороны Scattered Spider и шпионаж со стороны Refined Kitten. Уязвимости возникают из-за зависимости от общих ИТ-систем, что может привести к системным сбоям, как это произошло в инциденте с Collins Aerospace в 2025 году. Кроме того, злоумышленники эксплуатируют существующие слабости в операционных технологиях и уязвимости Глобальной навигационной спутниковой системы (GNSS), что вызывает опасения как по поводу немедленных сбоев, так и долгосрочных операционных последствий.
-----

Авиационная и аэрокосмическая отрасль сталкивается с киберугрозами, в основном исходящими от программ-вымогателей, вторжений на основе идентификации и сбоев на уровне платформ. Значительный инцидент с программой-вымогателем в 2025 году затронул Collins Aerospace и затронул системы обработки пассажиров, вызвав хаос в крупных европейских аэропортах. Группы программ-вымогателей, такие как Qilin, получили доступ к конфиденциальным данным в международном аэропорту Талсы в январе 2026 года и опубликовали их в интернете. LockBit использует модель, основанную на аффилиатах, которая нацелена на критических поставщиков, влияя на работу авиакомпаний-потребителей. Тактики вторжения на основе идентификации со стороны групп, таких как Scattered Spider, включают передовую социальную инженерию и манипуляцию MFA для несанкционированного доступа. Refine

#ParsedReport #CompletenessMedium
06-05-2026

MicroStealer

https://any.run/malware-trends/microstealer/

Report completeness: Medium

Threats:
Microstealer
Donut_loader
Donut
Godfather
Grandoreiro
Btmob_rat
Asyncrat
Ssload
Discord-c2
Bec_technique
Supply_chain_technique
Typosquatting_technique
Credential_harvesting_technique

Victims:
Businesses, Organizations, Education, Telecommunications, Banking, Cryptocurrency, Gaming, Windows endpoints, Android endpoints, Spanish speaking countries, have more...

Industry:
Entertainment, E-commerce, Telco, Education, Financial

Geo:
Germany, Brazil, Latin american, Spain, Mexico, Peru

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1036, T1055, T1059.007, T1082, T1113, T1204.002, T1497.001, T1539, have more...

IOCs:
File: 8
Path: 1

Soft:
Discord, Android, lectron →, Electron, NSIS installer, Node.js, Chromium, Steam

Functions:
spawn

Languages:
java

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, table: 1, chats: 3, schema: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
MicroStealer, выявленный в конце 2025 года, представляет собой продвинутый стиллер, нацеленный на сбор конфиденциальных данных, таких как учетные данные браузеров и информация о криптовалютах. Его сложный механизм доставки включает NSIS-установщики, Electron-приложения и Java-пакеты, что усложняет обнаружение. Он использует двухканальную эксфильтрацию через вебхуки Discord и серверы, контролируемые злоумышленниками, применяет сложные методы обфускации и антианализа, и в основном затрагивает пользователей в США и Германии, используя социальную инженерию и загрузку вредоносных приложений для распространения.
-----

MicroStealer — это сложное ВПО-стиллер, впервые выявленное в конце 2025 года, которое нацелено на конфиденциальную информацию, такую как учетные данные браузеров, сеансовые файлы cookie, данные криптокошельков и скриншоты рабочего стола. Механизм доставки использует многоэтапную цепочку, включающую NSIS-установщики, Electron-приложения и Java-загрузчики, что затрудняет обнаружение с помощью традиционных методов. Примечательно, что оно применяет методы эксфильтрации по двум каналам — как через вебхуки Discord, так и через серверы, контролируемые злоумышленниками, — чтобы обеспечить отправку данных даже в случае компрометации одного из каналов.

Стратегии обфускации вредоносного ПО включают использование сжатия LZ-String UTF-16 и применение методов противодействия анализу, при которых проверяется наличие виртуальных машин перед выполнением. Такие функции позволяют MicroStealer маскировать вредоносную активность под легитимный трафик, обеспечивая постоянное доступ и позволяя злоумышленникам контролировать скомпрометированные учетные записи для более широких атак, таких как компрометация бизнес-электронной почты (BEC).

MicroStealer не является изолированной угрозой; он функционирует аналогично другим распространенным вредоносным программам, таким как Godfather, Grandoreiro и BTMOB RAT, которые обладают специфическими функциями, такими как банковское мошенничество, удаленный доступ и кража данных. Другие вредоносные программы, такие как DonutLoader и SSLoad, действуют как загрузчики для доставки вредоносных полезной нагрузки, избегая при этом обнаружения. Фокус этих инструментов подчеркивает сложную экосистему, где ВПО как услуга (MaaS) становится все более доступной, позволяя злоумышленникам легко настраивать атаки.

С точки зрения целевой victimology, MicroStealer преимущественно атакует пользователей в Соединенных Штатах и Германии, особенно в секторах образования и телекоммуникаций. Его быстрое распространение обусловлено тактиками социальной инженерии, фишингом и распространением вредоносных загрузок под видом легитимных приложений, особенно тех, что связаны с играми.

Организациям необходимо проактивно усиливать свою защиту от MicroStealer с помощью инструментов разведки угроз, систем поведенческого обнаружения и обучения пользователей методам социальной инженерии. Комбинация индикаторов компрометации (IOCs) в реальном времени, непрерывного мониторинга каналов эксфильтрации и строгих практик безопасности приложений имеет решающее значение для снижения рисков, связанных с этой развивающейся угрозой. Требование немедленной видимости и действий в отношении такого ВПО является императивным для предотвращения эскалации кражи учетных данных в атаки более крупного масштаба.

#ParsedReport #CompletenessHigh
06-05-2026

InstallFix and Claude Code: How Fake Install Pages Lead to Real Compromise

https://www.trendmicro.com/en_us/research/26/e/installfix-and-claude-code.html

Report completeness: High

Threats:
Installfix_technique
Amsi_bypass_technique
Clickfix_technique
Polyglot_ransomware
Redline_stealer

Victims:
Government, Electronics, Education, Food and beverage, Americas, Asia pacific, Middle east and africa, Europe

Industry:
Foodtech, E-commerce, Education, Government

Geo:
Malaysia, Asia pacific, Thailand, Africa, Middle east, Netherlands, Americas

TTPs:
Tactics: 3
Technics: 8

IOCs:
File: 8
Domain: 3
Url: 1
Hash: 4
IP: 3

Soft:
Claude, Anthropic, MacOS, Component Object Model

Algorithms:
base64, md5, rc4, zip, sha256, sha1, exhibit, xor

Functions:
DisplayEmailGnu, GetBiosDebian, COM

Languages:
powershell, cscript

#ParsedReport #ExtractedSchema

Classified images:
windows: 16, chats: 1, code: 9, schema: 1, dump: 2