#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа APT37 из Северной Кореи использует тактики Целевого фишинга для доставки ВПО, применяя замаскированные пакетные файлы и Python-бэкдор для удаленного выполнения команд. Первоначальный доступ осуществляется через ZIP-архивы в письмах, содержащие LNK-файлы, которые загружают дополнительные полез
-----

Анализ угроз сосредоточен на кампании, приписываемой северокорейской группе APT37, которая использует тактики Целевой фишинг для доставки вредоносных загрузок, особенно выделяя использование зашифрованных пакетных файлов и бэкдор на базе Python для удаленного выполнения команд. Вектор первоначального доступа включает фишинговые письма, содержащие ZIP-архивы с вредоносными LNK-файлами, предназначенные для привлечения получателей темами, такими как электронные авиабилеты и приглашения на мероприятия. При выполнении этих LNK-файлов они реконструируют команды с использованием обфускации на основе переменных окружения для загрузки и выполнения дополнительных загрузок с сервера управления (управление).

После запуска вредоносное ПО выполняет пакетный файл, который взаимодействует с сервером C2, обеспечивая многоэтапный процесс заражения. На финальном этапе загружается файл байт-кода Python, замаскированный под расширение .cat, который служит бэкдором для удаленного выполнения команд. Этот файл Python структурирован таким образом, чтобы функционировать в среде выполнения Python, позволяя злоумышленнику управлять зараженной системой и выполнять команды, полученные от сервера C2.

В технике атаки заметно злоупотребление легитимными системными бинарными файлами, такими как curl.exe и pythonw.exe, для маскировки вредоносного поведения и уклонения от обнаружения. Кроме того, закрепление обеспечивается через запланированные задачи, настроенные на повторное выполнение бэкдора, что указывает на намерение злоумышленника поддерживать долгосрочный доступ к скомпрометированным системам.

В частности, данная кампания демонстрирует сходство с предыдущими атаками, приписываемыми APT37, включая использование аналогичных методов обфускации, шаблонов инфраструктуры C2 и эксплуатации конкретных методов доставки ВПО. Поведение, наблюдаемое в этой кампании, согласуется с предыдущими усилиями APT37 по нацеливанию на лиц, связанных с оборонным и безопасностным секторами, что подтверждает продолжающиеся стратегии кибершпионажа данной группы.

Для смягчения таких угроз организациям рекомендуется усилить свои фреймворки обнаружения и реагирования на конечных точках (EDR), сосредоточившись на возможностях обнаружения, охватывающих весь жизненный цикл атаки — от доставки до выполнения, закрепления и коммуникаций с C2. Учитывая динамичный характер методов, используемых злоумышленниками, рекомендуется применять более комплексную стратегию обнаружения, которая отдает приоритет отношениям и шаблонам вредоносной активности, а не полагается исключительно на известные индикаторы компрометации.

#ParsedReport #CompletenessLow
11-05-2026

macOS Malware Abuses Google Ads and Claude Shared Chats to Deliver Payloads

https://gbhackers.com/macos-malware-abuses-google-ads-and-claude-shared-chats/

Report completeness: Low

Threats:
Macc_stealer
Clickfix_technique

Victims:
Developers, Macos users, Technology

ChatGPT TTPs:
do not use without manual check
T1027, T1059.004, T1105, T1204.004, T1583.006, T1656

IOCs:
Domain: 1
Hash: 1

Soft:
macOS, Claude, Twitter, WhatsApp, Anthropic Claude

Algorithms:
sha256, base64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Обнаружена новая кампания вредоносной рекламы (Malvertising), нацеленная на пользователей macOS, которая использует Google Ads и социальную инженерию для распространения варианта вредоносного ПО (Malware) MacSync. Атака эксплуатирует поисковые запросы, связанные с Claude AI, перенаправляя жертв на поддельное руководство по установке, которое предлагает им выполнить команду терминала, скрытую с помощью кодирования base64. Эта команда загружает вредоносное ПО (Malware) из инфраструктуры управления (command-and-control), размещенной на домене customroofingcontractors.com, что позволяет осуществлять постоянную эксплуатацию в среде macOS.
-----

Обнаружена новая кампания вредоносной рекламы, нацеленная на пользователей macOS, которая использует Google Ads и подлинные общие чаты Anthropic Claude для распространения варианта вредоносного ПО MacSync. Кампания, раскрытая исследователем безопасности Берком Альбайраком, использует тактики социальной инженерии для заманивания пользователей — особенно разработчиков — ищущих интеграцию Claude AI в свои системы macOS.

Атака начинается, когда жертва ищет такие термины, как «Claude download Mac». Киберпреступники используют Google Ads для перенаправления этих поисковых запросов на убедительно оформленную целевую страницу, имитирующую официальное руководство по установке. Чтобы повысить видимость легитимности, злоумышленники предоставляют инструкции по установке через общедоступную ссылку чата с Claude.ai. Жертвам предлагается скопировать и вставить конкретную команду терминала, которая скрыта с помощью кодирования base64, тем самым скрывая истинный URL загружаемого контента.

После выполнения команды в оболочке Z shell (zsh) для macOS начинается загрузка вредоносного ПО MacSync, которое характеризуется механизмами закрепления, позволяющими ему сохранять foothold в среде macOS для дальнейшей эксплуатации. Результаты исследований Альбайрака показывают, что инфраструктура управления (C2) для этой кампании размещена на домене, идентифицированном как customroofingcontractors.com.

Этот инцидент подчеркивает, как злоумышленники манипулируют авторитетными платформами и ресурсами для обхода традиционных мер веб-безопасности. Для организаций и пользователей macOS крайне важно проявлять осторожность с командами терминала, полученными из интернета, даже если они представлены через кажущиеся легитимными каналы. Внедрение политик для тщательной проверки таких команд и проактивное блокирование выявленных доменов C2 могут значительно снизить риск успешного проникновения ВПО и обеспечить более надежную защиту от подобных попыток эксплуатации.

#ParsedReport #CompletenessMedium
11-05-2026

Threat Actor Mr_Rot13 Actively Exploits CVE-2026-41940 for Backdoor Deployment

https://blog.xlab.qianxin.com/mr_rot13-the-elusive-6-year-hacker-group-weaponizing-critical-cpanel-flaws-for-backdoor-deployment/

Report completeness: Medium

Actors/Campaigns:
Mr_rot13 (motivation: script_kiddie)

Victims:
Web hosting, Linux server operations, Wordpress websites

Geo:
Brazil, Netherlands, Germany

CVEs:
CVE-2026-41940 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cpanel (<86.0.41, <110.0.97, <118.0.63, <124.0.35, <126.0.54)


ChatGPT TTPs:
do not use without manual check
T1027, T1041, T1056.003, T1059.004, T1071.001, T1098, T1098.004, T1105, T1140, T1190, have more...

IOCs:
Domain: 2
Hash: 13
Url: 6
File: 5
IP: 2

Soft:
cPanel, Linux, Telegram, curl, WordPress

Algorithms:
xor, md5, bcrypt, rc4

Functions:
getChatAdministrators

Languages:
php, javascript

Platforms:
amd64, cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CVE-2026-41940 — это уязвимость обхода аутентификации высокой степени серьезности без необходимости аутентификации в cPanel & WHM, которая позволяет злоумышленникам получать несанкционированный доступ без учетных данных, что приводит к значительной эксплуатации со стороны различных групп угроз. Актор, известный как Mr_Rot13, использует эту уязвимость для развертывания заражателя на базе Go, Payload, который внедряет SSH-ключи, загружает вредоносные файлы, похищает учетные данные, изменяет системные пароли и устанавливает троян удаленного управления под названием filemanager. Заражатель действует скрытно, постоянно подключаясь к серверу загрузки для получения обновлений и применяя продвинутые техники, такие как алгоритм Rot13, для обфускации.
-----

CVE-2026-41940 — это серьезная уязвимость обхода аутентификации без аутентификации, затрагивающая cPanel & WHM, с оценкой 9.8 по шкале CVSS. Она позволяет злоумышленникам получать несанкционированный доступ администратора к затронутым серверам без необходимости использования каких-либо учетных данных. После ее публичного раскрытия 28 апреля 2026 года наблюдалось широкое использование различных групп черного и серого рынка, при этом более 2000 уникальных IP-адресов злоумышленников из нескольких стран участвовали в различных вредоносных действиях, включая развертывание ВПО и сетевые атаки.

Заметный злоумышленник, известный как Mr_Rot13, был выявлен использующим данную уязвимость для развертывания инфиктора по имени Payload, написанного на Go. Этот инфиктор выполняет несколько функций: внедряет открытые SSH-ключи, загружает вредоносные PHP и JavaScript-файлы, эксфильтрует учетные данные в канал, контролируемый через Телеграм, и устанавливает троян удаленного управления, известный как filemanager. Расследование показало, что Mr_Rot13 действует с 2020 года, применяя такие техники, как использование алгоритма Rot13 для сокрытия доменов и инструментов управления (C2).

Заражатель полезной нагрузки часто подключается к серверу загрузки для получения обновлений, непрерывно выполняя операции в фоновом режиме. Он изменяет системные пароли, внедряет PHP-вебшеллы и отправляет конфиденциальные данные обратно злоумышленникам. Примечательно, что вебшелл, названный Cpanel-Python, позволяет загружать файлы, просматривать файловую систему и выполнять удаленные команды.

Бэкдор Filemanager действует как кроссплатформенный инструмент удалённого управления, совместимый с основными операционными системами. Он использует строгий метод обработки хешей паролей, требуя хешированные bcrypt-пароли вместо паролей в открытом виде для работы. Предыдущий анализ PHP-бэкдора, выявленного в 2022 году, подтвердил давний фокус Mr_Rot13 на уязвимостях cPanel, особенно на атаках на установки WordPress.

#ParsedReport #CompletenessMedium
11-05-2026

New TrickMo Variant: Device Take Over malware targeting Banking, Fintech, Wallet & Auth apps

https://www.threatfabric.com/blogs/new-trickmo-variant-device-take-over-malware-targeting-banking-fintech-wallet-auth-app

Report completeness: Medium

Threats:
Trickmo
Ssh_tunnelling_technique
Godfather

Victims:
Banking, Fintech, Digital wallet, Authenticator applications, Banking customers, Wallet customers

Industry:
E-commerce, Financial

Geo:
Turkish, Austria, France, Italy

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1021.004, T1021.005, T1041, T1046, T1056.001, T1056.002, T1071.001, T1090, T1105, have more...

IOCs:
Hash: 6

Soft:
Android, TikTok, Telegram, curl, Google Play

Algorithms:
base32, sha256

Functions:
getScreenshot, setNotificationFilter, setKeyLoggerConfig, setVars, setSwitch, setServers, getInstalledApps, getState, getUsageStats, setRingerMode, have more...

Win API:
loadModule, setGestureConfig

#ParsedReport #ExtractedSchema

Classified images:
chart: 1, schema: 1, code: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносное ПО TrickMo эволюционировало в новый вариант, нацеленный на банковские приложения в нескольких европейских странах, использующий The Open Network (TON) для управления коммуникацией с целью обхода обнаружения. Этот вариант имеет усовершенствованную архитектуру с децентрализованными конечными точками .adnl и встроенным локальным прокси TON, что повышает его операционные возможности для злонамеренной деятельности, такой как фишинг учетных данных, регистрация нажатий клавиш и удаленное управление. Несмотря на улучшения в операционных возможностях, некоторые компоненты остаются неактивными, что указывает на потенциальные будущие улучшения без немедленных обновлений.
-----

Вредоносное ПО TrickMo эволюционировало в новый вариант, выявленный аналитиками мобильной разведки угроз, который целенаправленно атакует банковские и финансовые приложения в нескольких европейских странах, включая Францию, Италию и Австрию. Этот вариант представляет собой значительную переработку более ранних версий, но сохраняет схожие возможности на устройстве. Основное улучшение заключается в его операционной среде, поскольку теперь он преимущественно использует The Open Network (TON) для связи с центром управления, отказываясь от традиционной интернет-инфраструктуры для повышения устойчивости к обнаружению и попыткам отключения.

Архитектура TrickMo была доработана для включения сетевого слоя, использующего децентрализованные атрибуты TON, с применением .adnl-конечных точек и встроенного локального прокси TON для маршрутизации трафика управления. Такая архитектура означает, что стандартные отключения на основе доменов в значительной степени неэффективны; даже когда ВПО необходимо получить доступ к DNS в открытом интернете, оно использует защищённые протоколы DNS-over-HTTPS для поддержания анонимности.

Одной из наиболее заметных особенностей TrickMo является его способность использовать зараженные устройства в качестве программируемых сетевых мостов. Эта функция обеспечивается дополнительными возможностями, позволяющими настраивать SSH-туннели и использовать прокси-сервер SOCKS5, что эффективно превращает скомпрометированные устройства в сетевые узлы выхода, способные пересылать трафик, который выглядит так, будто он исходит из IP-адреса жертвы. Инструменты для сетевой разведки были значительно расширены, что позволило выполнять команды для HTTP-зондирования, DNS-запросов, ICMP-пингов, тестов TCP-соединений и трассировки маршрутов, что отражает переход от чисто банковских троянских функций к более широкой операционной роли.

Более того, TrickMo может участвовать в различных вредоносных действиях, включая фишинг учетных данных через имитированные оверлеи приложений, регистрацию нажатий клавиш, удаленное управление устройством и перехват SMS, что позволяет злоумышленникам эксплуатировать пользователей без их ведома. Примечательно, что ВПО использует разрешения службы доступности, полученные через принуждение пользователя, для поддержания контроля и видимости над зараженными устройствами.

В отчете также указывается, что, хотя операционные возможности TrickMo выросли, определенные элементы, такие как фреймворк Pine hooking, остаются неактивными, что намекает на возможности для развертывания новых функций в будущем без необходимости их немедленной реализации в текущей версии. Эта адаптивность иллюстрирует постоянную угрозу, которую представляет TrickMo, поскольку он продолжает совершенствовать свои методы для обхода развивающихся средств защиты кибербезопасности и сохранения foothold в мобильных средах. В целом, новейший вариант TrickMo означает переопределенную задачу для специалистов по безопасности, подчеркивая необходимость постоянной бдительности и адаптивности в стратегиях обнаружения и реагирования на угрозы.

#ParsedReport #CompletenessHigh
07-05-2026

Unmasking a Multi-Stage Loader: AutoIt Abuse Leading to Vidar Stealer Command-and-Control Communication

https://www.levelblue.com/blogs/spiderlabs-blog/unmasking-a-multi-stage-loader-autoit-abuse-leading-to-vidar-stealer-command-and-control-communication

Report completeness: High

Threats:
Vidar_stealer
Arkei_stealer
Lolbin_technique

TTPs:
Tactics: 6
Technics: 10

IOCs:
File: 6
Url: 1
Domain: 2
Hash: 5
IP: 1

Soft:
WinINet API, Steam

Algorithms:
sha256

Win API:
ZwQueryInformationProcess, InternetConnectA, HttpOpenRequestA, HttpSendRequestA, FindNextFileA, RtlExitUserProcess

Languages:
autoit

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, code: 1, windows: 2, dump: 1, table: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ходе недавнего анализа было выявлено многоэтапное вредоносное нападение с использованием скриптов AutoIt, инициированное запуском файла MicrosoftToolkit.exe, который запускал командные строки и применял Маскировка файлов для уклонения от обнаружения. Вредоносное ПО включало извлечение полезной нагрузки с помощью extract32.exe и загрузчик AutoIt под названием Replies.scr, который устанавливал соединения с инфраструктурой крадильщика Vidar, известного кражей учетных данных и сбором информации. Оно использовало продвинутые техники антианализа и поведения очистки после выполнения, чтобы скрыть свое присутствие, что подчеркивает сложную угрозу компрометация данных.
-----

В ходе недавнего анализа угроз было исследовано многоэтапное выполнение вредоносного кода, обнаруженное в среде клиента, в основном связанное с несанкционированным использованием скриптов AutoIt. Начальным вектором заражения стало выполнение инструмента под названием MicrosoftToolkit.exe, который впоследствии запускал командную строку для продолжения атаки. Файл с именем Swingers.dot был замаскирован под скрипт .bat с использованием маскировки расширения файла для обхода средств защиты. ВПО использовало различные техники, включая Изучение процессов и завершение процессов, чтобы облегчить свое продвижение по цепочке атаки.

Извлечение полезной нагрузки было выполнено с помощью extract32.exe, после чего был запущен загрузчик, скомпилированный в AutoIt и названный Replies.scr, который обработал внешнюю файл полезной нагрузки и инициировал сетевые коммуникации, ведущие к инфраструктуре, связанной со стелером Vidar. Vidar известен своими возможностями по краже учетных данных и сбору информации, особенно нацеленными на данные браузеров и криптовалютные кошельки. Атака продемонстрировала многоэтапную архитектуру загрузчика, где скрипт AutoIt функционировал для доставки конечной полезной нагрузки.

Вредоносное ПО выполняло проверку окружения на наличие процессов безопасности и использовало техники противодействия анализу. Оно использовало системные вызовы для обнаружения отладчиков и инструментов мониторинга, которые могли бы помешать его выполнению. Ключевыми методами коммуникации были HTTP-запросы к Телеграм и Steam, что указывает на использование легитимных платформ для возможностей управления (C2). С помощью этих методов вредоносное ПО потенциально извлекало конфигурационные данные и обеспечивало эксфильтрацию данных.

Кроме того, после выполнения вредоносное ПО проявляло поведение по очистке, удаляя файлы, использованные во время операции, и завершая свои процессы, чтобы скрыть следы. Такая очистка типична для поведения сложного ВПО, направленного на удаление криминалистический анализ артефактов и снижение вероятности обнаружения.

Анализ показал, что, хотя отдельные техники, используемые этим ВПО, не являются полностью новыми, их интеграция в единую стратегию атаки подчеркивает умеренно-высокий уровень сложности и указывает на риск компрометации данных, особенно в отношении хранимых учетных данных и пользовательских данных. Для смягчения таких угроз системы должны быть изолированы немедленно после выявления заражения, с сильной рекомендацией полного переустановления системы для обеспечения полного уничтожения ВПО. Кроме того, скомпрометированные учетные данные должны быть сброшены, а сильные сетевые защиты должны быть установлены для мониторинга необычного исходящего трафика и DNS-запросов, связанных с известными вредоносными доменами.

#ParsedReport #CompletenessHigh
07-05-2026

Malware Found in Trending Hugging Face Repository Open-OSS/privacy-filter

https://www.hiddenlayer.com/research/malware-found-in-trending-hugging-face-repository-open-oss-privacy-filter

Report completeness: High

Threats:
Supply_chain_technique
Typosquatting_technique
Credential_harvesting_technique
Procmon_tool
Process_injection_technique
Winos

Victims:
Hugging face users, Open source ecosystems, Artificial intelligence community, Software developers, Cryptocurrency wallet users

Industry:
Financial

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027.007, T1033, T1036, T1041, T1053.005, T1059.001, T1059.003, T1059.006, T1070.004, have more...

IOCs:
File: 11
Url: 11
Domain: 5
Command: 3
Coin: 1
Hash: 6
IP: 1

Soft:
Hugging Face, LiteLLM, OpenAI, Discord, Linux, macOS, Microsoft Defender, VirtualBox, QEMU, Xen, have more...

Algorithms:
base64, sha256, gzip

Functions:
_verify_checksum_integrity, Start-Process

Win Services:
WebClient

Languages:
python, rust, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В репозитории Hugging Face Open-OSS/privacy-filter был обнаружен вредоносный код, который использовал тайпсквоттинг на Privacy Filter от OpenAI для доставки стиллер-ВПО на системы Windows. Атака включала начальный этап, на котором скомпрометированный код отключал проверку SSL и загружал дополнительные полез нагрузки через PowerShell, что в конечном итоге приводило к исполняемому файлу, уклонявшемуся от обнаружения. Стиллер собирал конфиденциальные данные из различных источников, включая браузеры и криптовалютные кошельки, и отправлял их на сервер, контролируемый злоумышленником.
-----

7 мая 2026 года в репозитории Hugging Face Open-OSS/privacy-filter был обнаружен вредоносный код, который набрал значительную популярность, собрав более 200 000 загрузок за один день до его удаления. Этот репозиторий использовал техники тайпсквоттинга по отношению к настоящему Privacy Filter от OpenAI, тесно воспроизводя его модельную карточку, но при этом внедряя вредоносный файл loader.py, предназначенный для доставки стиллер-ВПО на машины под управлением Windows.

Операционный фреймворк вредоносного ПО можно разделить на несколько этапов. Сначала пользователя заманивают для запуска кода из скомпрометированного репозитория, в частности, с помощью таких команд, как start.bat или python loader.py. Этот код отключает проверку SSL и извлекает закодированную в base64 команду из источника JSON, размещенного на jsonkeeper.com, которая затем выполняется через PowerShell. Этот начальный этап предназначен для того, чтобы оставаться незамеченным, так как он работает в фоновом режиме без вызова видимых предупреждений.

Второй этап включает выполнение однострочной команды PowerShell, которая загружает дополнительный полезный груз — update.bat — с api.eth-fastscan.org. После этого скрипт update.bat повышает свои привилегии и проводит различные проверки, чтобы убедиться в наличии прав администратора, затем загружает финальный полезный груз стиллера, упакованный в виде исполняемого файла на базе Rust. Этот исполняемый файл использует техники противодействия анализу, маскируя свое использование API Windows и пытаясь избежать обнаружения средствами защиты, такими как AMSI и ETW.

Основная функциональность стиллера включает восемь модулей сбора, предназначенных для извлечения конфиденциальных данных из различных источников. Он нацелен на данные из браузеров (как Chromium, так и Firefox), учетных записей Discord, криптовалютных кошельков и конфиденциальных файлов, применяя такие техники, как динамические скриншоты нескольких мониторов. Собранная информация затем компилируется в формат JSON и отправляется через HTTP POST-запрос на сервер, контролируемый злоумышленником, в частности recargapopular.com.

До деактивации репозитория он быстро поднялся в статусе самого популярного тренда на Hugging Face, и расследователи отметили связи между этим репозиторием и другими под тем же аккаунтом, все из которых содержали аналогичные скрипты загрузки и методы атак. Эти взаимосвязанные кампании указывают на скоординированные усилия по эксплуатации уязвимостей в средах с открытым исходным кодом, используя тайпсквоттинг как вектор атаки.

В связи с этим инцидентом пользователям, взаимодействовавшим с скомпрометированным репозиторием, рекомендуется рассматривать свои системы как потенциально скомпрометированные, настоятельно призывая к немедленной переустановке операционной системы и ротации учетных данных. Командам безопасности также следует заблокировать связанные индикаторы компрометации (IOCs) в своих сетях, чтобы предотвратить дальнейшее использование уязвимостей. Этот инцидент подчеркивает критические слабости в проверке вкладов в открытые исходные коды в репозиториях и риски, связанные с тактиками тайпсквоттинга, применяемыми злоумышленниками в киберпространстве.

#ParsedReport #CompletenessHigh
12-05-2026

Mini Shai-Hulud Strikes Again: TanStack + more npm Packages Compromised

https://www.wiz.io/blog/mini-shai-hulud-strikes-again-tanstack-more-npm-packages-compromised

Report completeness: High

Actors/Campaigns:
Mini_shai-hulud
Teampcp

Threats:
Supply_chain_technique
Typosquatting_technique
Shai-hulud

Victims:
Developer tooling, Tanstack, Uipath, Mistral ai, Guardrails ai, Npm ecosystem, Pypi ecosystem, Developer machines, Continuous integration environments, Cloud environments, have more...

Industry:
Aerospace

Geo:
Iran, Russian, Israel

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1041, T1059.006, T1059.007, T1105, T1195.001, T1480.001, T1485, T1528, T1543.001, have more...

IOCs:
Domain: 1
Url: 2
IP: 1
File: 3
Hash: 4

Soft:
TanStack, mistralai, CircleCI, Kubernetes, HashiCorp Vault, macOS, Linux systemd, Linux, systemd, 1Password, have more...

Algorithms:
sha1, sha256

Languages:
typescript, python, javascript

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания Mini Shai-Hulud, приписываемая хакерской группировке TeamPCP, нацелилась на экосистемы npm и PyPi, скомпрометировав инструменты разработчиков в пространствах имен @tanstack и @uipath. Атака включала эксплуатацию уязвимостей GitHub Actions, что позволяло извлекать токены OpenID Connect и несанкционированно публиковать вредоносные пакеты с помощью полезной нагрузки, крадущей учетные данные. ВПО реализует демон для мониторинга токенов, проявляет деструктивное поведение и использует техники уклонения, основанные на языковых настройках географического положения.
-----

Недавняя скоординированная атака на цепочку поставок, получившая название кампания Mini Shai-Hulud, была осуществлена хакерской группировкой TeamPCP, нацеленной на экосистемы npm и PyPi 11 мая 2026 года. В результате этой атаки были скомпрометированы несколько высокоценных инструментов разработчика, особенно в пространствах имен @tanstack и @uipath, среди затронутых оказались вредоносные версии популярных пакетов, таких как @tanstack/react-router и @uipath/apollo-core. Атака характеризовалась эксплуатацией уязвимостей в GitHub Actions, где актор создал форк легитимного репозитория, переименовал его для уклонения от обнаружения и впоследствии выполнил вредоносный код, который отравил кэш GitHub Actions. Это позволило извлечь токены OpenID Connect (OIDC) из агентов GitHub Actions, обеспечив несанкционированную публикацию вредоносных версий пакетов путем полного обхода учетных данных npm.

Параллельно с компрометацией TanStack аналогичная участь постигла пространство имён @uipath: был использован скрипт preinstall, который после установки выполнял полезную нагрузку, нацеленную на различные токены CI/CD и учетные данные облачных сервисов. Сообщалось, что эта полезная нагрузка действует как стиллер учетных данных и самораспространяющийся червь, способный на компрометацию токенов OIDC GitHub Actions и аналогичных токенов, тем самым облегчая публикацию дополнительных вредоносных пакетов. ВПО использовало три различных канала эксфильтрации: домен-тайпсквоттер, децентрализованные сети обмена сообщениями и «мёртвые почты» (dead drops) через GitHub API.

Механизм закрепления вредоносного ПО включает установку демона, настроенного на мониторинг токенов GitHub каждые 60 секунд. Оно обладает потенциально деструктивным поведением, направленным на очистку данных, если токены, по-видимому, были отозваны. Кроме того, вредоносное ПО разработано таким образом, чтобы проверять языковые настройки и завершать свою работу, если обнаружен русский язык. Атака продемонстрировала заметные достижения в технике, включая эксплуатацию среды выполнения Bun и доставку полезной нагрузки по двум каналам.

Для пакетов PyPI вредоносные версии демонстрировали поведение, отличное от их аналогов в npm: они содержали значительно меньше кода, но при этом аналогичным образом позволяли осуществлять кражу учетных данных. Пакет PyPI специально нацелен на среды Linux и структурирован таким образом, чтобы избегать выполнения при определенных условиях, включая языковые настройки, связанные с конкретными странами. Если он запускается в указанных географических контекстах, ВПО пытается удалить файлы хоста при случайном срабатывании триггера.

В ответ на эту атаку организациям рекомендуется активно искать затронутые версии пакетов, проверять наличие демона gh-token-monitor и извлекать затронутые репозитории для блокировки связанной инфраструктуры управления. Меры безопасности должны включать ротацию всех потенциально скомпрометированных учетных данных и аудит сред разработки на наличие признаков устойчивых угроз, внедренных вредоносными пакетами. Этот инцидент подчеркивает повышенные риски в области безопасности цепочки поставок программного обеспечения, что требует проактивной защиты от таких сложных атак.