#ParsedReport #CompletenessHigh
15-05-2026

The Gentlemen Ransomware Group — Leak Analysis

https://ransom-isac.org/blog/the-gentlemen-leak-analysis/

Report completeness: High

Actors/Campaigns:
Gentlemen_ransomware (motivation: financially_motivated, cyber_criminal)
Zeta88
Protagor
Water_hydra
Dragonforce
Shadowbyt3
Chaos_raas
Hastalamuerte
Armcorp

Threats:
Gentlemen_ransomware
Blackbasta
G-bot
Zeropulse_tool
Netexec_tool
Crackmapexec_tool
Freerdp_tool
Openconnect_tool
Rclone_tool
Mimikatz_tool
Credential_dumping_technique
Chisel_tool
Bloodhound_tool
Psexec_tool
Password_spray_technique
Ntlmrelayx_tool
Kslkatz_tool
Ksldump_tool
Dumpbrowsersecrets_tool
Qtox_tool
Fobosloader
Phemedrone
Htmlsmug_tool
Smuggling_technique
Clickfix_technique
Msi-dropper_tool
Polyglot_technique
Smtpsmug_tool
Uriurl_tool
Selfdelete_tool
Pydropper_tool
Bitmbmitb_tool
Bitm_technique
Js-smuggler
Xaitax_tool
Edrstartuphinder_tool
Nightmare_eclipse_tool
Redsun_tool
Titanis_tool
Regpwn_tool
Manspider_tool
Certihound_tool
Powerzure_tool
Chisel-ng_tool
Fobos_tool
Proxychains_tool
Nsocks_tool
Passthehash_technique
Credential_harvesting_technique
Qilin_ransomware
Clop
Gunra
Hyflock
Anubis
Bobthesmuggler_tool
Xenorat
Xenallpasswordpro_tool
Printerbug_tool
Petitpotam_vuln
Lockbit
Emotet
Deadbolt
Xenarmor_tool
Conti
Devman
Embargo_ransomware
Medusa_ransomware
Spear-phishing_technique
Shadow_copies_delete_technique
Vssadmin_tool
Aitm_technique
Winrm_tool
Robocopy_tool
Lolbin_technique

Victims:
Banking, Financial services, Cement, Ceramics, Investment, Telecommunications, Shipping and logistics, Government, Mining, Education, have more...

Industry:
Healthcare, Logistic, E-commerce, Financial, Transport, Education, Aerospace, Telco, Government

Geo:
Taiwan, Koreans, Poland, Usa, China, Korea, Indian, Turkish, Brazilian, Asia, Thailand, African, Turkey, Ghana, Chinese, Singapore, Madagascar, South africa, Russia, Spanish, Russian, Asian

CVEs:
CVE-2024-55591 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- fortinet fortiproxy (<7.0.20, <7.2.13)
- fortinet fortios (<7.0.17)

CVE-2025-33073 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.21034)
- microsoft windows_10_1607 (<10.0.14393.8148)
- microsoft windows_10_1809 (<10.0.17763.7434)
- microsoft windows_10_21h2 (<10.0.19044.5965)
- microsoft windows_10_22h2 (<10.0.19045.5965)
have more...
CVE-2024-21412 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1809 (<10.0.17763.5458)
- microsoft windows_10_21h2 (<10.0.19044.4046)
- microsoft windows_10_22h2 (<10.0.19045.4046)
- microsoft windows_11_21h2 (<10.0.22000.2777)
- microsoft windows_11_22h2 (<10.0.22621.3155)
have more...
CVE-2025-32433 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- erlang erlang\/otp (<25.3.2.20, <26.2.5.11, <27.3.3)


TTPs:
Tactics: 12
Technics: 38

IOCs:
File: 43
Coin: 3
IP: 12
Email: 1
Path: 5
Hash: 2
Registry: 1
Command: 4

Soft:
Obsidian, Velociraptor, Claude, psexec, Tor Browser, ec / wmi, ec: 5, w, ciraptor 14 -, Browser - - O, WinSCP, have more...

Wallets:
guarda_wallet, exodus_wallet

Crypto:
bitcoin

Algorithms:
sha256, sha1, md5, zip

Functions:
VoIP, Get-PSDrive, Remove-Item

Win Services:
ent, CVE-20, WebClient

Languages:
powershell, rust, python

Platforms:
cross-platform

YARA: Found

Links:
have more...
https://github.com/Ransom-ISAC-Org/LOCKSTAR/tree/main/The%20Gentlemen%20Leaks

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа вымогательского ПО Gentlemen, русскоязычная операция RaaS, столкнулась с утечкой в мае 2026 года, которая раскрыла их внутренние коммуникации и TTPs, показав эволюцию от базовой эксплуатации VPN к продвинутым техникам фишинга и управления командами за шесть месяцев. Их основной метод первоначального доступа заключался в использовании уязвимостей Fortinet (CVE-2024-55591) и скомпрометированных учетных данных, тогда как перемещение внутри компании осуществлялось через эксплуатацию SMB. Утечка коммуникаций также подчеркивала стратегическое планирование группы по высокоценным целям и использование ими продвинутых инструментов для сбора учетных записей, намекая на операционную связь с более ранними группами вымогательского ПО, такими как Black Basta.
-----

Группа вымогателей Gentlemen — это русскоязычная операция в рамках Программы-вымогатель как услуга (RaaS).

Значительный инцидент безопасности в мае 2026 года привел к утечке внутренних коммуникаций и операционных данных группы.

Утечка данных произошла из-за компрометации на стороне хостинг-провайдера 4VPS.

Утечка данных включала их тактики, техники и процедуры (TTPs), охватывающие операции с ноября 2025 года по апрель 2026 года.

В число их жертв входило 66 высокопоставленных целей, таких как финансовые учреждения и производственные компании, из более чем 400 общих жертв.

Первоначальный доступ был в основном получен через уязвимости обхода аутентификации Fortinet (CVE-2024-55591).

Они использовали комбинацию стратегий повторного использования учётных данных и базовой эксплуатации уязвимостей FortiGate VPN.

Перемещение внутри компании, сосредоточенное на перечислении и эксплуатации SMB с использованием таких инструментов, как nxc (NetExec).

Учетные данные из скомпрометированных конфигураций Fortigate часто содержали учетные данные привязки LDAP в открытом виде, что позволяло осуществлять несанкционированный доступ к Active Directory.

Группа использовала различные инструменты для фишинга, сбора учетных записей и попыток входа, включая передовые приложения для сбора учетных записей.

Они демонстрировали операционную преемственность с группами, такими как Black Basta, что указывает на пересечение кадров.

По сообщениям, ИИ использовался для улучшения процессов переговоров и стратегического планирования против конкурентных операций RaaS.

SOCKS-проксирование использовалось для сетевого пивотинга, что позволяло осуществлять скрытые латеральные перемещения и эксфильтрацию данных.

Их поведение при развертывании включало фазу перед шифрованием, которая использовала скрипты уничтожения для отключения резервных копий перед выполнением вредоносных кодов вымогателей.

Устранение известных уязвимостей и строгое обеспечение аутентификации являются критическими мерами защиты против их тактик.

#ParsedReport #CompletenessMedium
14-05-2026

Compromised node-ipc on npm: Credential Stealer via DNS Exfiltration

https://safedep.io/malicious-node-ipc-npm-compromise/

Report completeness: Medium

Actors/Campaigns:
Node-ipc_compromise

Threats:
Dns_tunneling_technique
Supply_chain_technique
Typosquatting_technique

Victims:
Software development, Cloud services, Artificial intelligence development

Geo:
Belarusian, Russian

CVEs:
CVE-2022-23812 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- node-ipc_project node-ipc (<10.1.3, *)


TTPs:
Tactics: 5
Technics: 0

IOCs:
File: 11
Hash: 5
Domain: 2
Email: 1
IP: 1

Soft:
Kubernetes, Linux, macOS, claude, Node.js, curl, TanStack, OpenSearch

Algorithms:
base64, sha256, hmac

Functions:
require

Languages:
javascript

Links:
have more...
https://github.com/safedep/pmg
https://github.com/RIAEvangelist/node-ipc

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Пакет npm node-ipc был скомпрометирован благодаря зашифрованной полезной нагрузке, внедренной скомпрометированным сопровождающим, что позволило похищать конфиденциальную информацию, такую как SSH-ключи и учетные данные облачных сервисов, по множеству путей файлов в Linux и macOS. Атакующий использовал эксфильтрацию через DNS с помощью архивов gzipped tar, отправляемых через DNS TXT-запросы, опираясь на структуру пакета для немедленного выполнения полезной нагрузки и применяя различные методы кодирования для сокрытия своей деятельности. ВПО поддерживает закрепление с помощью переменной окружения `__ntw` и взаимодействует с поддельной доменной областью C2.
-----

Недавняя компрометация пакета npm node-ipc, затронувшая версии 9.1.6, 9.2.3 и 12.0.1, заключалась во внедрении 80-килобайтного зашифрованного полезного груза учетной записью компрометированного разработчика, atiertant. Эта вредоносная нагрузка предназначена для кражи широкого спектра конфиденциальной информации, включая SSH-ключи, учетные данные облачных провайдеров и конфигурации, связанные с инструментами для написания кода с использованием ИИ, и прочее, что в сумме составляет более 100 целевых путей к файлам на системах Linux и macOS. Атакующий использовал DNS-экфильтрацию для отправки украденных данных, инкапсулированных в архивы gzipped tar, через DNS TXT-запросы, что помогает избежать обнаружения, поскольку DNS-трафик менее тщательно проверяется системами безопасности.

Пакет node-ipc сам по себе широко используется для межпроцессного взаимодействия в Node.js, а три скомпрометированные версии были опубликованы вскоре после предыдущего инцидента с протестным ПО, связанного с оригинальным сопровождающим. Атака использовала изменения в структуре пакета, где полезная нагрузка заменила легитимный код в node-ipc.cjs, позволяя ей выполняться немедленно при вызове библиотеки без каких-либо хуков установки. Полезная нагрузка замаскирована с использованием стандартных методов, что затрудняет анализ без методов деобфускации. Заметные особенности ВПО включают эксфильтрацию данных с HMAC-подписью, кодированием base64 и разбиением на фрагменты, что объединяет различные механизмы кодирования для сокрытия операций и индикаторов компрометации (IoC). В частности, конфиденциальные строки, такие как параметры конфигурации, кодируются с использованием пользовательской схемы кодирования base-16 для избежания обнаружения.

Механизм выполнения включает стратегию закрепления, которая позволяет вредоносному ПО продолжать работу после завершения работы родительского приложения Node.js. Используя переменную окружения `__ntw`, вредоносное ПО способно поддерживать свою работу, предоставляя достаточно времени для кражи данных и эксфильтрации. Домен управления (C2), используемый для передачи данных, имитирует инфраструктуру Azure Static Web Apps, что позволяет ему сливаться с легитимными службами.

Атака вызывает серьезные опасения относительно безопасности систем управления пакетами с открытым исходным кодом, подчеркивая необходимость для разработчиков ротации учетных данных, если они установили скомпрометированные версии, а также внедрения более строгих практик управления пакетами, таких как привязка к известным безопасным версиям или проведение тщательных аудитов зависимостей. Этот инцидент выявляет уязвимости, присущие сопровождению пакетов, особенно в отношении контроля учетных записей и потенциального широкого воздействия на популярные библиотеки в экосистеме разработчиков.

#ParsedReport #CompletenessHigh
13-05-2026

crpx0 Ransomware Operations Double Extortion, Crypto Theft, and Network Footprint

https://www.aryaka.com/docs/reports/crpx0-ransomware-operations-report.pdf

Report completeness: High

Threats:
Crpx0
Qtox_tool
Spear-phishing_technique

Victims:
Corporate organizations, Government organizations, Cryptocurrency users

Industry:
Government, Aerospace

Geo:
India, Russian, Chinese

TTPs:
Tactics: 9
Technics: 24

IOCs:
File: 52
Url: 10
Command: 1
Domain: 5
Email: 2
Hash: 1

Soft:
MacOS, Linux, curl, Telegram, PostgreSQL

Wallets:
tron

Crypto:
bitcoin, ethereum, dogecoin, litecoin, solana, ripple

Algorithms:
sha256, aes, zip, base64

Functions:
set, GET_IDENTIFIER

Win Services:
WebClient

Languages:
python, php, powershell

Platforms:
cross-platform, x64, apple, arm, x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносная кампания crpx0 нацелена на Windows и macOS с планами будущей совместимости с Linux, используя социальную инженерию через поддельные предложения OnlyFans для доставки вредоносного ZIP-файла. После запуска она создает папку и использует многоступенчатый загрузчик, применяя PowerShell и Python для скрытой доставки полезной нагрузки, одновременно обеспечивая закрепление после перезагрузок. ВПО осуществляет кражу криптовалюты путем перехвата буфера обмена и может эволюционировать в шифровальщик, шифруя файлы и требуя выкуп, а также собирая системные данные для целевых атак.
-----

Сложная вредоносная кампания, идентифицированная как crpx0, осуществляет многоплатформенную атаку, в первую очередь нацеленную на Windows и macOS, с возможной будущей поддержкой Linux. Злоумышленники используют тактики социальной инженерии, заманивая пользователей обманными предложениями, связанными с аккаунтами OnlyFans, что служит начальным вектором заражения через вредоносный ZIP-архив, содержащий замаскированный ярлык. При выполнении этот ярлык запускает команды для создания папки для полезной нагрузки и загружает VBScript, который играет ключевую роль в развитии атаки.

ВПО использует многоэтапную систему загрузчика, которая включает использование Python для загрузки, установки и выполнения различных вредоносных компонентов скрытным образом. Примечательно, что ВПО использует PowerShell для загрузки дополнительных компонентов, оставаясь при этом скрытым от пользователя. Оно включает механизмы закрепления как в средах Windows, так и macOS, обеспечивая возможность возврата ВПО после перезагрузок системы путем создания записей автозагрузки или файлов LaunchAgent.

После запуска вредоносное ПО передает данные на свой сервер управления (C2), включая информацию об аппаратном обеспечении и системе, что позволяет злоумышленникам отслеживать зараженные машины. Его функциональные возможности включают перехват буфера обмена, направленный на кражу криптовалюты, при котором вредоносное ПО незаметно заменяет скопированные адреса кошельков на адреса, контролируемые злоумышленниками. Кроме того, вредоносное ПО может проводить операцию сбора seed-фраз для получения доступа к криптовалютным кошелькам жертв.

Угроза перерастает в программное обеспечение-вымогатель, способное шифровать файлы пользователей и выводить сообщения с требованием выкупа на нескольких языках. Эта стратегия двойного вымогательства не только угрожает шифрованием файлов, но и ведет к потенциальной публичной разглашении украденных данных, если выкуп не будет выплачен. Злоумышленники поддерживают портал утечек для жертв, что дополнительно подчеркивает организованную и систематическую природу кампании.

Целями шифрования являются широкий набор расширений файлов, что позволяет нанести значительный ущерб данным, при этом критические системные каталоги остаются нетронутыми, чтобы компьютер оставался работоспособным. Вся инфраструктура ВПО построена таким образом, чтобы адаптировать свои возможности в зависимости от среды и поведения пользователя, что способствует модульному подходу к эксплуатации.

Помимо кражи криптовалюты и сбора данных, вредоносное ПО обладает возможностью обновлять себя до более новых версий, что обеспечивает его эффективность против средств обнаружения и противодействия. Его архитектура и операционный охват свидетельствуют о высоком уровне сложности, подчеркивая необходимость применения надежных мер безопасности в личных и корпоративных средах для снижения рисков, связанных с подобными киберугрозами.

#ParsedReport #CompletenessHigh
14-05-2026

Amatera Stealer 4.0.2 Beta: What's New in This Variant

https://www.esentire.com/blog/amatera-stealer-4-0-2-beta-whats-new-in-this-variant

Report completeness: High

Threats:
Amatera_stealer
Acridrain
Hellsgate_technique
Freshycalls_technique
Clickfix_technique
Pe_injection_technique
Antidebugging_technique
Sparrow

Victims:
Finance

Industry:
Financial

Geo:
Ukrainian, Ukraine

TTPs:
Tactics: 1
Technics: 1

ChatGPT TTPs:
do not use without manual check
T1005, T1012, T1027, T1027.007, T1041, T1057, T1059.001, T1071.001, T1082, T1083, have more...

IOCs:
Hash: 3
File: 20
Registry: 1
BrowserExtension: 12
Coin: 2
Path: 2
Url: 1
Domain: 2
Command: 3
IP: 1

Soft:
Chromium, Discord, Bitwarden, 1Password, NordPass, QEMU, VirtualBox, Active Directory, SRWare Iron, Comodo Dragon, have more...

Wallets:
electrum, swash, tokenpocket, harmony_wallet, finnie, core_wallet, exodus_wallet, multidoge, mymonero, mycrypto, have more...

Crypto:
ripple, tezos, vechain, zilliqa, litecoin, dogecoin, bitcoin, monero, binance, ethereum, have more...

Algorithms:
aes-256-cbc, zip, xor, sha256, ecdh, chacha20-poly1305, chacha20, base64

Functions:
DllMain

Win API:
ecompress it, VirtualAlloc, VirtualProtect, ExitProcess, VirtualFree, LoadLibraryA, GetModuleHandleA, GetProcAddress, AcquireCredentialsHandleA, NtQueryInformationProcess, have more...

Languages:
powershell, python

Platforms:
x86

YARA: Found

Links:
https://github.com/eSentire/iocs/raw/refs/heads/main/Amatera/Amatera-4.0.2.zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Amatera Stealer, вариант стиллера информации на C++, являющийся производной от ACR Stealer, значительно эволюционировал, особенно в своей версии 4.0.2 Beta, улучшив методы обхода защиты, функциональность и эксфильтрацию данных. Ключевые особенности включают шифрование строк XTEA, улучшенные меры антиотладки, сложную коммуникацию C2 с использованием обмена ключами ECDH и шифрования ChaCha20-Poly1305, а также широкие возможности сбора данных, нацеленные на множество файлов браузеров и менеджеров паролей. Вредоносное ПО использует продвинутые техники разрешения вызовов, проверки на наличие сред песочницы и отладчиков, а также включает методы разрешения API для обхода обнаружения, сохраняя статус постоянной угрозы в сфере кибербезопасности.
-----

В конце апреля 2026 года аналитики перехватили попытку доставки Amatera Stealer, варианта ранее известного ACR (AcridRain) Stealer, в среде финансового сектора. Amatera Stealer представляет собой сложный стиллер на базе C++ и присутствует на рынке как минимум с 2018 года, претерпевая непрерывную эволюцию. Эта недавняя версия 4.0.2 Beta вводит множество критических улучшений, сосредоточенных на возможностях обхода, функциональности и эксфильтрации данных.

Одной из ключевых особенностей является реализация шифрования строк с помощью XTEA, при этом указатели на расшифрованные строки кэшируются в глобальных переменных. Номера системных сервисов (SysCall SSN) разрешаются с использованием комбинации техник FreshyCalls и Hell's Gate, что повышает способность ВПО избегать обнаружения и позволяет осуществлять динамическое разрешение системных вызовов. Возможности антиотладки были усилены, добавлены дополнительные меры геофенсинга, завершающие выполнение на системах с продуктами Kaspersky или использующих украинские раскладки клавиатуры.

Связь по каналу Command and Control (C2) была изменена с базового AES-256-CBC на использование обмена ключами Elliptic Curve Diffie-Hellman (ECDH) с применением NIST P-256 в сочетании с шифрованием ChaCha20-Poly1305. Это существенное изменение усложняет дешифровку трафика, требуя перехвата Private Keys или общих секретов из памяти. Атакующая цепочка инициируется через ClickFix, после чего выполняются команды PowerShell, загружающие shellcode, с последующим выполнением дешифровки и исполнения в памяти.

Возможности сбора данных Amatera обширны: теперь они охватывают 65 целей в браузерах, включая малоизвестные браузеры, а количество целей для десктопных кошельков увеличено с 41 до 137. Вредоносное ПО целенаправленно атакует файлы менеджеров паролей из различных приложений и имеет обновленный модуль сбора файлов, способный искать в папке «Загрузки» жертвы конфиденциальную информацию, такую как семенные фразы для криптовалюты и Закрытые ключи.

Структура полезной нагрузки включает сложное блобовое содержимое, содержащее ключи дешифрования, которое удаляет заголовки PE после выполнения для предотвращения статического анализа. В частности, вредоносное ПО включает надежные проверки для выявления сред отладки и песочницы, завершая работу или изменяя свое поведение при обнаружении таких условий. Это включает проверку количества установленных программ и активных процессов для уклонения от виртуализованных сред.

Кроме того, шеллкод использует инновационные техники разрешения API для обхода мер безопасности путем хеширования имен экспортов и проверки их на наличие известных уязвимостей. Внедрены новые проверки на эмуляторы для выявления виртуальных машин и распространенных сред песочницы, что повышает его выживаемость в условиях работы средств обнаружения.

Закрепление и эволюционирующие возможности Amatera Stealer подчеркивают постоянные вызовы для специалистов по кибербезопасности, акцентируя необходимость активного взаимодействия и механизмов защиты против эволюционирующих угроз в ландшафте ВПО.

#ParsedReport #CompletenessMedium
14-05-2026

The Supply Chain Strikes Again: Credential-Stealing Malware Hidden in node-ipc

https://www.upwind.io/feed/malicious-node-ipc-npm-package-credential-theft

Report completeness: Medium

Actors/Campaigns:
Node-ipc_compromise

Threats:
Supply_chain_technique
Credential_stealing_technique
Credential_harvesting_technique

Victims:
Software development, Cloud services, Ci cd, Kubernetes, Artificial intelligence tooling

Geo:
French

TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 9
Domain: 2
IP: 1
Email: 1
Hash: 1

Soft:
Kubernetes, Node.js, Alibaba Cloud, Docker, Claude

Algorithms:
gzip, xor, md5, sha256, hmac

Functions:
main

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
14 мая 2026 года злоумышленники использовали аккаунт легитимного разработчика для публикации вредоносных версий пакета npm node-ipc, внедрив в них payload для сбора учетных записей, который активировался молча через команду require('node-ipc'). ВПО действовало скрытно, собирая конфиденциальные учетные данные, связанные с средами разработки и облачными сервисами, и осуществляло эксфильтрацию данных через DNS TXT-запросы для уклонения от обнаружения. Этот инцидент ознаменовал значительную эволюцию угроз цепочки поставок программного обеспечения, продемонстрировав передовые техники сбора учетных записей без срабатывания тревог в ходе нормальной работы приложения.
-----

14 мая 2026 года злоумышленники опубликовали вредоносные версии широко используемого пакета npm node-ipc через аккаунт легитимного сопровождающего, внедрив в пакет, который ранее собирал около 3,35 миллиона загрузок в месяц, сложный payload для кражи учетных данных. ВПО было скрыто внутри CommonJS-сборки, а именно в файле node-ipc.cjs, и активировалось незаметно, когда приложения загружали пакет с помощью команды require('node-ipc'). Такая стратегическая конструкция обеспечивала сбор чувствительных учетных данных, связанных с средами разработки, конвейерами CI/CD и Облачными сервисами, не мешая нормальной работе приложения, что позволяло ему функционировать скрытно.

Атака демонстрирует значительную эволюцию в угрозах цепочки поставок программного обеспечения, переходя от базовой доставки ВПО к более продвинутым и осведомленным об инфраструктуре методам сбора учетных записей. Идентификация инфраструктуры управления атакой подтвердила ее функционирование, при этом опасный домен azurestaticprovider.net был зарегистрирован в тот же день, когда были опубликованы вредоносные пакеты. Анализ показал, что кампания произошла из-за скомпрометированной учетной записи эл. почты бывшего сопровождающего, что позволило злоумышленникам выполнить несанкционированную имперсонацию без прямого взлома систем npm. Вредоносная нагрузка была собрана локально и распространена под видом легитимных обновлений для node-ipc, который не менялся почти 20 месяцев до инцидента.

При выполнении вредоносное ПО нацеливалось на конфиденциальные API в среде Node.js в многоэтапном процессе. Сначала оно выполнялось скрытно, не вызывая тревог, что позволяло ему собирать учетные данные и секреты, распределенные по нескольким местам, включая облачные идентификаторы и инструменты разработчика. Для эксфильтрации этих украденных данных оно инновационно использовало DNS TXT-запросы вместо традиционных HTTP-методов. Этот выбор способа передачи данных обеспечил скрытный канал, поскольку организации часто игнорируют DNS-трафик в своем мониторинге безопасности, который обычно больше сосредоточен на HTTP-запросах.

Дизайн вредоносного ПО включал функциональность для создания отсоединённого дочернего процесса, что позволяло ему закрепляться независимо от родительского приложения Node.js. Этот механизм закрепления дополнительно усложняет усилия по обнаружению. Злоумышленники воспользовались доверием, установленным для пакета node-ipc, сохраняя нормальную функциональность, в то время как вредоносная активность происходила скрыто в фоновом режиме, тем самым значительно снижая вероятность немедленного обнаружения потенциальными жертвами.

Кампания установила новый операционный базис для атак на цепочку поставок, продемонстрировав способность злоумышленников использовать доверенные программные инструменты для сложных, целевых операций сбора учетных записей без вызова видимых индикаторов компрометации. Это событие подчеркивает важность повышенной бдительности и расширенного мониторинга для выявления аномалий в процессах node.js, необычной активности DNS и несанкционированного доступа к конфиденциальным учетным данным.

#ParsedReport #CompletenessHigh
13-05-2026

Phantom Stealer Analysis: Inside the Two-Layer Attack Chain Hidden Behind a Windows DLL

https://darkatlas.io/blog/phantom-stealer-analysis-inside-the-two-layer-attack-chain-hidden-behind-a-windows-dll

Report completeness: High

Threats:
Phantom_stealer
Dll_hijacking_technique
Process_hollowing_technique
Costura_tool
Heavens_gate_technique
Dllsearchorder_hijacking_technique

Victims:
Cryptocurrency, Financial services, Technology, Email services, Communications

Industry:
Financial

Geo:
Japanese

TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 24
Domain: 3
Path: 3
Email: 2
Coin: 5
Command: 3
Url: 1
Registry: 1
Hash: 3

Soft:
Chrome, Telegram, Discord, VirtualBox, TelegramAPI, WinScp, twitter, viber, gmail, protonmail, have more...

Wallets:
coinbase, electrum, atomicwallet, atomicdex, wassabi, electron_cash, coinomi, tronlink, metamask, jaxx, have more...

Crypto:
bitcoin, monero, litecoin, binance, ethereum, dogecoin, mincoin, yacoin, starcoin, solana, have more...

Algorithms:
xor, sha256, zip, base64, aes-gcm, aes-256-cbc, bcrypt, md5, rc4

Functions:
COM, SetWindowsHookEx, GetKeyString

Win API:
PdhAddCounterA, CopyFileW, RegCreateKeyExW, RegSetValueExW, RegCloseKey, PdhGetCounterInfoA

Languages:
java, swift, php

Platforms:
x86

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Phantom Stealer — это сложный стиллер, использующий вредоносный загрузчик pdh.dll для скрытого проникновения через подмену DLL, внедряя свой полезный груз в приостановленный процесс Microsoft с помощью внедрения в пустой процесс. Он обладает передовыми техниками уклонения, включая компиляцию NativeAOT, и проводит обширные проверки для предотвращения анализа, чтобы избежать обнаружения. ВПО извлекает данные из более чем 70 браузеров и криптовалютных кошельков, управляет клиппером для манипуляции транзакциями, фиксирует нажатия клавиш и обеспечивает закрепление путем модификации ключей реестра, демонстрируя свою серьезную угрозу и возможности эксплуатации.
-----

Phantom Stealer — это сложный двухуровневый Windows infostealer, предназначенный для проникновения в системы скрытно и избегания обнаружения. Атакующая цепочка начинается с вредоносного загрузчика pdh.dll, выполняющего маскировку под легитимную библиотеку Windows Performance Data Helper. После выполнения этот загрузчик осуществляет DLL hijacking целевых приложений для запуска встроенного полезного груза, который представляет собой коммерческий infostealer с богатым функционалом, внедряемый в приостановленный процесс Microsoft (jsc.exe) с помощью Process Hollowing.

Архитектура внешнего загрузчика использует компиляцию NativeAOT, которая удаляет общие артефакты .NET, повышая его возможности по уклонению от традиционных средств обнаружения. После развертывания Phantom Stealer выполняет агрессивные проверки на антианализ более чем по 80 идентификаторам, включая профили песочницы и исследователей, чтобы убедиться, что он работает в легитимной среде. Если эти проверки не проходят, ВПО самоуничтожается до того, как начнутся какие-либо вредоносные действия.

После активации полезной нагрузки Phantom Stealer выполняет различные методы эксфильтрации данных, нацеленные на широкий спектр источников. Он собирает учетные данные из более чем 70 браузеров и 30 настольных криптовалютных кошельков, а также перехватывает пароли Wi-Fi, скриншоты и содержимое буфера обмена, одновременно развертывая криптовалютный клиппер для манипуляции транзакциями. Кроме того, этот infostealer может захватывать нажатия клавиш, проявляя особый интерес к коммуникациям и финансовым данным, тем самым повышая уровень угрозы от простого кражи учетных данных до более широких рисков шпионажа и вымогательства.

Способность вредоносного ПО обходить шифрование App-Bound в Chrome, меру безопасности, направленную на защиту сохраненных учетных данных, подчеркивает его продвинутые возможности. Это обход достигается с помощью многоэтапного процесса, включающего внедрение в процесс Chrome для получения необходимых ключей шифрования. Кроме того, наличие кейлоггера и возможность перехватывать сессии Телеграм усиливают его оперативную эффективность при извлечении конфиденциальной информации без опоры на традиционные методы аутентификации учетных данных.

Более того, механизмы закрепления Phantom Stealer обеспечивают его долговечность на зараженных системах, поскольку вредоносный загрузчик создает ключи реестра для поддержания работоспособности даже после перезагрузки системы. Вся конфигурация указывает на хорошо организованную криминальную платформу; ее коммерческий характер позволяет различным злоумышленникам использовать ее в рамках разных кампаний, адаптируя настройки эксфильтрации и оперативные тактики.

В заключение, Phantom Stealer представляет собой значительную угрозу в киберпространстве благодаря своим передовым тактикам уклонения, широким возможностям целеполагания и эффективности в рамках более крупной экосистемы криминального ПО, основанной на повторном использовании. Он выходит за рамки простого кражи учетных данных, согласуясь с эволюционирующими методологиями киберпреступников, ориентированными на комплексное извлечение данных и закрепление в скомпрометированных средах.

#ParsedReport #CompletenessLow
19-05-2026

From PDB strings to MaaS: Tracking a commodity BadIIS ecosystem used by Chinese-speaking threat

https://blog.talosintelligence.com/from-pdb-strings-to-maas-tracking-a-commodity-badiis-ecosystem/

Report completeness: Low

Actors/Campaigns:
Dragonrank
Uat-8099

Threats:
Badiis

Victims:
Iis servers, Web servers, Search engine ecosystem

Geo:
America, South africa, Chinese, Asia-pacific

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036.004, T1059.003, T1071.001, T1090, T1105, T1491.002, T1505.004, T1543.003, T1564.001, have more...

IOCs:
File: 9
Command: 1
Url: 7
Hash: 151

Soft:
n antivirus) versi, Windows service, active directory

Algorithms:
base64, xor

Languages:
php, javascript

Platforms:
x64

Links:
https://github.com/Cisco-Talos/IOCs/blob/main/2026/05/commodity\_badiis.txt

#ParsedReport #ExtractedSchema

Classified images:
schema: 3, code: 8, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4