#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Prinz Eugen — это новая обнаруженная семейство программ-вымогателей, написанное на языке Go, использующее шифрование ChaCha20-Poly1305 с сложным трехэтапным процессом вывода ключей. Оно в первую очередь нацелено на недавно измененные файлы и выполняет рекурсивный сканирование каталогов, избегая использования ransom-нот для повышения скрытности. Скомпрометированные учетные данные RDP являются вероятным вектором первоначального доступа, а злоумышленник, связанный с предыдущими усилиями по вымогательству, использует легитимные инструменты для перемещения внутри компании, поддерживая низкую видимость через структурированные тактики управления.
-----

Prinz Eugen — это новая выявленная семья программ-вымогателей, созданная на языке Go, демонстрирующая сложное поведение и сильный акцент на целевой шифровании файлов. Она использует ChaCha20-Poly1305 для шифрования, характеризуется трехэтапной функцией вывода ключей и стратегией пофрагментного шифрования, что обеспечивает надежный механизм защиты зашифрованных файлов. ВПО отдает приоритет недавно измененным файлам при шифровании, одновременно выполняя рекурсивный обход каталогов, который может контролироваться с помощью параметров командной строки. Интересной особенностью Prinz Eugen является ее намеренный отказ от создания файла с вымогательским сообщением на диске; вместо этого она использует каналы связи вне основного потока для вымогательства у жертв, что усиливает ее антикриминалистический анализ возможности.

Первоначальный вектор атаки Prinz Eugen, по-видимому, включает скомпрометированные учетные данные RDP, через которые злоумышленник загрузил исполняемый файл вымогателя в скомпрометированную среду. Примечательно, что во время атаки преступник использовал легитимные инструменты удаленного управления, такие как RemotePC, для дополнительной развертывания полезной нагрузки и перемещения внутри компании, демонстрируя тенденцию, при которой атакующие используют доверенное программное обеспечение, чтобы слиться с нормальным корпоративным трафиком и избежать обнаружения. Оператор, как полага

Анализ поведения программы-вымогателя выявляет тщательный процесс шифрования, который начинается с создания временной копии исходного файла перед его шифрованием. Целостность каждого файла проверяется с помощью хеширования SHA-256, а приложение гарантирует, что ключ шифрования не остается в памяти после выполнения, что дополнительно усложняет криминалистический анализ. Сообщается, что актор значительно нацелился на среды, используя несколько векторов для доступа к корпоративным приложениям для перемещения внутри компании.

С точки зрения инфраструктуры, адреса управления (C2), используемые Prinz Eugen, демонстрируют элементы, указывающие на структурированную и осторожную оперативную методологию, включая демонтаж инфраструктуры после атаки. Такое поведение подтверждается быстрой очисткой учетных записей хостинга и удалением DNS-записей, связанных с их деятельностью.

Публичная атрибуция связывает программу-вымогатель с одним актором, известным как ROOTBOY, соединяя операцию с вымогательством с предыдущими инцидентами эксфильтрации данных и шантажа. Исторический контекст указывает на последовательный паттерн в соглашениях об именах и операционной методологии, что помогает отслеживать деятельность актора на различных форумах и платформах.

В последнем отчете также подчеркивается значительное время пребывания (dwell time) около трех недель до начала эксфильтрации данных, что подтверждает методичный операционный ритм, применяемый этим злоумышленником. Сложная архитектура Prinz Eugen, включая его технические особенности и целенаправленный выбор инструментов эксплуатации, проливает свет на эволюцию ландшафта операций с программным обеспечением для вымогательства, где как скорость, так и скрытность имеют первостепенное значение.

#ParsedReport #CompletenessHigh
17-06-2026

Vibe Hacking: Two AI-Augmented Campaigns Target Government and Financial Sectors in Latin America

https://www.trendmicro.com/ru_ru/research/26/e/vibe-hacking-two-ai-augmented-campaigns-target-government-and-financial-sectors-in-latin-america.html

Report completeness: High

Actors/Campaigns:
Shadow-aether-040
Shadow-aether-064

Threats:
Proxychains_tool
Chisel_tool
Neo-regeorg
Crackmapexec_tool
Impacket_tool
Dirty_cow_vuln
Pwnkit_tool
Petitpotam_vuln
Password_spray_technique
Passthehash_technique
Socktz_tool
Credential_dumping_technique

Victims:
Government, Financial, Aviation, Retail, Latin america, Mexico, Brazil

Industry:
Aerospace, Government, Retail

Geo:
Spanish, Mexico, Portuguese, Brazil, Latin america

TTPs:
Tactics: 12
Technics: 33

IOCs:
IP: 8
Domain: 2
Hash: 20

Soft:
Anthropic, Claude, PyInstaller, JBoss, Active Directory, WordPress

Algorithms:
sha256, base64

Win API:
SeDenyNetworkLogonRight

Languages:
python

Links:
https://github.com/haad/proxychains
have more...
https://github.com/jpillora/chisel
https://github.com/L-codes/Neo-reGeorg

#ParsedReport #ExtractedSchema

Classified images:
windows: 11, schema: 1, code: 4

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампании SHADOW-AETHER-040 и SHADOW-AETHER-064 демонстрируют эволюцию киберугроз, использующих агентов на базе искусственного интеллекта для автоматизации и усиления вторжений, направленных на государственные и финансовые секторы Латинской Америки. SHADOW-AETHER-040 использовал интерфейс командной строки для взаимодействия с большой языковой моделью с целью эксплуатации, применяя веб-шеллы и туннели SOCKS5, тогда как SHADOW-AETHER-064 использовал аналогичные тактики, включая такие инструменты, как POW и SOCKTZ. Обе кампании подчеркивают возросшую автоматизацию и эффективность кибератак благодаря искусственному интеллекту, что минимизирует риски обнаружения.
-----

SHADOW-AETHER-040 нацелен на государственные учреждения и финансовый сектор Мексики.

Операции начались в конце 2025 года.

Кампания использует агентный интерфейс командной строки для взаимодействия с большой языковой моделью.

Акторы генерируют динамические скрипты и команды для эксплуатации, используя уязвимости.

Веб-шеллы были развернуты для облегчения перемещения внутри компании через туннели SOCKS5 с использованием таких инструментов, как Chisel и Neo-reGeorg.

Операции управления были раскрыты из-за неправильной OPSEC, что привело к разглашению конфиденциальных данных и журналов разговоров.

ИИ-агент создавал целевые команды и документировал рабочие процессы атак в файлах Markdown, формируя оперативную базу знаний.

Был представлен новый бэкдор implante_http, позволяющий выполнять команды и осуществлять эксфильтрацию данных через каналы WebSocket.

SHADOW-AETHER-064, появившийся в апреле 2026 года, нацелен на финансовые учреждения в Бразилии.

Эта кампания использует тактики, аналогичные SHADOW-AETHER-040, включая ProxyChains и туннелирование SOCKS5.

Операторы SHADOW-AETHER-064 идентифицируются как португалоязычные, в отличие от испаноязычных оперативников SHADOW-AETHER-040.

Ключевыми инструментами этой кампании являются POW, который инкапсулирует трафик SOCKS5 в HTTP POST-запросы, и SOCKTZ — инструмент обратного туннелирования на Go для удаленного выполнения команд.

Обе кампании подчеркивают восходящий тренд в использовании ИИ-агентов для автоматизации киберопераций, что снижает зависимость от традиционных инструментов взлома.

Способность ИИ генерировать уникальные команды на лету снижает риски обнаружения.

Сильные практики безопасности, своевременное обновление и контроль доступа по модели нулевого доверия имеют решающее значение для снижения рисков от этих передовых угроз.

#ParsedReport #CompletenessMedium
18-06-2026

Operation FanTrap: Inside the FIFA 2026 Fraud Ecosystem

https://cyble.com/blog/operation-fantrap-fifa-2026-fraud-ecosystem/

Report completeness: Medium

Actors/Campaigns:
Fantrap (motivation: financially_motivated, cyber_criminal)

Threats:
Credential_harvesting_technique
Spear-phishing_technique

Victims:
Football fans, Sports sector, Football sector

Industry:
Financial, Entertainment

Geo:
Apac, Korean, Mexico, Canada, China, Emea, Chinese, America, Latin american

TTPs:
Tactics: 5
Technics: 7

IOCs:
Domain: 3947

Soft:
Telegram, WhatsApp, Discord

Functions:
WhatsApp

Links:
https://github.com/CRIL-ThreatIntelligence/IOCs/blob/main/Operation\_FIFA\_TRAP/Operation\_FanTrap-Inside\_the\_FIFA\_2026\_Fraud\_Ecosystem\_ioc.txt

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция FanTrap выявляет хорошо организованную схему киберкриминала, использующую чемпионат мира по футболу 2026 года, включающую почти 4 000 мошеннических доменов, имитирующих бренды ФИФА и продажу билетов. Злоумышленники применяют тактики, такие как поддельные предложения билетов и контрафактные товары, перенаправляя жертв на платформы для обмена сообщениями для мошенничества с платежами и кражи учетных данных. Кроме того, операция нацелена на мандаринскоязычную аудиторию и подключение к пиратским платформам потокового вещания, что способствует распространению ВПО и сбору персональных данных на фоне заявлений о значительных случаях кражи личных данных.
-----

Операция FanTrap выявляет сложную и организованную схему киберкриминала, связанную с Чемпионатом мира по футболу 2026 года, использующую повышенный глобальный интерес к этому событию. С мая 2026 года аналитики Cyble Research and Intelligence Labs выявили почти 4000 мошеннических доменов, созданных для имитации брендов, связанных с ФИФА, платформ для продажи билетов и сервисов потокового вещания. Операция характеризуется всеобъемлющей экосистемой мошенничества, в которой злоумышленники применяют различные тактики для привлечения футбольных болельщиков через поддельные предложения билетов, несанкционированный доступ VIP-уровня и контрафактную продукцию.

Жертв часто перенаправляют на платформы для обмена сообщениями, такие как Телеграм и WhatsApp, где они становятся жертвами мошенничества с платежами и кражи учетных записей. Эти сервисы для обмена сообщениями используются для содействия частным транзакциям, тем самым снижая контроль и увеличивая уязвимость для пользователей. Кроме того, вредоносная инфраструктура распространяется на пиратские платформы потокового вещания, которые не только заманивают пользователей обещанием бесплатных футбольных матчей, но и служат каналами для распространения ВПО и сбора учетных записей. Мошенники используют вводящие в заблуждение тактики, такие как поддельные видеоплееры и обманные запросы на загрузку, для сбора личных данных и платежной информации.

Заслуживающим внимания аспектом этой операции является нацеленность на конкретные демографические группы, в частности на аудитории, говорящие на мандаринском диалекте. Использование этикеток на китайском языке свидетельствует о стратегическом фокусе на регионах с высокой вовлеченностью болельщиков футбола, что обеспечивает более широкое охват. Кроме того, даркнет стал центром обсуждений, касающихся потенциальных утечек данных о личности, связанных с Чемпионатом мира по футболу, с утверждениями о компрометации более 150 000 учетных записей, связанных с футболом. Хотя подлинность этих утечек требует дальнейшего подтверждения, они свидетельствуют о том, что злоумышленники все чаще объединяют мошенничество, нацеленное на болельщиков, с более масштабным кражей личных данных и финансовыми преступлениями.

Жизненный цикл атаки, выстроенный этими злоумышленниками, включает несколько этапов, начиная с подготовки инфраструктуры через регистрацию доменов и заканчивая монетизацией собранных данных. Каждый компонент операции стратегически связан для максимизации воздействия, демонстрируя, что киберпреступники эволюционируют от изолированных мошеннических схем к взаимосвязанным экосистемам мошенничества.

#ParsedReport #CompletenessHigh
17-06-2026

ClickFix Campaign Generated Via AI Delivers SmartRAT

https://www.zscaler.com/blogs/security-research/clickfix-campaign-generated-ai-delivers-smartrat

Report completeness: High

Threats:
Clickfix_technique
Smartrat
Typosquatting_technique
Banana_rat
Bloat_technique

Victims:
Banking, Financial services, Brazil

Industry:
Financial

Geo:
Brasil, Brazilian, Brazil

TTPs:
Tactics: 6
Technics: 9

IOCs:
Domain: 4
File: 21
IP: 2
Url: 1
Path: 2
Hash: 4

Soft:
Windows service, winlogon.e, Windows Security, PsExec

Crypto:
binance

Algorithms:
sha256, aes-cbc, base64, xor, aes, hmac

Functions:
preventDefault, stopPropagation, Windows, CreateProcessAsUser

Win API:
ShowWindow, DuplicateTokenEx, BitBlt, GetLastInputInfo, SetProcessDpiAwareness

Win Services:
WebClient

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix, выявленная подразделением Zscaler ThreatLabz, использует инструменты создания веб-сайтов на базе искусственного интеллекта для тайпсквоттинга, целенаправленно атакуя бразильский банк для развертывания SmartRAT — троянской программы удаленного доступа на базе PowerShell. Атака включает вредоносные веб-страницы, обманывающие жертв с целью взаимодействия с поддельными CAPTCHA, что приводит к выполнению команды PowerShell, загружающей SmartRAT, обладающую возможностями удаленного управления и кражи финансовых данных. Связь с панелью управления осуществляется по TCP-порту 51888, при этом выявлена уязвимость в методах аутентификации панели управления.
-----

В марте 2026 года подразделение ThreatLabz компании Zscaler выявило преступную хакерскую кампанию под названием ClickFix, развернутую злоумышленниками с использованием инструментов создания веб-сайтов на базе искусственного интеллекта для тайпсквоттинга. Данная кампания целенаправленно имитировала бразильский банк для доставки SmartRAT — троянской программы удаленного доступа (RAT), основанной на PowerShell. SmartRAT предназначена для удаленного управления и кражи финансовых данных посредством таких функций, как регистрация нажатий клавиш, кража учетных данных и использование поддельных банковских интерфейсов.

Техника ClickFix, использованная в этой кампании, включала вредоносную веб-страницу, имитирующую официальный домен бразильского банка. Жертв обманом заставляли взаимодействовать с поддельной CAPTCHA, что приводило к появлению полноэкранного поддельного сообщения о «синем экране смерти» (BSOD), ограничивающего их контроль и выполняющего команду PowerShell. Эта команда, после выдачи, инициировала загрузку скрытого загрузчика PowerShell под именем st.txt с жёстко заданного IP-адреса. Загрузчик, в свою очередь, скачивал второй полезный груз, содержащий SmartRAT, закодированный с использованием шифрования AES.

SmartRAT работает с различными возможностями, такими как зашифрованные каналы управления (C2) и механизмы закрепления. Он проверяет свой уровень привилегий и пытается обеспечить закрепление через запланированные задачи или изменения в реестре, чтобы оставаться активным после перезагрузок системы. Вредоносное ПО использует ряд продвинутых техник, включая процесс-наблюдатель для поддержания его выполнения и различные возможности Перехвата вводимых данных для клавиатурных нажатий и скриншотов.

Связь с C2 осуществляется через необработанный TCP-сокет на порту 51888, при этом ВПО управляет разнообразными функциями, такими как автоматическая потоковая передача экрана, обнаружение бездействия и даже перехват QR-кодов, что позволяет ему манипулировать QR-транзакциями. SmartRAT генерирует уникальные идентификаторы для заражённого компьютера, использует жёстко закодированные ключи для шифрования и аутентификации, а также ведёт журналы своей деятельности.

В панели C2 была обнаружена значительная уязвимость, которая использовала небезопасные значения локального хранилища для аутентификации без серверной проверки, подвергая операторов потенциальной перехватке или доступу со стороны несанкционированных субъектов.

Появление инструментов на базе искусственного интеллекта в ландшафте угроз расширяет возможности киберпреступников, позволяя им создавать убедительные атаки в масштабе. Этот инцидент подчеркивает постоянную эволюцию тактик, используемых злоумышленниками, и акцентирует необходимость надежных мер безопасности для противодействия сложным подходам, таким как кампания ClickFix.

#ParsedReport #CompletenessLow
18-06-2026

It looks like a normal resume, but the infection begins the moment it is executed.

https://asec.ahnlab.com/ko/94163/

Report completeness: Low

Threats:
Dll_sideloading_technique
Xctdoor

Victims:
Corporate users, Employees, Business sector

Geo:
Korean

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027.013, T1036, T1036.005, T1053.005, T1055, T1059.001, T1105, T1140, T1204.002, T1547.001, have more...

IOCs:
File: 4

Soft:
Task Scheduler

Algorithms:
base64

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние киберугрозы включали вредоносные LNK-файлы, замаскированные под резюме, которые при взаимодействии выполняют серию скриптов для установки бэкдор ВПО. Атака использует такие техники, как создание запланированных задач для поддержания закрепления и использование подгрузки DLL (DLL side-loading) с `ProximityUxHost.exe` для загрузки вредоносной DLL `ProximityCommon.dll`, что соответствует варианту бэкдор ВПО под названием Xctdoor. ВПО подключается к серверу C2 для постоянного управления и эксфильтрации данных, что затрудняет обнаружение из-за тактик обфускации.
-----

Недавние киберугрозы связаны с вредоносными ярлыками (LNK), замаскированными под безобидные документы резюме. Эти файлы, как правило, называются так, чтобы напоминать настоящие резюме, включая названия соответствующих компаний и должности, и запускают заражение сразу после выполнения. Когда пользователи взаимодействуют с этими LNK-файлами, им показывается документ, выглядящий легитимно, чтобы обмануть их и заставить поверить, что файл безопасен. Одновременно вредоносный компонент работает в фоновом режиме, развертывая дополнительные файлы и бэкдор ВПО.

После выполнения LNK-файл генерирует пакетные файлы (.bat), скрипты PowerShell (.ps1) и файлы VBScript (.vbs) в директории `C:\Users\Public\Videos`. Эта серия скриптов встроена в LNK-файл, а созданный скрипт PowerShell настраивает задачу в Планировщике заданий с именем "office365", которая вызывает файл VBScript каждые десять минут. Этот шаг критически важен, так как он обеспечивает постоянное выполнение ВПО, позволяя ему возобновлять работу даже после перезагрузки системы или ручного завершения процессов.

VBScript вызывает пакетный файл, который использует команду `curl` для загрузки дополнительных вредоносных компонентов с внешнего сервера. Некоторые из этих файлов закодированы в формате Base64, и после декодирования они сохраняются как скрипты PowerShell в директории `C:\Users\Public\Pictures`. Скрипт `p2.ps1` затем создает ярлык в папке автозагрузки, обеспечивая продолжение вредоносных операций при каждом запуске системы. Он также расшифровывает ранее загруженные файлы для создания исполняемых файлов, DLL и дополнительных файлов данных.

Одной из заметных техник, применённых в этой атаке, является подгрузка DLL (DLL side-loading), при которой легитимный исполняемый файл — в данном случае `ProximityUxHost.exe` — манипулируется для загрузки вредоносной DLL `ProximityCommon.dll`. Вредоносный код, инкапсулированный в этой DLL, соответствует варианту бэкдор ВПО под названием Xctdoor. Данный вредоносный код пытается установить соединение с сервером управления (C2), обеспечивая постоянный контроль и потенциальную эксфильтрацию данных злоумышленником.

Сложность и скрытность этой цепочки атаки затрудняют её обнаружение. Используя методы обфускации, такие как применение распространённых имён файлов документов и имитация легитимных системных конфигураций, злоумышленники повышают вероятность успешной эксплуатации. Следовательно, пользователи и администраторы безопасности должны проявлять бдительность при проверке файлов, которые выглядят безобидно, но могут скрывать вредоносные вложения, особенно бдительно относясь к LNK-файлам, связанным с процессами трудоустройства.

#ParsedReport #CompletenessLow
19-06-2026

AutoJack: How a single page can RCE the host running your AI agent

https://www.microsoft.com/en-us/security/blog/2026/06/18/autojack-single-page-rce-host-running-ai-agent/

Report completeness: Low

Threats:
Autojack_technique
Cross_prompt_injection_technique

Victims:
Autogen studio developers, Software development, Artificial intelligence

Industry:
Education

ChatGPT TTPs:
do not use without manual check
T1189, T1203

IOCs:
Domain: 1
Command: 1
File: 21
Url: 2

Soft:
Microsoft Defender, AutoGen, FastAPI, Flask, Chromium, utoGen St, Microsoft Entra, PyRIT, Microsoft Defender for Endpoint, Dependabot, have more...

Algorithms:
base64

Functions:
WebSocket

Languages:
javascript, python

Links:
https://github.com/microsoft/autogen/commit/b0477309d2a0baf489aa256646e41e513ab3bfe8
https://github.com/microsoft/PyRIT

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Цепочка эксплойтов AutoJack, обнаруженная в AutoGen Studio, позволяет недоверенному веб-контенту эксплуатировать локальный WebSocket протокола Model Context Protocol (MCP), обеспечивая произвольное выполнение процессов на хосте. Уязвимость обусловлена недостаточной проверкой источника и опциональной аутентификацией для путей MCP, что может быть использовано для организации Удаленного Выполнения Кода (RCE). Этот инцидент подчеркивает необходимость усиления протоколов безопасности в экосистемах ИИ-агентов, отражая уязвимости, связанные с взаимодействием этих агентов с недоверенным контентом.
-----

Расследование безопасности фреймворков ИИ-агентов привело к обнаружению значительной цепочки эксплойтов, получившей название «AutoJack», в AutoGen Studio — открытой прототипной пользовательской интерфейсной оболочке, разработанной Microsoft Research. Эта уязвимость позволяет недоверенному веб-контенту, доступному через агента-браузера, эксплуатировать локальный WebSocket протокола Model Context Protocol (MCP), что дает атакующему возможность выполнять произвольные процессы на хост-системе. Это нарушение пересекает границу доверия localhost, на которую обычно опираются инструменты разработчика, фундаментально изменяя ожидаемую позицию безопасности в аналогичных средах.

Цепочка эксплуатации опирается на три основные уязвимости в реализации MCP WebSocket. Первая — недостаточная проверка источника (origin), при которой WebSocket принимает соединения только с localhost, что может быть обходится агентами, работающими на том же компьютере и обслуживающими легитимные веб-страницы или выполняющими JavaScript. Во-вторых, аутентификация для путей MCP отключена по умолчанию (opt-out), что означает отсутствие необходимых проверок аутентификации на критических конечных точках, позволяя несанкционированный доступ к WebSocket. Это эффективно превращает агента браузера в «запутанного заместителя» (confused deputy), злоупотребляя доверием, предоставленным для localhost, для обхода предусмотренных мер безопасности.

Например, агент AutoGen, развернутый с возможностями веб-просмотра, может быть обманут для загрузки вредоносного контента с URL-адреса, контролируемого злоумышленником. После компрометации агент может быть использован для открытия WebSocket-соединения с локальным конечной точкой MCP, что приведет к выполнению команд, таких как запуск calc.exe на машине разработчика, — что отражает простую и потенциально катастрофическую уязвимость Удаленное Выполнение Кода (RCE).

К счастью, эта уязвимость была устранена в последующих обновлениях после её выявления. Слабые места были исправлены до того, как какие-либо затронутые версии были выпущены через Python Package Index (PyPI), что означает, что пользователи, устанавливающие AutoGen Studio из PyPI, не подвержены этой эксплойт-атаке. Коммиты по усилению безопасности, реализованные в основной ветке, а также различные средства защиты и рекомендации от Microsoft помогают укрепить защиту от подобных атак.

Выходя за рамки AutoGen Studio, инцидент с AutoJack служит предупреждением о более широких последствиях для экосистем ИИ-агентов. Он демонстрирует, как традиционные меры безопасности могут стать неэффективными, когда агенты обладают возможностью взаимодействовать с ненадежным контентом и получать доступ к локальным привилегированным службам. Исследование показывает, что для защиты от аналогичных цепочек эксплуатации в других системах необходим более надежный фреймворк, включающий строгую аутентификацию, протоколы авторизации и изоляцию идентификации. Эта необходимая эволюция практик безопасности отражает растущую сложность угроз, возникающих по мере дальнейшего развития и распространения технологий ИИ.

#ParsedReport #CompletenessMedium
18-06-2026

Popa: From Sourcing to Distribution

https://synthient.com/blog/popa-from-sourcing-to-distribution

Report completeness: Medium

Threats:
Popa_tool
Residential_proxy_technique
Moneytiser_tool
Vo1d
Ghostsocks

Victims:
Consumers, Streaming applications, Iptv applications, Utility applications, Piracy related applications

Industry:
Software_development

ChatGPT TTPs:
do not use without manual check
T1008, T1027, T1071.001, T1090, T1102.001

IOCs:
Domain: 4
File: 1
Hash: 4

Soft:
Android

Algorithms:
aes-ecb

Win API:
NetNut

Languages:
java

Links:
https://github.com/synthient/public-research/tree/main/2026/06/popa
https://github.com/deepfield/public-research/tree/main/popa/iocs
have more...
https://github.com/deepfield/public-research/blob/main/reports/2026-06-18-robovpn-neunative.md