CTT Report Hub
#ParsedReport #CompletenessHigh 20-06-2026 Fortibleed: Anatomy of the FortiBleed campaign based on the server that the attackers themselves left exposed. https://zenox.ai/en/fortibleed-anatomy-of-the-fortibleed-campaign-based-on-the-server-that-the-attackers…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания FortiBleed, раскрытая в июне 2026 года, включала масштабную операцию по краже учетных данных, нацеленную на межсетевые экраны Fortinet FortiGate, затронувшую 73 932 уникальных URL-адреса в 194 странах. Атакующие использовали структурированный четырехэтапный подход, включающий массовое сканирование, извлечение учетных данных, сложное взламывание хешей с использованием таких инструментов, как Hashtopolis, и перемещение внутри компании в сети, применяя автоматизацию и искусственный интеллект для повышения эффективности. Эта кампания завершилась значительными компрометациями административного доступа в нескольких организациях из-за критического сбоя в операционной безопасности, который привел к разглашению конфиденциальных файлов в интернете.
-----
Кампания FortiBleed включает кражу учётных данных, нацеленную на межсетевые экраны Fortinet FortiGate.
Операция выявила 318 файлов из раскрытого командного пункта, содержащих информацию о методах атак.
Оно охватывало 73 932 уникальных URL-адреса межсетевого экрана в 194 странах, что указывает на деятельность крупного масштаба.
Атакующие использовали четырехэтапный подход: массовое сканирование, извлечение учетных данных, взлом хешей и перемещение внутри компании.
Начальное сканирование включало региональные целевые списки и несколько одновременных потоков доступа, что дало положительный результат.
Сбор учетных записей использовал инструменты веб-автоматизации для захвата данных сеанса.
Был создан конвейер данных для обработки захваченных учетных данных с целью облегчения эксплуатации.
Для взлома хешей использовалась распределённая архитектура с Hashtopolis и арендованными GPU-ресурсами.
Злоумышленники управляли задачами взлома через бота Телеграм, поддерживающего несколько типов хешей, таких как NetNTLMv2 и Kerberos.
Инфраструктура позволяла нацеливаться не только на устройства Fortinet, но и на различные базы данных и сети.
Тактики постэксплуатации использовали Python-скрипты для действий во внутренней сети, таких как распыление пароля против Active Directory.
Расширенная проверка учётных записей пользователей и аудит привилегий продемонстрировали высокий уровень автоматизации в атаках.
Атакующие также использовали инструмент на базе искусственного интеллекта CyberStrike для автоматизации задач тестирования на проникновение.
Сбой в области операционной безопасности (OPSEC) привёл к раскрытию критически важных инструментов и ключей доступа из-за наличия файлов, доступных в интернете.
В результате кампании был получен несанкционированный доступ к тысячам межсетевых экранов и зафиксированы нарушения безопасности в нескольких доменах Active Directory.
Рекомендуемые меры защиты включают предположение о компрометации устройств FortiGate, подвергшихся воздействию, и обеспечение многофакторной аутентификации (MFA).
Дополнительные меры включают ротацию административных учетных данных и мониторинг аномальной активности, указывающей на доступ через бэкдор.
Дело FortiBleed иллюстрирует изменяющийся ландшафт киберугроз, подчеркивая интеграцию ИИ в атаки.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания FortiBleed, раскрытая в июне 2026 года, включала масштабную операцию по краже учетных данных, нацеленную на межсетевые экраны Fortinet FortiGate, затронувшую 73 932 уникальных URL-адреса в 194 странах. Атакующие использовали структурированный четырехэтапный подход, включающий массовое сканирование, извлечение учетных данных, сложное взламывание хешей с использованием таких инструментов, как Hashtopolis, и перемещение внутри компании в сети, применяя автоматизацию и искусственный интеллект для повышения эффективности. Эта кампания завершилась значительными компрометациями административного доступа в нескольких организациях из-за критического сбоя в операционной безопасности, который привел к разглашению конфиденциальных файлов в интернете.
-----
Кампания FortiBleed включает кражу учётных данных, нацеленную на межсетевые экраны Fortinet FortiGate.
Операция выявила 318 файлов из раскрытого командного пункта, содержащих информацию о методах атак.
Оно охватывало 73 932 уникальных URL-адреса межсетевого экрана в 194 странах, что указывает на деятельность крупного масштаба.
Атакующие использовали четырехэтапный подход: массовое сканирование, извлечение учетных данных, взлом хешей и перемещение внутри компании.
Начальное сканирование включало региональные целевые списки и несколько одновременных потоков доступа, что дало положительный результат.
Сбор учетных записей использовал инструменты веб-автоматизации для захвата данных сеанса.
Был создан конвейер данных для обработки захваченных учетных данных с целью облегчения эксплуатации.
Для взлома хешей использовалась распределённая архитектура с Hashtopolis и арендованными GPU-ресурсами.
Злоумышленники управляли задачами взлома через бота Телеграм, поддерживающего несколько типов хешей, таких как NetNTLMv2 и Kerberos.
Инфраструктура позволяла нацеливаться не только на устройства Fortinet, но и на различные базы данных и сети.
Тактики постэксплуатации использовали Python-скрипты для действий во внутренней сети, таких как распыление пароля против Active Directory.
Расширенная проверка учётных записей пользователей и аудит привилегий продемонстрировали высокий уровень автоматизации в атаках.
Атакующие также использовали инструмент на базе искусственного интеллекта CyberStrike для автоматизации задач тестирования на проникновение.
Сбой в области операционной безопасности (OPSEC) привёл к раскрытию критически важных инструментов и ключей доступа из-за наличия файлов, доступных в интернете.
В результате кампании был получен несанкционированный доступ к тысячам межсетевых экранов и зафиксированы нарушения безопасности в нескольких доменах Active Directory.
Рекомендуемые меры защиты включают предположение о компрометации устройств FortiGate, подвергшихся воздействию, и обеспечение многофакторной аутентификации (MFA).
Дополнительные меры включают ротацию административных учетных данных и мониторинг аномальной активности, указывающей на доступ через бэкдор.
Дело FortiBleed иллюстрирует изменяющийся ландшафт киберугроз, подчеркивая интеграцию ИИ в атаки.
#ParsedReport #CompletenessMedium
17-06-2026
Five npm Packages That Hide a Windows Binary Dropper
https://safedep.io/procwire-npm-windows-dropper-campaign/
Report completeness: Medium
Threats:
Bitsadmin_tool
Motw_bypass_technique
Lolbin_technique
Victims:
Software supply chain, Windows users
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1036, T1036.005, T1059.001, T1059.003, T1059.007, T1082, T1105, T1140, T1195.001, have more...
IOCs:
File: 13
Url: 3
Email: 2
Path: 1
Command: 3
Domain: 1
Soft:
Node.js, curl
Algorithms:
xor
Functions:
createServer
Languages:
powershell
17-06-2026
Five npm Packages That Hide a Windows Binary Dropper
https://safedep.io/procwire-npm-windows-dropper-campaign/
Report completeness: Medium
Threats:
Bitsadmin_tool
Motw_bypass_technique
Lolbin_technique
Victims:
Software supply chain, Windows users
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1036.005, T1059.001, T1059.003, T1059.007, T1082, T1105, T1140, T1195.001, have more...
IOCs:
File: 13
Url: 3
Email: 2
Path: 1
Command: 3
Domain: 1
Soft:
Node.js, curl
Algorithms:
xor
Functions:
createServer
Languages:
powershell
SafeDep - Real-time Open Source Software Supply Chain Security
Five npm Packages That Hide a Windows Binary Dropper
Five npm packages published in a 12-minute burst split a Windows binary dropper across a fake utility toolkit. The loader hides in a preinstall hook, decodes its C2 from a helper package, and fetches a payload from catbox.moe.
CTT Report Hub
#ParsedReport #CompletenessMedium 17-06-2026 Five npm Packages That Hide a Windows Binary Dropper https://safedep.io/procwire-npm-windows-dropper-campaign/ Report completeness: Medium Threats: Bitsadmin_tool Motw_bypass_technique Lolbin_technique Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Выявлена сложная кампания кибератак, нацеленная на системы Windows, в рамках которой задействованы пять вредоносных пакетов npm, среди которых ключевыми являются procwire@1.3.0 (дропер бинарных файлов Windows) и routecraft@4.2.0 (включающий procwire). Атака использует хук preinstall в procwire для выполнения скрытых полезной нагрузки через XOR-кодированные URL-адреса C2 и применяет различные методы загрузки и выполнения для уклонения от обнаружения. Тактики обфускации, используемые в описаниях пакетов и механизмах выполнения, подчеркивают необходимость мониторинга поведения установки, а не полагаться на репутацию пакетов для обнаружения.
-----
Сложная кампания атак с использованием пяти пакетов npm была запущена 16 июня 2026 года, нацеленная на системы Windows. Двумя основными оружием являются пакеты procwire@1.3.0, который является загрузчиком для Windows, и routecraft@4.2.0, маскирующийся под клон Express. Три дополнительных пакета выполняют вспомогательные функции: bytecraft (утилита XOR), endpointmap (кодирует URL-адреса управления (C2)) и staticlayer (компонент серверной части для загрузчика).
Процесс эксплуатации начинается с хука предварительной установки в procwire во время выполнения npm install, который декодирует конечную точку C2, хранящуюся в виде массивов байтов, закодированных с помощью XOR, из endpointmap, что позволяет загружать и выполнять полезную нагрузку без обнаружения. Применяются различные методы произвольного выполнения бинарных файлов в Windows, включая Node.js HTTPS, curl.exe и bitsadmin для загрузки; прямой запуск, cmd.exe и PowerShell для выполнения.
Архитектура вредоносного ПО позволяет ему избегать обнаружения путем обхода защитных механизмов Mark-of-the-Web и маскировки своих полезной нагрузки под легитимные обновления программного обеспечения, такие как msedge_update и chrome_installer. Каждый пакет npm содержит убедительные описания для интеграции в экосистему npm. Конструкция URL-адреса C2 является сложной, использует шифрование XOR и имя пакета в качестве секретного ключа, что затрудняет анализ функциональности статическими методами.
Дроппер инициирует загрузку полезной нагрузки через HTTP GET-запрос, имитирующий механизмы доставки Microsoft, и отключает проверку TLS для предотвращения обнаружения. Методы резервного копирования обеспечивают успешную загрузку независимо от средств защиты. Поддельный альтернативный поток данных Zone.Identifier используется для обхода предупреждений SmartScreen.
Пакет staticlayer работает как сервер для самостоятельного размещения и распределения полезной нагрузки, требуя от клиента совпадения с User-Agent загрузчика для ограничения воздействия. Эта кампания демонстрирует передовые тактики уклонения, распределяя вредоносные функции по незаметным компонентам, что подчеркивает необходимость мониторинга поведения установки, а не полагаться исключительно на репутацию пакетов для обнаружения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Выявлена сложная кампания кибератак, нацеленная на системы Windows, в рамках которой задействованы пять вредоносных пакетов npm, среди которых ключевыми являются procwire@1.3.0 (дропер бинарных файлов Windows) и routecraft@4.2.0 (включающий procwire). Атака использует хук preinstall в procwire для выполнения скрытых полезной нагрузки через XOR-кодированные URL-адреса C2 и применяет различные методы загрузки и выполнения для уклонения от обнаружения. Тактики обфускации, используемые в описаниях пакетов и механизмах выполнения, подчеркивают необходимость мониторинга поведения установки, а не полагаться на репутацию пакетов для обнаружения.
-----
Сложная кампания атак с использованием пяти пакетов npm была запущена 16 июня 2026 года, нацеленная на системы Windows. Двумя основными оружием являются пакеты procwire@1.3.0, который является загрузчиком для Windows, и routecraft@4.2.0, маскирующийся под клон Express. Три дополнительных пакета выполняют вспомогательные функции: bytecraft (утилита XOR), endpointmap (кодирует URL-адреса управления (C2)) и staticlayer (компонент серверной части для загрузчика).
Процесс эксплуатации начинается с хука предварительной установки в procwire во время выполнения npm install, который декодирует конечную точку C2, хранящуюся в виде массивов байтов, закодированных с помощью XOR, из endpointmap, что позволяет загружать и выполнять полезную нагрузку без обнаружения. Применяются различные методы произвольного выполнения бинарных файлов в Windows, включая Node.js HTTPS, curl.exe и bitsadmin для загрузки; прямой запуск, cmd.exe и PowerShell для выполнения.
Архитектура вредоносного ПО позволяет ему избегать обнаружения путем обхода защитных механизмов Mark-of-the-Web и маскировки своих полезной нагрузки под легитимные обновления программного обеспечения, такие как msedge_update и chrome_installer. Каждый пакет npm содержит убедительные описания для интеграции в экосистему npm. Конструкция URL-адреса C2 является сложной, использует шифрование XOR и имя пакета в качестве секретного ключа, что затрудняет анализ функциональности статическими методами.
Дроппер инициирует загрузку полезной нагрузки через HTTP GET-запрос, имитирующий механизмы доставки Microsoft, и отключает проверку TLS для предотвращения обнаружения. Методы резервного копирования обеспечивают успешную загрузку независимо от средств защиты. Поддельный альтернативный поток данных Zone.Identifier используется для обхода предупреждений SmartScreen.
Пакет staticlayer работает как сервер для самостоятельного размещения и распределения полезной нагрузки, требуя от клиента совпадения с User-Agent загрузчика для ограничения воздействия. Эта кампания демонстрирует передовые тактики уклонения, распределяя вредоносные функции по незаметным компонентам, что подчеркивает необходимость мониторинга поведения установки, а не полагаться исключительно на репутацию пакетов для обнаружения.
#ParsedReport #CompletenessHigh
19-06-2026
Mastra Attack Targets Crypto, Password Managers, Authenticators, and Zapier
https://opensourcemalware.com/blog/mastra-npm-malware
Report completeness: High
Actors/Campaigns:
Axios_compromise
Lazarus
Mastra_compromise
Threats:
Supply_chain_technique
Typosquatting_technique
Clickfix_technique
Victims:
Cryptocurrency, Password management, Authentication, Software development, Automation
Industry:
Petroleum
Geo:
Dprk
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1005, T1008, T1012, T1027, T1033, T1036.005, T1057, T1059.001, T1059.007, T1070.004, have more...
IOCs:
File: 10
Email: 2
Url: 2
IP: 2
Path: 2
Command: 1
Registry: 1
Domain: 2
Hash: 2
BrowserExtension: 146
Coin: 20
Soft:
Mastra, LastPass, Bitwarden, 1Password, Dashlane, KeePass, NordPass, macOS, Linux, systemd, have more...
Wallets:
metamask, coinbase, keplr, rabby, coin98, math_wallet, core_wallet, exodus_wallet, solflare_wallet, auro_wallet, have more...
Crypto:
binance, casper, multiversx, aptos, bitcoin, dogecoin, solana, polkadot
Algorithms:
base64, prng, sha256
Functions:
Get-StartApps, Get-AppxPackage, Get-Process, Get-ItemProperty
Languages:
powershell
Platforms:
cross-platform
19-06-2026
Mastra Attack Targets Crypto, Password Managers, Authenticators, and Zapier
https://opensourcemalware.com/blog/mastra-npm-malware
Report completeness: High
Actors/Campaigns:
Axios_compromise
Lazarus
Mastra_compromise
Threats:
Supply_chain_technique
Typosquatting_technique
Clickfix_technique
Victims:
Cryptocurrency, Password management, Authentication, Software development, Automation
Industry:
Petroleum
Geo:
Dprk
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1008, T1012, T1027, T1033, T1036.005, T1057, T1059.001, T1059.007, T1070.004, have more...
IOCs:
File: 10
Email: 2
Url: 2
IP: 2
Path: 2
Command: 1
Registry: 1
Domain: 2
Hash: 2
BrowserExtension: 146
Coin: 20
Soft:
Mastra, LastPass, Bitwarden, 1Password, Dashlane, KeePass, NordPass, macOS, Linux, systemd, have more...
Wallets:
metamask, coinbase, keplr, rabby, coin98, math_wallet, core_wallet, exodus_wallet, solflare_wallet, auro_wallet, have more...
Crypto:
binance, casper, multiversx, aptos, bitcoin, dogecoin, solana, polkadot
Algorithms:
base64, prng, sha256
Functions:
Get-StartApps, Get-AppxPackage, Get-Process, Get-ItemProperty
Languages:
powershell
Platforms:
cross-platform
Opensourcemalware
OpenSourceMalware.com - Community Threat Intelligence
Community-driven threat intelligence. Human-verified supply chain threats from every major open source ecosystem.
CTT Report Hub
#ParsedReport #CompletenessHigh 19-06-2026 Mastra Attack Targets Crypto, Password Managers, Authenticators, and Zapier https://opensourcemalware.com/blog/mastra-npm-malware Report completeness: High Actors/Campaigns: Axios_compromise Lazarus Mastra_compromise…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака Malstra подчеркивает растущий тренд в киберугрозах, особенно в части эксплуатации уязвимостей в Цепочке поставок программного обеспечения. Скомпрометированная учетная запись разработчика в организации Mastro NPM привела к распространению более 140 вредоносных пакетов npm, включая версию библиотеки `dayjs`, зарегистрированную с использованием метода тайпсквоттинга, которая использовала хук postinstall для загрузки сложного кроссплатформенного бэкдора. Этот бэкдор позволял осуществлять эксфильтрацию данных из браузеров и атаковал различные расширения, выходящие за рамки криптовалютных кошельков, что указывает на сдвиг в фокусе атак.
-----
Недавняя атака Malstra подчеркивает значительные тенденции в киберугрозах, особенно направленные на уязвимости в цепочке поставок программного обеспечения. Этот инцидент включал компрометацию организации Mastro NPM, где злоумышленник захватил контроль над неаккаунтом разработчика и опубликовал более 140 вредоносных пакетов npm. Метод имитировал более раннюю атаку, приписываемую группе Lazarus Group, подчеркивая использование аналогичных методов работы.
В основе атаки лежало внедрение пакета с опечаткой в названии (`easy-day-js`), который являлся безобидной копией популярной библиотеки `dayjs`. Вредоносная версия этого пакета содержала хук postinstall, который запускал двухэтапную полезную нагрузку. Первый этап, выполняемый файлом `setup.cjs`, действовал как загрузчик, получая более сложную вторую стадию с сервера управления (C2). Этот имплант второй стадии представляет собой кроссплатформенный бэкдор, способный атаковать системы Windows, macOS и Linux, а также извлекать конфиденциальные данные из браузеров, включая историю и информацию из 166 различных идентификаторов расширений для криптовалютных кошельков и средств безопасности.
Выполнение атаки было облегчено путем обхода проверки доверенных издателей npm с использованием учетных данных старого сопровождающего. Вместо явных модификаций кода пакета злоумышленник добавил одну новую зависимость во множество манифестов. Такой скрытный подход обеспечил то, что при установке или обновлении `easy-day-js` вweaponized версия загружалась незаметно, поскольку разрешение версий по диапазону caret в npm не требовало от разработчиков подтверждения наличия вредоносного номера версии.
Кроме того, функциональность закладки позволяла ей проводить фэнгерпринтинг среды хоста, обеспечивать постоянство в системе, извлекать историю браузеров и выполнять произвольный код под контролем злоумышленника. Особого внимания заслуживает обширный список целевых расширений, который включает различные менеджеры паролей и MFA-аутентификаторы, что отличается от предыдущих кампаний, в основном ориентированных на криптовалютные кошельки.
Критическим фактором этой атаки стало отсутствие проверки происхождения вредоносных пакетов, что в корне позволило злоумышленникам обойти механизмы безопасности npm. Что касается паттернов, атака на Mastra демонстрирует растущую тенденцию расширения угроз за пределы традиционных целей с фокусом на более широкий спектр уязвимостей программного обеспечения, связанных с управлением учетными данными и интеграциями, такими как Zapier.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атака Malstra подчеркивает растущий тренд в киберугрозах, особенно в части эксплуатации уязвимостей в Цепочке поставок программного обеспечения. Скомпрометированная учетная запись разработчика в организации Mastro NPM привела к распространению более 140 вредоносных пакетов npm, включая версию библиотеки `dayjs`, зарегистрированную с использованием метода тайпсквоттинга, которая использовала хук postinstall для загрузки сложного кроссплатформенного бэкдора. Этот бэкдор позволял осуществлять эксфильтрацию данных из браузеров и атаковал различные расширения, выходящие за рамки криптовалютных кошельков, что указывает на сдвиг в фокусе атак.
-----
Недавняя атака Malstra подчеркивает значительные тенденции в киберугрозах, особенно направленные на уязвимости в цепочке поставок программного обеспечения. Этот инцидент включал компрометацию организации Mastro NPM, где злоумышленник захватил контроль над неаккаунтом разработчика и опубликовал более 140 вредоносных пакетов npm. Метод имитировал более раннюю атаку, приписываемую группе Lazarus Group, подчеркивая использование аналогичных методов работы.
В основе атаки лежало внедрение пакета с опечаткой в названии (`easy-day-js`), который являлся безобидной копией популярной библиотеки `dayjs`. Вредоносная версия этого пакета содержала хук postinstall, который запускал двухэтапную полезную нагрузку. Первый этап, выполняемый файлом `setup.cjs`, действовал как загрузчик, получая более сложную вторую стадию с сервера управления (C2). Этот имплант второй стадии представляет собой кроссплатформенный бэкдор, способный атаковать системы Windows, macOS и Linux, а также извлекать конфиденциальные данные из браузеров, включая историю и информацию из 166 различных идентификаторов расширений для криптовалютных кошельков и средств безопасности.
Выполнение атаки было облегчено путем обхода проверки доверенных издателей npm с использованием учетных данных старого сопровождающего. Вместо явных модификаций кода пакета злоумышленник добавил одну новую зависимость во множество манифестов. Такой скрытный подход обеспечил то, что при установке или обновлении `easy-day-js` вweaponized версия загружалась незаметно, поскольку разрешение версий по диапазону caret в npm не требовало от разработчиков подтверждения наличия вредоносного номера версии.
Кроме того, функциональность закладки позволяла ей проводить фэнгерпринтинг среды хоста, обеспечивать постоянство в системе, извлекать историю браузеров и выполнять произвольный код под контролем злоумышленника. Особого внимания заслуживает обширный список целевых расширений, который включает различные менеджеры паролей и MFA-аутентификаторы, что отличается от предыдущих кампаний, в основном ориентированных на криптовалютные кошельки.
Критическим фактором этой атаки стало отсутствие проверки происхождения вредоносных пакетов, что в корне позволило злоумышленникам обойти механизмы безопасности npm. Что касается паттернов, атака на Mastra демонстрирует растущую тенденцию расширения угроз за пределы традиционных целей с фокусом на более широкий спектр уязвимостей программного обеспечения, связанных с управлением учетными данными и интеграциями, такими как Zapier.
#ParsedReport #CompletenessMedium
17-06-2026
Mastra npm Supply Chain Attack: 140+ Packages Backdoored via easy-day-js Typosquat
https://www.stepsecurity.io/blog/mastra-npm-packages-compromised-using-easy-day-js
Report completeness: Medium
Threats:
Supply_chain_technique
Typosquatting_technique
Miasma
Victims:
Mastra ecosystem, Software development environments, Artificial intelligence development environments, Cloud infrastructure environments
Industry:
Software_development
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1036.005, T1070.004, T1071.001, T1078, T1105, T1195.001
IOCs:
File: 9
IP: 4
Url: 1
Soft:
Mastra, OpenAI, Anthropic, Node.js
Algorithms:
xor, base64
Languages:
javascript, typescript
Links:
17-06-2026
Mastra npm Supply Chain Attack: 140+ Packages Backdoored via easy-day-js Typosquat
https://www.stepsecurity.io/blog/mastra-npm-packages-compromised-using-easy-day-js
Report completeness: Medium
Threats:
Supply_chain_technique
Typosquatting_technique
Miasma
Victims:
Mastra ecosystem, Software development environments, Artificial intelligence development environments, Cloud infrastructure environments
Industry:
Software_development
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036.005, T1070.004, T1071.001, T1078, T1105, T1195.001
IOCs:
File: 9
IP: 4
Url: 1
Soft:
Mastra, OpenAI, Anthropic, Node.js
Algorithms:
xor, base64
Languages:
javascript, typescript
Links:
https://github.com/mastra-ai/mastra/issues/18045www.stepsecurity.io
Mastra npm Supply Chain Attack: 140+ Packages Backdoored via easy-day-js Typosquat - StepSecurity
On June 17, 2026, an attacker compromised the @mastra npm organization and quietly added easy-day-js as a dependency across 140+ packages in the Mastra AI framework ecosystem. easy-day-js is a typosquat of the popular dayjs date library, and its latest version…
CTT Report Hub
#ParsedReport #CompletenessMedium 17-06-2026 Mastra npm Supply Chain Attack: 140+ Packages Backdoored via easy-day-js Typosquat https://www.stepsecurity.io/blog/mastra-npm-packages-compromised-using-easy-day-js Report completeness: Medium Threats: Sup…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
17 июня 2026 года организация @mastra в npm подверглась атаке на Цепочку поставок через вредоносный пакет easy-day-js, являющийся тайпсквотом библиотеки dayjs, что затронуло более 140 зависимостей с совокупным числом загрузок 1,1 миллиона. Обфусцированный дроппер выполнил второй этап полезной нагрузки с сервера C2, эксплуатируя механизм разрешения зависимостей npm для автоматического включения в новые установки, и применял техники уклонения для устранения следов криминалистический анализ. ВПО целенаправленно атаковало конфиденциальные переменные среды, подчеркивая уязвимости в безопасности Цепочка поставок внутри экосистемы npm.
-----
17 июня 2026 года организация @mastra в npm подверглась значительной атаке на цепочку поставок, связанной с внедрением вредоносного пакета easy-day-js в более чем 140 его зависимостей. Этот пакет является тайпсквотом широко используемой библиотеки для работы с датами dayjs, а его последняя версия содержала зашифрованный дроппер, запускаемый после установки. После установки этот дроппер выполнял вторую стадию полезной нагрузки, загружаемой с сервера управления, за которой следовало самоуничтожение для стирания любых следов своего присутствия. Затронутые пакеты имеют совокупную еженедельную загрузку более 1,1 миллиона, что представляет существенный риск для пользователей, установивших любые пакеты @mastra в то время.
Основная работа по подготовке атаки была проведена 16 июня, когда злоумышленник опубликовал пакет easy-day-js@1.11.21 — чистую версию легитимной библиотеки, чтобы придать себе достоверности. Эта версия, которая дублировала метаданные dayjs, затем была указана как зависимость в пакетах @mastra. Впоследствии была загружена вредоносная версия 1.11.22, использующая метод разрешения зависимостей npm для обеспечения того, чтобы любые новые установки автоматически включали скомпрометированную версию.
После того как злоумышленник реализовал свой план в 01:01 UTC, он использовал скомпрометированные учетные данные для повторной публикации затронутых пакетов @mastra, тем самым выполнив массовую инъекцию зависимости с бэкдором во всей экосистеме. Сам дроппер применял сложные техники уклонения, включая обход проверки TLS-сертификатов, что позволяло устанавливать связь с самоподписанными сертификатами. Он передавал карту затронутых установок в контролируемую злоумышленником директорию, отсоединялся от процесса и выполнялся без вывода информации, видимой пользователю. Кроме того, дроппер немедленно удалял свой основной скрипт после выполнения, устраняя первичные доказательства для криминалистический анализ.
Второй этап полезной нагрузки был настроен на загрузку исполняемых файлов с указанного C2-сервера во время выполнения, с целью захвата чувствительных переменных окружения, таких как API-ключи и другие учетные данные, распространенные в развертываниях Mastra. Первоначальные тесты этого ВПО показали, что инструменты анализа во время выполнения, такие как Harden Runner, используемый в GitHub Actions, успешно блокировали ожидаемую полезную нагрузку, запрещая исходящие вызовы к вредоносным IP-адресам C2, тем самым предотвращая любую утечку учетных данных.
Выбор библиотеки dayjs для тайпсквоттинга и обширная обфускация, применённая в коде дроппера, демонстрируют изощрённость атаки, что делает её особенно сложной для обнаружения и снижения рисков разработчиками при анализе зависимостей. Инцидент подчёркивает фундаментальные уязвимости в безопасности Цепочки поставок, расширяя дискуссию о превентивных мерах в экосистеме npm, таких как внедрение инструментов видимости в реальном времени и проактивных проверок для выявления скомпрометированных пакетов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
17 июня 2026 года организация @mastra в npm подверглась атаке на Цепочку поставок через вредоносный пакет easy-day-js, являющийся тайпсквотом библиотеки dayjs, что затронуло более 140 зависимостей с совокупным числом загрузок 1,1 миллиона. Обфусцированный дроппер выполнил второй этап полезной нагрузки с сервера C2, эксплуатируя механизм разрешения зависимостей npm для автоматического включения в новые установки, и применял техники уклонения для устранения следов криминалистический анализ. ВПО целенаправленно атаковало конфиденциальные переменные среды, подчеркивая уязвимости в безопасности Цепочка поставок внутри экосистемы npm.
-----
17 июня 2026 года организация @mastra в npm подверглась значительной атаке на цепочку поставок, связанной с внедрением вредоносного пакета easy-day-js в более чем 140 его зависимостей. Этот пакет является тайпсквотом широко используемой библиотеки для работы с датами dayjs, а его последняя версия содержала зашифрованный дроппер, запускаемый после установки. После установки этот дроппер выполнял вторую стадию полезной нагрузки, загружаемой с сервера управления, за которой следовало самоуничтожение для стирания любых следов своего присутствия. Затронутые пакеты имеют совокупную еженедельную загрузку более 1,1 миллиона, что представляет существенный риск для пользователей, установивших любые пакеты @mastra в то время.
Основная работа по подготовке атаки была проведена 16 июня, когда злоумышленник опубликовал пакет easy-day-js@1.11.21 — чистую версию легитимной библиотеки, чтобы придать себе достоверности. Эта версия, которая дублировала метаданные dayjs, затем была указана как зависимость в пакетах @mastra. Впоследствии была загружена вредоносная версия 1.11.22, использующая метод разрешения зависимостей npm для обеспечения того, чтобы любые новые установки автоматически включали скомпрометированную версию.
После того как злоумышленник реализовал свой план в 01:01 UTC, он использовал скомпрометированные учетные данные для повторной публикации затронутых пакетов @mastra, тем самым выполнив массовую инъекцию зависимости с бэкдором во всей экосистеме. Сам дроппер применял сложные техники уклонения, включая обход проверки TLS-сертификатов, что позволяло устанавливать связь с самоподписанными сертификатами. Он передавал карту затронутых установок в контролируемую злоумышленником директорию, отсоединялся от процесса и выполнялся без вывода информации, видимой пользователю. Кроме того, дроппер немедленно удалял свой основной скрипт после выполнения, устраняя первичные доказательства для криминалистический анализ.
Второй этап полезной нагрузки был настроен на загрузку исполняемых файлов с указанного C2-сервера во время выполнения, с целью захвата чувствительных переменных окружения, таких как API-ключи и другие учетные данные, распространенные в развертываниях Mastra. Первоначальные тесты этого ВПО показали, что инструменты анализа во время выполнения, такие как Harden Runner, используемый в GitHub Actions, успешно блокировали ожидаемую полезную нагрузку, запрещая исходящие вызовы к вредоносным IP-адресам C2, тем самым предотвращая любую утечку учетных данных.
Выбор библиотеки dayjs для тайпсквоттинга и обширная обфускация, применённая в коде дроппера, демонстрируют изощрённость атаки, что делает её особенно сложной для обнаружения и снижения рисков разработчиками при анализе зависимостей. Инцидент подчёркивает фундаментальные уязвимости в безопасности Цепочки поставок, расширяя дискуссию о превентивных мерах в экосистеме npm, таких как внедрение инструментов видимости в реальном времени и проактивных проверок для выявления скомпрометированных пакетов.
#ParsedReport #CompletenessLow
18-06-2026
Cybercrime Breaches Klue: Salesforce Data Impacted for Many Victims, including Huntress
https://www.huntress.com/blog/klue-breach-investigation
Report completeness: Low
Actors/Campaigns:
Klue_compromise
Threats:
Icarus
Supply_chain_technique
Dead_drop_technique
Victims:
Klue, Cybersecurity, Market intelligence, Customer relationship management
Industry:
Telco, Retail
Geo:
Netherlands, Ukraine, France, Australian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1195.002, T1199, T1213, T1528, T1567.002, T1584.004
IOCs:
IP: 4
Soft:
Salesforce, HubSpot, Zoom, Slack
Languages:
swift, python
18-06-2026
Cybercrime Breaches Klue: Salesforce Data Impacted for Many Victims, including Huntress
https://www.huntress.com/blog/klue-breach-investigation
Report completeness: Low
Actors/Campaigns:
Klue_compromise
Threats:
Icarus
Supply_chain_technique
Dead_drop_technique
Victims:
Klue, Cybersecurity, Market intelligence, Customer relationship management
Industry:
Telco, Retail
Geo:
Netherlands, Ukraine, France, Australian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1195.002, T1199, T1213, T1528, T1567.002, T1584.004
IOCs:
IP: 4
Soft:
Salesforce, HubSpot, Zoom, Slack
Languages:
swift, python
Huntress
Cybercrime Breaches Klue: Salesforce Data Impacted for Many Victims, including Huntress | Huntress
Huntress was one of many vendors impacted by a recent incident at Klue. We dug into the incident to figure out what happened.
CTT Report Hub
#ParsedReport #CompletenessLow 18-06-2026 Cybercrime Breaches Klue: Salesforce Data Impacted for Many Victims, including Huntress https://www.huntress.com/blog/klue-breach-investigation Report completeness: Low Actors/Campaigns: Klue_compromise Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Klue стал жертвой атаки на цепочку поставок, приписываемой злоумышленнику Icarus, что привело к несанкционированной эксфильтрации данных из экземпляров Salesforce, принадлежащих его клиентам. Атакующие использовали уязвимость в интеграциях с программным обеспечением сторонних производителей, развернув вредоносный код для захвата OAuth-токенов для доступа к данным. Атака была сложной, с использованием IP-адресов, связанных с предыдущими спам-кампаниями, и эксплуатацией инфраструктуры Global Retail Brands, с фокусом на конкретных конечных точках Salesforce.
-----
Klue, платформа рыночной аналитики, недавно стала жертвой атаки на цепочку поставок, приписываемой злоумышленнику, идентифицированному как Icarus. 11 июня в системах Klue было обнаружено аномальное поведение, что привело к несанкционированной эксфильтрации данных из нескольких экземпляров Salesforce, принадлежащих клиентам Klue, среди которых такие компании в области кибербезопасности, как Huntress. Злоумышленники использовали уязвимость в интеграциях между Klue и сторонним программным обеспечением, развернув вредоносное обновление кода, которое захватило OAuth-токены, используемые клиентами для подключения своих систем к Klue.
Извлеченные данные в основном включали бизнес-контакты, информацию о ценах и коммуникации, связанные с продажами. Важно отметить, что такие конфиденциальные данные, как пароли, платежная информация и инженерные детали, не пострадали. Инцидент не привел к компрометации продуктов или инфраструктуры Huntress, но затронул данные управления взаимоотношениями с клиентами (CRM).
В результате пострадавшим организациям было рекомендовано провести тщательные расследования, которые включали проверку журналов на наличие индикаторов компрометации (IOCs), отмену сеансов для уязвимых служб и анализ почтовых ящиков на предмет сообщений, которые могли исходить от злоумышленника. Журналы Salesforce и других интегрированных приложений предоставили важные сведения о характере вредоносной активности, указав, что почти все вредоносные запросы были направлены на конкретные конечные точки Salesforce. Большинство из них использовали уникальную строку User-Agent, которая вызвала подозрения в ходе расследования.
Инфраструктура угроз, используемая Icarus, включала IP-адреса, связанные с интернет-провайдерами в Нидерландах, Франции и Украине, с заметной связью с предыдущими спам-кампаниями. Huntress также обнаружила, что злоумышленники эксплуатировали почтовую инфраструктуру Global Retail Brands, австралийского ритейлера, владеющего затронутыми компаниями. Углубленный криминалистический анализ заголовков электронной почты подтвердил, что электронные сообщения от противника отправлялись с легитимных серверов, что дополнительно подтверждает сложность атаки.
Группа вымогателей Icarus появилась около 28 апреля 2026 года и связана с другими инцидентами взлома, которые могут включать данные Salesforce. В коммуникациях группы содержались идентификаторы Session Messenger, указывающие на их более ранние угрозы, что устанавливает прямую связь с текущим инцидентом Klue. Сообщения на сайте Icarus выражали уверенность в своих возможностях и намекали на дальнейшие раскрытия, связанные с более крупными корпоративными жертвами.
По мере того как последствия этого инцидента становятся очевидными, они подчеркивают уязвимости, присущие цепочке поставок программного обеспечения, и потенциальные каскадные эффекты для множества организаций, использующих взаимосвязанные системы. Компрометация Klue служит суровым напоминанием для компаний усилить свои позиции в области безопасности и подготовиться к растущей сложности киберугроз, нацеленных на экосистемы цепочки поставок.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Klue стал жертвой атаки на цепочку поставок, приписываемой злоумышленнику Icarus, что привело к несанкционированной эксфильтрации данных из экземпляров Salesforce, принадлежащих его клиентам. Атакующие использовали уязвимость в интеграциях с программным обеспечением сторонних производителей, развернув вредоносный код для захвата OAuth-токенов для доступа к данным. Атака была сложной, с использованием IP-адресов, связанных с предыдущими спам-кампаниями, и эксплуатацией инфраструктуры Global Retail Brands, с фокусом на конкретных конечных точках Salesforce.
-----
Klue, платформа рыночной аналитики, недавно стала жертвой атаки на цепочку поставок, приписываемой злоумышленнику, идентифицированному как Icarus. 11 июня в системах Klue было обнаружено аномальное поведение, что привело к несанкционированной эксфильтрации данных из нескольких экземпляров Salesforce, принадлежащих клиентам Klue, среди которых такие компании в области кибербезопасности, как Huntress. Злоумышленники использовали уязвимость в интеграциях между Klue и сторонним программным обеспечением, развернув вредоносное обновление кода, которое захватило OAuth-токены, используемые клиентами для подключения своих систем к Klue.
Извлеченные данные в основном включали бизнес-контакты, информацию о ценах и коммуникации, связанные с продажами. Важно отметить, что такие конфиденциальные данные, как пароли, платежная информация и инженерные детали, не пострадали. Инцидент не привел к компрометации продуктов или инфраструктуры Huntress, но затронул данные управления взаимоотношениями с клиентами (CRM).
В результате пострадавшим организациям было рекомендовано провести тщательные расследования, которые включали проверку журналов на наличие индикаторов компрометации (IOCs), отмену сеансов для уязвимых служб и анализ почтовых ящиков на предмет сообщений, которые могли исходить от злоумышленника. Журналы Salesforce и других интегрированных приложений предоставили важные сведения о характере вредоносной активности, указав, что почти все вредоносные запросы были направлены на конкретные конечные точки Salesforce. Большинство из них использовали уникальную строку User-Agent, которая вызвала подозрения в ходе расследования.
Инфраструктура угроз, используемая Icarus, включала IP-адреса, связанные с интернет-провайдерами в Нидерландах, Франции и Украине, с заметной связью с предыдущими спам-кампаниями. Huntress также обнаружила, что злоумышленники эксплуатировали почтовую инфраструктуру Global Retail Brands, австралийского ритейлера, владеющего затронутыми компаниями. Углубленный криминалистический анализ заголовков электронной почты подтвердил, что электронные сообщения от противника отправлялись с легитимных серверов, что дополнительно подтверждает сложность атаки.
Группа вымогателей Icarus появилась около 28 апреля 2026 года и связана с другими инцидентами взлома, которые могут включать данные Salesforce. В коммуникациях группы содержались идентификаторы Session Messenger, указывающие на их более ранние угрозы, что устанавливает прямую связь с текущим инцидентом Klue. Сообщения на сайте Icarus выражали уверенность в своих возможностях и намекали на дальнейшие раскрытия, связанные с более крупными корпоративными жертвами.
По мере того как последствия этого инцидента становятся очевидными, они подчеркивают уязвимости, присущие цепочке поставок программного обеспечения, и потенциальные каскадные эффекты для множества организаций, использующих взаимосвязанные системы. Компрометация Klue служит суровым напоминанием для компаний усилить свои позиции в области безопасности и подготовиться к растущей сложности киберугроз, нацеленных на экосистемы цепочки поставок.
#ParsedReport #CompletenessMedium
18-06-2026
Hot Take: Operation Endgame VS SocGholish
https://www.infoblox.com/blog/threat-intelligence/hot-take-operation-endgame-vs-socgholish/
Report completeness: Medium
Actors/Campaigns:
Evil_corp (motivation: cyber_criminal)
Ta569
Silverfish
Ta2726 (motivation: financially_motivated)
Threats:
Socgholish_loader
Icedid
Smokeloader
Pikabot
Bumblebee
Qakbot
Danabot
Trickbot
Rhadamanthys
Venomrat
Elysium_stealer
Doppelpaymer
Wastedlocker
Hades
Lockbit
Ransomhub
Parrot_tds_tool
Junkytds_tool
Victims:
Enterprises, Institutions, Government, Education, Banking, Healthcare, Non it services, Hospitality, Critical infrastructure
Industry:
Critical_infrastructure, Entertainment, Healthcare, Education, Financial, Petroleum, Government
Geo:
Russian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1059.007, T1105, T1132.001, T1189, T1204.002, T1497.001, T1584.001, T1659
IOCs:
Domain: 12
Soft:
WordPress, Keitaro, Firefox, Outlook
Algorithms:
base64
Languages:
jscript, javascript
Platforms:
intel
18-06-2026
Hot Take: Operation Endgame VS SocGholish
https://www.infoblox.com/blog/threat-intelligence/hot-take-operation-endgame-vs-socgholish/
Report completeness: Medium
Actors/Campaigns:
Evil_corp (motivation: cyber_criminal)
Ta569
Silverfish
Ta2726 (motivation: financially_motivated)
Threats:
Socgholish_loader
Icedid
Smokeloader
Pikabot
Bumblebee
Qakbot
Danabot
Trickbot
Rhadamanthys
Venomrat
Elysium_stealer
Doppelpaymer
Wastedlocker
Hades
Lockbit
Ransomhub
Parrot_tds_tool
Junkytds_tool
Victims:
Enterprises, Institutions, Government, Education, Banking, Healthcare, Non it services, Hospitality, Critical infrastructure
Industry:
Critical_infrastructure, Entertainment, Healthcare, Education, Financial, Petroleum, Government
Geo:
Russian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1059.007, T1105, T1132.001, T1189, T1204.002, T1497.001, T1584.001, T1659
IOCs:
Domain: 12
Soft:
WordPress, Keitaro, Firefox, Outlook
Algorithms:
base64
Languages:
jscript, javascript
Platforms:
intel
Infoblox Blog
Operation Endgame vs. SocGholish Fake Updates
Nearly 55% of enterprises were exposed to SocGholish through compromised websites before Operation Endgame disrupted the malware actor connected to EvilCorp.
CTT Report Hub
#ParsedReport #CompletenessMedium 18-06-2026 Hot Take: Operation Endgame VS SocGholish https://www.infoblox.com/blog/threat-intelligence/hot-take-operation-endgame-vs-socgholish/ Report completeness: Medium Actors/Campaigns: Evil_corp (motivation: cyber_criminal)…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция Endgame сорвала работу фреймворка SocGholish, который использовался для первоначального доступа в киберкриминале, особенно группой EvilCorp. Злоумышленник TA569 применяет многоэтапный JavaScript-фреймворк для доставки вредоносных загрузок через скомпрометированные сайты WordPress, используя такие техники, как профилирование и теневое доменное пространство, чтобы избежать обнаружения. SocGholish служит плацдармом для дальнейших атак, включая развертывание программ-вымогателей, при этом его оперативное воздействие было значительным, несмотря на то что защита блокировала большинство соединений.
-----
Операция Endgame сорвала работу фреймворка SocGholish, используемого для доставки первоначального доступа, связанного с EvilCorp.
106 серверов и доменов, связанных с SocGholish, были выведены из строя, что затронуло почти 15 000 скомпрометированных сайтов WordPress.
SocGholish, активный почти десятилетие, часто является отправной точкой для утечек данных, обеспечивающих последующее развертывание ВПО.
Злоумышленник TA569, также известный как Mustard Tempest, специализируется на компрометации устройств в корпоративных сетях для продажи доступа с повышенными привилегиями.
SocGholish связан с семействами программ-вымогателей, такими как DoppelPaymer и LockBit, что подчеркивает его важность в киберкриминале.
ВПО использует многоэтапный фреймворк JavaScript для drive-by загрузок, нацеленных на пользователей с поддельными уведомлениями об обновлениях.
Трафик на скомпрометированные сайты фильтруется с использованием техник отпечатков для обхода обнаружения.
Многоуровневая инфраструктура маршрутизирует трафик через аффилиатов, чтобы скрыть источник атаки.
ВПО предоставляет шаблоны, имитирующие легитимные обновления браузеров, обманывая пользователей и заставляя их запускать вредоносные скрипты.
Шестистрочный скрипт-стагер подключается к серверу управления для оценки ценности зараженной системы на основе корпоративных сетевых подключений.
Теневое доменное имя используется для создания поддельных поддоменов в рамках легитимных доменов, что повышает операционную безопасность и позволяет избегать внимания.
Быстрая ротация теневых доменов усложняет обнаружение для защитников из-за ограниченного времени на реакцию.
Более половины проанализированных клиентских сетей пытались подключиться к инфраструктуре, связанной с SocGholish, за последние пять месяцев.
Большинство соединений были заблокированы существующими средствами защиты безопасности, однако единичное успешное использование уязвимости может привести к значительным утечкам данных.
Постоянный мониторинг будет иметь решающее значение для адаптации к меняющемуся ландшафту киберугроз после операции Endgame.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция Endgame сорвала работу фреймворка SocGholish, который использовался для первоначального доступа в киберкриминале, особенно группой EvilCorp. Злоумышленник TA569 применяет многоэтапный JavaScript-фреймворк для доставки вредоносных загрузок через скомпрометированные сайты WordPress, используя такие техники, как профилирование и теневое доменное пространство, чтобы избежать обнаружения. SocGholish служит плацдармом для дальнейших атак, включая развертывание программ-вымогателей, при этом его оперативное воздействие было значительным, несмотря на то что защита блокировала большинство соединений.
-----
Операция Endgame сорвала работу фреймворка SocGholish, используемого для доставки первоначального доступа, связанного с EvilCorp.
106 серверов и доменов, связанных с SocGholish, были выведены из строя, что затронуло почти 15 000 скомпрометированных сайтов WordPress.
SocGholish, активный почти десятилетие, часто является отправной точкой для утечек данных, обеспечивающих последующее развертывание ВПО.
Злоумышленник TA569, также известный как Mustard Tempest, специализируется на компрометации устройств в корпоративных сетях для продажи доступа с повышенными привилегиями.
SocGholish связан с семействами программ-вымогателей, такими как DoppelPaymer и LockBit, что подчеркивает его важность в киберкриминале.
ВПО использует многоэтапный фреймворк JavaScript для drive-by загрузок, нацеленных на пользователей с поддельными уведомлениями об обновлениях.
Трафик на скомпрометированные сайты фильтруется с использованием техник отпечатков для обхода обнаружения.
Многоуровневая инфраструктура маршрутизирует трафик через аффилиатов, чтобы скрыть источник атаки.
ВПО предоставляет шаблоны, имитирующие легитимные обновления браузеров, обманывая пользователей и заставляя их запускать вредоносные скрипты.
Шестистрочный скрипт-стагер подключается к серверу управления для оценки ценности зараженной системы на основе корпоративных сетевых подключений.
Теневое доменное имя используется для создания поддельных поддоменов в рамках легитимных доменов, что повышает операционную безопасность и позволяет избегать внимания.
Быстрая ротация теневых доменов усложняет обнаружение для защитников из-за ограниченного времени на реакцию.
Более половины проанализированных клиентских сетей пытались подключиться к инфраструктуре, связанной с SocGholish, за последние пять месяцев.
Большинство соединений были заблокированы существующими средствами защиты безопасности, однако единичное успешное использование уязвимости может привести к значительным утечкам данных.
Постоянный мониторинг будет иметь решающее значение для адаптации к меняющемуся ландшафту киберугроз после операции Endgame.
#ParsedReport #CompletenessLow
16-06-2026
From a VHDX File to a Remcos RAT
https://dshield.org/diary/From+a+VHDX+File+to+a+Remcos+RAT/33080/
Report completeness: Low
Threats:
Remcos_rat
Victims:
German speaking victims
Geo:
German
ChatGPT TTPs:
T1027, T1047, T1055, T1059.001, T1059.007, T1105, T1140, T1547.001, T1620
IOCs:
Hash: 3
File: 5
Url: 2
Domain: 1
Registry: 1
Path: 1
Algorithms:
sha256, base64, xor, zip
Functions:
ConnectServer
Languages:
powershell, javascript
16-06-2026
From a VHDX File to a Remcos RAT
https://dshield.org/diary/From+a+VHDX+File+to+a+Remcos+RAT/33080/
Report completeness: Low
Threats:
Remcos_rat
Victims:
German speaking victims
Geo:
German
ChatGPT TTPs:
do not use without manual checkT1027, T1047, T1055, T1059.001, T1059.007, T1105, T1140, T1547.001, T1620
IOCs:
Hash: 3
File: 5
Url: 2
Domain: 1
Registry: 1
Path: 1
Algorithms:
sha256, base64, xor, zip
Functions:
ConnectServer
Languages:
powershell, javascript
SANS Internet Storm Center
From a VHDX File to a Remcos RAT - SANS Internet Storm Center
From a VHDX File to a Remcos RAT, Author: Xavier Mertens