#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Новый вариант стиллер-ВПО под названием Miasma появился в экосистеме npm, затронув около 52 640 загрузок в месяц из-за компрометации учетной записи разработчика. Этот многоэтапный загрузчик запускается при установке с использованием файла binding.gyp и целенаправленно собирает конфиденциальные учетные данные с таких платформ, как GitHub и AWS. Его необычное поведение, включая уникальную строку загрузки и ссылки на другой вариант под названием Hades, указывает на возможное участие нового злоумышленника и подчеркивает существующие уязвимости в инфраструктуре npm.
-----

Новый вариант стиллера, известный как Miasma, в настоящее время распространяется в экосистеме npm после компрометации учетной записи разработчика czirker. Эта атака затронула около 52 640 загрузок в месяц. Обновленные пакеты содержат многоэтапный загрузчик, который активируется через предварительно настроенный файл binding.gyp и выполняется напрямую при установке. Основная цель этого ВПО — кража конфиденциальных учетных данных, таких как токены GitHub, токены npm и учетные данные облачных сервисов от AWS, GCP и Azure.

Анализ показывает, что учетные данные были загружены на GitHub с использованием уникальной строки «Alright Lets See If This Works», которая отклоняется от стандартных соглашений об именовании, наблюдавшихся в предыдущих версиях. Эта модификация, наряду с внедрением новых публичных криптографических ключей, указывает на то, что данный вариант может быть продуктом другого актора, чем те, которые связаны с предыдущими вариантами Miasma или TeamPCP. ВПО использует технику распространения путем поиска последних коммитов, в частности одного от пользователя firedalazer на GitHub, что указывает на продолжающуюся уязвимость в экосистеме.

Кроме того, дальнейший анализ выгруженного ВПО выявляет связи с другим вариантом под названием Hades, озаглавленным "The End for the Damned." Как и Miasma, этот вариант также содержит уникальные открытые ключи, что указывает на общее происхождение или, по крайней мере, связь между этими угрозами. Несмотря на повторяющиеся проблемы с вредоносным кодом в пакетах npm и продолжающиеся дискуссии о внедрении более эффективных механизмов обнаружения, ситуация остается критической, о чем свидетельствует широкое распространение таких техник в недавних атаках. Потенциальные последствия для разработчиков и организаций, использующих инфраструктуру npm, значительны, что подчеркивает необходимость усиления мер безопасности и бдительности в отношении кражи учетных данных и распространения ВПО.

#ParsedReport #CompletenessLow
26-06-2026

Beyond Banking Trojans: Rokarolla Expands the Android Fraud Playbook

https://blog.polyswarm.io/beyond-banking-trojans-rokarolla-expands-the-android-fraud-playbook

Report completeness: Low

Threats:
Rokarolla
Credential_harvesting_technique

Victims:
Banking, Cryptocurrency, Android users

Industry:
Financial

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1008, T1036, T1041, T1056.001, T1056.002, T1071.001, T1082, T1111, T1113, T1204, have more...

IOCs:
Hash: 35

Soft:
Android, TikTok, Google Chrome, Google Play

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Rokarolla — это Android-троян для банковского мошенничества, который имитирует доверенные приложения для кражи учетных данных пользователей на 217 платформах банковского сектора и криптовалют. Он использует такие техники, как фишинговые оверлеи, перехват SMS и регистрация нажатий клавиш, а также задействует службы доступности Android для поддержания скрытности и оперативного закрепления. Структура управления ВПО позволяет ему эффективно управлять зараженными устройствами, автоматизировать действия по мошенничеству и избегать обнаружения путем блокировки оповещений и манипулирования настройками устройства.
-----

Rokarolla — это недавно выявленный Android-банковский троян, нацеленный на 217 банковских и криптовалютных приложений.

ВПО функционирует через вредоносные веб-сайты, замаскированные под доверенные приложения, такие как TikTok и Google Chrome.

Rokarolla использует сервисы доступности Android и применяет фишинговые оверлеи, перехват SMS, регистрацию нажатий клавиш, мониторинг экрана и блокировку вызовов.

Это способствует финансовому мошенничеству путем кражи учетных данных, перехвата коммуникаций и поддержания контроля над скомпрометированными устройствами.

Троян доставляется через поддельные порталы распространения программного обеспечения, предлагающие поддельные приложения, например Google Play Protect.

После установки он запрашивает разрешения на доступ к чувствительным функциям устройства, необходимым для деятельности по слежке и мошенничеству.

Rokarolla имеет инфраструктуру управления, работающую через HTTPS, и собирает телеметрию устройств для создания уникальных профилей.

Это предоставляет доступ как минимум к 137 командам для управления зараженными устройствами и выполнения мошеннических схем.

Один из векторов атаки включает HTML-основанные фишинговые оверлеи, имитирующие экраны входа в легитимные приложения для захвата учетных данных пользователей.

ВПО также может записывать учетные данные для разблокировки с помощью обманных оверлеев экрана блокировки, захватывая PIN-коды и пароли.

Rokarolla может похищать SMS-сообщения и перехватывать коды аутентификации, что приводит к компрометации учётных записей.

Оно обладает возможностью блокировать или отключать звонки, что затрудняет оповещения, связанные с мошеннической деятельностью.

ВПО использует мониторинг на основе скриншотов для скрытого наблюдения за деятельностью пользователя.

Rokarolla сочетает несколько методов кражи учетных данных и использует тактики уклонения, такие как отключение Google Play Protect.

Защитникам следует сосредоточиться на выявлении несанкционированного использования Службы доступности и мониторинге подозрительных запросов разрешений.

Rokarolla представляет собой сдвиг в сторону комплексных платформ для обеспечения мошеннической деятельности в Android-ВПО для банков.

#ParsedReport #CompletenessMedium
27-06-2026

Inside Eastern Europe's C2 Sprawl: 3,900+ Servers and 302 Providers Mapped (Updated)

https://hunt.io/blog/eastern-europe-malicious-infrastructure-report

Report completeness: Medium

Actors/Campaigns:
Cloudatlas
Shinyhunters
Inj3ctor3
Jinx-0164
Fluffy_wolf
Fox_kitten

Threats:
Tactical_rmm_tool
Acunetix_tool
Jomangy_webshell
Zenharr
Nemesys_ransomware
Automim_tool
Credential_harvesting_technique
Mimikatz_tool
Lazagne_tool
Wanttocry
Blackbasta
Devilnfc
Gophish_tool
Hajime
Mozi
Mirai
Cobalt_strike_tool
Sliver_c2_tool

Victims:
Government, Diplomatic entities, Universities, Defi and web3, Russian organizations, Russia, Belarus

Industry:
Education, Iot, Telco, Government

Geo:
Czech republic, Chinese, Moldova, Bulgaria, Romania, Poland, Belarus, Russia, Ukraine, Slovakia, Moscow, Middle east, Bulgarian, Russian, Hungary

CVEs:
CVE-2026-35273 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- oracle peoplesoft_enterprise_peopletools (8.61, 8.62)

CVE-2018-0802 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)
- microsoft office_compatibility_pack (-)
- microsoft word (2007, 2010, 2013, 2016)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1003, T1027, T1059.004, T1078, T1190, T1195.001, T1203, T1213, T1219, T1496, have more...

IOCs:
IP: 22
File: 1

Soft:
Keitaro, FreePBX, Ollama, Graph APIs, Android

Algorithms:
exhibit, xor

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Восточная Европа стала центром киберкриминала и операций, спонсируемых государствами, с более чем 3 900 вредоносных серверов у 302 провайдеров, преимущественно в Болгарии, Украине и России. Около 90,6% обнаруженных угроз исходят из этой инфраструктуры, имея тесные связи с семействами ВПО, такими как Keitaro, и эксплуатацией критических уязвимостей, таких как CVE-2026-35273. Анализ подчеркивает использование передовых инструментов, таких как Cobalt Strike, разнообразных техник атак, включая эксплойт-киты и ботнеты IoT, а также устойчивость этих инфраструктур к традиционным контрмерам.
-----

В Восточной Европе выявлена значительная инфраструктура, поддерживающая как киберкриминал, так и операции, спонсируемые государствами, включающая более 3900 активно злонамеренных или обеспечивающих угрозы серверов в 302 провайдерах. Эта оценка подчеркивает, как хостинговая среда в таких странах, как Болгария, Украина и Россия, играет ключевую роль в содействии широкому спектру киберугроз — от массового мошенничества до расширенных персистентных угроз (APTs).

Анализ показывает, что инфраструктура, обеспечивающая потенциально вредоносную деятельность, составляет около 90,6% от выявленных угроз в регионе. В частности, компания Bulagaria's Friendhosting Ltd занимает непропорционально большую долю, при этом её серверы поддерживают более половины выявленной вредоносной активности. В отчете также раскрываются связи с различными семействами ВПО, где Keitaro лидирует с 1 277 уникальными IP-адресами, обеспечивающими угрожающую активность, за ним следуют Tactical RMM и Acunetix, которые часто используются для деятельности после эксплуатации.

Несколько заметных эксплойтов, связанных с различными вредоносными кампаниями, были напрямую привязаны к выявленной инфраструктуре. Например, российский провайдер Proton66 OOO связан с эксплойтами CVE-2026-35273 — критической уязвимости нулевого дня Oracle PeopleSoft, которую ShinyHunters использовали против множества организаций. Другие IP-адреса были привязаны к деятельности, связанной с вымогательством, такой как атаки Nemesys, и различным фишинговым операциям.

Более того, наличие таких продвинутых инструментов, как Cobalt Strike и Sliver, указывает на продолжающиеся сложные кибероперации, направленные против организаций, а также на то, что они облегчают деятельность преступных синдикатов. Данные свидетельствуют о том, что многие из этих инфраструктур устойчивы к традиционным мерам противодействия из-за установленных отношений с хостинг-провайдерами, которые часто сохраняются, несмотря на частую ротацию доменов и IP-адресов, связанных с вредоносной деятельностью.

Кроме того, в схеме показана концентрация злоумышленников, использующих различные техники, включая эксплойт-киты, распределение трафика для вредоносной рекламы и применение легитимных инструментов удаленного управления в средах после эксплуатации. Широкое распространение IoT-ботнетов, таких как Hajime и Mozi, отражает постоянную эксплуатацию различных устройств в регионе, демонстрируя масштабный характер угроз.

#ParsedReport #CompletenessHigh
29-06-2026

Inside Kimsuky’s CHM Tradecraft: Multi-Stage Execution and Selective Payload Delivery

https://blog.synapticsystems.de/inside-kimsukys-chm-tradecraft-multi-stage-execution-and-selective-payload-delivery/

Report completeness: High

Actors/Campaigns:
Kimsuky

Victims:
Legal sector, Policy sector, Human rights sector, Korean speaking audience

Industry:
Foodtech, Military

Geo:
Germany, Korean, North korea, North korean

TTPs:
Tactics: 6
Technics: 12

IOCs:
Hash: 5
File: 23
Path: 3
Url: 5
Domain: 2
IP: 4
Registry: 10

Soft:
Windows shell, Internet Explorer, Microsoft Edge

Algorithms:
base64, sha256

Functions:
DownloadDir, BaseInfo, ProcList, VacQuery, Set-Cookie

Win API:
Stream

Languages:
vbscript, powershell, php, visual_basic, javascript

Platforms:
x86

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 4, windows: 3, table: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленник Kimsuky использует многоэтапную стратегию ВПО, применяя скомпрометированный CHM-файл, маскирующийся под легитимный документ, и нацеленный на лиц, говорящих на корейском языке. ВПО, идентифицируемое по хешу SHA256 0efbd18c77479b458078521c18bdad84852b71250122a17cb8105c10d3df38d4, выполняет скрипт PowerShell, который инкапсулирует вредоносный VBScript, обеспечивает закрепление через запланированные задачи и модификации реестра, а также взаимодействует с сервером управления для сбора системных данных в целях сбора разведывательной информации.
-----

Анализ выделяет многоэтапную стратегию выполнения ВПО, применяемую злоумышленником Kimsuky, с использованием скомпрометированного файла CHM (Скомпилированная справка HTML). Первоначальный образец, идентифицированный по хешу SHA256 0efbd18c77479b458078521c18bdad84852b71250122a17cb8105c10d3df38d4, запускает серию вредоносных процессов для закрепления, разведки и выборочной доставки полезной нагрузки. Файл CHM отображает то, что кажется легитимным документом, связанным с политикой Северной Кореи, служа приманкой для привлечения корейскоязычных целей.

При запуске CHM-файл инициирует скрытое выполнение PowerShell-скрипта. Этот скрипт декодирует встроенное содержимое в формате Base64, создавая файл с именем Link.ini, который обрабатывается wscript.exe как VBScript. Этот начальный полезный модуль связывается с сервером управления (command-and-control) по адресу acnms.dmdoc.dynv6.net, обеспечивая профилирование хоста посредством различных задач перечисления системы и процессов. Он собирает данные о конфигурации системы, запущенных процессах и структуре каталогов, которые затем эксфильтруются на другой конечный узел, обозначенный как finalservice.php.

ВПО обеспечивает закрепление путем создания запланированной задачи, связанной с Edge Updater, которая запускает вторичный загрузчик через определенные интервалы времени путем выполнения другого VBScript, сохраненного с вводящим в заблуждение расширением .ini. Механизм закрепления использует специфические изменения реестра для сокрытия своего присутствия и обеспечения непрерывной работы. Кроме того, архитектура ВПО позволяет осуществлять выборочную доставку полезной нагрузки; ответы от C2-сервера могут варьироваться в зависимости от таких критериев, как географическое положение или состояние системы, что потенциально позволяет избегать обнаружения.

Операции Kimsuky согласуются с ранее наблюдаемыми методиками в распространении CHM-файлов, которые ранее связывались с целями сбора информации с скомпрометированных систем. Данный анализ выявляет сложность тактик Kimsuky, которые используют социальную инженерию через приманки в контенте и надежные технические фреймворки для выполнения и закрепления, с основной целью сбора разведданных с целевых систем.

#ParsedReport #CompletenessHigh
29-06-2026

Mustang Panda targets India's government and energy sectors with ZOHOMURK and MINIRECON

https://www.acronis.com/en/tru/posts/mustang-panda-targets-indias-government-and-energy-sectors/

Report completeness: High

Actors/Campaigns:
Red_delta (motivation: cyber_espionage)

Threats:
Zohomurk
Minirecon
Shardloader
Dll_sideloading_technique
Toneshell
Shadowpad
Spear-phishing_technique

Victims:
Government, Hydropower, Energy

Industry:
Government, Energy, Critical_infrastructure

Geo:
India, Myanmar, Taiwanese, Indian, China, Taiwan

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1016.001, T1027, T1036.005, T1053.005, T1071.001, T1082, T1102.002, T1140, T1204.002, T1547.001, have more...

IOCs:
File: 16
Url: 1
Coin: 1
Domain: 1
IP: 2
Hash: 8

Soft:
twitter, WinHTTP, Task Scheduler

Algorithms:
sha256, xor, rc4, zip, prng

Functions:
GetSPApp

Win API:
CreateEventW, EnumSystemLocalesA, CoCreateInstance, GetLocalTime, QueryPerformanceCounter, GetComputerNameA

Languages:
python

Platforms:
x64

#ParsedReport #ExtractedSchema

Classified images:
schema: 4, windows: 11, code: 73, dump: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Mustang Panda, злоумышленник, связанный с государством, осуществляет кампании шпионажа против правительственных структур и энергетического сектора Индии, уделяя особое внимание гидроэнергетике и партнёрствам с Тайванем. Они используют легитимный облачный сервис Zoho WorkDrive и развёртывают набор вредоносного ПО, включающий SHARDLOADER, ZOHOMURK и MINIRECON, при этом SHARDLOADER функционирует как загрузчик DLL, обеспечивающий закрепление с помощью таких техник, как подгрузка DLL. Оба внедрённых модуля занимаются эксфильтрацией данных и удалённым выполнением, применяя методы противодействия анализу и используя легитимные приложения для маскировки вредоносной активности.
-----

Mustang Panda, злоумышленник, связанный с государством, нацелен на правительственные структуры и энергетический сектор Индии, уделяя особое внимание гидроэнергетической отрасли и партнёрствам с Тайванем.

Группа использует облачную платформу хранения данных Zoho WorkDrive для развертывания нового ВПО, включая SHARDLOADER, ZOHOMURK и MINIRECON.

SHARDLOADER — это загрузчик на основе DLL, использующий закрепление и техники подгрузки DLL для развертывания ZOHOMURK и MINIRECON.

SHARDLOADER v1.0 и v1.1 используют сложную цепочку выполнения, опираясь на легитимные приложения, такие как Solid PDF Creator, для запуска вредоносных DLL-файлов во время запуска системы.

Этот загрузчик создает скрытые каталоги для закрепления и манипулирует функциями ОС для сокрытия вредоносной деятельности.

ZOHOMURK функционирует как C2-имплант, использующий Zoho WorkDrive для эксфильтрации данных и выполнения удалённых задач, обеспечивая устойчивый цикл C2-коммуникации.

ZOHOMURK использует техники противодействия анализу и генерирует уникальные идентификаторы жертв на основе атрибутов системы для повышения скрытности.

В рамках кампании II вариант SHARDLOADER доставляется через ZIP-архив с использованием механизма-дропера для развертывания дополнительных файлов, включая модифицированный Citrix Receiver для подгрузки ZOHOMURK.

Механизм закрепления этой кампании использует Планировщик задач Windows для обеспечения выживаемости внедрения после перезагрузок.

Связь MINIRECON осуществляется по протоколу WebSocket с использованием самоподписанных сертификатов, что обеспечивает скрытые операции управления.

Индикаторы общего происхождения разработки включают жестко закодированные учетные данные OAuth, скрытые атрибуты ВПО и повторяющиеся опечатки в коде, что указывает на согласованность с интересами Китая.

Стейкхолдеры в государственном и энергетическом секторах должны проявлять осторожность в отношении атак целевой фишинг с использованием геополитических тем и быть осведомлены о злонамеренном использовании облачных сервисов для операций C2.

#ParsedReport #CompletenessLow
29-06-2026

Klue Supply Chain Compromise and CRM Data Exfiltration Incident Advisory

https://kudelskisecurity.com/research/klue-supply-chain-compromise-and-crm-data-exfiltration-incident-advisory

Report completeness: Low

Threats:
Supply_chain_technique

Victims:
Klue, Customer integrations, Crm systems, Salesforce, Sales platforms, Collaboration platforms

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1078, T1195.002, T1199, T1213, T1528, T1550.001, T1567

IOCs:
IP: 4

Soft:
Salesforce, HubSpot, Zoom, Slack

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атака на цепочку поставок программного обеспечения против Klue использовала спящие учетные данные для получения доступа к его бэкенду, что позволило злоумышленнику развернуть вредоносный код для сбора OAuth-токенов. Это дало возможность атакующему запрашивать данные из клиентских CRM-систем, таких как Salesforce, в результате чего произошла эксфильтрация конфиденциальных бизнес-данных. Инцидент демонстрирует цепную компрометацию цепочки поставок, подчеркивая уязвимости в интеграциях клиентов и несанкционированном доступе к нескольким платформам нижестоящего уровня.
-----

Недавний инцидент, связанный с атакой на цепочку поставок программного обеспечения против платформы рыночной аналитики Klue, выявил значительные уязвимости в интеграциях клиентов, приведшие к несанкционированному доступу к данным и эксфильтрации из различных последующих SaaS-приложений, особенно CRM-систем.

Атака началась с того, что злоумышленник использовал давно неактивные учетные данные, связанные с внутренней средой Klue, что позволило ему получить первоначальный доступ. Оказавшись внутри, актор развернул вредоносный код, специально разработанный для сбора токенов OAuth, которые обеспечивают подключение между Klue и его сторонними интеграциями. Эти токены имеют решающее значение для аутентификации и управления доступом к данным между системами.

Успешно собрав эти OAuth-токены, злоумышленник выполнил запросы к CRM-системам клиентов, что позволило получить доступ к нескольким подключенным платформам. В их число вошли такие известные сервисы, как Salesforce, из которых были эксфильтрованы различные наборы данных. Включенные данные содержали структурированную бизнес-информацию, такую как контакты, детали ценообразования, коммерческие коммуникации и внутренние заметки. Этот инцидент является примером цепной Компрометации цепочки поставок, где эксплуатация единственного отказа интеграции на верхнем уровне привела к масштабному несанкционированному доступу в многочисленных средах нижнего уровня.

После этого инцидента рекомендуется проявлять бдительность в отношении потенциальной утечки данных. Организациям рекомендуется отслеживать почтовые системы на предмет сообщений, связанных с вымогательством, и сохранять любые подозрительные письма для дальнейшего криминалистический анализ. Кроме того, системные администраторы должны быть начеку в отношении индикаторов компрометация, связанных с несанкционированным доступом, особенно в отношении экспортов данных CRM или Salesforce.

#ParsedReport #CompletenessHigh
29-06-2026

The Gentlemen are knocking: сustom backdoors and evolving tactics

https://securelist.com/the-gentlemen-raas/120447/

Report completeness: High

Actors/Campaigns:
Gentlemen_ransomware

Threats:
Sharpadws_tool
Netscan_tool
Byovd_technique
Yamux_tool
Psexec_tool

Victims:
Large corporations, Critical infrastructure, Manufacturing, It services, Healthcare, Financial services, Construction, Logistics

Industry:
Critical_infrastructure, Healthcare, Logistic

Geo:
Thailand, Brazil, Taiwan, China, Indonesia

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1016, T1018, T1021.002, T1027, T1046, T1047, T1053.005, T1059.001, T1059.003, T1070.001, have more...

IOCs:
Command: 8
File: 37
IP: 2
Path: 1
Registry: 1
Hash: 31

Soft:
Active Directory, PsExec, Windows Kernel, OpenArk64, Windows registry, Windows Defender, Hyper-V, Microsoft Office, ESXi, Linux, have more...

Algorithms:
xchacha20, aes-256-gcm, xor, curve25519, base64

Functions:
TaskSystem

Win API:
NetServerEnum, SetEntriesInAclA, EvtClearLog

Languages:
powershell, golang

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
The Gentlemen, хакерская группировка The Gentlemen, использующая модель RaaS, выделяются своими эволюционирующими тактиками, включая эксплуатацию уязвимостей в онлайн-сервисах и использование украденных учетных данных. Их разведка включает такие инструменты, как SharpADWS для сбора информации об Active Directory, а перемещение внутри компании достигается с помощью таких техник, как NETLOGON-шары и пользовательские скрипты PowerShell. Примечательно их продвинутое Go-основанное программное обеспечение-вымогатель, которое использует гибридную криптографию и сложную обфускацию для уклонения от обнаружения, наряду с разрабатываемой C-основанной версией, что указывает на их растущую сложность и операционный охват в различных отраслях.
-----

The Gentlemen — хакерская группировка The Gentlemen, действующая по модели программа-вымогатель как услуга (RaaS).

Операции начались примерно в середине 2025 года, при этом повышенная активность отмечалась с начала 2026 года.

Их атаки используют уязвимости в онлайн-сервисах, украденные учетные данные и экспонированные устройства, такие как аппаратные VPN и межсетевые экраны.

Они сотрудничают с брокерами первоначального доступа, что подтверждается задержками между взломами и развертыванием программ-вымогателей.

Группа проводит обширную разведку с использованием таких инструментов, как SharpADWS для сбора данных Active Directory, а также инструментов сетевого сканирования, таких как NetScan и Advanced IP Scanner.

Они используют общий ресурс NETLOGON и пользовательские скрипты PowerShell для перемещения внутри компании по сетям.

Развертывание программ-вымогателей включает такие техники, как PsExec и манипуляция объектами групповых политик (GPO).

Они отключают программное обеспечение безопасности с помощью уязвимых драйверов и инструментов с открытым исходным кодом, чтобы избежать обнаружения.

Разработанный в домашних условиях бэкдор на языке Go используется для управления (C2) коммуникацией, позволяя осуществлять удаленный мониторинг и выполнение команд.

Их основной вариант ransomware, написанный на Go, использует уникальный механизм обфускации для усложнения анализа.

Для выполнения требуется пароль, чтобы затруднить автоматический анализ, а для шифрования используется гибридная комбинация криптографии Curve25519 и XChaCha20.

Процессы вредоносного ПО для шифрования приостанавливают работу активных виртуальных машин и завершают ключевые процессы перед шифрованием.

Появился новый вариант шифровальщика на C, сохраняющий схожую структуру, но использующий AES256-GCM и RSA для шифрования.

Этот вариант включает в себя эволюционирующие методы повышения привилегий и попытки очистки журналов событий после заражения.

Среди жертв — такие отрасли, как производство, здравоохранение и финансы, особенно в Бразилии и Китае.

Операции «Джентльменов» демонстрируют адаптивность, при этом растёт их зависимость от кастомного инструментария для различных сред.

Ожидается, что их вредоносная активность усилится, что потребует от организаций усиления мер безопасности и внедрения надежных стратегий управления уязвимостями.