CTT Report Hub
#ParsedReport #CompletenessHigh 01-07-2026 The SOC Files: ScreenConnect masked as freeware. An inside look at a large-scale campaign https://securelist.com/tr/the-soc-files-screenconnect-campaign-with-asyncrat/120472/ Report completeness: High Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Масштабная киберкампания использует инструмент удалённого доступа ScreenConnect для развертывания вредоносного ПО AsyncRAT, эксплуатируя его легитимные характеристики для обхода обнаружения. Злоумышленники распространяют вредоносные установщики через поддельные домены, имитирующие программное обеспечение, такое как OBS Studio, полагаясь на взаимодействие с пользователем для заражения. Операция применяет внедрение в пустой процесс для инъекции AsyncRAT в процесс RegAsm.exe и использует подгрузку DLL для закрепления, при этом устанавливая соединения с несколькими доменами C2 для эксфильтрации данных и управления.
-----
Недавние расследования киберугроз выявили масштабную кампанию, использующую инструмент удаленного доступа ScreenConnect для выполнения вредоносной деятельности, в частности, через развертывание полезной нагрузки AsyncRAT. Злоумышленники эксплуатируют легитимные инструменты удаленного мониторинга, такие как ScreenConnect, которые часто остаются незамеченными системами безопасности из-за их действительных цифровых подписей и совместимости с корпоративными политиками. Эта конкретная кампания включала распространение вредоносных Пакеты установщика через сеть поддельных веб-сайтов, имитирующих популярное программное обеспечение, такое как OBS Studio, DNS Jumper и другие, при этом было обнаружено более 90 доменных имен, локализованных на нескольких языках.
Эта операция была инициирована оповещениями, указывающими на необычное выполнение PowerShell и VBScript, исходящее от ScreenConnect. Поток выполнения начинается с работы службы ScreenConnect на скомпрометированных системах, что приводит к созданию скрипта PowerShell и VBScript, использующего техники Внедрение в пустой процесс для инъекции трояна AsyncRAT в легитимный процесс RegAsm.exe. Этот метод применяется для поддержания закрепления на системе через запланированную задачу.
Злоумышленники обычно используют вредоносные установщики, содержащие исполняемый файл с подписью Microsoft, переименованный для имитации легитимного программного обеспечения, а также поддельную DLL-библиотеку, которая загружает службу ScreenConnect с помощью подгрузки DLL (DLL sideloading). Примечательно, что взаимодействие пользователя — загрузка этих кажущихся безобидными архивов с доменов, зарегистрированных с использованием метода тайпсквоттинга, — играет критическую роль в векторах заражения, что демонстрирует изощренную манипуляцию поисковой оптимизацией для обеспечения заметного положения таких вредоносных сайтов в результатах поиска.
Кампания продемонстрировала четкую стратегию подавления потенциальных жертв, как отдельных пользователей, так и организаций, множеством имитированных утилит на различных языках, что позволяет достичь широкого воздействия. Эта насмешка над доверенным программным обеспечением расширяет зону foothold злоумышленника в целевых средах, учитывая, что такие ПО для удаленного доступа часто могут быть добавлены в белый список в корпоративных ИТ-средах.
Инфраструктура управления (управление) (C2), проанализированная в рамках этой кампании, указывает на использование нескольких кластеров IP-адресов и доменов для размещения и распространения вредоносных файлов. Сетевая активность с зараженных систем часто подключается к этим доменам C2 для получения дальнейших инструкций. Кроме того, постоянные подключения к этим доменам обеспечивают долгосрочную эксфильтрацию данных и контроль над зараженными системами, при этом конечной целью может быть кража учетных данных для последующей перепродажи на рынках даркнета.
Стратегии обнаружения для этих угроз основаны на мониторинге подозрительной активности, связанной с выполнением служб, аномалиях в создании процессов и потенциальных попытках внедрения кода, как это наблюдалось с процессом RegAsm.exe. Командам безопасности рекомендуется использовать различные решения мониторинга для раннего выявления этих действий и эффективного реагирования для снижения рисков, создаваемых такими сложными киберкампаниями.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Масштабная киберкампания использует инструмент удалённого доступа ScreenConnect для развертывания вредоносного ПО AsyncRAT, эксплуатируя его легитимные характеристики для обхода обнаружения. Злоумышленники распространяют вредоносные установщики через поддельные домены, имитирующие программное обеспечение, такое как OBS Studio, полагаясь на взаимодействие с пользователем для заражения. Операция применяет внедрение в пустой процесс для инъекции AsyncRAT в процесс RegAsm.exe и использует подгрузку DLL для закрепления, при этом устанавливая соединения с несколькими доменами C2 для эксфильтрации данных и управления.
-----
Недавние расследования киберугроз выявили масштабную кампанию, использующую инструмент удаленного доступа ScreenConnect для выполнения вредоносной деятельности, в частности, через развертывание полезной нагрузки AsyncRAT. Злоумышленники эксплуатируют легитимные инструменты удаленного мониторинга, такие как ScreenConnect, которые часто остаются незамеченными системами безопасности из-за их действительных цифровых подписей и совместимости с корпоративными политиками. Эта конкретная кампания включала распространение вредоносных Пакеты установщика через сеть поддельных веб-сайтов, имитирующих популярное программное обеспечение, такое как OBS Studio, DNS Jumper и другие, при этом было обнаружено более 90 доменных имен, локализованных на нескольких языках.
Эта операция была инициирована оповещениями, указывающими на необычное выполнение PowerShell и VBScript, исходящее от ScreenConnect. Поток выполнения начинается с работы службы ScreenConnect на скомпрометированных системах, что приводит к созданию скрипта PowerShell и VBScript, использующего техники Внедрение в пустой процесс для инъекции трояна AsyncRAT в легитимный процесс RegAsm.exe. Этот метод применяется для поддержания закрепления на системе через запланированную задачу.
Злоумышленники обычно используют вредоносные установщики, содержащие исполняемый файл с подписью Microsoft, переименованный для имитации легитимного программного обеспечения, а также поддельную DLL-библиотеку, которая загружает службу ScreenConnect с помощью подгрузки DLL (DLL sideloading). Примечательно, что взаимодействие пользователя — загрузка этих кажущихся безобидными архивов с доменов, зарегистрированных с использованием метода тайпсквоттинга, — играет критическую роль в векторах заражения, что демонстрирует изощренную манипуляцию поисковой оптимизацией для обеспечения заметного положения таких вредоносных сайтов в результатах поиска.
Кампания продемонстрировала четкую стратегию подавления потенциальных жертв, как отдельных пользователей, так и организаций, множеством имитированных утилит на различных языках, что позволяет достичь широкого воздействия. Эта насмешка над доверенным программным обеспечением расширяет зону foothold злоумышленника в целевых средах, учитывая, что такие ПО для удаленного доступа часто могут быть добавлены в белый список в корпоративных ИТ-средах.
Инфраструктура управления (управление) (C2), проанализированная в рамках этой кампании, указывает на использование нескольких кластеров IP-адресов и доменов для размещения и распространения вредоносных файлов. Сетевая активность с зараженных систем часто подключается к этим доменам C2 для получения дальнейших инструкций. Кроме того, постоянные подключения к этим доменам обеспечивают долгосрочную эксфильтрацию данных и контроль над зараженными системами, при этом конечной целью может быть кража учетных данных для последующей перепродажи на рынках даркнета.
Стратегии обнаружения для этих угроз основаны на мониторинге подозрительной активности, связанной с выполнением служб, аномалиях в создании процессов и потенциальных попытках внедрения кода, как это наблюдалось с процессом RegAsm.exe. Командам безопасности рекомендуется использовать различные решения мониторинга для раннего выявления этих действий и эффективного реагирования для снижения рисков, создаваемых такими сложными киберкампаниями.
#ParsedReport #CompletenessHigh
01-07-2026
Phantom Squatting: AI-Hallucinated Domains as a Software Supply Chain Vector
https://unit42.paloaltonetworks.com/phantom-squatting-hallucinated-web-domains/
Report completeness: High
Threats:
Phantom_squatting_technique
Supply_chain_technique
Slopsquatting_technique
Watering_hole_technique
Cloaking_technique
Credential_harvesting_technique
Victims:
Software supply chain, Postal services, Electronic commerce, Banking
Industry:
Software_development, E-commerce, Financial, Retail
Geo:
Australia, Bangladesh, Middle east, Asia, Japan, India, South korea
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1041, T1056.003, T1102, T1111, T1476, T1583.001, T1608.001, T1608.002, T1656
IOCs:
Url: 7
Domain: 6
File: 2
Hash: 2
Soft:
Android, Telegram
Algorithms:
zip, exhibit, sha256
Languages:
php
01-07-2026
Phantom Squatting: AI-Hallucinated Domains as a Software Supply Chain Vector
https://unit42.paloaltonetworks.com/phantom-squatting-hallucinated-web-domains/
Report completeness: High
Threats:
Phantom_squatting_technique
Supply_chain_technique
Slopsquatting_technique
Watering_hole_technique
Cloaking_technique
Credential_harvesting_technique
Victims:
Software supply chain, Postal services, Electronic commerce, Banking
Industry:
Software_development, E-commerce, Financial, Retail
Geo:
Australia, Bangladesh, Middle east, Asia, Japan, India, South korea
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1041, T1056.003, T1102, T1111, T1476, T1583.001, T1608.001, T1608.002, T1656
IOCs:
Url: 7
Domain: 6
File: 2
Hash: 2
Soft:
Android, Telegram
Algorithms:
zip, exhibit, sha256
Languages:
php
Unit 42
Phantom Squatting: AI-Hallucinated Domains as a Software Supply Chain Vector
Attackers can exploit LLM domain hallucinations through phantom squatting to target supply chains. Read the analysis to learn more.
CTT Report Hub
#ParsedReport #CompletenessHigh 01-07-2026 Phantom Squatting: AI-Hallucinated Domains as a Software Supply Chain Vector https://unit42.paloaltonetworks.com/phantom-squatting-hallucinated-web-domains/ Report completeness: High Threats: Phantom_squatting_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние исследования компании Unit 42 выявили новую киберугрозу, названную «фантомным сайтсквоттингом», при которой злоумышленники используют большие языковые модели (LLM) для генерации вымышленных веб-доменов, способных вводить пользователей в заблуждение и перехватывать трафик, создавая риски для цепочки поставок программного обеспечения. Одна из атак включала создание фишинг-набора, нацеленного на домен, сгенерированный галлюцинацией модели, что позволило выявить более 250 000 незарегистрированных вредоносных доменов. Эти домены часто выглядят безобидно, что усложняет их обнаружение, поскольку они могут активироваться сразу после регистрации и выполнять атаки без предварительной вредоносной истории.
-----
Phantom squatting использует большие языковые модели (LLM), которые генерируют галлюцинированные веб-домены, связанные с легитимными брендами.
Злоумышленники могут регистрировать эти несуществующие домены, чтобы вводить пользователей в заблуждение и перехватывать их трафик.
Одна из атак заключалась в создании фишинг-набора под названием Montana Empire с использованием ИИ-ассистента для написания кода.
Unit 42 проанализировал 913 глобальных брендов, что привело к генерации 2,1 миллиона URL-адресов на основе запросов к LLM, из которых 13 229 были подтверждены как вредоносные.
Около 250 000 сгенерированных доменных имён остаются незарегистрированными, что создаёт возможности для злонамеренного использования.
Фантомный сквоттинг смещает фокус со слепского сквоттинга на фиктивные домены для веб-приложений и API.
В отличие от традиционного фишинга, домены фантомного сайквотинга выглядят «чистыми» и обходят защиты, основанные на исторических данных для репутации.
Злоумышленники могут исследовать поверхности галлюцинаций LLM для картирования и регистрации потенциально вредоносных доменов.
Эти домены могут активироваться вскоре после регистрации, сопровождаясь готовыми к развертыванию вредоносными комплексами.
Фантомный сквоттинг усложняет механизмы защиты за счёт reliance на рекомендации ИИ, которые могут не иметь установленных репутаций доменов.
Существующие системы защиты с трудом классифицируют инфраструктуру, которая кажется безобидной, пока не проявит злонамеренные намерения.
Агенты ИИ, выполняющие задачи, сгенерированные большими языковыми моделями (LLM), могут непреднамеренно выполнять вредоносные команды или осуществлять утечку конфиденциальных данных.
Реальные инциденты включают фишинг-кампании, имитирующие почтовые службы, и распространение зараженных Android-приложений.
Более 67% выявленных вредоносных URL-адресов связаны с ВПО, при этом многие из них служат инфраструктурой управления.
Рост фантомного сайквоттинга создает критические уязвимости в Цепочке поставок программного обеспечения из-за архитектур LLM, генерирующих правдоподобные домены.
Для противодействия фантомному сайквотингу в условиях всё более глубокой интеграции технологий больших языковых моделей (LLM) в рабочие процессы организаций настоятельно необходимы усиленные механизмы безопасности.
Эти угрозы представляют опасность для отдельных пользователей и автономных систем, подверженных эксплуатации с помощью инструментов на базе искусственного интеллекта.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние исследования компании Unit 42 выявили новую киберугрозу, названную «фантомным сайтсквоттингом», при которой злоумышленники используют большие языковые модели (LLM) для генерации вымышленных веб-доменов, способных вводить пользователей в заблуждение и перехватывать трафик, создавая риски для цепочки поставок программного обеспечения. Одна из атак включала создание фишинг-набора, нацеленного на домен, сгенерированный галлюцинацией модели, что позволило выявить более 250 000 незарегистрированных вредоносных доменов. Эти домены часто выглядят безобидно, что усложняет их обнаружение, поскольку они могут активироваться сразу после регистрации и выполнять атаки без предварительной вредоносной истории.
-----
Phantom squatting использует большие языковые модели (LLM), которые генерируют галлюцинированные веб-домены, связанные с легитимными брендами.
Злоумышленники могут регистрировать эти несуществующие домены, чтобы вводить пользователей в заблуждение и перехватывать их трафик.
Одна из атак заключалась в создании фишинг-набора под названием Montana Empire с использованием ИИ-ассистента для написания кода.
Unit 42 проанализировал 913 глобальных брендов, что привело к генерации 2,1 миллиона URL-адресов на основе запросов к LLM, из которых 13 229 были подтверждены как вредоносные.
Около 250 000 сгенерированных доменных имён остаются незарегистрированными, что создаёт возможности для злонамеренного использования.
Фантомный сквоттинг смещает фокус со слепского сквоттинга на фиктивные домены для веб-приложений и API.
В отличие от традиционного фишинга, домены фантомного сайквотинга выглядят «чистыми» и обходят защиты, основанные на исторических данных для репутации.
Злоумышленники могут исследовать поверхности галлюцинаций LLM для картирования и регистрации потенциально вредоносных доменов.
Эти домены могут активироваться вскоре после регистрации, сопровождаясь готовыми к развертыванию вредоносными комплексами.
Фантомный сквоттинг усложняет механизмы защиты за счёт reliance на рекомендации ИИ, которые могут не иметь установленных репутаций доменов.
Существующие системы защиты с трудом классифицируют инфраструктуру, которая кажется безобидной, пока не проявит злонамеренные намерения.
Агенты ИИ, выполняющие задачи, сгенерированные большими языковыми моделями (LLM), могут непреднамеренно выполнять вредоносные команды или осуществлять утечку конфиденциальных данных.
Реальные инциденты включают фишинг-кампании, имитирующие почтовые службы, и распространение зараженных Android-приложений.
Более 67% выявленных вредоносных URL-адресов связаны с ВПО, при этом многие из них служат инфраструктурой управления.
Рост фантомного сайквоттинга создает критические уязвимости в Цепочке поставок программного обеспечения из-за архитектур LLM, генерирующих правдоподобные домены.
Для противодействия фантомному сайквотингу в условиях всё более глубокой интеграции технологий больших языковых моделей (LLM) в рабочие процессы организаций настоятельно необходимы усиленные механизмы безопасности.
Эти угрозы представляют опасность для отдельных пользователей и автономных систем, подверженных эксплуатации с помощью инструментов на базе искусственного интеллекта.
#ParsedReport #CompletenessHigh
01-07-2026
ARToken: Inside an EvilTokens affiliate panel targeting Microsoft 365
https://blog.talosintelligence.com/artoken-inside-an-eviltokens-affiliate-panel-targeting-microsoft-365/
Report completeness: High
Threats:
Artoken
Eviltokens_tool
Device_code_phishing_technique
Bec_technique
Aitm_technique
Artsender_tool
Spear-phishing_technique
Victims:
Finance, Human resources, Logistics
Industry:
Logistic, Financial
TTPs:
Tactics: 9
Technics: 9
IOCs:
File: 3
Url: 1
Domain: 3
Soft:
Llama, Telegram, Selenium, curl, chrome, Outlook
Algorithms:
sha256, xor, aes-gcm
Languages:
javascript
Platforms:
cross-platform
Links:
01-07-2026
ARToken: Inside an EvilTokens affiliate panel targeting Microsoft 365
https://blog.talosintelligence.com/artoken-inside-an-eviltokens-affiliate-panel-targeting-microsoft-365/
Report completeness: High
Threats:
Artoken
Eviltokens_tool
Device_code_phishing_technique
Bec_technique
Aitm_technique
Artsender_tool
Spear-phishing_technique
Victims:
Finance, Human resources, Logistics
Industry:
Logistic, Financial
TTPs:
Tactics: 9
Technics: 9
IOCs:
File: 3
Url: 1
Domain: 3
Soft:
Llama, Telegram, Selenium, curl, chrome, Outlook
Algorithms:
sha256, xor, aes-gcm
Languages:
javascript
Platforms:
cross-platform
Links:
https://github.com/Cisco-Talos/IOCs/blob/main/2026/07/Cisco Talos
ARToken: Inside an EvilTokens affiliate panel targeting Microsoft 365
Talos has identified "ARToken," a phishing-as-a-service platform that targets Microsoft 365. The ARToken panel exposes 80+ API endpoints for device code phishing, Primary Refresh Token persistence, email access, BEC operations, and SharePoint exfiltration.
CTT Report Hub
#ParsedReport #CompletenessHigh 01-07-2026 ARToken: Inside an EvilTokens affiliate panel targeting Microsoft 365 https://blog.talosintelligence.com/artoken-inside-an-eviltokens-affiliate-panel-targeting-microsoft-365/ Report completeness: High Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Платформа ARToken, идентифицированная как оператор фишинг как услуга, разделяет технические элементы с фреймворком EvilTokens, предоставляя более 80 API-конечных точек для различных вредоносных действий, включая фишинг кода устройства и компрометация бизнес-электронной почты. Она использует семислойную систему противодействия анализу с клиентской верификацией и XOR-шифрованием для обфускации, что обеспечивает полный доступ к средам Microsoft 365 жертв. Интеграция браузера десктопных сессий расширяет операционные возможности, отмечая эволюцию тактик фишинг в криминальном ландшафте.
-----
Платформа ARToken, идентифицированная Cisco Talos как панель оператора фишинга как услуга (PhaaS), имеет значительные технические элементы, общие с ранее задокументированным фреймворком EvilTokens. В частности, ARToken предлагает более 80 конечных точек API, обеспечивающих различные вредоносные действия, такие как фишинг с использованием кода устройства, механизмы закрепления, такие как основной токен обновления (PRT), доступ к электронной почте жертвы, тактики компрометации бизнес-почты (BEC) и эксфильтрация SharePoint, все это управляется через панель на базе React. Платформа использует надежную семислойную систему противодействия анализу, которая интегрирует клиентскую проверку и XOR-шифрование, что представляет собой более продвинутую технику обфускации, чем ранее сообщавшийся механизм X-Antibot-Token, используемый EvilTokens.
Сам EvilTokens получил признание за эксплуатацию механизма OAuth 2.0 Device Authorization Grant от Microsoft для эффективного захвата пользовательских токенов при обходе многофакторной аутентификации (MFA). Эта операция, начатая в начале 2026 года, описывалась как имеющая повышенные показатели успешности по сравнению с более ранними атаками фишинга с использованием кодов устройств. Microsoft подтвердила подлинность этих операций на фоне сообщений о целевых кампаниях, включающих множество фишинговых страниц и доменов. Эволюция платформы включала сложные функции на базе искусственного интеллекта для генерации персонализированных сценариев BEC и автоматической регистрации устройств, обеспечивающей сохранение доступа к скомпрометированным учетным записям.
Технические основы ARToken напрямую связывают его с EvilTokens, что подтверждается идентичными API-контрактами и методами работы в отношении управления токенами и закрепления. Обе платформы используют схожие приманки и фишинговые техники, размещенные на Cloudflare Workers со сложными соглашениями об именовании. В частности, ARToken включает конечные точки, которые воспроизводят методы жизненного цикла PRT, ранее выявленные в EvilTokens, что делает его прямым потомком этой архитектуры ВПО.
После компрометации операторы ARToken получают полный доступ к среде Microsoft 365 жертвы. Они могут читать электронные письма, отправлять сообщения от имени жертвы, управлять правилами почтового ящика и взаимодействовать с ресурсами SharePoint и OneDrive для кражи данных и других злонамеренных целей. Интеграция браузера десктопных сессий дополнительно усиливает угрозу, позволяя операторам беспрепятственно получать доступ к сессиям Microsoft 365.
В отличие от EvilTokens, реализация ARToken шифрования XOR для своих полезной нагрузки указывает на эволюцию тактик уклонения. Шифрование использует 16-байтовый ключ для расшифровки во время выполнения, что контрастирует с ранее сообщаемым шифрованием API веб-криптографии AES-GCM, используемым EvilTokens. Операционная функциональность ARToken позиционирует его как зрелую среду для операций BEC, с функциями и возможностями, разработанными для упрощения всего процесса после компрометации, что знаменует собой значительную эскалацию фишинговых и киберпреступных методологий. Этот набор возможностей подчеркивает постоянную угрозу, которую представляют эти продвинутые платформы PhaaS для организаций, использующих облачные сервисы.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Платформа ARToken, идентифицированная как оператор фишинг как услуга, разделяет технические элементы с фреймворком EvilTokens, предоставляя более 80 API-конечных точек для различных вредоносных действий, включая фишинг кода устройства и компрометация бизнес-электронной почты. Она использует семислойную систему противодействия анализу с клиентской верификацией и XOR-шифрованием для обфускации, что обеспечивает полный доступ к средам Microsoft 365 жертв. Интеграция браузера десктопных сессий расширяет операционные возможности, отмечая эволюцию тактик фишинг в криминальном ландшафте.
-----
Платформа ARToken, идентифицированная Cisco Talos как панель оператора фишинга как услуга (PhaaS), имеет значительные технические элементы, общие с ранее задокументированным фреймворком EvilTokens. В частности, ARToken предлагает более 80 конечных точек API, обеспечивающих различные вредоносные действия, такие как фишинг с использованием кода устройства, механизмы закрепления, такие как основной токен обновления (PRT), доступ к электронной почте жертвы, тактики компрометации бизнес-почты (BEC) и эксфильтрация SharePoint, все это управляется через панель на базе React. Платформа использует надежную семислойную систему противодействия анализу, которая интегрирует клиентскую проверку и XOR-шифрование, что представляет собой более продвинутую технику обфускации, чем ранее сообщавшийся механизм X-Antibot-Token, используемый EvilTokens.
Сам EvilTokens получил признание за эксплуатацию механизма OAuth 2.0 Device Authorization Grant от Microsoft для эффективного захвата пользовательских токенов при обходе многофакторной аутентификации (MFA). Эта операция, начатая в начале 2026 года, описывалась как имеющая повышенные показатели успешности по сравнению с более ранними атаками фишинга с использованием кодов устройств. Microsoft подтвердила подлинность этих операций на фоне сообщений о целевых кампаниях, включающих множество фишинговых страниц и доменов. Эволюция платформы включала сложные функции на базе искусственного интеллекта для генерации персонализированных сценариев BEC и автоматической регистрации устройств, обеспечивающей сохранение доступа к скомпрометированным учетным записям.
Технические основы ARToken напрямую связывают его с EvilTokens, что подтверждается идентичными API-контрактами и методами работы в отношении управления токенами и закрепления. Обе платформы используют схожие приманки и фишинговые техники, размещенные на Cloudflare Workers со сложными соглашениями об именовании. В частности, ARToken включает конечные точки, которые воспроизводят методы жизненного цикла PRT, ранее выявленные в EvilTokens, что делает его прямым потомком этой архитектуры ВПО.
После компрометации операторы ARToken получают полный доступ к среде Microsoft 365 жертвы. Они могут читать электронные письма, отправлять сообщения от имени жертвы, управлять правилами почтового ящика и взаимодействовать с ресурсами SharePoint и OneDrive для кражи данных и других злонамеренных целей. Интеграция браузера десктопных сессий дополнительно усиливает угрозу, позволяя операторам беспрепятственно получать доступ к сессиям Microsoft 365.
В отличие от EvilTokens, реализация ARToken шифрования XOR для своих полезной нагрузки указывает на эволюцию тактик уклонения. Шифрование использует 16-байтовый ключ для расшифровки во время выполнения, что контрастирует с ранее сообщаемым шифрованием API веб-криптографии AES-GCM, используемым EvilTokens. Операционная функциональность ARToken позиционирует его как зрелую среду для операций BEC, с функциями и возможностями, разработанными для упрощения всего процесса после компрометации, что знаменует собой значительную эскалацию фишинговых и киберпреступных методологий. Этот набор возможностей подчеркивает постоянную угрозу, которую представляют эти продвинутые платформы PhaaS для организаций, использующих облачные сервисы.
#ParsedReport #CompletenessLow
01-07-2026
DuneSlide: Two Critical RCE vulnerabilities via Zero-Click Prompt Injection in Cursor IDE
https://www.catonetworks.com/blog/duneslide-two-critical-rce-vulnerabilities/
Report completeness: Low
Threats:
Duneslide_vuln
Seatbelt_tool
Victims:
Software development
CVEs:
CVE-2026-50548 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- anysphere cursor (<3.0)
CVE-2026-50549 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- anysphere cursor (<3.0)
ChatGPT TTPs:
T1203, T1211, T1565.001
01-07-2026
DuneSlide: Two Critical RCE vulnerabilities via Zero-Click Prompt Injection in Cursor IDE
https://www.catonetworks.com/blog/duneslide-two-critical-rce-vulnerabilities/
Report completeness: Low
Threats:
Duneslide_vuln
Seatbelt_tool
Victims:
Software development
CVEs:
CVE-2026-50548 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- anysphere cursor (<3.0)
CVE-2026-50549 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- anysphere cursor (<3.0)
ChatGPT TTPs:
do not use without manual checkT1203, T1211, T1565.001
Vulners Database
CVE-2026-50548 - vulnerability database | Vulners.com
Technical details about CVE-2026-50548 are not publicly available in the provided documents. Monitor for updates to obtain affected products, root cause specifics, impact, and remediation.
CTT Report Hub
#ParsedReport #CompletenessLow 01-07-2026 DuneSlide: Two Critical RCE vulnerabilities via Zero-Click Prompt Injection in Cursor IDE https://www.catonetworks.com/blog/duneslide-two-critical-rce-vulnerabilities/ Report completeness: Low Threats: Duneslide_vuln…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Labs Cato AI обнаружила две критические уязвимости Удаленное Выполнение Кода в Cursor IDE, обозначенные как CVE-2026-50548 и CVE-2026-50549, обе со значением 9.8 по шкале CVSS. Уязвимости проистекают из недостатков в безопасности песочницы и канонизации путей, позволяя злоумышленнику создать символическую ссылку, которая обходит предполагаемые ограничения путей, что приводит к потенциальному перезаписыванию исполняемого файла Cursor и достижению RCE. Это подчеркивает присущие риски в функциях выполнения команд инструментов разработки, особенно при использовании больших языковых моделей.
-----
Labs Cato AI выявили две критические уязвимости Удаленное Выполнение Кода (RCE) в Cursor IDE, широко используемой крупными корпорациями, обозначенные как DuneSlide. Обе уязвимости, CVE-2026-50548 и CVE-2026-50549, получили высокий балл CVSS 9.8, что указывает на их серьезность. Уязвимости эксплуатируют песочницу Cursor IDE, предназначенную для изоляции и защиты выполняемых команд.
Начальная уязвимость возникает из-за того, как песочница обрабатывает параметры безопасности во время выполнения команд. Когда команда выполняется внутри песочницы, Cursor устанавливает политику, разрешающую запись в текущий рабочий каталог. Злоумышленник может использовать это, выполнив инъекцию промпта через看似 безобидный запрос к серверу или манипулированный результат веб-поиска. Эта атака инструктирует Cursor Agent создать символическую ссылку (symlink) в каталоге проекта, которая указывает на файл за пределами определенного рабочего пространства.
Критическая уязвимость заключается в логике канонизации путей Cursor. Обычно система пытается проверить пути, чтобы убедиться, что они находятся внутри предполагаемого корня проекта. Однако, если канонизация завершается неудачей — из-за отсутствия пути или недостаточных прав доступа — система использует исходный путь символической ссылки. Злоумышленник может создать символическую ссылку только для записи, вводя в заблуждение Cursor Agent, чтобы тот принял её как легитимную. Это позволяет угрозе направлять операции на исполняемый файл песочницы Cursor за пределами границ проекта. Используя эту символическую ссылку, они могут перезаписать исполняемый файл, тем самым нейтрализуя защитную функциональность песочницы и достигая удаленного выполнения кода (RCE).
Команда Cato AI Labs следовала практике ответственного раскрытия, уведомив Cursor об уязвимостях 19 февраля. После первоначального отклонения, основанного на том, что вектор атаки выходит за рамки стандартной модели угроз, дальнейшая эскалация привела к переоценке со стороны команды безопасности Cursor. Исправления для этих уязвимостей были подтверждены и включены в выпуск клиента Cursor 3.0 2 апреля.
DuneSlide подчеркивает значительные архитектурные риски, связанные с предоставлением возможностей выполнения команд в инструментах разработки, особенно при использовании больших языковых моделей (LLM). В отчете указывается, что, хотя изоляция (sandboxing) является критической мерой безопасности, присущие недостатки в механизмах валидации и разрешения путей могут быть использованы через сложные инъекции промптов, что приводит к серьезным нарушениям безопасности. Эти выводы подчеркивают необходимость более комплексного подхода к безопасности в средах программирования.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Labs Cato AI обнаружила две критические уязвимости Удаленное Выполнение Кода в Cursor IDE, обозначенные как CVE-2026-50548 и CVE-2026-50549, обе со значением 9.8 по шкале CVSS. Уязвимости проистекают из недостатков в безопасности песочницы и канонизации путей, позволяя злоумышленнику создать символическую ссылку, которая обходит предполагаемые ограничения путей, что приводит к потенциальному перезаписыванию исполняемого файла Cursor и достижению RCE. Это подчеркивает присущие риски в функциях выполнения команд инструментов разработки, особенно при использовании больших языковых моделей.
-----
Labs Cato AI выявили две критические уязвимости Удаленное Выполнение Кода (RCE) в Cursor IDE, широко используемой крупными корпорациями, обозначенные как DuneSlide. Обе уязвимости, CVE-2026-50548 и CVE-2026-50549, получили высокий балл CVSS 9.8, что указывает на их серьезность. Уязвимости эксплуатируют песочницу Cursor IDE, предназначенную для изоляции и защиты выполняемых команд.
Начальная уязвимость возникает из-за того, как песочница обрабатывает параметры безопасности во время выполнения команд. Когда команда выполняется внутри песочницы, Cursor устанавливает политику, разрешающую запись в текущий рабочий каталог. Злоумышленник может использовать это, выполнив инъекцию промпта через看似 безобидный запрос к серверу или манипулированный результат веб-поиска. Эта атака инструктирует Cursor Agent создать символическую ссылку (symlink) в каталоге проекта, которая указывает на файл за пределами определенного рабочего пространства.
Критическая уязвимость заключается в логике канонизации путей Cursor. Обычно система пытается проверить пути, чтобы убедиться, что они находятся внутри предполагаемого корня проекта. Однако, если канонизация завершается неудачей — из-за отсутствия пути или недостаточных прав доступа — система использует исходный путь символической ссылки. Злоумышленник может создать символическую ссылку только для записи, вводя в заблуждение Cursor Agent, чтобы тот принял её как легитимную. Это позволяет угрозе направлять операции на исполняемый файл песочницы Cursor за пределами границ проекта. Используя эту символическую ссылку, они могут перезаписать исполняемый файл, тем самым нейтрализуя защитную функциональность песочницы и достигая удаленного выполнения кода (RCE).
Команда Cato AI Labs следовала практике ответственного раскрытия, уведомив Cursor об уязвимостях 19 февраля. После первоначального отклонения, основанного на том, что вектор атаки выходит за рамки стандартной модели угроз, дальнейшая эскалация привела к переоценке со стороны команды безопасности Cursor. Исправления для этих уязвимостей были подтверждены и включены в выпуск клиента Cursor 3.0 2 апреля.
DuneSlide подчеркивает значительные архитектурные риски, связанные с предоставлением возможностей выполнения команд в инструментах разработки, особенно при использовании больших языковых моделей (LLM). В отчете указывается, что, хотя изоляция (sandboxing) является критической мерой безопасности, присущие недостатки в механизмах валидации и разрешения путей могут быть использованы через сложные инъекции промптов, что приводит к серьезным нарушениям безопасности. Эти выводы подчеркивают необходимость более комплексного подхода к безопасности в средах программирования.
#ParsedReport #CompletenessLow
02-07-2026
SOCRadar Links FortiBleed Campaign to INC and Lynx Ransomware Operations
https://socradar.io/blog/fortibleed-inc-lynx-ransomware-link/
Report completeness: Low
Threats:
Fortibleed_vuln
Lynx
Credential_harvesting_technique
Fortigatesniffer_tool
Inc_ransomware
Victims:
Organizations running fortigate firewalls, Fortigate portals
ChatGPT TTPs:
T1040, T1078, T1078.002, T1133, T1486, T1595
Soft:
FortiGate
Languages:
golang
02-07-2026
SOCRadar Links FortiBleed Campaign to INC and Lynx Ransomware Operations
https://socradar.io/blog/fortibleed-inc-lynx-ransomware-link/
Report completeness: Low
Threats:
Fortibleed_vuln
Lynx
Credential_harvesting_technique
Fortigatesniffer_tool
Inc_ransomware
Victims:
Organizations running fortigate firewalls, Fortigate portals
ChatGPT TTPs:
do not use without manual checkT1040, T1078, T1078.002, T1133, T1486, T1595
Soft:
FortiGate
Languages:
golang
SOCRadar® Cyber Intelligence Inc.
SOCRadar Links FortiBleed Campaign to INC and Lynx Ransomware Operations
SOCRadar's Threat Research Unit has linked the FortiBleed credential-harvesting campaign to the INC Ransom and Lynx ransomware operations...
CTT Report Hub
#ParsedReport #CompletenessLow 02-07-2026 SOCRadar Links FortiBleed Campaign to INC and Lynx Ransomware Operations https://socradar.io/blog/fortibleed-inc-lynx-ransomware-link/ Report completeness: Low Threats: Fortibleed_vuln Lynx Credential_harvesting_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания FortiBleed представляет собой серьезную киберугрозу, связанную с операцией по сбору учетных записей, нацеленной на более чем 430 000 межсетевых экранов FortiGate по всему миру. Используя собственный инструмент на Golang под названием FortigateSniffer, злоумышленник, идентифицированный как брокер первоначального доступа, перехватывает трафик аутентификации, получая доступ на уровне администратора к нескольким целям и способствуя развертыванию программ-вымогателей. Расследования связали эту операцию с группами программ-вымогателей, выявив структурированный подход с участием нескольких лиц, занимающихся управлением доступом и выполнением атак.
-----
Кампания FortiBleed проявилась как значительная киберугроза, характеризующаяся масштабной операцией по сбору учетных записей, нацеленной на более чем 430 000 межсетевых экранов FortiGate по всему миру. Злоумышленник, участвующий в операции, функционирует как брокер первоначального доступа, используя собственный инструмент на Golang под названием FortigateSniffer для пассивного перехвата аутентификационного трафика. Этот инструмент использует команду diagnose sniffer packet в FortiOS и работает через различные протоколы. Операция является как масштабной, так и мотивированной финансовой выгодой, что ставит под сомнение конечное назначение похищенных учетных данных до тех пор, пока недавние расследования не выявили связи с деятельностью программ-вымогателей.
В деталях, широкая операция сканирования была отслежена против примерно 11 250 порталов FortiGate в более чем 150 странах, что подтвердило доступ на уровне администратора к 409 целям. Кроме того, актор завершил полную цепочку атаки, включая компрометацию VPN и доступ к контроллеру домена, на 354 из этих целей. STRU подтвердила, что этот доступ привел как минимум к 12 развертываниям программ-вымогателей, затронувших сотни конечных точек.
Прорыв в расследовании произошел, когда STRU обнаружила упущение в операционной безопасности (OPSEC) в инфраструктуре злоумышленника, что дало возможность увидеть внутренние файлы и журналы, включая взаимодействия с панелями переговоров как INC Ransom, так и Lynx. Эта связь показывает, что один и тот же оператор управлял требованиями выкупа для обоих программ-вымогателей, что указывает на эффективное использование учетных данных, собранных во время кампании FortiBleed, для развертывания программ-вымогателей.
Кроме того, анализ пересечения жертв дополнительно подтвердил связь между операцией FortiBleed и связанными группами вымогателей. STRU сопоставил данные о целях и жертвах из FortiBleed с открытым каталогом, связанным с INC, подтвердив, что одни и те же организации отслеживались обеими операциями.
Расследование также выявило внутренний документ, описывающий управление организацией целями FortiGate, включая записи об использовании учетных данных, доступе к сетям и случаях развертывания программ-вымогателей. Это указывает на многоуровневую операцию, состоящую примерно из 20 человек, включая основных операторов, осуществляющих большинство вторжений с высоким воздействием, и дополнительных специалистов, поддерживающих эти усилия.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания FortiBleed представляет собой серьезную киберугрозу, связанную с операцией по сбору учетных записей, нацеленной на более чем 430 000 межсетевых экранов FortiGate по всему миру. Используя собственный инструмент на Golang под названием FortigateSniffer, злоумышленник, идентифицированный как брокер первоначального доступа, перехватывает трафик аутентификации, получая доступ на уровне администратора к нескольким целям и способствуя развертыванию программ-вымогателей. Расследования связали эту операцию с группами программ-вымогателей, выявив структурированный подход с участием нескольких лиц, занимающихся управлением доступом и выполнением атак.
-----
Кампания FortiBleed проявилась как значительная киберугроза, характеризующаяся масштабной операцией по сбору учетных записей, нацеленной на более чем 430 000 межсетевых экранов FortiGate по всему миру. Злоумышленник, участвующий в операции, функционирует как брокер первоначального доступа, используя собственный инструмент на Golang под названием FortigateSniffer для пассивного перехвата аутентификационного трафика. Этот инструмент использует команду diagnose sniffer packet в FortiOS и работает через различные протоколы. Операция является как масштабной, так и мотивированной финансовой выгодой, что ставит под сомнение конечное назначение похищенных учетных данных до тех пор, пока недавние расследования не выявили связи с деятельностью программ-вымогателей.
В деталях, широкая операция сканирования была отслежена против примерно 11 250 порталов FortiGate в более чем 150 странах, что подтвердило доступ на уровне администратора к 409 целям. Кроме того, актор завершил полную цепочку атаки, включая компрометацию VPN и доступ к контроллеру домена, на 354 из этих целей. STRU подтвердила, что этот доступ привел как минимум к 12 развертываниям программ-вымогателей, затронувших сотни конечных точек.
Прорыв в расследовании произошел, когда STRU обнаружила упущение в операционной безопасности (OPSEC) в инфраструктуре злоумышленника, что дало возможность увидеть внутренние файлы и журналы, включая взаимодействия с панелями переговоров как INC Ransom, так и Lynx. Эта связь показывает, что один и тот же оператор управлял требованиями выкупа для обоих программ-вымогателей, что указывает на эффективное использование учетных данных, собранных во время кампании FortiBleed, для развертывания программ-вымогателей.
Кроме того, анализ пересечения жертв дополнительно подтвердил связь между операцией FortiBleed и связанными группами вымогателей. STRU сопоставил данные о целях и жертвах из FortiBleed с открытым каталогом, связанным с INC, подтвердив, что одни и те же организации отслеживались обеими операциями.
Расследование также выявило внутренний документ, описывающий управление организацией целями FortiGate, включая записи об использовании учетных данных, доступе к сетям и случаях развертывания программ-вымогателей. Это указывает на многоуровневую операцию, состоящую примерно из 20 человек, включая основных операторов, осуществляющих большинство вторжений с высоким воздействием, и дополнительных специалистов, поддерживающих эти усилия.
#ParsedReport #CompletenessLow
01-07-2026
PolinRider: North Korea-Linked Supply Chain Campaign Expands Across Open Source Ecosystems
https://socket.dev/blog/polinrider-north-korea-linked-supply-chain-campaign-expands
Report completeness: Low
Actors/Campaigns:
Polinrider
Contagious_interview
Famous_chollima
Dev_popper
Threats:
Supply_chain_technique
Omnistealer
Victims:
Open source ecosystems, Developer environments, Github repositories, Package registries
Industry:
Financial
Geo:
North korean, North korea
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1036.008, T1059.007, T1071, T1078, T1105, T1140, T1195.001, T1204
IOCs:
File: 3
BrowserExtension: 1
Soft:
Chrome, Node.js, Kubernetes, Docker, Slack
Wallets:
tron
Crypto:
aptos
Algorithms:
xor
Functions:
eval
Win API:
lockfile
Languages:
python, javascript
Links:
have more...
01-07-2026
PolinRider: North Korea-Linked Supply Chain Campaign Expands Across Open Source Ecosystems
https://socket.dev/blog/polinrider-north-korea-linked-supply-chain-campaign-expands
Report completeness: Low
Actors/Campaigns:
Polinrider
Contagious_interview
Famous_chollima
Dev_popper
Threats:
Supply_chain_technique
Omnistealer
Victims:
Open source ecosystems, Developer environments, Github repositories, Package registries
Industry:
Financial
Geo:
North korean, North korea
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036.008, T1059.007, T1071, T1078, T1105, T1140, T1195.001, T1204
IOCs:
File: 3
BrowserExtension: 1
Soft:
Chrome, Node.js, Kubernetes, Docker, Slack
Wallets:
tron
Crypto:
aptos
Algorithms:
xor
Functions:
eval
Win API:
lockfile
Languages:
python, javascript
Links:
https://github.com/Xpos587?tab=repositorieshave more...
https://socket.dev/go/package/github.com/Xpos587/git2md?version=v0.0.0-20260503100027-79bdb26ca95dSocket
PolinRider: North Korea-Linked Supply Chain Campaign Expands...
PolinRider expands across npm, Packagist, Go modules, and Chrome extensions, using hidden loaders to target developer environments.
CTT Report Hub
#ParsedReport #CompletenessLow 01-07-2026 PolinRider: North Korea-Linked Supply Chain Campaign Expands Across Open Source Ecosystems https://socket.dev/blog/polinrider-north-korea-linked-supply-chain-campaign-expands Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания PolinRider, приписываемая северокорейским акторам, расширилась на различные экосистемы с открытым исходным кодом, скомпрометировав учетные записи сопровождающих и изменив репозитории для распространения 162 вредоносных артефактов на таких платформах, как npm, Go-модули и Packagist. Атакующие техники включают внедрение зашифрованных JavaScript-загрузчиков в легитимные пакеты, при этом полезная нагрузка в основном подключается к блокчейн-сервисам для дальнейших злонамеренных операций, таких как кража учетных данных. Несмотря на усилия по устранению в некоторых пакетах, остатки ВПО сохраняются, что указывает на продолжающиеся угрозы в этих экосистемах.
-----
Кампания PolinRider, приписываемая северокорейским злоумышленникам, продемонстрировала значительное расширение в экосистемах открытого исходного кода. Изначально появившись в npm, кампания теперь проникла на платформы, включая Go-модули, Packagist и даже расширения Chrome, с общим количеством 162 выявленных вредоносных артефактов, распределенных по 108 уникальным пакетам. Эти злоумышленники применяют тактики, такие как компрометация учетных записей сопровождающих, модификация репозиториев и публикация вредоносных версий пакетов, что позволяет осуществлять постоянную доставку дополнительного ВПО по мере появления новых пакетов.
Метод работы PolinRider заключается во внедрении зашифрованных JavaScript-загрузчиков в легитимные репозитории. Эти загрузчики обычно маскируют свое присутствие с помощью таких техник, как добавление пробелов или маскировка вредоносных полезной нагрузки под безобидные шрифтовые файлы .woff2. Исполнение часто инициируется через инструменты разработчика, такие как Visual Studio Code, с использованием файлов задач, настроенных на запуск при открытии папки. Эта техника позволяет злоумышленникам манипулировать историей Git репозитория, применяя методы, такие как принудительные push-операции и коммиты с подделкой даты, чтобы скрыть вредоносные изменения, что приводит к ненадежной истории коммитов, способной ввести защитников в заблуждение.
Пейлоады, доставляемые этими лоадерами, в основном основаны на JavaScript и подключаются к блокчейн-сервисам, таким как TRON и BNB Smart Chain, для получения дополнительных зашифрованных пейлоадов. Известные пейлоады включают DEV#POPPER и OmniStealer, которые обеспечивают выполнение команд, кражу учетных данных и эксфильтрацию кошельков. Эволюционный характер конструкции на основе лоадеров указывает на возможность доставки нового ВПО по мере развития кампании.
В недавних операциях также наблюдается заметное расширение на Packagist, где множество скомпрометированных пакетов связано с организацией 7span. Очистительные усилия этой организации позволили устранить некоторые вредоносные payloads; однако, остатки зашифрованного JavaScript остаются из-за незавершенного характера восстановительных работ, что подчеркивает необходимость комплексных стратегий обнаружения и реагирования. Примечательно, что кампания пока не затронула Python Package Index (PyPI), что может указывать на то, что злоумышленники не имеют необходимых учетных данных или доступа для публикации вредоносных версий там.
Для защиты от угроз, связанных с PolinRider, организациям необходимо рассматривать системы с установленными затронутыми пакетами как потенциально скомпрометированные. Криминалистический анализ должен быть сохранен, а системы — пересобраны из чистых источников с одновременной ротацией любых потенциально скомпрометированных учетных данных. Регулярные аудиты сред разработки, конфигурационных файлов и журналов активности GitHub необходимы для выявления любых признаков компрометации или принудительных изменений, которые могут включать вредоносный код. Непрерывный характер кампании указывает на то, что бдительность имеет первостепенное значение, поскольку новые артефакты, вероятно, будут появляться постоянно.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания PolinRider, приписываемая северокорейским акторам, расширилась на различные экосистемы с открытым исходным кодом, скомпрометировав учетные записи сопровождающих и изменив репозитории для распространения 162 вредоносных артефактов на таких платформах, как npm, Go-модули и Packagist. Атакующие техники включают внедрение зашифрованных JavaScript-загрузчиков в легитимные пакеты, при этом полезная нагрузка в основном подключается к блокчейн-сервисам для дальнейших злонамеренных операций, таких как кража учетных данных. Несмотря на усилия по устранению в некоторых пакетах, остатки ВПО сохраняются, что указывает на продолжающиеся угрозы в этих экосистемах.
-----
Кампания PolinRider, приписываемая северокорейским злоумышленникам, продемонстрировала значительное расширение в экосистемах открытого исходного кода. Изначально появившись в npm, кампания теперь проникла на платформы, включая Go-модули, Packagist и даже расширения Chrome, с общим количеством 162 выявленных вредоносных артефактов, распределенных по 108 уникальным пакетам. Эти злоумышленники применяют тактики, такие как компрометация учетных записей сопровождающих, модификация репозиториев и публикация вредоносных версий пакетов, что позволяет осуществлять постоянную доставку дополнительного ВПО по мере появления новых пакетов.
Метод работы PolinRider заключается во внедрении зашифрованных JavaScript-загрузчиков в легитимные репозитории. Эти загрузчики обычно маскируют свое присутствие с помощью таких техник, как добавление пробелов или маскировка вредоносных полезной нагрузки под безобидные шрифтовые файлы .woff2. Исполнение часто инициируется через инструменты разработчика, такие как Visual Studio Code, с использованием файлов задач, настроенных на запуск при открытии папки. Эта техника позволяет злоумышленникам манипулировать историей Git репозитория, применяя методы, такие как принудительные push-операции и коммиты с подделкой даты, чтобы скрыть вредоносные изменения, что приводит к ненадежной истории коммитов, способной ввести защитников в заблуждение.
Пейлоады, доставляемые этими лоадерами, в основном основаны на JavaScript и подключаются к блокчейн-сервисам, таким как TRON и BNB Smart Chain, для получения дополнительных зашифрованных пейлоадов. Известные пейлоады включают DEV#POPPER и OmniStealer, которые обеспечивают выполнение команд, кражу учетных данных и эксфильтрацию кошельков. Эволюционный характер конструкции на основе лоадеров указывает на возможность доставки нового ВПО по мере развития кампании.
В недавних операциях также наблюдается заметное расширение на Packagist, где множество скомпрометированных пакетов связано с организацией 7span. Очистительные усилия этой организации позволили устранить некоторые вредоносные payloads; однако, остатки зашифрованного JavaScript остаются из-за незавершенного характера восстановительных работ, что подчеркивает необходимость комплексных стратегий обнаружения и реагирования. Примечательно, что кампания пока не затронула Python Package Index (PyPI), что может указывать на то, что злоумышленники не имеют необходимых учетных данных или доступа для публикации вредоносных версий там.
Для защиты от угроз, связанных с PolinRider, организациям необходимо рассматривать системы с установленными затронутыми пакетами как потенциально скомпрометированные. Криминалистический анализ должен быть сохранен, а системы — пересобраны из чистых источников с одновременной ротацией любых потенциально скомпрометированных учетных данных. Регулярные аудиты сред разработки, конфигурационных файлов и журналов активности GitHub необходимы для выявления любых признаков компрометации или принудительных изменений, которые могут включать вредоносный код. Непрерывный характер кампании указывает на то, что бдительность имеет первостепенное значение, поскольку новые артефакты, вероятно, будут появляться постоянно.
#ParsedReport #CompletenessMedium
02-07-2026
An Analysis of ValleyRAT Infection Campaigns from Fake Installers, Japanese Malicious Emails
https://www.levelblue.com/blogs/spiderlabs-blog/an-analysis-of-valleyrat-infection-campaigns-from-fake-installers-japanese-malicious-emails
Report completeness: Medium
Actors/Campaigns:
Silver_fox
Threats:
Valleyrat
Byovd_technique
Supply_chain_technique
Process_injection_technique
Dll_sideloading_technique
Junk_code_technique
Donut
Victims:
Chinese speaking users, Japanese speaking users, Multinational corporations
Geo:
Japan, Hong kong, Japanese, Taiwan, Chinese
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1036.003, T1055, T1105, T1140, T1204.001, T1204.002, T1497.001, T1497.003, T1547.001, have more...
IOCs:
Hash: 3
File: 7
Domain: 1
Url: 1
Soft:
Visual Studio
Algorithms:
rc4, base64, sha1, zip
Functions:
Sleep
Win API:
IsNativeVhdBoot, InternetOpenW, InternetReadFile, CreateProcessA, VirtualAllocEx, WriteProcessMemory, ResumeThread, GlobalMemoryStatusEx, GetTickCount, GetSystemInfo, have more...
Links:
02-07-2026
An Analysis of ValleyRAT Infection Campaigns from Fake Installers, Japanese Malicious Emails
https://www.levelblue.com/blogs/spiderlabs-blog/an-analysis-of-valleyrat-infection-campaigns-from-fake-installers-japanese-malicious-emails
Report completeness: Medium
Actors/Campaigns:
Silver_fox
Threats:
Valleyrat
Byovd_technique
Supply_chain_technique
Process_injection_technique
Dll_sideloading_technique
Junk_code_technique
Donut
Victims:
Chinese speaking users, Japanese speaking users, Multinational corporations
Geo:
Japan, Hong kong, Japanese, Taiwan, Chinese
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036.003, T1055, T1105, T1140, T1204.001, T1204.002, T1497.001, T1497.003, T1547.001, have more...
IOCs:
Hash: 3
File: 7
Domain: 1
Url: 1
Soft:
Visual Studio
Algorithms:
rc4, base64, sha1, zip
Functions:
Sleep
Win API:
IsNativeVhdBoot, InternetOpenW, InternetReadFile, CreateProcessA, VirtualAllocEx, WriteProcessMemory, ResumeThread, GlobalMemoryStatusEx, GetTickCount, GetSystemInfo, have more...
Links:
https://github.com/Logkiss/Rat-winos4.0-gh0st/tree/master/%E9%93%B6%E7%8B%90Winoshttps://github.com/volexity/donut-decryptorLevelblue
An Analysis of ValleyRAT Infection Campaigns from Fake Installers, Japanese Malicious Emails
LevelBlue has identified two distinct attack vectors associated with ValleyRAT: campaigns leveraging fake installers and campaigns initiated through malicious emails.
CTT Report Hub
#ParsedReport #CompletenessMedium 02-07-2026 An Analysis of ValleyRAT Infection Campaigns from Fake Installers, Japanese Malicious Emails https://www.levelblue.com/blogs/spiderlabs-blog/an-analysis-of-valleyrat-infection-campaigns-from-fake-installers-japanese…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
ValleyRAT, Троянская программа удаленного доступа, связанная с хакерской группировкой SilverFox, использует поддельные установщики и вредоносные электронные письма в качестве основных векторов атаки, целенаправленно атакуя пользователей, говорящих на китайском и японском языках. ВПО выполняет полезную нагрузку без использования файлов в памяти, применяя при этом передовые техники уклонения, такие как внедрение кода в процессы и обфускация, для предотвращения обнаружения. Его активность отмечается с 2023 года, при этом известные случаи заражения связаны с транснациональными корпорациями и использованием зашифрованных полезной нагрузки, что усложняет анализ и усилия по реагированию.
-----
ValleyRAT — это Троянская программа (RAT), связанная с различными кампаниями кибератак с 2023 года.
Два основных вектора распространения ValleyRAT — это поддельные установщики и вредоносные электронные письма, нацеленные на пользователей, говорящих на китайском и японском языках, соответственно.
Фальшивые установщики доставляют загрузчик, который извлекает и выполняет ValleyRAT; значительная активность зафиксирована с 2025 года, затрагивающая многонациональные корпорации.
ВПО использует техники противодействия анализу, такие как внедрение вредоносного кода в легитимные процессы, и применяет метод внедрения кода в процессы Pool Party Variant 7.
Злоумышленнические кампании с использованием электронной почты, впервые зафиксированные в 2026 году, используют ZIP-архивы, содержащие исполняемый файл EXE, который запускает DLL для загрузки ValleyRAT.
Одно из примерных писем, связанных с кадровыми изменениями, было написано на традиционном китайском языке; японская версия использовала тот же вредоносный домен, что указывает на скоординированные атаки.
ValleyRAT работает без файлов, выполняя полезную нагрузку в памяти для избежания обнаружения и применяя различные тактики противодействия анализу, такие как проверка системной памяти и процессора.
Используемая DLL содержит техники обфускации, включающие мусор-код, затрудняющий обратную разработку, а полезная нагрузка шифруется с помощью RC4 с ключом, встроенным в код.
Механизмы обнаружения были разработаны на основе имён модулей из утечки исходного кода для выявления активности ValleyRAT.
Рекомендации по предотвращению заражений ValleyRAT включают обучение сотрудников, эффективные меры безопасности электронной почты и развертывание систем обнаружения и реагирования на конечных точках (EDR) для распознавания подгрузки DLL.
В случае заражения организациям следует анализировать журналы на наличие вредоносной активности и разрабатывать стратегии реагирования на инциденты, обеспечивающие сохранение состояний систем.
Необходимы непрерывный мониторинг и обновление стратегий обнаружения для противодействия эволюционирующим тактикам кампаний ValleyRAT.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
ValleyRAT, Троянская программа удаленного доступа, связанная с хакерской группировкой SilverFox, использует поддельные установщики и вредоносные электронные письма в качестве основных векторов атаки, целенаправленно атакуя пользователей, говорящих на китайском и японском языках. ВПО выполняет полезную нагрузку без использования файлов в памяти, применяя при этом передовые техники уклонения, такие как внедрение кода в процессы и обфускация, для предотвращения обнаружения. Его активность отмечается с 2023 года, при этом известные случаи заражения связаны с транснациональными корпорациями и использованием зашифрованных полезной нагрузки, что усложняет анализ и усилия по реагированию.
-----
ValleyRAT — это Троянская программа (RAT), связанная с различными кампаниями кибератак с 2023 года.
Два основных вектора распространения ValleyRAT — это поддельные установщики и вредоносные электронные письма, нацеленные на пользователей, говорящих на китайском и японском языках, соответственно.
Фальшивые установщики доставляют загрузчик, который извлекает и выполняет ValleyRAT; значительная активность зафиксирована с 2025 года, затрагивающая многонациональные корпорации.
ВПО использует техники противодействия анализу, такие как внедрение вредоносного кода в легитимные процессы, и применяет метод внедрения кода в процессы Pool Party Variant 7.
Злоумышленнические кампании с использованием электронной почты, впервые зафиксированные в 2026 году, используют ZIP-архивы, содержащие исполняемый файл EXE, который запускает DLL для загрузки ValleyRAT.
Одно из примерных писем, связанных с кадровыми изменениями, было написано на традиционном китайском языке; японская версия использовала тот же вредоносный домен, что указывает на скоординированные атаки.
ValleyRAT работает без файлов, выполняя полезную нагрузку в памяти для избежания обнаружения и применяя различные тактики противодействия анализу, такие как проверка системной памяти и процессора.
Используемая DLL содержит техники обфускации, включающие мусор-код, затрудняющий обратную разработку, а полезная нагрузка шифруется с помощью RC4 с ключом, встроенным в код.
Механизмы обнаружения были разработаны на основе имён модулей из утечки исходного кода для выявления активности ValleyRAT.
Рекомендации по предотвращению заражений ValleyRAT включают обучение сотрудников, эффективные меры безопасности электронной почты и развертывание систем обнаружения и реагирования на конечных точках (EDR) для распознавания подгрузки DLL.
В случае заражения организациям следует анализировать журналы на наличие вредоносной активности и разрабатывать стратегии реагирования на инциденты, обеспечивающие сохранение состояний систем.
Необходимы непрерывный мониторинг и обновление стратегий обнаружения для противодействия эволюционирующим тактикам кампаний ValleyRAT.
#ParsedReport #CompletenessMedium
02-07-2026
Analysis of Ongoing Ousaban Attacks Targeting the Iberian Peninsula
https://www.fortinet.com/blog/threat-research/analysis-of-ongoing-ousaban-attacks-targeting-the-iberian-peninsula
Report completeness: Medium
Threats:
Ousaban
Dll_sideloading_technique
Process_injection_technique
Metamorfo
Clipboard_injection_technique
Clickfix_technique
Victims:
Banking users, Banking sector, Iberian peninsula
Industry:
Financial
Geo:
Portugal, Brazil, Spanish, Latin american, Spain
ChatGPT TTPs:
T1027, T1027.003, T1027.016, T1036, T1056.001, T1059.005, T1059.007, T1070.004, T1102.001, T1105, have more...
IOCs:
Hash: 20
File: 1
Domain: 5
IP: 4
Soft:
Pastebin
Algorithms:
xor, md5, zip
Languages:
rust, javascript
02-07-2026
Analysis of Ongoing Ousaban Attacks Targeting the Iberian Peninsula
https://www.fortinet.com/blog/threat-research/analysis-of-ongoing-ousaban-attacks-targeting-the-iberian-peninsula
Report completeness: Medium
Threats:
Ousaban
Dll_sideloading_technique
Process_injection_technique
Metamorfo
Clipboard_injection_technique
Clickfix_technique
Victims:
Banking users, Banking sector, Iberian peninsula
Industry:
Financial
Geo:
Portugal, Brazil, Spanish, Latin american, Spain
ChatGPT TTPs:
do not use without manual checkT1027, T1027.003, T1027.016, T1036, T1056.001, T1059.005, T1059.007, T1070.004, T1102.001, T1105, have more...
IOCs:
Hash: 20
File: 1
Domain: 5
IP: 4
Soft:
Pastebin
Algorithms:
xor, md5, zip
Languages:
rust, javascript
Fortinet Blog
Analysis of Ongoing Ousaban Attacks Targeting the Iberian Peninsula
FortiGuard Labs analyzes a geofenced Ousaban campaign targeting Spain and Portugal with phishing PDFs, steganography, and evasive C2.…