#ParsedReport #CompletenessHigh
01-07-2026

ARToken: Inside an EvilTokens affiliate panel targeting Microsoft 365

https://blog.talosintelligence.com/artoken-inside-an-eviltokens-affiliate-panel-targeting-microsoft-365/

Report completeness: High

Threats:
Artoken
Eviltokens_tool
Device_code_phishing_technique
Bec_technique
Aitm_technique
Artsender_tool
Spear-phishing_technique

Victims:
Finance, Human resources, Logistics

Industry:
Logistic, Financial

TTPs:
Tactics: 9
Technics: 9

IOCs:
File: 3
Url: 1
Domain: 3

Soft:
Llama, Telegram, Selenium, curl, chrome, Outlook

Algorithms:
sha256, xor, aes-gcm

Languages:
javascript

Platforms:
cross-platform

Links:
https://github.com/Cisco-Talos/IOCs/blob/main/2026/07/

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Платформа ARToken, идентифицированная как оператор фишинг как услуга, разделяет технические элементы с фреймворком EvilTokens, предоставляя более 80 API-конечных точек для различных вредоносных действий, включая фишинг кода устройства и компрометация бизнес-электронной почты. Она использует семислойную систему противодействия анализу с клиентской верификацией и XOR-шифрованием для обфускации, что обеспечивает полный доступ к средам Microsoft 365 жертв. Интеграция браузера десктопных сессий расширяет операционные возможности, отмечая эволюцию тактик фишинг в криминальном ландшафте.
-----

Платформа ARToken, идентифицированная Cisco Talos как панель оператора фишинга как услуга (PhaaS), имеет значительные технические элементы, общие с ранее задокументированным фреймворком EvilTokens. В частности, ARToken предлагает более 80 конечных точек API, обеспечивающих различные вредоносные действия, такие как фишинг с использованием кода устройства, механизмы закрепления, такие как основной токен обновления (PRT), доступ к электронной почте жертвы, тактики компрометации бизнес-почты (BEC) и эксфильтрация SharePoint, все это управляется через панель на базе React. Платформа использует надежную семислойную систему противодействия анализу, которая интегрирует клиентскую проверку и XOR-шифрование, что представляет собой более продвинутую технику обфускации, чем ранее сообщавшийся механизм X-Antibot-Token, используемый EvilTokens.

Сам EvilTokens получил признание за эксплуатацию механизма OAuth 2.0 Device Authorization Grant от Microsoft для эффективного захвата пользовательских токенов при обходе многофакторной аутентификации (MFA). Эта операция, начатая в начале 2026 года, описывалась как имеющая повышенные показатели успешности по сравнению с более ранними атаками фишинга с использованием кодов устройств. Microsoft подтвердила подлинность этих операций на фоне сообщений о целевых кампаниях, включающих множество фишинговых страниц и доменов. Эволюция платформы включала сложные функции на базе искусственного интеллекта для генерации персонализированных сценариев BEC и автоматической регистрации устройств, обеспечивающей сохранение доступа к скомпрометированным учетным записям.

Технические основы ARToken напрямую связывают его с EvilTokens, что подтверждается идентичными API-контрактами и методами работы в отношении управления токенами и закрепления. Обе платформы используют схожие приманки и фишинговые техники, размещенные на Cloudflare Workers со сложными соглашениями об именовании. В частности, ARToken включает конечные точки, которые воспроизводят методы жизненного цикла PRT, ранее выявленные в EvilTokens, что делает его прямым потомком этой архитектуры ВПО.

После компрометации операторы ARToken получают полный доступ к среде Microsoft 365 жертвы. Они могут читать электронные письма, отправлять сообщения от имени жертвы, управлять правилами почтового ящика и взаимодействовать с ресурсами SharePoint и OneDrive для кражи данных и других злонамеренных целей. Интеграция браузера десктопных сессий дополнительно усиливает угрозу, позволяя операторам беспрепятственно получать доступ к сессиям Microsoft 365.

В отличие от EvilTokens, реализация ARToken шифрования XOR для своих полезной нагрузки указывает на эволюцию тактик уклонения. Шифрование использует 16-байтовый ключ для расшифровки во время выполнения, что контрастирует с ранее сообщаемым шифрованием API веб-криптографии AES-GCM, используемым EvilTokens. Операционная функциональность ARToken позиционирует его как зрелую среду для операций BEC, с функциями и возможностями, разработанными для упрощения всего процесса после компрометации, что знаменует собой значительную эскалацию фишинговых и киберпреступных методологий. Этот набор возможностей подчеркивает постоянную угрозу, которую представляют эти продвинутые платформы PhaaS для организаций, использующих облачные сервисы.

#ParsedReport #CompletenessLow
01-07-2026

DuneSlide: Two Critical RCE vulnerabilities via Zero-Click Prompt Injection in Cursor IDE

https://www.catonetworks.com/blog/duneslide-two-critical-rce-vulnerabilities/

Report completeness: Low

Threats:
Duneslide_vuln
Seatbelt_tool

Victims:
Software development

CVEs:
CVE-2026-50548 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- anysphere cursor (<3.0)

CVE-2026-50549 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- anysphere cursor (<3.0)


ChatGPT TTPs:
do not use without manual check
T1203, T1211, T1565.001

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Labs Cato AI обнаружила две критические уязвимости Удаленное Выполнение Кода в Cursor IDE, обозначенные как CVE-2026-50548 и CVE-2026-50549, обе со значением 9.8 по шкале CVSS. Уязвимости проистекают из недостатков в безопасности песочницы и канонизации путей, позволяя злоумышленнику создать символическую ссылку, которая обходит предполагаемые ограничения путей, что приводит к потенциальному перезаписыванию исполняемого файла Cursor и достижению RCE. Это подчеркивает присущие риски в функциях выполнения команд инструментов разработки, особенно при использовании больших языковых моделей.
-----

Labs Cato AI выявили две критические уязвимости Удаленное Выполнение Кода (RCE) в Cursor IDE, широко используемой крупными корпорациями, обозначенные как DuneSlide. Обе уязвимости, CVE-2026-50548 и CVE-2026-50549, получили высокий балл CVSS 9.8, что указывает на их серьезность. Уязвимости эксплуатируют песочницу Cursor IDE, предназначенную для изоляции и защиты выполняемых команд.

Начальная уязвимость возникает из-за того, как песочница обрабатывает параметры безопасности во время выполнения команд. Когда команда выполняется внутри песочницы, Cursor устанавливает политику, разрешающую запись в текущий рабочий каталог. Злоумышленник может использовать это, выполнив инъекцию промпта через看似 безобидный запрос к серверу или манипулированный результат веб-поиска. Эта атака инструктирует Cursor Agent создать символическую ссылку (symlink) в каталоге проекта, которая указывает на файл за пределами определенного рабочего пространства.

Критическая уязвимость заключается в логике канонизации путей Cursor. Обычно система пытается проверить пути, чтобы убедиться, что они находятся внутри предполагаемого корня проекта. Однако, если канонизация завершается неудачей — из-за отсутствия пути или недостаточных прав доступа — система использует исходный путь символической ссылки. Злоумышленник может создать символическую ссылку только для записи, вводя в заблуждение Cursor Agent, чтобы тот принял её как легитимную. Это позволяет угрозе направлять операции на исполняемый файл песочницы Cursor за пределами границ проекта. Используя эту символическую ссылку, они могут перезаписать исполняемый файл, тем самым нейтрализуя защитную функциональность песочницы и достигая удаленного выполнения кода (RCE).

Команда Cato AI Labs следовала практике ответственного раскрытия, уведомив Cursor об уязвимостях 19 февраля. После первоначального отклонения, основанного на том, что вектор атаки выходит за рамки стандартной модели угроз, дальнейшая эскалация привела к переоценке со стороны команды безопасности Cursor. Исправления для этих уязвимостей были подтверждены и включены в выпуск клиента Cursor 3.0 2 апреля.

DuneSlide подчеркивает значительные архитектурные риски, связанные с предоставлением возможностей выполнения команд в инструментах разработки, особенно при использовании больших языковых моделей (LLM). В отчете указывается, что, хотя изоляция (sandboxing) является критической мерой безопасности, присущие недостатки в механизмах валидации и разрешения путей могут быть использованы через сложные инъекции промптов, что приводит к серьезным нарушениям безопасности. Эти выводы подчеркивают необходимость более комплексного подхода к безопасности в средах программирования.

#ParsedReport #CompletenessLow
02-07-2026

SOCRadar Links FortiBleed Campaign to INC and Lynx Ransomware Operations

https://socradar.io/blog/fortibleed-inc-lynx-ransomware-link/

Report completeness: Low

Threats:
Fortibleed_vuln
Lynx
Credential_harvesting_technique
Fortigatesniffer_tool
Inc_ransomware

Victims:
Organizations running fortigate firewalls, Fortigate portals

ChatGPT TTPs:
do not use without manual check
T1040, T1078, T1078.002, T1133, T1486, T1595

Soft:
FortiGate

Languages:
golang

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания FortiBleed представляет собой серьезную киберугрозу, связанную с операцией по сбору учетных записей, нацеленной на более чем 430 000 межсетевых экранов FortiGate по всему миру. Используя собственный инструмент на Golang под названием FortigateSniffer, злоумышленник, идентифицированный как брокер первоначального доступа, перехватывает трафик аутентификации, получая доступ на уровне администратора к нескольким целям и способствуя развертыванию программ-вымогателей. Расследования связали эту операцию с группами программ-вымогателей, выявив структурированный подход с участием нескольких лиц, занимающихся управлением доступом и выполнением атак.
-----

Кампания FortiBleed проявилась как значительная киберугроза, характеризующаяся масштабной операцией по сбору учетных записей, нацеленной на более чем 430 000 межсетевых экранов FortiGate по всему миру. Злоумышленник, участвующий в операции, функционирует как брокер первоначального доступа, используя собственный инструмент на Golang под названием FortigateSniffer для пассивного перехвата аутентификационного трафика. Этот инструмент использует команду diagnose sniffer packet в FortiOS и работает через различные протоколы. Операция является как масштабной, так и мотивированной финансовой выгодой, что ставит под сомнение конечное назначение похищенных учетных данных до тех пор, пока недавние расследования не выявили связи с деятельностью программ-вымогателей.

В деталях, широкая операция сканирования была отслежена против примерно 11 250 порталов FortiGate в более чем 150 странах, что подтвердило доступ на уровне администратора к 409 целям. Кроме того, актор завершил полную цепочку атаки, включая компрометацию VPN и доступ к контроллеру домена, на 354 из этих целей. STRU подтвердила, что этот доступ привел как минимум к 12 развертываниям программ-вымогателей, затронувших сотни конечных точек.

Прорыв в расследовании произошел, когда STRU обнаружила упущение в операционной безопасности (OPSEC) в инфраструктуре злоумышленника, что дало возможность увидеть внутренние файлы и журналы, включая взаимодействия с панелями переговоров как INC Ransom, так и Lynx. Эта связь показывает, что один и тот же оператор управлял требованиями выкупа для обоих программ-вымогателей, что указывает на эффективное использование учетных данных, собранных во время кампании FortiBleed, для развертывания программ-вымогателей.

Кроме того, анализ пересечения жертв дополнительно подтвердил связь между операцией FortiBleed и связанными группами вымогателей. STRU сопоставил данные о целях и жертвах из FortiBleed с открытым каталогом, связанным с INC, подтвердив, что одни и те же организации отслеживались обеими операциями.

Расследование также выявило внутренний документ, описывающий управление организацией целями FortiGate, включая записи об использовании учетных данных, доступе к сетям и случаях развертывания программ-вымогателей. Это указывает на многоуровневую операцию, состоящую примерно из 20 человек, включая основных операторов, осуществляющих большинство вторжений с высоким воздействием, и дополнительных специалистов, поддерживающих эти усилия.

#ParsedReport #CompletenessLow
01-07-2026

PolinRider: North Korea-Linked Supply Chain Campaign Expands Across Open Source Ecosystems

https://socket.dev/blog/polinrider-north-korea-linked-supply-chain-campaign-expands

Report completeness: Low

Actors/Campaigns:
Polinrider
Contagious_interview
Famous_chollima
Dev_popper

Threats:
Supply_chain_technique
Omnistealer

Victims:
Open source ecosystems, Developer environments, Github repositories, Package registries

Industry:
Financial

Geo:
North korean, North korea

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036.008, T1059.007, T1071, T1078, T1105, T1140, T1195.001, T1204

IOCs:
File: 3
BrowserExtension: 1

Soft:
Chrome, Node.js, Kubernetes, Docker, Slack

Wallets:
tron

Crypto:
aptos

Algorithms:
xor

Functions:
eval

Win API:
lockfile

Languages:
python, javascript

Links:
https://github.com/Xpos587?tab=repositories
have more...
https://socket.dev/go/package/github.com/Xpos587/git2md?version=v0.0.0-20260503100027-79bdb26ca95d

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания PolinRider, приписываемая северокорейским акторам, расширилась на различные экосистемы с открытым исходным кодом, скомпрометировав учетные записи сопровождающих и изменив репозитории для распространения 162 вредоносных артефактов на таких платформах, как npm, Go-модули и Packagist. Атакующие техники включают внедрение зашифрованных JavaScript-загрузчиков в легитимные пакеты, при этом полезная нагрузка в основном подключается к блокчейн-сервисам для дальнейших злонамеренных операций, таких как кража учетных данных. Несмотря на усилия по устранению в некоторых пакетах, остатки ВПО сохраняются, что указывает на продолжающиеся угрозы в этих экосистемах.
-----

Кампания PolinRider, приписываемая северокорейским злоумышленникам, продемонстрировала значительное расширение в экосистемах открытого исходного кода. Изначально появившись в npm, кампания теперь проникла на платформы, включая Go-модули, Packagist и даже расширения Chrome, с общим количеством 162 выявленных вредоносных артефактов, распределенных по 108 уникальным пакетам. Эти злоумышленники применяют тактики, такие как компрометация учетных записей сопровождающих, модификация репозиториев и публикация вредоносных версий пакетов, что позволяет осуществлять постоянную доставку дополнительного ВПО по мере появления новых пакетов.

Метод работы PolinRider заключается во внедрении зашифрованных JavaScript-загрузчиков в легитимные репозитории. Эти загрузчики обычно маскируют свое присутствие с помощью таких техник, как добавление пробелов или маскировка вредоносных полезной нагрузки под безобидные шрифтовые файлы .woff2. Исполнение часто инициируется через инструменты разработчика, такие как Visual Studio Code, с использованием файлов задач, настроенных на запуск при открытии папки. Эта техника позволяет злоумышленникам манипулировать историей Git репозитория, применяя методы, такие как принудительные push-операции и коммиты с подделкой даты, чтобы скрыть вредоносные изменения, что приводит к ненадежной истории коммитов, способной ввести защитников в заблуждение.

Пейлоады, доставляемые этими лоадерами, в основном основаны на JavaScript и подключаются к блокчейн-сервисам, таким как TRON и BNB Smart Chain, для получения дополнительных зашифрованных пейлоадов. Известные пейлоады включают DEV#POPPER и OmniStealer, которые обеспечивают выполнение команд, кражу учетных данных и эксфильтрацию кошельков. Эволюционный характер конструкции на основе лоадеров указывает на возможность доставки нового ВПО по мере развития кампании.

В недавних операциях также наблюдается заметное расширение на Packagist, где множество скомпрометированных пакетов связано с организацией 7span. Очистительные усилия этой организации позволили устранить некоторые вредоносные payloads; однако, остатки зашифрованного JavaScript остаются из-за незавершенного характера восстановительных работ, что подчеркивает необходимость комплексных стратегий обнаружения и реагирования. Примечательно, что кампания пока не затронула Python Package Index (PyPI), что может указывать на то, что злоумышленники не имеют необходимых учетных данных или доступа для публикации вредоносных версий там.

Для защиты от угроз, связанных с PolinRider, организациям необходимо рассматривать системы с установленными затронутыми пакетами как потенциально скомпрометированные. Криминалистический анализ должен быть сохранен, а системы — пересобраны из чистых источников с одновременной ротацией любых потенциально скомпрометированных учетных данных. Регулярные аудиты сред разработки, конфигурационных файлов и журналов активности GitHub необходимы для выявления любых признаков компрометации или принудительных изменений, которые могут включать вредоносный код. Непрерывный характер кампании указывает на то, что бдительность имеет первостепенное значение, поскольку новые артефакты, вероятно, будут появляться постоянно.

#ParsedReport #CompletenessMedium
02-07-2026

An Analysis of ValleyRAT Infection Campaigns from Fake Installers, Japanese Malicious Emails

https://www.levelblue.com/blogs/spiderlabs-blog/an-analysis-of-valleyrat-infection-campaigns-from-fake-installers-japanese-malicious-emails

Report completeness: Medium

Actors/Campaigns:
Silver_fox

Threats:
Valleyrat
Byovd_technique
Supply_chain_technique
Process_injection_technique
Dll_sideloading_technique
Junk_code_technique
Donut

Victims:
Chinese speaking users, Japanese speaking users, Multinational corporations

Geo:
Japan, Hong kong, Japanese, Taiwan, Chinese

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036.003, T1055, T1105, T1140, T1204.001, T1204.002, T1497.001, T1497.003, T1547.001, have more...

IOCs:
Hash: 3
File: 7
Domain: 1
Url: 1

Soft:
Visual Studio

Algorithms:
rc4, base64, sha1, zip

Functions:
Sleep

Win API:
IsNativeVhdBoot, InternetOpenW, InternetReadFile, CreateProcessA, VirtualAllocEx, WriteProcessMemory, ResumeThread, GlobalMemoryStatusEx, GetTickCount, GetSystemInfo, have more...

Links:
https://github.com/Logkiss/Rat-winos4.0-gh0st/tree/master/%E9%93%B6%E7%8B%90Winos
https://github.com/volexity/donut-decryptor

#ParsedReport #ExtractedSchema

Classified images:
chart: 1, schema: 2, windows: 3, code: 9

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ValleyRAT, Троянская программа удаленного доступа, связанная с хакерской группировкой SilverFox, использует поддельные установщики и вредоносные электронные письма в качестве основных векторов атаки, целенаправленно атакуя пользователей, говорящих на китайском и японском языках. ВПО выполняет полезную нагрузку без использования файлов в памяти, применяя при этом передовые техники уклонения, такие как внедрение кода в процессы и обфускация, для предотвращения обнаружения. Его активность отмечается с 2023 года, при этом известные случаи заражения связаны с транснациональными корпорациями и использованием зашифрованных полезной нагрузки, что усложняет анализ и усилия по реагированию.
-----

ValleyRAT — это Троянская программа (RAT), связанная с различными кампаниями кибератак с 2023 года.

Два основных вектора распространения ValleyRAT — это поддельные установщики и вредоносные электронные письма, нацеленные на пользователей, говорящих на китайском и японском языках, соответственно.

Фальшивые установщики доставляют загрузчик, который извлекает и выполняет ValleyRAT; значительная активность зафиксирована с 2025 года, затрагивающая многонациональные корпорации.

ВПО использует техники противодействия анализу, такие как внедрение вредоносного кода в легитимные процессы, и применяет метод внедрения кода в процессы Pool Party Variant 7.

Злоумышленнические кампании с использованием электронной почты, впервые зафиксированные в 2026 году, используют ZIP-архивы, содержащие исполняемый файл EXE, который запускает DLL для загрузки ValleyRAT.

Одно из примерных писем, связанных с кадровыми изменениями, было написано на традиционном китайском языке; японская версия использовала тот же вредоносный домен, что указывает на скоординированные атаки.

ValleyRAT работает без файлов, выполняя полезную нагрузку в памяти для избежания обнаружения и применяя различные тактики противодействия анализу, такие как проверка системной памяти и процессора.

Используемая DLL содержит техники обфускации, включающие мусор-код, затрудняющий обратную разработку, а полезная нагрузка шифруется с помощью RC4 с ключом, встроенным в код.

Механизмы обнаружения были разработаны на основе имён модулей из утечки исходного кода для выявления активности ValleyRAT.

Рекомендации по предотвращению заражений ValleyRAT включают обучение сотрудников, эффективные меры безопасности электронной почты и развертывание систем обнаружения и реагирования на конечных точках (EDR) для распознавания подгрузки DLL.

В случае заражения организациям следует анализировать журналы на наличие вредоносной активности и разрабатывать стратегии реагирования на инциденты, обеспечивающие сохранение состояний систем.

Необходимы непрерывный мониторинг и обновление стратегий обнаружения для противодействия эволюционирующим тактикам кампаний ValleyRAT.

#ParsedReport #CompletenessMedium
02-07-2026

Analysis of Ongoing Ousaban Attacks Targeting the Iberian Peninsula

https://www.fortinet.com/blog/threat-research/analysis-of-ongoing-ousaban-attacks-targeting-the-iberian-peninsula

Report completeness: Medium

Threats:
Ousaban
Dll_sideloading_technique
Process_injection_technique
Metamorfo
Clipboard_injection_technique
Clickfix_technique

Victims:
Banking users, Banking sector, Iberian peninsula

Industry:
Financial

Geo:
Portugal, Brazil, Spanish, Latin american, Spain

ChatGPT TTPs:
do not use without manual check
T1027, T1027.003, T1027.016, T1036, T1056.001, T1059.005, T1059.007, T1070.004, T1102.001, T1105, have more...

IOCs:
Hash: 20
File: 1
Domain: 5
IP: 4

Soft:
Pastebin

Algorithms:
xor, md5, zip

Languages:
rust, javascript

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, code: 3, dump: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В мае 2026 года была зафиксирована киберкампания, направленная против пользователей банков в Испании и Португалии, в которой участвовал банковский троян Ousaban, впервые обнаруженный в Бразилии. Атака инициируется через фишинговый PDF-файл, который перенаправляет жертв на вредоносную веб-страницу, где загружается VBS-скрипт, что в конечном итоге приводит к установке полезной нагрузки Ousaban, отслеживающей учетные данные банков. Вредоносное ПО использует динамическую генерацию доменов для связи с C2 и применяет такие техники, как DLL side-loading, Внедрение кода в процессы и проверки окружения, чтобы избежать обнаружения.
-----

В мае 2026 года лаборатория FortiGuard Labs сообщила о киберкампании, нацеленной на банковских пользователей в Испании и Португалии, с использованием банковского трояна Ousaban. Изначально обнаруженный в Бразилии, этот атака распространяется через загрузчик MSI, который выполняет вредоносную нагрузку, состоящую из файла DLL, посредством подгрузки DLL или Внедрение кода в процессы. Атака начинается с фишинг PDF-файла, предназначенного для того, чтобы заманить жертв на вредоносную веб-страницу, которая выполняет проверку геолокации, чтобы определить, находится ли пользователь в целевых странах. Если это подтверждается, веб-страница затем загружает файл VBS, который облегчает следующие этапы установки ВПО.

Фишинговый PDF-файл маскируется под повреждённый файл и предлагает пользователю обманчивое сообщение для его обновления. Этот PDF-файл содержит JavaScript для сокрытия своих целей и дополнительно перенаправляет жертв на вредоносную страницу. Веб-страница, выглядящая как легитимный ресурс для налоговых документов, применяет строгие средства контроля доступа, включая проверку IP-адресов для блокировки пользователей из Испании и Португалии, а также специальные меры для запрета подключений через VPN.

После прохождения серверных проверок загружается VBS-скрипт, который выглядит безобидно, но в конечном итоге извлекает стеганографическое изображение, замаскированное под иконку PDF, содержащее полезную нагрузку Ousaban, упакованную в ZIP-архив. После выполнения временные файлы немедленно удаляются для снижения следов криминалистический анализ. Сама полезная нагрузка Ousaban записывает запись в реестре для закрепление и расшифровывает учетные данные, связанные с банками, для мониторинга доступа пользователей к определенным банковским сервисам. Эти учетные данные зашифрованы с использованием метода, характерного для латиноамериканских банковских троянов.

Для связи с центром управления (C2) вредоносное ПО Ousaban разрешает доменные имена, которые ежедневно меняются. Оно достигает этого, извлекая текущую дату со страницы Google и генерируя MD5-хэш, используемый для формирования доменного имени, которое указывает на сервер, управляемый через DDNS. Хотя изначально вредоносное ПО ссылается на поддельную запись в Pastebin, чтобы скрыть свой настоящий механизм C2, его фактический командный трафик зашифрован с использованием давно существующего алгоритма.

Получаемые команды включают действия по захвату скриншотов, регистрации нажатий клавиш, манипулированию буфером обмена и симуляции активности пользователя для усиления обмана жертв. Атакующие используют два основных вектора для начального заражения: один предполагает метод ClickFix для обмана жертв с целью выполнения вредоносного кода через VBS, а другой перенаправляет их от PDF-файла на фишинговую веб-страницу, размещающую установщик MSI.

Эта продолжающаяся кампания демонстрирует искусность злоумышленника в эволюции методов доставки ВПО, применяя геофенсинг и проверку окружения для ограничения охвата и повышения уклонения от механизмов обнаружения. По мере развития угроз будут необходимы непрерывный мониторинг и защитные меры для противодействия тактикам Ousaban.

#ParsedReport #CompletenessHigh
02-07-2026

MacSync Stealer: How a Google Ad Turned Install Claude Code into Full Mac Compromise

https://beelzebub.ai/blog/macsync-stealer-fake-claude-code-google-ads/

Report completeness: High

Threats:
Macc_stealer
Clickfix_technique
Installfix_technique
Credential_harvesting_technique

Victims:
Software development, Cryptocurrency

Geo:
Russian

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1020, T1027.010, T1036, T1041, T1056.002, T1059.002, T1059.004, T1070.004, T1071.001, have more...

IOCs:
File: 9
Hash: 4

Soft:
Claude, macOS, ger Live and, Electron, Chrome, Anthropic, Ledger Live, Chromium, OS Keyc, Claude macOS, have more...

Wallets:
ledger_wallet, trezor, metamask, coinbase, rabby, bybit, electrum, coinomi, wassabi, bitcoincore, have more...

Crypto:
binance, monero, dogecoin

Algorithms:
base64, zip, sha256, gzip

Functions:
setTimeout

Win API:
Arc, decompress

Languages:
javascript, applescript

Platforms:
apple, arm

YARA: Found