#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Непрямая инъекция промпта (IPI) — это новая угроза, нацеленная на ИИ-агентов путем внедрения вредоносных инструкций в веб-сайты, документы или электронные письма. Два значимых инцидента иллюстрируют это: один представляет собой мошенничество с платежами, маскирующееся под легитимный сайт документации API, использующее SEO для привлечения жертв, а другой — операцию с тайпсквоттингом, имитирующую платформу DeBank. Тестирование больших языковых моделей выявило уязвимости, при этом несколько моделей не смогли распознать мошеннический контент как вредоносный, что подчеркивает необходимость улучшения механизмов обнаружения атак IPI.
-----

Косвенная инъекция промпта (IPI) представляет собой новый вектор угроз, нацеленный на ИИ-агентов, использующий контент, потребляемый этими системами, для внедрения вредоносных инструкций. Этот метод имитирует техники социальной инженерии, традиционно применявшиеся против человеческих пользователей, манипулируя процессами принятия решений ИИ путем внедрения IPI в веб-сайты, документы или электронные письма. Недавние расследования Zscaler ThreatLabz выявили две значимые кампании, использующие IPI: одна связана со схемой мошенничества с платежами, а другая — с операцией по тайпсквоттингу, имитирующей платформу криптовалют.

В рамках первой кампании мошенническая схема с использованием IPI маскируется под легитимный сайт с документацией API, применяя Отравление поисковой оптимизации (SEO) для повышения видимости при поиске пользователями конкретных запросов по библиотекам Python. Фальшивый сайт внедряет в свой HTML-код перегруженные ключевые слова, чтобы ввести в заблуждение AI-агентов и направить их на вредоносный контент. Сайт предлагает пользователям перевести небольшую сумму Ethereum (ETH) на указанный адрес кошелька под предлогом легитимной транзакции, после чего выдает поддельный API-ключ в качестве подтверждения. Злоумышленники, стоящие за этой операцией, создали несколько репозиториев на GitHub, которые ссылаются на различные аналогичные мошеннические сайты, предназначенные для обмана AI-агентов.

Вторая кампания связана с доменом, использующим метод тайпсквоттинга, который имитирует DeBank — известную платформу для отслеживания портфелей в децентрализованных финансах. Этот мошеннический сайт структурирован таким образом, чтобы занимать высокие позиции в поисковых запросах, связанных с DeBank, за счет включения вводящих в заблуждение ключевых слов в заголовок и мета-описание. Чтобы укрепить свой фасад, сайт использует структурированные данные JSON-LD, чтобы представиться легитимным программным обеспечением, связанным с DeBank, ложно указывая официальный домен DeBank в качестве своего издателя. Техники IPI аналогичным образом используются для манипуляции системами искусственного интеллекта путем внедрения инструкций, которые побуждают модели игнорировать предыдущие вводы и вместо этого следовать вредоносным директивам внедрителя.

Результаты тестирования различных больших языковых моделей (LLM) продемонстрировали тревожный уровень уязвимости. Например, в ходе проверки первой кампании четыре из 26 LLM не предприняли необходимых действий против мошеннического сайта, а во время второй кампании две модели ошибочно классифицировали рискованный домен как легитимный при определенных условиях. Особенно когда контент мошеннического сайта оценивался изолированно, модели неверно определяли его как легитимный, что подчеркивает необходимость улучшения механизмов обнаружения в системах ИИ для защиты от таких сложных манипулятивных атак. По мере того как ландшафт угроз продолжает развиваться, понимание нюансов атак IPI становится критически важным для повышения устойчивости приложений на основе ИИ.

#ParsedReport #CompletenessLow
02-07-2026

Linux Backdoor Targeting iKuai Routers

https://dmpdump.github.io/posts/Backdoor_iKuai_Routers/

Report completeness: Low

Threats:
Ikuai_bdoor

Victims:
Ikuai routers, Network devices

Geo:
Chinese, Japan

ChatGPT TTPs:
do not use without manual check
T1005, T1016, T1027, T1036.005, T1041, T1059.004, T1071.001, T1082, T1132.001, T1140, have more...

IOCs:
Hash: 1
Url: 4

Soft:
Linux, OpenWrt, task scheduler

Algorithms:
aes-gcm, sha2, aes-256, aes, xor, base64

Functions:
acquire_lock, get_gwid

YARA: Found

Links:
https://github.com/openwrt/libubox/blob/master/json\_script.c

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
1 июля 2026 года команда MalwareHunterTeam обнаружила бэкдор на базе Linux, нацеленный на маршрутизаторы iKuai, под названием libjson_script.so.0. Этот бэкдор имитирует легитимную библиотеку и использует метод шифрования XOR для конфигурации, включая защищенную связь через MbedTLS AES-GCM и планирование задач с сервером управления, что позволяет ему выполнять команды оболочки и эксфильтровать данные. Он специально взаимодействует с устройствами, работающими на определенных пользовательских прошивках Linux, что указывает на возможности целевой компрометации.
-----

1 июля 2026 года команда MalwareHunterTeam сообщила о бэкдоре на базе Linux, нацеленном на маршрутизаторы iKuai из Китая, идентифицированном по ELF-бинарному файлу с именем libjson_script.so.0, который был загружен на VirusTotal из Японии. Этот бэкдор имитирует легитимную библиотеку, связанную с проектом OpenWrt, что вызывает опасения из-за его специфической направленности.

Бэкдор содержит основную процедуру, которая начинается с получения блокировки для обеспечения работы только одного экземпляра, за которым следует расшифровка его конфигурации с использованием алгоритма XOR с однобайтовым ключом (0x5A). Затем создаётся директория в /var/tmp, инициализируется контекст AES-GCM MbedTLS для защищённой связи, и настраивается поток планировщика задач для регулярного взаимодействия с сервером управления (C2), расположенным по адресу https://47.80.111.129:7380. Процедура пытается получить идентификатор шлюза (GWID), специфичный для маршрутизаторов iKuai, создавая его, если он отсутствует, и входит в цикл, в котором отправляет маяки на сервер управления для получения задач, с временем ожидания по умолчанию 3600 секунд между действиями.

Расшифровка конфигурации включает разбор зашифрованных JSON-ответов от C2, которые содержат задачи и их соответствующие параметры. Среди команд, поддерживаемых бэкдором, есть возможность чтения файлов (до 512 КБ), выполнения команд оболочки асинхронно и отправки результатов обратно на C2 в виде зашифрованного JSON. Это указывает на высокий уровень контроля и возможности эксфильтрации данных, направленные на компрометацию затронутых устройств.

Что касается выполнения команд, бэкдор использует exec_cmd_async, который выполняет команды оболочки через '/bin/sh -c' и передает результаты обратно на C2-сервер. Бэкдор, по-видимому, уникально ориентирован на определенные версии пользовательской прошивки Linux, о чем свидетельствует обработка получения GWID, которая ссылается на файлы, известные как существующие на устройствах iKuai.

#ParsedReport #CompletenessLow
02-07-2026

A single RedLine C2 pivots into a maritime spear-phishing cluster and attacker-owned infrastructure.

https://radar.offseq.com/threat/a-single-redline-c2-pivots-into-a-maritime-spear-p-96d1a4f1c693cdaf

Report completeness: Low

Threats:
Redline_stealer
Spear-phishing_technique
Bec_technique
Supply_chain_technique
Formbook
Artoken

Victims:
Maritime infrastructure, Maritime companies, Maritime shipping sector, Marine boiler manufacturing

Industry:
Maritime, Transport

Geo:
South korean, South korea

CVEs:
CVE-2026-7311 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2026-13743 [Vulners]
CVSS V3.1: 5.2,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2026-58465 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2026-50282 [Vulners]
CVSS V3.1: 7.1,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1499, T1566, T1571, T1583.001, T1656

IOCs:
IP: 10
Url: 3
Domain: 7
Email: 5
File: 2

Soft:
WordPress

Functions:
actionMoveFolder

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Целевая кампания BEC, направленная на морскую инфраструктуру Южной Кореи, в частности на Kangrim Heavy Industries, использовала тактики целевого фишинга для доставки ВПО Formbook через электронные письма, имитирующие компании цепочки поставок, и скоординированную инфраструктуру, связанную с RedLine Stealer. Анализ выявил начальный вектор атаки как IP-адрес 194.156.79.122 на порту 55615. Были отмечены несколько уязвимостей, включая CVE-2026-7311 в плагине WordPress TinyPNG и CVE-2026-13743 в прошивке CubeSpace, что указывает на увеличение возможностей эксплуатации across платформ.
-----

Выделенная угроза связана с целевой кампанией Business Email Compromise (BEC), направленной на морскую инфраструктуру Южной Кореи, в частности на компанию Kangrim Heavy Industries. В ходе этой кампании использовался сервер управления (C2), связанный с RedLine Stealer, который был связан с серией Целевой фишинг писем, предназначенных для имитации компаний цепочки поставок в морской отрасли. Эти письма доставляли вредоносное ПО Formbook, что привело к компрометации целевой компании. Расширенный анализ инфраструктуры показал, что семь мошеннических доменов размещались на хостинге TheHost LLC, демонстрируя общие соглашения об именовании и идентичные TLS-сертификаты, что свидетельствует о способности злоумышленников создавать скоординированную инфраструктуру для усиления своих обманных действий.

Первоначальной точкой входа злоумышленников был идентифицирован IP-адрес 194.156.79.122, работающий на порту 55615. Для отслеживания связанной инфраструктуры C2 применялись продвинутые техники отпечатков, что подчеркивает сложную и целевую природу этой кампании. Объединяя тактики социальной инженерии с развертыванием ВПО, злоумышленники эффективно имитировали легитимные деловые коммуникации, адаптированные для морского сектора. Комбинация стиллера RedLine и ВПО Formbook в этой операции указывает на фокус на краже учетных данных и эксфильтрации конфиденциальной информации, что вызывает серьезные опасения по поводу безопасности морских операций, сталкивающихся с такими сложными фишинговыми попытками.

В дополнение к кампании BEC были сообщены о нескольких уязвимостях, обнаруженных на различных платформах. Например, плагин TinyPNG для WordPress подвержен уязвимости обхода пути (CVE-2026-7311), позволяющей аутентифицированным пользователям удалять произвольные файлы из-за недостаточной проверки путей к файлам. Другая уязвимость (CVE-2026-13743) в прошивке CubeSpace’s CW0057 Reaction Wheel позволяет злоумышленникам с физическим доступом загружать вредоносную прошивку из-за неправильной проверки криптографической подписи. Третья ошибка (CVE-2026-58465) в Eclipse Wakaama создает возможности для атак на отказ в обслуживании через неограниченное выделение памяти, вызванное неаутентифицированными запросами. В совокупности эти уязвимости представляют возможности для эксплуатации, которые могут привести к компрометации целостности серверов и систем безопасности в широком масштабе.

Эта серия событий и уязвимостей подчеркивает растущую сложность и изощренность киберугроз, особенно нацеленных на конкретные отрасли и использующих социальную инженерию наряду с техническими эксплойтами. Риски, создаваемые такой комбинацией, требуют бдительных мер безопасности и необходимости для организаций, особенно в критических секторах, таких как морская инфраструктура, укреплять свою защиту от этих эволюционирующих угроз.

#ParsedReport #CompletenessHigh
03-07-2026

At WARP speed after your Roblox and corporate secrets: how Santa Stealer turned log theft into an assembly line

https://rt-solar.ru/solar-4rays/blog/6739/

Report completeness: High

Threats:
Santastealer
Clickfix_technique
Dead_drop_technique
Bluelinestealer
Lumma_stealer
Redline_stealer
Teamviewer_tool
Anydesk_tool
Process_injection_technique

Victims:
Industrial company, Russian organizations, Gaming accounts

Industry:
Financial, E-commerce, Entertainment

Geo:
Russian, Russian federation

TTPs:
Tactics: 8
Technics: 29

IOCs:
Url: 7
File: 5
Domain: 4
Hash: 12
IP: 8
Registry: 1

Soft:
Roblox, Telegram, Mastodon, Steam, Discord, WinSCP, KeePass, 1Password, Bitwarden, NordPass, have more...

Wallets:
electrum, metamask, rabby, coinbase, tonkeeper, keplr, exodus_wallet, tron

Crypto:
bitcoin, monero, binance, solana

Algorithms:
sha256, zip, chacha20, sha1, base64, xor, aes, md5

Functions:
get_clipboard

Win API:
VirtualAlloc, CryptGenRandom

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
code: 7, schema: 1, windows: 3, chart: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносное ПО Santa Stealer, выявленное в марте 2026 года и нацеленное на российскую промышленную компанию, использует передовые техники сбора информации через легитимный ресурс, выполняя команды через PowerShell без записи файлов. Оно обладает модульной архитектурой с 13 компонентами для сбора конфиденциальных данных из приложений, а также применяет туннелирование трафика через Cloudflare WARP для повышения скрытности. Этот инструмент Malware-as-a-Service включает возможности, такие как криптоклиппер, перехват данных в реальном времени и динамическая связь с C2, что способствует масштабному хищению данных и быстрой перепродаже украденных учетных записей на подпольном рынке.
-----

Вредоносное ПО Santa Stealer, обнаруженное в марте 2026 года в ходе атаки на российскую промышленную компанию, использует передовые техники для облегчения сбора конфиденциальных данных через скомпрометированный легитимный ресурс, доставляемый с помощью go-dropper, который выполняется полностью в памяти без записи на диск. Вредоносное ПО использует технику ClickFix, которая манипулирует сотрудниками, заставляя их загружать вредоносные payloads под видом завершения CAPTCHA на фишинг-сайте. В частности, PowerShell применяется для выполнения команд, приводящих к загрузке Santa Stealer с скомпрометированного, но легитимного ресурса.

Santa Stealer характеризуется модульной архитектурой, включающей 13 последовательных модулей, предназначенных для сбора конфиденциальной информации из различных приложений и сервисов, включая корпоративные VPN, учетные данные облачных сред и криптовалюты. ВПО мастерски туннелирует трафик через Cloudflare WARP, маскируя свою инфраструктуру управления (C2) в легитимном сетевом трафике, тем самым повышая свою скрытность во время коммуникации. ВПО может извлекать домены управления через скомпрометированные страницы на платформах, таких как Телеграм и Mastodon, с использованием метода Dead Drop Resolver.

Этот инструмент для кражи информации является частью мощной экосистемы Malware-as-a-Service (MaaS), предлагающей покупателям за плату кастомные сборки с множеством операционных возможностей. Примечательные функции включают крипто-клиппер, позволяющий изменять скопированные адреса кошельков, конфигурацию, обеспечивающую перехват конфиденциальной информации в реальном времени, а также возможность выполнения в памяти легитимных процессов посредством отраженной загрузки PE, что минимизирует риски обнаружения.

Метод эксфильтрации данных Santa Stealer также является сложным: он использует несколько каналов, которые могут динамически переключаться между серверами C2, скрывая незаконную деятельность за легитимными Веб-сервисами. Архитектура вредоносного ПО позволяет ему атаковать широкий спектр приложений, включая популярные веб-браузеры и различные криптокошельки, путем анализа памяти браузера в реальном времени для извлечения токенов доступа, паролей и автоматически сохраненных учетных данных, тем самым обходя традиционные средства защиты, которые могут обнаруживать вредоносную активность на основе взаимодействия с файловой системой.

Кроме того, конфигурация вредоносного ПО позволяет вести журнал обширных данных жертв, что подпитывает его стратегию монетизации на подпольном рынке, преимущественно сосредоточенную на перепродаже украденных учетных записей. Разработчик Santa Stealer не только продает само вредоносное ПО, но, по-видимому, участвует в распространении учетных данных, собранных из этой экосистемы. Главная проблема заключается в двойной угрозе, создаваемой комбинированными возможностями вредоносного ПО и централизованных платформ, управляющих кражами, что приводит к повышенному риску быстрой перепродажи скомпрометированных учетных записей через множество каналов.

#ParsedReport #CompletenessMedium
03-07-2026

Boss Scam: Don’t Trust Every “Urgent” Message from Your Boss!

https://labs.k7computing.com/index.php/boss-scam-dont-trust-every-urgent-message-from-your-boss/

Report completeness: Medium

Threats:
Dllsearchorder_hijacking_technique
Dll_sideloading_technique
Lolbin_technique

Victims:
Organizations, Financial staff, Human resources staff, Executives, Employees

Industry:
Financial

Geo:
India

ChatGPT TTPs:
do not use without manual check
T1005, T1041, T1113, T1185, T1204.001, T1204.002, T1547.001, T1560.001, T1566.001, T1566.002, have more...

IOCs:
File: 5
Path: 1
Url: 1
Hash: 2

Soft:
WhatsApp, Microsoft Edge, IndexedDB

Algorithms:
zip, aes

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, chats: 1, windows: 2, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
«Мошенничество Boss Scam» — это киберугроза, при которой злоумышленники выдают себя за доверенных лиц, чтобы обмануть жертв и заставить их открыть вредоносные вложения по электронной почте или в WhatsApp. ВПО использует подгрузку DLL для выполнения, ограничивает себя одним экземпляром и обеспечивает закрепление через записи в реестре, одновременно используя легитимные инструменты, такие как tar.exe, для сжатия и передачи конфиденциальных данных обратно злоумышленнику. Нацеливание на высокопоставленных сотрудников позволяет угрозам быстро эскалировать внутри организаций, используя тактики социальной инженерии для эксплуатации человеческого доверия в коммуникациях.
-----

«Мошенничество Boss Scam» — это киберугроза, при которой злоумышленники выдают себя за доверенных лиц, таких как сотрудники Резервного банка Индии или налоговых органов, чтобы обманом заставить жертв открыть вредоносные вложения. Первоначальные коммуникации осуществляются по электронной почте или через WhatsApp, где жертвы получают zip-файл или ссылку, по которой скачивается такой файл, ошибочно помеченный как срочное экстренное сообщение. ВПО, содержащееся в этих вложениях, использует технику подгрузки DLL (DLL sideloading), что позволяет ему выполнять вредоносный код, маскируясь под легитимное приложение.

После запуска вредоносное ПО создает мьютекс, чтобы ограничить себя одним запущенным экземпляром, и обеспечивает закрепление путем создания записей в разделе Registry Run. Это гарантирует автоматический запуск при входе пользователя в систему, позволяя ему пережить перезагрузки системы. Некоторые варианты обладают возможностью делать непрерывные скриншоты и отправлять эту информацию обратно злоумышленнику. Кроме того, вредоносное ПО копирует себя в менее заметные каталоги внутри %AppData% или %ProgramData%, усиливая закрепление и снижая вероятность обнаружения.

ВПО использует встроенные инструменты Windows, в частности tar.exe, для эффективной архивации собранных данных без привлечения внимания. Команды, выполняемые через этот легитимный инструмент, обеспечивают сжатие конфиденциальной информации, которая затем передается по TCP-соединению злоумышленнику. Эти данные могут быть использованы для перехвата сессии WhatsApp Web скомпрометированной жертвы, позволяя нападающему имперсонировать жертву и общаться с коллегами по работе.

Нацеливание на высокопоставленных сотрудников, таких как генеральные директора и финансовые руководители, усиливает эффективность атаки, поскольку злоумышленник может запрашивать срочные действия, такие как переводы средств или доступ к конфиденциальным бизнес-документам. Используя исторические переписки и контакты, доступные в захваченной сессии WhatsApp, угрозы могут быстро распространяться по всей организации. Эта возможность эскалации подчеркивает эффективность тактик социальной инженерии, где доверие, оказываемое предполагаемому знакомому контакту, значительно повышает вероятность того, что жертвы откроют вредоносные вложения.

Этот инцидент подчеркивает растущий тренд в киберкриминал, где злоумышленники эксплуатируют человеческое доверие, а не полагаются исключительно на сложные технические эксплойты, выявляя уязвимости, присущие системам организационной коммуникации.

#ParsedReport #CompletenessMedium
02-07-2026

Roblox, Minecraft, and the Insidious Internet for Children

https://censys.com/blog/roblox-minecraft-and-the-insidious-internet-for-children/

Report completeness: Medium

Threats:
Typosquatting_technique
Credential_harvesting_technique
Homoglyph_technique

Victims:
Children, Roblox users, Minecraft users, Discord communities, Microsoft account users, Gaming platforms

Industry:
E-commerce, Entertainment

Geo:
Panama, Ethiopia, Germany, Finland, Switzerland

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036.005, T1111, T1566.003, T1583.001, T1583.003

IOCs:
Domain: 67
File: 7
IP: 5
Url: 5
Hash: 2

Soft:
Roblox, Minecraft, Laravel, GoDaddy, LiteSpeed, Steam, Discord, Roblox Discord, oblox pr, oblox.co, have more...

Algorithms:
sha256

Languages:
javascript, php, java

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В статье рассматриваются угрозы в интернете, направленные на детей через сайты вознаграждений offerwall, связанные с такими играми, как Roblox и Minecraft, которые используют обманные тактики для сбора персональных данных и содействия несанкционированным подпискам, подвергая риску блокировку аккаунтов. В ней подчеркивается распространение небезопасных услуг хостинга и технологий на базе PHP на этих сайтах, при этом 437 свойств имеют схожие уязвимости. Кроме того, анализируются операции фишинг, особенно те, которые маскируют атаки под игровые контексты для захвата учетные данные Microsoft, что указывает на сложную картину угроз, эксплуатирующую цифровые взаимодействия детей.
-----

В статье рассматривается сфера интернет-угроз, направленных на детей, в частности через сайты вознаграждений offerwall, связанные с популярными играми, такими как Roblox и Minecraft. Эти сайты обещают пользователям внутриигровую валюту за выполнение простых задач, но часто используют тактики, наносящие вред несовершеннолетним. Сбор данных является серьезной проблемой; задания часто требуют предоставления личной информации, и пользователи могут неосознанно подписываться на платные услуги или пробные периоды, нарушая условия обслуживания игровых платформ, что может привести к блокировке аккаунтов.

Анализ выделяет конкретные примеры сайтов с вознаграждениями, таких как Rocash и его преемник RbxBest, демонстрируя, как эти платформы пересекаются в своей деятельности и технологиях. Эти сайты преимущественно функционируют на недорогих хостинг-услугах, что выявляет уязвимости в их инфраструктуре. В статье отмечается, что примерно 437 веб-ресурсов имеют схожие отпечатки с этими офер-воллами, что указывает на широкую проблему, характеризующуюся дешевыми и небезопасными хостинг-средами. Примечательно, что технологический стек обычно включает PHP и LiteSpeed, что свидетельствует о зависимости от готовых шаблонов, способствующих высокой текучести регистраций доменов.

Фишинг — еще одна повсеместная угроза, нацеленная на детей, часто маскирующаяся под те же игровые контексты. Например, значительное внимание уделяется фишинговым системам, построенным вокруг учетных записей Roblox, которые часто используют характерные для детей дружелюбные интерфейсы, такие как имитация популярных ботов проверки учетных записей, таких как Bloxlink. В высоко структурированных операциях попытки фишинга, как выяснилось, используют сайты, размещенные на устойчивых платформах, специально разработанных для устойчивости к злоупотреблениям. Эти сайты часто работают с множеством обманных доменов, нацеленных на извлечение учетных данных через вводящие в заблуждение ссылки, которые часто выглядят безобидными.

В статье также рассматривается дифференциация тактик фишинга для Minecraft, где цель заключается в перехвате учетных данных Microsoft, а не прямых данных учетной записи игры. Из-за перехода на учетные записи Microsoft для Minecraft эти мошеннические попытки спроектированы так, чтобы обмануть пользователей и заставить их ввести свои учетные данные для входа в Microsoft, часто с использованием приманок в стиле Minecraft, которые повышают вероятность успеха.

В совокупности описанная операционная картина выявляет сложную экосистему угроз, которые используют знакомство детей с определенными цифровыми структурами. Это подчеркивает необходимость надежного подхода к противодействию этим угрозам, выходящего за рамки типичных индикаторов компрометации (IOCs) и фокусирующегося на отпечатках и шаблонах инфраструктуры, связанных с подобной незаконной деятельностью. Значительно, что последствия распространяются на различные заинтересованные стороны — от родительского контроля и школьных сетей до регулирующих органов, рассматривающих нарушения соответствия требованиям в отношении онлайн-взаимодействия с детьми.

#ParsedReport #CompletenessHigh
03-07-2026

Armored Likho digging a snake pit: inside the covert BusySnake Stealer campaign

https://securelist.com/tr/armored-likho-apt-with-busysnake-stealer/120292/

Report completeness: High

Actors/Campaigns:
Armored_likho (motivation: cyber_espionage, financially_motivated)
Eagle_werewolf

Threats:
Busysnake
Go2tunnel_tool
Polymorphism_technique
Spear-phishing_technique
Pyarmor_tool
Aquilarat

Victims:
Government agencies, Electric power sector

Industry:
Energy, Government

Geo:
Brazil, Kazakhstan, Russia

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1021.004, T1027, T1027.010, T1036, T1036.004, T1041, T1053.005, T1055, T1059.001, have more...

IOCs:
File: 27
IP: 4
Hash: 26
Email: 1
Domain: 10

Soft:
Chrome, Firefox, telegram, Mozilla Firefox, OPENSSH

Algorithms:
deflate, gzip

Functions:
NSS_Init, PK11SDR_Decrypt, taskItemId

Win API:
CryptUnprotectData

Languages:
rust, powershell, golang, vbscript, python

Platforms:
x64

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, code: 7, dump: 3, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4