#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В июне 2026 года серия кибервторжений использовала уязвимость CVE-2026-0257 в PAN-OS компании Palo Alto Networks, что привело к развертыванию программ-вымогателей Qilin. Злоумышленники обошли аутентификацию VPN, чтобы получить доступ к сети, использовали инструменты, такие как PsExec, для перемещения по сети, и применяли инструменты удаленного доступа, такие как AnyDesk, для поддержания постоянного доступа. Вымогатель использовал механизм блокировки паролем и стратегически переименовывал зашифрованные файлы, подчеркивая систематический и совместный подход среди угроз.
-----

CVE-2026-0257 является уязвимостью в PAN-OS от Palo Alto Networks, которая позволяет неаутентифицированным удалённым злоумышленникам обойти аутентификацию VPN, используя скомпрометированные cookies.

Использование уязвимости CVE-2026-0257 позволяет злоумышленникам получать доступ к сетям через функциональность GlobalProtect.

Злоумышленники развернули Qilin ransomware после эксплуатации, что привело к систематическому шифрованию файлов.

Техники после эксплуатации включали немедленное шифрование и обширную разведку, что указывает на совместные усилия аффилированных с Qilin программ-вымогателей.

PsExec постоянно использовался для бокового перемещения, а вымогательскиеPayloads выполнялись из определенных директорий.

Злоумышленники внедрили меры по очистке журналов, чтобы скрыть свою деятельность.

Удалённые инструменты доступа, такие как AnyDesk и Ngrok, использовались для поддержания доступа.

Техники сбора учетных данных включали извлечение LSASS и NTDS, чтобы избежать обнаружения.

После эксплуатации злоумышленники получили повышенные привилегии и установили постоянные соединения для дальнейшей кражи учетных данных и латерального перемещения.

Злоумышленники создали службы Windows для извлечения конфиденциальной информации о учетных данных.

Для картографирования сетевой инфраструктуры с целью обеспечения постоянного доступа использовались внешние инструменты разведки.

Вредоносная программа-вымогатель Qilin имела имя win.exe и размещалась в определенных местах на скомпрометированных системах.

Вредоносное ПО использовало механизм контроля паролей для усложнения обнаружения.

Зашифрованные файлы были переименованы с использованием определенного формата для поддержания операционной согласованности.

Организациям рекомендуется немедленно установить патч для CVE-2026-0257, чтобы предотвратить эксплуатацию.

Наблюдение за сессиями VPN на предмет необычной активности и ротации учетных данных крайне важно после подозреваемых утечек.

Многоуровневые меры безопасности должны контролировать доступ к критически важным директориям и управлять инструментами удаленного доступа.

Постоянная регистрация действий необходима для сохранения судебных доказательств во время активных нарушений.

Ранние стратегии обнаружения для доступа к учетным данным или латерального перемещения имеют решающее значение для минимизации ущерба и предотвращения кражи данных.

#ParsedReport #CompletenessMedium
20-07-2026

Fake games spread stealers with RenPy Loader, MSBuild and EtherHiding

https://www.malwarebytes.com/blog/threat-intel/2026/07/fake-games-spread-stealers-with-renpy-loader-msbuild-and-etherhiding

Report completeness: Medium

Threats:
Etherhiding_technique
Amatera_stealer
Renengine
Deno_tool
Lumma_stealer
Hijackloader
Gollopdevest
Clickfix_technique
Junk_code_technique

Victims:
Gaming, Software

Industry:
Financial, Entertainment

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1027.007, T1036, T1059.006, T1102.001, T1105, T1127.001, T1140, T1555.003, have more...

IOCs:
File: 18
Path: 2
Command: 3
Coin: 2
Domain: 21
IP: 3
Hash: 5

Soft:
RenPy

Crypto:
binance, ethereum

Algorithms:
xor, base64, zip, md5

Functions:
GetDelegateForFunctionPointer

Languages:
python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние компании используют поддельные загрузки игр и программного обеспечения для распространения RenPy Loader, который доставляет Amatera Stealer через многоступенчатую цепь заражения. Это вредоносное ПО использует инструменты с открытым исходным кодом, такие как Ren'Py и MSBuild, для маскировки своих операций, позволяя исполнение троянского компонента .NET, который использует техники EtherHiding для связи с сервером управления и контроля через данные публичного блокчейна. Сложность заражения увеличивается за счет вредоносных файлов проектов MSBuild, которые выполняют различные вредные действия, включая манипуляцию с сетью и эксфильтрацию данных.
-----

Недавние кампании были зафиксированы, использующие поддельные загрузки игр, модов и программного обеспечения для распространения вредоносного ПО, известного как RenPy Loader, которое затем доставляет Amatera Stealer — сложный информационный кражник. Процесс заражения начинается с того, что пользователь загружает то, что считает легитимной игрой или программным обеспечением, что затем инициирует сложную многоступенчатую цепочку заражения.

RenPy Loader, также известный как RenEngine Loader, использует Ren'Py — открытый движок для создания визуальных романов — для сокрытия своего вредоносного кода в загрузках, связанных с играми. Эта тактика делает вредоносные установки более аутентичными для пользователей, ищущих игры или обновления программного обеспечения. Использование легитимных инструментов разработки, таких как MSBuild — автоматизированная система сборки от Microsoft — добавляет дальнейшую сложность в атаку, делая обнаружение более сложным.

Малварь работает, прежде всего расшифровывая ZIP-архив, который содержит файл BAT вместе с проектными файлами MSBuild, специально разработанными для выполнения троянского .NET-компонента. Этот компонент использует техники EtherHiding для получения своего сервера командования и управления (C2), маскируя адрес C2, используя данные, хранящиеся в публичной блокчейне, тем самым усложняя усилия по его разрушению.

Технический анализ показывает, что RenPy Loader может доставлять различные вредоносные нагрузки, включая HijackLoader и Lumma Stealer. Основным компонентом процесса заражения является выполнение MSBuild вместе с проектным файлом (Nancy.csproj), который содержит вредоносный код, позволяющий загрузку троянской версии библиотеки Nancy .NET. Эта библиотека выполняет ряд вредоносных действий, включая манипуляции с сетью, антииследственные операции и стратегическую эксфильтрацию данных.

После успешной инфекции DLL, известная как GollopDevest.dll, работает как загрузчик, который получает дальнейшие полезные нагрузки. Этот загрузчик использует ранее упомянутую технику EtherHiding, вызывая узел Ethereum через JSON-RPC, чтобы получить зашифрованный C2 домен. Последующие загрузки на этом этапе включают DLL антианализа и .NET загрузчики DLL, которые сильно обфусцированы, чтобы избежать обнаружения.

#ParsedReport #CompletenessMedium
20-07-2026

Targeted Attack on Government Entities in the Middle East \| Part 1

https://www.zscaler.com/blogs/security-research/targeted-attack-government-entities-middle-east-part-1

Report completeness: Medium

Threats:
Sandbox_evasion_technique

Victims:
Government, Middle east

Industry:
Government, Petroleum

Geo:
Asia, Middle east

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1001, T1016, T1027, T1027.016, T1036.005, T1053.005, T1059.003, T1071.001, T1102.002, T1105, have more...

IOCs:
File: 9
Path: 4
Command: 3
Domain: 1
Hash: 9

Soft:
Telegram, Mac OS

Algorithms:
xor, base64, zip

Functions:
DllMain

Win API:
VirtualProtect, GetAdaptersInfo, CreateProcessA, GetVolumeInformationA

Platforms:
intel

Links:
https://github.com/nlohmann/json

#ParsedReport #ExtractedSchema

Classified images:
chart: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В июле 2026 года сложная многоступенчатая атака восточноазиатского актера угрозы была нацелена на государственные структуры Ближнего Востока, используя не задокументированное вредоносное ПО, такое как TELESHIM, MIXEDKEY и BINDCLOAK. Атака началась с ISO-файла, содержащего скомпрометированное исполняемое файл ASUSTek, которое подгружало вредоносный DLL-файл TELESHIM, использовавший Telegram для командования и управления, скрывающий свой трафик и применяющий передовые техники обфускации. Последующие полезные нагрузки включали MIXEDKEY и BINDCLOAK, каждая из которых улучшала стратегии уклонения и безопасность связи, указывая на тенденцию к разработке сложных и скрытных методологий вредоносного ПО.
-----

В июле 2026 года продвинутый злоумышленник, связанный с Восточной Азией, запустил нацеленную кампанию против государственных структур на Ближнем Востоке, используя сложную многоступенчатую цепочку атак. Аналитики из Zscaler ThreatLabz обнаружили несколько ранее незафиксированных инструментов вредоносного ПО, включая TELESHIM, MIXEDKEY и BINDCLOAK, в ходе их расследования пост-компрометационных действий, связанных с этой кампанией.

Цепочка атаки начинается с распространения ISO-файла, который содержит законный файл ASUSTek RegSchdTask.exe, который был скомпрометирован для загрузки вредоносной DLL с именем AsTaskSched.dll. TELESHIM, основной бэкдор, использует API Telegram для командного и контрольного (C2) общения, чтобы смешивать вредоносный трафик с легитимными данными. Эта техника не только скрывает присутствие нападающего, но и гарантирует, что коммуникации избегают обнаружения традиционными механизмами безопасности.

Чтобы избежать анализа, TELESHIM использует обширные техники обфускации кода, включая выравнивание управления потоком (CFF) и смешанную булевую арифметику (MBA), что значительно усложняет реверс-инжиниринг. Вредоносное ПО проверяет наличие мьютекса, чтобы гарантировать работу в качестве единственного экземпляра, и включает меры против анализа, которые обнаруживают виртуализированные среды, прекращая выполнение, если таковая найдена.

В терминах C2-коммуникации, TELESHIM получает свой набор команд, опрашивая Telegram API, извлекая вредоносные команды и ответы, которые зашифрованы для предотвращения перехвата. Вредоносное ПО проверяет команды по MAC-адресу инфицированной машины, ограничивая действия конкретной скомпрометированной системой. Это обеспечивает выполнение только тех команд, которые предназначены для данной машины, дополнительно защищая атаку от следственных усилий.

После первоначального нарушения угроза-актер систематически развернул дополнительные полезные нагрузки. MIXEDKEY, загрузчик следующей стадии, продолжает техники обфускации своего предшественника, одновременно подгружая вредоносную DLL в ходе своего выполнения. Последняя полезная нагрузка, BINDCLOAK, представляет собой 64-битный C2-имплант, который связывается с сервером, расположенным по адресу cert.hypersnet.com. Развертывание этого импланта включает в себя экологическое ключевание, при котором его расшифровка зависит от серийного номера тома зараженной машины, что повышает барьеры для внешнего анализа и гарантирует, что он может быть выполнен только на подходящих целях.

Деятельность, наблюдаемая ThreatLabz, не только отражает сложность используемого вредоносного ПО, но и подчеркивает возникающие тенденции в методологиях киберугроз, включая эксплуатацию законных платформ для злонамеренных целей и продвинутые техники уклонения от систем обнаружения и реагирования на конечных точках (EDR). Несмотря на то, что точная атрибуция злоумышленника остается неопределенной, индикаторы указывают на операции из Восточной Азии. Будущие анализы углубятся в детали BINDCLOAK для получения дополнительных сведений об этой кампании.

#ParsedReport #CompletenessMedium
20-07-2026

FIFA World Cup 2026 Fraud Campaigns

https://socradar.io/blog/fifa-world-cup-2026-fraud-campaigns/

Report completeness: Medium

Actors/Campaigns:
Ghost_stadium

Threats:
Supply_chain_technique
Httrack_tool
Typosquatting_technique
Credential_harvesting_technique

Victims:
E commerce, Ticketing, Sports betting, Gambling, Cryptocurrency, Streaming, Advertising, Telecommunications, World cup fans

Industry:
Financial, Government, Entertainment, Foodtech, E-commerce, Education, Transport

Geo:
United states, Portuguese, French, Netherlands, Asian, China, Germany, American, Italian, Russian, Argentina, Latin america, Indonesian, Japanese, South africa, Mexico, Nigeria, Singapore, Chinese, German, Qatar

ChatGPT TTPs:
do not use without manual check
T1056.003, T1583.001, T1583.006, T1587.002, T1656

IOCs:
Domain: 43
File: 26

Soft:
Telegram, WordPress, TikTok

Crypto:
solana

Functions:
isLoggedIn

Languages:
javascript, php

#ParsedReport #ExtractedSchema

Classified images:
windows: 1, code: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние кибермошеннические кампании, связанные с FIFA World Cup 2026, характеризуются множественными угрозами, использующими такие техники, как фишинг, автоматизированное зеркалирование доменов и использование JavaScript для динамических функций. Эти кампании используют повышенный интерес к турниру, быстро регистрируя более 850 доменов для подделки официальных сайтов и облегчая мошеннические продажи, включая платформы электронной торговли и заблуждения по поводу законных ставок. Кроме того, некоторые операции начали интегрировать криптовалюту для анонимности, отражая эволюцию и разнообразие угрожающих ландшафтов, нацеливающихся на широкую аудиторию.
-----

Недавние кибермошеннические кампании, связанные с FIFA World Cup 2026, включают в себя выдачу себя за официальные порталы FIFA, продажу поддельных товаров и схемы спортивных ставок.

Фишинговая кампания, нацеленная на портал FIFA, использует комплект GHOST STADIUM и расширилась до более чем 850 доменов.

Эти домены имеют структурированные архитектуры сессий и механизмы отслеживания, которые адаптируются к историческим данным и предыдущим мерам безопасности.

Кампании демонстрируют локализованное таргетирование с уникальными структурами доменов, адаптированными к таким странам, как Соединенные Штаты, Мексика и Аргентина.

Злоумышленники используют автоматизированное зеркалирование доменов для создания статических реплик легитимных сайтов, используя JavaScript для вставки динамических функций.

Многие домены заранее регистрируются перед турниром и быстро активируются, часто будучи менее месяца от момента регистрации.

Мошеннические кампании используют различные структуры онлайн-платежей, используя легитимные шлюзы для повышения доверия к транзакциям.

Процессы оформления заказа систематичны, часто используют стандартные платформы электронной коммерции такие, как WooCommerce, без индивидуальной разработки.

Правдоподобные стратегии продвижения, включая скромные скидки и сигналы доверия, используются для привлечения ничего не подозревающих пользователей.

Монетизация трафика используется для перенаправления жертв на легитимные букмекерские платформы через фиктивные спонсорства, обманывая пользователей, заставляя доверять неавторизованным организациям.

Некоторые кампании включили в себя транзакции с криптовалютой, нацеливаясь на технически подкованную аудиторию для анонимности.

Эти кампании демонстрируют адаптивность в разных регионах и на различных платформах, используя возбуждение, связанное с событиями, для расширения угроза.

#ParsedReport #CompletenessMedium
20-07-2026

JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models

https://webflow.sysdig.com/blog/jadepuffer-evolves-the-agentic-threat-actor-deploys-ransomware-built-to-destroy-ai-models

Report completeness: Medium

Actors/Campaigns:
Jadepuffer (motivation: financially_motivated)

Threats:
Credential_harvesting_technique
Encforge
Onnx_store_tool
Lockbit
Shadow_copies_delete_technique
Homoglyph_technique

Victims:
Artificial intelligence and machine learning infrastructure, Langflow deployments, Vector databases, Training datasets, Model assets

Geo:
Netherlands

CVEs:
CVE-2025-3248 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- langflow (<1.3.0)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027.002, T1033, T1046, T1059.004, T1059.006, T1078, T1082, T1083, T1105, T1140, have more...

IOCs:
Email: 1
File: 16
Url: 2
Hash: 3
IP: 2

Soft:
Langflow, MySQL, Nacos, Docker, curl, HuggingFace, llama, macOS, bcdedit, outlook, have more...

Algorithms:
sha256, aes-256-ctr, aes-256, rsa-2048, base64

Functions:
AES_ENCRYPT, exec, RCE, exec_in_bigrun, get_host_pid, Engine

Win Services:
MSSQLSERVER

Languages:
cpython, python

Platforms:
apple, cross-platform

Links:
https://github.com/langflow-ai/langflow

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
JADEPUFFER, сложный злоумышленник, нацеливается на инфраструктуры ИИ и машинного обучения с помощью специализированного программного обеспечения-вымогателя под названием ENCFORGE, которое необратимо уничтожает критически важные артефакты моделей ИИ и наборы данных. Точка входа группы осуществляется через CVE-2025-3248 в фреймворке Langflow, что позволяет выполнять произвольный код. ENCFORGE использует гибридный метод шифрования (AES-256 и RSA-2048) для оптимизации своего разрушительного процесса, специально разработанного для обхода вариантов восстановления и повышения скрытности в скомпрометированных системах.
-----

JADEPUFFER развил свои операции, развернув специализированный программный вирус-вымогатель, предназначенный для атаки на инфраструктуры ИИ и машинного обучения (ML). Этот программный вирус-вымогатель, названный ENCFORGE, был замечен в том, что он специально нацеливается на активы высокой стоимости, такие как обученные модели ИИ, векторные базы данных и соответствующие обучающие наборы данных, все из которых критически важны для операций машинного обучения в организации и значительно дороги для воспроизведения.

Начальная точка входа для JADEPUFFER происходит через уязвимость в фреймворке Langflow, а именно CVE-2025-3248, которая позволяет неаутентифицированному атакующему выполнять произвольный код на Python. Эта атака использует недостатки развертывания Langflow, которое часто содержит конфиденциальные учетные данные из-за его оркестрации подключенных сервисов. Оказавшись внутри системы, JADEPUFFER участвует в серии мероприятий после эксплуатации, включая сбор учетных данных и боковое перемещение внутри сети.

Вымогатель построен с уникальными возможностями, будучи скомпилированным бинарным файлом на Go, который выполняет разрушительный процесс шифрования, нацеливаясь на примерно 180 расширений файлов, связанных с различными форматами ML и AI, включая контрольные точки TensorFlow и файлы моделей PyTorch. В отличие от традиционных вымогателей, которые в первую очередь шифруют файлы для вымогательства, ENCFORGE сосредоточен на необратимом уничтожении данных, в частности артефактов моделей AI, что снижает вероятность восстановления с помощью стандартных процессов резервного копирования.

Используемый метод шифрования включает в себя гибрид алгоритмов AES-256 и RSA-2048, с акцентом на шифрование по регионам, а не по всей файлу, что повышает его оперативную эффективность, сохраняя при этом зловредный умысел. Примечательно, что подход JADEPUFFER схож с некоторыми операциями программ-вымогателей, однако он не демонстрирует типичные тактики двойного вымогательства, так как утечек данных или внешних соединений для оплаты выкупа не наблюдалось.

Техники JADEPUFFER демонстрируют глубокое понимание концепций кибербезопасности, используя такие методы, как использование Docker API для обхода контейнеров и уникальные практики кодирования, чтобы избежать обнаружения. Эта эволюция указывает на хорошо организованного актера угроз, способного создавать эффективный и целенаправленный программный вирус, специально адаптированный для AI-сред.

Для организаций, полагающихся на ИИ, это развитие существенно расш Rabb its threats landscape. Простое наличие открытой ИИ структуры может привести к серьезным последствиям, включая потенциальные потери в диапазоне от 75,000 до 500,000 долларов за каждую пострадавшую модель из-за затрат, связанных с повторным обучением и инженерией. В связи с этим бизнесам необходимо пересмотреть свои стратегии безопасности, чтобы включить защиту от этих специализированных угроз и рассмотреть возможность мониторинга на наличие необычной активности, такой как несанкционированный доступ к сокетам Docker или массовое переименование файлов, указывающее на деятельность программ-вымогателей.

#ParsedReport #CompletenessHigh
20-07-2026

Unpacking “Cruciferra”: An Analysis of a Sophisticated Crypter Service

https://www.proofpoint.com/us/blog/threat-insight/unpacking-cruciferra-analysis-sophisticated-crypter-service

Report completeness: High

Actors/Campaigns:
Ta4922 (motivation: financially_motivated)

Threats:
Cruciferra
Process_ghosting_technique
Byovd_technique
Phantom_stealer
Quasar_rat
Agent_tesla
Asyncrat
Formbook
Xworm_rat
Remcos_rat
Adaptixc2_tool
Dll_sideloading_technique
Junk_code_technique
Process_manipulation_technique
Iat_hooking_technique
Dcrat
Darkcloud
Snake_keylogger
Valleyrat
Winos

Victims:
Financial services, Healthcare, Government, Hospitality, Travel, India, United states

Industry:
Healthcare, Entertainment, Government

Geo:
India

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.016, T1055, T1057, T1059.001, T1070.004, T1082, T1105, T1106, T1112, have more...

IOCs:
File: 3
Url: 36
Domain: 2
IP: 1
Hash: 14

Soft:
Windows Defender

Algorithms:
sha256, zip, prng

Win API:
EnumWindows, DeviceIOControl, NtProtectVirtualMemory, NtCreateSection, NtMapViewOfSection, NtCreateTransaction, NtRollbackTransaction, NtOpenKey, NtSetValueKey, NtClose, have more...

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Cruciferra — это служба криптации, используемая различными киберпреступными группами для доставки вредоносного ПО, в первую очередь RAT и инфостиллеров, использующая продвинутые техники уклонения от защиты. Она использует более 90 криптографических вариаций для обфускации полезной нагрузки и включает такие методы, как отключение API, BYOVD и DLL side-loading, чтобы повысить скрытность и затруднить обнаружение. Недавние кампании, включая кампании группы TA4922, нацеливались на сектора, такие как финансовые услуги, используя социальную инженерию для доставки полезной нагрузки, при этом используя динамическое шифрование для усложнения анализа.
-----

Cruciferra является сложным сервисом шифрования, используемым различными киберпреступными группами для доставки вредоносного ПО, в первую очередь RAT и инфостилеров.

Он использует более 90 различных криптографических вариаций для эффективного сокрытия своих полезных нагрузок.

Cruciferra использует несколько техник уклонения, включая косвенные системные вызовы и методы удаления хуков для API и таблицы адресов импорта (IAT).

Он использует технологии Bring-Your-Own-Vulnerable-Driver (BYOVD) для вмешательства в решения EDR.

Криптер скрывает окна консоли и изменяет ключи реестра, чтобы отключить уведомления пользователей.

Развертывание включает механизм побочного загрузки DLL, обеспечивая, что целевая система не является песочницей перед выполнением вредоносного ПО.

Cruciferra предлагает уникальные и кастомизированные алгоритмы для защиты полезной нагрузки, усложняя статический анализ.

Модульный дизайн Cruciferra способствует значительным различиям между различными образцами вредоносного ПО.

Угроза актера TA4922, группы, говорящей на китайском, использовала Cruciferra для доставки AsyncRAT с помощью тактик социальной инженерии.

Техники уклонения Cruciferra включают в себя отвязывание функций Windows API и мониторинг дерева процессов для скрытия консольных процессов.

Он отключает EDR, используя уязвимые драйверы для выполнения команд завершения процессов низкого уровня.

Малварь также использует динамическую сборку шифрования полезной нагрузки, применяя различные алгоритмы для уменьшения обнаруживаемости.

Cruciferra позволяет вредоносному коду работать из памяти, не оставляя следов на диске, что усложняет судебный анализ.

Сервис представляет собой эволюцию в доставке вредоносного ПО в экосистеме вредоносного ПО как услуги.

#ParsedReport #CompletenessHigh
20-07-2026

From a Single Alert to 1,000 Files: Inside an Exposed WebDAV Malware Delivery Lab

https://www.rapid7.com/blog/post/tr-exposed-webdav-malware-delivery-lab-analysis

Report completeness: High

Actors/Campaigns:
Stealth_falcon

Threats:
Clickfix_technique
Right-to-left_override_technique
Iediagcmd_tool
Motw_bypass_technique
Putty_tool
Lolbin_technique
Bitsadmin_tool
Dlrtygames
Typosquatting_technique
Simba_tool
Process_injection_technique
Process_hollowing_technique
Dll_sideloading_technique
Purerat
Clickonce_tool
Lolbas_technique
Uac_bypass_technique
Homoglyph_technique
Steganography_technique

Victims:
Enterprise windows users, Users of the mexican national identity service

Industry:
Government, Financial

Geo:
Netherlands, United kingdom, Germany, Finland, United states, Brazil, Republic of korea, France, Mexican, Russian, Mexico

CVEs:
CVE-2025-24054 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.20947)
- microsoft windows_10_1607 (<10.0.14393.7876)
- microsoft windows_10_1809 (<10.0.17763.7009)
- microsoft windows_10_21h2 (<10.0.19044.5608)
- microsoft windows_10_22h2 (<10.0.19045.5608)
have more...
CVE-2025-33053 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.21034)
- microsoft windows_10_1607 (<10.0.14393.8148)
- microsoft windows_10_1809 (<10.0.17763.7434)
- microsoft windows_10_21h2 (<10.0.19044.5965)
- microsoft windows_10_22h2 (<10.0.19045.5965)
have more...
CVE-2026-21513 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1607 (<10.0.14393.8868)
- microsoft windows_10_1809 (<10.0.17763.8389)
- microsoft windows_10_21h2 (<10.0.19044.6937)
- microsoft windows_10_22h2 (<10.0.19045.6937)
- microsoft windows_11_23h2 (<10.0.22631.6649)
have more...

TTPs:
Tactics: 8
Technics: 27

IOCs:
File: 63
Domain: 3
IP: 3
Url: 1
Hash: 6

Soft:
Windows Explorer, Windows NTLM, Internet Explorer, Microsoft Edge, Chrome, cPanel, Telegram, Foxmail, NET FRAMEWORK

Wallets:
coinbase, exodus_wallet, electrum

Crypto:
bitcoin, monero

Algorithms:
sha256, gzip, aes

Functions:
Get-HotFix, OR

Win API:
IsDebuggerPresent, MessageBox, T0052, TA0003, T0016, T0017, T0065

Win Services:
WebClient

Languages:
delphi, powershell, javascript

Platforms:
x86

Links:
https://github.com/Akash-nath29/Coderrr
have more...
https://github.com/rapid7/Rapid7-Labs/tree/main/IOCs/Simba%20Panel

#ParsedReport #ExtractedSchema

Classified images:
windows: 4, schema: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4