#ParsedReport #CompletenessMedium
20-07-2026
FIFA World Cup 2026 Fraud Campaigns
https://socradar.io/blog/fifa-world-cup-2026-fraud-campaigns/
Report completeness: Medium
Actors/Campaigns:
Ghost_stadium
Threats:
Supply_chain_technique
Httrack_tool
Typosquatting_technique
Credential_harvesting_technique
Victims:
E commerce, Ticketing, Sports betting, Gambling, Cryptocurrency, Streaming, Advertising, Telecommunications, World cup fans
Industry:
Financial, Government, Entertainment, Foodtech, E-commerce, Education, Transport
Geo:
United states, Portuguese, French, Netherlands, Asian, China, Germany, American, Italian, Russian, Argentina, Latin america, Indonesian, Japanese, South africa, Mexico, Nigeria, Singapore, Chinese, German, Qatar
ChatGPT TTPs:
T1056.003, T1583.001, T1583.006, T1587.002, T1656
IOCs:
Domain: 43
File: 26
Soft:
Telegram, WordPress, TikTok
Crypto:
solana
Functions:
isLoggedIn
Languages:
javascript, php
20-07-2026
FIFA World Cup 2026 Fraud Campaigns
https://socradar.io/blog/fifa-world-cup-2026-fraud-campaigns/
Report completeness: Medium
Actors/Campaigns:
Ghost_stadium
Threats:
Supply_chain_technique
Httrack_tool
Typosquatting_technique
Credential_harvesting_technique
Victims:
E commerce, Ticketing, Sports betting, Gambling, Cryptocurrency, Streaming, Advertising, Telecommunications, World cup fans
Industry:
Financial, Government, Entertainment, Foodtech, E-commerce, Education, Transport
Geo:
United states, Portuguese, French, Netherlands, Asian, China, Germany, American, Italian, Russian, Argentina, Latin america, Indonesian, Japanese, South africa, Mexico, Nigeria, Singapore, Chinese, German, Qatar
ChatGPT TTPs:
do not use without manual checkT1056.003, T1583.001, T1583.006, T1587.002, T1656
IOCs:
Domain: 43
File: 26
Soft:
Telegram, WordPress, TikTok
Crypto:
solana
Functions:
isLoggedIn
Languages:
javascript, php
SOCRadar® Cyber Intelligence Inc.
FIFA World Cup 2026 Fraud Campaigns
Between April and July 2026, the SOCRadar Threat Research Unit (STRU) tracked the fraud ecosystem built around the FIFA World Cup 2026...
CTT Report Hub
#ParsedReport #CompletenessMedium 20-07-2026 FIFA World Cup 2026 Fraud Campaigns https://socradar.io/blog/fifa-world-cup-2026-fraud-campaigns/ Report completeness: Medium Actors/Campaigns: Ghost_stadium Threats: Supply_chain_technique Httrack_tool Ty…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние кибермошеннические кампании, связанные с FIFA World Cup 2026, характеризуются множественными угрозами, использующими такие техники, как фишинг, автоматизированное зеркалирование доменов и использование JavaScript для динамических функций. Эти кампании используют повышенный интерес к турниру, быстро регистрируя более 850 доменов для подделки официальных сайтов и облегчая мошеннические продажи, включая платформы электронной торговли и заблуждения по поводу законных ставок. Кроме того, некоторые операции начали интегрировать криптовалюту для анонимности, отражая эволюцию и разнообразие угрожающих ландшафтов, нацеливающихся на широкую аудиторию.
-----
Недавние кибермошеннические кампании, связанные с FIFA World Cup 2026, включают в себя выдачу себя за официальные порталы FIFA, продажу поддельных товаров и схемы спортивных ставок.
Фишинговая кампания, нацеленная на портал FIFA, использует комплект GHOST STADIUM и расширилась до более чем 850 доменов.
Эти домены имеют структурированные архитектуры сессий и механизмы отслеживания, которые адаптируются к историческим данным и предыдущим мерам безопасности.
Кампании демонстрируют локализованное таргетирование с уникальными структурами доменов, адаптированными к таким странам, как Соединенные Штаты, Мексика и Аргентина.
Злоумышленники используют автоматизированное зеркалирование доменов для создания статических реплик легитимных сайтов, используя JavaScript для вставки динамических функций.
Многие домены заранее регистрируются перед турниром и быстро активируются, часто будучи менее месяца от момента регистрации.
Мошеннические кампании используют различные структуры онлайн-платежей, используя легитимные шлюзы для повышения доверия к транзакциям.
Процессы оформления заказа систематичны, часто используют стандартные платформы электронной коммерции такие, как WooCommerce, без индивидуальной разработки.
Правдоподобные стратегии продвижения, включая скромные скидки и сигналы доверия, используются для привлечения ничего не подозревающих пользователей.
Монетизация трафика используется для перенаправления жертв на легитимные букмекерские платформы через фиктивные спонсорства, обманывая пользователей, заставляя доверять неавторизованным организациям.
Некоторые кампании включили в себя транзакции с криптовалютой, нацеливаясь на технически подкованную аудиторию для анонимности.
Эти кампании демонстрируют адаптивность в разных регионах и на различных платформах, используя возбуждение, связанное с событиями, для расширения угроза.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние кибермошеннические кампании, связанные с FIFA World Cup 2026, характеризуются множественными угрозами, использующими такие техники, как фишинг, автоматизированное зеркалирование доменов и использование JavaScript для динамических функций. Эти кампании используют повышенный интерес к турниру, быстро регистрируя более 850 доменов для подделки официальных сайтов и облегчая мошеннические продажи, включая платформы электронной торговли и заблуждения по поводу законных ставок. Кроме того, некоторые операции начали интегрировать криптовалюту для анонимности, отражая эволюцию и разнообразие угрожающих ландшафтов, нацеливающихся на широкую аудиторию.
-----
Недавние кибермошеннические кампании, связанные с FIFA World Cup 2026, включают в себя выдачу себя за официальные порталы FIFA, продажу поддельных товаров и схемы спортивных ставок.
Фишинговая кампания, нацеленная на портал FIFA, использует комплект GHOST STADIUM и расширилась до более чем 850 доменов.
Эти домены имеют структурированные архитектуры сессий и механизмы отслеживания, которые адаптируются к историческим данным и предыдущим мерам безопасности.
Кампании демонстрируют локализованное таргетирование с уникальными структурами доменов, адаптированными к таким странам, как Соединенные Штаты, Мексика и Аргентина.
Злоумышленники используют автоматизированное зеркалирование доменов для создания статических реплик легитимных сайтов, используя JavaScript для вставки динамических функций.
Многие домены заранее регистрируются перед турниром и быстро активируются, часто будучи менее месяца от момента регистрации.
Мошеннические кампании используют различные структуры онлайн-платежей, используя легитимные шлюзы для повышения доверия к транзакциям.
Процессы оформления заказа систематичны, часто используют стандартные платформы электронной коммерции такие, как WooCommerce, без индивидуальной разработки.
Правдоподобные стратегии продвижения, включая скромные скидки и сигналы доверия, используются для привлечения ничего не подозревающих пользователей.
Монетизация трафика используется для перенаправления жертв на легитимные букмекерские платформы через фиктивные спонсорства, обманывая пользователей, заставляя доверять неавторизованным организациям.
Некоторые кампании включили в себя транзакции с криптовалютой, нацеливаясь на технически подкованную аудиторию для анонимности.
Эти кампании демонстрируют адаптивность в разных регионах и на различных платформах, используя возбуждение, связанное с событиями, для расширения угроза.
#ParsedReport #CompletenessMedium
20-07-2026
JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models
https://webflow.sysdig.com/blog/jadepuffer-evolves-the-agentic-threat-actor-deploys-ransomware-built-to-destroy-ai-models
Report completeness: Medium
Actors/Campaigns:
Jadepuffer (motivation: financially_motivated)
Threats:
Credential_harvesting_technique
Encforge
Onnx_store_tool
Lockbit
Shadow_copies_delete_technique
Homoglyph_technique
Victims:
Artificial intelligence and machine learning infrastructure, Langflow deployments, Vector databases, Training datasets, Model assets
Geo:
Netherlands
CVEs:
CVE-2025-3248 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- langflow (<1.3.0)
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027.002, T1033, T1046, T1059.004, T1059.006, T1078, T1082, T1083, T1105, T1140, have more...
IOCs:
Email: 1
File: 16
Url: 2
Hash: 3
IP: 2
Soft:
Langflow, MySQL, Nacos, Docker, curl, HuggingFace, llama, macOS, bcdedit, outlook, have more...
Algorithms:
sha256, aes-256-ctr, aes-256, rsa-2048, base64
Functions:
AES_ENCRYPT, exec, RCE, exec_in_bigrun, get_host_pid, Engine
Win Services:
MSSQLSERVER
Languages:
cpython, python
Platforms:
apple, cross-platform
Links:
20-07-2026
JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models
https://webflow.sysdig.com/blog/jadepuffer-evolves-the-agentic-threat-actor-deploys-ransomware-built-to-destroy-ai-models
Report completeness: Medium
Actors/Campaigns:
Jadepuffer (motivation: financially_motivated)
Threats:
Credential_harvesting_technique
Encforge
Onnx_store_tool
Lockbit
Shadow_copies_delete_technique
Homoglyph_technique
Victims:
Artificial intelligence and machine learning infrastructure, Langflow deployments, Vector databases, Training datasets, Model assets
Geo:
Netherlands
CVEs:
CVE-2025-3248 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- langflow (<1.3.0)
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027.002, T1033, T1046, T1059.004, T1059.006, T1078, T1082, T1083, T1105, T1140, have more...
IOCs:
Email: 1
File: 16
Url: 2
Hash: 3
IP: 2
Soft:
Langflow, MySQL, Nacos, Docker, curl, HuggingFace, llama, macOS, bcdedit, outlook, have more...
Algorithms:
sha256, aes-256-ctr, aes-256, rsa-2048, base64
Functions:
AES_ENCRYPT, exec, RCE, exec_in_bigrun, get_host_pid, Engine
Win Services:
MSSQLSERVER
Languages:
cpython, python
Platforms:
apple, cross-platform
Links:
https://github.com/langflow-ai/langflowSysdig
JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models | Sysdig
JADEPUFFER, the agentic threat actor documented by the Sysdig Threat Research Team, is now using ransomware to destroy trained AI models.
CTT Report Hub
#ParsedReport #CompletenessMedium 20-07-2026 JADEPUFFER evolves: The agentic threat actor deploys ransomware built to destroy AI models https://webflow.sysdig.com/blog/jadepuffer-evolves-the-agentic-threat-actor-deploys-ransomware-built-to-destroy-ai-models…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
JADEPUFFER, сложный злоумышленник, нацеливается на инфраструктуры ИИ и машинного обучения с помощью специализированного программного обеспечения-вымогателя под названием ENCFORGE, которое необратимо уничтожает критически важные артефакты моделей ИИ и наборы данных. Точка входа группы осуществляется через CVE-2025-3248 в фреймворке Langflow, что позволяет выполнять произвольный код. ENCFORGE использует гибридный метод шифрования (AES-256 и RSA-2048) для оптимизации своего разрушительного процесса, специально разработанного для обхода вариантов восстановления и повышения скрытности в скомпрометированных системах.
-----
JADEPUFFER развил свои операции, развернув специализированный программный вирус-вымогатель, предназначенный для атаки на инфраструктуры ИИ и машинного обучения (ML). Этот программный вирус-вымогатель, названный ENCFORGE, был замечен в том, что он специально нацеливается на активы высокой стоимости, такие как обученные модели ИИ, векторные базы данных и соответствующие обучающие наборы данных, все из которых критически важны для операций машинного обучения в организации и значительно дороги для воспроизведения.
Начальная точка входа для JADEPUFFER происходит через уязвимость в фреймворке Langflow, а именно CVE-2025-3248, которая позволяет неаутентифицированному атакующему выполнять произвольный код на Python. Эта атака использует недостатки развертывания Langflow, которое часто содержит конфиденциальные учетные данные из-за его оркестрации подключенных сервисов. Оказавшись внутри системы, JADEPUFFER участвует в серии мероприятий после эксплуатации, включая сбор учетных данных и боковое перемещение внутри сети.
Вымогатель построен с уникальными возможностями, будучи скомпилированным бинарным файлом на Go, который выполняет разрушительный процесс шифрования, нацеливаясь на примерно 180 расширений файлов, связанных с различными форматами ML и AI, включая контрольные точки TensorFlow и файлы моделей PyTorch. В отличие от традиционных вымогателей, которые в первую очередь шифруют файлы для вымогательства, ENCFORGE сосредоточен на необратимом уничтожении данных, в частности артефактов моделей AI, что снижает вероятность восстановления с помощью стандартных процессов резервного копирования.
Используемый метод шифрования включает в себя гибрид алгоритмов AES-256 и RSA-2048, с акцентом на шифрование по регионам, а не по всей файлу, что повышает его оперативную эффективность, сохраняя при этом зловредный умысел. Примечательно, что подход JADEPUFFER схож с некоторыми операциями программ-вымогателей, однако он не демонстрирует типичные тактики двойного вымогательства, так как утечек данных или внешних соединений для оплаты выкупа не наблюдалось.
Техники JADEPUFFER демонстрируют глубокое понимание концепций кибербезопасности, используя такие методы, как использование Docker API для обхода контейнеров и уникальные практики кодирования, чтобы избежать обнаружения. Эта эволюция указывает на хорошо организованного актера угроз, способного создавать эффективный и целенаправленный программный вирус, специально адаптированный для AI-сред.
Для организаций, полагающихся на ИИ, это развитие существенно расш Rabb its threats landscape. Простое наличие открытой ИИ структуры может привести к серьезным последствиям, включая потенциальные потери в диапазоне от 75,000 до 500,000 долларов за каждую пострадавшую модель из-за затрат, связанных с повторным обучением и инженерией. В связи с этим бизнесам необходимо пересмотреть свои стратегии безопасности, чтобы включить защиту от этих специализированных угроз и рассмотреть возможность мониторинга на наличие необычной активности, такой как несанкционированный доступ к сокетам Docker или массовое переименование файлов, указывающее на деятельность программ-вымогателей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
JADEPUFFER, сложный злоумышленник, нацеливается на инфраструктуры ИИ и машинного обучения с помощью специализированного программного обеспечения-вымогателя под названием ENCFORGE, которое необратимо уничтожает критически важные артефакты моделей ИИ и наборы данных. Точка входа группы осуществляется через CVE-2025-3248 в фреймворке Langflow, что позволяет выполнять произвольный код. ENCFORGE использует гибридный метод шифрования (AES-256 и RSA-2048) для оптимизации своего разрушительного процесса, специально разработанного для обхода вариантов восстановления и повышения скрытности в скомпрометированных системах.
-----
JADEPUFFER развил свои операции, развернув специализированный программный вирус-вымогатель, предназначенный для атаки на инфраструктуры ИИ и машинного обучения (ML). Этот программный вирус-вымогатель, названный ENCFORGE, был замечен в том, что он специально нацеливается на активы высокой стоимости, такие как обученные модели ИИ, векторные базы данных и соответствующие обучающие наборы данных, все из которых критически важны для операций машинного обучения в организации и значительно дороги для воспроизведения.
Начальная точка входа для JADEPUFFER происходит через уязвимость в фреймворке Langflow, а именно CVE-2025-3248, которая позволяет неаутентифицированному атакующему выполнять произвольный код на Python. Эта атака использует недостатки развертывания Langflow, которое часто содержит конфиденциальные учетные данные из-за его оркестрации подключенных сервисов. Оказавшись внутри системы, JADEPUFFER участвует в серии мероприятий после эксплуатации, включая сбор учетных данных и боковое перемещение внутри сети.
Вымогатель построен с уникальными возможностями, будучи скомпилированным бинарным файлом на Go, который выполняет разрушительный процесс шифрования, нацеливаясь на примерно 180 расширений файлов, связанных с различными форматами ML и AI, включая контрольные точки TensorFlow и файлы моделей PyTorch. В отличие от традиционных вымогателей, которые в первую очередь шифруют файлы для вымогательства, ENCFORGE сосредоточен на необратимом уничтожении данных, в частности артефактов моделей AI, что снижает вероятность восстановления с помощью стандартных процессов резервного копирования.
Используемый метод шифрования включает в себя гибрид алгоритмов AES-256 и RSA-2048, с акцентом на шифрование по регионам, а не по всей файлу, что повышает его оперативную эффективность, сохраняя при этом зловредный умысел. Примечательно, что подход JADEPUFFER схож с некоторыми операциями программ-вымогателей, однако он не демонстрирует типичные тактики двойного вымогательства, так как утечек данных или внешних соединений для оплаты выкупа не наблюдалось.
Техники JADEPUFFER демонстрируют глубокое понимание концепций кибербезопасности, используя такие методы, как использование Docker API для обхода контейнеров и уникальные практики кодирования, чтобы избежать обнаружения. Эта эволюция указывает на хорошо организованного актера угроз, способного создавать эффективный и целенаправленный программный вирус, специально адаптированный для AI-сред.
Для организаций, полагающихся на ИИ, это развитие существенно расш Rabb its threats landscape. Простое наличие открытой ИИ структуры может привести к серьезным последствиям, включая потенциальные потери в диапазоне от 75,000 до 500,000 долларов за каждую пострадавшую модель из-за затрат, связанных с повторным обучением и инженерией. В связи с этим бизнесам необходимо пересмотреть свои стратегии безопасности, чтобы включить защиту от этих специализированных угроз и рассмотреть возможность мониторинга на наличие необычной активности, такой как несанкционированный доступ к сокетам Docker или массовое переименование файлов, указывающее на деятельность программ-вымогателей.
#ParsedReport #CompletenessHigh
20-07-2026
Unpacking “Cruciferra”: An Analysis of a Sophisticated Crypter Service
https://www.proofpoint.com/us/blog/threat-insight/unpacking-cruciferra-analysis-sophisticated-crypter-service
Report completeness: High
Actors/Campaigns:
Ta4922 (motivation: financially_motivated)
Threats:
Cruciferra
Process_ghosting_technique
Byovd_technique
Phantom_stealer
Quasar_rat
Agent_tesla
Asyncrat
Formbook
Xworm_rat
Remcos_rat
Adaptixc2_tool
Dll_sideloading_technique
Junk_code_technique
Process_manipulation_technique
Iat_hooking_technique
Dcrat
Darkcloud
Snake_keylogger
Valleyrat
Winos
Victims:
Financial services, Healthcare, Government, Hospitality, Travel, India, United states
Industry:
Healthcare, Entertainment, Government
Geo:
India
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1027.016, T1055, T1057, T1059.001, T1070.004, T1082, T1105, T1106, T1112, have more...
IOCs:
File: 3
Url: 36
Domain: 2
IP: 1
Hash: 14
Soft:
Windows Defender
Algorithms:
sha256, zip, prng
Win API:
EnumWindows, DeviceIOControl, NtProtectVirtualMemory, NtCreateSection, NtMapViewOfSection, NtCreateTransaction, NtRollbackTransaction, NtOpenKey, NtSetValueKey, NtClose, have more...
Languages:
powershell
20-07-2026
Unpacking “Cruciferra”: An Analysis of a Sophisticated Crypter Service
https://www.proofpoint.com/us/blog/threat-insight/unpacking-cruciferra-analysis-sophisticated-crypter-service
Report completeness: High
Actors/Campaigns:
Ta4922 (motivation: financially_motivated)
Threats:
Cruciferra
Process_ghosting_technique
Byovd_technique
Phantom_stealer
Quasar_rat
Agent_tesla
Asyncrat
Formbook
Xworm_rat
Remcos_rat
Adaptixc2_tool
Dll_sideloading_technique
Junk_code_technique
Process_manipulation_technique
Iat_hooking_technique
Dcrat
Darkcloud
Snake_keylogger
Valleyrat
Winos
Victims:
Financial services, Healthcare, Government, Hospitality, Travel, India, United states
Industry:
Healthcare, Entertainment, Government
Geo:
India
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1027.016, T1055, T1057, T1059.001, T1070.004, T1082, T1105, T1106, T1112, have more...
IOCs:
File: 3
Url: 36
Domain: 2
IP: 1
Hash: 14
Soft:
Windows Defender
Algorithms:
sha256, zip, prng
Win API:
EnumWindows, DeviceIOControl, NtProtectVirtualMemory, NtCreateSection, NtMapViewOfSection, NtCreateTransaction, NtRollbackTransaction, NtOpenKey, NtSetValueKey, NtClose, have more...
Languages:
powershell
Proofpoint
Unpacking “Cruciferra”: An Analysis of a Sophisticated Crypter Service | Proofpoint US
Key Findings Cruciferra is a sophisticated crypter service used by multiple unrelated cybercriminal threat clusters. It has been observed delivering a wide range of
CTT Report Hub
#ParsedReport #CompletenessHigh 20-07-2026 Unpacking “Cruciferra”: An Analysis of a Sophisticated Crypter Service https://www.proofpoint.com/us/blog/threat-insight/unpacking-cruciferra-analysis-sophisticated-crypter-service Report completeness: High A…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Cruciferra — это служба криптации, используемая различными киберпреступными группами для доставки вредоносного ПО, в первую очередь RAT и инфостиллеров, использующая продвинутые техники уклонения от защиты. Она использует более 90 криптографических вариаций для обфускации полезной нагрузки и включает такие методы, как отключение API, BYOVD и DLL side-loading, чтобы повысить скрытность и затруднить обнаружение. Недавние кампании, включая кампании группы TA4922, нацеливались на сектора, такие как финансовые услуги, используя социальную инженерию для доставки полезной нагрузки, при этом используя динамическое шифрование для усложнения анализа.
-----
Cruciferra является сложным сервисом шифрования, используемым различными киберпреступными группами для доставки вредоносного ПО, в первую очередь RAT и инфостилеров.
Он использует более 90 различных криптографических вариаций для эффективного сокрытия своих полезных нагрузок.
Cruciferra использует несколько техник уклонения, включая косвенные системные вызовы и методы удаления хуков для API и таблицы адресов импорта (IAT).
Он использует технологии Bring-Your-Own-Vulnerable-Driver (BYOVD) для вмешательства в решения EDR.
Криптер скрывает окна консоли и изменяет ключи реестра, чтобы отключить уведомления пользователей.
Развертывание включает механизм побочного загрузки DLL, обеспечивая, что целевая система не является песочницей перед выполнением вредоносного ПО.
Cruciferra предлагает уникальные и кастомизированные алгоритмы для защиты полезной нагрузки, усложняя статический анализ.
Модульный дизайн Cruciferra способствует значительным различиям между различными образцами вредоносного ПО.
Угроза актера TA4922, группы, говорящей на китайском, использовала Cruciferra для доставки AsyncRAT с помощью тактик социальной инженерии.
Техники уклонения Cruciferra включают в себя отвязывание функций Windows API и мониторинг дерева процессов для скрытия консольных процессов.
Он отключает EDR, используя уязвимые драйверы для выполнения команд завершения процессов низкого уровня.
Малварь также использует динамическую сборку шифрования полезной нагрузки, применяя различные алгоритмы для уменьшения обнаруживаемости.
Cruciferra позволяет вредоносному коду работать из памяти, не оставляя следов на диске, что усложняет судебный анализ.
Сервис представляет собой эволюцию в доставке вредоносного ПО в экосистеме вредоносного ПО как услуги.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Cruciferra — это служба криптации, используемая различными киберпреступными группами для доставки вредоносного ПО, в первую очередь RAT и инфостиллеров, использующая продвинутые техники уклонения от защиты. Она использует более 90 криптографических вариаций для обфускации полезной нагрузки и включает такие методы, как отключение API, BYOVD и DLL side-loading, чтобы повысить скрытность и затруднить обнаружение. Недавние кампании, включая кампании группы TA4922, нацеливались на сектора, такие как финансовые услуги, используя социальную инженерию для доставки полезной нагрузки, при этом используя динамическое шифрование для усложнения анализа.
-----
Cruciferra является сложным сервисом шифрования, используемым различными киберпреступными группами для доставки вредоносного ПО, в первую очередь RAT и инфостилеров.
Он использует более 90 различных криптографических вариаций для эффективного сокрытия своих полезных нагрузок.
Cruciferra использует несколько техник уклонения, включая косвенные системные вызовы и методы удаления хуков для API и таблицы адресов импорта (IAT).
Он использует технологии Bring-Your-Own-Vulnerable-Driver (BYOVD) для вмешательства в решения EDR.
Криптер скрывает окна консоли и изменяет ключи реестра, чтобы отключить уведомления пользователей.
Развертывание включает механизм побочного загрузки DLL, обеспечивая, что целевая система не является песочницей перед выполнением вредоносного ПО.
Cruciferra предлагает уникальные и кастомизированные алгоритмы для защиты полезной нагрузки, усложняя статический анализ.
Модульный дизайн Cruciferra способствует значительным различиям между различными образцами вредоносного ПО.
Угроза актера TA4922, группы, говорящей на китайском, использовала Cruciferra для доставки AsyncRAT с помощью тактик социальной инженерии.
Техники уклонения Cruciferra включают в себя отвязывание функций Windows API и мониторинг дерева процессов для скрытия консольных процессов.
Он отключает EDR, используя уязвимые драйверы для выполнения команд завершения процессов низкого уровня.
Малварь также использует динамическую сборку шифрования полезной нагрузки, применяя различные алгоритмы для уменьшения обнаруживаемости.
Cruciferra позволяет вредоносному коду работать из памяти, не оставляя следов на диске, что усложняет судебный анализ.
Сервис представляет собой эволюцию в доставке вредоносного ПО в экосистеме вредоносного ПО как услуги.
#ParsedReport #CompletenessHigh
20-07-2026
From a Single Alert to 1,000 Files: Inside an Exposed WebDAV Malware Delivery Lab
https://www.rapid7.com/blog/post/tr-exposed-webdav-malware-delivery-lab-analysis
Report completeness: High
Actors/Campaigns:
Stealth_falcon
Threats:
Clickfix_technique
Right-to-left_override_technique
Iediagcmd_tool
Motw_bypass_technique
Putty_tool
Lolbin_technique
Bitsadmin_tool
Dlrtygames
Typosquatting_technique
Simba_tool
Process_injection_technique
Process_hollowing_technique
Dll_sideloading_technique
Purerat
Clickonce_tool
Lolbas_technique
Uac_bypass_technique
Homoglyph_technique
Steganography_technique
Victims:
Enterprise windows users, Users of the mexican national identity service
Industry:
Government, Financial
Geo:
Netherlands, United kingdom, Germany, Finland, United states, Brazil, Republic of korea, France, Mexican, Russian, Mexico
CVEs:
CVE-2025-24054 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.20947)
- microsoft windows_10_1607 (<10.0.14393.7876)
- microsoft windows_10_1809 (<10.0.17763.7009)
- microsoft windows_10_21h2 (<10.0.19044.5608)
- microsoft windows_10_22h2 (<10.0.19045.5608)
have more...
CVE-2025-33053 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.21034)
- microsoft windows_10_1607 (<10.0.14393.8148)
- microsoft windows_10_1809 (<10.0.17763.7434)
- microsoft windows_10_21h2 (<10.0.19044.5965)
- microsoft windows_10_22h2 (<10.0.19045.5965)
have more...
CVE-2026-21513 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1607 (<10.0.14393.8868)
- microsoft windows_10_1809 (<10.0.17763.8389)
- microsoft windows_10_21h2 (<10.0.19044.6937)
- microsoft windows_10_22h2 (<10.0.19045.6937)
- microsoft windows_11_23h2 (<10.0.22631.6649)
have more...
TTPs:
Tactics: 8
Technics: 27
IOCs:
File: 63
Domain: 3
IP: 3
Url: 1
Hash: 6
Soft:
Windows Explorer, Windows NTLM, Internet Explorer, Microsoft Edge, Chrome, cPanel, Telegram, Foxmail, NET FRAMEWORK
Wallets:
coinbase, exodus_wallet, electrum
Crypto:
bitcoin, monero
Algorithms:
sha256, gzip, aes
Functions:
Get-HotFix, OR
Win API:
IsDebuggerPresent, MessageBox, T0052, TA0003, T0016, T0017, T0065
Win Services:
WebClient
Languages:
delphi, powershell, javascript
Platforms:
x86
Links:
have more...
20-07-2026
From a Single Alert to 1,000 Files: Inside an Exposed WebDAV Malware Delivery Lab
https://www.rapid7.com/blog/post/tr-exposed-webdav-malware-delivery-lab-analysis
Report completeness: High
Actors/Campaigns:
Stealth_falcon
Threats:
Clickfix_technique
Right-to-left_override_technique
Iediagcmd_tool
Motw_bypass_technique
Putty_tool
Lolbin_technique
Bitsadmin_tool
Dlrtygames
Typosquatting_technique
Simba_tool
Process_injection_technique
Process_hollowing_technique
Dll_sideloading_technique
Purerat
Clickonce_tool
Lolbas_technique
Uac_bypass_technique
Homoglyph_technique
Steganography_technique
Victims:
Enterprise windows users, Users of the mexican national identity service
Industry:
Government, Financial
Geo:
Netherlands, United kingdom, Germany, Finland, United states, Brazil, Republic of korea, France, Mexican, Russian, Mexico
CVEs:
CVE-2025-24054 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.20947)
- microsoft windows_10_1607 (<10.0.14393.7876)
- microsoft windows_10_1809 (<10.0.17763.7009)
- microsoft windows_10_21h2 (<10.0.19044.5608)
- microsoft windows_10_22h2 (<10.0.19045.5608)
have more...
CVE-2025-33053 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.21034)
- microsoft windows_10_1607 (<10.0.14393.8148)
- microsoft windows_10_1809 (<10.0.17763.7434)
- microsoft windows_10_21h2 (<10.0.19044.5965)
- microsoft windows_10_22h2 (<10.0.19045.5965)
have more...
CVE-2026-21513 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1607 (<10.0.14393.8868)
- microsoft windows_10_1809 (<10.0.17763.8389)
- microsoft windows_10_21h2 (<10.0.19044.6937)
- microsoft windows_10_22h2 (<10.0.19045.6937)
- microsoft windows_11_23h2 (<10.0.22631.6649)
have more...
TTPs:
Tactics: 8
Technics: 27
IOCs:
File: 63
Domain: 3
IP: 3
Url: 1
Hash: 6
Soft:
Windows Explorer, Windows NTLM, Internet Explorer, Microsoft Edge, Chrome, cPanel, Telegram, Foxmail, NET FRAMEWORK
Wallets:
coinbase, exodus_wallet, electrum
Crypto:
bitcoin, monero
Algorithms:
sha256, gzip, aes
Functions:
Get-HotFix, OR
Win API:
IsDebuggerPresent, MessageBox, T0052, TA0003, T0016, T0017, T0065
Win Services:
WebClient
Languages:
delphi, powershell, javascript
Platforms:
x86
Links:
https://github.com/Akash-nath29/Coderrrhave more...
https://github.com/rapid7/Rapid7-Labs/tree/main/IOCs/Simba%20PanelRapid7
Inside an Exposed Malware Delivery Lab: OPSEC Failures Behind a WebDAV Phishing Operation
An MDR alert recently led the Rapid7 team to an exposed server acting as a fully operational malware delivery lab. The exposed infrastructure showed how the operator tested delivery paths, packaged lures, staged payloads, and monitored delivery activity –…
CTT Report Hub
#ParsedReport #CompletenessHigh 20-07-2026 From a Single Alert to 1,000 Files: Inside an Exposed WebDAV Malware Delivery Lab https://www.rapid7.com/blog/post/tr-exposed-webdav-malware-delivery-lab-analysis Report completeness: High Actors/Campaigns: Stealth_falcon…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Открытый сервер раскрыл лабораторию доставки вредоносного ПО с более чем 1,000 артефактов для тестирования и выполнения различных вредоносных загрузок, подчеркивая тактики социальной инженерии и структурированную документацию со стороны атакующих. Особенно стоит отметить, что тестирование использует уязвимость CVE-2025-33053, что позволяет захватывать рабочую директорию для выполнения загрузок из компрометированной WebDAV-шары без срабатывания систем безопасности. Две ключевые кампании включали фишинг на тему CURP с безфайловым кражей информации и метод подгрузки DLL, который вел к Трояну доступа с возможностью регистрации нажатий клавиш и эксфильтрации данных.
-----
Недавно обнаруженный с помощью MDR-уведомления открытый сервер был идентифицирован как комплексная лаборатория доставки вредоносного ПО, продемонстрировавшая более 1,000 артефактов, связанных с тестированием и выполнением различных вредоносных нагрузок. Эта инфраструктура позволила злоумышленникам исследовать стратегии социальной инженерии, методы доставки и техники выполнения вредоносного ПО. С учетом полученных из этого открытия данных меры безопасности могут быть проактивно усилены.
Каталог сервера раскрывал организованный контент, который включал в себя массово сгенерированные уловки социальной инженерии, скрипты инициализации WebDAV и механизмы выполнения для различных полезных нагрузок. Нападающие тщательно документировали свои процессы, используя генеративный ИИ для создания структурированных файлов README, что повышало эффективность в генерации уловок и совершенствовании доставки вредоносного ПО.
Примечательно, что тестовый комплект сосредоточился на эксплуатации CVE-2025-33053, уязвимости, связанной с захватом рабочего каталога. Он использовал файл ярлыка .url для выполнения Windows-двойника iediagcmd.exe, перенаправляя его рабочий каталог на WebDAV-долю, контролируемую злоумышленником. Эта манипуляция позволила выполнять файлы из WebDAV-доли без генерации предупреждений о безопасности, что подкреплялось подробной документацией от злоумышленников.
Атаки в основном сосредоточились на темах социальной инженерии, таких как подделка счетов и политик конфиденциальности. Зловредные документы имитировали безопасные форматы, такие как PDF или файлы Office, чтобы обмануть корпоративных пользователей на выполнение встроенных полезных нагрузок. Инфраструктура явно использовала HTML-приманки ClickFix, предназначенные для введения жертв в заблуждение относительно выполнения команд, которые обращались обратно к ресурсам злоумышленника.
В терминах выполнения полезной нагрузки, раскрытая инфраструктура, связанная с конкретными кампаниями, выявила два отдельных случая. Первый касался фишинг-атаки на тему CURP в Мексике, где вредоносный JavaScript инициировал загрузку замаскированного исполняемого файла. Этот исполняемый файл использовал методы скрытности, в конечном итоге работая как безфайловый кражи данных, нацеливающийся на чувствительную информацию, такую как активы криптовалюты.
Во втором случае использовалась стратегия подгрузки DLL, при которой первоначальный безвредный исполняемый файл загружал троянскую DLL, в конечном итоге приводя к развертыванию Remote Access Trojan (RAT) с использованием продвинутых техник, таких как процессный холлоуинг. Этот вредоносный код продемонстрировал возможности для кейлоггинга и эксфильтрации данных, нацеливаясь на финансовую информацию и учетные данные.
Неудача в операционной безопасности сервера предоставила редкую возможность заглянуть в процесс доставки вредоносного ПО от начала до конца, что стало значительным преимуществом для защитников, которые теперь могут наблюдать и анализировать техники и стратегии, используемые атакующими. Быстрая итерация разработки заманушек и полезной нагрузки, облегченная использованием генеративного ИИ, подчеркнула развивающийся характер киберугроз, где атакующие могут прототипировать и расширять свои операции с беспрецедентной скоростью и сложностью.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Открытый сервер раскрыл лабораторию доставки вредоносного ПО с более чем 1,000 артефактов для тестирования и выполнения различных вредоносных загрузок, подчеркивая тактики социальной инженерии и структурированную документацию со стороны атакующих. Особенно стоит отметить, что тестирование использует уязвимость CVE-2025-33053, что позволяет захватывать рабочую директорию для выполнения загрузок из компрометированной WebDAV-шары без срабатывания систем безопасности. Две ключевые кампании включали фишинг на тему CURP с безфайловым кражей информации и метод подгрузки DLL, который вел к Трояну доступа с возможностью регистрации нажатий клавиш и эксфильтрации данных.
-----
Недавно обнаруженный с помощью MDR-уведомления открытый сервер был идентифицирован как комплексная лаборатория доставки вредоносного ПО, продемонстрировавшая более 1,000 артефактов, связанных с тестированием и выполнением различных вредоносных нагрузок. Эта инфраструктура позволила злоумышленникам исследовать стратегии социальной инженерии, методы доставки и техники выполнения вредоносного ПО. С учетом полученных из этого открытия данных меры безопасности могут быть проактивно усилены.
Каталог сервера раскрывал организованный контент, который включал в себя массово сгенерированные уловки социальной инженерии, скрипты инициализации WebDAV и механизмы выполнения для различных полезных нагрузок. Нападающие тщательно документировали свои процессы, используя генеративный ИИ для создания структурированных файлов README, что повышало эффективность в генерации уловок и совершенствовании доставки вредоносного ПО.
Примечательно, что тестовый комплект сосредоточился на эксплуатации CVE-2025-33053, уязвимости, связанной с захватом рабочего каталога. Он использовал файл ярлыка .url для выполнения Windows-двойника iediagcmd.exe, перенаправляя его рабочий каталог на WebDAV-долю, контролируемую злоумышленником. Эта манипуляция позволила выполнять файлы из WebDAV-доли без генерации предупреждений о безопасности, что подкреплялось подробной документацией от злоумышленников.
Атаки в основном сосредоточились на темах социальной инженерии, таких как подделка счетов и политик конфиденциальности. Зловредные документы имитировали безопасные форматы, такие как PDF или файлы Office, чтобы обмануть корпоративных пользователей на выполнение встроенных полезных нагрузок. Инфраструктура явно использовала HTML-приманки ClickFix, предназначенные для введения жертв в заблуждение относительно выполнения команд, которые обращались обратно к ресурсам злоумышленника.
В терминах выполнения полезной нагрузки, раскрытая инфраструктура, связанная с конкретными кампаниями, выявила два отдельных случая. Первый касался фишинг-атаки на тему CURP в Мексике, где вредоносный JavaScript инициировал загрузку замаскированного исполняемого файла. Этот исполняемый файл использовал методы скрытности, в конечном итоге работая как безфайловый кражи данных, нацеливающийся на чувствительную информацию, такую как активы криптовалюты.
Во втором случае использовалась стратегия подгрузки DLL, при которой первоначальный безвредный исполняемый файл загружал троянскую DLL, в конечном итоге приводя к развертыванию Remote Access Trojan (RAT) с использованием продвинутых техник, таких как процессный холлоуинг. Этот вредоносный код продемонстрировал возможности для кейлоггинга и эксфильтрации данных, нацеливаясь на финансовую информацию и учетные данные.
Неудача в операционной безопасности сервера предоставила редкую возможность заглянуть в процесс доставки вредоносного ПО от начала до конца, что стало значительным преимуществом для защитников, которые теперь могут наблюдать и анализировать техники и стратегии, используемые атакующими. Быстрая итерация разработки заманушек и полезной нагрузки, облегченная использованием генеративного ИИ, подчеркнула развивающийся характер киберугроз, где атакующие могут прототипировать и расширять свои операции с беспрецедентной скоростью и сложностью.
#ParsedReport #CompletenessHigh
20-07-2026
Open Directory Stages NGINX Rift and Ghost CMS Exploits Against Government and Finance Across Eleven Countries
https://hunt.io/blog/open-directory-nginx-rift-ghost-cms-multi-cve
Report completeness: High
Threats:
Adaptixc2_tool
Supershell
Nginx_rift_vuln
Clickfix_technique
Impacket_tool
Goby_tool
Victims:
Government, Universities, Healthcare, Financial services, Academic, Private sector
Industry:
Healthcare, Government, Financial, Education
Geo:
Indonesia, United states, France, Vietnam, Chinese, Singapore, Italy, Australia, New zealand, United kingdom, Brazil, South korea, Ireland
CVEs:
CVE-2026-42945 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- f5 dos (le4.7.0, 4.8.0)
- f5 nginx_gateway_fabric (le1.6.2, le2.5.1)
- f5 nginx_ingress_controller (le3.7.2, le4.0.1, le5.4.1)
- f5 nginx_instance_manager (le2.21.1)
- f5 nginx_open_source (le1.30.0)
have more...
CVE-2024-3273 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)
CVE-2026-20253 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- splunk (<10.0.7, <10.2.4)
CVE-2026-4480 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- redhat openshift_container_platform (4.0)
- samba (<4.2.1)
- redhat enterprise_linux (7.0, 8.0, 9.0, 10.0)
CVE-2017-10271 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- oracle weblogic_server (10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0, 12.2.1.2.0)
CVE-2023-27350 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- papercut papercut_mf (<20.1.7, <21.2.11, <22.0.9)
- papercut papercut_ng (<20.1.7, <21.2.11, <22.0.9)
CVE-2026-26980 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ghost (<6.19.1)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1190, T1583.001, T1583.003, T1588.002, T1588.005, T1595.002
IOCs:
IP: 2
File: 4
Hash: 1
Domain: 4
Soft:
NGINX, PaperCut, WebLogic, mysql, GoDaddy
Algorithms:
sha256
Functions:
system
Win Services:
print-spooler
Languages:
python, javascript, golang
Links:
20-07-2026
Open Directory Stages NGINX Rift and Ghost CMS Exploits Against Government and Finance Across Eleven Countries
https://hunt.io/blog/open-directory-nginx-rift-ghost-cms-multi-cve
Report completeness: High
Threats:
Adaptixc2_tool
Supershell
Nginx_rift_vuln
Clickfix_technique
Impacket_tool
Goby_tool
Victims:
Government, Universities, Healthcare, Financial services, Academic, Private sector
Industry:
Healthcare, Government, Financial, Education
Geo:
Indonesia, United states, France, Vietnam, Chinese, Singapore, Italy, Australia, New zealand, United kingdom, Brazil, South korea, Ireland
CVEs:
CVE-2026-42945 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- f5 dos (le4.7.0, 4.8.0)
- f5 nginx_gateway_fabric (le1.6.2, le2.5.1)
- f5 nginx_ingress_controller (le3.7.2, le4.0.1, le5.4.1)
- f5 nginx_instance_manager (le2.21.1)
- f5 nginx_open_source (le1.30.0)
have more...
CVE-2024-3273 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)
CVE-2026-20253 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- splunk (<10.0.7, <10.2.4)
CVE-2026-4480 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- redhat openshift_container_platform (4.0)
- samba (<4.2.1)
- redhat enterprise_linux (7.0, 8.0, 9.0, 10.0)
CVE-2017-10271 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- oracle weblogic_server (10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0, 12.2.1.2.0)
CVE-2023-27350 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- papercut papercut_mf (<20.1.7, <21.2.11, <22.0.9)
- papercut papercut_ng (<20.1.7, <21.2.11, <22.0.9)
CVE-2026-26980 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ghost (<6.19.1)
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1190, T1583.001, T1583.003, T1588.002, T1588.005, T1595.002
IOCs:
IP: 2
File: 4
Hash: 1
Domain: 4
Soft:
NGINX, PaperCut, WebLogic, mysql, GoDaddy
Algorithms:
sha256
Functions:
system
Win Services:
print-spooler
Languages:
python, javascript, golang
Links:
https://github.com/advisories/GHSA-w52v-v783-gw97https://github.com/gobysec/Gobyhunt.io
Open Directory Stages NGINX Rift and Ghost CMS Exploits Against Government and Finance Across Eleven Countries
An exposed open directory reveals an operator staging NGINX Rift, Ghost CMS, and other recent CVEs against government and finance, using DNS callbacks to verify execution.
CTT Report Hub
#ParsedReport #CompletenessHigh 20-07-2026 Open Directory Stages NGINX Rift and Ghost CMS Exploits Against Government and Finance Across Eleven Countries https://hunt.io/blog/open-directory-nginx-rift-ghost-cms-multi-cve Report completeness: High Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В середине 2026 года были обнаружены уязвимости в NGINX (CVE-2026-42945) и Ghost CMS (CVE-2026-26980), которые позволили злоумышленникам наносить удары по государственным и финансовым учреждениям в одиннадцати странах. Были разработаны эксплойты, включая переполнение кучи в NGINX и слепую SQL-инъекцию в Ghost CMS, что облегчило несанкционированный доступ к базам данных. Инструменты угрозы включали эксплойты для других систем, что указывало на структурированный подход к извлечению данных и инфраструктуре управления и контроля, в первую очередь нацеливаясь на высокоценные объекты.
-----
В середине 2026 года были обнаружены значительные уязвимости в NGINX и Ghost CMS, что привело к потенциальным кибератакам, нацеленным на государственные и финансовые учреждения в одиннадцати странах. Две основные уязвимости включали NGINX Rift (CVE-2026-42945), переполнение кучи в модуле переписи NGINX, и слепую SQL-инъекцию в API контента Ghost CMS (CVE-2026-26980). Публичный код эксплуатации для обеих уязвимостей был опубликован вскоре после их обнаружения, что побудило злоумышленников разрабатывать и внедрять креативные методы для использования этих уязвимостей.
Открытая директория на активном VPS, расположенном в Сингапуре, раскрыла операционные детали киберугрозы, использующей эти уязвимости. Директория, содержащая различные эксплойты, включала инструменты для нескольких атакующих техник, включая настройку обратного шелла и отключенные (OOB) DNS-запросы для подтверждения выполнения вредоносного ПО. Целевые сектора указывали на стратегический подход, в основном сосредоточенный на высокоценных объектах, таких как федеральные правительства, образовательные учреждения, поставщики медицинских услуг и финансовые услуги.
Уязвимость NGINX Rift использовалась в целенаправленных попытках эксплуатации активной инфраструктуры. Скрипт эксплуатации (poc.py) полагался на конкретные адреса памяти и настройки, требующие низкого уровня безопасности, что указывало на стадию разработки, а не на прямое применение к активным целям. Исследования актора показали мало успеха в этих попытках.
С другой стороны, эксплойт Ghost CMS позволил атакующему взаимодействовать с базой данных без аутентификации, что упростило извлечение чувствительной информации. Запустив публичный эксплойт-скрипт, актор провел проверки для идентификации уязвимых хостов и впоследствии попытался извлечь данные. Последствия CVE-2026-26980 выходят за рамки этого единственного события, поскольку ранее они были связаны с более крупными кампаниями, нацеленными на массовую эксплуатацию.
Дополнительные эксплойты в инструменте включали в себя те, которые нацеливались на хорошо известные уязвимости в системах, таких как PaperCut, Oracle WebLogic и устройства D-Link NAS. Использование оператором методов верификации OOB, таких как перенаправление DNS-запросов на уникально сгенерированные подсайты, предоставило способ подтвердить успешное выполнение эксплойта, несмотря на потенциальную фильтрацию сетевых ответов.
Инфраструктура командования и управления включала присутствие широко известных фреймворков эксплуатации, таких как AdaptixC2 и Supershell, хотя эти инструменты не были напрямую связаны с каким-либо конкретным вторжением, зафиксированным в анализе. Выявленные операционные артефакты указывали на систематический подход к эксплуатации баз данных, а также на целенаправленность в отношении стран, включая Бразилию, Францию, Южную Корею и другие, в основном в секторах, обрабатывающих чувствительные данные.
Хотя конкретные результаты компрометации не были подтверждены в собранных доказательствах, эта деятельность иллюстрирует работу компетентного киберугрозового актера, использующего недавно обнаруженные уязвимости и старые, эффективные техники с осознанностью и точностью. Наличие этих эксплойтов и их целенаправленное использование подчеркивает необходимость повышенной бдительности и проактивных мер защиты в области кибербезопасности для смягчения аналогичных атак.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В середине 2026 года были обнаружены уязвимости в NGINX (CVE-2026-42945) и Ghost CMS (CVE-2026-26980), которые позволили злоумышленникам наносить удары по государственным и финансовым учреждениям в одиннадцати странах. Были разработаны эксплойты, включая переполнение кучи в NGINX и слепую SQL-инъекцию в Ghost CMS, что облегчило несанкционированный доступ к базам данных. Инструменты угрозы включали эксплойты для других систем, что указывало на структурированный подход к извлечению данных и инфраструктуре управления и контроля, в первую очередь нацеливаясь на высокоценные объекты.
-----
В середине 2026 года были обнаружены значительные уязвимости в NGINX и Ghost CMS, что привело к потенциальным кибератакам, нацеленным на государственные и финансовые учреждения в одиннадцати странах. Две основные уязвимости включали NGINX Rift (CVE-2026-42945), переполнение кучи в модуле переписи NGINX, и слепую SQL-инъекцию в API контента Ghost CMS (CVE-2026-26980). Публичный код эксплуатации для обеих уязвимостей был опубликован вскоре после их обнаружения, что побудило злоумышленников разрабатывать и внедрять креативные методы для использования этих уязвимостей.
Открытая директория на активном VPS, расположенном в Сингапуре, раскрыла операционные детали киберугрозы, использующей эти уязвимости. Директория, содержащая различные эксплойты, включала инструменты для нескольких атакующих техник, включая настройку обратного шелла и отключенные (OOB) DNS-запросы для подтверждения выполнения вредоносного ПО. Целевые сектора указывали на стратегический подход, в основном сосредоточенный на высокоценных объектах, таких как федеральные правительства, образовательные учреждения, поставщики медицинских услуг и финансовые услуги.
Уязвимость NGINX Rift использовалась в целенаправленных попытках эксплуатации активной инфраструктуры. Скрипт эксплуатации (poc.py) полагался на конкретные адреса памяти и настройки, требующие низкого уровня безопасности, что указывало на стадию разработки, а не на прямое применение к активным целям. Исследования актора показали мало успеха в этих попытках.
С другой стороны, эксплойт Ghost CMS позволил атакующему взаимодействовать с базой данных без аутентификации, что упростило извлечение чувствительной информации. Запустив публичный эксплойт-скрипт, актор провел проверки для идентификации уязвимых хостов и впоследствии попытался извлечь данные. Последствия CVE-2026-26980 выходят за рамки этого единственного события, поскольку ранее они были связаны с более крупными кампаниями, нацеленными на массовую эксплуатацию.
Дополнительные эксплойты в инструменте включали в себя те, которые нацеливались на хорошо известные уязвимости в системах, таких как PaperCut, Oracle WebLogic и устройства D-Link NAS. Использование оператором методов верификации OOB, таких как перенаправление DNS-запросов на уникально сгенерированные подсайты, предоставило способ подтвердить успешное выполнение эксплойта, несмотря на потенциальную фильтрацию сетевых ответов.
Инфраструктура командования и управления включала присутствие широко известных фреймворков эксплуатации, таких как AdaptixC2 и Supershell, хотя эти инструменты не были напрямую связаны с каким-либо конкретным вторжением, зафиксированным в анализе. Выявленные операционные артефакты указывали на систематический подход к эксплуатации баз данных, а также на целенаправленность в отношении стран, включая Бразилию, Францию, Южную Корею и другие, в основном в секторах, обрабатывающих чувствительные данные.
Хотя конкретные результаты компрометации не были подтверждены в собранных доказательствах, эта деятельность иллюстрирует работу компетентного киберугрозового актера, использующего недавно обнаруженные уязвимости и старые, эффективные техники с осознанностью и точностью. Наличие этих эксплойтов и их целенаправленное использование подчеркивает необходимость повышенной бдительности и проактивных мер защиты в области кибербезопасности для смягчения аналогичных атак.
#ParsedReport #CompletenessMedium
19-07-2026
WannaCry Ransomware: Infection, Impact, and Prevention
https://cyberint.com/blog/dark-web/wannacry-ransomware-infection-impact-and-prevention/
Report completeness: Medium
Threats:
Wannacry
Eternalblue_vuln
Shadow_brokers_tool
Supply_chain_technique
Victims:
Critical services, Individuals, Organizations, Microsoft windows systems, Computer users worldwide
Industry:
Education
Geo:
Chinese
TTPs:
Tactics: 8
Technics: 24
IOCs:
Hash: 50
Soft:
Windows Service
Crypto:
bitcoin
Algorithms:
sha256
19-07-2026
WannaCry Ransomware: Infection, Impact, and Prevention
https://cyberint.com/blog/dark-web/wannacry-ransomware-infection-impact-and-prevention/
Report completeness: Medium
Threats:
Wannacry
Eternalblue_vuln
Shadow_brokers_tool
Supply_chain_technique
Victims:
Critical services, Individuals, Organizations, Microsoft windows systems, Computer users worldwide
Industry:
Education
Geo:
Chinese
TTPs:
Tactics: 8
Technics: 24
IOCs:
Hash: 50
Soft:
Windows Service
Crypto:
bitcoin
Algorithms:
sha256
Cyberint
WannaCry Ransomware: Infection, Impact, and Prevention
Introduction to WannaCry Ransomware WannaCry, also known as WannaCrypt, is a notorious ransomware strain that gained global attention in May 2017 due to its widespread and damaging impact. It belongs to the category of malware known as ransomware, which encrypts…
#ParsedReport #CompletenessLow
20-07-2026
The New CloudAtlas from Cloud Atlas: Analyzing a Backdoor Written in Go
https://securelist.ru/cloudatlasgo-backdoor/116367/
Report completeness: Low
Actors/Campaigns:
Cloudatlas (motivation: information_theft)
Threats:
Cloudatlasgo
Vbshower_tool
Powershower_tool
Credential_harvesting_technique
Vbcloud_tool
Powercloud_tool
Netscan_tool
CVEs:
CVE-2018-0802 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)
- microsoft office_compatibility_pack (-)
- microsoft word (2007, 2010, 2013, 2016)
ChatGPT TTPs:
T1001, T1005, T1008, T1059, T1059.001, T1059.005, T1071.001, T1071.002, T1102.002, T1105, have more...
IOCs:
File: 6
Hash: 4
Soft:
WebRTC, Brotli
Algorithms:
base64, aes
Languages:
golang, powershell
20-07-2026
The New CloudAtlas from Cloud Atlas: Analyzing a Backdoor Written in Go
https://securelist.ru/cloudatlasgo-backdoor/116367/
Report completeness: Low
Actors/Campaigns:
Cloudatlas (motivation: information_theft)
Threats:
Cloudatlasgo
Vbshower_tool
Powershower_tool
Credential_harvesting_technique
Vbcloud_tool
Powercloud_tool
Netscan_tool
CVEs:
CVE-2018-0802 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)
- microsoft office_compatibility_pack (-)
- microsoft word (2007, 2010, 2013, 2016)
ChatGPT TTPs:
do not use without manual checkT1001, T1005, T1008, T1059, T1059.001, T1059.005, T1071.001, T1071.002, T1102.002, T1105, have more...
IOCs:
File: 6
Hash: 4
Soft:
WebRTC, Brotli
Algorithms:
base64, aes
Languages:
golang, powershell
Vulners Database
CVE-2018-0802 - vulnerability database | Vulners.com
CVE-2018-0802 is a Microsoft Office memory corruption/remote code execution vulnerability in the Equation Editor, triggered by crafted OLE/embedded objects in Office documents. Affected products include Office 2007, 2010, 2013, and 2016; the issue...