#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFake Interview, проводимая связанной с Северной Кореей группировкой Famous Chollima, использует обманные оценки навыков для развертывания RAT PylangGhost и GolangGhost, нацеленных на системы Windows и macOS. Жертв заманивают через поддельные предложения о работе в крипто-секторе и манипулируют для выполнения вредоносных команд с помощью специально созданных скриптов, которые загружают и запускают RAT. Оба полезного груза способны на сбор учетных записей и имеют модульную архитектуру для повышения скрытности и операционной эффективности, что подчеркивает значительную угрозу для безопасности организаций.
-----

Кампания ClickFake Interview, организованная угрожающим актором Famous Chollima, связанным с Северной Кореей, использует обманные оценки навыков для заманивания жертв и развертывания вредоносных загрузок, в частности RAT-программ PylangGhost и GolangGhost, нацеленных как на системы Windows, так и на macOS. Злоумышленники создают фиктивные компании или имитируют легитимные предприятия в секторе криптовалют, чтобы связаться с потенциальными жертвами через такие платформы Социальные сети, как LinkedIn. Убедив цели перспективой высоких зарплат, они приглашают их принять участие в фальшивой оценке навыков, которая предназначена для манипуляции жертвами с целью выполнения вредоносных команд.

Атака начинается с развертывания вредоносного программного обеспечения. Для систем Windows процесс включает загрузку ZIP-архива, содержащего VBS-скрипт; этот скрипт извлекает и запускает Python-обертку, которая загружает RAT PylangGhost в качестве динамического модуля. Вариант PylangGhost, значительно модифицированный для использования Nuitka для компиляции, поддерживает свою функциональность за счет шести взаимосвязанных Python-модулей, которые управляют оркестрацией, выполнением команд и взаимодействием с сервером управления (управление). Для macOS злоумышленники применяют аналогичный подход, изначально выполняя bash-скрипт, который загружает и настраивает RAT GolangGhost, имеющий соответствующую модульную структуру для работы.

Оба полезного груза обладают возможностями для сбора учетных записей и постоянного доступа к затронутым системам. Модуль PylangGhost интегрирует передовые методы выполнения команд, кражи данных и обфускации связи через зашифрованные каналы, в то время как вариант GolangGhost использует свою способность определять, работает ли он в виртуальной среде. Это критически важно для злоумышленников, чтобы предотвратить обнаружение и повысить уровень успешности атак.

При анализе инфраструктуры злоумышленники отдают предпочтение скорости и масштабу, используя множество доменов, преимущественно зарегистрированных через Hostinger и NameCheap. Они ставят операционную эффективность выше мер безопасности, что дополнительно усложняет усилия по обнаружению. Их модульный и уклончивый дизайн ВПО в сочетании с отточенными тактиками социальной инженерии подчеркивает постоянную угрозу, создаваемую этой группой, особенно в контексте нацеливания на сотрудников, участвующих в крипто-транзакциях. Эта кампания не только представляет риски для отдельных жертв, но и угрожает корпоративным активам из-за потенциальной возможности получения доступа к корпоративным ресурсам через эти методы проникновения.

#ParsedReport #CompletenessMedium
22-07-2026

Large-Scale GitHub Actions Abuse Powers a Distributed cPanel and WHM Exploitation Campaign

https://socket.dev/blog/github-actions-abuse-powers-cpanel-and-whm-exploitation

Report completeness: Medium

Threats:
Supply_chain_technique
Credential_harvesting_technique

Victims:
Github repositories, Packagist packages, Cpanel and whm systems, Web hosting, Software development

CVEs:
CVE-2026-41940 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cpanel (<86.0.41, <110.0.97, <118.0.63, <124.0.35, <126.0.54)


TTPs:
Tactics: 4
Technics: 12

IOCs:
IP: 2
Url: 7
Domain: 1
Hash: 1

Soft:
cPanel, Ubuntu, Linux, OpenAI, SendGrid, curl, Unix

Algorithms:
sha256

Languages:
php

Platforms:
amd64, arm, x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Появилась значительная киберугроза, связанная с эксплуатацией GitHub Actions для атаки на cPanel и WHM услуги со стороны скомпрометированного PHP-разработчика, связанного с экосистемой Packagist. Зловредные изменения в репозиториях развернули опасные рабочие процессы, которые выполняли команды через запущенные на GitHub runners, используя уязвимость CVE-2026-41940 для сбора учетных данных. Кампания затронула множество репозиториев, что позволило осуществить широкое использование без необходимости установки пакетов, подчеркивая системный подход к уязвимостям в цепочке поставок программного обеспечения.
-----

Недавнее расследование выявило значительную угрозу, связанную с использованием GitHub Actions для эксплуатации служб cPanel и WHM, возглавляемую скомпрометированным PHP разработчиком, связанным с экосистемой Packagist. С 12 по 13 июля 2026 года в репозиториях разработчика были внесены злонамеренные изменения кода, что привело к автоматической синхронизации злонамеренных версий разработки в десяти PHP пакетах. Каждая из этих версий содержала значительное количество вредоносных файлов рабочих процессов GitHub Actions — от 55 до 62 на пакет, всего 583 файла. Эти рабочие процессы активировались при пушах в репозитории или при ручном триггере, используя хостинг-раннеры GitHub для выполнения вредоносных рутин.

Атака использовала инфраструктуру командного и управляющего центра (C2) по IP-адресу 43.228.157.68, что позволяло злоумышленнику распространять полезные нагрузки для сканирования и эксплуатации Linux, специально нацеленные на системы, доступные в интернете, уязвимые к CVE-2026-41940. Эта уязвимость позволяет обойти аутентификацию в средах cPanel и WHM, где успешная эксплуатация может привести к утечке конфиденциальных данных, таких как учетные записи, конфигурационные файлы и токены Git с компрометированных серверов. Эти действия привели к обширному сбору учетных данных, при этом вредоносные рабочие процессы постоянно передавали собранные данные обратно на сервер C2 через HTTP POST запросы.

Критически важно, что эта кампания отличается от традиционных эксплоитов на основе пакетов, так как не требует установки пакетов для выполнения вредоносного кода, поскольку рабочие процессы оставались бездействующими внутри вложенных каталогов зависимостей. Вместо этого выполнение зависело исключительно от скомпрометированных действий репозитория GitHub, создавая распределенную инфраструктуру сканирования и эксплуатации, которая не вовлекала непосредственно системы конечных пользователей.

Дальнейший анализ указал на более широкий масштаб атаки, в ходе поиска уникальных идентификаторов, используемых в кампаниях, было выявлено примерно 6,100 файлов рабочих процессов, связанных с угрозой в нескольких не связанных репозиториях. Это категорически подтвердило, что инцидент не был изолированными уязвимостями одного держателя, а скорее иллюстрировало широкомасштабное компрометирование репозиториев GitHub, которые были использованы для широкого кражи учетных данных и потенциальной дальнейшей эксплуатации.

Архитектура полезной нагрузки включала цели для различных типов процессоров, что указывает на надежную инфраструктуру, способную работать на различных системах, что еще больше увеличивает угроза. Непрерывный сбор данных и устойчивая инфраструктура свидетельствует о систематическом подходе со стороны злоумышленника к эксплуатации уязвимостей программной цепочки поставок, в то время как основной вектор атаки оставался в GitHub Actions workflows, которые выступали в качестве скрытого механизма для выполнения полезной нагрузки и эксфильтрации чувствительной информации незаметно.

#ParsedReport #CompletenessMedium
22-07-2026

A New Awakening of Likho: The Awaken Likho Group Has Developed a backdoor for attacks on targets in Russia

https://securelist.ru/tr/novoe-probuzhdenie-liha-gruppa-awaken-likho-podgotovila-bekdor-dlya-atak-po-tselyam-v-rossii/116325/

Report completeness: Medium

Actors/Campaigns:
Awaken_likho (motivation: cyber_espionage)
Bloody_wolf

Threats:
Ultra_vnc_tool
Dropper.win32.autoit
Kryptik

Industry:
Government

Geo:
Russian, Belarus, Russia

TTPs:
Tactics: 1
Technics: 0

IOCs:
File: 13
Hash: 12
IP: 2
Domain: 2

Soft:
Google Chrome, WinHttp

Algorithms:
md5

Functions:
FileDelete

Languages:
autoit

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа Awaken Likho, APT-актер, изменила свои тактики с 2021 года, используя фишинговые письма на русском языке для целевой атаки на государственные организации в России и Беларуси. Они перешли от легитимных удаленных инструментов к собственному бэкдору AutoIt для коммуникации управления и контроля, демонстрируя развивающиеся возможности с имплантатами, такими как "supply standards for transport vehicles edited 2026.exe", который выполняет базовые функции, при этом потенциально служа загрузчиком для более сложного вредоносного ПО. Их методологии, включая целевой социальный инжиниринг и конкретные TTP, остаются последовательными с прошлыми действиями.
-----

Группа Awaken Likho, актор продвинутой постоянной угрозы (APT), также известная как Core Werewolf, проводит операции преимущественно против целей в России и Беларуси с как минимум 2021 года. Их модус операнди в основном включает в себя использование русского языка в фишинговых электронных письмах и техниках социальной инженерии для компрометации жертв, особенно государственных учреждений и подрядчиков. Недавно выявленные разработки указывают на значительную эволюцию в их наборе инструментов, особенно на появление заказного бэкдора, написанного на AutoIt, что отмечает переход от использования легитимных инструментов удалённого управления.

Фишинг по-прежнему является основным вектором для первоначального доступа, при этом злоумышленники используют социальную инженерию, чтобы заманить жертв к запуску вредоносных вложений. Группа ранее полагалась на широко известные удаленные инструменты, такие как UltraVNC, но в настоящее время все чаще переходит на решения, разработанные на заказ для своих атак, что отражает более широкую тенденцию среди групп APT к иновациям, а не полаганию на готовые решения.

Недавний мониторинг привел к обнаружению нескольких новых имплантов, связанных с Awaken Likho, характеризующихся русскоязычными названиями и демонстрирующих различные степени обфускации. Один конкретный пример включает имплант с названием "supply standards for transport vehicles edited 2026.exe," который при выполнении запускает скрипт интерпретатора AutoIt, содержащий фактическую заднюю дверь. Этот скрипт выполняет ряд действий, включая установление коммуникации командного и контрольного центра (C2), проверку наличия определенных файлов и выполнение команд, полученных от сервера C2, при этом используя минимальную обфускацию.

Функциональные возможности бекдора включают отправку списков файлов на сервер C2, создание каталогов для ловушечных файлов и выполнение команд в бесконечном цикле. Если присутствует обновление, скрипт пытается скачать и выполнить его, обеспечивая постоянство угрозы в инфраструктуре жертвы. Тем не менее, возможности этого бекдора остаются простыми, он больше служит легковесным загрузчиком для потенциально более сложных имплантов, которые еще предстоит развернуть.

Атрибуция злонамеренной активности к Awaken Likho поддерживается своеобразными тактиками, техниками и процедурами (TTP), согласующимися с их предыдущими кампаниями. Использование целевого фишинга, самоизвлекаемых архивов для доставки имплантов и развертывание инфраструктуры на арендованных VPS-серверах полностью соответствует историческим шаблонам группы.

#ParsedReport #CompletenessMedium
22-07-2026

Dolphin X Stealer Targets 300+ Apps and Profiles Users with AI

https://www.varonis.com/blog/dolphin-x-stealer

Report completeness: Medium

Threats:
Spamgpt_tool
Bluekit_tool
Hvnc_tool
Process_injection_technique

Victims:
Cryptocurrency wallets, Cloud environments, Devops environments, Personal accounts

TTPs:
Tactics: 1
Technics: 11

IOCs:
Domain: 2
File: 1
Hash: 1

Soft:
Twitter

Wallets:
metamask, exodus_wallet

Algorithms:
pbkdf2, sha256

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Dolphin X Stealer — это вредоносное ПО, которое нацелено на более чем 300 приложений, что позволяет ему собирать различные конфиденциальные данные, включая учетные данные криптовалютных кошельков и учетные данные DevOps. Оно функционирует как троянец для удаленного доступа (RAT), настраиваемый через настольный клиент, что позволяет злоумышленникам отправлять параметры для настройки без локальной компиляции. Внедрение искусственного интеллекта улучшает его способности к уклонению, что делает идентификацию через анализ поведения ключевым, так как оно может выполняться в нестандартных контекстах, увеличивая сложность обнаружения.
-----

Dolphin X Stealer — это сложный вредоносный ПО, который нацеливается на более чем 300 приложений, что позволяет ему собирать широкий спектр конфиденциальных данных, выходящих за пределы типичных паролей браузера. Его возможности распространяются на захват учетных данных криптовалютных кошельков, файлов .env, SSH-ключей, токенов облачных служб и различных DevOps-учетных данных, что делает его значительной угрозой как для личной, так и для корпоративной безопасности.

Малвари работает как троян удалённого доступа (RAT) и настраивается через клиент для рабочего стола, который упрощает подачу параметров, таких как адреса командного управления (C2), пути установки, механизмы сохранения и техники уклонения на сервер заднего плана для компиляции. Этот подход позволяет злоумышленникам настраивать малвари, не компилируя его на своих локальных системах, что повышает операционную безопасность.

Широкий спектр сбора данных Dolphin X вызывает особое беспокойство, потому что он может архивировать информацию из девяти различных браузеров, более 100 расширений для кошельков, 65 настольных кошельков, 10 менеджеров паролей и 30 инструментов командной строки, используемых в облачных средах. Этот обширный сбор данных означает, что вредоносное ПО может потенциально скомпрометировать как личные, так и рабочие учетные данные, что значительно увеличивает риски для жертв.

Важно отметить, что Dolphin X включает в себя искусственный интеллект в свою функциональность, что свидетельствует о растущей тенденции использования ИИ в инструментах киберпреступников. Эта интеграция увеличивает сложность обнаружения таких угроз, что подразумевает, что стратегии защиты должны придавать приоритет анализу поведения вместо простого полагания на сигнатуры файлов. Например, необычные паттерны выполнения, такие как запуск explorer.exe в нестандартных контекстах, могут служить индикаторами активных вредоносных сессий.

Чтобы снизить риски, связанные с Dolphin X, важно минимизировать хранение долгосрочных учетных данных на локальных системах и избегать их хранения в легко доступных директориях. Учитывая, что вредоносное ПО-крадун Dolphin X предназначено для сбора больших объемов данных за одну операцию, вся информация, хранящаяся локально, должна рассматриваться как потенциально скомпрометированная.

#ParsedReport #CompletenessMedium
22-07-2026

Abusing Trusted Business Workflows: A Multi-Stage Phantom Stealer Campaign

https://www.seqrite.com/blog/abusing-trusted-business-workflows-a-multi-stage-phantom-stealer-campaign/

Report completeness: Medium

Threats:
Phantom_stealer
Process_injection_technique
Spear-phishing_technique

Victims:
Logistics, Finance, Government, Procurement

Industry:
Government, Logistic, Financial, Transport

Geo:
Malaysian

TTPs:
Tactics: 8
Technics: 14

IOCs:
File: 6
Hash: 5

Soft:
Windows COM

Algorithms:
cbc, xor, zip, base64, aes

Win API:
Trojan

Languages:
javascript, powershell

#ParsedReport #ExtractedSchema

Classified images:
code: 8, table: 2, windows: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Наблюдаемая кампания киберугроз включает многоступенчатые фишинговые атаки, которые используют вредоносные файлы JavaScript в сжатых архивах, выдавая себя за доверенные организации, такие как UPS и налоговые органы, чтобы заманить жертвы. Инфекция начинается с загрузчика JavaScript, инициирующего запутанный скрипт PowerShell, что приводит к развертыванию Phantom Stealer v3.5.0, который извлекает конфиденциальную информацию из системы и эксфильтрует данные через SMTP. Поведение и сложность этого вредоносного ПО указывают на эволюцию тактики фишинга, которая использует доверие пользователей.
-----

Наблюдаемая кампания киберугроз включает многоступенчатые фишинговые атаки с использованием вредоносных файлов JavaScript, встроенных в сжатые архивные вложения. Эти кампании выдают себя за доверенные организации, такие как поставщик логистических услуг и налоговый орган правительства, чтобы заманить жертв к выполнению потенциально вредоносных файлов. Анализируемые электронные письма связаны с привычными бизнес-контекстами, одно из которых подражает уведомлениям о доставке от UPS, а другое выдает себя за запрос налоговой проверки от Внутреннего налогового управления Малайзии (LHDN). Оба фишинговых подхода концентрируются на срочности и знакомстве с доменом, чтобы убедить пользователей открыть вложения, несмотря на наличие доказательств использования переработанных шаблонов.

Цепочка заражения атаки начинается с выполнения вредоносного JavaScript файла, искусно замаскированного под бизнес-имена файлов. Этот JavaScript в основном функционирует как загрузчик, инициируя обфусцированный PowerShell скрипт, который осуществляет последующие этапы атаки в памяти, чтобы минимизировать обнаружение. Эта техника скрывает свое поведение до момента выполнения, усложняя статический анализ. Встроенная нагрузка, закодированная в формате Base64 и содержащая PowerShell скрипт, восстанавливается в процессе выполнения и запускает дальнейшие вредоносные нагрузки.

Последующие стадии атаки включают два варианта загрузчиков PowerShell. Первый загрузчик использует шифрование AES для своего полезного груза, в то время как второй приводит к основной угрозе, Phantom Stealer v3.5.0. Этот вредоносный код работает как инжектор в памяти, который собирает конфиденциальную информацию из зараженной системы, включая учетные данные, куки и финансовые данные из различных приложений. Процесс эксфильтрации использует сессию SMTP, где украденные данные отправляются в виде нескольких файлов на определенный адрес электронной почты, обеспечивая, чтобы коммуникация имитировала законный электронный трафик.

Методы сбора данных Phantom Stealer основаны на перечислении пользовательских профилей и установленных приложений, использованием закодированных учетных данных для аутентификации на SMTP-сервере и безопасной передаче данных с использованием шифрования TLS. Хотя эта кампания еще не была окончательно связана с конкретным злоумышленником, сложность организованной атаки подчеркивает эволюцию современных стратегий фишинга, с акцентом на доверие пользователей и скрытность.

Организациям рекомендуется усилить свои протоколы безопасности электронной почты, управлять политиками выполнения скриптов и отслеживать необычное поведение, связанное с использованием PowerShell и исходящим SMTP-трафиком, чтобы укрепить защиту от подобных угроз.

#ParsedReport #CompletenessHigh
22-07-2026

MuddyWater: ClickFix to Telegram & PatchAgent Backdoor

https://ransom-isac.com/blog/muddywater-clickfix-patchagent/

Report completeness: High

Actors/Campaigns:
Muddywater (motivation: cyber_espionage)

Threats:
Clickfix_technique
Patchagent
Process_hollowing_technique
Com_hijacking_technique
Putty_tool
Process_injection_technique
Lolbin_technique

Victims:
Government, Private sector, Telecommunications, Defence, Local government, Oil and gas, Middle east, Asia, Africa, Europe, have more...

Industry:
Telco, Government, Petroleum

Geo:
India, Iranian, Asia, Russian, Africa, Latin america, Egyptian, Netherlands, Russia, Iran, America, Middle east

TTPs:
Tactics: 5
Technics: 23

IOCs:
File: 20
IP: 12
Path: 9
Registry: 6
Hash: 39
Url: 16
Command: 3
Domain: 2

Soft:
Telegram, chrome

Algorithms:
base64, aes-256-cbc, sha256, sha1, aes-cbc, aes, xor, md5, cbc, hmac, bcrypt, aes-256

Functions:
getMe

Win API:
Zagros, DllRegisterServer, DllCanUnloadNow, DllGetClassObject, DllUnregisterServer, CreateProcessW, GetTempPathW, WriteFile, CreateFileW, DeleteFileW, have more...

Win Services:
WebClient

Languages:
javascript, python, powershell

Platforms:
amd64, x64

Links:
https://github.com/Ransom-ISAC-Org/LOCKSTAR/blob/main/MuddyWater%20PatchAgent/readme.md

#ParsedReport #ExtractedSchema

Classified images:
table: 5, windows: 6, code: 10, schema: 4, dump: 5

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
MuddyWater, группа кибершпионажа, связанная с Ираном, использует сложный многоэтапный метод доставки вредоносного ПО с помощью трехэтапного загрузчика под названием PatchAgent. Атака использует `regsvr32` для выполнения COM-дропера, развертывая бэкдор C2, который связывается с выделенным сервером по обычному HTTP. Финальный полезный груз, 20 000-байтовый x64 шеллкод, выполняет такие задачи, как выполнение PowerShell и Внедрение в пустой процесс на `notepad.exe`, используя шифрование AES-256-CBC и структурированный API C2 для удаленного выполнения команд.
-----

Анализ сосредоточен на сложном многоэтапном методе доставки вредоносного ПО, приписываемом группе кибершпионажа MuddyWater, использующем трехэтапную цепочку загрузчика, названную PatchAgent. Этот механизм атаки, доставляемый через вектор ClickFix, использует regsvr32 для выполнения COM-дроппера, что приводит к развертыванию вредоносных загрузок. Первый этап включает выполнение `cloud.dll`, который выгружает второй этап: `wuaupdt.exe`, а также зашифрованную загрузку, хранящуюся в `wuaupdt.dat`. Шифрование использует контейнер PTCH v2, применяя дешифрование AES-256-CBC и HMAC-SHA256 для проверки целостности загрузки, обеспечивая выполнение только аутентифицированных команд.

Расшифрованный третий этап доставляет бэкдор управления (C2), который взаимодействует с заранее определёнными серверами, в первую очередь с 46.30.188.99 по протоколу HTTP. Этот финальный полезный груз — конкретно 20 000-байтовый x64 шеллкод — выполняет различные вредоносные действия, такие как выполнение задач через PowerShell, Внедрение в пустой процесс, нацеленное конкретно на `notepad.exe`, и закрепление через модификации реестра Windows. Он использует структурированный API управления с такими конечными точками, как `/api/checkin`, `/api/cmd/id` и `/api/result/id`, что позволяет внедрению получать и выполнять удалённые команды, а также передавать результаты обратно операторам.

MuddyWater, оцениваемая как иранская государственная структура, обычно атакует стратегические сектора по всему миру, включая телекоммуникации и оборону. Их TTPs (тактики, техники и процедуры) включают сложные архитектуры загрузчиков, аналогичные тем, что наблюдались в этом отчете, что подтверждает их атрибуцию благодаря согласованным поведениям ВПО и инфраструктуре C2, связанной с предыдущими кампаниями MuddyWater.

В отчете подчеркивается важность выявления точек обнаружения для предотвращения подобных вторжений, с акцентом на императивные действия для защитников. К ним относятся поиск специфических хешей, связанных с ВПО, мониторинг HTTP-трафика на предмет характерных шаблонов коммуникации и расследование подозрительного использования regsvr32 для вызова DLL. Кроме того, рекомендуется проявлять бдительность в отношении конкретных путей выполнения, связанных с механизмом доставки, особенно в контексте использования легитимных утилит Windows, таких как `odbcconf.exe`, в сочетании с активностью WebDAV.

#ParsedReport #CompletenessMedium
21-07-2026

UAC-0099: LUNCHPOKE, BURNYBEAR, updated MATCHBOIL.V2, and use of Notepad++ 8.8.3

https://cert.gov.ua/article/6318634

Report completeness: Medium

Actors/Campaigns:
Uac-0099

Threats:
Lunchpoke_tool
Burnybear_tool
Matchboil

CVEs:
CVE-2025-56383 [Vulners]
CVSS V3.1: 8.4,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1027, T1036.003, T1036.005, T1036.006, T1036.007, T1053.005, T1059.005, T1105, T1129, T1499.001, have more...

IOCs:
File: 14
Hash: 36
Url: 12
Domain: 1
IP: 1
Email: 1
Path: 12

Soft:
winrar, Dropbox

Algorithms:
zip

Win API:
V2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кластер киберугроз UAC-0099 адаптировал свои тактики, внедрив payload в файл DLL, NppExport.dll, через скомпрометированный исполняемый файл Notepad++. Вектор атаки включает скрипт VBS в архиве, предназначенном для путаницы пользователей, который загружает дополнительные вредоносные файлы, включая архив с паролем, который извлекает критические компоненты и создает запланированные задачи для выполнения RemoteLibUpdater.exe. InitTest.dll вновь появился как MATCHBOIL.V2 и отвечает за потребление системных ресурсов в случае неправильной конфигурации, в то время как процесс извлечения теперь использует WinRAR, что вызывает обеспокоенность, связанную с выявленными уязвимостями.
-----

С середины лета 2026 года кластер киберугроз UAC-0099 продемонстрировал значительные изменения в своих операционных тактиках, техниках и процедурах (TTP). Замечательным развитием стало введение киберугрозы в виде полезной нагрузки, инкапсулированной в DLL-файле с именем NppExport.dll, который запускается через легитимный исполняемый файл версии 8.8.3 Notepad++. Этот исполняемый файл был доставлен в архиве, который также содержал различные стандартные компоненты программного обеспечения. Обновленный загрузчик MATCHBOIL, наряду с новыми инструментами LUNCHPOKE и BURNYBEAR, были развернуты как часть этой развивающейся угрозы.

Первичный вектор этой атаки включает архив, содержащий VBS-скрипт с двойным расширением файла. Этот скрипт может содержать множество пробелов перед его окончательным расширением .vbs, что может запутать пользователей или системы во время выполнения. Когда он активируется, VBS-скрипт загружает маскирующий файл, такой как "Zavodskyi District.pdf", вместе с архивом, названным "Evernote.zip". Архив Evernote.zip включает все необходимые компоненты для Notepad++ 8.8.3, а также каталог, специально предназначенный для плагина NppExport.dll, который был переклассифицирован под инструмент LUNCHPOKE.

Основная функция инструмента LUNCHPOKE заключается в создании каталога с меткой %PUBLIC% Libraries fFthY3-Ytrevc3w-ab3, а затем в извлечении содержимого из зашифрованного паролем архива с именем updater.rar в этот каталог. Этот процесс включает копирование утилиты schtasks.exe в файл в созданном каталоге и установку запланированной задачи W1n3r-U09oTy-Ap5 Updates, которая выполняет RemoteLibUpdater.exe с конкретными параметрами через определенные интервалы времени. Известно, что имя каталога может измениться.

Исполняемый файл RemoteLibUpdater.exe, связанный с инструментом BURNYBEAR, предназначен для загрузки InitTest.dll. Однако, если он выполняется без правильных аргументов, он активирует защитный механизм, который расходует ресурсы системы, что приводит к всплеску использования ЦП и оперативной памяти.

InitTest.dll сама по себе является модификацией ранее идентифицированного инструмента и вновь появилась как MATCHBOIL.V2. Ее деятельность включает создание запланированных задач, обновление конфигураций, таких как адреса серверов командного управления, и загрузку дополнительного программного обеспечения. Ключевым отличием в этой итерации является использование WinRAR для процесса извлечения, с запасными вариантами загрузки утилиты WinRAR из Dropbox, если она отсутствует в системе.

Разработчики Notepad++ утверждают, что загрузка плагинов в качестве библиотек является предусмотренной функциональностью, встроенной в архитектуру программного обеспечения. Это вызывает обсуждения относительно потенциальных рисков безопасности, связанных с этим, в частности ссылаясь на CVE-2025-56383, который CERT-UA упоминает без прямой цитаты для лучшей доступности информации.