CTT Report Hub
#ParsedReport #CompletenessHigh 24-07-2026 INC RANSOMWARE : THREAT INTELLIGENCE https://theravenfile.com/2026/07/24/inc-ransomware-threat-intelligence/ Report completeness: High Actors/Campaigns: Inc_ransomware Hunters_international Akira_ransomware Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа вымогателей INC, активная с 2023 года, нацелилась на более чем 870 жертв в нескольких странах, используя неконвенциональные тактики, такие как панель переговоров на сервере Nginx и уникальный порт связи (1002) для уклонения от обнаружения. Их архитектура использует фронтенд на базе React и Redux с реальным временем коммуникаций через Socket.io, в то время как их ransom notes применяют психологические тактики для отпугивания участия правоохранительных органов. Инфраструктура группы сильно зависит от российского хостинга, со многими IP-адресами, связанными с российскими провайдерами, и они расширяют свои операции через непрерывную разработку ransomware и потенциальные аффилиатные сотрудничества.
-----
Группа вымогательского ПО INC, появившаяся в 2023 году, занималась киберэксплуатацией более 870 жертв, в основном расположенных в США, Канаде, Германии, Великобритании и Австралии. Недавнее расследование выявило значительные детали об операциях группы, включая архитектуру их панели переговоров и некоторые необычные методы атак, которые они применяют.
Ключевым техническим прорывом в ходе расследования стало обнаружение реального IP-адреса Группы переговоров. Бэкенд этой панели размещен на сервере nginx (версия 1.27.5), работающем на базе фреймворка Yii PHP (версия 8.3.24). Примечательно, что INC Ransomware использует необычный номер порта — 1002 — для своей коммуникации, что может быть попыткой использования Нестандартный порт для обхода корпоративных межсетевых экранов, которые обычно мониторят стандартные веб-порты. Эта тактика задокументирована в фреймворке MITRE ATT&CK под T1571 (Протокол прикладного уровня), где злоумышленники часто выбирают скрытые порты для управления коммуникациями, чтобы слиться с нормальным сетевым трафиком.
Портал переговоров использует фронтенд на базе React и Redux, опираясь на Socket.io для обмена данными в реальном времени. Примечательные находки из JavaScript-файла панели переговоров включают закодированные строки и токены, хранящиеся в состоянии приложения. Это указывает на кастомную архитектуру, которая помогает безопасно и конфиденциально управлять процессом переговоров с жертвами.
Заметка с требованием выкупа, доставленная жертвам, отражает не только угрозу; она включает механизмы, направленные на то, чтобы отговорить жертв от обращения в правоохранительные органы, и поощряет выплату выкупа, обещая восстановление данных и уничтожение похищенной информации. Группа поддерживает присутствие в сети Tor, делая акцент на коммуникации через onion-сервисы и отговаривая жертв от использования компаний по восстановлению данных или полиции, представляя их как неэффективные альтернативы.
Анализ IP-инфраструктуры выявляет значительную зависимость от российских хостинг-провайдеров, при этом около 65% идентифицированных IP-адресов привязаны к провайдерам в России. Это также распространяется на использование сетей доставки контента (CDN), которые активно меняют свои домены и IP-адреса, что затрудняет для защитников эффективную блокировку их инфраструктуры.
Наконец, временная шкала образцов ransomware INC указывает на устойчивый рост их возможностей. Группа постоянно генерирует и развертывает ransomware, при этом различные сборки прослеживаются до основной команды разработчиков. Согласно последним отчетам, операционный масштаб группы, по-видимому, увеличивается, и ожидается, что их деятельность будет продолжаться в будущем, поддерживаемая экосистемой аффилированных лиц и потенциальных ответвлений, таких как группа Lynx. Улики, полученные в ходе этого расследования, подчеркивают постоянную угрозу, которую представляют операции ransomware, такие как INC, и важность бдительности и адаптивных стратегий в киберзащите.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа вымогателей INC, активная с 2023 года, нацелилась на более чем 870 жертв в нескольких странах, используя неконвенциональные тактики, такие как панель переговоров на сервере Nginx и уникальный порт связи (1002) для уклонения от обнаружения. Их архитектура использует фронтенд на базе React и Redux с реальным временем коммуникаций через Socket.io, в то время как их ransom notes применяют психологические тактики для отпугивания участия правоохранительных органов. Инфраструктура группы сильно зависит от российского хостинга, со многими IP-адресами, связанными с российскими провайдерами, и они расширяют свои операции через непрерывную разработку ransomware и потенциальные аффилиатные сотрудничества.
-----
Группа вымогательского ПО INC, появившаяся в 2023 году, занималась киберэксплуатацией более 870 жертв, в основном расположенных в США, Канаде, Германии, Великобритании и Австралии. Недавнее расследование выявило значительные детали об операциях группы, включая архитектуру их панели переговоров и некоторые необычные методы атак, которые они применяют.
Ключевым техническим прорывом в ходе расследования стало обнаружение реального IP-адреса Группы переговоров. Бэкенд этой панели размещен на сервере nginx (версия 1.27.5), работающем на базе фреймворка Yii PHP (версия 8.3.24). Примечательно, что INC Ransomware использует необычный номер порта — 1002 — для своей коммуникации, что может быть попыткой использования Нестандартный порт для обхода корпоративных межсетевых экранов, которые обычно мониторят стандартные веб-порты. Эта тактика задокументирована в фреймворке MITRE ATT&CK под T1571 (Протокол прикладного уровня), где злоумышленники часто выбирают скрытые порты для управления коммуникациями, чтобы слиться с нормальным сетевым трафиком.
Портал переговоров использует фронтенд на базе React и Redux, опираясь на Socket.io для обмена данными в реальном времени. Примечательные находки из JavaScript-файла панели переговоров включают закодированные строки и токены, хранящиеся в состоянии приложения. Это указывает на кастомную архитектуру, которая помогает безопасно и конфиденциально управлять процессом переговоров с жертвами.
Заметка с требованием выкупа, доставленная жертвам, отражает не только угрозу; она включает механизмы, направленные на то, чтобы отговорить жертв от обращения в правоохранительные органы, и поощряет выплату выкупа, обещая восстановление данных и уничтожение похищенной информации. Группа поддерживает присутствие в сети Tor, делая акцент на коммуникации через onion-сервисы и отговаривая жертв от использования компаний по восстановлению данных или полиции, представляя их как неэффективные альтернативы.
Анализ IP-инфраструктуры выявляет значительную зависимость от российских хостинг-провайдеров, при этом около 65% идентифицированных IP-адресов привязаны к провайдерам в России. Это также распространяется на использование сетей доставки контента (CDN), которые активно меняют свои домены и IP-адреса, что затрудняет для защитников эффективную блокировку их инфраструктуры.
Наконец, временная шкала образцов ransomware INC указывает на устойчивый рост их возможностей. Группа постоянно генерирует и развертывает ransomware, при этом различные сборки прослеживаются до основной команды разработчиков. Согласно последним отчетам, операционный масштаб группы, по-видимому, увеличивается, и ожидается, что их деятельность будет продолжаться в будущем, поддерживаемая экосистемой аффилированных лиц и потенциальных ответвлений, таких как группа Lynx. Улики, полученные в ходе этого расследования, подчеркивают постоянную угрозу, которую представляют операции ransomware, такие как INC, и важность бдительности и адаптивных стратегий в киберзащите.
#technique
Sliver C2 Evasion Suite
A modular evasion suite for the Sliver C2 framework — in-memory execution, sleep masking, and a Crystal Palace replacement.
https://github.com/panwnvda/SliverC2-Evasion-Suite/
Sliver C2 Evasion Suite
A modular evasion suite for the Sliver C2 framework — in-memory execution, sleep masking, and a Crystal Palace replacement.
https://github.com/panwnvda/SliverC2-Evasion-Suite/
GitHub
GitHub - panwnvda/SliverC2-Evasion-Suite: Four-kit defense evasion suite for Sliver C2: Crystal Palace loader, sleep masking, in…
Four-kit defense evasion suite for Sliver C2: Crystal Palace loader, sleep masking, in-memory PE execution, and remote process injection with PPID spoofing. - panwnvda/SliverC2-Evasion-Suite
#technique
NoNameAx (NaX)
Position-independent C2 beacon for the Adaptix Framework with module stomping, malleable C2 profiles, BOF execution, and a Stardust-pattern UDRL loader.
https://github.com/MaorSabag/NaX
NoNameAx (NaX)
Position-independent C2 beacon for the Adaptix Framework with module stomping, malleable C2 profiles, BOF execution, and a Stardust-pattern UDRL loader.
https://github.com/MaorSabag/NaX
GitHub
GitHub - Adaptix-Framework/axc2
Contribute to Adaptix-Framework/axc2 development by creating an account on GitHub.
#ParsedReport #CompletenessMedium
25-07-2026
CVE-2025-66376: Russian APT Exploits Zimbra Zero-Day
https://socradar.io/blog/cve-2025-66376-russian-apt-zimbra-zero-day/
Report completeness: Medium
Actors/Campaigns:
Void_blizzard
Threats:
Flowerbed_tool
Victims:
Government, Commercial organizations, Defense, Financial
Industry:
Government
Geo:
Dutch, Russian
CVEs:
CVE-2025-66376 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- synacor zimbra_collaboration_suite (<10.0.18, <10.1.13)
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
T1027, T1059.007, T1071.004, T1098, T1114.002, T1203, T1213, T1555.003, T1566
IOCs:
Domain: 9
Email: 7
Hash: 5
File: 2
Soft:
Zimbra, Zimbra Collaboration Suite
Algorithms:
sha256, sha1
Functions:
CreateAppSpecificPasswordRequest, GetScratchCodesRequest
Languages:
javascript
25-07-2026
CVE-2025-66376: Russian APT Exploits Zimbra Zero-Day
https://socradar.io/blog/cve-2025-66376-russian-apt-zimbra-zero-day/
Report completeness: Medium
Actors/Campaigns:
Void_blizzard
Threats:
Flowerbed_tool
Victims:
Government, Commercial organizations, Defense, Financial
Industry:
Government
Geo:
Dutch, Russian
CVEs:
CVE-2025-66376 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- synacor zimbra_collaboration_suite (<10.0.18, <10.1.13)
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1059.007, T1071.004, T1098, T1114.002, T1203, T1213, T1555.003, T1566
IOCs:
Domain: 9
Email: 7
Hash: 5
File: 2
Soft:
Zimbra, Zimbra Collaboration Suite
Algorithms:
sha256, sha1
Functions:
CreateAppSpecificPasswordRequest, GetScratchCodesRequest
Languages:
javascript
SOCRadar® Cyber Intelligence Inc.
CVE-2025-66376: Russian APT Exploits Zimbra Zero-Day
CVE-2025-66376 is a stored cross-site scripting vulnerability in the Classic UI of Zimbra Collaboration Suite, creating a path to mailbox theft and...
CTT Report Hub
#ParsedReport #CompletenessMedium 25-07-2026 CVE-2025-66376: Russian APT Exploits Zimbra Zero-Day https://socradar.io/blog/cve-2025-66376-russian-apt-zimbra-zero-day/ Report completeness: Medium Actors/Campaigns: Void_blizzard Threats: Flowerbed_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2025-66376 — это уязвимость хранимого межсайтового скриптинга (XSS) в классическом пользовательском интерфейсе Zimbra Collaboration Suite, позволяющая злоумышленникам выполнять вредоносные скрипты через специально созданный HTML-код в электронных письмах, что приводит к компрометации конфиденциальных данных без взаимодействия с пользователем. Группировка LAUNDRY BEAR, спонсируемая российским государством, эксплуатирует эту уязвимость с июля 2025 года, создавая риски утечек данных за счет раскрытия содержимого электронных писем и информации о двухфакторной аутентификации (2FA). Эксплойт был активен до выпуска исправления 6 ноября 2025 года и включает мониторинг определенных журналов и сетевого трафика после эксплуатации.
-----
CVE-2025-66376 — это уязвимость сохраненного межсайтового скриптинга (XSS) в Zimbra Collaboration Suite, затрагивающая функциональность рендеринга электронной почты в классическом пользовательском интерфейсе. Она классифицируется по CWE-79, что указывает на сбой в правильной нейтрализации входных данных при генерации веб-страницы. Уязвимость действует как угроза на уровне представления, не требуя взаимодействия с пользователем, кроме отображения письма, содержащего специально созданный HTML и CSS-контент. Эта недостаточная санитизация позволяет вредоносным скриптам выполняться в рамках сеанса аутентифицированного пользователя.
Затронутые версии Zimbra включают те, которые работают с классическим интерфейсом, и организации, использующие эти версии с доступным почтовым сервисом, находятся в особой зоне риска. Векторы атак включают доставку письма с вредоносным HTML-контентом, который выполняет JavaScript при просмотре. Примечательно, что этот эксплойт обеспечивает доступ к конфиденциальной информации, позволяя злоумышленникам собирать несанкционированные данные, такие как недавние письма, записи из адресной книги и материалы для восстановления 2FA. Потенциал для злоупотребления сессиями подчеркивает серьезность уязвимости, поскольку это может привести к утечкам данных и несанкционированным действиям в среде Zimbra.
Российские государственные спонсируемые акторы, в частности группа, известная как LAUNDRY BEAR, по сообщениям, эксплуатировали уязвимость CVE-2025-66376 как минимум с июля 2025 года, нацеливаясь на западные правительственные и коммерческие организации. Эксплойт активно использовался до выпуска исправления 6 ноября 2025 года, которое устранило уязвимость в версиях 10.0.18 и 10.1.13 Zimbra. После раскрытия информации об уязвимости она была включена в каталог известных эксплуатируемых уязвимостей CISA (Known Exploited Vulnerabilities) с установленным сроком устранения.
Методы обнаружения для CVE-2025-66376 включают анализ журналов приложений Zimbra, проверку содержимого почтовых ящиков на наличие подозрительных HTML-сообщений и мониторинг сетевого трафика на предмет необычной активности. Конкретные индикаторы, на которые следует обратить внимание, включают паттерны в DNS-запросах, всплески исходящих данных на незнакомые IP-адреса и HTTP-ответы, связанные с вредоносными загрузками. После компрометации необходимы немедленные действия, такие как сброс паролей и аннулирование сессий, для снижения рисков, поскольку скомпрометированные учетные записи могут раскрыть критически важную информацию и позволить совершить дальнейшие вторжения.
Технические поведения, связанные с эксплуатациями, демонстрируют сложный вектор атаки, ориентированный на шпионаж, а не на немедленное разрушение, подчеркивая необходимость оперативных мер безопасности, включая обновление соответствующих версий программного обеспечения Zimbra и бдительный мониторинг признаков эксплуатации.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
CVE-2025-66376 — это уязвимость хранимого межсайтового скриптинга (XSS) в классическом пользовательском интерфейсе Zimbra Collaboration Suite, позволяющая злоумышленникам выполнять вредоносные скрипты через специально созданный HTML-код в электронных письмах, что приводит к компрометации конфиденциальных данных без взаимодействия с пользователем. Группировка LAUNDRY BEAR, спонсируемая российским государством, эксплуатирует эту уязвимость с июля 2025 года, создавая риски утечек данных за счет раскрытия содержимого электронных писем и информации о двухфакторной аутентификации (2FA). Эксплойт был активен до выпуска исправления 6 ноября 2025 года и включает мониторинг определенных журналов и сетевого трафика после эксплуатации.
-----
CVE-2025-66376 — это уязвимость сохраненного межсайтового скриптинга (XSS) в Zimbra Collaboration Suite, затрагивающая функциональность рендеринга электронной почты в классическом пользовательском интерфейсе. Она классифицируется по CWE-79, что указывает на сбой в правильной нейтрализации входных данных при генерации веб-страницы. Уязвимость действует как угроза на уровне представления, не требуя взаимодействия с пользователем, кроме отображения письма, содержащего специально созданный HTML и CSS-контент. Эта недостаточная санитизация позволяет вредоносным скриптам выполняться в рамках сеанса аутентифицированного пользователя.
Затронутые версии Zimbra включают те, которые работают с классическим интерфейсом, и организации, использующие эти версии с доступным почтовым сервисом, находятся в особой зоне риска. Векторы атак включают доставку письма с вредоносным HTML-контентом, который выполняет JavaScript при просмотре. Примечательно, что этот эксплойт обеспечивает доступ к конфиденциальной информации, позволяя злоумышленникам собирать несанкционированные данные, такие как недавние письма, записи из адресной книги и материалы для восстановления 2FA. Потенциал для злоупотребления сессиями подчеркивает серьезность уязвимости, поскольку это может привести к утечкам данных и несанкционированным действиям в среде Zimbra.
Российские государственные спонсируемые акторы, в частности группа, известная как LAUNDRY BEAR, по сообщениям, эксплуатировали уязвимость CVE-2025-66376 как минимум с июля 2025 года, нацеливаясь на западные правительственные и коммерческие организации. Эксплойт активно использовался до выпуска исправления 6 ноября 2025 года, которое устранило уязвимость в версиях 10.0.18 и 10.1.13 Zimbra. После раскрытия информации об уязвимости она была включена в каталог известных эксплуатируемых уязвимостей CISA (Known Exploited Vulnerabilities) с установленным сроком устранения.
Методы обнаружения для CVE-2025-66376 включают анализ журналов приложений Zimbra, проверку содержимого почтовых ящиков на наличие подозрительных HTML-сообщений и мониторинг сетевого трафика на предмет необычной активности. Конкретные индикаторы, на которые следует обратить внимание, включают паттерны в DNS-запросах, всплески исходящих данных на незнакомые IP-адреса и HTTP-ответы, связанные с вредоносными загрузками. После компрометации необходимы немедленные действия, такие как сброс паролей и аннулирование сессий, для снижения рисков, поскольку скомпрометированные учетные записи могут раскрыть критически важную информацию и позволить совершить дальнейшие вторжения.
Технические поведения, связанные с эксплуатациями, демонстрируют сложный вектор атаки, ориентированный на шпионаж, а не на немедленное разрушение, подчеркивая необходимость оперативных мер безопасности, включая обновление соответствующих версий программного обеспечения Zimbra и бдительный мониторинг признаков эксплуатации.
#ParsedReport #CompletenessHigh
23-07-2026
Examples of Attacks by the Kimsuky Group Impersonating Diplomats (PebbleDash, PrxClient)
https://asec.ahnlab.com/ko/94553/
Report completeness: High
Actors/Campaigns:
Kimsuky (motivation: cyber_espionage)
Threats:
Pebbledash
Prxclient_tool
Spear-phishing_technique
Uacme_tool
Uac_bypass_technique
Sspiuacbypass_tool
Victims:
Education sector
Industry:
Education
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1005, T1021.001, T1027, T1036, T1041, T1053.005, T1055, T1056.001, T1059.001, T1059.003, have more...
IOCs:
File: 13
IP: 3
Hash: 5
Url: 5
Domain: 5
Algorithms:
md5
Languages:
javascript, powershell
Links:
23-07-2026
Examples of Attacks by the Kimsuky Group Impersonating Diplomats (PebbleDash, PrxClient)
https://asec.ahnlab.com/ko/94553/
Report completeness: High
Actors/Campaigns:
Kimsuky (motivation: cyber_espionage)
Threats:
Pebbledash
Prxclient_tool
Spear-phishing_technique
Uacme_tool
Uac_bypass_technique
Sspiuacbypass_tool
Victims:
Education sector
Industry:
Education
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1021.001, T1027, T1036, T1041, T1053.005, T1055, T1056.001, T1059.001, T1059.003, have more...
IOCs:
File: 13
IP: 3
Hash: 5
Url: 5
Domain: 5
Algorithms:
md5
Languages:
javascript, powershell
Links:
https://github.com/antonioCoco/SspiUacBypassASEC
Kimsuky 그룹의 외교 관련 종사자 사칭 공격 사례 (PebbleDash, PrxClient) - ASEC
Kimsuky 그룹의 외교 관련 종사자 사칭 공격 사례 (PebbleDash, PrxClient) ASEC
CTT Report Hub
#ParsedReport #CompletenessHigh 23-07-2026 Examples of Attacks by the Kimsuky Group Impersonating Diplomats (PebbleDash, PrxClient) https://asec.ahnlab.com/ko/94553/ Report completeness: High Actors/Campaigns: Kimsuky (motivation: cyber_espionage) Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Kimsuky занимается атаками с использованием целевого фишинга, применяя поддельные документы для развертывания продвинутого ВПО, включая бэкдор PebbleDash и прокси PrxClient. Их методы включают вредоносные LNK-файлы, выполняющие скрипты PowerShell для загрузки полезной нагрузки с серверов C&C и установления удаленного доступа через RDP. Кроме того, они используют техники повышения привилегий, включая инструменты обхода UAC, и применяют кейлоггеры для облегчения кражи данных у целевых жертв, преимущественно в образовательном секторе.
-----
Группа Kimsuky активно проводит атаки Целевой фишинг, маскируясь под дипломатический персонал для развертывания продвинутого ВПО. Среди инструментов, используемых в этих атаках, — бэкдор PebbleDash, прокси-ВПО PrxClient, а также RDP Wrapper, UACMe и кейлоггеры. Подход группы заключается в доставке LNK-файлов, содержащих вредоносные скрипты, которые при выполнении приводят к установке этих компонентов ВПО. Жертв вводят в заблуждение подложные документы, которые выглядят легитимно, но предназначены для облегчения атаки.
Один из заметных случаев включал LNK-файл, который при открытии выполнял скрипт PowerShell, служивший дроппером. Этот скрипт отвечал за загрузку дополнительных вредоносных компонентов с сервера управления (C&C), включая дополнительные скрипты сбора данных, которые захватывали и выводили конфиденциальные файлы. Другая атака использовала LNK-файл с именем D.21 SEOUL.lnk, который запускал Mshta с встроенным HTA-скриптом. Эта процедура создавала файлы JavaScript и PowerShell в папке данных приложения пользователя, которые действовали как загрузчик и загрузчик для поддержки дальнейшей вредоносной деятельности.
Вредоносное ПО PebbleDash, используемое в этих атаках, существует в двух вариантах. Первый вариант проверяет аргументы командной строки для активации своей функции, тогда как второй включает расшифровку и установку конфигурационных данных, хранящихся в реестре. Оба варианта способны подключаться к серверу C&C и выполнять команды, полученные от злоумышленника. Вредоносные операции включают эксфильтрацию данных и потенциально другие вредоносные действия на основе директив злоумышленника.
Кроме того, для получения контроля над зараженными системами Kimsuky использовала RDP для удаленного доступа, установив RDP-обертку и создав бэкдор-аккаунты, такие как "administrator", а также дополнительный аккаунт с именем "adminini". Инструмент PrxClient действует как прокси для связи между C&C-сервером и зараженными машинами, предоставляя злоумышленнику метод удаленного управления системами.
Группа также внедрила методы повышения привилегий, в частности используя инструменты обхода контроля учетных записей на базе фреймворка UACMe, а также новую методологию с применением SspiUacBypass для манипуляции контекстами Datagram NTLM с целью обхода контроля учетных записей (UAC).
Другие инструменты, включая кейлоггер, фиксирующий нажатия клавиш, и зашифрованные загрузчики PowerShell, также входили в арсенал атакующих, что свидетельствует о сложной фреймворк-структуре как для проникновения, так и для кражи данных. Жертвами этих атак преимущественно являются организации из сектора образования, что подчеркивает необходимость повышенной бдительности в отношении попыток целевого фишинга, замаскированных под легитимные сообщения. Пользователям рекомендуется проявлять осторожность при работе с вложениями электронной почты и обеспечивать обновление своего защитного программного обеспечения для снижения риска заражения таким ВПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Kimsuky занимается атаками с использованием целевого фишинга, применяя поддельные документы для развертывания продвинутого ВПО, включая бэкдор PebbleDash и прокси PrxClient. Их методы включают вредоносные LNK-файлы, выполняющие скрипты PowerShell для загрузки полезной нагрузки с серверов C&C и установления удаленного доступа через RDP. Кроме того, они используют техники повышения привилегий, включая инструменты обхода UAC, и применяют кейлоггеры для облегчения кражи данных у целевых жертв, преимущественно в образовательном секторе.
-----
Группа Kimsuky активно проводит атаки Целевой фишинг, маскируясь под дипломатический персонал для развертывания продвинутого ВПО. Среди инструментов, используемых в этих атаках, — бэкдор PebbleDash, прокси-ВПО PrxClient, а также RDP Wrapper, UACMe и кейлоггеры. Подход группы заключается в доставке LNK-файлов, содержащих вредоносные скрипты, которые при выполнении приводят к установке этих компонентов ВПО. Жертв вводят в заблуждение подложные документы, которые выглядят легитимно, но предназначены для облегчения атаки.
Один из заметных случаев включал LNK-файл, который при открытии выполнял скрипт PowerShell, служивший дроппером. Этот скрипт отвечал за загрузку дополнительных вредоносных компонентов с сервера управления (C&C), включая дополнительные скрипты сбора данных, которые захватывали и выводили конфиденциальные файлы. Другая атака использовала LNK-файл с именем D.21 SEOUL.lnk, который запускал Mshta с встроенным HTA-скриптом. Эта процедура создавала файлы JavaScript и PowerShell в папке данных приложения пользователя, которые действовали как загрузчик и загрузчик для поддержки дальнейшей вредоносной деятельности.
Вредоносное ПО PebbleDash, используемое в этих атаках, существует в двух вариантах. Первый вариант проверяет аргументы командной строки для активации своей функции, тогда как второй включает расшифровку и установку конфигурационных данных, хранящихся в реестре. Оба варианта способны подключаться к серверу C&C и выполнять команды, полученные от злоумышленника. Вредоносные операции включают эксфильтрацию данных и потенциально другие вредоносные действия на основе директив злоумышленника.
Кроме того, для получения контроля над зараженными системами Kimsuky использовала RDP для удаленного доступа, установив RDP-обертку и создав бэкдор-аккаунты, такие как "administrator", а также дополнительный аккаунт с именем "adminini". Инструмент PrxClient действует как прокси для связи между C&C-сервером и зараженными машинами, предоставляя злоумышленнику метод удаленного управления системами.
Группа также внедрила методы повышения привилегий, в частности используя инструменты обхода контроля учетных записей на базе фреймворка UACMe, а также новую методологию с применением SspiUacBypass для манипуляции контекстами Datagram NTLM с целью обхода контроля учетных записей (UAC).
Другие инструменты, включая кейлоггер, фиксирующий нажатия клавиш, и зашифрованные загрузчики PowerShell, также входили в арсенал атакующих, что свидетельствует о сложной фреймворк-структуре как для проникновения, так и для кражи данных. Жертвами этих атак преимущественно являются организации из сектора образования, что подчеркивает необходимость повышенной бдительности в отношении попыток целевого фишинга, замаскированных под легитимные сообщения. Пользователям рекомендуется проявлять осторожность при работе с вложениями электронной почты и обеспечивать обновление своего защитного программного обеспечения для снижения риска заражения таким ВПО.
#ParsedReport #CompletenessLow
19-07-2026
Mianju (面具): Mapping the Largest Chinese Scam Infrastructure via a Single Fingerprint
https://intel.webamon.com/blog/mianju-mapping-the-largest-chinese-scam-infrastructure
Report completeness: Low
Actors/Campaigns:
Mianju
Victims:
Financial services, Businesses
Geo:
China, Chinese
ChatGPT TTPs:
T1583.001, T1583.004, T1583.006
IOCs:
Domain: 7
File: 1
Soft:
GoDaddy
19-07-2026
Mianju (面具): Mapping the Largest Chinese Scam Infrastructure via a Single Fingerprint
https://intel.webamon.com/blog/mianju-mapping-the-largest-chinese-scam-infrastructure
Report completeness: Low
Actors/Campaigns:
Mianju
Victims:
Financial services, Businesses
Geo:
China, Chinese
ChatGPT TTPs:
do not use without manual checkT1583.001, T1583.004, T1583.006
IOCs:
Domain: 7
File: 1
Soft:
GoDaddy
CTT Report Hub
#ParsedReport #CompletenessLow 19-07-2026 Mianju (面具): Mapping the Largest Chinese Scam Infrastructure via a Single Fingerprint https://intel.webamon.com/blog/mianju-mapping-the-largest-chinese-scam-infrastructure Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Расследование домена sqllq.com выявило крупную китайскую мошенническую операцию, известную как 面具 (mianju), характеризующуюся многоуровневой инфраструктурой управления с использованием четырех облачных провайдеров и фасадом легитимности через фиктивную ИИ-консалтинговую компанию. Операция использует динамически генерируемые поддомены для сокрытия своей деятельности и направляет жертв через централизованный механизм контроля, при этом количество помеченных URL-адресов значительно выросло за короткий период. Вторичный домен zhimianjun.com поддерживает эту мошенническую схему, создавая убедительный фасад с профессиональным дизайном и службой поддержки, продолжая работу даже во время перебоев в обслуживании.
-----
Расследование домена sqllq.com выявило значительный фреймворк, стоящий за крупной китайской мошеннической операцией, известной как 面具 (mianju), что переводится как «маска». Эта инфраструктура характеризуется сложной настройкой, включающей три слоя управления (C2), четыре различных облачных провайдера и фасад легитимности, представленный через поддельную консалтинговую компанию в сфере искусственного интеллекта. Домен действует как шлюз, требующий от пользователей ввода пароля перед получением доступа, при этом его notable характеристики включают динамически генерируемые поддомены, отформатированные с будущими датами, что указывает на намеренную обфускацию для уклонения от обнаружения.
Дальнейший анализ выявил, что все обнаруженные URL-адреса жертв указывали на одни и те же четыре домена: sqllq.com, urldance.com, 51.la и baidu.com, что свидетельствует о централизованном механизме управления перенаправлением жертв независимо от конкретного сайта, на который они изначально переходили. Атака носила высокоавтоматизированный характер: количество помеченных URL-адресов выросло с 58 000 до более чем 59 300 за одну неделю, что в среднем составляло около 195 новых сайтов-жертв в день, функционирующих в автономном режиме.
Оперативный отпечаток кампании заключается в её сложных возможностях бэкенда. Даже в случае сбоев в работе сервиса мошенническая деятельность продолжается под видом легального бизнеса, при этом жертвам внушается, что они просто сталкиваются с временным сбоем. Легитимность операции дополнительно подтверждается вторичным доменом zhimianjun.com, который мошенники используют для создания убедительной видимости своих мошеннических действий. Этот сайт использует различные элементы, призванные вызвать доверие, включая профессиональный дизайн, стоковые изображения и функции поддержки клиентов, — всё это размещено на надёжной платформе — GoDaddy Website Builder.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Расследование домена sqllq.com выявило крупную китайскую мошенническую операцию, известную как 面具 (mianju), характеризующуюся многоуровневой инфраструктурой управления с использованием четырех облачных провайдеров и фасадом легитимности через фиктивную ИИ-консалтинговую компанию. Операция использует динамически генерируемые поддомены для сокрытия своей деятельности и направляет жертв через централизованный механизм контроля, при этом количество помеченных URL-адресов значительно выросло за короткий период. Вторичный домен zhimianjun.com поддерживает эту мошенническую схему, создавая убедительный фасад с профессиональным дизайном и службой поддержки, продолжая работу даже во время перебоев в обслуживании.
-----
Расследование домена sqllq.com выявило значительный фреймворк, стоящий за крупной китайской мошеннической операцией, известной как 面具 (mianju), что переводится как «маска». Эта инфраструктура характеризуется сложной настройкой, включающей три слоя управления (C2), четыре различных облачных провайдера и фасад легитимности, представленный через поддельную консалтинговую компанию в сфере искусственного интеллекта. Домен действует как шлюз, требующий от пользователей ввода пароля перед получением доступа, при этом его notable характеристики включают динамически генерируемые поддомены, отформатированные с будущими датами, что указывает на намеренную обфускацию для уклонения от обнаружения.
Дальнейший анализ выявил, что все обнаруженные URL-адреса жертв указывали на одни и те же четыре домена: sqllq.com, urldance.com, 51.la и baidu.com, что свидетельствует о централизованном механизме управления перенаправлением жертв независимо от конкретного сайта, на который они изначально переходили. Атака носила высокоавтоматизированный характер: количество помеченных URL-адресов выросло с 58 000 до более чем 59 300 за одну неделю, что в среднем составляло около 195 новых сайтов-жертв в день, функционирующих в автономном режиме.
Оперативный отпечаток кампании заключается в её сложных возможностях бэкенда. Даже в случае сбоев в работе сервиса мошенническая деятельность продолжается под видом легального бизнеса, при этом жертвам внушается, что они просто сталкиваются с временным сбоем. Легитимность операции дополнительно подтверждается вторичным доменом zhimianjun.com, который мошенники используют для создания убедительной видимости своих мошеннических действий. Этот сайт использует различные элементы, призванные вызвать доверие, включая профессиональный дизайн, стоковые изображения и функции поддержки клиентов, — всё это размещено на надёжной платформе — GoDaddy Website Builder.
#ParsedReport #CompletenessMedium
26-07-2026
SparkKitty Malware: An Emerging Threat to Mobile Users
https://cyberint.com/blog/dark-web/sparkkitty-malware-an-emerging-threat-to-mobile-users/
Report completeness: Medium
Threats:
Sparkkitty
Sparkcat
Clipboard_hijacking_technique
Victims:
Mobile users, Cryptocurrency users, Messaging platforms, Entertainment apps, Gambling apps
Industry:
Entertainment
TTPs:
Tactics: 7
Technics: 9
IOCs:
File: 1
Hash: 35
IP: 4
Soft:
Android, Google Play, TikTok
Algorithms:
sha256, sha1, md5
Platforms:
apple, cross-platform
26-07-2026
SparkKitty Malware: An Emerging Threat to Mobile Users
https://cyberint.com/blog/dark-web/sparkkitty-malware-an-emerging-threat-to-mobile-users/
Report completeness: Medium
Threats:
Sparkkitty
Sparkcat
Clipboard_hijacking_technique
Victims:
Mobile users, Cryptocurrency users, Messaging platforms, Entertainment apps, Gambling apps
Industry:
Entertainment
TTPs:
Tactics: 7
Technics: 9
IOCs:
File: 1
Hash: 35
IP: 4
Soft:
Android, Google Play, TikTok
Algorithms:
sha256, sha1, md5
Platforms:
apple, cross-platform
Cyberint
SparkKitty Malware: An Emerging Threat to Mobile Users
Introduction to SparkKitty Malware SparkKitty is a newly uncovered cross-platform information stealer, designed to exfiltrate sensitive data—particularly cryptocurrency wallet seed phrases—by leveraging advanced optical character recognition (OCR) techniques…
CTT Report Hub
#ParsedReport #CompletenessMedium 26-07-2026 SparkKitty Malware: An Emerging Threat to Mobile Users https://cyberint.com/blog/dark-web/sparkkitty-malware-an-emerging-threat-to-mobile-users/ Report completeness: Medium Threats: Sparkkitty Sparkcat Clip…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
SparkKitty — это кроссплатформенный стиллер информации, нацеленный на мобильных пользователей для извлечения конфиденциальных данных, таких как seed-фразы криптокошельков. Используя передовые технологии оптического распознавания символов (OCR), он анализирует изображения на зараженных устройствах Android и iOS и отправляет эти данные на сервер управления. Вредоносное ПО, распространяемое через магазины приложений и сторонние приложения, обходило меры безопасности, внедряясь в внешне легитимные приложения, такие как 币coin на iOS и SOEX на Android, что повышало его скрытность и риски для пользователей.
-----
SparkKitty — это новый кроссплатформенный стиллер информации, нацеленный на мобильных пользователей, в частности предназначенный для извлечения конфиденциальных данных, таких как сид-фразы криптокошельков. Это ВПО, выявленное Kaspersky в начале 2024 года и подробно описанное в июне 2025 года, расширяет функциональность предыдущей угрозы, известной как SparkCat. В отличие от обычного ВПО, которое в основном полагается на Keylogging или перехват буфера обмена, SparkKitty использует продвинутые методы оптического распознавания символов (OCR) для анализа изображений, хранящихся на зараженных устройствах Android и iOS, извлекая текстовые данные из скриншотов и передавая их на удаленный сервер управления (C2).
Распространение вредоносного ПО SparkKitty осуществляется как через официальные магазины приложений, так и через сторонние (sideloaded) приложения. На iOS оно было встроено в приложение, связанное с криптовалютой, под названием 币coin, которому удалось обойти процесс проверки безопасности Apple. Вредоносные компоненты были скрыты внутри кажущихся легитимными фреймворков, таких как AFNetworking и libswiftDarwin.dylib, что позволило ему оставаться незамеченным. На платформе Android SparkKitty в основном распространялся через приложение под названием SOEX, позиционируемое как платформа для обмена сообщениями и криптовалют, и имело более 10 000 загрузок до своего удаления из Google Play. Эта версия для Android не только имитировала легитимные приложения, но и осуществляла доступ к медиахранилищу устройства, мониторинг изменений файлов и эксфильтрацию данных через дополнительную доступность в сторонних магазинах и sideloaded APK-файлах, особенно через модифицированные версии популярных приложений. В некоторых случаях на устройствах с root-доступом оно использовало продвинутые техники закрепления через фреймворк Xposed.
При установке SparkKitty запрашивает доступ к галерее фотографий устройства. После предоставления доступа он непрерывно сканирует каталог медиафайлов в поисках изображений, содержащих потенциально конфиденциальную информацию, используя возможности оптического распознавания символов (OCR) для извлечения читаемого текста. Это включает такие данные, как сид-фразы, пароли и QR-коды. Затем ВПО в скрытом режиме загружает полученные данные вместе с метаданными устройства на инфраструктуру злоумышленника. Возможность SparkKitty функционировать на обеих основных мобильных операционных системах и использовать легитимные каналы распространения приложений значительно расширяет его угрозы, делая его существенным риском для мобильных пользователей, особенно тех, кто занимается криптовалютами.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
SparkKitty — это кроссплатформенный стиллер информации, нацеленный на мобильных пользователей для извлечения конфиденциальных данных, таких как seed-фразы криптокошельков. Используя передовые технологии оптического распознавания символов (OCR), он анализирует изображения на зараженных устройствах Android и iOS и отправляет эти данные на сервер управления. Вредоносное ПО, распространяемое через магазины приложений и сторонние приложения, обходило меры безопасности, внедряясь в внешне легитимные приложения, такие как 币coin на iOS и SOEX на Android, что повышало его скрытность и риски для пользователей.
-----
SparkKitty — это новый кроссплатформенный стиллер информации, нацеленный на мобильных пользователей, в частности предназначенный для извлечения конфиденциальных данных, таких как сид-фразы криптокошельков. Это ВПО, выявленное Kaspersky в начале 2024 года и подробно описанное в июне 2025 года, расширяет функциональность предыдущей угрозы, известной как SparkCat. В отличие от обычного ВПО, которое в основном полагается на Keylogging или перехват буфера обмена, SparkKitty использует продвинутые методы оптического распознавания символов (OCR) для анализа изображений, хранящихся на зараженных устройствах Android и iOS, извлекая текстовые данные из скриншотов и передавая их на удаленный сервер управления (C2).
Распространение вредоносного ПО SparkKitty осуществляется как через официальные магазины приложений, так и через сторонние (sideloaded) приложения. На iOS оно было встроено в приложение, связанное с криптовалютой, под названием 币coin, которому удалось обойти процесс проверки безопасности Apple. Вредоносные компоненты были скрыты внутри кажущихся легитимными фреймворков, таких как AFNetworking и libswiftDarwin.dylib, что позволило ему оставаться незамеченным. На платформе Android SparkKitty в основном распространялся через приложение под названием SOEX, позиционируемое как платформа для обмена сообщениями и криптовалют, и имело более 10 000 загрузок до своего удаления из Google Play. Эта версия для Android не только имитировала легитимные приложения, но и осуществляла доступ к медиахранилищу устройства, мониторинг изменений файлов и эксфильтрацию данных через дополнительную доступность в сторонних магазинах и sideloaded APK-файлах, особенно через модифицированные версии популярных приложений. В некоторых случаях на устройствах с root-доступом оно использовало продвинутые техники закрепления через фреймворк Xposed.
При установке SparkKitty запрашивает доступ к галерее фотографий устройства. После предоставления доступа он непрерывно сканирует каталог медиафайлов в поисках изображений, содержащих потенциально конфиденциальную информацию, используя возможности оптического распознавания символов (OCR) для извлечения читаемого текста. Это включает такие данные, как сид-фразы, пароли и QR-коды. Затем ВПО в скрытом режиме загружает полученные данные вместе с метаданными устройства на инфраструктуру злоумышленника. Возможность SparkKitty функционировать на обеих основных мобильных операционных системах и использовать легитимные каналы распространения приложений значительно расширяет его угрозы, делая его существенным риском для мобильных пользователей, особенно тех, кто занимается криптовалютами.
#ParsedReport #CompletenessHigh
26-07-2026
Threat Intelligence \| From “Compliant Emails” to Remote Control: An Investigation into a Web3 Wallet Phishing Attack
https://slowmist.medium.com/threat-intelligence-from-compliant-emails-to-remote-control-an-investigation-into-a-web3-bca1f8df9084
Report completeness: High
Threats:
Screenconnect_tool
Adwind_rat
Msp360_tool
Supply_chain_technique
Victims:
Web3 wallet users, Cryptocurrency sector, Blockchain sector
Industry:
Financial, Government
ChatGPT TTPs:
T1036.005, T1059.005, T1112, T1204.001, T1204.002, T1219, T1543.003, T1547.002, T1562.009, T1566.002, have more...
IOCs:
Domain: 6
IP: 1
File: 10
Url: 1
Email: 2
Hash: 9
Soft:
SlowMist, Windows service
Wallets:
onekey, coinbase
Crypto:
binance
Algorithms:
base64, sha256
Win API:
SG
Platforms:
x86
26-07-2026
Threat Intelligence \| From “Compliant Emails” to Remote Control: An Investigation into a Web3 Wallet Phishing Attack
https://slowmist.medium.com/threat-intelligence-from-compliant-emails-to-remote-control-an-investigation-into-a-web3-bca1f8df9084
Report completeness: High
Threats:
Screenconnect_tool
Adwind_rat
Msp360_tool
Supply_chain_technique
Victims:
Web3 wallet users, Cryptocurrency sector, Blockchain sector
Industry:
Financial, Government
ChatGPT TTPs:
do not use without manual checkT1036.005, T1059.005, T1112, T1204.001, T1204.002, T1219, T1543.003, T1547.002, T1562.009, T1566.002, have more...
IOCs:
Domain: 6
IP: 1
File: 10
Url: 1
Email: 2
Hash: 9
Soft:
SlowMist, Windows service
Wallets:
onekey, coinbase
Crypto:
binance
Algorithms:
base64, sha256
Win API:
SG
Platforms:
x86
Medium
Threat Intelligence | From “Compliant Emails” to Remote Control: An Investigation into a Web3…
Background
CTT Report Hub
#ParsedReport #CompletenessHigh 26-07-2026 Threat Intelligence \| From “Compliant Emails” to Remote Control: An Investigation into a Web3 Wallet Phishing Attack https://slowmist.medium.com/threat-intelligence-from-compliant-emails-to-remote-control-an-investigation…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Выявлена сложная фишинговая кампания, направленная против пользователей Web3-кошельков, в рамках которой злоумышленники используют Имперсонацию легитимных брендов и доставляют вредоносные payloads через различные форматы файлов, включая VBS, BAT и EXE. Атакующие зарегистрировали множество похожих доменных имен для размещения поддельных целевых страниц и распространяли Remote Access Tools, такие как ScreenConnect, что позволяло осуществлять постоянный контроль над скомпрометированными системами без взаимодействия с пользователем. Злоумышленник использовал GitHub для облегчения распространения ВПО, замаскированного под легитимные клиенты кошельков, что выявило скоординированную и многоуровневую стратегию атаки.
-----
Обнаружена сложная фишинговая атака, направленная против пользователей кошельков Web3, использующая имперсонацию и методы доставки для удаленного доступа к компьютерам жертв.
В рамках кампании использовались письма, имитирующие легитимные бренды кошельков, такие как Keystone и OneKey, с использованием срочности, связанной с условиями обслуживания и верификацией аккаунта.
Жертв перенаправляли на поддельные страницы DocuSign для загрузки вредоносного программного обеспечения, замаскированного под легитимную настольную программу для подписи.
Злоумышленники зарегистрировали несколько доменных имен, тесно связанных с их фишинговой деятельностью, таких как onekeynewsletter.org и keystonepolicyreview.org, чтобы облегчить Имперсонацию и разместить фишинговые целевые страницы.
Расследование указывает на то, что эти домены, вероятно, были зарегистрированы одним и тем же злоумышленником из-за их одновременной регистрации и скоординированной функциональности.
Вредоносные загрузки имели общую цель — установку программного обеспечения для удалённого управления, используя различные форматы, такие как VBS, BAT и EXE.
В payload-ах содержался инструмент удалённого доступа ScreenConnect, настроенный на работу в автономном режиме, что позволяло осуществлять удалённый доступ без взаимодействия с жертвой.
Атака установила постоянное управление через установку службы Windows и модификации защищённых системных процессов.
Злоумышленники использовали GitHub для создания нескольких публичных репозиториев, в которых распространялись полезная нагрузка, замаскированная под клиенты кошельков.
Несколько EXE-файлов имели одинаковые хеш-суммы, несмотря на различия в именах файлов, что указывает на общий контент для распространения.
Цепочка атаки включала обманные фишинговые письма, побуждающие к загрузке программного обеспечения, которое в конечном итоге установило клиент удаленного доступа.
Организациям рекомендуется отслеживать конечные точки на предмет несанкционированной установки инструментов удаленного управления, таких как ScreenConnect, и расследовать аномальное поведение служб для предотвращения потенциальных компрометаций.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Выявлена сложная фишинговая кампания, направленная против пользователей Web3-кошельков, в рамках которой злоумышленники используют Имперсонацию легитимных брендов и доставляют вредоносные payloads через различные форматы файлов, включая VBS, BAT и EXE. Атакующие зарегистрировали множество похожих доменных имен для размещения поддельных целевых страниц и распространяли Remote Access Tools, такие как ScreenConnect, что позволяло осуществлять постоянный контроль над скомпрометированными системами без взаимодействия с пользователем. Злоумышленник использовал GitHub для облегчения распространения ВПО, замаскированного под легитимные клиенты кошельков, что выявило скоординированную и многоуровневую стратегию атаки.
-----
Обнаружена сложная фишинговая атака, направленная против пользователей кошельков Web3, использующая имперсонацию и методы доставки для удаленного доступа к компьютерам жертв.
В рамках кампании использовались письма, имитирующие легитимные бренды кошельков, такие как Keystone и OneKey, с использованием срочности, связанной с условиями обслуживания и верификацией аккаунта.
Жертв перенаправляли на поддельные страницы DocuSign для загрузки вредоносного программного обеспечения, замаскированного под легитимную настольную программу для подписи.
Злоумышленники зарегистрировали несколько доменных имен, тесно связанных с их фишинговой деятельностью, таких как onekeynewsletter.org и keystonepolicyreview.org, чтобы облегчить Имперсонацию и разместить фишинговые целевые страницы.
Расследование указывает на то, что эти домены, вероятно, были зарегистрированы одним и тем же злоумышленником из-за их одновременной регистрации и скоординированной функциональности.
Вредоносные загрузки имели общую цель — установку программного обеспечения для удалённого управления, используя различные форматы, такие как VBS, BAT и EXE.
В payload-ах содержался инструмент удалённого доступа ScreenConnect, настроенный на работу в автономном режиме, что позволяло осуществлять удалённый доступ без взаимодействия с жертвой.
Атака установила постоянное управление через установку службы Windows и модификации защищённых системных процессов.
Злоумышленники использовали GitHub для создания нескольких публичных репозиториев, в которых распространялись полезная нагрузка, замаскированная под клиенты кошельков.
Несколько EXE-файлов имели одинаковые хеш-суммы, несмотря на различия в именах файлов, что указывает на общий контент для распространения.
Цепочка атаки включала обманные фишинговые письма, побуждающие к загрузке программного обеспечения, которое в конечном итоге установило клиент удаленного доступа.
Организациям рекомендуется отслеживать конечные точки на предмет несанкционированной установки инструментов удаленного управления, таких как ScreenConnect, и расследовать аномальное поведение служб для предотвращения потенциальных компрометаций.
#ParsedReport #CompletenessHigh
23-07-2026
Thailand's Ministry of Finance Targeted With Hermes AI Agent Running Unattended, Hades Implant Staged
https://hunt.io/blog/thailand-ministry-finance-targeted-with-hermes-ai-agent
Report completeness: High
Threats:
Hermes
Hades
Suo5_tool
Linpeas_tool
Pwnkit_tool
Shadowpad
Vshell
Process_hollowing_technique
Pkexec_tool
Metasploit_tool
Copyfail_vuln
Password_spray_technique
Process_injection_technique
Victims:
Thailand ministry of finance, Government
Industry:
Financial, Government
Geo:
Thailand, Hong kong, Malaysia, Chinese
CVEs:
CVE-2026-43284 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.255, <5.15.205, <6.1.171, <6.6.138, <6.12.87)
CVE-2017-7269 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft internet_information_services (6.0)
CVE-2021-3156 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sudo_project sudo (<1.8.32, <1.9.5)
CVE-2021-4034 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- polkit_project polkit (<121)
CVE-2026-43503 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.257, <5.15.208, <6.1.174, <6.6.141, <6.12.91)
CVE-2026-31431 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.254, <5.15.204, <6.1.170, <6.6.137, <6.12.85)
TTPs:
Tactics: 5
Technics: 16
IOCs:
IP: 5
Domain: 1
File: 22
Hash: 5
Soft:
Hadoop, Linux, sudo, Laravel, GlassFish, Node.js, Chrome, systemd
Algorithms:
aes-256-gcm, sha256
Languages:
java, perl, golang, php, python
Platforms:
cross-platform, x64
Links:
23-07-2026
Thailand's Ministry of Finance Targeted With Hermes AI Agent Running Unattended, Hades Implant Staged
https://hunt.io/blog/thailand-ministry-finance-targeted-with-hermes-ai-agent
Report completeness: High
Threats:
Hermes
Hades
Suo5_tool
Linpeas_tool
Pwnkit_tool
Shadowpad
Vshell
Process_hollowing_technique
Pkexec_tool
Metasploit_tool
Copyfail_vuln
Password_spray_technique
Process_injection_technique
Victims:
Thailand ministry of finance, Government
Industry:
Financial, Government
Geo:
Thailand, Hong kong, Malaysia, Chinese
CVEs:
CVE-2026-43284 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.255, <5.15.205, <6.1.171, <6.6.138, <6.12.87)
CVE-2017-7269 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft internet_information_services (6.0)
CVE-2021-3156 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sudo_project sudo (<1.8.32, <1.9.5)
CVE-2021-4034 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- polkit_project polkit (<121)
CVE-2026-43503 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.257, <5.15.208, <6.1.174, <6.6.141, <6.12.91)
CVE-2026-31431 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- linux linux_kernel (<5.10.254, <5.15.204, <6.1.170, <6.6.137, <6.12.85)
TTPs:
Tactics: 5
Technics: 16
IOCs:
IP: 5
Domain: 1
File: 22
Hash: 5
Soft:
Hadoop, Linux, sudo, Laravel, GlassFish, Node.js, Chrome, systemd
Algorithms:
aes-256-gcm, sha256
Languages:
java, perl, golang, php, python
Platforms:
cross-platform, x64
Links:
https://github.com/peass-ng/PEASS-ng/tree/master/linPEAShttps://github.com/nousresearch/hermes-agenthunt.io
Thailand's Ministry of Finance Targeted With Hermes AI Agent Running Unattended, Hades Implant Staged
An exposed open directory on a Hong Kong server revealed an autonomous AI agent running unattended, an unreported Go implant, and target-specific tooling used against Thailand's Ministry of Finance.