#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Android-троянская программа Flying Eagle (RAT) использует модульную архитектуру, основанную на утеченном исходном коде, что позволяет создавать кастомные APK-файлы, выполняющие вредоносные функции, такие как эксфильтрация данных и управление устройством. ВПО работает с серверов в Гонконге и применяет такие техники, как повышение привилегий на основе службы доступности (Accessibility Service) и коммуникацию через протоколы Firebase/WebSocket. Новая платформа Night Dragon, предположительно, разрабатывается тем же актором, расширяя возможности по захвату паролей и использованию продвинутых тактик фишинга против китайских финансовых сервисов.
-----

Расследование деятельности Android Троянской программы удаленного доступа (RAT) Flying Eagle выявило сложную экосистему киберпреступников, возникшую на основе утечки исходного кода вредоносного APK-файла, имитировавшего приложение Китайского провинциального управления общественной безопасности. Это ВПО, обнаруженное в 2026 году, функционирует на базе 170 активных серверов, преимущественно размещенных в Гонконге. Эти серверы используют два конкретных IP-адреса (207.56.30.188 и 207.56.30.194) и связаны с доменами, контролируемыми злоумышленниками, которые развертывают фишинговые оверлеи, нацеленные на пользователей финансовых и государственных сервисов.

Утекший исходный код, распространяемый через каналы Телеграм, такие как Yx科技 и SQLRCE0, содержал модульную кодовую базу, позволяющую создавать кастомные APK-файлы, предназначенные для выполнения различных вредоносных функций, включая управление устройством и эксфильтрацию данных. Модуль генерации APK позволяет пользователям настраивать имена приложений, значки и адреса для обратного вызова, внедряя зашифрованные URL-адреса управления, использующие шифрование AES-128-CBC. Также применялись меры безопасности, включавшие рандомизацию жестко закодированных имен пакетов для избежания обнаружения.

Архитектура Flying Eagle отражает возможности современных RAT, применяя такие техники, как повышение привилегий на основе Accessibility Service и удалённая связь через протоколы Firebase и WebSocket. Примечательно, что вредоносные образцы были обнаружены как ВПО SpyNote в средах песочницы, что указывает на схожие эксплуатационные характеристики.

По мере развития расследований появилась новая потенциальная платформа под названием Night Dragon, предположительно разработанная тем же актором, что и Flying Eagle. Представленная в июне 2026 года, Night Dragon, по утверждениям, предлагает расширенные функции, включая захват паролей из различных финансовых приложений, режим черного экрана для сокрытия активности и продвинутые возможности фишинга для крупных китайских банковских приложений. Инфраструктура Night Dragon также формируется, при этом обнаружено ограниченное количество активных серверов, что указывает на продолжающуюся активную разработку.

Анализ также показал, что инструментарий в значительной степени демонстрирует финансовую мотивацию, преимущественно нацеленную на граждан Китая с использованием тактик социальной инженерии. Постоянное развитие модифицированных версий Flying Eagle и внедрение новых платформ, таких как Night Dragon, свидетельствуют о процветающем рынке мобильных RAT, подчеркивая необходимость непрерывного наблюдения за такими киберугрозами. В целом, результаты рисуют картину быстро меняющегося ландшафта мобильного ВПО, движимого спросом на эффективные инструменты киберкриминала.

#ParsedReport #CompletenessHigh
27-07-2026

Tengu: A Modernized Mirai That Doesn’t Want to Leave

https://www.nozominetworks.com/blog/tengu-a-modernized-mirai-that-doesnt-want-to-leave

Report completeness: High

Threats:
Mirai
Udpflood_technique
Antidebugging_technique
Tengu_botnet

Victims:
Internet of things devices, Embedded linux systems, Android tv boxes, Game server infrastructure

Industry:
Iot, Media

Geo:
Iranian

TTPs:
Tactics: 6
Technics: 20

IOCs:
IP: 2
Hash: 11
File: 1

Soft:
Linux, systemd, Minecraft, Android, Unix, Anthropic

Algorithms:
sha256, chacha20, xor, poly1305

Platforms:
arm, amd64, m68k, mips

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Tengu — это вариант вредоносного ПО Mirai, нацеленный на устройства Интернета вещей (IoT), использующий расширенные возможности DDoS-атак и собственный зашифрованный протокол управления. Он в основном проникает в системы путем брутфорса Telnet, используя shell-скрипты для загрузки конкретных образцов с сервера управления. Вредоносное ПО имеет механизмы закрепления, такие как модификация задач cron и реализация тактик самозащиты для перезапуска своего бинарного файла и повреждения системных команд, а также применяет различные техники для уклонения от обнаружения и поддержания скрытности.
-----

Tengu — современная вариация вредоносного ПО Mirai, нацеленная на устройства Интернета вещей (IoT), отличающаяся расширенным функционалом, выходящим за рамки типичных инструментов для распределённых атак на отказ в обслуживании (DDoS). Оно использует собственный зашифрованный протокол управления (C2), обладает широкими возможностями для DDoS-атак и включает несколько механизмов закрепления и самозащиты, направленных на поддержание своей работы на скомпрометированных устройствах под управлением Linux. Вредоносное ПО эксплуатирует устройства IoT с недостаточной защитой для участия в DDoS-кампаниях, проксирования трафика и сбора информации об устройствах, что делает регулярное обновление и соблюдение практик безопасности необходимыми для защиты.

Технически Tengu имеет сходство с Mirai, например, в виде пакетов регистрации в открытом тексте и регистраций векторов атак, но также включает современные улучшения. Он использует шифрование AEAD для команд C2, имеет встроенную прокси-функциональность, поддерживает обновления полезной нагрузки и обладает широким спектром методов атак, включая те, которые нацелены на конкретные игровые протоколы. ВПО в основном проникает в системы через Telnet брутфорс, используя shell-скрипт для загрузки образцов, специфичных для архитектуры, с сервера C2.

При запуске Tengu в реальном времени деобфусцирует адрес C2 и реализует генерацию доменов по принципу DGA, хотя эта функция на практике не наблюдалась. Он реализует функциональность прокси SOCKS5, эксфильтрацию сетевой и системной информации, а также позволяет выполнять команды с сервера C2. Для обеспечения закрепления Tengu может изменять задачи cron, создавать службы systemd и init.d, а также была замечена попытка закрепления через chron, хотя она выглядит незавершенной в реализации.

ВПО использует различные тактики самозащиты. В его состав входит процесс-страж, который отслеживает и перезапускает основной бинарный файл ВПО, а также используется рутинный механизм watchdog, предназначенный для принудительных перезагрузок, что усложняет усилия по удалению. Оно может повреждать системные бинарные файлы, чтобы помешать командам перезагрузки и выключения, тем самым усиливая закрепление. Tengu включает в себя функцию удаления конкурирующего ВПО, сканируя процессы конкурирующих акторов и завершая их для поддержания своего доминирования на зараженном устройстве.

Чтобы избежать обнаружения и анализа, вредоносное ПО использует несколько техник. Оно применяет собственное шифрование строк, проверяет наличие отладчика и манипулирует значениями атрибутов процесса, чтобы маскироваться под легитимные системные процессы. Выполнение таких задач, как запуск файлов в памяти, обеспечивает его скрытность за счёт слияния с системными операциями.

#ParsedReport #CompletenessLow
29-07-2026

The Evolution of Remote Access Tool Abuse: From Single Payloads to Multi-Stage Campaigns

https://cofense.com/blog/the-evolution-of-remote-access-tool-abuse

Report completeness: Low

Threats:
Centrastage_tool
Goto_rat
Screenconnect_tool
N-able_tool
Simplehelp_tool
Remcos_rat
Xworm_rat
Asyncrat

Victims:
Enterprise networks, Corporate networks

ChatGPT TTPs:
do not use without manual check
T1059.001, T1105, T1204.001, T1204.002, T1219, T1564, T1566.002

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники используют легитимные ПО для удаленного доступа (RAT), такие как GoTo RAT и ConnectWise RAT, для выполнения сложных многоэтапных кибератак. Эти атаки обычно начинаются с фишинговых писем, ведущих на вредоносные веб-сайты, которые устанавливают RAT, позволяя злоумышленникам подключаться к серверам управления и загружать дополнительные компоненты, обеспечивая постоянный контроль. Использование разнообразных RAT усложняет усилия по обнаружению, поскольку злоумышленники используют несколько серверов управления для повышения своих оперативных возможностей.
-----

Злоумышленники все чаще используют легитимные ПО для удаленного доступа (RAT) для проведения сложных многоэтапных кибератак. Используя различные RAT, такие как GoTo RAT, ConnectWise RAT и Datto RMM, атакующие не только получают первоначальный доступ к системам жертв, но и устанавливают закрепление, а также усиливают свой контроль с помощью дополнительных полезной нагрузки. Этот подход знаменует собой переход от простых атак с использованием одного RAT к более сложным стратегиям, которые задействуют как устоявшиеся инструменты, так и недавно загруженное ВПО.

Типичная последовательность атаки начинается с фишинговых писем, содержащих ссылки, ведущие на вредоносные веб-сайты. Эти сайты доставляют начальный RAT на машину жертвы, который затем подключается к серверу управления (C2) для получения дополнительных полезной нагрузки, если выполнены определенные условия. Этот механизм позволяет злоумышленнику сохранять контроль и обходить традиционные меры безопасности. Злоумышленники часто действуют как брокеры первоначального доступа (IAB), продавая свою точку входа в корпоративные сети другим злонамеренным субъектам, что способствует формированию многоуровневой структуры эксплуатации.

Каждый легитимный RAT, используемый в этих атаках, оснащен уникальными функциями, которые удовлетворяют различные оперативные потребности. Например, некоторые инструменты поддерживают выполнение PowerShell с уменьшенным ведением журнала, в то время как другие могут быть более ограниченными в возможностях. Это разнообразие требует развертывания нескольких RAT для достижения комплексного контроля над средой жертвы. Наличие нескольких C2 серверов усложняет усилия по обнаружению для команд безопасности, поскольку создает избыточность и множество потенциальных точек уязвимости, которые злоумышленники могут эксплуатировать.

Cofense Intelligence задокументировала множество случаев таких многоэтапных кампаний с использованием RAT, где начальные заражения используются для загрузки дополнительных RAT или ВПО, адаптированных под конкретные злонамеренные цели. В одном из задокументированных случаев фишинговая кампания, замаскированная под загрузку документа Adobe, привела к установке GoTo RAT, который впоследствии направил систему на загрузку ConnectWise RAT. Аналогичные методы наблюдались в рамках различных кампаний, что иллюстрирует последовательный паттерн, при котором начальные RAT приводят к загрузке вторичных полезной нагрузки.

По мере эволюции этих угроз традиционные механизмы защиты могут испытывать трудности с эффективной адаптацией. Многоэтапные атаки требуют от организаций внедрения более продвинутых инструментов поведенческого анализа, способных выявлять нюансы в методологиях злоумышленников, поскольку легитимность используемых инструментов может считаться подозрительной только в контексте более широкой цепочки атаки. Усилия по устранению последствий должны быть сосредоточены на повышении осведомленности и бдительности сотрудников в отношении фишинг-атак, а также на внедрении решений для обнаружения и реагирования на конечных точках на основе поведенческого анализа. Утвержденный список ПО для удаленного доступа также может прояснить, какие программы являются легитимными, облегчая выявление и удаление несанкционированного или потенциально вредоносного программного обеспечения с систем.

#ParsedReport #CompletenessLow
25-07-2026

Steam forum ClickFix attacks infect gamers with XMRig cryptominers

https://www.bleepingcomputer.com/news/security/steam-forum-clickfix-attacks-infect-gamers-with-xmrig-cryptominers/

Report completeness: Low

Threats:
Clickfix_technique
Xmrig_miner

Victims:
Steam users, Gaming

ChatGPT TTPs:
do not use without manual check
T1036, T1053.005, T1059.001, T1070.004, T1105, T1204.004, T1562.001, T1562.004, T1585

IOCs:
File: 2
Domain: 1
Url: 1
Path: 1

Soft:
Steam, Windows image, Windows Firewall, Microsoft Defender

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавние атаки ClickFix на форумах Steam используют социальную инженерию для распространения криптомайнеров XMRig, замаскированных под утилиту оптимизации Windows под названием «msf utility PC Opt». Атака включает выполнение скрипта PowerShell, который вводит пользователей в заблуждение, заставляя их думать, что они выполняют задачи по обслуживанию, в то время как втайне загружает полезную нагрузку XMRig. После активации ВПО создает запланированную задачу для закрепления, связывается с удаленным сервером и завершает все существующие экземпляры самого себя, чтобы избежать обнаружения.
-----

Недавние атаки ClickFix, направленные на форумы Steam, используют тактики социальной инженерии для распространения криптомайнеров, в частности XMRig, замаскированных под легитимные исправления различных игровых и технических проблем. Злоумышленники создают поддельные аккаунты Steam, чтобы отвечать пользователям, испытывающим проблемы, и инструктируют их открыть PowerShell с правами администратора и выполнить команду, якобы предназначенную для решения их проблем. Однако эта команда в фоновом режиме загружает исполняемый файл майнера XMRig без ведома пользователя.

Скрипт PowerShell, используемый в этих атаках, маскируется под утилиту оптимизации Windows под названием «msf utility PC Opt». При запуске он выводит пользователю ряд сообщений, ложно утверждающих, что выполняются задачи обслуживания, такие как очистка временных файлов, очистка кэша DNS и восстановление образа Windows. Вредоносная функциональность скрыта в сегменте под названием «Advanced-Optimization», который отключает проверку сертификатов TLS и проверяет наличие прав администратора для работы. Если таких прав нет, скрипт завершает работу, вводя пользователя в заблуждение, будто возникла ошибка.

После запуска скрипт завершает все существующие процессы XMRig и запланированные задачи для предотвращения обнаружения, а также удаляет любые предыдущие файлы конфигурации. Затем он создает новое исходящее правило брандмауэра Windows, позволяющее ему связываться с удаленным сервером "msfconfig.icu" через TCP-порт 443, где загружается фактический полезный код XMRig во временно переименованный файл. Вредоносное ПО разработано так, чтобы выполняться каждый раз при запуске Windows путем создания запланированной задачи с привилегиями SYSTEM.

Пользователям рекомендуется избегать выполнения команд PowerShell из непроверенных источников, даже если они кажутся легитимными. Если пользователи уже запустили вредоносную команду, им следует проверить наличие признаков заражения, таких как наличие каталога "C:\Windows\Background" или запланированных задач с префиксом "XMRig-". Рекомендуемые шаги по восстановлению включают запуск сканирования антивирусом, ручное завершение вредоносной запланированной задачи и удаление соответствующих папок. В случае неопределенности относительно дальнейших вредоносных действий, выполненных полезной нагрузкой, может потребоваться полная переустановка операционной системы для обеспечения целостности системы.

#ParsedReport #CompletenessMedium
29-07-2026

Cleaning Out Inboxes: TA488 Comes for Outlook with Another Half-Click Exploit

https://www.proofpoint.com/us/blog/threat-insight/cleaning-out-inboxes-ta488-comes-outlook-another-half-click-exploit

Report completeness: Medium

Actors/Campaigns:
Void_blizzard

Threats:
Owareaper
Supply_chain_technique
Zimreaper

Victims:
Government, Telecommunications, Finance, Hospitality, Aerospace

Industry:
Government, Entertainment, Semiconductor_industry, Aerospace, Financial, Telco, Healthcare, Petroleum, Energy

Geo:
Russia

CVEs:
CVE-2026-42897 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange_server (2016, 2019)
- microsoft exchange_server_subscription_edition (<15.02.2562.043)


TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1001.003, T1027, T1041, T1059.007, T1070.008, T1071.001, T1071.003, T1071.004, T1090, T1098.002, have more...

IOCs:
File: 4
Domain: 4
Hash: 1

Soft:
Outlook, Zimbra, Microsoft Exchange, IndexedDB, WordPress

Algorithms:
aes-ctr, base32, aes, sha256, base64

Functions:
Proofpoint, ReadWriteMailbox, GetClientAccessToken, eval, send, _buildPackets

Languages:
javascript

#ParsedReport #ExtractedSchema

Classified images:
code: 7, schema: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
22 июля 2026 года злоумышленник TA488, связанный с Россией, использовал уязвимость XSS в Outlook Web Access (CVE-2026-42897), нацеливаясь на такие сектора, как финансы и государственное управление. Этот полу-клик эксплойт запустил ВПО OWAReaper, которое поддерживает скрытый доступ с помощью передовых техник закрепления, двойных каналов связи C&C и методов эксфильтрации данных через HTTPS и DNS. OWAReaper маскирует свою активность, манипулируя содержимым электронной почты и сохраняя себя внутри локального интерфейса OWA.
-----

22 июля 2026 года злоумышленник TA488, связанный с Россией, также известный как Void Blizzard, начал кампанию, использующую уязвимость межсайтового скриптинга (XSS) в Outlook Web Access (OWA), CVE-2026-42897. Эта кампания была направлена против различных секторов, включая государственное управление, телекоммуникации, финансы, гостиничный бизнес и аэрокосмическую отрасль, с заметным акцентом на обход обнаружения за счет увеличения активности в тактике массовой рассылки электронных писем. Техника эксплуатации, применяемая TA488, классифицируется как полу-клик-эксплойт, где достаточно просто открыть письмо, чтобы вызвать компрометацию.

При открытии писем, содержащих эксплойты, сервер некорректно обработал HTML-контент, выполнив произвольный JavaScript-код, который развернул новый вредоносный модуль под названием OWAReaper. Этот модуль предназначен для обеспечения постоянного доступа в OWA и работает скрытно, не оставляя заметного следа на хост-системе. Его работа включает два канала управления (C&C) и два протокола эксфильтрации данных, что позволяет ему сохранять работоспособность несмотря на различные меры по устранению последствий, такие как смена учетных данных или даже полное восстановление образа системы. Инфраструктура для этой операции была развернута в марте 2026 года, что указывает на возможное использование уязвимости нулевого дня до выхода исправления от Microsoft.

OWAReaper демонстрирует расширенные возможности для закрепления, что вызывает значительные параллели с предыдущим ВПО TA488, ZimReaper. Он функционирует исключительно в области чтения OWA, маскируя свое присутствие путем переписывания содержимого электронной почты на сервере Exchange для удаления маркеров эксплойта, одновременно извлекая учетных данных через скрытые взаимодействия с функциями автозаполнения браузера. Имплант использует сложные стратегии хранения, внедряя себя в локальное хранилище интерфейса OWA, что гарантирует его активацию при последующем взаимодействии пользователя с OWA, эффективно поддерживая его присутствие.

Методология управления (command-and-control) OWAReaper включает опрос публичных репозиториев GitHub на наличие определенных сообщений коммитов, а также прием команд через электронные письма, отправляемые операторами TA488. Внедренный код использует две формы эксфильтрации данных: сначала через HTTPS с шифрованием AES, имитируя легитимные запросы активов, а во-вторых, через методы DNS-экфильтрации в случае сбоя HTTPS. Этот метод резервного канала через DNS отправляет зашифрованные данные, встроенные в DNS-запросы, что затрудняет их обнаружение.

#ParsedReport #CompletenessHigh
29-07-2026

New GOFFEE campaigns: geographic expansion, undocumented TTPs, and containers

https://securelist.ru/tr/goffee-new-ttps-and-container-attacks/116431/

Report completeness: High

Actors/Campaigns:
Paper_werewolf (motivation: information_theft)

Threats:
Anydesk_tool
Mythic_c2_tool
Powertaskel

Victims:
Technology sector, Organizations in the russian federation, Belarus

Geo:
Russia, Russian federation, Belarus, Russian

CVEs:
CVE-2017-0199 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)
- microsoft windows_7 (-)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-)
- microsoft windows_vista (-)
have more...

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1033, T1036.005, T1041, T1047, T1057, T1059.001, T1059.004, T1059.007, have more...

IOCs:
File: 23
Domain: 24
Url: 1
Path: 1
Hash: 58
IP: 4

Soft:
Linux, PostgreSQL, elegram, p, curl, inux co, Unix, RabbitMQ, Microsoft Office

Algorithms:
base64

Functions:
Get-PSDrive

Languages:
jscript, python, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Хакерская группировка GOFFEE усилила фишинг-кампании против технологических организаций в Беларуси и России, используя усовершенствованные техники Внедрения в шаблоны и Base64-кодированный полезный груз в документах для выполнения вредоносных макросов и загрузки .NET-сборки. Они диверсифицировали свои методы, интегрируя как собственное ВПО, так и легитимные инструменты, применяя тактики, такие как использование PowerShell для разведки и манипулирование программным обеспечением для подключения к своей C2-инфраструктуре. Обнаружение агента Mythic группировки в Linux-контейнере иллюстрирует их адаптацию к новым средам, что указывает на значительное расширение их оперативных тактик и стратегий закрепления.
-----

Хакерская группировка GOFFEE запустила новую фишинговую кампанию, нацеленную на организации технологического сектора, расширяя свою деятельность в Беларуси наряду с текущими операциями в России. Группировка продолжает использовать фишинг в качестве основного вектора первоначального доступа, применяя техники внедрения в шаблоны на расстоянии, которые со временем немного эволюционировали. Цепочка заражения начинается с полезной нагрузки, закодированной в формате Base64 и встроенной в документы, которая при открытии извлекает и выполняет вредоносные макросы, которые в конечном итоге загружают финальную полезную нагрузку — сборку .NET — в память.

Недавние кампании, зафиксированные в 2026 году, свидетельствуют о том, что GOFFEE диверсифицирует свои методы атак, используя как собственное ВПО, так и общедоступные инструменты. Фишинговые документы применяют различные методы загрузки, такие как SMB и WebDAV через HTTPS. Кроме того, операторы группы напрямую взаимодействуют с окружением системы, используя легитимные системные утилиты для разведки, такие как команды PowerShell, tasklist и whoami, для сбора информации о запущенных процессах, данных о пользователях и сетевых конфигурациях.

Фаза разведки выявляет целенаправленный поиск конфиденциальных конфигураций и учетных данных из ПО для удаленного доступа, VPN-клиентов и программного обеспечения для связи, что демонстрирует фокус на получение перемещение внутри компании в скомпрометированных сетях. Использование оператором легитимных загрузчиков демонстрирует его приверженность к маскировке под обычные системные процессы, а также к закрепление с использованием таких методов, как регистрация вредоносных компонентов в качестве Системные службы. Примечательно, что GOFFEE также начал манипулировать легитимным программным обеспечением, таким как pgAdmin, для перенаправления соединений на свою инфраструктуру управления (C2).

Значительным событием в этой кампании стало обнаружение агента Mythic группы в контейнере Linux, что указывает на адаптацию GOFFEE к контейнеризованным средам в качестве новой операционной платформы. Это отклонение от их предыдущей специфической для Unix целевой ориентации подчеркивает стратегическое расширение их поверхности атаки.

Выявленные тактики, техники и процедуры (TTPs) демонстрируют большую зависимость от практических действий внутри сетей жертв, используя легитимные инструменты для извлечения данных и заголовка HTTP User-Agent в качестве скрытого канала для эксфильтрации данных.

Эволюционирующие тактики GOFFEE указывают на сохранение угрозы не только для российских технологических компаний, но и для тех, что находятся в Беларуси, демонстрируя их способность к адаптации и инновациям в стратегиях кибератак. Взаимодействие между инструментами, разработанными специально для них, и легальным программным обеспечением подчеркивает сложность их операций, что требует постоянного мониторинга для противодействия растущей угрозе.

#ParsedReport #CompletenessMedium
29-07-2026

Joyfill npm Packages Compromised with Blockchain C2 Loader

https://safedep.io/joyfill-npm-blockchain-c2-supply-chain

Report completeness: Medium

Actors/Campaigns:
Joyfill_compromise

Threats:
Dead_drop_technique
Typosquatting_technique
Polinrider
Supply_chain_technique

Victims:
Joyfill, Npm ecosystem, Software development

Industry:
Financial

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1059.007, T1102.001, T1105, T1140, T1195.001

IOCs:
Coin: 1
File: 4
IP: 3
Hash: 2

Soft:
Node.js, trongrid

Wallets:
tron, mainnet

Crypto:
binance, aptos

Algorithms:
sha256, base64, xor

Functions:
require, Function, eval, getTime

Win API:
lockfile

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Две бета-версии пакетов npm Joyfill были скомпрометированы загрузчиком на базе блокчейна для управления (C2), который модифицирует JavaScript-пакеты для выполнения зашифрованного ВПО при импорте. Это ВПО использует взаимодействие с Tron и Binance Smart Chain для закрепления, применяет XOR-шифрование для уклонения от обнаружения и может создавать отсоединенные процессы Node.js для обеспечения выживаемости. Несмотря на то что вредоносные пакеты были отозваны вскоре после выпуска, кэшированные копии остаются угрозой, при этом установленные каналы C2 по-прежнему активны и способны получать обновления.
-----

Недавняя компрометация двух бета-версий пакетов Joyfill npm, а именно @joyfill/layouts@0.1.2-2773.beta.0 и @joyfill/components@4.0.0-rc24-2773-beta.4, привлекла внимание из-за наличия загрузчика на основе блокчейна для управления (C2). Пакеты были опубликованы 28 июля 2026 года и оперативно отозваны через несколько часов. Однако они остаются в кэше зеркал реестра npm. Примечательно, что атака использовала существующий масштаб пакета Joyfill, вместо того чтобы прибегать к тайпсквоттингу, применяя соглашение об именовании, имитирующее предыдущие легитимные версии.

Вредоносный код находится в пакете layouts и выполняется при импорте пакета components без каких-либо установочных скриптов или хуков. Атака внедряет 62 строки зашифрованного кода в производственные JavaScript-сборки, что существенно изменяет размер и структуру сборки. Этот внедренный код создает глобальную переменную, которая действует как маркер кампании, и предоставляет доступ к функциям node.js, необходимым для работы ВПО.

При более внимательном рассмотрении деобфусцированный полезный груз демонстрирует сложный механизм, посредством которого вредоносное ПО устанавливает связь с блокчейн-сетями. Сначала оно взаимодействует с Tron для получения хеша транзакции, который затем используется для загрузки дополнительных полезной нагрузки из сети Binance Smart Chain (BSC). Связь использует шифрование XOR для обфускации передаваемых и принимаемых команд, добавляя слои сложности в процесс обнаружения и анализа.

Кроме того, если первоначальная попытка загрузки вредоносного ПО не удаётся, оно пытается запустить отсоединённый процесс Node.js для закрепления. Этот самодостаточный механизм представляет значительный риск, поскольку может пережить завершение работы родительского процесса. Двухуровневая инфраструктура C2 повторяет структуру предыдущих угроз, таких как PolinRider, но с отличительным методом доставки через ранние запросы к легитимным конечным точкам блокчейна, что усложняет усилия по обнаружению со стороны средств защиты.

Несмотря на быстрые действия, предпринятые разработчиками пакетов по удалению вредоносных версий, кэшированные копии продолжают представлять угрозу, и пользователям затронутых пакетов следует сохранять бдительность. Аналитики сообщили, что установленные каналы C2 по-прежнему активны и способны получать обновления через дополнительные запросы к блокчейну, что делает непрерывный мониторинг и смягчение последствий таких угроз необходимым для безопасности экосистем npm.