CTT Report Hub
#ParsedReport #CompletenessHigh 05-08-2026 Access For Sale: Inside a Russian-Speaking Access Broker's Dual Operation https://www.cloudsek.com/blog/access-for-sale-inside-a-russian-speaking-access-brokers-dual-operation Report completeness: High Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Российский брокер доступа вел обширную киберпреступную деятельность, компрометируя различные сектора путем сбора учетных данных и достижения полной компрометации Active Directory, что быстро использовалось группами вымогателей. Операции брокера включали использование инфраструктуры C2 Sliver против украинских оборонного и аэрокосмического секторов и эксплуатацию как минимум двенадцати известных уязвимостей, демонстрируя системный подход к сбору разведданных и брокерству доступа. Метод работы отражает соответствие тактикам российской государственной слежки, включая каталогизацию уязвимостей и захват изображений с критической инфраструктуры.
-----
Брокер доступа, говорящий по-русски, занимался масштабной киберпреступной деятельностью, нацеленной на различные сектора, включая образование, здравоохранение, финансы и государственные структуры. Оператор собирал учетные данные, добиваясь полного компрометирования Active Directory. Группы вымогателей заявляли об атаках на многие из тех же организаций вскоре после первоначального доступа. Брокер предоставлял доступ для вымогательства, а не выполнял атаки с вымогательством напрямую. Брокер использовал инфраструктуру C2 Sliver против украинского оборонного и аэрокосмического секторов, что согласуется с сообщаемыми операциями российской государственной слежки. Тактики включали кражу исходного кода и сбор данных с открытых IP-камер и сессий RDP. Операции охватывали период с середины 2025 года до конца 2026 года, эксплуатируя как минимум двенадцать известных уязвимостей (CVE). Структурированная система хранения организовывала код эксплойтов, результаты сканирования и списки целей по уязвимостям, странам и статусу, поддерживая устойчивые инициативы по сканированию. Документация и журналы велись преимущественно на русском языке, что указывает на носителя языка. Подтвержденными скомпрометированными организациями стали Greater Pittsburgh Orthopaedic Associates и MARTEC Marine; учетные данные администраторов были собраны с этих сущностей. Первоначальный доступ был быстро передан другим акторам, что привело к последующим заявлениям о вымогательстве. Оператор сосредоточился на сборе разведданных против украинской инфраструктуры, каталогизируя уязвимости и захватывая изображения с военных и критических объектов. Рекомендации включают защиту уязвимых устройств, обеспечение того, чтобы интерфейсы управления не были открыты, устранение уязвимостей, ротацию учетных данных администраторов и изоляцию чувствительных устройств.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Российский брокер доступа вел обширную киберпреступную деятельность, компрометируя различные сектора путем сбора учетных данных и достижения полной компрометации Active Directory, что быстро использовалось группами вымогателей. Операции брокера включали использование инфраструктуры C2 Sliver против украинских оборонного и аэрокосмического секторов и эксплуатацию как минимум двенадцати известных уязвимостей, демонстрируя системный подход к сбору разведданных и брокерству доступа. Метод работы отражает соответствие тактикам российской государственной слежки, включая каталогизацию уязвимостей и захват изображений с критической инфраструктуры.
-----
Брокер доступа, говорящий по-русски, занимался масштабной киберпреступной деятельностью, нацеленной на различные сектора, включая образование, здравоохранение, финансы и государственные структуры. Оператор собирал учетные данные, добиваясь полного компрометирования Active Directory. Группы вымогателей заявляли об атаках на многие из тех же организаций вскоре после первоначального доступа. Брокер предоставлял доступ для вымогательства, а не выполнял атаки с вымогательством напрямую. Брокер использовал инфраструктуру C2 Sliver против украинского оборонного и аэрокосмического секторов, что согласуется с сообщаемыми операциями российской государственной слежки. Тактики включали кражу исходного кода и сбор данных с открытых IP-камер и сессий RDP. Операции охватывали период с середины 2025 года до конца 2026 года, эксплуатируя как минимум двенадцать известных уязвимостей (CVE). Структурированная система хранения организовывала код эксплойтов, результаты сканирования и списки целей по уязвимостям, странам и статусу, поддерживая устойчивые инициативы по сканированию. Документация и журналы велись преимущественно на русском языке, что указывает на носителя языка. Подтвержденными скомпрометированными организациями стали Greater Pittsburgh Orthopaedic Associates и MARTEC Marine; учетные данные администраторов были собраны с этих сущностей. Первоначальный доступ был быстро передан другим акторам, что привело к последующим заявлениям о вымогательстве. Оператор сосредоточился на сборе разведданных против украинской инфраструктуры, каталогизируя уязвимости и захватывая изображения с военных и критических объектов. Рекомендации включают защиту уязвимых устройств, обеспечение того, чтобы интерфейсы управления не были открыты, устранение уязвимостей, ротацию учетных данных администраторов и изоляцию чувствительных устройств.
#ParsedReport #CompletenessMedium
05-08-2026
Almost Half of Malware Samples Communicate Direct to IP
https://unit42.paloaltonetworks.com/malware-bypass-dns-direct-to-ip/
Report completeness: Medium
Threats:
Mozi
Phorpiex
Sectop_rat
Supply_chain_technique
Mirai
Boatnet
Victims:
Government, Airlines, Universities, Educational institutions, Internet of things devices, Industrial control systems
Industry:
Aerospace, Ics, Education, Iot, Government
Geo:
Brazil, Apac, America, Japan, Emea
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1001, T1027, T1041, T1071.001, T1090, T1105, T1210, T1571
IOCs:
Url: 2
IP: 10
Hash: 7
Platforms:
x86, arm, m68k, mips
05-08-2026
Almost Half of Malware Samples Communicate Direct to IP
https://unit42.paloaltonetworks.com/malware-bypass-dns-direct-to-ip/
Report completeness: Medium
Threats:
Mozi
Phorpiex
Sectop_rat
Supply_chain_technique
Mirai
Boatnet
Victims:
Government, Airlines, Universities, Educational institutions, Internet of things devices, Industrial control systems
Industry:
Aerospace, Ics, Education, Iot, Government
Geo:
Brazil, Apac, America, Japan, Emea
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1001, T1027, T1041, T1071.001, T1090, T1105, T1210, T1571
IOCs:
Url: 2
IP: 10
Hash: 7
Platforms:
x86, arm, m68k, mips
Unit 42
Almost Half of Malware Samples Communicate Direct to IP
Nearly half of C2 malware bypasses DNS by connecting directly to IP addresses. Zero trust IP enforcement secures networks against these threats.
CTT Report Hub
#ParsedReport #CompletenessMedium 05-08-2026 Almost Half of Malware Samples Communicate Direct to IP https://unit42.paloaltonetworks.com/malware-bypass-dns-direct-to-ip/ Report completeness: Medium Threats: Mozi Phorpiex Sectop_rat Supply_chain_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Согласно последнему анализу, 45,32% образцов ВПО устанавливают соединения с управлением (C2) с использованием методов прямого подключения к IP-адресу (D2IP), обходя традиционные средства защиты на основе DNS. Эта тенденция охватывает различные типы ВПО, включая загрузчики шифровальщиков и ботнеты, ориентированные на IoT, такие как Mozi, которые используют жестко закодированные IP-адреса и уязвимости сети, одновременно уклоняясь от обнаружения. Среди заметных тактик — использование зашифрованных HTTP-запросов GET для эксфильтрации данных и эволюционирующие стратегии самораспространения в рамках ботнет-фреймворков, что усложняет применение эффективных контрмер.
-----
Недавний анализ более 4 миллионов отчетов динамического анализа выявил тревожную тенденцию в поведении ВПО: почти 45,32% образцов ВПО, демонстрирующих активность управления, устанавливают прямые подключения к IP-адресу (D2IP), полностью обходя DNS. Эти подключения составляют 23,17% всех попыток подключения к системе управления, что указывает на пробел в традиционных защитах, основанных на DNS. Различные типы ВПО, включая загрузчики ransomware, одноранговые (P2P) ботнеты и угрозы, эксплуатирующие цепочки поставок, были замечены в использовании жестко закодированных IP-адресов, что позволяет им избегать обнаружения средствами безопасности DNS.
В исследовании подчеркивается, что многие варианты ВПО не используют DNS-запросы для инициализации соединений. Например, был зафиксирован случай, когда бэкдор устанавливал соединение WebSocket напрямую к жестко заданному IP-адресу, что демонстрирует более широкую тенденцию, при которой ВПО остается незамеченным средствами защиты, ориентированными на DNS. В частности, дропперы ransomware Phorpiex были связаны с прямыми подключениями к определенным жестко заданным IP-адресам, что указывает на поэтапный механизм доставки полезной нагрузки, который передает вредоносные компоненты, маскируясь под легитимные процессы для уклонения от традиционных методов обнаружения.
Значимым фактом стало то, что отдельная кампания по эксфильтрации данных использовала зашифрованные HTTP GET-запросы для взаимодействия с инфраструктурами C2, размещенными на общих облачных ресурсах. Такое поведение демонстрирует сложность блокировки IP-адресов, поскольку ВПО регулярно меняет целевые порты и IP-адреса, усложняя статическую блокировку. Кроме того, было зафиксировано использование ВПО SectopRAT в целевых атаках на образовательные учреждения, где применялась функция прокси для перехвата трафика браузера в реальном времени, при этом все коммуникации напрямую связаны с соединениями D2IP.
ВПО для IoT, в частности ботнет Mozi, продемонстрировало тактики самораспространения, эксплуатируя уязвимости сети и взаимодействуя через каналы D2IP, которые остаются невидимыми для защитных механизмов на основе DNS. Этот ботнет, а также его варианты, такие как Boatnet, были идентифицированы как целенаправленно использующие архитектурные слабости устройств IoT. Примечательно, что вариант Boatnet продемонстрировал комплексную стратегию нацеливания, охватывающую ряд устаревших и современных архитектур, что отражает операционную зрелость в тактиках его развертывания.
Для решения этих проблем предлагается концепция нулевого доверия IP (ZT-IP). Этот фреймворк обеспечивает соблюдение политики, разрешающей исходящие соединения исключительно с IP-адресами, которые были предварительно проверены через DNS-запросы, эффективно блокируя подозрительные попытки D2IP. Интеграция этой модели в сетевые защиты позволяет организациям повысить способность смягчать угрозы, обходящие меры безопасности на основе DNS. По мере того как киберугрозы становятся все более изощренными, осведомленность и адаптация имеют решающее значение для защиты от скрытых D2IP-коммуникаций, эксплуатируемых различными семействами ВПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Согласно последнему анализу, 45,32% образцов ВПО устанавливают соединения с управлением (C2) с использованием методов прямого подключения к IP-адресу (D2IP), обходя традиционные средства защиты на основе DNS. Эта тенденция охватывает различные типы ВПО, включая загрузчики шифровальщиков и ботнеты, ориентированные на IoT, такие как Mozi, которые используют жестко закодированные IP-адреса и уязвимости сети, одновременно уклоняясь от обнаружения. Среди заметных тактик — использование зашифрованных HTTP-запросов GET для эксфильтрации данных и эволюционирующие стратегии самораспространения в рамках ботнет-фреймворков, что усложняет применение эффективных контрмер.
-----
Недавний анализ более 4 миллионов отчетов динамического анализа выявил тревожную тенденцию в поведении ВПО: почти 45,32% образцов ВПО, демонстрирующих активность управления, устанавливают прямые подключения к IP-адресу (D2IP), полностью обходя DNS. Эти подключения составляют 23,17% всех попыток подключения к системе управления, что указывает на пробел в традиционных защитах, основанных на DNS. Различные типы ВПО, включая загрузчики ransomware, одноранговые (P2P) ботнеты и угрозы, эксплуатирующие цепочки поставок, были замечены в использовании жестко закодированных IP-адресов, что позволяет им избегать обнаружения средствами безопасности DNS.
В исследовании подчеркивается, что многие варианты ВПО не используют DNS-запросы для инициализации соединений. Например, был зафиксирован случай, когда бэкдор устанавливал соединение WebSocket напрямую к жестко заданному IP-адресу, что демонстрирует более широкую тенденцию, при которой ВПО остается незамеченным средствами защиты, ориентированными на DNS. В частности, дропперы ransomware Phorpiex были связаны с прямыми подключениями к определенным жестко заданным IP-адресам, что указывает на поэтапный механизм доставки полезной нагрузки, который передает вредоносные компоненты, маскируясь под легитимные процессы для уклонения от традиционных методов обнаружения.
Значимым фактом стало то, что отдельная кампания по эксфильтрации данных использовала зашифрованные HTTP GET-запросы для взаимодействия с инфраструктурами C2, размещенными на общих облачных ресурсах. Такое поведение демонстрирует сложность блокировки IP-адресов, поскольку ВПО регулярно меняет целевые порты и IP-адреса, усложняя статическую блокировку. Кроме того, было зафиксировано использование ВПО SectopRAT в целевых атаках на образовательные учреждения, где применялась функция прокси для перехвата трафика браузера в реальном времени, при этом все коммуникации напрямую связаны с соединениями D2IP.
ВПО для IoT, в частности ботнет Mozi, продемонстрировало тактики самораспространения, эксплуатируя уязвимости сети и взаимодействуя через каналы D2IP, которые остаются невидимыми для защитных механизмов на основе DNS. Этот ботнет, а также его варианты, такие как Boatnet, были идентифицированы как целенаправленно использующие архитектурные слабости устройств IoT. Примечательно, что вариант Boatnet продемонстрировал комплексную стратегию нацеливания, охватывающую ряд устаревших и современных архитектур, что отражает операционную зрелость в тактиках его развертывания.
Для решения этих проблем предлагается концепция нулевого доверия IP (ZT-IP). Этот фреймворк обеспечивает соблюдение политики, разрешающей исходящие соединения исключительно с IP-адресами, которые были предварительно проверены через DNS-запросы, эффективно блокируя подозрительные попытки D2IP. Интеграция этой модели в сетевые защиты позволяет организациям повысить способность смягчать угрозы, обходящие меры безопасности на основе DNS. По мере того как киберугрозы становятся все более изощренными, осведомленность и адаптация имеют решающее значение для защиты от скрытых D2IP-коммуникаций, эксплуатируемых различными семействами ВПО.
#ParsedReport #CompletenessHigh
05-08-2026
QuickFox Supply Chain Attack Used to Deploy FDMTP Implant
https://www.fortinet.com/blog/threat-research/quickfox-supply-chain-attack-used-to-deploy-fdmtp-implant
Report completeness: High
Actors/Campaigns:
Red_delta
Threats:
Supply_chain_technique
Fdmtp
Typosquatting_technique
Xshell_tool
Finalshell
Mobaxterm_tool
Costura_tool
Dll_sideloading_technique
Victims:
Quickfox users, Windows endpoints, Corporate environments
Industry:
Entertainment, E-commerce
Geo:
Malaysia, Chinese, China
TTPs:
Tactics: 7
Technics: 9
IOCs:
File: 13
Domain: 8
Url: 72
IP: 53
Path: 1
Hash: 11
Soft:
QuickFox, Electron, Windows installer, MacOS, uickFox do, GoDaddy, Alibaba Cloud, Android, Steam, Navicat, have more...
Wallets:
exodus_wallet, trezor
Crypto:
binance
Algorithms:
zip, sha256, gzip, base64, aes-128-ecb
Functions:
IsRegistryPlugin
Languages:
javascript, java
05-08-2026
QuickFox Supply Chain Attack Used to Deploy FDMTP Implant
https://www.fortinet.com/blog/threat-research/quickfox-supply-chain-attack-used-to-deploy-fdmtp-implant
Report completeness: High
Actors/Campaigns:
Red_delta
Threats:
Supply_chain_technique
Fdmtp
Typosquatting_technique
Xshell_tool
Finalshell
Mobaxterm_tool
Costura_tool
Dll_sideloading_technique
Victims:
Quickfox users, Windows endpoints, Corporate environments
Industry:
Entertainment, E-commerce
Geo:
Malaysia, Chinese, China
TTPs:
Tactics: 7
Technics: 9
IOCs:
File: 13
Domain: 8
Url: 72
IP: 53
Path: 1
Hash: 11
Soft:
QuickFox, Electron, Windows installer, MacOS, uickFox do, GoDaddy, Alibaba Cloud, Android, Steam, Navicat, have more...
Wallets:
exodus_wallet, trezor
Crypto:
binance
Algorithms:
zip, sha256, gzip, base64, aes-128-ecb
Functions:
IsRegistryPlugin
Languages:
javascript, java
Fortinet Blog
QuickFox Supply Chain Attack Used to Deploy FDMTP Implant
The FortiGuard Labs Incident Response team analyzes a QuickFox supply chain attack that used trojanized Windows installers, selective targeting, and an evolving FDMTP implant…
CTT Report Hub
#ParsedReport #CompletenessHigh 05-08-2026 QuickFox Supply Chain Attack Used to Deploy FDMTP Implant https://www.fortinet.com/blog/threat-research/quickfox-supply-chain-attack-used-to-deploy-fdmtp-implant Report completeness: High Actors/Campaigns: Red_delta…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Выявлена атака на цепочку поставок, направленная на приложение QuickFox, которая в первую очередь затрагивает пользователей Windows, предлагая троянизированную версию, устанавливающую внедрение FDMTP для обеспечения постоянного доступа. Вредоносное ПО выполняет загрузчик на основе JavaScript из измененного HTML-файла, который идентифицирует окружение и загружает дополнительные компоненты, включая троянизированную DLL. Оно взаимодействует с серверами C2 с использованием сокета FDMTP, что позволяет выполнять удаленные команды и получать информацию, что указывает на наличие сложного и оппортунистические злоумышленник, возможно, связанный с предыдущими инцидентами, связанными с Twill Typhoon.
-----
Атака через цепочку поставок направлена на приложение QuickFox, в первую очередь затрагивая пользователей Windows в Китае. Атака активна как минимум с августа 2025 года и использует троянизированный установщик, который выполняет загрузчик на основе JavaScript из модифицированного HTML-файла. Загрузчик собирает отпечатки оконных конечных точек для проверки целей перед установкой внедрения FDMTP для обеспечения постоянного доступа. Троянизированные компоненты были интегрированы в установщик QuickFox в период с июля по август 2025 года. Процесс загрузки вредоносного ПО начинается со скомпрометированного HTML-файла, который извлекает два JavaScript-файла с вредоносного домена, имитирующего легитимный. Цепочка заражения использует процесс Electron для выполнения скрипта проверки цели, который избегает выполнения на системах, где запущены «steam.exe» и другие целевые процессы. Загружается «update.zip», содержащий легитимный бинарный файл Microsoft и троянизированную DLL, внедряющую полезную нагрузку FDMTP. Выявлено два поколения полезной нагрузки FDMTP, при этом второе поколение включает обфусцированный загрузчик расшифровки. Полезная нагрузка хранится в зашифрованном формате для контролируемого выполнения и использует тактики для уклонения от обнаружения. Внедрение FDMTP связывается с серверами C2 через сокет FDMTP для отправки системной информации и развертывания различных плагинов. Вредоносное ПО функционирует преимущественно через динамически обновляемые плагины. Масштабная активность после эксплуатации не наблюдается, и, хотя конкретный злоумышленник не установлен, технические сходства предполагают возможную связь с Twill Typhoon.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Выявлена атака на цепочку поставок, направленная на приложение QuickFox, которая в первую очередь затрагивает пользователей Windows, предлагая троянизированную версию, устанавливающую внедрение FDMTP для обеспечения постоянного доступа. Вредоносное ПО выполняет загрузчик на основе JavaScript из измененного HTML-файла, который идентифицирует окружение и загружает дополнительные компоненты, включая троянизированную DLL. Оно взаимодействует с серверами C2 с использованием сокета FDMTP, что позволяет выполнять удаленные команды и получать информацию, что указывает на наличие сложного и оппортунистические злоумышленник, возможно, связанный с предыдущими инцидентами, связанными с Twill Typhoon.
-----
Атака через цепочку поставок направлена на приложение QuickFox, в первую очередь затрагивая пользователей Windows в Китае. Атака активна как минимум с августа 2025 года и использует троянизированный установщик, который выполняет загрузчик на основе JavaScript из модифицированного HTML-файла. Загрузчик собирает отпечатки оконных конечных точек для проверки целей перед установкой внедрения FDMTP для обеспечения постоянного доступа. Троянизированные компоненты были интегрированы в установщик QuickFox в период с июля по август 2025 года. Процесс загрузки вредоносного ПО начинается со скомпрометированного HTML-файла, который извлекает два JavaScript-файла с вредоносного домена, имитирующего легитимный. Цепочка заражения использует процесс Electron для выполнения скрипта проверки цели, который избегает выполнения на системах, где запущены «steam.exe» и другие целевые процессы. Загружается «update.zip», содержащий легитимный бинарный файл Microsoft и троянизированную DLL, внедряющую полезную нагрузку FDMTP. Выявлено два поколения полезной нагрузки FDMTP, при этом второе поколение включает обфусцированный загрузчик расшифровки. Полезная нагрузка хранится в зашифрованном формате для контролируемого выполнения и использует тактики для уклонения от обнаружения. Внедрение FDMTP связывается с серверами C2 через сокет FDMTP для отправки системной информации и развертывания различных плагинов. Вредоносное ПО функционирует преимущественно через динамически обновляемые плагины. Масштабная активность после эксплуатации не наблюдается, и, хотя конкретный злоумышленник не установлен, технические сходства предполагают возможную связь с Twill Typhoon.
#ParsedReport #CompletenessMedium
05-08-2026
Interlock ransomware gang creates volatile situation
https://www.sophos.com/en-us/blog/2608-volatility-interlock
Report completeness: Medium
Threats:
Interlock
Interlockrat
Clickfix_technique
Nodesnake
Winpmem_tool
Process_injection_technique
Kerberoasting_technique
Credential_dumping_technique
Victims:
Critical infrastructure, Healthcare, Education
Industry:
Education, Government, Financial, Healthcare, Critical_infrastructure
Geo:
United states, America, American
CVEs:
CVE-2026-20131 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco secure_firewall_management_center (6.4.0.13, 6.4.0.14, 6.4.0.15, 6.4.0.16, 6.4.0.17)
TTPs:
Tactics: 2
Technics: 5
IOCs:
Path: 1
File: 6
IP: 2
Domain: 2
Command: 1
Soft:
Velociraptor, ChatGPT, curl, zoom, Active Directory Domain Services, Active Directory, Azure AD
Languages:
powershell, php
Platforms:
cross-platform
05-08-2026
Interlock ransomware gang creates volatile situation
https://www.sophos.com/en-us/blog/2608-volatility-interlock
Report completeness: Medium
Threats:
Interlock
Interlockrat
Clickfix_technique
Nodesnake
Winpmem_tool
Process_injection_technique
Kerberoasting_technique
Credential_dumping_technique
Victims:
Critical infrastructure, Healthcare, Education
Industry:
Education, Government, Financial, Healthcare, Critical_infrastructure
Geo:
United states, America, American
CVEs:
CVE-2026-20131 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco secure_firewall_management_center (6.4.0.13, 6.4.0.14, 6.4.0.15, 6.4.0.16, 6.4.0.17)
TTPs:
Tactics: 2
Technics: 5
IOCs:
Path: 1
File: 6
IP: 2
Domain: 2
Command: 1
Soft:
Velociraptor, ChatGPT, curl, zoom, Active Directory Domain Services, Active Directory, Azure AD
Languages:
powershell, php
Platforms:
cross-platform
SOPHOS
Interlock ransomware gang creates volatile situation
Multiple legitimate DFIR tools abused by GOLD EMBRACE double-extortion specialists
CTT Report Hub
#ParsedReport #CompletenessMedium 05-08-2026 Interlock ransomware gang creates volatile situation https://www.sophos.com/en-us/blog/2608-volatility-interlock Report completeness: Medium Threats: Interlock Interlockrat Clickfix_technique Nodesnake Winpmem_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа вымогательского ПО Interlock, известная как GOLD EMBRACE, появилась с сентября 2024 года и нацелена на критические сектора, такие как здравоохранение и образование, применяя стратегию двойного вымогательства. Они используют собственное ВПО наряду с легитимными инструментами, эксплуатируя уязвимости, такие как нулевого дня CVE-2026-20131 в программном обеспечении Cisco, и применяя тактики социальной инженерии для получения первоначального доступа. Их метод атаки включает компрометацию через drive-by для доставки полезной нагрузки, выгрузку учетных данных и такие техники, как Керберостинг, для перемещения внутри компании, что указывает на сложный подход к операциям.
-----
Группа вымогателей Interlock, идентифицированная как GOLD EMBRACE, приобрела известность с момента своего появления в сентябре 2024 года. Активна в Северной Америке и Европе, особенно нацелена на критическую инфраструктуру, здравоохранение и сектор образования. Interlock использует стратегию двойного вымогательства. Это включает кражу конфиденциальных данных до шифрования системы и угрозу опубликовать эти данные через свой Worldwide Secrets Blog, если требования выкупа не будут выполнены. В отличие от типичных моделей Программа-вымогатель как услуга, этот злоумышленник работает с небольшой, преданной команде, разрабатывая собственное ВПО для своих атак.
Недавние кампании продемонстрировали зависимость группы от легитимных инструментов для проведения своей деятельности. Например, во время атаки на медицинскую организацию они использовали Volatility3 — инструмент, широко применяемый в цифровой криминалистике. Кроме того, они эксплуатировали WinPmem для захвата содержимого памяти. Их методология атак включает тактики социальной инженерии, в первую очередь приманки в стиле ClickFix, чтобы побудить жертв взаимодействовать с вредоносным контентом. В ходе операций они используют известные уязвимости, включая активную эксплуатацию CVE-2026-20131 — уязвимости нулевого дня, обнаруженной в программном обеспечении Secure Firewall Management Center компании Cisco.
Жизненный цикл атаки следует структурированной серии тактик, техник и процедур (TTPs). Первоначальный доступ был получен через теневую (drive-by) компрометацию, когда пользователь был заманен на вредоносный сайт во время поиска Dynamics 365. Злоумышленники манипулировали буфером обмена пользователя и выполнили команду, которая загрузила payloads троянской программы (RAT), после чего установили закрепление с помощью модификаций реестра. Кроме того, они использовали техники внедрения кода в процессы для повышения привилегий через доверенные процессы Microsoft, что позволило получить дополнительный доступ к системе.
Акторы Interlock выполнили атаку Керберостинг, нацелившись на сервисные учетные записи для получения учетных данных из Active Directory, что способствовало перемещению внутри компании в скомпрометированной сети. В последующие дни атаки на сервере печати была создана запланированная задача для поддержания присутствия ВПО. Во время проникновения были обнаружены признаки выгрузки учетных данных, включая учетные данные AWS и изменения в конфигурациях Defender на конечных точках.
Общая дестабилизация, вызванная этой атакой, побудила целевую организацию перейти на Sophos для защиты конечных точек и провести полную перестройку своей виртуальной среды. Этот инцидент демонстрирует эволюцию Interlock как многогранного оператора угроз, который адаптирует тактики и использует недавно обнаруженные уязвимости, что является примером тенденции в продвинутых постоянных угрозах, включающих легитимные инструменты в рабочий процесс атаки.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа вымогательского ПО Interlock, известная как GOLD EMBRACE, появилась с сентября 2024 года и нацелена на критические сектора, такие как здравоохранение и образование, применяя стратегию двойного вымогательства. Они используют собственное ВПО наряду с легитимными инструментами, эксплуатируя уязвимости, такие как нулевого дня CVE-2026-20131 в программном обеспечении Cisco, и применяя тактики социальной инженерии для получения первоначального доступа. Их метод атаки включает компрометацию через drive-by для доставки полезной нагрузки, выгрузку учетных данных и такие техники, как Керберостинг, для перемещения внутри компании, что указывает на сложный подход к операциям.
-----
Группа вымогателей Interlock, идентифицированная как GOLD EMBRACE, приобрела известность с момента своего появления в сентябре 2024 года. Активна в Северной Америке и Европе, особенно нацелена на критическую инфраструктуру, здравоохранение и сектор образования. Interlock использует стратегию двойного вымогательства. Это включает кражу конфиденциальных данных до шифрования системы и угрозу опубликовать эти данные через свой Worldwide Secrets Blog, если требования выкупа не будут выполнены. В отличие от типичных моделей Программа-вымогатель как услуга, этот злоумышленник работает с небольшой, преданной команде, разрабатывая собственное ВПО для своих атак.
Недавние кампании продемонстрировали зависимость группы от легитимных инструментов для проведения своей деятельности. Например, во время атаки на медицинскую организацию они использовали Volatility3 — инструмент, широко применяемый в цифровой криминалистике. Кроме того, они эксплуатировали WinPmem для захвата содержимого памяти. Их методология атак включает тактики социальной инженерии, в первую очередь приманки в стиле ClickFix, чтобы побудить жертв взаимодействовать с вредоносным контентом. В ходе операций они используют известные уязвимости, включая активную эксплуатацию CVE-2026-20131 — уязвимости нулевого дня, обнаруженной в программном обеспечении Secure Firewall Management Center компании Cisco.
Жизненный цикл атаки следует структурированной серии тактик, техник и процедур (TTPs). Первоначальный доступ был получен через теневую (drive-by) компрометацию, когда пользователь был заманен на вредоносный сайт во время поиска Dynamics 365. Злоумышленники манипулировали буфером обмена пользователя и выполнили команду, которая загрузила payloads троянской программы (RAT), после чего установили закрепление с помощью модификаций реестра. Кроме того, они использовали техники внедрения кода в процессы для повышения привилегий через доверенные процессы Microsoft, что позволило получить дополнительный доступ к системе.
Акторы Interlock выполнили атаку Керберостинг, нацелившись на сервисные учетные записи для получения учетных данных из Active Directory, что способствовало перемещению внутри компании в скомпрометированной сети. В последующие дни атаки на сервере печати была создана запланированная задача для поддержания присутствия ВПО. Во время проникновения были обнаружены признаки выгрузки учетных данных, включая учетные данные AWS и изменения в конфигурациях Defender на конечных точках.
Общая дестабилизация, вызванная этой атакой, побудила целевую организацию перейти на Sophos для защиты конечных точек и провести полную перестройку своей виртуальной среды. Этот инцидент демонстрирует эволюцию Interlock как многогранного оператора угроз, который адаптирует тактики и использует недавно обнаруженные уязвимости, что является примером тенденции в продвинутых постоянных угрозах, включающих легитимные инструменты в рабочий процесс атаки.
#ParsedReport #CompletenessLow
05-08-2026
Shai-Hulud strikes again: CHAINDROP worm hits 400+ npm packages
https://www.elastic.co/security-labs/shai-hulud-chaindrop-npm-supply-chain
Report completeness: Low
Threats:
Shai-hulud
Chaindrop
Supply_chain_technique
Dead_drop_technique
Victims:
Open source software, Software development, Artificial intelligence, Cloud services, Npm ecosystem
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1059.007, T1070.004, T1078.004, T1082, T1102.001, T1105, T1195.001, T1204, T1518, have more...
IOCs:
File: 4
Coin: 1
Domain: 2
Hash: 3
Soft:
Slack, Linux, macOS, claude, Anthropic, OpenAI, Alibaba Cloud, HashiCorp Vault, Kubernetes, Node.js, have more...
Crypto:
ethereum
Algorithms:
gzip, aes, sha256, aes-256-gcm
Languages:
javascript
Platforms:
cross-platform
Links:
have more...
05-08-2026
Shai-Hulud strikes again: CHAINDROP worm hits 400+ npm packages
https://www.elastic.co/security-labs/shai-hulud-chaindrop-npm-supply-chain
Report completeness: Low
Threats:
Shai-hulud
Chaindrop
Supply_chain_technique
Dead_drop_technique
Victims:
Open source software, Software development, Artificial intelligence, Cloud services, Npm ecosystem
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1059.007, T1070.004, T1078.004, T1082, T1102.001, T1105, T1195.001, T1204, T1518, have more...
IOCs:
File: 4
Coin: 1
Domain: 2
Hash: 3
Soft:
Slack, Linux, macOS, claude, Anthropic, OpenAI, Alibaba Cloud, HashiCorp Vault, Kubernetes, Node.js, have more...
Crypto:
ethereum
Algorithms:
gzip, aes, sha256, aes-256-gcm
Languages:
javascript
Platforms:
cross-platform
Links:
https://github.com/elastic/supply-chain-monitorhttps://github.com/elastic/detection-rules/blob/main/rules/cross-platform/execution\_nodejs\_pre\_or\_post\_install\_script\_execution.tomlhttps://github.com/oven-sh/bun/releases#release-bun-v1.3.13/have more...
www.elastic.co
Shai-Hulud strikes again: CHAINDROP worm hits 400+ npm packages — Elastic Security Labs
Elastic Defend provides coverage for the latest npm supply chain attack.
CTT Report Hub
#ParsedReport #CompletenessLow 05-08-2026 Shai-Hulud strikes again: CHAINDROP worm hits 400+ npm packages https://www.elastic.co/security-labs/shai-hulud-chaindrop-npm-supply-chain Report completeness: Low Threats: Shai-hulud Chaindrop Supply_chain_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Злоумышленник Shai-Hulud использовал червя CHAINDROP для компрометации более 400 пакетов npm, что затронуло более 1,3 миллиарда загрузок в совокупности. Проникнув в систему поддержки библиотеки хранения ключ-значение keyv, злоумышленники внедрили бэкдор в пакеты с помощью скрипта-загрузчика, работающего кроссплатформенно на Linux, macOS и Windows. CHAINDROP использует техники обфускации для сокрытия своего полезного груза, который включает в себя сборщик учетных данных, ориентированный на учетные данные ИИ и облачных сервисов, а также динамически запрашивает смарт-контракт Ethereum для получения своих конечных точек управления (C2), одновременно напрямую манипулируя реестром npm для самораспространения.
-----
Злоумышленник Shai-Hulud развернул червя CHAINDROP, скомпрометировав более 400 пакетов npm. Это затрагивает более 1,3 миллиарда ежемесячных загрузок. Атакующие получили доступ, скомпрометировав разработчика библиотеки хранения ключ-значение keyv. CHAINDROP внедряет бэкдоры во все пакеты, для которых скомпрометированный разработчик имеет права публикации. Зараженные пакеты включают keyv, flat-cache, cacheable-request, cacheable и cache-manager. Скрипт-загрузчик червя (setup.mjs) внедряет бэкдоры во все подпакеты в репозитории keyv. CHAINDROP является кроссплатформенным, затрагивая Linux, macOS и Windows. Полезная нагрузка появляется под именами файлов Math_Symbol.js и math_init.js, оба имеют одинаковый хеш SHA-256. Червь распространяется через GitHub, создавая коммиты под именем автора "claude". Выполнение загрузчика запускается определенными действиями пользователя в Claude Code или Visual Studio Code. Загрузчик проверяет наличие среды выполнения JavaScript bun и загружает ее, если она отсутствует. Полезная нагрузка сильно запутана, используя техники выравнивания потока управления и кодирования строк. Сборщик учетных данных нацелен на учетные данные инструментов ИИ, учетные данные провайдеров облачных сервисов и токены GitHub. CHAINDROP запрашивает смарт-контракт Ethereum для получения конечной точки эксфильтрации и имеет механизмы резервирования против обнаружения. Если смарт-контракт не работает, он ищет криптографический маркер в историях коммитов GitHub. Червь взаимодействует с реестром npm, загружая последний архив пакета, внедряя вредоносные компоненты, изменяя package.json и переупаковывая для публикации в npm. Elastic Defend установил правила для обнаружения и смягчения этих угроз Цепочки поставок.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Злоумышленник Shai-Hulud использовал червя CHAINDROP для компрометации более 400 пакетов npm, что затронуло более 1,3 миллиарда загрузок в совокупности. Проникнув в систему поддержки библиотеки хранения ключ-значение keyv, злоумышленники внедрили бэкдор в пакеты с помощью скрипта-загрузчика, работающего кроссплатформенно на Linux, macOS и Windows. CHAINDROP использует техники обфускации для сокрытия своего полезного груза, который включает в себя сборщик учетных данных, ориентированный на учетные данные ИИ и облачных сервисов, а также динамически запрашивает смарт-контракт Ethereum для получения своих конечных точек управления (C2), одновременно напрямую манипулируя реестром npm для самораспространения.
-----
Злоумышленник Shai-Hulud развернул червя CHAINDROP, скомпрометировав более 400 пакетов npm. Это затрагивает более 1,3 миллиарда ежемесячных загрузок. Атакующие получили доступ, скомпрометировав разработчика библиотеки хранения ключ-значение keyv. CHAINDROP внедряет бэкдоры во все пакеты, для которых скомпрометированный разработчик имеет права публикации. Зараженные пакеты включают keyv, flat-cache, cacheable-request, cacheable и cache-manager. Скрипт-загрузчик червя (setup.mjs) внедряет бэкдоры во все подпакеты в репозитории keyv. CHAINDROP является кроссплатформенным, затрагивая Linux, macOS и Windows. Полезная нагрузка появляется под именами файлов Math_Symbol.js и math_init.js, оба имеют одинаковый хеш SHA-256. Червь распространяется через GitHub, создавая коммиты под именем автора "claude". Выполнение загрузчика запускается определенными действиями пользователя в Claude Code или Visual Studio Code. Загрузчик проверяет наличие среды выполнения JavaScript bun и загружает ее, если она отсутствует. Полезная нагрузка сильно запутана, используя техники выравнивания потока управления и кодирования строк. Сборщик учетных данных нацелен на учетные данные инструментов ИИ, учетные данные провайдеров облачных сервисов и токены GitHub. CHAINDROP запрашивает смарт-контракт Ethereum для получения конечной точки эксфильтрации и имеет механизмы резервирования против обнаружения. Если смарт-контракт не работает, он ищет криптографический маркер в историях коммитов GitHub. Червь взаимодействует с реестром npm, загружая последний архив пакета, внедряя вредоносные компоненты, изменяя package.json и переупаковывая для публикации в npm. Elastic Defend установил правила для обнаружения и смягчения этих угроз Цепочки поставок.
#ParsedReport #CompletenessLow
06-08-2026
2026-07-30-Remus-Info-Stealer-Uses-Blockchain-Anchored-C2.txt
https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/main/2026-07-30-Remus-Info-Stealer-Uses-Blockchain-Anchored-C2.txt
Report completeness: Low
IOCs:
File: 1
Domain: 107
IP: 6
Hash: 19
06-08-2026
2026-07-30-Remus-Info-Stealer-Uses-Blockchain-Anchored-C2.txt
https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/main/2026-07-30-Remus-Info-Stealer-Uses-Blockchain-Anchored-C2.txt
Report completeness: Low
IOCs:
File: 1
Domain: 107
IP: 6
Hash: 19
GitHub
Unit42-timely-threat-intel/2026-07-30-Remus-Info-Stealer-Uses-Blockchain-Anchored-C2.txt at main · PaloAltoNetworks/Unit42-timely…
A collection of files with indicators supporting social media posts from Palo Alto Network's Unit 42 team to disseminate timely threat intelligence. - PaloAltoNetworks/Unit42-timely-threat-intel
#ParsedReport #CompletenessHigh
05-08-2026
Inside Greatness: Telegram-Distributed M365 AiTM PhaaS
https://zerobec.com/blog/greatness-phaas-aitm-and-device-code-phishing
Report completeness: High
Actors/Campaigns:
Storm-2372
Threats:
Greatness_tool
Aitm_technique
Device_code_phishing_technique
Forg365_tool
Sneaky_2fa_tool
Debull_tool
Credential_harvesting_technique
Bec_technique
Victims:
Microsoft 365 organizations, Financial services organizations, Ringcentral customers
Industry:
Critical_infrastructure
Geo:
Norway
ChatGPT TTPs:
T1027, T1090.002, T1111, T1114.002, T1497.001, T1497.002, T1526, T1528, T1550.001, T1557, have more...
IOCs:
Url: 1
Domain: 17
IP: 11
File: 5
Soft:
Telegram, Graph API, Outlook, Cloudflare Turnstile, Laravel, PhantomJS, Selenium, curl, OpenResty, Microsoft Teams, have more...
Algorithms:
zip, base64
Functions:
poll
Languages:
javascript, php
05-08-2026
Inside Greatness: Telegram-Distributed M365 AiTM PhaaS
https://zerobec.com/blog/greatness-phaas-aitm-and-device-code-phishing
Report completeness: High
Actors/Campaigns:
Storm-2372
Threats:
Greatness_tool
Aitm_technique
Device_code_phishing_technique
Forg365_tool
Sneaky_2fa_tool
Debull_tool
Credential_harvesting_technique
Bec_technique
Victims:
Microsoft 365 organizations, Financial services organizations, Ringcentral customers
Industry:
Critical_infrastructure
Geo:
Norway
ChatGPT TTPs:
do not use without manual checkT1027, T1090.002, T1111, T1114.002, T1497.001, T1497.002, T1526, T1528, T1550.001, T1557, have more...
IOCs:
Url: 1
Domain: 17
IP: 11
File: 5
Soft:
Telegram, Graph API, Outlook, Cloudflare Turnstile, Laravel, PhantomJS, Selenium, curl, OpenResty, Microsoft Teams, have more...
Algorithms:
zip, base64
Functions:
poll
Languages:
javascript, php
ZeroBEC
Inside Greatness: Telegram-Distributed M365 AiTM PhaaS | ZeroBEC
Greatness is a $289/month Telegram-distributed PhaaS that pairs Microsoft 365 AiTM token theft with device code phishing, delivered via vendor-trust bypass.
CTT Report Hub
#ParsedReport #CompletenessHigh 05-08-2026 Inside Greatness: Telegram-Distributed M365 AiTM PhaaS https://zerobec.com/blog/greatness-phaas-aitm-and-device-code-phishing Report completeness: High Actors/Campaigns: Storm-2372 Threats: Greatness_tool Aitm_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Платформа фишинга как услуга The Greatness использует передовые методы кражи учетных данных и токенов, особенно нацеливаясь на сервисы Microsoft 365 через сложные фишинговые кампании. Она применяет стратегии «противник посередине» и фишинг с использованием кода устройства, что позволяет операторам получать доступ к токенам аутентификации в реальном времени и обходить многофакторную аутентификацию. Ее централизованная и надежная инфраструктура поддерживает взаимозаменяемость токенов между доменами, а кампании используют доверенные отношения электронной почты для доставки поддельных сообщений, которые остаются незамеченными.
-----
Платформа фишинга как услуга (PhaaS) The Greatness нацелена на кражу учетных данных и кражу токена, фокусируясь на Microsoft 365.
Оно использует стратегии «противник посередине» (AiTM), сочетаемые с фишингом с использованием кода устройства, для реализации продвинутых методов атак.
Распространяется преимущественно через Телеграм, Greatness работает по подписной модели, что позволяет проводить сложные фишинговые кампании.
Кампания с использованием поддельных писем RingCentral использовала исключения для безопасных отправителей, что позволило обойти стандартные меры безопасности электронной почты.
Письма, отправленные с доменов, включённых в белый список, не прошли все проверки аутентификации, но всё равно были доставлены в почтовые ящики.
Платформа предоставляет единую систему бэкенда, которая позволяет использовать взаимозаменяемые токены на нескольких фишинговых доменах.
Панель оператора Greatness включает такие функции, как статистика кампаний и параметры конфигурации доменов, а также 11 шаблонов приманок.
В число задействованных доменов входят hashmiaghayi.cfd и onewayoutolook.one, при этом бэкенд построен на PHP Laravel.
Greatness включает полнофункциональную систему прокси AiTM, захватывающую токены аутентификации в реальном времени, обходящую многофакторную аутентификацию (MFA).
Захваченные токены использовались для доступа к таким сервисам, как Outlook и OneDrive, из различных географических локаций без срабатывания обнаружения.
Стоимость подписки на платформу составляет 289 долларов в месяц, с инструментами, которые упрощают различные фишинг-стратегии.
Интеграция фишинга с использованием кода устройства позволяет злоумышленникам получать токены без прямого взаимодействия с пользователем.
Стратегии обнаружения должны включать аудит списков безопасных отправителей и обеспечение соблюдения правил условной аутентификации электронной почты.
Организациям рекомендуется отслеживать IoC, связанные с Greatness, включая известные IP-адреса и аномалии сигнатур токенов.
Использование скомпрометированных токенов может сохраняться в течение длительного времени без отзыва, что подчеркивает необходимость надежного управления идентификацией и доступом (IAM).
Рекомендуется регулярная проверка токенов MFA и немедленное отзыв после предположительно инцидентов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Платформа фишинга как услуга The Greatness использует передовые методы кражи учетных данных и токенов, особенно нацеливаясь на сервисы Microsoft 365 через сложные фишинговые кампании. Она применяет стратегии «противник посередине» и фишинг с использованием кода устройства, что позволяет операторам получать доступ к токенам аутентификации в реальном времени и обходить многофакторную аутентификацию. Ее централизованная и надежная инфраструктура поддерживает взаимозаменяемость токенов между доменами, а кампании используют доверенные отношения электронной почты для доставки поддельных сообщений, которые остаются незамеченными.
-----
Платформа фишинга как услуга (PhaaS) The Greatness нацелена на кражу учетных данных и кражу токена, фокусируясь на Microsoft 365.
Оно использует стратегии «противник посередине» (AiTM), сочетаемые с фишингом с использованием кода устройства, для реализации продвинутых методов атак.
Распространяется преимущественно через Телеграм, Greatness работает по подписной модели, что позволяет проводить сложные фишинговые кампании.
Кампания с использованием поддельных писем RingCentral использовала исключения для безопасных отправителей, что позволило обойти стандартные меры безопасности электронной почты.
Письма, отправленные с доменов, включённых в белый список, не прошли все проверки аутентификации, но всё равно были доставлены в почтовые ящики.
Платформа предоставляет единую систему бэкенда, которая позволяет использовать взаимозаменяемые токены на нескольких фишинговых доменах.
Панель оператора Greatness включает такие функции, как статистика кампаний и параметры конфигурации доменов, а также 11 шаблонов приманок.
В число задействованных доменов входят hashmiaghayi.cfd и onewayoutolook.one, при этом бэкенд построен на PHP Laravel.
Greatness включает полнофункциональную систему прокси AiTM, захватывающую токены аутентификации в реальном времени, обходящую многофакторную аутентификацию (MFA).
Захваченные токены использовались для доступа к таким сервисам, как Outlook и OneDrive, из различных географических локаций без срабатывания обнаружения.
Стоимость подписки на платформу составляет 289 долларов в месяц, с инструментами, которые упрощают различные фишинг-стратегии.
Интеграция фишинга с использованием кода устройства позволяет злоумышленникам получать токены без прямого взаимодействия с пользователем.
Стратегии обнаружения должны включать аудит списков безопасных отправителей и обеспечение соблюдения правил условной аутентификации электронной почты.
Организациям рекомендуется отслеживать IoC, связанные с Greatness, включая известные IP-адреса и аномалии сигнатур токенов.
Использование скомпрометированных токенов может сохраняться в течение длительного времени без отзыва, что подчеркивает необходимость надежного управления идентификацией и доступом (IAM).
Рекомендуется регулярная проверка токенов MFA и немедленное отзыв после предположительно инцидентов.
#ParsedReport #CompletenessMedium
05-08-2026
From open lures to cloaked gates: How a macOS ClickFix campaign learned to hide
https://www.microsoft.com/en-us/security/blog/2026/08/05/macos-clickfix-campaign-learned-hide/
Report completeness: Medium
Threats:
Clickfix_technique
Cloaking_technique
Amos_stealer
Macc_stealer
Victims:
Macos users
Industry:
Logistic
TTPs:
Tactics: 5
Technics: 0
IOCs:
Domain: 17
File: 1
Soft:
macOS, Microsoft Defender, curl, Microsoft Defender for Endpoint, Microsoft Edge
Functions:
toString
Languages:
php, javascript
Platforms:
apple
05-08-2026
From open lures to cloaked gates: How a macOS ClickFix campaign learned to hide
https://www.microsoft.com/en-us/security/blog/2026/08/05/macos-clickfix-campaign-learned-hide/
Report completeness: Medium
Threats:
Clickfix_technique
Cloaking_technique
Amos_stealer
Macc_stealer
Victims:
Macos users
Industry:
Logistic
TTPs:
Tactics: 5
Technics: 0
IOCs:
Domain: 17
File: 1
Soft:
macOS, Microsoft Defender, curl, Microsoft Defender for Endpoint, Microsoft Edge
Functions:
toString
Languages:
php, javascript
Platforms:
apple
Microsoft News
From open lures to cloaked gates: How a macOS ClickFix campaign learned to hide
A macOS ClickFix campaign shifted tactics from openly serving infostealer lures to hiding them behind a browser-fingerprinting gate. The change makes malicious infrastructure harder to detect while giving defenders new hunting opportunities.