CTT Report Hub
#ParsedReport #CompletenessHigh 07-08-2026 APT group Head Mare is exploiting vulnerabilities in an unpatched TrueConf server to deliver PhantomCore and PhantomGraph malware to videoconferencing participants https://securelist.ru/tr/head-mare-targets-trueconf…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В июле 2026 года хакерская группировка Head Mare использовала не исправленные уязвимости в серверах видеоконференцсвязи TrueConf (версии 5.3.X до 5.5.5) для развертывания двух вариантов ВПО: PhantomCore и PhantomGraph. Они использовали уязвимость для выполнения скриптов на сервере и обхода ограничений песочницы, что позволяло выполнять произвольный код с привилегиями высокого уровня. В состав ВПО входят модули для управления через Microsoft OneDrive и применяются команды PowerShell, закодированные в формате Base64, для закрепления, что усложняет усилия по обнаружению.
-----
В июле 2026 года Kaspersky выявила серию атак хакерской группировки Head Mare, которые использовали не исправленные уязвимости в сервере видеоконференцсвязи TrueConf для распространения двух видов ВПО: PhantomCore и PhantomGraph. Злоумышленники эксплуатировали цепочку уязвимостей в конкретных версиях сервера TrueConf, а именно 5.3.X через 5.3.9, 5.4.X через 5.4.9 и 5.5.X через 5.5.5, подключаясь к серверу через открытый по умолчанию порт 4307/TCP без предварительной авторизации. Это подключение позволяло злоумышленникам вызывать функции сервера и развертывать вредоносные скрипты.
Первая уязвимость получила внутренний идентификатор KLCERT-26-057 и позволяла выполнять скрипт в изолированной среде на сервере TrueConf. Однако злоумышленники использовали вторую уязвимость (KLCERT-26-058) для обхода ограничений песочницы и выполнения произвольного кода с привилегиями высокого уровня с использованием учетной записи NT AUTHORITY SYSTEM. Этот прорыв позволил им заменить важный файл locale.php на Веб-шелл, обеспечив будущий удаленный контроль над скомпрометированным сервером.
В результате злоумышленники собрали данные об ИТ-инфраструктуре, получили доступ к базе данных TrueConf и модифицировали дистрибутив TrueConf Client, включив в него бэкдор PhantomCore. Уязвимости были устранены в обновленных версиях TrueConf Server, выпущенных 18 июня 2026 года.
Для обеспечения автоматического запуска ВПО при загрузке системы злоумышленники создали специальный ключ реестра, указывающий на вредоносные файлы. Бэкдор PhantomGraph состоит из двух модулей: SysExcSvc.dll, который взаимодействует с атакующими через Microsoft OneDrive для операций управления, и SysReadSvc.dll, который обрабатывает команды и передает результаты выполнения. Архитектура ВПО включает Base64-кодированные команды PowerShell для закрепления через службы Windows, а разделение функциональности ВПО усложняет обнаружение инструментами обнаружения и реагирования на конечных точках (EDR).
Head Mare была замечена в проведении кампаний против различных секторов в России, включая транспорт и ИТ. Их методы включают фишинг и эксплуатацию публичных веб-серверов. Пользователям и организациям рекомендуется проверять подлинность загрузок TrueConf и убедиться, что цифровые подписи являются легитимными, чтобы предотвратить заражение, поскольку скомпрометированные серверы также могут стать жертвами неосведомленных пользователей, подключающихся к ним. Решения Kaspersky эффективно обнаруживают и нейтрализуют вредоносную активность, связанную с этой кампанией, включая несанкционированные изменения файлов и использование неподписанных установщиков. Дополнительные технические детали об атаке и уязвимостях будут опубликованы на веб-сайте Kaspersky ICS CERT.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В июле 2026 года хакерская группировка Head Mare использовала не исправленные уязвимости в серверах видеоконференцсвязи TrueConf (версии 5.3.X до 5.5.5) для развертывания двух вариантов ВПО: PhantomCore и PhantomGraph. Они использовали уязвимость для выполнения скриптов на сервере и обхода ограничений песочницы, что позволяло выполнять произвольный код с привилегиями высокого уровня. В состав ВПО входят модули для управления через Microsoft OneDrive и применяются команды PowerShell, закодированные в формате Base64, для закрепления, что усложняет усилия по обнаружению.
-----
В июле 2026 года Kaspersky выявила серию атак хакерской группировки Head Mare, которые использовали не исправленные уязвимости в сервере видеоконференцсвязи TrueConf для распространения двух видов ВПО: PhantomCore и PhantomGraph. Злоумышленники эксплуатировали цепочку уязвимостей в конкретных версиях сервера TrueConf, а именно 5.3.X через 5.3.9, 5.4.X через 5.4.9 и 5.5.X через 5.5.5, подключаясь к серверу через открытый по умолчанию порт 4307/TCP без предварительной авторизации. Это подключение позволяло злоумышленникам вызывать функции сервера и развертывать вредоносные скрипты.
Первая уязвимость получила внутренний идентификатор KLCERT-26-057 и позволяла выполнять скрипт в изолированной среде на сервере TrueConf. Однако злоумышленники использовали вторую уязвимость (KLCERT-26-058) для обхода ограничений песочницы и выполнения произвольного кода с привилегиями высокого уровня с использованием учетной записи NT AUTHORITY SYSTEM. Этот прорыв позволил им заменить важный файл locale.php на Веб-шелл, обеспечив будущий удаленный контроль над скомпрометированным сервером.
В результате злоумышленники собрали данные об ИТ-инфраструктуре, получили доступ к базе данных TrueConf и модифицировали дистрибутив TrueConf Client, включив в него бэкдор PhantomCore. Уязвимости были устранены в обновленных версиях TrueConf Server, выпущенных 18 июня 2026 года.
Для обеспечения автоматического запуска ВПО при загрузке системы злоумышленники создали специальный ключ реестра, указывающий на вредоносные файлы. Бэкдор PhantomGraph состоит из двух модулей: SysExcSvc.dll, который взаимодействует с атакующими через Microsoft OneDrive для операций управления, и SysReadSvc.dll, который обрабатывает команды и передает результаты выполнения. Архитектура ВПО включает Base64-кодированные команды PowerShell для закрепления через службы Windows, а разделение функциональности ВПО усложняет обнаружение инструментами обнаружения и реагирования на конечных точках (EDR).
Head Mare была замечена в проведении кампаний против различных секторов в России, включая транспорт и ИТ. Их методы включают фишинг и эксплуатацию публичных веб-серверов. Пользователям и организациям рекомендуется проверять подлинность загрузок TrueConf и убедиться, что цифровые подписи являются легитимными, чтобы предотвратить заражение, поскольку скомпрометированные серверы также могут стать жертвами неосведомленных пользователей, подключающихся к ним. Решения Kaspersky эффективно обнаруживают и нейтрализуют вредоносную активность, связанную с этой кампанией, включая несанкционированные изменения файлов и использование неподписанных установщиков. Дополнительные технические детали об атаке и уязвимостях будут опубликованы на веб-сайте Kaspersky ICS CERT.
#ParsedReport #CompletenessLow
06-08-2026
The Odyssey Piracy Downloads Already Deliver Lumma Stealer Malware
https://www.bitdefender.com/en-us/blog/hotforsecurity/the-odyssey-piracy-lumma-stealer
Report completeness: Low
Threats:
Lumma_stealer
Victims:
Pirated movie downloaders, Torrent website users, Tv show downloaders, Cracked game and software downloaders
Industry:
Media
ChatGPT TTPs:
T1027, T1036, T1036.008, T1059.010, T1204.002, T1518.001, T1539, T1555.003
IOCs:
File: 3
Domain: 3
Languages:
autoit
06-08-2026
The Odyssey Piracy Downloads Already Deliver Lumma Stealer Malware
https://www.bitdefender.com/en-us/blog/hotforsecurity/the-odyssey-piracy-lumma-stealer
Report completeness: Low
Threats:
Lumma_stealer
Victims:
Pirated movie downloaders, Torrent website users, Tv show downloaders, Cracked game and software downloaders
Industry:
Media
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1036.008, T1059.010, T1204.002, T1518.001, T1539, T1555.003
IOCs:
File: 3
Domain: 3
Languages:
autoit
Bitdefender
The Odyssey Piracy Downloads Already Deliver Lumma Stealer Malware
Fake The Odyssey downloads are already spreading Lumma Stealer malware, putting passwords, browser sessions and crypto wallets at risk.
CTT Report Hub
#ParsedReport #CompletenessLow 06-08-2026 The Odyssey Piracy Downloads Already Deliver Lumma Stealer Malware https://www.bitdefender.com/en-us/blog/hotforsecurity/the-odyssey-piracy-lumma-stealer Report completeness: Low Threats: Lumma_stealer Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи Bitdefender выявили возрождение вредоносного ПО Lumma Stealer, которое распространяется под видом легальных загрузок фильма «Одиссея» (2026). Это ВПО для кражи информации нацелено на конфиденциальные данные, такие как пароли и криптокошельки, и взаимодействует с вредоносной инфраструктурой, связанной с Lumma Stealer. Злоумышленники используют популярные фильмы для максимизации видимости на торрент-сайтах, применяя такие техники, как кастомные иконки для обмана пользователей, хотя данный вариант не обладает продвинутыми методами обхода, которые наблюдались в предыдущих версиях.
-----
Недавно исследователи Bitdefender выявили возрождение распространения вредоносного ПО Lumma Stealer, замаскированного под загрузки фильма «Одиссея» (2026). Злоумышленники используют популярные мультимедийные заголовки для распространения этого вредоносного ПО, крадущего информацию, которое часто представляется в виде файлов WEBRip или Blu-ray в разрешении 1080p. Эти вредоносные исполняемые файлы имитируют легальные загрузки медиафайлов, чтобы обманом заставить пользователей запустить их. Lumma Stealer нацелен на конфиденциальную информацию, включая пароли, файлы cookie сеансов браузера и криптокошельки, что облегчает несанкционированный доступ, позволяющий обходить многофакторную аутентификацию за счет использования украденных файлов cookie сеанса.
Этот метод распространения не является новым; он отражает прошлые кампании, в которых аналогичные тактики применялись в 2025 году. Стратегия, используемая киберпреступниками, основана на ротации текущих высоко востребованных фильмов для максимизации видимости и эксплуатации интереса пользователей к пиратскому контенту. Торрент-сайты изобилуют такими угрозами, причем в качестве векторов доставки ВПО, такого как Lumma Stealer, используются не только фильмы, но и телесериалы, а также взломанное программное обеспечение.
Lumma Stealer, также известный как LummaC2, известен своими возможностями быстрой извлечения данных и удобным для киберпреступников интерфейсом. Исследователи задокументировали, что предыдущие варианты Lumma использовали различные техники обфускации, такие как отложенное выполнение полезной нагрузки для уклонения от обнаружения программным обеспечением безопасности, а также скрипты AutoIt для доставки зашифрованной полезной нагрузки. Однако последние итерации, по-видимому, отказываются от продвинутых методов уклонения, таких как дропперы или постоянные хуки, предпочитая собирать данные немедленно после выполнения.
В своем анализе исследователи отметили, что злоумышленники часто настраивают исполняемые иконки так, чтобы они выглядели как знакомые приложения, такие как VLC Media Player, тем самым еще больше скрывая истинную природу ВПО. Недавно наблюдаемая активность управления подтверждает, что ВПО пытается установить связь с инфраструктурой, связанной с Lumma Stealer.
Мотивация, стоящая за эксплуатацией блокбастеров, заключается в значительных объемах поисковых запросов, которые они генерируют, позволяя злоумышленникам маскировать вредоносные ссылки среди обсуждений легального контента и предложений торрентов. Хотя современные решения безопасности способны обнаруживать и нейтрализовать новые варианты Lumma Stealer с помощью поведенческого анализа, пользователи по-прежнему находятся в зоне риска, особенно если они скачивают файлы из непроверенных источников. Это подчеркивает постоянную угрозу, исходящую от пиратских мультимедийных материалов как предпочтительного механизма доставки киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи Bitdefender выявили возрождение вредоносного ПО Lumma Stealer, которое распространяется под видом легальных загрузок фильма «Одиссея» (2026). Это ВПО для кражи информации нацелено на конфиденциальные данные, такие как пароли и криптокошельки, и взаимодействует с вредоносной инфраструктурой, связанной с Lumma Stealer. Злоумышленники используют популярные фильмы для максимизации видимости на торрент-сайтах, применяя такие техники, как кастомные иконки для обмана пользователей, хотя данный вариант не обладает продвинутыми методами обхода, которые наблюдались в предыдущих версиях.
-----
Недавно исследователи Bitdefender выявили возрождение распространения вредоносного ПО Lumma Stealer, замаскированного под загрузки фильма «Одиссея» (2026). Злоумышленники используют популярные мультимедийные заголовки для распространения этого вредоносного ПО, крадущего информацию, которое часто представляется в виде файлов WEBRip или Blu-ray в разрешении 1080p. Эти вредоносные исполняемые файлы имитируют легальные загрузки медиафайлов, чтобы обманом заставить пользователей запустить их. Lumma Stealer нацелен на конфиденциальную информацию, включая пароли, файлы cookie сеансов браузера и криптокошельки, что облегчает несанкционированный доступ, позволяющий обходить многофакторную аутентификацию за счет использования украденных файлов cookie сеанса.
Этот метод распространения не является новым; он отражает прошлые кампании, в которых аналогичные тактики применялись в 2025 году. Стратегия, используемая киберпреступниками, основана на ротации текущих высоко востребованных фильмов для максимизации видимости и эксплуатации интереса пользователей к пиратскому контенту. Торрент-сайты изобилуют такими угрозами, причем в качестве векторов доставки ВПО, такого как Lumma Stealer, используются не только фильмы, но и телесериалы, а также взломанное программное обеспечение.
Lumma Stealer, также известный как LummaC2, известен своими возможностями быстрой извлечения данных и удобным для киберпреступников интерфейсом. Исследователи задокументировали, что предыдущие варианты Lumma использовали различные техники обфускации, такие как отложенное выполнение полезной нагрузки для уклонения от обнаружения программным обеспечением безопасности, а также скрипты AutoIt для доставки зашифрованной полезной нагрузки. Однако последние итерации, по-видимому, отказываются от продвинутых методов уклонения, таких как дропперы или постоянные хуки, предпочитая собирать данные немедленно после выполнения.
В своем анализе исследователи отметили, что злоумышленники часто настраивают исполняемые иконки так, чтобы они выглядели как знакомые приложения, такие как VLC Media Player, тем самым еще больше скрывая истинную природу ВПО. Недавно наблюдаемая активность управления подтверждает, что ВПО пытается установить связь с инфраструктурой, связанной с Lumma Stealer.
Мотивация, стоящая за эксплуатацией блокбастеров, заключается в значительных объемах поисковых запросов, которые они генерируют, позволяя злоумышленникам маскировать вредоносные ссылки среди обсуждений легального контента и предложений торрентов. Хотя современные решения безопасности способны обнаруживать и нейтрализовать новые варианты Lumma Stealer с помощью поведенческого анализа, пользователи по-прежнему находятся в зоне риска, особенно если они скачивают файлы из непроверенных источников. Это подчеркивает постоянную угрозу, исходящую от пиратских мультимедийных материалов как предпочтительного механизма доставки киберугроз.
#ParsedReport #CompletenessHigh
10-08-2026
Kimsuky incorporates AI into its attack framework, from creating lure documents to building a local LLM
https://www.genians.co.kr/blog/threat_intelligence/kimsuky_ai_llm
Report completeness: High
Actors/Campaigns:
Kimsuky
Scarcruft
Threats:
Asyncrat
Flowerpower
Spear-phishing_technique
Victims:
Diplomatic missions, Military, Security, Virtual asset, Policy, Academia, International cooperation, Diplomatic research, Financial, Education, have more...
Industry:
Education, Financial, Military
Geo:
Dprk, China, South korea, Korean, North korean, North korea, South korean
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1027.010, T1036.007, T1036.008, T1053.005, T1059.001, T1102.003, T1105, T1140, T1204.002, have more...
IOCs:
File: 11
IP: 7
Hash: 46
Domain: 1
Email: 18
Soft:
Ollama, macOS, ChatGPT, Google Chrome, Gmail
Algorithms:
rc4, zip, base64, md5
Win API:
NET
Languages:
powershell, python
10-08-2026
Kimsuky incorporates AI into its attack framework, from creating lure documents to building a local LLM
https://www.genians.co.kr/blog/threat_intelligence/kimsuky_ai_llm
Report completeness: High
Actors/Campaigns:
Kimsuky
Scarcruft
Threats:
Asyncrat
Flowerpower
Spear-phishing_technique
Victims:
Diplomatic missions, Military, Security, Virtual asset, Policy, Academia, International cooperation, Diplomatic research, Financial, Education, have more...
Industry:
Education, Financial, Military
Geo:
Dprk, China, South korea, Korean, North korean, North korea, South korean
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1027.010, T1036.007, T1036.008, T1053.005, T1059.001, T1102.003, T1105, T1140, T1204.002, have more...
IOCs:
File: 11
IP: 7
Hash: 46
Domain: 1
Email: 18
Soft:
Ollama, macOS, ChatGPT, Google Chrome, Gmail
Algorithms:
rc4, zip, base64, md5
Win API:
NET
Languages:
powershell, python
www.genians.co.kr
AI를 공격 체계에 접목하는 김수키, 미끼 문서 제작부터 로컬 LLM 구축까지
생성형 AI로 제작한 미끼 문서와 GitHub·GitLab 기반 C2를 활용하는 김수키(Kimsuky)의 'Operation GitPower' 공격이 포착되었습니다.
CTT Report Hub
#ParsedReport #CompletenessHigh 10-08-2026 Kimsuky incorporates AI into its attack framework, from creating lure documents to building a local LLM https://www.genians.co.kr/blog/threat_intelligence/kimsuky_ai_llm Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Kimsuky, связанная с Генеральным управлением разведки Северной Кореи, совершенствует свои кибероперации, интегрируя Искусственный интеллект в свои стратегии Целевой фишинг. Они используют локальные большие языковые модели для создания убедительных документов и применяют вредоносные LNK-файлы внутри ZIP-архивов для запуска зашифрованных PowerShell-скриптов, загружающих ВПО, такое как AsyncRAT. Группа сохраняет фокус на целевом Целевой фишинг против дипломатических и военных секторов, одновременно внедряя Искусственный интеллект для сбора данных, что указывает на устойчивую приверженность улучшению своих операционных возможностей.
-----
Группа Kimsuky, связанная с Генеральным управлением разведки Северной Кореи, продемонстрировала эволюцию в своих кибероперациях, в частности, внедряя Искусственный интеллект в свой фреймворк атак. Недавние данные свидетельствуют о том, что Kimsuky использует три локальные большие языковые модели (LLM) — Ollama, GPT4All и Msty — в рамках стратегии по улучшению тактик фишинга и манипулированию документами в злонамеренных целях. Этот сдвиг означает попытку усилить их операционные возможности и указывает на долгосрочную приверженность интеграции технологий.
Тактика группы включала непрерывные целевые атаки Целевой фишинг на дипломатические миссии и сектора, связанные с военными, безопасностью и виртуальными активами. Значительный метод, применяемый злоумышленниками, заключается в использовании вредоносных LNK-файлов, заключенных в ZIP-архивы. При выполнении этих файлов активируются зашифрованные аргументы командной строки, которые приводят к запуску встроенных сценариев PowerShell. Кроме того, в ходе недавних кампаний Kimsuky распространяла замаскированные документы, выглядящие легитимно, используя генеративный искусственный интеллект для создания материалов, которые тесно имитируют подлинные документы.
Анализ выявил, что LNK-файлы часто содержат длинные строки команд, предназначенные для сокрытия вредоносных скриптов PowerShell путем их внедрения в сильно зашифрованный контент. Эти вредоносные скрипты способны загружать дополнительные полезную нагрузку, такие как AsyncRAT, маскирующийся под файлы изображений из репозиториев GitHub, используемых в качестве инфраструктуры управления (управление). Kimsuky стратегически изменяет полезную нагрузку и конфигурации в этих репозиториях, сохраняя гибкость в своих методах атак.
Группа также продемонстрировала инновационный подход к использованию искусственного интеллекта для сбора и обработки данных, что подтверждается их попытками улучшить анализ эксфильтрации информации с помощью технологий ИИ. Хотя они еще не разработали собственные модели с нуля, их текущие возможности указывают на серьезную склонность к использованию инструментов ИИ для операционного развития, включая разработку ВПО и автоматизированный анализ данных.
Более того, метод работы Kimsuky по-прежнему основан на устоявшихся техниках фишинга, с использованием LNK-файлов, выполнений через PowerShell и поддержанием разнообразных каналов C2-связи. Атаки представляются как многоэтапные процессы, переходящие от первоначального проникновения к сбору данных и закрепление через запланированные задачи. Для противодействия этим развивающимся угрозам организациям рекомендуется усилить возможности обнаружения, особенно сосредоточившись на аномалиях при выполнении LNK-файлов, шаблонах вызова PowerShell, регистрации запланированных задач и любой необычной активности в средах на базе Git. Постоянная интеграция технологий искусственного интеллекта в их операции указывает на то, что Kimsuky будет постоянно совершенствовать и адаптировать свои методы для уклонения от обнаружения и максимизации воздействия.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа Kimsuky, связанная с Генеральным управлением разведки Северной Кореи, совершенствует свои кибероперации, интегрируя Искусственный интеллект в свои стратегии Целевой фишинг. Они используют локальные большие языковые модели для создания убедительных документов и применяют вредоносные LNK-файлы внутри ZIP-архивов для запуска зашифрованных PowerShell-скриптов, загружающих ВПО, такое как AsyncRAT. Группа сохраняет фокус на целевом Целевой фишинг против дипломатических и военных секторов, одновременно внедряя Искусственный интеллект для сбора данных, что указывает на устойчивую приверженность улучшению своих операционных возможностей.
-----
Группа Kimsuky, связанная с Генеральным управлением разведки Северной Кореи, продемонстрировала эволюцию в своих кибероперациях, в частности, внедряя Искусственный интеллект в свой фреймворк атак. Недавние данные свидетельствуют о том, что Kimsuky использует три локальные большие языковые модели (LLM) — Ollama, GPT4All и Msty — в рамках стратегии по улучшению тактик фишинга и манипулированию документами в злонамеренных целях. Этот сдвиг означает попытку усилить их операционные возможности и указывает на долгосрочную приверженность интеграции технологий.
Тактика группы включала непрерывные целевые атаки Целевой фишинг на дипломатические миссии и сектора, связанные с военными, безопасностью и виртуальными активами. Значительный метод, применяемый злоумышленниками, заключается в использовании вредоносных LNK-файлов, заключенных в ZIP-архивы. При выполнении этих файлов активируются зашифрованные аргументы командной строки, которые приводят к запуску встроенных сценариев PowerShell. Кроме того, в ходе недавних кампаний Kimsuky распространяла замаскированные документы, выглядящие легитимно, используя генеративный искусственный интеллект для создания материалов, которые тесно имитируют подлинные документы.
Анализ выявил, что LNK-файлы часто содержат длинные строки команд, предназначенные для сокрытия вредоносных скриптов PowerShell путем их внедрения в сильно зашифрованный контент. Эти вредоносные скрипты способны загружать дополнительные полезную нагрузку, такие как AsyncRAT, маскирующийся под файлы изображений из репозиториев GitHub, используемых в качестве инфраструктуры управления (управление). Kimsuky стратегически изменяет полезную нагрузку и конфигурации в этих репозиториях, сохраняя гибкость в своих методах атак.
Группа также продемонстрировала инновационный подход к использованию искусственного интеллекта для сбора и обработки данных, что подтверждается их попытками улучшить анализ эксфильтрации информации с помощью технологий ИИ. Хотя они еще не разработали собственные модели с нуля, их текущие возможности указывают на серьезную склонность к использованию инструментов ИИ для операционного развития, включая разработку ВПО и автоматизированный анализ данных.
Более того, метод работы Kimsuky по-прежнему основан на устоявшихся техниках фишинга, с использованием LNK-файлов, выполнений через PowerShell и поддержанием разнообразных каналов C2-связи. Атаки представляются как многоэтапные процессы, переходящие от первоначального проникновения к сбору данных и закрепление через запланированные задачи. Для противодействия этим развивающимся угрозам организациям рекомендуется усилить возможности обнаружения, особенно сосредоточившись на аномалиях при выполнении LNK-файлов, шаблонах вызова PowerShell, регистрации запланированных задач и любой необычной активности в средах на базе Git. Постоянная интеграция технологий искусственного интеллекта в их операции указывает на то, что Kimsuky будет постоянно совершенствовать и адаптировать свои методы для уклонения от обнаружения и максимизации воздействия.
#ParsedReport #CompletenessHigh
06-08-2026
Russian AI Slopsquatting Publishes 700+ Malicious NPM Packages
https://opensourcemalware.com/blog/russian-ai-slopsquatting-npm-campaign
Report completeness: High
Threats:
Slopsquatting_technique
Nul1dropper
Typosquatting_technique
Launchagents_tool
Sliver_c2_tool
Moika
Wel1dropper
Victims:
Npm ecosystem, Financial institutions, Mobile payments
Industry:
Healthcare
Geo:
Russian
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
T1008, T1027, T1027.002, T1036, T1059.007, T1071.001, T1071.004, T1090, T1102, T1105, have more...
IOCs:
Domain: 14
File: 7
Command: 2
Url: 12
Hash: 7
Soft:
Linux, macOS, Unix, sysctl
Algorithms:
sha256, xor, base64
Functions:
require, init, version, configure, run
Win API:
lockfile
Languages:
javascript
Platforms:
x64, intel, cross-platform, arm, x86, apple
Links:
06-08-2026
Russian AI Slopsquatting Publishes 700+ Malicious NPM Packages
https://opensourcemalware.com/blog/russian-ai-slopsquatting-npm-campaign
Report completeness: High
Threats:
Slopsquatting_technique
Nul1dropper
Typosquatting_technique
Launchagents_tool
Sliver_c2_tool
Moika
Wel1dropper
Victims:
Npm ecosystem, Financial institutions, Mobile payments
Industry:
Healthcare
Geo:
Russian
TTPs:
Tactics: 3
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1008, T1027, T1027.002, T1036, T1059.007, T1071.001, T1071.004, T1090, T1102, T1105, have more...
IOCs:
Domain: 14
File: 7
Command: 2
Url: 12
Hash: 7
Soft:
Linux, macOS, Unix, sysctl
Algorithms:
sha256, xor, base64
Functions:
require, init, version, configure, run
Win API:
lockfile
Languages:
javascript
Platforms:
x64, intel, cross-platform, arm, x86, apple
Links:
https://github.com/OpenSourceMalware/wel1dropper/blob/main/wel1dropper-package-list.csvOpensourcemalware
OpenSourceMalware.com - Community Threat Intelligence
Community-driven threat intelligence. Human-verified supply chain threats from every major open source ecosystem.
CTT Report Hub
#ParsedReport #CompletenessHigh 06-08-2026 Russian AI Slopsquatting Publishes 700+ Malicious NPM Packages https://opensourcemalware.com/blog/russian-ai-slopsquatting-npm-campaign Report completeness: High Threats: Slopsquatting_technique Nul1dropper T…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания NUL1DROPPER распространила более 700 вредоносных пакетов npm, используя управляемые ИИ техники тайпсквоттинга для доставки троянской программы (RAT) на платформы Windows, macOS и Linux. Этот загрузчик работает независимо от установочных скриптов, используя HTTPS-запросы и DNS TXT-записи для сокрытия доставки полезной нагрузки, что усложняет обнаружение. Встраиваемая полезная нагрузка оснащена мерами противодействия анализу и включает внедрение Sliver, что указывает на причастность российских злоумышленников, нацеленных на финансовые учреждения.
-----
Недавняя преступная хакерская кампания привела к появлению более 700 вредоносных пакетов, загруженных в репозиторий npm, с использованием тактик, связанных с ИИ-генерацией тайпсквоттинга, для уклонения от обнаружения. Известный как NUL1DROPPER, этот загрузчик нацелен на несколько операционных систем, включая Windows, macOS и Linux, внедряя Троянская программа в зараженные системы без необходимости традиционного установочного скрипта. Его основной метод доставки полезной нагрузки включает использование HTTPS-запросов к трем различным хостам Cloudflare Workers, с механизмом резервирования, использующим DNS TXT-записи домена wel1.ru.
Загрузчик спроектирован так, чтобы функционировать независимо от скриптов жизненного цикла, что означает, что его потенциальное воздействие не ограничивается процессами, участвующими в установке. Вместо этого, после импорта вредоносного пакета с помощью функции `require()`, он пытается загрузить полезную нагрузку, отправляя запросы к указанным хостам HTTPS. Когда эти попытки оказываются неудачными, он извлекает полезную нагрузку напрямую через DNS-запросы, что может остаться незамеченным стандартными системами мониторинга, не настроенными на тщательный анализ DNS-трафика.
Как только загрузчик получает достаточный объем данных, он генерирует случайный идентификатор, записывает полезную нагрузку на диск и выполняет ее в отсоединенном режиме, что означает отсутствие взаимодействия со стандартным вводом или выводом. Эта тактика обфускации предназначена для маскировки вредоносной активности, затрудняя механизмам безопасности обнаружение полезных нагрузок среди легитимных файлов. Файлы используют общие соглашения об именовании, выглядя безобидно в системных каталогах.
Кампания также демонстрирует многоэтапную архитектуру; пакет JavaScript первого этапа выполняет лишь функцию загрузчика. Реальные вредоносные действия, такие как кража учетных данных, механизмы закрепления и действия управления, скрыты во вторичном полезном грузе. Примечательно, что доставляемые нативные бинарные файлы хорошо замаскированы, причем один из них, нацеленный на macOS, способен загружать дополнительные полезные нагрузки с использованием библиотек, таких как libcurl и libresolv.
Кроме того, полезная нагрузка использует техники антианализа, способные обнаруживать среды отладки и виртуальные машины, тем самым усложняя усилия по реверс-инжинирингу. Вариант для Linux упакован с помощью UPX для обхода статического анализа и, вероятно, служит имплантом Sliver — фреймворк управления, который часто эксплуатируется злоумышленниками.
Атрибуция кампании указывает на российских злоумышленников, связанных с предыдущими кампаниями ВПО, такими как Moika, известными своим фокусом на российские финансовые учреждения и инновационными тактиками уклонения. Защитникам рекомендуется тщательно мониторить DNS-логи на наличие TXT-записей в домене wel1.ru и логи прокси на активность, связанную с упомянутыми Cloudflare Workers, а также проводить тщательные проверки телеметрии конечных точек на наличие характерных признаков загруженных полезной нагрузки.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания NUL1DROPPER распространила более 700 вредоносных пакетов npm, используя управляемые ИИ техники тайпсквоттинга для доставки троянской программы (RAT) на платформы Windows, macOS и Linux. Этот загрузчик работает независимо от установочных скриптов, используя HTTPS-запросы и DNS TXT-записи для сокрытия доставки полезной нагрузки, что усложняет обнаружение. Встраиваемая полезная нагрузка оснащена мерами противодействия анализу и включает внедрение Sliver, что указывает на причастность российских злоумышленников, нацеленных на финансовые учреждения.
-----
Недавняя преступная хакерская кампания привела к появлению более 700 вредоносных пакетов, загруженных в репозиторий npm, с использованием тактик, связанных с ИИ-генерацией тайпсквоттинга, для уклонения от обнаружения. Известный как NUL1DROPPER, этот загрузчик нацелен на несколько операционных систем, включая Windows, macOS и Linux, внедряя Троянская программа в зараженные системы без необходимости традиционного установочного скрипта. Его основной метод доставки полезной нагрузки включает использование HTTPS-запросов к трем различным хостам Cloudflare Workers, с механизмом резервирования, использующим DNS TXT-записи домена wel1.ru.
Загрузчик спроектирован так, чтобы функционировать независимо от скриптов жизненного цикла, что означает, что его потенциальное воздействие не ограничивается процессами, участвующими в установке. Вместо этого, после импорта вредоносного пакета с помощью функции `require()`, он пытается загрузить полезную нагрузку, отправляя запросы к указанным хостам HTTPS. Когда эти попытки оказываются неудачными, он извлекает полезную нагрузку напрямую через DNS-запросы, что может остаться незамеченным стандартными системами мониторинга, не настроенными на тщательный анализ DNS-трафика.
Как только загрузчик получает достаточный объем данных, он генерирует случайный идентификатор, записывает полезную нагрузку на диск и выполняет ее в отсоединенном режиме, что означает отсутствие взаимодействия со стандартным вводом или выводом. Эта тактика обфускации предназначена для маскировки вредоносной активности, затрудняя механизмам безопасности обнаружение полезных нагрузок среди легитимных файлов. Файлы используют общие соглашения об именовании, выглядя безобидно в системных каталогах.
Кампания также демонстрирует многоэтапную архитектуру; пакет JavaScript первого этапа выполняет лишь функцию загрузчика. Реальные вредоносные действия, такие как кража учетных данных, механизмы закрепления и действия управления, скрыты во вторичном полезном грузе. Примечательно, что доставляемые нативные бинарные файлы хорошо замаскированы, причем один из них, нацеленный на macOS, способен загружать дополнительные полезные нагрузки с использованием библиотек, таких как libcurl и libresolv.
Кроме того, полезная нагрузка использует техники антианализа, способные обнаруживать среды отладки и виртуальные машины, тем самым усложняя усилия по реверс-инжинирингу. Вариант для Linux упакован с помощью UPX для обхода статического анализа и, вероятно, служит имплантом Sliver — фреймворк управления, который часто эксплуатируется злоумышленниками.
Атрибуция кампании указывает на российских злоумышленников, связанных с предыдущими кампаниями ВПО, такими как Moika, известными своим фокусом на российские финансовые учреждения и инновационными тактиками уклонения. Защитникам рекомендуется тщательно мониторить DNS-логи на наличие TXT-записей в домене wel1.ru и логи прокси на активность, связанную с упомянутыми Cloudflare Workers, а также проводить тщательные проверки телеметрии конечных точек на наличие характерных признаков загруженных полезной нагрузки.
#ParsedReport #CompletenessMedium
04-08-2026
Threat Actor Profile: NightSpire Ransomware - Barricade Cyber Solutions
https://barricadecyber.com/threat-actor-profile-nightspire-ransomware/
Report completeness: Medium
Actors/Campaigns:
Xdragon128
Cuteliyuan
Threats:
Nightspire
Qtox_tool
Anydesk_tool
Victims:
Small and mid sized businesses, Manufacturing, Technology
Geo:
United states
TTPs:
Tactics: 3
Technics: 4
IOCs:
IP: 2
Domain: 1
Email: 3
File: 2
Hash: 2
Soft:
ProtonMail, Telegram, Gmail, FortiGate, Chrome, WinSCP
Languages:
golang
04-08-2026
Threat Actor Profile: NightSpire Ransomware - Barricade Cyber Solutions
https://barricadecyber.com/threat-actor-profile-nightspire-ransomware/
Report completeness: Medium
Actors/Campaigns:
Xdragon128
Cuteliyuan
Threats:
Nightspire
Qtox_tool
Anydesk_tool
Victims:
Small and mid sized businesses, Manufacturing, Technology
Geo:
United states
TTPs:
Tactics: 3
Technics: 4
IOCs:
IP: 2
Domain: 1
Email: 3
File: 2
Hash: 2
Soft:
ProtonMail, Telegram, Gmail, FortiGate, Chrome, WinSCP
Languages:
golang
Barricade Cyber Solutions
Threat Actor Profile: NightSpire Ransomware - Barricade Cyber Solutions
NightSpire is a fast-moving data-extortion crew that breaks in through your perimeter, steals everything it can reach, encrypts what is left, and then pressures you on a public leak site and in a private negotiation portal. Here is the full profile, the indicators…
CTT Report Hub
#ParsedReport #CompletenessMedium 04-08-2026 Threat Actor Profile: NightSpire Ransomware - Barricade Cyber Solutions https://barricadecyber.com/threat-actor-profile-nightspire-ransomware/ Report completeness: Medium Actors/Campaigns: Xdragon128 Cuteliyuan…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
NightSpire — это финансово мотивированная группа вымогателей, использующая модель двойного вымогательства, шифрующая данные с расширением .nspire и угрожающая опубликовать их на сайте утечек в Tor. Они эксплуатируют уязвимости в межсетевых экранах и VPN, доступных из интернета, особенно в FortiOS, и используют программное обеспечение для удаленного управления для получения доступа. Операционно они демонстрируют непоследовательность в методах шифрования и вымогательских записках, что усложняет обнаружение, при этом в основном нацеливаясь на малый и средний бизнес в США.
-----
NightSpire — это финансово мотивированная группа, занимающаяся программным обеспечением для вымогательства и двойным вымогательством, которая активно атакует организации с начала 2025 года. Группа использует модель двойного вымогательства, при которой шифрует данные жертв с расширением .nspire и угрожает опубликовать украденные файлы на своем сайте утечек в Tor, а также продать их конкурентам жертвы. Точки доступа NightSpire обычно связаны с эксплуатацией интернет-ориентированных межсетевых экранов и VPN, особенно через известные уязвимости, такие как те, что были обнаружены в FortiOS, а также через экспонированные протоколы удаленного рабочего стола.
После проникновения в сеть NightSpire использует стандартные административные инструменты для своей деятельности, включая утилиты поиска файлов для обнаружения соответствующих данных и средства сжатия для эксфильтрации. Они часто применяют программное обеспечение для удаленного управления для поддержания доступа. Процесс шифрования происходит после накопления данных и эксфильтрации, за которым следует размещение вымогательской записки, направляющей жертв к взаимодействию через их портал для переговоров. Примечательно, что группа демонстрирует непоследовательность в своей деятельности, изменяя свой шифровальщик и вымогательские записки между инцидентами, что усложняет усилия по обнаружению, основанные исключительно на хешировании.
Жертвами NightSpire в основном являются малые и средние предприятия в секторах производства и технологий, с значительной концентрацией в Соединенных Штатах. Их операционная безопасность, по-видимому, имеет существенные пробелы, так как они демонстрируют плохую дисциплину в управлении своей инфраструктурой, одновременно успешно эксплуатируя значительные уязвимости периметра. Попытки атрибуции группы указывают на то, что их методы могут соответствовать методам восточноевропейской или русскоязычной команды, однако прямые связи остаются неподтвержденными.
Портал переговоров NightSpire представляет собой простое веб-приложение, в котором жертвы перечисляются вместе с таймерами обратного отсчета, при этом сеансы переговоров характеризуются высокими первоначальными требованиями выкупа, которые постепенно снижаются в ходе торга. По сообщениям, группа позволяет жертвам тестировать возможности восстановления, предлагая расшифровать несущественные файлы в качестве доказательства способности восстановить данные.
Стратегии смягчения последствий, связанные с фирмой NightSpire, подчеркивают необходимость устранения уязвимостей периметра путем своевременного обновления интернет-ориентированных межсетевых экранов и применения многофакторной аутентификации на всех точках удаленного доступа для ограничения воздействия. Организациям рекомендуется поддерживать безопасные автономные резервные копии и выявлять аномалии, связанные с поведением эксфильтрации данных и процессами шифрования, а не полагаться исключительно на статические файловые сигнатуры. В целом, эффективная защита от этого типа угроз заключается в проактивных мерах, которые устраняют точки входа и усиливают возможности мониторинга.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
NightSpire — это финансово мотивированная группа вымогателей, использующая модель двойного вымогательства, шифрующая данные с расширением .nspire и угрожающая опубликовать их на сайте утечек в Tor. Они эксплуатируют уязвимости в межсетевых экранах и VPN, доступных из интернета, особенно в FortiOS, и используют программное обеспечение для удаленного управления для получения доступа. Операционно они демонстрируют непоследовательность в методах шифрования и вымогательских записках, что усложняет обнаружение, при этом в основном нацеливаясь на малый и средний бизнес в США.
-----
NightSpire — это финансово мотивированная группа, занимающаяся программным обеспечением для вымогательства и двойным вымогательством, которая активно атакует организации с начала 2025 года. Группа использует модель двойного вымогательства, при которой шифрует данные жертв с расширением .nspire и угрожает опубликовать украденные файлы на своем сайте утечек в Tor, а также продать их конкурентам жертвы. Точки доступа NightSpire обычно связаны с эксплуатацией интернет-ориентированных межсетевых экранов и VPN, особенно через известные уязвимости, такие как те, что были обнаружены в FortiOS, а также через экспонированные протоколы удаленного рабочего стола.
После проникновения в сеть NightSpire использует стандартные административные инструменты для своей деятельности, включая утилиты поиска файлов для обнаружения соответствующих данных и средства сжатия для эксфильтрации. Они часто применяют программное обеспечение для удаленного управления для поддержания доступа. Процесс шифрования происходит после накопления данных и эксфильтрации, за которым следует размещение вымогательской записки, направляющей жертв к взаимодействию через их портал для переговоров. Примечательно, что группа демонстрирует непоследовательность в своей деятельности, изменяя свой шифровальщик и вымогательские записки между инцидентами, что усложняет усилия по обнаружению, основанные исключительно на хешировании.
Жертвами NightSpire в основном являются малые и средние предприятия в секторах производства и технологий, с значительной концентрацией в Соединенных Штатах. Их операционная безопасность, по-видимому, имеет существенные пробелы, так как они демонстрируют плохую дисциплину в управлении своей инфраструктурой, одновременно успешно эксплуатируя значительные уязвимости периметра. Попытки атрибуции группы указывают на то, что их методы могут соответствовать методам восточноевропейской или русскоязычной команды, однако прямые связи остаются неподтвержденными.
Портал переговоров NightSpire представляет собой простое веб-приложение, в котором жертвы перечисляются вместе с таймерами обратного отсчета, при этом сеансы переговоров характеризуются высокими первоначальными требованиями выкупа, которые постепенно снижаются в ходе торга. По сообщениям, группа позволяет жертвам тестировать возможности восстановления, предлагая расшифровать несущественные файлы в качестве доказательства способности восстановить данные.
Стратегии смягчения последствий, связанные с фирмой NightSpire, подчеркивают необходимость устранения уязвимостей периметра путем своевременного обновления интернет-ориентированных межсетевых экранов и применения многофакторной аутентификации на всех точках удаленного доступа для ограничения воздействия. Организациям рекомендуется поддерживать безопасные автономные резервные копии и выявлять аномалии, связанные с поведением эксфильтрации данных и процессами шифрования, а не полагаться исключительно на статические файловые сигнатуры. В целом, эффективная защита от этого типа угроз заключается в проактивных мерах, которые устраняют точки входа и усиливают возможности мониторинга.
#ParsedReport #CompletenessMedium
06-08-2026
Remus Hides Its Command Server on Ethereum While Emptying Browser Vaults
https://cybersecuritynews.com/remus-hides-its-command-server/
Report completeness: Medium
Threats:
Remus
Seo_poisoning_technique
Etherhiding_technique
Process_injection_technique
Goflateloader
Lumma_stealer
Vidar_stealer
Shark_stealer
Victims:
Turkish users, Organizations
Industry:
Entertainment, Financial
Geo:
Turkish
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1001.003, T1041, T1055, T1071.001, T1102.001, T1113, T1114.001, T1115, T1204.002, T1539, have more...
IOCs:
Coin: 1
Domain: 14
IP: 6
Hash: 19
Soft:
ecraft malw
Crypto:
ethereum
Algorithms:
sha256, aes
Links:
06-08-2026
Remus Hides Its Command Server on Ethereum While Emptying Browser Vaults
https://cybersecuritynews.com/remus-hides-its-command-server/
Report completeness: Medium
Threats:
Remus
Seo_poisoning_technique
Etherhiding_technique
Process_injection_technique
Goflateloader
Lumma_stealer
Vidar_stealer
Shark_stealer
Victims:
Turkish users, Organizations
Industry:
Entertainment, Financial
Geo:
Turkish
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1001.003, T1041, T1055, T1071.001, T1102.001, T1113, T1114.001, T1115, T1204.002, T1539, have more...
IOCs:
Coin: 1
Domain: 14
IP: 6
Hash: 19
Soft:
ecraft malw
Crypto:
ethereum
Algorithms:
sha256, aes
Links:
https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/main/2026-07-30-Remus-Info-Stealer-Uses-Blockchain-Anchored-C2.txt?utm\_campaign=tti\_remus-infostealerCyber Security News
Remus Hides Its Command Server on Ethereum While Emptying Browser Vaults
Remus infostealer uses fake cracked software sites to steal browser passwords, cookies, and crypto wallet data from Windows users.
👍1
CTT Report Hub
#ParsedReport #CompletenessMedium 06-08-2026 Remus Hides Its Command Server on Ethereum While Emptying Browser Vaults https://cybersecuritynews.com/remus-hides-its-command-server/ Report completeness: Medium Threats: Remus Seo_poisoning_technique Ethe…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Remus — это ВПО для кражи информации, нацеленное на системы Windows, которое извлекает конфиденциальные данные из веб-браузеров, включая пароли и информацию о криптокошельках. Оно использует агрессивные тактики SEO и распространяется через магазины пиратского программного обеспечения, побуждая жертв скачивать его через мошеннические архивы. Уникальной особенностью Remus является использование смарт-контрактов Ethereum для динамической эксфильтрации данных, что позволяет ему избегать обнаружения путем маскировки исходящего трафика и усложнения защитных мер против его гибкой инфраструктуры управления.
-----
Remus — это новый активный инструмент для кражи информации, нацеленный на системы Windows, предназначенный специально для извлечения конфиденциальных данных из популярных веб-браузеров, включая сохраненные пароли, файлы cookie и информацию о криптографических кошельках. Развертывание ВПО использует агрессивные тактики SEO в сочетании с турецкоязычными магазинами пиратского программного обеспечения, применяя имена файлов, которые привлекают пользователей, ищущих пиратское ПО. Жертвы невольно загружают Remus после извлечения поддельного архива и запуска встроенного исполняемого файла, что приводит к внедрению ВПО в работающие браузеры на базе Chromium через удаленные потоки.
После внедрения Remus не только извлекает данные из веб-браузеров, но и получает доступ к Менеджеры паролей, FTP-клиентам, содержимому буфера обмена, скриншотам и корпоративным хранилищам электронной почты. Этот обширный сбор данных происходит быстро, потенциально раскрывая широкий спектр цифровых действий жертвы. Примечательно, что, в отличие от традиционного ВПО, которое связывается с фиксированными серверами, Remus использует уникальный метод эксфильтрации, выполняя ончейн-запросы к указанному смарт-контракту Ethereum для определения места отправки украденных данных. Этот подход позволяет инфраструктуре управления динамически перемещаться между различными серверами, сохраняя ядро ВПО неизменным, что усложняет защитные меры.
ВПО использует запрос JSON-RPC к публичному конечному пункту Ethereum для запроса конкретного адреса смарт-контракта и декодирует ответ в URL-адрес активной команды, направляя украденные данные на домены, искусно спроектированные для имитации легитимного трафика, тем самым избегая обнаружения. Подделывая заголовки HTTP Host для имперсонации авторитетных технологических вендоров, Remus маскирует свой исходящий трафик, снижая вероятность захвата простыми правилами фильтрации.
Операции, связанные с Remus, включают коллаборативную сеть инфостилеров. Он распространяется вместе с другими семействами ВПО, такими как Lumma и Vidar, через инфраструктуру, состоящую из открытых директорий и warez-сайтов. Эти сайты часто размещают свежие вредоносные payloads и активно поддерживаются, что указывает на коллективные усилия со стороны нескольких злоумышленников. Такая оркестровка инструментов усложняет задачу для защитников, поскольку становится сложно связывать отдельные заражения с конкретными payloads или злоумышленниками.
Для усиления защиты организациям рекомендуется блокировать доступ к известным вредоносным доменам и IP-адресам, связанным с Remus, отслеживать аномальные HTTP POST-запросы, использующие поддельные заголовки Host, и обращать внимание на инъекции процессов, нацеленные на процессы браузеров. Учитывая ценность хранилищ паролей и браузерных хранилищ как критических активов, рекомендуется внедрять многофакторную аутентификацию для укрепления безопасности от компрометации учетных записей, вызванной сохраненными учетными данными. Появление Remus отражает более широкий сдвиг в сторону ВПО, использующего системы смарт-контрактов и технологии Web3, что свидетельствует об изменяющемся ландшафте угроз, создающем дополнительные сложности для усилий в области кибербезопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Remus — это ВПО для кражи информации, нацеленное на системы Windows, которое извлекает конфиденциальные данные из веб-браузеров, включая пароли и информацию о криптокошельках. Оно использует агрессивные тактики SEO и распространяется через магазины пиратского программного обеспечения, побуждая жертв скачивать его через мошеннические архивы. Уникальной особенностью Remus является использование смарт-контрактов Ethereum для динамической эксфильтрации данных, что позволяет ему избегать обнаружения путем маскировки исходящего трафика и усложнения защитных мер против его гибкой инфраструктуры управления.
-----
Remus — это новый активный инструмент для кражи информации, нацеленный на системы Windows, предназначенный специально для извлечения конфиденциальных данных из популярных веб-браузеров, включая сохраненные пароли, файлы cookie и информацию о криптографических кошельках. Развертывание ВПО использует агрессивные тактики SEO в сочетании с турецкоязычными магазинами пиратского программного обеспечения, применяя имена файлов, которые привлекают пользователей, ищущих пиратское ПО. Жертвы невольно загружают Remus после извлечения поддельного архива и запуска встроенного исполняемого файла, что приводит к внедрению ВПО в работающие браузеры на базе Chromium через удаленные потоки.
После внедрения Remus не только извлекает данные из веб-браузеров, но и получает доступ к Менеджеры паролей, FTP-клиентам, содержимому буфера обмена, скриншотам и корпоративным хранилищам электронной почты. Этот обширный сбор данных происходит быстро, потенциально раскрывая широкий спектр цифровых действий жертвы. Примечательно, что, в отличие от традиционного ВПО, которое связывается с фиксированными серверами, Remus использует уникальный метод эксфильтрации, выполняя ончейн-запросы к указанному смарт-контракту Ethereum для определения места отправки украденных данных. Этот подход позволяет инфраструктуре управления динамически перемещаться между различными серверами, сохраняя ядро ВПО неизменным, что усложняет защитные меры.
ВПО использует запрос JSON-RPC к публичному конечному пункту Ethereum для запроса конкретного адреса смарт-контракта и декодирует ответ в URL-адрес активной команды, направляя украденные данные на домены, искусно спроектированные для имитации легитимного трафика, тем самым избегая обнаружения. Подделывая заголовки HTTP Host для имперсонации авторитетных технологических вендоров, Remus маскирует свой исходящий трафик, снижая вероятность захвата простыми правилами фильтрации.
Операции, связанные с Remus, включают коллаборативную сеть инфостилеров. Он распространяется вместе с другими семействами ВПО, такими как Lumma и Vidar, через инфраструктуру, состоящую из открытых директорий и warez-сайтов. Эти сайты часто размещают свежие вредоносные payloads и активно поддерживаются, что указывает на коллективные усилия со стороны нескольких злоумышленников. Такая оркестровка инструментов усложняет задачу для защитников, поскольку становится сложно связывать отдельные заражения с конкретными payloads или злоумышленниками.
Для усиления защиты организациям рекомендуется блокировать доступ к известным вредоносным доменам и IP-адресам, связанным с Remus, отслеживать аномальные HTTP POST-запросы, использующие поддельные заголовки Host, и обращать внимание на инъекции процессов, нацеленные на процессы браузеров. Учитывая ценность хранилищ паролей и браузерных хранилищ как критических активов, рекомендуется внедрять многофакторную аутентификацию для укрепления безопасности от компрометации учетных записей, вызванной сохраненными учетными данными. Появление Remus отражает более широкий сдвиг в сторону ВПО, использующего системы смарт-контрактов и технологии Web3, что свидетельствует об изменяющемся ландшафте угроз, создающем дополнительные сложности для усилий в области кибербезопасности.
#ParsedReport #CompletenessMedium
07-08-2026
Awaken Likho is finally changing its modus operandi: moving to its own backdoors TokenBuoy and TokenBuoySH
https://securelist.ru/awaken-likho-tokenbuoy/116536/
Report completeness: Medium
Actors/Campaigns:
Core_werewolf
Threats:
Tokenbuoy
Tokenbuoysh
Ultra_vnc_tool
Meshcentral_tool
Rclone_tool
Victims:
Government organizations
Industry:
Government
Geo:
Belarusian, Russian
ChatGPT TTPs:
T1012, T1016, T1027, T1057, T1059.003, T1059.005, T1070.004, T1071.001, T1082, T1083, have more...
IOCs:
Command: 2
File: 4
Domain: 13
IP: 10
Hash: 28
Soft:
OpenSSH, WinRAR
Algorithms:
base58, zip
Win API:
CreateProcess
Languages:
autoit
07-08-2026
Awaken Likho is finally changing its modus operandi: moving to its own backdoors TokenBuoy and TokenBuoySH
https://securelist.ru/awaken-likho-tokenbuoy/116536/
Report completeness: Medium
Actors/Campaigns:
Core_werewolf
Threats:
Tokenbuoy
Tokenbuoysh
Ultra_vnc_tool
Meshcentral_tool
Rclone_tool
Victims:
Government organizations
Industry:
Government
Geo:
Belarusian, Russian
ChatGPT TTPs:
do not use without manual checkT1012, T1016, T1027, T1057, T1059.003, T1059.005, T1070.004, T1071.001, T1082, T1083, have more...
IOCs:
Command: 2
File: 4
Domain: 13
IP: 10
Hash: 28
Soft:
OpenSSH, WinRAR
Algorithms:
base58, zip
Win API:
CreateProcess
Languages:
autoit