#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Проект CAV3RN — это модульный фреймворк для шпионажа, нацеленный на израильские организации, с расширенными возможностями C2. Он использует ответы DNS A-записей для динамического выбора между прямым HTTPS-соединением и ретранслятором Google Apps Script, что позволяет маскировать вредоносную активность. Модуль C2 управляет несколькими типами пакетов и проходит обмен кадрами типа 0 для установления соединений, в то время как брокер между компонентами координирует компоненты DLL, что указывает на то, что его происхождение может быть связано с легальным бизнесом в прошлом.
-----

Проект CAV3RN — это эволюционирующий модульный шпионский фреймворк, нацеленный на организации в Израиле, архитектура и возможности управления (C2) которого демонстрируют значительные улучшения. Данный фреймворк использует сложный модуль управления, который применяет ответы DNS A-записей для динамического выбора между прямым HTTPS-соединением и ретранслятором Google Apps Script для обработки транзакций. Эта DNS-инфраструктура также позволяет операторам проверять и ротировать идентификаторы развертывания для канала Google.

Основной модуль связи C2 экспортирует несколько функций и инициализируется с локальным брокером, регистрирующим обратные вызовы. При инициализации он выполняет обмен кадрами типа 0 для установления соединения с брокером, из которого получает операционные идентификаторы. Пакеты C2 структурированы с несколькими полями, а модуль связи обрабатывает определенные типы пакетов внутренне, в то время как другие пересылает брокеру. Первоначальная отчетность C2 включает полный инвентарь DLL в контексте приложения, отформатированный в JSON и скрытый с помощью кодирования XOR и Base64.

Одной из ключевых особенностей фреймворка является его двойная возможность связи через C2. Когда канал Google Apps Script выбирается через DNS, модуль генерирует запросы, направленные на конкретный URL Apps Script, скрывая вредоносную активность под поддельной страницей. Для прямого канала HTTPS модуль связывается с указанным адресом API, требуя пользовательский заголовок для успешных запросов.

Брокер между компонентами, маскирующийся под библиотеку OpenPGP, выступает в роли координатора для других компонентов DLL, обеспечивая использование в рамках фреймворка только файлов с наивысшей версией, основанных на конкретных экспортных функциях. Исторические данные об инфраструктуре указывают на то, что домен, связанный с сервером C2, ранее был связан с легитимным бизнесом в Израиле, что предполагает возможное приобретение злоумышленниками после истечения срока его первоначальной регистрации.

#ParsedReport #CompletenessMedium
11-08-2026

Fake CCleaner installs GhostDesk Chrome spyware

https://www.malwarebytes.com/blog/threat-intel/2026/08/fake-ccleaner-installs-ghostdesk-chrome-spyware

Report completeness: Medium

Threats:
Ghostdesk_spyware
Credential_harvesting_technique
Mitm_technique

Victims:
Windows users, Chrome users

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1012, T1036, T1041, T1056.001, T1056.003, T1059.007, T1071.001, T1082, T1113, T1176, have more...

IOCs:
Domain: 3
File: 7
IP: 1
Hash: 8

Soft:
Chrome, Microsoft Store, Google Play

Algorithms:
sha256

Win API:
sendMessage

Languages:
javascript, cscript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Обнаружена вредоносная кампания, использующая поддельную версию CCleaner для распространения шпионского расширения для Chrome под названием GhostDesk. Атака использует фишинговый сайт, имитирующий легитимную страницу загрузки CCleaner, который приводит к исполняемому файлу, запускающему многоэтапную инфекцию с использованием CScript. Шпионское ПО обеспечивает регистрацию нажатий клавиш, криптоджекинг, динамическую инъекцию кода, эксфильтрацию данных через WebSocket и поддерживает закрепление в браузере с помощью скриптов, подключающихся к серверу управления, что способствует краже конфиденциальных данных.
-----

Обнаружена вредоносная кампания, использующая поддельную версию широко известного инструмента для очистки ПК CCleaner для распространения расширения для Chrome, содержащего шпионское ПО и идентифицируемого как GhostDesk. Это гибридное шпионское ПО функционирует внутри браузера, позволяя злоумышленникам похищать конфиденциальные данные пользователей. Тактика использует популярность CCleaner, который имеет более 2 миллиардов загрузок, что делает его привлекательным методом для киберпреступников, стремящихся доставить ВПО.

Процесс заражения начинается на фишинговом сайте, который создан для того, чтобы максимально точно имитировать легитимную страницу загрузки CCleaner. Несмотря на наличие внешне безопасных вариантов загрузки, обе кнопки ведут к одному и тому же вредоносному исполняемому файлу. После запуска вредоносное ПО использует CScript для инициирования многоэтапного заражения. В первую очередь оно проводит разведку системы, запрашивая из реестра информацию, специфичную для данной машины. Затем оно перехватывает компонент Runtime Broker для внедрения рефлексивного загрузчика для дальнейшего вредоносного ПО, а также осуществляет вредоносное изменение в расширении безопасности Chrome. Это изменение включает развертывание файлов JavaScript, которые устанавливают соединение с сервером управления (C2) по адресу liderongrade.duckdns.org.

Суть атаки заключается в выполнении двух скриптов, background.js и content.js, которые не только обеспечивают функциональность шпионского ПО, но и гарантируют его закрепление в браузере. Эти скрипты обмениваются данными через систему двусторонней передачи сообщений. Ключевые особенности этого шпионского ПО включают Регистрация нажатий клавиш, которая захватывает вводимые нажатия клавиш и учетные данные из форм на основе определенных ключевых слов, а также криптоджекинг, который изменяет вставленные строки криптовалюты. Скрипты также могут динамически внедрять код в определенные веб-страницы и обладают возможностями эксфильтрации данных на основе WebSocket. Они могут красть файлы cookie, делать снимки экрана вкладки браузера и выполнять произвольный код JavaScript в контексте активной веб-страницы.

Скрытое расширение GhostDesk носит то же имя, что и реальная утилита для легального захвата экрана, что может способствовать маскировке его истинной вредоносной цели. Помимо поддельной версии CCleaner, существуют и другие приложения, использующие аналогичную методологию на основе CScript для распространения шпионского ПО, все они связаны с одним и тем же сервером управления.

Для снижения риска заражения пользователям рекомендуется проявлять осторожность при загрузке программного обеспечения и проверять достоверность источников. Осознание того, что спонсируемые результаты поиска могут быть манипулированы злоумышленниками, и скептическое отношение к ссылкам из социальных сетей и других платформ имеет критическое значение. Использование надежного решения для защиты от ВПО и обеспечение актуальности всех компонентов системы значительно повышает общую безопасность от подобных угроз.

#ParsedReport #CompletenessMedium
11-08-2026

AI Sidebar Extension Monetizes Its Own Updates

https://www.netskope.com/blog/ai-sidebar-extension-monetizes-its-own-updates

Report completeness: Medium

Threats:
Supply_chain_technique

Victims:
Enterprise environments, Chrome extension users, Artificial intelligence users

Industry:
E-commerce, Transport

ChatGPT TTPs:
do not use without manual check
T1020, T1119, T1132.001, T1176, T1195.002

IOCs:
Domain: 2
File: 1
Email: 2
BrowserExtension: 1
Hash: 2
Url: 1

Soft:
Chrome, DeepSeek, ChatGPT

Algorithms:
sha256, base64

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Удалённое из каталога расширение Chrome, известное сбором данных из AI-диалогов, возродилось с новым вредоносным дизайном, открывая партнёрские ссылки во время обновлений или удалений с помощью тактики «очистка-заражение». Модифицированная версия DeepSeek AI содержит 21-строчный полезный груз, который злоупотребляет взаимодействиями пользователей для генерации мошеннического трафика, переходя от предыдущей эксфильтрации данных к монетизации. Разработчик Extchange.com маскирует вредоносные намерения под фасадом легитимности, вызывая опасения по поводу неадекватности курирования маркетплейса против таких угроз.
-----

Ранее удалённое расширение Chrome, известное сбором данных из разговоров с ИИ, вновь появилось с вредоносными намерениями. Изначально оно было удалено из Chrome Web Store в январе 2026 года за кражу контента из пользовательских диалогов с платформами ИИ. В июле 2026 года расширение вновь появилось в магазине. Несмотря на отсутствие прежней функции извлечения разговоров, новая версия включает механизм монетизации, который открывает партнёрскую ссылку каждый раз при обновлении или удалении расширения. Такое поведение отражает сложную стратегию «очистка, затем отравление» (clean-then-poison update), при которой внешне безобидное обновление вскоре сопровождается внедрением вредоносного кода.

Расширение, в модифицированной сборке, идентифицированной как версия 1.7.3.0, содержит скрытый, но опасный полезный груз из 21 строки, внедренный в его кодовую базу. Этот полезный груз открывает партнерскую ссылку на сервис генерации видео с использованием искусственного интеллекта при обновлении расширения, используя состояние гонки (race condition) для обеспечения генерации реферала также в момент удаления расширения пользователями. Таким образом, расширение теперь активно злоупотребляет взаимодействиями пользователей для генерации мошеннического партнерского трафика без явного согласия пользователей.

Исследования показали, что предыдущие версии расширения собирали данные разговоров с таких платформ, как ChatGPT и DeepSeek, и отправляли их на внешние сайты с использованием кодировки base64. После того как механизм эксфильтрации данных был устранен в новых обновлениях, фокус сместился на монетизацию, и расширение теперь указано как DeepSeek AI в Chrome Web Store, демонстрируя историю из 300 000 установок и высокий рейтинг пользователей, что, вероятно, способствовало его повторному одобрению.

Разработчик, идентифицированный как Extchange.com, управляет инфраструктурой расширения и создал фасад легитимности с использованием устоявшегося SDK. Однако целостность программы рефералов, которую они эксплуатируют, по-видимому, не признана целевым сервисом, что предполагает дальнейшие последствия для репутации брендов.

В свете этого инцидента очевидно, что полагаться на кураторство маркетплейс недостаточно для защиты от вредоносных расширений браузера. Организациям рекомендуется внедрять проактивные фреймворки контроля, включающие принудительное применение политик по умолчанию-запрет для установки расширений, проверку встроенного контента из сетей доставки поставщиков и рассмотрение расширений как части своей Цепочка поставок. Примечательно, что такие инструменты, как Netskope, могут помочь в обнаружении наличия вредоносных расширений и обеспечении конкретных политик установки для снижения рисков. Постоянные атаки подчеркивают необходимость усиления бдительности в области безопасности в корпоративных средах в отношении расширений браузера.

#ParsedReport #CompletenessHigh
12-08-2026

737 Chrome VPN Extensions Linked to Brand Impersonation and Browser Traffic Redirection

https://socket.dev/blog/chrome-vpn-extension-impersonation

Report completeness: High

Threats:
Aitm_technique

Victims:
Russian speaking users, Vpn and privacy software users, Technology

Industry:
Transport, Entertainment, Telco, Military

Geo:
Russian, Japan, Turkey, Canada, Australia, Russia, Singapore

TTPs:
Tactics: 5
Technics: 13

IOCs:
BrowserExtension: 664
File: 15
Domain: 62
IP: 27
Url: 2
Hash: 1
Path: 1
Coin: 73

Soft:
Chrome, Instagram, ChatGPT, AdGuard, CyberGhost, AmneziaVPN, WebRTC, - только, Telegram, ome Web, have more...

Algorithms:
hmac, zip, sha256

Functions:
resolveAssetsOrigin, fetchLandingLinks, setTimeout

Languages:
java

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Выявлена кампания, включающая 737 расширений VPN и прокси в Chrome Web Store, в первую очередь нацеленная на русскоязычных пользователей. Расширения, связанные с имперсонацией бренда, перенаправляют трафик через скомпрометированные SOCKS5-прокси, позволяя злоумышленнику перехватывать пользовательские коммуникации. Они вводят пользователей в заблуждение с помощью мошеннических премиум-услуг, одновременно используя захардкоженные IP-адреса и возможности удаленной конфигурации для поддержания постоянного контроля над расширениями, несмотря на их удаление.
-----

Выявлена кампания, включающая 737 бесплатных расширений VPN и прокси в Chrome Web Store, направленная преимущественно на русскоязычных пользователей, ищущих доступ к заблокированным онлайн-сервисам. Анализ, проведенный командой Socket Threat Research Team, показал, что эти расширения, связанные с имперсонацией брендов, набрали более 75 000 установок. Они в основном координируются одним злоумышленником, который также стоит за подписным сервисом VPN в России. Эти расширения маршрутизируют трафик пользователей через прокси-серверы SOCKS5, эффективно позиционируя злоумышленника как противника в середине всех браузерных коммуникаций, что позволяет ему читать весь трафик пользователей.

Анализированные расширения постоянно настраивают прокси на указанный сервер SOCKS5, используя порт 1082 и включая список исключений, ограниченный только адресами локальной петли (loopback). Эта конфигурация эффективно предотвращает отправку любых незашифрованных DNS-запросов с машины жертвы на домены злоумышленника, поскольку многие расширения разрешают имена хостов прокси через Cloudflare и Google DNS-over-HTTPS. Несмотря на рекламу премиум-услуг в различных странах, расширения не предоставляют реального доступа к серверам, что приводит к мошенничеству с подписками.

Атака начинается с расширений, запрашивающих разрешения на использование прокси-сервера и разрешающих свои прокси-хосты с помощью жёстко закодированных IP-адресов или методов DNS, что заставляет все запросы браузера проходить через эти ретрансляторы SOCKS5. Эта конфигурация включает механизм перенаправления установок при первом использовании на премиум-сервисы подписки под ложными предлогами, сохраняя при этом видимость легитимности за счёт имперсонации 66 устоявшихся брендов VPN.

Кроме того, возможности удаленной конфигурации позволяют злоумышленнику изменять бэкенд-инфраструктуру без необходимости перераспределения расширений, что способствует непрерывной работе даже после их удаления Google. Закрепление кампании облегчается низкой стоимостью публикации расширений, что приводит к появлению множества аккаунтов, которые постоянно адаптируются, несмотря на удаления.

Последствия для пользователей значительны, поскольку эти расширения раскрывают конфиденциальные онлайн-активности лиц, пытающихся обойти цензуру, действующих под прикрытием инструментов конфиденциальности, но собирающих данные. Пользователям рекомендуется удалить любые расширения из этой кампании и изменить учетные данные для любых конфиденциальных сайтов, к которым был осуществлен доступ во время использования.

Для команд безопасности блокировка конкретных сетевых индикаторов, включая проблемные подключения через SOCKS5-прокси, имеет решающее значение, поскольку традиционной фильтрации DNS может быть недостаточно. Также рекомендуется непрерывный мониторинг изменений, вносимых в настройки прокси-сервера Chrome, поскольку разрешение на использование прокси-сервера предоставляет значительный контроль над деятельностью пользователя в браузере. Участие этих расширений также может отслеживаться в рамках фреймворка MITRE ATT&CK, что подчеркивает их методы работы и сложный характер тактик Имперсонация, которые они применяют.

#ParsedReport #CompletenessMedium
10-08-2026

Inside a Russian-Speaking Operator's Toolkit for Compromising Ukrainian IP Cameras

https://hunt.io/blog/russian-speaking-operator-ukrainian-camera-toolkit

Report completeness: Medium

Threats:
Password_spray_technique
Sqlmap_tool
Nmap_tool
Masscan_tool
Ingram_tool
Chisel_tool

Victims:
Electronic commerce, Government, Military, Ip cameras, Routers, Vehicle data

Industry:
Government, Military, E-commerce

Geo:
Russia, United kingdom, Romania, Netherlands, Moldova, Russian, Slovakia, France, Poland, Germany, Hungary, Czechia, Ukrainian, Austria, Ukraine, Latvia, Kherson, Spain, Kazakhstan, Bulgaria, Italy

CVEs:
CVE-2024-57049 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2020-25169 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- reolink rln8-410_firmware (-)

CVE-2024-53375 [Vulners]
CVSS V3.1: 8.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2021-36260 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- hikvision ds-2cd2026g2-iu\/sl_firmware (-)

CVE-2020-25078 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dcs-4603_firmware (<1.04.02)

CVE-2021-33044 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dahuasecurity ipc-hum7xxx_firmware (<2.820.0000000.5.r.210705)

CVE-2017-7921 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- hikvision ds-2cd2032-i_firmware (-)
- hikvision ds-2cd2112-i_firmware (-)
- hikvision ds-2cd2132-i_firmware (-)
- hikvision ds-2cd2212-i5_firmware (-)
- hikvision ds-2cd2232-i5_firmware (-)
have more...

TTPs:
Tactics: 1
Technics: 9

IOCs:
IP: 4
File: 9

Soft:
Docker, Dahua, OpenCart, WordPress, Chrome, Telegram, FastAPI, Uvicorn, Android

Algorithms:
md5

Languages:
python, javascript, php

Links:
https://github.com/jorhelp/Ingram

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В мае 2026 года русскоязычный кибероператор скомпрометировал украинский сайт электронной коммерции путем кражи учетных данных и SQL-инъекции, установив прокси-сервер для атак на правительственные и военные инфраструктуры. Атакующий использовал собственный набор инструментов для эксплуатации уязвимостей IP-камер Dahua и Hikvision, каталогизируя скомпрометированные устройства, а также выполнял SQL-инъекции против платформ WordPress и пользовательских CMS. Кроме того, операции включали нацеливание на маршрутизаторы в Европе с использованием известных CVE, что демонстрирует опору на эксплуатацию учетных данных по умолчанию и незакрытых уязвимостей для поддержания доступа и усиления шпионских возможностей.
-----

В мае 2026 года было обнаружено проникновение, связанное с русскоязычным кибероператором, который скомпрометировал украинский сайт электронной коммерции путем кражи учетных данных и SQL-инъекции. Атака привела к созданию прокси-сервера, который затем использовался для запуска дальнейших атак против украинских правительственных и военных целей. Расследование выявило пользовательский набор инструментов, специально разработанный для сканирования и эксплуатации IP-камер, открытых в интернете.

Скомпрометированный сервер по адресу 89.208.97.165 содержал файлы преимущественно на русском языке, что указывает на носителя языка. Скрипты, нацеленные на конкретные украинские регионы, особенно на прифронтовые территории, демонстрировали системный подход к выявлению уязвимых камер путем эксплуатации известных уязвимостей, связанных с устройствами Dahua и Hikvision. Анализ сервера выявил проект Docker под названием "camview", который использовал FastAPI и включал компоненты, такие как FFmpeg для потоковой передачи видео и Nmap для сканирования. Этот набор инструментов позволял оператору каталогизировать 58 скомпрометированных камер, фиксируя соответствующие данные, связанные с их доступом.

Кроме того, другие скрипты были направлены на проведение атак с использованием SQL-инъекций против украинских правительственных сайтов, в частности, платформ WordPress и пользовательских CMS. Методологии оператора включали создание пользовательских списков учетных данных на основе местных терминов для повышения успешности распыления пароля. Примечательно, что история команд оболочки указывала на попытки маршрутизации своего трафика через скомпрометированный сайт электронной коммерции для обеспечения анонимности, что свидетельствует о настойчивых усилиях по поддержанию доступа к критической инфраструктуре.

Дополнительные наблюдения включали разведку в отношении общедоступных инструментов информации о транспортных средствах, что указывало на попытки сбора персональных данных, вероятно, для оперативного планирования. Вторая операция, выявленная на сервере 213.165.63.49, заключалась в нацеливании на маршрутизаторы в 15 европейских странах, с фокусом на известные уязвимости CVE для устройств TP-Link и MikroTik, а также применением аналогичных методов для построения сети SOCKS5-прокси из скомпрометированных устройств.

Обе операции продемонстрировали общие закономерности, опираясь на сканеры с открытым исходным кодом и методы, использующие учетные данные по умолчанию и не устраненные уязвимости. Они нацеливались на широкий спектр устройств, преимущественно в Украине, используя исторические слабости для доступа без разработки новых техник. Результаты подчеркивают насущную необходимость базовых мер безопасности, включая строгие практики аутентификации и обновление прошивки, для защиты от подобных атак. В целом, данный анализ выделяет устойчивую тенденцию использования общедоступных инструментов против уязвимых устройств, открытых для интернета, с целью повышения оперативных возможностей в кибершпионаже и аналогичных мероприятиях.

#ParsedReport #CompletenessMedium
11-08-2026

Bird Watching: Characterizing the Infrastructure and Behavior of Falcon-branded Extortion Operations

https://www.guidepointsecurity.com/blog/characterizing-infrastructure-behavior-falcon-branded-extortion/

Report completeness: Medium

Actors/Campaigns:
Cordial_spider (motivation: financially_motivated)
Helix
Shinyhunters (motivation: financially_motivated)

Threats:
Aitm_technique
Credential_harvesting_technique

Victims:
Financial services, Professional services, Energy, Technology, Legal, Insurance, Medical devices, Utilities, Internet governance, Media, have more...

Industry:
Financial, Energy, Semiconductor_industry, Logistic, Entertainment, Healthcare, Transport

Geo:
United states

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1056.003, T1078.004, T1111, T1528, T1539, T1550.001, T1557, T1566.004, T1583.001, T1583.003, have more...

IOCs:
Domain: 8
IP: 4
File: 5
Hash: 2

Soft:
Okta, Salesforce, Caddy, Node.js, Ubuntu, OpenSSH, Debian, Microsoft Entra

Crypto:
bitcoin

Languages:
javascript, php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленник UNC6671, связанный с текущей кампанией фишинга и вымогательства в режиме adversary-in-the-middle (AitM), нацелен преимущественно на сектор финансовых услуг, фокусируясь на крупных организациях с апреля 2026 года. Операция использует сложную фишинговую инфраструктуру, включая более 78 уникальных поддоменов, и применяет специализированную консоль киберкриминала для управления атаками по вымогательству. Кража учетных данных достигается путем имитации сотрудников службы технической поддержки ИТ и направления жертв на фишинговые сайты, которые обходят многофакторную аутентификацию и перехватывают токены сессии.
-----

Злоумышленник, обозначенный как UNC6671, с апреля 2026 года ведет длительную операцию по фишингу и вишингу с использованием атаки «злоумышленник посередине» (AitM), нацеленную на высокоценные сектора, в основном финансовые услуги.

Эта кампания демонстрирует переход к систематической «охоте на крупных китов», нацеленной на крупные организации, а не на мелкие жертвы.

Выявлено не менее 78 уникальных фишинг-поддоменов в рамках 76 различных организаций, участвующих в кампании.

Ключевыми целями являются хедж-фонды, венчурные капитальные и частные инвестиционные фонды, на которые приходится около 40% наблюдаемых жертв.

Акторы используют специализированную консоль киберкриминала под названием Work Panel для управления фишинговыми атаками, от разведки до захвата учетных данных.

Эта консоль разделяет роли между операторами, повышая безопасность и минимизируя риск внутренних угроз.

Кража учетных данных в основном происходит через вишинг, при этом злоумышленники, выдавая себя за сотрудников службы технической поддержки ИТ, направляют жертв на фишинговые сайты, выступающие в качестве прокси-серверов AitM.

Вредоносные страницы перехватывают токены сессии во время аутентификации, обходя многофакторную аутентификацию.

Инфраструктура поддержки включает несколько серверов бэкенда в сети AS51852, функционирующих как обратные прокси-серверы и защищенное хранилище для похищенных учетных данных.

Сервисы запускаются на специально предназначенных серверах, настроенных для обеспечения низкой заметности, что усложняет усилия по обнаружению.

Поведение фишинг-кита использует шаблоны, нацеленные на организации, использующие провайдеров идентификации, такие как Okta и Microsoft 365, с общим бэкендом для управления аутентификацией сеанса и сбором учетных записей.

Статические отпечатки используются для точного обнаружения этих фишинговых атак.

Кампания сгенерировала более 8 миллионов долларов в виде платежей от жертв посредством скоординированных фишинговых активностей.

Распределение целевых секторов со временем сместилось в сторону финансового сектора, адаптируясь к новым возможностям и организационным средствам защиты.

Рекомендуемые стратегии предотвращения включают принудительное использование MFA, устойчивого к фишингу, ограничение сетевого доступа и внедрение строгих мер контроля сессий.

Непрерывная адаптация к эволюционирующим тактикам злоумышленников имеет решающее значение для организаций в целевых секторах из-за продемонстрированной устойчивости и маневренности управления инфраструктурой злоумышленников.

#ParsedReport #CompletenessMedium
09-08-2026

What Is gh0st RAT? How It Works, Spreads, and Steals Data

https://cyberint.com/blog/dark-web/what-is-ghost-rat-how-it-works-spreads-and-steals-data/

Report completeness: Medium

Threats:
Gh0st_rat
Redline_stealer
Supply_chain_technique
Fastflux_technique
Dll_sideloading_technique
Process_injection_technique

Victims:
Service providers, Content providers, 3d artists, Streamers, Financial advisers

Geo:
America

TTPs:
Tactics: 11
Technics: 40

IOCs:
Hash: 45
IP: 3

Soft:
Twitter, Instagram, Discord, Windows service

Crypto:
binance

Algorithms:
sha256

Win API:
DLL, EXE, SYS

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Gh0st RAT — это Троянская программа, обеспечивающая несанкционированный доступ к скомпрометированным системам, что способствует краже данных и манипуляциям с системой, а также позволяет обходить меры безопасности за счет эксплуатации конкретных уязвимостей. Недавние кампании по распространению этого ВПО были связаны с вариантом RedLine, использующим тактики социальной инженерии через нежелательные электронные письма, социальные сети и обманные видеоролики для нацеливания на поставщиков услуг в Северной Америке и Европе. Ключевые компоненты включают клиентскую часть для Windows для управления и серверный компонент, замаскированный под SVCHOST.DLL, который обеспечивает обширный сбор информации, такой как учетные данные браузеров и сведения о системе, что делает его значительной угрозой.
-----

Gh0st RAT (Троянская программа удалённого доступа) — это сложное вредоносное программное обеспечение (ВПО), предназначенное для обеспечения несанкционированного удалённого доступа и управления скомпрометированными системами. Оно работает скрытно, чтобы облегчить такие действия, как кража данных, манипуляция с системой и слежка. Это ВПО особенно опасно, поскольку нацелено на конкретные уязвимости, часто обходя меры безопасности для получения доступа к конфиденциальной информации.

Недавние инциденты, связанные с Gh0st RAT, в значительной степени связаны с вариантом ВПО под названием RedLine, который в основном распространяется с использованием различных тактик социальной инженерии. Методы распространения включают нежелательные электронные письма с вредоносными вложениями документов, а также платформы, такие как Twitter и Instagram Direct Messaging. В частности, кампания была направлена на поставщиков услуг, таких как 3D-художники и финансовые консультанты, преимущественно в Северной Америке и Европе. Кроме того, ВПО распространялось через обманные видео на YouTube, побуждающие пользователей загружать поддельные боты для покупки NFT, а также через сообщества Discord, где пользователей обманом заставляют загружать зараженные файлы.

RAT Gh0st состоит из двух основных компонентов: приложения-контроллера (клиента) и серверного компонента. Клиентское приложение, работающее под управлением Windows, позволяет злоумышленникам управлять и контролировать серверы Gh0st на скомпрометированных машинах, наблюдая за их работой и развертывая пользовательские установки. Серверный компонент внедряется в виде Windows DLL-библиотеки SVCHOST.DLL, которая устанавливается как служба на зараженной системе. Этот компонент ожидает команд от клиента после активации. Процесс установки инициируется приложением-дропером INSTALL.EXE, которое автоматизирует настройку серверного компонента. Кроме того, в набор инструментов входит бинарный файл на уровне ядра RESSDT.SYS. Этот минимальный драйвер работает при запуске системы для сброса таблицы диспетчеризации системных служб, тем самым избегая механизмов обнаружения.

Gh0st RAT способен собирать широкий спектр конфиденциальной информации, включая учетные данные, сохраненные в браузере, данные автозаполнения и информацию о кредитных картах. Он также собирает системную информацию, такую как имя пользователя, географическое положение, конфигурация Аппаратное обеспечение и сведения об установленном программном обеспечении. Последние версии RedLine продемонстрировали расширенные возможности, включая способность красть учетные данные криптовалюты, а также учетные данные из FTP- и клиентов мгновенного обмена сообщениями. Этот широкий спектр скрытых тактик в сочетании с операционной эффективностью делает Gh0st RAT значительной угрозой как для отдельных лиц, так и для организаций. Понимание его механики имеет решающее значение для разработки эффективных мер защиты и укрепления мер кибербезопасности.

#ParsedReport #CompletenessHigh
11-08-2026

Shattering the Dream – When a Job Offer Becomes a Zero-Day Attack

https://research.checkpoint.com/2026/shattering-the-dream-when-a-job-offer-becomes-a-zero-day-attack/

Report completeness: High

Actors/Campaigns:
Dream_job
Lazarus

Threats:
Troy_trojan
Fudmodule_rootkit
Relayshell_tool
Spear-phishing_technique
Dll_sideloading_technique
Mistpen
Foresttiger
Kyber
Reflective_dll_injection_technique
Dll_injection_technique

Victims:
Defense, Aerospace, Aviation, Military technology, Surveillance sensors, Drones, Robotics, Europe, India, Western europe, have more...

Industry:
Aerospace, Government, Military

Geo:
Brazil, France, America, Dprk, India, Germany

CVEs:
CVE-2025-60719 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1607 (<10.0.14393.8594)
- microsoft windows_10_1809 (<10.0.17763.8027)
- microsoft windows_10_21h2 (<10.0.19044.6575)
- microsoft windows_10_22h2 (<10.0.19045.6575)
- microsoft windows_11_23h2 (<10.0.22631.6199)
have more...
CVE-2025-49113 [Vulners]
CVSS V3.1: 9.9,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- roundcube webmail (<1.5.10, <1.6.11)

CVE-2026-68820 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2024-38193 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows_10_1507 (<10.0.10240.20751)
- microsoft windows_10_1607 (<10.0.14393.7259)
- microsoft windows_10_1809 (<10.0.17763.6189)
- microsoft windows_10_21h2 (<10.0.19044.4780)
- microsoft windows_10_22h2 (<10.0.19045.4780)
have more...

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1014, T1016, T1027.013, T1033, T1036.008, T1041, T1055, T1057, T1068, T1071.001, have more...

IOCs:
File: 11
Path: 2
Hash: 40
Domain: 3
IP: 2

Soft:
Roundcube, WordPress, Graph API, sumatrapdf, Windows kernel, Microsoft Defender

Algorithms:
xor, aes, zip, base64

Functions:
GetInfoPlugin, GetGodMode, GetSystemHandle, CreateRemoteProcess

Win API:
NetGetJoinInformation, NtSetSystemInformation, RtlCreateUserThread

Win Services:
MsMpEng

Languages:
php, powershell

Platforms:
x64

YARA: Found