#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix для macOS использовала поддельные страницы загрузки Codex в спонсируемых результатах поиска, чтобы заставить пользователей вставить вредоносную команду в Терминал. Команда скачивала и выполняла обфусцированную полезную нагрузку Mach-O из `/tmp/helper`, при этом активность тесно напоминала операции Atomic macOS Stealer. Инфраструктура использовала доставку через iframe, телеметрию, приманки и осведомлённое об окружении уклонение.
-----

Кампания ClickFix, нацеленная на macOS, использовала спонсируемые результаты поиска по запросам, связанным с Codex, чтобы направлять жертв на страницы Google Sites, имитирующие портал загрузки OpenAI Codex. На страницах отображались варианты для macOS и Linux, однако активная доставка полезной нагрузки наблюдалась только для macOS. Google Sites выступали в роли правдоподобной приманки, в то время как встроенный iframe загружал контент, контролируемый злоумышленниками, с внешней инфраструктуры. Это позволяло операторам обновлять вредоносную страницу независимо от исходной страницы Google Sites.

Фальшивый установщик инструктировал пользователей открыть Терминал и вставить команду. Команда начиналась с легитимной строки установки Codex через npm, однако содержала Base64-кодированный URL, который декодировался и передавался в `zsh` через конвейер. Этот метод ClickFix переносит этап выполнения на жертву, а не полагается на традиционную загрузку ВПО. Команда сначала отправляла запрос, содержащий `event=pasted`, на инфраструктуру, контролируемую злоумышленниками, затем загружала полезную нагрузку второго этапа в `/tmp/helper`, удаляла расширенные атрибуты с помощью `xattr -c`, делала файл исполняемым с помощью `chmod +x` и запускала его.

Цепочка доставки демонстрировала значительное совпадение с публично задокументированной активностью Atomic macOS Stealer (AMOS). Общие характеристики включали загрузчики curl, декодированные из Base64, сжатые или обфусцированные стадии zsh, передачу телеметрии на `/api/metrics/run?event=pasted`, URL с тематикой обновлений, универсальные полезныe нагрузки Mach-O, размещаемые в `/tmp/helper`, удаление метаданных карантина и последующее выполнение. Запрос `event=pasted` указывает на телеметрию выполнения и поведение по размещению, но сам по себе не устанавливает протокол управления (command-and-control) конечной полезной нагрузки.

Операторы применяли методы обхода средств защиты, учитывающие контекст окружения. Злоупотребляемый контент доставлялся через конкретный путь `/codexx/`, тогда как более интуитивно понятный путь `/codex/` возвращал безвредный контент. Запросы, не связанные с macOS, также получали приманки. В рамках кампании повторно использовалась инфраструктура на основе iframe, включая домен `bright-links.com`, в приманках на базе Google Sites и связанных страницах, оформленных под бренд Claude Code. Аналитикам следует расследовать активность в терминале или оболочке, связанную с декодированием Base64, передачей вывода команды `curl` в `zsh` через конвейер, записью в `/tmp/helper`, выполнением команды `xattr -c` и запуском недавно загруженных исполняемых файлов Mach-O.

#ParsedReport #CompletenessHigh
24-08-2026

Ten Minutes to Containment: How Agentic MXDR Scoped a Fake Claude Desktop Intrusion

https://www.cyberproof.com/blog/ten-minutes-to-containment-how-agentic-mxdr-scoped-a-fake-claude-desktop-intrusion/

Report completeness: High

Actors/Campaigns:
Fakeagent

Threats:
Dll_sideloading_technique
Sectop_rat
Vmprotect_tool
Etherhiding_technique
Spear-phishing_technique

Industry:
Financial

TTPs:
Tactics: 4
Technics: 9

IOCs:
File: 21
Command: 3
Domain: 1
IP: 1
Url: 1

Soft:
Claude, Microsoft Defender, Chromium, Microsoft Edge, Docker, Anthropic, JetBrains, claude-code, chrome, firefox, have more...

Crypto:
ethereum

Algorithms:
sha256

Win Services:
powerpnt

Languages:
powershell, java

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания вредоносной рекламы FakeAgent распространяет SectopRAT через троянизированные установщики Claude, размещённые за внешне легитимными спонсорскими результатами. ВПО использует подмену DLL (DLL sideloading), исключения в Defender и замаскированную запланированную задачу для закрепления, а также извлекает зашифрованную конфигурацию C2 через данные транзакций блокчейна Ethereum.
-----

Взлом был осуществлен в рамках кампании вредоносной рекламы FakeAgent, которая распространяет SectopRAT через троянизированные установщики Claude для настольных систем. Жертвы, искавшие приложение Claude, через спонсируемые объявления были перенаправлены на страницы Claude Artifact, выглядящие легитимно и размещенные на домене claude.ai. Эти страницы инициировали загрузку вредоносного файла `ClaudeDesktop.exe`, что помогало кампании обходить фильтрацию на основе репутации и повышать доверие пользователей.

Цепочка ВПО использовала подмену DLL (DLL sideloading) и маскировку. Поддельный исполняемый файл Claude запустил вторичный `DockerDesktop.exe` из случайного, доступного для записи пользователем каталога AppData Roaming. Легитимный подписанный компонент JetBrains `jcef_helper.exe` был использован для загрузки вредоносного, упакованного VMProtect файла `libcef.dll` из нестандартного расположения. Внутренние метаданные Java Chromium Embedded Framework бинарного файла не соответствовали отображаемому имени приложения Claude, что служило индикатором имперсонации.

Установщик также применял обход защиты, запуская команды PowerShell, в которых с помощью `Add-MpPreference -ExclusionPath` добавлялись каталоги профиля пользователя или временного размещения в исключения Microsoft Defender. Закрепление в системе осуществлялось с помощью `schtasks.exe` путем создания задачи с именем `MicrosoftEdgeUpdate`, настроенной на запуск при входе пользователя с наивысшими привилегиями. Несмотря на безобидное название, задача выполняла `DockerDesktop.exe` из каталога AppData, доступного для записи пользователем.

Деятельность была отнесена к SectopRAT на основе последовательности выполнения, поведения загрузчика и соответствия с публично задокументированной инфраструктурой FakeAgent. ВПО использует EtherHiding для получения зашифрованных параметров C2 из данных транзакций блокчейна Ethereum, а не полагается исключительно на традиционные домены, контролируемые злоумышленниками. Таким образом, соединения с публичными узлами RPC блокчейна могут представлять собой получение конфигурации, а не обычный трафик управления.

Рекомендуемые возможности обнаружения включают мониторинг запланированных задач, выполняемых из каталогов AppData или Downloads, в частности задач с именами, указывающими на обновление (updater), настроенных с повышенными привилегиями; обнаружение исключений в Defender, созданных вблизи недавно загруженного программного обеспечения; идентификацию загрузок `libcef.dll` из нестандартных каталогов; расследование несоответствий между именами исполняемых файлов и внутренними метаданными; а также мониторинг соединений с RPC-узлами блокчейна, исходящих от недавно запущенных процессов установщиков. Для изоляции инцидента потребовалась изоляция конечных точек, отзыв сессионных токенов, сброс учетных данных, удаление исключений и запланированных задач, повторная установка операционной системы (reimaging) и ретроспективный аудит управления идентификацией и доступом.

#ParsedReport #CompletenessMedium
24-08-2026

Apollo Cloud Hit in UNC6671 Vishing Breach via Fake Passkey Migration

https://www.secureblink.com/threat-feeds/apollo-cloud-hit-in-unc-6671-vishing-breach-via-fake-passkey-migration

Report completeness: Medium

Actors/Campaigns:
Cordial_spider
Helix

Threats:
Aitm_technique
Redact
Spear-phishing_technique
Residential_proxy_technique

Victims:
Financial services, Private equity, Law firms, Rating agencies, Manufacturing, Healthcare, Insurance, Technology, Transportation, Hospitality, have more...

Industry:
Entertainment, Financial, Healthcare, Logistic, Transport

Geo:
California

TTPs:
Tactics: 6
Technics: 9

IOCs:
Domain: 16
IP: 9

Soft:
Okta, buntu; L, inux x8, ta.android.aut, Windows Hello

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
UNC6671, связанная с операцией по вымогательству BlackFile, использует социальную инженерию по телефону и фишинговые страницы AiTM для перехвата учетных данных, ответов MFA и регистрации passkey. Кампания, в значительной степени не использующая ВПО, опирается на действительные сессии для доступа к данным M365 и SharePoint, удаления предупреждений о безопасности и вымогательства у жертв на основе украденной информации. Инцидент в облаке Apollo в июле 2026 года напоминает эту активность, но не был атрибутирован UNC6671.
-----

Группа UNC6671 рассматривается как продолжение операции по вымогательству BlackFile, действующей под несколькими брендами, включая REDACT, FALCON, HELIX и PINK. Группа использует социальную инженерию по телефону для эксплуатации процессов миграции организаций на passkey и MFA. Жертвам предлагается перейти на поддельные страницы ИТ-поддержки или регистрации passkey, размещенные через обратные прокси-серверы adversary-in-the-middle (AiTM). Злоумышленник ретранслирует учетные данные и живые ответы MFA, оставаясь на линии, чтобы направлять жертву в процессе регистрации, что позволяет злоумышленнику устанавливать или изменять факторы аутентификации.

Apollo Global Management сообщила о несанкционированном доступе к облачным платформам в период с 6 по 10 июля 2026 года, в результате которого были раскрыты имена, даты рождения, домашние адреса и номера социального страхования. Apollo не приписывает инцидент группе UNC6671, и имеющиеся данные не подтверждают факт доступа к данным держателей полисов Athene. Предположительное вторжение оценивается как компрометация сотрудника или системы управления персоналом, затрагивающая M365, SharePoint или другой SaaS-арендатор, а не компрометация основных финансовых систем.

Кампания в значительной степени не содержит ВПО. После получения действительных сессий UNC6671 выполняет аутентифицированную активность через API, включая программную перечисление ресурсов SharePoint и доступ к файлам. По имеющимся данным, актор использует инфраструктуру широкополосного доступа для жилых помещений и коммерческих VPN для снижения эффективности средств контроля на основе геолокации и репутации IP-адресов. Скомпрометированные почтовые ящики могут использоваться для удаления подтверждений сброса пароля, уведомлений об изменении MFA, предупреждений о безопасности и других следов. Шантаж основан на краже данных и воздействии на конфиденциальность, а не на шифровании или деструктивном ВПО.

Среди релевантных возможностей для обнаружения атак следует отметить: неудачные или прерванные попытки многофакторной аутентификации (MFA), за которыми в течение приблизительно 60 минут следует регистрация или изменение фактора MFA для того же пользователя; необычная активность по доступу к файлам в M365 без соответствующих загрузок; массовый доступ с использованием таких инструментов, как `python-requests`, PowerShell или `Go-http-client`; удаление или очистка почтовых ящиков, содержащих уведомления о безопасности; а также успешная аутентификация из потребительских ASN, таких как AT&T, Comcast или Charter, или из диапазонов коммерческих VPN, в сочетании с изменениями факторов аутентификации. Ретроспективный поиск в реестрах прозрачности сертификатов должен выявлять недавно выпущенные домены, содержащие названия организаций наряду с такими терминами, как `passkey`, `sso`, `okta`, `helpdesk`, `mfa` или `keysync`. Кандидатская инфраструктура включает `myoktasso[.\]com` и `passkeydeploy[.\]com`, хотя их связь с инцидентом Apollo не подтверждена.

#ParsedReport #CompletenessMedium
24-08-2026

Fake GTA 6 Extended Look and demo sites deliver an infostealer

https://www.malwarebytes.com/blog/threat-intel/2026/08/fake-gta-6-extended-look-and-demo-sites-deliver-an-infostealer

Report completeness: Medium

Actors/Campaigns:
Cyberleek

Threats:
Vidar_stealer
Dead_drop_technique

Victims:
Gaming sector, Financial services, Social media, Retail

Industry:
Entertainment, Financial

ChatGPT TTPs:
do not use without manual check
T1036, T1070.004, T1083, T1102.001, T1539, T1555.003

IOCs:
File: 1
Domain: 23
Hash: 1
Url: 4

Soft:
Discord, Chrome, Firefox, Opera, Vivaldi, Roblox, Steam, Telegram

Algorithms:
sha256

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Киберпреступники используют поддельные сайты GTA 6 для распространения `gta6_installer.exe` — стиллера Vidar, замаскированного под игру или видео. Он крадёт пароли браузеров, файлы cookie, токены сессий и другие данные приложений, используя легитимные браузеры и dead-drop resolvers, размещённые в Телеграм, Pinterest и Steam, для получения инфраструктуры атакующих.
-----

Киберпреступники эксплуатируют интерес к утекшим кадрам GTA 6 и предстоящему 27 августа расширенному показу (Extended Look) от Rockstar, создавая поддельные сайты в тематике Rockstar. Эти сайты имитируют официальные промо-страницы и используют кнопки «Играть сейчас» для распространения вредоносного исполняемого файла с именем `gta6_installer.exe`. Файл не является игрой, демо-версией или видео; это стиллер, впервые обнаруженный 19 августа, вскоре после того, как в сети начали распространяться материалы, утекшие из GTA 6.

Вредоносное ПО относится к семейству стиллера Vidar, которое обычно предлагается по модели ВПО как услуга. Оно нацелено на учетные данные и данные, сохраняемые веб-браузерами, включая пароли, файлы cookie и токены аутентифицированных сессий. В ходе анализа было выявлено 19 целевых браузеров, в том числе Chrome, Edge, Firefox, Brave, Opera и Vivaldi. Также осуществлялся поиск профилей Thunderbird, а целью стали браузер Comet от Perplexity и браузер WebView2, встроенный в Roblox Studio. Украденные файлы cookie сессий и токены могут позволить злоумышленникам получить доступ к учетным записям без прохождения стандартного процесса входа, потенциально обходя многофакторную аутентификацию. Смена паролей сама по себе может не привести к аннулированию существующих сессий.

Vidar использовал легитимные исполняемые файлы браузеров Chrome, Edge и Firefox, установленные на зараженной системе, запуская их в безголовом режиме (headless mode) с отключенным ведением журнала и временными каталогами пользовательских данных для доступа к данным браузеров. После этого были удалены указанные временные каталоги. Образец не обеспечивал закрепление: не было обнаружено ни записи автозагрузки, ни запланированной задачи, ни службы, которые перезапускали бы ВПО после перезагрузки системы.

ВПО использовала dead-drop resolvers для получения информации об управлении или инфраструктуре из профилей, контролируемых злоумышленниками, на легитимных платформах. Встроенные URL профилей ссылались на Телеграм, Pinterest и Steam Community, при этом были зафиксированы соединения со всеми тремя сервисами. Это позволяет операторам ротировать инфраструктуру путем изменения онлайн-профилей, а не пересборки ВПО, одновременно маскируя вредоносный трафик среди обычного трафика.

Потенциальным жертвам следует рассматривать неофициальные загрузки и демонстрации GTA 6 как вредоносные, просканировать затронутые системы, сменить пароли с чистого устройства, отозвать активные сеансы, проверить настройки восстановления учетных записей и авторизованные приложения, включить многофакторную аутентификацию, а также отслеживать несанкционированную активность в электронных почтовых, финансовых, игровых и других учетных записях.

#ParsedReport #CompletenessMedium
24-08-2026

arrayref Supply Chain Attack: A One-Line Build Dependency Ran a Backdoor During cargo build

https://www.upwind.io/feed/arrayref-supply-chain-attack-a-one-line-build-dependency-ran-a-backdoor-during-cargo-build

Report completeness: Medium

Threats:
Supply_chain_technique
Typosquatting_technique
Arone
Aronenaos
Tinymember
Launchagents_tool

Victims:
Developer workstations, Ci runners, Software development, Blockchain

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036.005, T1041, T1059.005, T1071.001, T1105, T1132.001, T1140, T1195.002, T1543.001, have more...

IOCs:
IP: 6
File: 6
Email: 1
Url: 1
Domain: 1

Soft:
arrayref, Chrome, Linux, macOS, Unix, systemd

Crypto:
ethereum, solana

Algorithms:
rsa-2048, aes-128-gcm, blake3, base64

Win API:
lockfile

Languages:
rust

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие скомпрометировали аккаунт сопровождающего Rust-пакета и опубликовали вредоносные версии `arrayref`, `internment` и `append-only-vec`. Файл `build.rs` зависимости с опечаткой в названии автоматически загружал и запускал вредоносное ПО, специфичное для операционной системы, в процессе сборки Cargo, что обеспечивало кражу данных браузера, закрепление в системе и взаимодействие с C2-сервером на платформах Linux, Windows и macOS.
-----

20 августа 2026 года были опубликованы вредоносные версии Rust-пакетов `arrayref` 0.3.10, `internment` 0.8.7 и `append-only-vec` 0.1.9 через легитимный, но, по всей видимости, скомпрометированный аккаунт сопровождающего. Затронутые релизы были доступны в течение 86–107 минут до их удаления. В `arrayref` 0.3.10 была добавлена одна зависимость — `proc-macro1` 1.0.107, являющаяся тайпосквотом (подделкой названия) пакета `proc-macro2`. Его файл `build.rs` выполнялся автоматически во время `cargo build`, что означало, что для запуска атаки было достаточно лишь разрешения зависимости, без необходимости вызова каких-либо функций `arrayref`.

Скрипт сборки восстанавливал URL инфраструктуры злоумышленника, отключал проверку сертификатов TLS, загружал полезную нагрузку, специфичную для операционной системы, и выполнял её с привилегиями пользователя, инициировавшего компиляцию. Полезные нагрузки были нацелены на x86_64 Linux, Windows и macOS, а также на aarch64 macOS. Файлы сохранялись как `/tmp/rust-setup` на Unix-подобных системах или как временные файлы PowerShell/VBS на Windows. Сборка, как правило, завершалась успешно, что маскировало дополнительную активность процессов.

Второстепенное вредоносное ПО (second-stage malware) взаимодействовало с сервером управления через HTTPS-запросы POST к пути `/49890878`, передавая информацию об узле и собранные данные, закодированные в формате Base64 JSON. Оно обращалось к базам данных профилей SQLite браузеров Chrome, Brave и Edge для получения метаданных сохраненных логинов и расширений, однако, по имеющимся данным, не извлекало зашифрованные материалы паролей. Механизмы закрепления (persistence) включали ключи Run в реестре Windows, LaunchAgents в macOS и пользовательские службы systemd в Linux. Бэкдор поддерживал завершение работы, перенастройку C2, установку механизмов закрепления, а также загрузку и выполнение дополнительных скриптов. Для конфигурации использовался алгоритм AES-128-GCM, встроенный ключ RSA-2048 применялся для аутентификации команд, а алгоритм генерации доменных имен (DGA) создавал десять доменов `.com` каждые пять дней.

Атака была усилена, когда злоумышленник отозвал легитимные версии `arrayref` 0.3.5–0.3.9, что потенциально могло направить пользователей Cargo к вредоносному релизу. Закоммиченные файлы блокировки (lockfiles), созданные до инцидента, могли предотвратить воздействие, в то время как свежее разрешение зависимостей оставалось под угрозой. Файлы блокировки и кэши позволяют установить, была ли разрешена вредоносная версия, однако только телеметрия хоста может подтвердить выполнение. К релевантным индикаторам относятся процессы, происходящие от Cargo и устанавливающие соединение с `23.254.165.112:9089`, зафиксированная C2-активность с участием `23.254.167.216`, POST-запросы к `/49890878`, созданные временные файлы, доступ к базе данных браузера, дочерние процессы, выжившие после сборки, а также новые записи закрепления.

Затронутые проекты должны откатиться до версии `arrayref` 0.3.9 или более ранней, пересобрать артефакты из чистых сред, заменить скомпрометированные CI-раннеры, удалить ВПО и механизмы закрепления, а также обновить учетные данные, токены, облачные ключи, ключи подписи и сессии, связанные с браузером.

#ParsedReport #CompletenessHigh
18-08-2026

Living Off the Cloud: A Python Implant Hiding Its Entire C2 Inside Microsoft 365 & Azure

https://www.ontinue.com/resource/python-implant-hiding-its-entire-c2-inside-microsoft-365-azure/

Report completeness: High

Actors/Campaigns:
Dragonforce
Chaos_raas
Stac4749

Threats:
Twinloot
Pyarmor_tool
Dead_drop_technique
Turnt
Zipslip_technique
Winrm_tool
Msarat
Credential_harvesting_technique
Etherhiding_technique
Dll_sideloading_technique
Byovd_technique
Chaos_ransomware

Victims:
Microsoft 365 users, Microsoft teams users, Windows users

Industry:
Financial, Transport

Geo:
Usa, Canada, America

TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 13
Domain: 5
Url: 1
Command: 2
IP: 1

Soft:
Graph API, WebRTC, Microsoft Teams, Azure Blob, Azure AD, MSSQL, Microsoft Edge, Chrome, Windows lock screen, Windows authentication, have more...

Crypto:
ethereum

Algorithms:
aes-256-gcm, sha256, zip

Functions:
fetch, Graph, TaskCache, NetAPI, Teams

Win API:
RegLoadAppKeyW, ockfile, e, GetUserNameExW, BlockInput, MAN, DAT, NetServerEnum, etGroupGetUsers, a, sEnumerateDomainTrustsW

Languages:
python, powershell, golang

Links:
https://github.com/ontinue-research/threat-intel-iocs/blob/main/Public/2026-07-27-TWINLOOT-IOCs.md
https://github.com/Lil-House/Pyarmor-Static-Unpack-1shot

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
TWINLOOT — это модульный Python-имплант, доставляемый посредством социальной инженерии через Teams и выполняемый с использованием подписанной встроенной среды выполнения Python. Он использует Microsoft Graph, SharePoint, Azure Blob Storage и инфраструктуру Teams TURN для скрытого C2, кражи данных, разведки и обратного SOCKS5-туннелирования. Имплант также поддерживает сбор учетных записей, выполнение команд, перемещение внутри компании и незаметное закрепление.
-----

TWINLOOT — модульный Python-имплант, обнаруженный в кампании, зафиксированной в июле 2026 года. Он защищен с помощью PyArmor 9.2.5 и поставляется вместе с валидно подписанным встраиваемым рантаймом Python 3.12.9. Загрузчик нулевой стадии запускает полезную нагрузку через `pythonw.exe`, извлекает встроенный архив зависимостей, обеспечивает выполнение в режиме единственного экземпляра и загружает приблизительно 120 защищенных модулей. Аналитикам удалось восстановить 115 модулей и расшифровать встроенную конфигурацию, зашифрованную алгоритмом AES-256-GCM, что позволило выявить набор команд импланта и его инфраструктуру.

Имплант использует облачные сервисы Microsoft для управления. Каждые 15 секунд он опрашивает диск SharePoint Online через Microsoft Graph для получения команд, результатов, данных учётных данных и выведенной информации разведки. Трафик Graph может генерироваться через безголовый экземпляр Microsoft Edge, управляемый через Chrome DevTools Protocol; запросы выполняются как вызовы `fetch()` браузера с тем же источником (same-origin), в результате чего сетевая активность выглядит как исходящая от `msedge.exe`, а не от Python. Конфигурация обновляется с конечной точки Azure Blob Storage каждые 300 секунд. Интерактивный доступ осуществляется через обратный SOCKS5-туннель поверх прямых TLS/WebSocket-соединений или WebRTC DataChannels, ретранслируемых через инфраструктуру TURN Microsoft Teams. Туннель поддерживает до 128 одновременных TCP-потоков и обеспечивает доступ к внутренним сервисам, таким как SMB, RDP, WinRM и MSSQL.

TWINLOOT может отображать пиксельно точную имитацию экрана блокировки Windows с использованием Tkinter, с резервным вариантом на основе HTML. Программа не проверяет пароли; введённые значения шифруются и загружаются в SharePoint, при этом жертва получает вводящие в заблуждение сообщения об ошибках пароля. Внедрённый модуль поддерживает разведку на уровне системы и домена, создание скриншотов, управление туннелями, перезагрузку конфигурации, выполнение произвольных команд оболочки и перемещение по сети (lateral movement).

В состав включены четыре механизма закрепления, инициируемые оператором. Среди них — манипуляция с TaskCache, позволяющая скрывать запланированные задачи, а также подделка хива обязательного профиля `NTUSER.MAN` без административных привилегий. Последний метод использует `offreg.dll` и `RegLoadAppKeyW` для изменения хива в автономном режиме, что позволяет избежать стандартных событий модификации реестра. Первоначальный доступ был получен посредством социальной инженерии через Teams, в ходе которой пользователя уговорили выполнить команду PowerShell, скачавшую подготовленный рантайм и полезную нагрузку.

#ParsedReport #CompletenessHigh
19-08-2026

When Agents Go Rogue: The OpenClaw Supply Chain Crisis

https://www.trellix.com/blogs/research/when-agents-go-rogue-openclaw-supply-chain-crisis/

Report completeness: High

Actors/Campaigns:
Clawhavoc

Threats:
Supply_chain_technique
Clickfix_technique
Nova_stealer
Typosquatting_technique
Amos_stealer
Clipboard_hijacking_technique
Netcat_tool
Lolbin_technique
Polymorphism_technique

Victims:
Openclaw users, Web3 developers, Ai developers, Cryptocurrency users

Industry:
Retail

TTPs:
Tactics: 4
Technics: 7

IOCs:
File: 13
IP: 2
Command: 1
Path: 1
Hash: 2

Soft:
OpenClaw, ClawHub, Clawdbot, Moltbot, macOS, curl, Slack, Node.js, process explorer, Chrome, have more...

Wallets:
metamask, electrum

Algorithms:
sha256, base64, xor, zip

Functions:
Set-Clipboard, Get-Clipboard

Languages:
powershell

Platforms:
intel, cross-platform, apple, arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Релизы OpenClaw, выпущенные до версии 2026.1.29, были подвержены компрометации цепочки поставок и атакам на основе инъекций в промпт из-за неограниченного выполнения команд и слабой изоляции. В рамках кампании ClawHavoc было распространено более 350 вредоносных навыков, обеспечивших доставку NovaStealer v2, который нацеливался на кошельки, учетные данные, ключи SSH, облачные данные и файлы OpenClaw. Кроме того, вредоносный контент мог инициировать выполнение команд оболочки через агента.
-----

OpenClaw — это фреймворк с открытым исходным кодом для агентного ИИ, который подключает большие языковые модели к ресурсам операционной системы, включая локальные файлы, платформы обмена сообщениями, буфер обмена и команды терминала без песочницы. В отчете описаны уязвимости и активная эксплуатация, затрагивающие выпуски до версии 2026.1.29, а также снимки реестра ClawHub за март–май 2026 года. Основные риски связаны с широкими возможностями выполнения команд, слабой изоляцией, хранением учетных данных в открытом виде и неявным доверием к запросам инструментов, сгенерированным LLM.

Цепочка поставок: кампания ClawHavoc заразила реестр навыков ClawHub более чем 350 вредоносными или поддельными (с использованием опечаток) навыками. Пакеты выдавали себя за такие инструменты, как `clawhub-cli`, и были нацелены на сценарии использования в криптографии, разработке и в социальных сетях. Вредоносные файлы `SKILL.md` использовали социальную инженерию в стиле ClickFix, чтобы побудить пользователей установить поддельную утилиту аутентификации, часто называемую AuthTool, или вручную выполнить команду, закодированную в Base64. Эта команда загружала и выполняла универсальный бинарный файл Mach-O, NovaStealer v2, с IP-адреса `91.92.242.30` на системах macOS.

NovaStealer v2, описываемый как вариант стиллера для macOS на базе Atomic macOS Stealer, нацелен на криптографические кошельки, файлы cookie и данные для входа в браузерах, информацию из Связки ключей macOS, ключи SSH, учетные данные AWS, файлы `.env` и данные агентов, связанные с OpenClaw, такие как `\~/.clawdbot/HEARTBEAT.md`. Бинарный файл поддерживает архитектуры Intel и Apple Silicon и использует обфускацию строк на основе XOR. Неограниченная функциональность `child_process.exec()` в OpenClaw также позволяет вредоносным навыкам или внедренным промптам получать доступ к содержимому буфера обмена, загружать и выполнять бинарные файлы, а также создавать запланированные задачи.

В отчете также описаны атаки с использованием косвенного внедрения промптов (indirect prompt injection), при которых вредоносные инструкции, встроенные в электронные письма, веб-страницы, документы или содержимое чатов, манипулируют агентом с целью заставить его выполнять команды оболочки. OpenClaw может передавать команды, сгенерированные LLM, непосредственно в оболочку хоста, включая PowerShell, `curl`, `nc.exe` или `schtasks.exe`, без обязательного подтверждения, если параметры отключают проверки подтверждения. Рекомендуемые меры контроля включают изоляцию развертываний на выделенных системах или экземплярах VPS, ограничение сетевого доступа, предотвращение публичной экспозиции шлюза, использование учетных записей без доступа к конфиденциальным данным, аудит установок, а также мониторинг цепочек дочерних процессов `node.exe` и подозрительных записей в файлы, связанных с известными артефактами ClawHavoc.

#ParsedReport #CompletenessMedium
25-08-2026

NPM Isn't Prepared For North Korean PolinRider Attack

https://opensourcemalware.com/blog/polinrider-npm-case-study-dprk-attack

Report completeness: Medium

Threats:
Polinrider
Night_king
Supply_chain_technique
Nullreceiver_technique
Babel_tool

Victims:
Npm registry, Javascript ecosystem, Software supply chain, Github developers

Industry:
Financial, Transport

Geo:
Dprk, North korean

ChatGPT TTPs:
do not use without manual check
T1027, T1027.009, T1036, T1059.007, T1070.006, T1078, T1195.002, T1546

IOCs:
File: 9
Hash: 5
Coin: 1

Soft:
Node.js, Dependabot

Crypto:
ethereum

Algorithms:
sha256, xor

Languages:
javascript

Platforms:
intel