#ParsedReport #ExtractedSchema

Classified images:
code: 17, schema: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие нацелились на LiteLLM, RAGFlow и Kestra в качестве точек управления ИИ для кражи учетных данных, доступа к данным в нижестоящих системах, закрепления, выполнения команд и развертывания майнеров криптовалют. Они эксплуатировали или могли эксплуатировать уязвимости приложений, открытые шлюзы, утечку учетных данных, доступ к контейнерам и вредоносные рабочие процессы.
-----

Microsoft зафиксировала атаки на три рабочих нагрузки ИИ — LiteLLM, RAGFlow и Kestra — поскольку они выступают в роли контрольных точек, содержащих учетные данные, доступ к базам данных, механизмы выполнения рабочих процессов или привилегии на уровне хоста. В ходе вторжений злоумышленники добивались кражи учетных данных, закрепления, доступа к данным на нижестоящих уровнях и майнинга криптовалют.

Компрометация LiteLLM, вероятно, началась через незащищенный шлюз. Возможные пути доступа включали CVE-2026-42271 — уязвимость, позволяющую выполнять команды после аутентификации в тестовых конечных точках MCP stdio, — в сочетании с CVE-2026-48710 — обходом проверки заголовка host в Starlette, который мог ослаблять аутентификацию в уязвимых конфигурациях. Злоумышленники выполняли команды из процесса шлюза, читали `/proc/1/environ` для сбора API-ключей провайдеров, мастер-ключей LiteLLM, учетных данных для доступа к базе данных, токенов и паролей, а затем выгружали полученные данные с использованием Python, `curl` и `wget`. Они доставляли ELF-нагрузки, маскирующиеся под легитимные файлы, проводили разведку хоста и привилегий, удаляли конкурирующие майнеры, загружали модуль Linux MSR для настройки RandomX/XMRig и обеспечивали закрепление (persistence) с помощью SSH-ключей учетных записей служб, скрытых файлов, модификации cron и имен, имитирующих системные службы. Затем украшенная строка подключения к PostgreSQL была использована для извлечения записей о моделях LiteLLM и виртуальных ключах; данные кодировались и отправлялись на внешнюю инфраструктуру обратного вызова.

Активность RAGFlow была сосредоточена преимущественно на краже учетных данных LLM. Злоумышленники изменили путь запуска приложения, чтобы перехватывать учетные данные, настроенные после установки, и обеспечивать их сохранение при перезагрузках. Возможными уязвимостями являлись аутентифицированные уязвимости внедрения в шаблоны CVE-2026-45312 и CVE-2026-28797, проблема обхода пути (path traversal) в MinerU CVE-2026-24770, а также обход песочницы Canvas CodeExec, отслеживаемый как GHSA-8xw3-v6c2-j84j; ни одна из них не была подтверждена как причина вторжения. Кроме того, внутри контейнера были записаны SSH-ключи.

Скорее всего, Kestra была скомпрометирована через уязвимость CVE-2026-49869, позволяющую обходить аутентификацию и дающую неаутентифицированным злоумышленникам возможность создавать вредоносные рабочие процессы Process-runner. Злоумышленники использовали выполнение команд в оболочке, инициированное рабочими процессами, для доступа к сокету Docker, перечисления окружений контейнеров, развертывания майнера, похожего на XMRig, взаимодействия с пулами майнинга и применения метода доставки curl-pipe-shell. В целом, специалистам по защите следует сопоставлять события, связанные с запуском оболочек из приложений, доступом к секретным данным, изменением файлов, использованием сокета Docker, подготовкой к майнингу и необычными исходящими обратными вызовами.

#ParsedReport #CompletenessLow
27-08-2026

AmnesiaStealer Introduces Interactive Browser Session Hijacking to macOS

https://blog.polyswarm.io/amnesiastealer-introduces-interactive-browser-session-hijacking-to-macos

Report completeness: Low

Threats:
Amnesia_stealer
Clickfix_technique
Amos_stealer
Macc_stealer
Crashstealer
Credential_stealing_technique

Victims:
Macos users

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1036, T1059.004, T1070.004, T1074.001, T1082, T1105, T1185, T1204, have more...

IOCs:
Hash: 1
IP: 0
Domain: 0
Url: 0
Email: 0
BrowserExtension: 0

Soft:
macOS, Telegram, Chrome, Chromium

Languages:
rust

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
AmnesiaStealer — это стиллер для macOS, написанный на языке Rust, распространяемый с помощью приманок ClickFix, которые обманывают жертв, заставляя их выполнять команды в Терминале. Он собирает данные браузеров, учетные данные, ключевые цепочки, кошельки, документы и сессии, после чего выгружает их, обеспечивая постоянное присутствие в системе через замаскированный LaunchDaemon. Его модуль Stage 2 клонирует профили браузеров и использует скрытый Chromium с CDP для перехвата аутентифицированных сессий.
-----

AmnesiaStealer — многоэтапный стиллер для macOS, написанный на языке Rust и распространяемый с помощью социальной инженерии ClickFix. Жертвам предлагается перейти на поддельные страницы загрузки GitHub и скопировать команду для выполнения в Терминале. Данная команда запускает shell-скрипт, который скачивает, извлекает, подписывает и запускает основной полезный груз, после чего удаляет артефакты установки.

Вредоносное ПО (ВПО) выполняет профилирование хоста и отображает запрос пароля в стиле установщика. Введенные учетные данные проверяются локально и используются для разблокировки Связки ключей (Keychain) для входа в macOS пользователя. AmnesiaStealer собирает данные из шестнадцати браузеров на базе Chromium, включая файлы cookie, базы данных для входа, историю, закладки, данные расширений, Local State, Preferences и другие артефакты профиля. Также в число целей входят данные браузерных кошельков, Apple Notes, информация о сессиях в Телеграм, документы, системная информация и содержимое Связки ключей. Собранная данные подготавливается, архивируется и выгружается на инфраструктуру, контролируемую злоумышленниками.

AmnesiaStealer обеспечивает закрепление (persistence) с помощью LaunchDaemon, который маскируется под компонент Apple для отчётов об ошибках. В нём реализованы пути выполнения, учитывающие версию операционной системы, а также сохранены несколько устаревших процедур сбора данных и обхода TCC, что позволяет изменять поведение в зависимости от версии macOS. Конфигурации, генерируемые сборщиком, предоставляют зашифрованные параметры, специфичные для конкретной кампании, сведения об инфраструктуре и идентификаторы сборки, что обеспечивает быстрое создание вариантов вредоносного ПО.

Его наиболее значимая возможность — это отдельный модуль потоковой передачи браузера (Stage 2). По команде оператора вредоносное ПО загружает модуль, клонирует профиль браузера жертвы и запускает его в скрытом экземпляре Chromium в режиме headless. С помощью протокола Chrome DevTools Protocol операторы могут взаимодействовать с аутентифицированными сессиями браузера, не оказывая видимого контроля над активным браузером жертвы. Наблюдаемые функции включают навигацию по веб-сайтам, управление клавиатурой и мышью, управление вкладками, захват вывода браузера в реальном времени, экспорт расшифрованных cookie в формате открытого текста и импорт cookie в сессии браузера. Это позволяет напрямую злоупотреблять аутентифицированными сессиями, а не полагаться исключительно на украденные учетные данные или базы данных браузера.

AmnesiaStealer связан с поддельными приманками GitHub, которые также ассоциируются с Atomic Stealer и MacSync. Устойчивые возможности для обнаружения включают выполнение команд в Terminal, инициированное через ClickFix, необычный доступ к Связке ключей, закрепление через LaunchDaemon, клонирование профилей браузера, скрытое выполнение Chromium и управление браузером на основе CDP.

#ParsedReport #CompletenessMedium
27-08-2026

UAC-0099 conducts attack campaigns using a new multi-stage malware chain.

https://mp.weixin.qq.com/s/WjjZYriiZl7-waw6Cjy1DQ

Report completeness: Medium

Actors/Campaigns:
Uac-0099
Sandworm

Threats:
Dll_sideloading_technique
Lunchpoke_tool
Burnybear_tool
Matchboil

Victims:
Government agencies, Critical infrastructure

Industry:
Critical_infrastructure, Government

Geo:
Ukrainian, Russia, Ukraine

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1016, T1027, T1033, T1036, T1036.007, T1053.005, T1059, T1071.001, T1082, T1105, have more...

IOCs:
File: 6
Hash: 8
IP: 0
Domain: 0
Url: 0
Email: 0
BrowserExtension: 0

Soft:
WinRAR

Algorithms:
md5

Win API:
V2

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 7, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
UAC-0099 нацелился на украинские государственные органы и организации критической инфраструктуры, используя фишинговые письма с доставкой скриптов WSF, замаскированных под документы Word. Скрипты инициировали подмену DLL (DLL side-loading) через троянизированный пакет Notepad++, развертывая LUNCHPOKE, постоянный загрузчик BURNYBEAR и MATCHBOIL.V2 — бэкдор на основе TLS, который извлекал и выполнял дополнительные полезны
-----

UAC-0099 провела фишинговую кампанию, в основном нацеленную на украинские государственные органы и организации, связанные с критической инфраструктурой. Группа отправляла электронные письма, содержащие вредоносные архивы, тематика которых была связана с интересами получателей. Внутри архивов находились файлы Windows Script (WSF), замаскированные под документы Word с использованием двойных расширений. При открытии файлы выполнялись с помощью `wscript.exe`, что запускало цепочку доставки ВПО.

Скрипт WSF использовал сокращённую URL-адрес для доступа к файловому серверу и загрузки архива, содержащего легитимный исполняемый файл Notepad++ и вредоносные компоненты. Он создал каталог в профиле пользователя, извлек файлы и запустил `notepad++.exe`. Это привело к загрузке DLL через механизм DLL side-loading, в ходе которого вредоносная DLL, замаскированная под плагин Notepad++, была загружена из каталога `plugins\nppexport`. Загрузчик, идентифицированный как LUNCHPOKE, создал рабочий каталог и извлек защищённый паролем архив, содержащий BURNYBEAR и MATCHBOIL.V2.

BURNYBEAR обеспечил закрепление (persistence) путём создания запланированной задачи, замаскированной под задачу обновления Evernote/Notepad. Задача выполнялась каждые пять минут с аргументом `notepad_updatecheck`. BURNYBEAR продолжал работу только при наличии именно этого аргумента; в противном случае он откладывал выполнение на 100 секунд и завершал работу. Загрузчик также использовал средства защиты .NET от анализа, включая `SuppressIldasmAttribute`, виртуализацию потока управления с большой таблицей switch и расшифровку строк во время выполнения, хранящихся во встроенных ресурсах.

MATCHBOIL.V2 функционировал как бэкдор. Он взаимодействовал с сервером управления по протоколу TLS, используя пользовательские заголовки HTTP, фиксированный токен аутентификации и отпечаток хоста, основанный на данных об аппаратном обеспечении и системе. Вредоносное ПО выполняло проверки на наличие песочницы, включая ускорение сна, размер диска, журналы событий и дату установки. Периодически оно обращалось к серверу C2, обрабатывало вызовы, получало конфигурации и закодированные полезные нагрузки, а также отправляло отчеты о результатах. Несмотря на использование TLS, проверка сертификатов была отключена, поскольку обратный вызов проверки всегда возвращал значение true.

Бэкдор хранил конфигурационные данные локально и восстанавливал зашифрованный архив, содержащий основной полезный груз, `RemoteFileViewer.exe`. При наличии локальной установки WinRAR он использовал её, либо при необходимости загружал дополнительный инструмент для извлечения. Инструментарий, целевой профиль и повторное использование MATCHBOIL.V2 подтверждают атрибуцию к UAC-0099.

#ParsedReport #CompletenessMedium
27-08-2026

Projextor: Abusing Electron in Trojanized Productivity Applications

https://blog.gdatasoftware.com/2026/08/38468-projextor-abusing-electron

Report completeness: Medium

Threats:
Projextor
Tamperedchef

Victims:
Productivity software users, Document converters, Meal planners, Recipe formulators, Pdf management tools

Industry:
Foodtech

TTPs:
Tactics: 1
Technics: 6

IOCs:
Url: 6
Hash: 7

Soft:
Electron, Chromium, Node.js

Algorithms:
sha256

Languages:
javascript

Platforms:
cross-platform

#ParsedReport #ExtractedSchema

Classified images:
windows: 1, schema: 1, code: 5

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Projextor — это кампания по распространению троянизированных приложений для повышения продуктивности на базе Electron, которые выглядят легитимными, но содержат вредоносный код предварительной загрузки. Ненадёжные настройки Electron, в том числе отключённая изоляция контекста, обеспечивают привилегированный доступ к Node.js и динамическое выполнение JavaScript. Приложения также поддерживают перечисление и захват элементов рабочего стола и окон, что указывает на потенциальные возможности слежки в рамках общей кодовой базы.
-----

Projextor — это кампания, в рамках которой распространяются троянизированные приложения на базе Electron, предназначенные для повышения продуктивности и имитирующие легитимные инструменты, включая планировщики питания, приложения с рецептами, конвертеры документов и утилиты для работы с PDF. Среди выявленных приложений — Kitchen Canvas, Food or Meal Formula, DocConvertWizard, а также инструменты для работы с PDF, распространяемые под различными названиями. Данные приложения продвигались через различные веб-сайты и ссылки для загрузки, вероятно, полагаясь на видимость в поисковой выдаче и доверие пользователей к бесплатному программному обеспечению для повышения продуктивности.

Цепочка заражения начинается с установщика или загрузчика, который доставляет приложение Electron второго этапа. В образцах использовались пакеты NSIS, Squirrel Installer или Inno Setup, однако все они преследовали одну и ту же цель — установку вредоносного приложения. Данные приложения предоставляют заявленные функции, что позволяет вредоносным возможностям сливаться с ожидаемой активностью в области работы с файлами, документами и системой.

Основное злоупотребление происходит на уровне preload-слоя Electron. Приложения используют небезопасные параметры конфигурации, включая `contextIsolation: false`, что позволяет веб-контенту взаимодействовать с привилегированными функциями Node.js, открытыми preload-скриптом. Они также отключают предупреждения, связанные с устаревшими сборками Electron, что свидетельствует о намеренном использовании небезопасных конфигураций и, потенциально, уязвимых версий фреймворка. Preload-скрипты выступают в качестве точки входа для выполнения кода до загрузки пользовательского интерфейса и могут динамически импортировать и выполнять дополнительные модули JavaScript. Это позволяет добавлять функциональность после установки и выполнять произвольные действия без изменения исходного пакета приложения.

Приложения также реализуют возможности захвата рабочего стола на базе Electron. Их код предварительной загрузки (preload) взаимодействует через IPC Electron для перечисления доступных мониторов и окон приложений, генерации миниатюрных превью и выбора источника захвата. Хотя функция совместного использования экрана может быть легитимной, её наличие в обычном программном обеспечении для повышения продуктивности повышает потенциальный риск слежки или несанкционированного захвата рабочего стола, особенно в сочетании с возможностью выполнения произвольного JavaScript-кода.

Проанализированные образцы используют один и тот же фреймворк Electron и имеют практически идентичные реализации `main.js` и `preload.js`, несмотря на различные имена и назначение. Это указывает на общую кодовую базу или инфраструктуру кампании, хотя имеющиеся доказательства не позволяют установить, управлялись ли они одним конкретным злоумышленником.

#ParsedReport #CompletenessLow
27-08-2026

The ChainDrop npm Worm (August 2026): How 444 Packages Were Compromised Without a Single npm Install

https://medium.com/governed-at-the-source/the-chaindrop-npm-worm-august-2026-how-444-packages-were-compromised-without-a-single-npm-b0c9e5a4c387

Report completeness: Low

Threats:
Chaindrop
Supply_chain_technique

Victims:
Npm packages, Github repositories, Software developers

ChatGPT TTPs:
do not use without manual check
T1078.004, T1195.002, T1528, T1546, T1608.001

Soft:
Claude

Functions:
Microsoft

Links:
https://github.com/jaredwray/keyv/issues/2051#issuecomment-5186350604
https://github.com/jaredwray/keyv/issues/2051#issuecomment-5198193018

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ChainDrop привела к компрометации учетных данных для публикации в npm и аккаунтов GitHub, что позволило распространить вредоносные релизы в 444 пакетах и внедрить конфигурационные файлы с автоматическим запуском в репозитории. Вредоносная нагрузка могла активироваться при открытии проектов в VS Code или запуске Claude Code, обходя сканеры зависимостей, в то время как действительные свидетельства происхождения (provenance attestations) скрывали происхождение вредоносного кода.
-----

4 августа 2026 года злоумышленник получил несанкционированный доступ к учетной записи GitHub, связанной с пакетом npm `keyv`, а также к сопутствующим пакетам, включая `cacheable`, `flat-cache`, `file-entry-cache`, `cache-manager` и `cacheable-request`. Используя украденные учетные данные для публикации в npm, злоумышленник распространил вредоносный код в 444 пакетах через более чем 1300 версий, затронув пакеты с совокупной оценкой более двух миллиардов установок в месяц. Вредоносные релизы, как правило, размещались в последних основных версиях, поэтому степень подверженности риску зависела от диапазонов зависимостей, используемых в каждом проекте.

Кампания, получившая название ChainDrop, также использовала украденные учетные данные GitHub для модификации репозиториев жертв. В них были добавлены файлы `.claude/settings.json`, содержащий хук `SessionStart`, и `.vscode/tasks.json`, содержащий задачу по настройке окружения, настроенную на запуск при открытии папки. Там, где был доступен доступ через GitHub App, злоумышленник, по имеющимся данным, выгружал эти файлы в до 50 веток каждого репозитория. Таким образом, разработчик, открывший скомпрометированный проект в VS Code или запустивший сессию Claude Code, мог активировать полезную нагрузку без выполнения `npm install`, сборки проекта или разрешения затронутых пакетов.

Сканеры зависимостей, как правило, не обнаруживали эту активность, поскольку вредоносные файлы представляли собой конфигурацию репозитория, а не зависимости пакетов. Механизмы доверия к рабочим пространствам VS Code (VS Code Workspace Trust) и управления настройками репозитория в Claude Code могут блокировать автоматическое выполнение в недоверенных проектах, однако доверенные репозитории остаются уязвимыми для пользователей, которые ранее одобрили их. Кампания эксплуатировала задокументированное поведение инструментов, а не уязвимость в каком-либо из продуктов.

Скомпрометированные релизы в npm сохранили действительные свидетельства происхождения (provenance attestations), поскольку они были опубликованы через доверенный рабочий процесс GitHub Actions. Эти свидетельства верифицировали личность публикатора и процесс сборки, но не отсутствие вредоносного исходного кода в репозитории. Меры по устранению уязвимости включали отключение GitHub Actions и доверенной публикации в npm, удаление скомпрометированных версий и dist-tags, удаление вредоносных веток и тегов, а также сброс затронутых веток. Степень подверженности риску зависела от версий; например, пакет `got` мог разрешить затронутую версию `cacheable-request@13.0.20`, тогда как `eslint` оставался защищенным, поскольку он разрешает более старые основные версии.

#ParsedReport #CompletenessHigh
27-08-2026

AI Across the Intrusion Lifecycle

https://cdn.prod.website-files.com/69944dd945f20ca4a27a7c47/6a7eca2b40324665e06da6ad_AI%20Across%20the%20Intrusion%20Lifecycle%20(2).pdf

Report completeness: High

Actors/Campaigns:
Gentlemen_ransomware

Threats:
Crackmapexec_tool
Impacket_tool
Winrm_tool
Credential_harvesting_technique
Masscan_tool
Sliver_c2_tool
Hvnc_tool
Xmrig_miner

Victims:
Energy utility, Financial services, Food service, Manufacturing, It services, Property management, Distribution, Cloud services, Saas provider, Internet exposed services, have more...

Industry:
Energy, Foodtech

Geo:
Thailand, South africa, Russian, Chinese, Australia, Malaysia, Mauritius, United states

CVEs:
CVE-2024-23897 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- jenkins (<2.426.3, <2.442)


TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 16
IP: 15
Domain: 4

Soft:
Claude, curl, FortiGate, mssql, boto3, anthropic.claude, Laravel, Anthropic, AWS Bedrock, HuggingFace, have more...

Algorithms:
base64

Functions:
AssumeRole, dlopen

Languages:
groovy, python

Platforms:
x86, x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В отчете описаны три операции с использованием ИИ: партнер программы вымогательства использовал Claude Code для компрометации VPN-устройств, кражи учетных данных LDAP, закрепления в VPN, горизонтального перемещения и подготовки данных к выводу. Zerofot применял инструменты сканирования и оркестрации, разработанные с помощью ИИ, для поиска открытых сервисов, сбора учетных данных, эксплуатации Jenkins и развертывания Sliver. RAGE эксплуатировал открытую инфраструктуру и облачные учетные данные для развертывания майнеров XMRig и доступа к облачным ресурсам.
-----

В отчете описаны три операции по киберугрозам с использованием ИИ. В первой из них предположительно аффилированное лицо хакерской группировки The Gentlemen, работающей по модели Программа-вымогатель как услуга, использовало Claude Code во время вторжений в организации в нескольких странах. Оператор использовал скомпрометированные учетные данные VPN-устройства для доступа к открытым интерфейсам управления, автоматизации разведки и изменения конфигураций. Claude генерировал запросы API, адаптировался к ошибкам аутентификации и конечных точек, а также помогло выполнить атаку LDAP pass-back, перенаправив службу LDAP устройства на управляемый злоумышленником слушатель. В результате был раскрыт пароль учетной записи службы LDAP межсетевого экрана. Затем оператор создал постоянного пользователя VPN с повторно используемым паролем, включил SSL-VPN и изменил политики межсетевого экрана для доступа к внутренним сетям.

Используя украденные учетные данные домена и доступ к VPN, злоумышленник провел разведку по протоколу SMB с помощью CrackMapExec или NetExec, перечислил хосты, общие ресурсы и локальные учетные записи, а также проанализировал инфраструктуру резервного копирования и корпоративные базы данных. Claude выявил важные производственные базы данных и хранилища клиентской документации, создал сжатые резервные копии SQL для подготовки и эксфильтрации, а затем удалил подготовленные файлы. Попытки изменить конфигурацию FortiGate также привели к тому, что межсетевой экран одной из служб стал недоступен, вероятно, из-за неудачного восстановления конфигурации.

Вторая операция, приписываемая китайскоязычному актору Zerofot, использовала собственный сканер под названием auto_scan для обнаружения открытых файлов и каталогов на основе целей, полученных из FOFA и masscan. Инструмент извлекал и проверял в реальном времени учетные данные для провайдеров ИИ, облачных сервисов, репозиториев кода, SaaS-платформ и SSH. Ключи AWS дополнялись информацией об учетных записях и пользователях IAM. Сканер был разработан с помощью Codex и Claude Code, а фреймворк оркестрации автоматизировал развертывание, управление прокси, изменения в настройках межсетевых экранов, мониторинг и устранение неполадок. Вспомогательные инструменты нацеливались на открытые серверы Jenkins через слабые учетные данные или уязвимость CVE-2024-23897, использовали аутентифицированный доступ к Script Console для сбора секретов и разворачивали импланты Sliver для обнаружения учетных данных и баз данных.

Третья операция была связана с RAGE — фреймворком эксплуатации на Python, ориентированным на компрометацию открытых сервисов и развертывание майнеров криптовалюты XMRig. Его модули нацеливались на Redis, Elasticsearch и Docker без аутентификации, слабо защищенные менеджеры Tomcat, а также на другие платформы, включая Jenkins, Hadoop YARN, Confluence и Supervisord. Применяемые техники включали инъекцию cron-задач или SSH-ключей через Redis, загрузку вредоносных модулей, злоупотребление контейнерами Docker, монтирование файловой системы хоста и развертывание вредоносных WAR-архивов. RAGE также собирал учетные данные облачных сервисов; в одном из случаев ключ AWS, извлеченный из Redis, был использован для перечисления и доступа к S3, Secrets Manager, SSM, IAM, Lambda, ECS, RDS, DynamoDB и связанным с ними облачным ресурсам.

#ParsedReport #CompletenessMedium
27-08-2026

MessiahGPT: The Unrestricted AI Model Fueling a New Wave of Automated Ransomware and Phishing Attacks + Video

https://undercodetesting.com/messiahgpt-the-unrestricted-ai-model-fueling-a-new-wave-of-automated-ransomware-and-phishing-attacks-video/

Report completeness: Medium

Actors/Campaigns:
Dabial_leaks (motivation: hacktivism)

Threats:
Messiahgpt_tool
Jinnatgpt_tool
Paraohagpt_tool
Darkgpt_tool

Victims:
Small and medium sized businesses, Enterprise environments

Industry:
Chemical, E-commerce

ChatGPT TTPs:
do not use without manual check
T1587.001, T1587.004

IOCs:
Domain: 1
File: 2

Soft:
Telegram, Linux, sudo, atsapp \| 💬, ram, itter 🐦

Algorithms:
aes, xor, base64

YARA: Found