#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
AmnesiaStealer — это стиллер для macOS, написанный на языке Rust, распространяемый с помощью приманок ClickFix, которые обманывают жертв, заставляя их выполнять команды в Терминале. Он собирает данные браузеров, учетные данные, ключевые цепочки, кошельки, документы и сессии, после чего выгружает их, обеспечивая постоянное присутствие в системе через замаскированный LaunchDaemon. Его модуль Stage 2 клонирует профили браузеров и использует скрытый Chromium с CDP для перехвата аутентифицированных сессий.
-----

AmnesiaStealer — многоэтапный стиллер для macOS, написанный на языке Rust и распространяемый с помощью социальной инженерии ClickFix. Жертвам предлагается перейти на поддельные страницы загрузки GitHub и скопировать команду для выполнения в Терминале. Данная команда запускает shell-скрипт, который скачивает, извлекает, подписывает и запускает основной полезный груз, после чего удаляет артефакты установки.

Вредоносное ПО (ВПО) выполняет профилирование хоста и отображает запрос пароля в стиле установщика. Введенные учетные данные проверяются локально и используются для разблокировки Связки ключей (Keychain) для входа в macOS пользователя. AmnesiaStealer собирает данные из шестнадцати браузеров на базе Chromium, включая файлы cookie, базы данных для входа, историю, закладки, данные расширений, Local State, Preferences и другие артефакты профиля. Также в число целей входят данные браузерных кошельков, Apple Notes, информация о сессиях в Телеграм, документы, системная информация и содержимое Связки ключей. Собранная данные подготавливается, архивируется и выгружается на инфраструктуру, контролируемую злоумышленниками.

AmnesiaStealer обеспечивает закрепление (persistence) с помощью LaunchDaemon, который маскируется под компонент Apple для отчётов об ошибках. В нём реализованы пути выполнения, учитывающие версию операционной системы, а также сохранены несколько устаревших процедур сбора данных и обхода TCC, что позволяет изменять поведение в зависимости от версии macOS. Конфигурации, генерируемые сборщиком, предоставляют зашифрованные параметры, специфичные для конкретной кампании, сведения об инфраструктуре и идентификаторы сборки, что обеспечивает быстрое создание вариантов вредоносного ПО.

Его наиболее значимая возможность — это отдельный модуль потоковой передачи браузера (Stage 2). По команде оператора вредоносное ПО загружает модуль, клонирует профиль браузера жертвы и запускает его в скрытом экземпляре Chromium в режиме headless. С помощью протокола Chrome DevTools Protocol операторы могут взаимодействовать с аутентифицированными сессиями браузера, не оказывая видимого контроля над активным браузером жертвы. Наблюдаемые функции включают навигацию по веб-сайтам, управление клавиатурой и мышью, управление вкладками, захват вывода браузера в реальном времени, экспорт расшифрованных cookie в формате открытого текста и импорт cookie в сессии браузера. Это позволяет напрямую злоупотреблять аутентифицированными сессиями, а не полагаться исключительно на украденные учетные данные или базы данных браузера.

AmnesiaStealer связан с поддельными приманками GitHub, которые также ассоциируются с Atomic Stealer и MacSync. Устойчивые возможности для обнаружения включают выполнение команд в Terminal, инициированное через ClickFix, необычный доступ к Связке ключей, закрепление через LaunchDaemon, клонирование профилей браузера, скрытое выполнение Chromium и управление браузером на основе CDP.

#ParsedReport #CompletenessMedium
27-08-2026

UAC-0099 conducts attack campaigns using a new multi-stage malware chain.

https://mp.weixin.qq.com/s/WjjZYriiZl7-waw6Cjy1DQ

Report completeness: Medium

Actors/Campaigns:
Uac-0099
Sandworm

Threats:
Dll_sideloading_technique
Lunchpoke_tool
Burnybear_tool
Matchboil

Victims:
Government agencies, Critical infrastructure

Industry:
Critical_infrastructure, Government

Geo:
Ukrainian, Russia, Ukraine

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1016, T1027, T1033, T1036, T1036.007, T1053.005, T1059, T1071.001, T1082, T1105, have more...

IOCs:
File: 6
Hash: 8
IP: 0
Domain: 0
Url: 0
Email: 0
BrowserExtension: 0

Soft:
WinRAR

Algorithms:
md5

Win API:
V2

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 7, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
UAC-0099 нацелился на украинские государственные органы и организации критической инфраструктуры, используя фишинговые письма с доставкой скриптов WSF, замаскированных под документы Word. Скрипты инициировали подмену DLL (DLL side-loading) через троянизированный пакет Notepad++, развертывая LUNCHPOKE, постоянный загрузчик BURNYBEAR и MATCHBOIL.V2 — бэкдор на основе TLS, который извлекал и выполнял дополнительные полезны
-----

UAC-0099 провела фишинговую кампанию, в основном нацеленную на украинские государственные органы и организации, связанные с критической инфраструктурой. Группа отправляла электронные письма, содержащие вредоносные архивы, тематика которых была связана с интересами получателей. Внутри архивов находились файлы Windows Script (WSF), замаскированные под документы Word с использованием двойных расширений. При открытии файлы выполнялись с помощью `wscript.exe`, что запускало цепочку доставки ВПО.

Скрипт WSF использовал сокращённую URL-адрес для доступа к файловому серверу и загрузки архива, содержащего легитимный исполняемый файл Notepad++ и вредоносные компоненты. Он создал каталог в профиле пользователя, извлек файлы и запустил `notepad++.exe`. Это привело к загрузке DLL через механизм DLL side-loading, в ходе которого вредоносная DLL, замаскированная под плагин Notepad++, была загружена из каталога `plugins\nppexport`. Загрузчик, идентифицированный как LUNCHPOKE, создал рабочий каталог и извлек защищённый паролем архив, содержащий BURNYBEAR и MATCHBOIL.V2.

BURNYBEAR обеспечил закрепление (persistence) путём создания запланированной задачи, замаскированной под задачу обновления Evernote/Notepad. Задача выполнялась каждые пять минут с аргументом `notepad_updatecheck`. BURNYBEAR продолжал работу только при наличии именно этого аргумента; в противном случае он откладывал выполнение на 100 секунд и завершал работу. Загрузчик также использовал средства защиты .NET от анализа, включая `SuppressIldasmAttribute`, виртуализацию потока управления с большой таблицей switch и расшифровку строк во время выполнения, хранящихся во встроенных ресурсах.

MATCHBOIL.V2 функционировал как бэкдор. Он взаимодействовал с сервером управления по протоколу TLS, используя пользовательские заголовки HTTP, фиксированный токен аутентификации и отпечаток хоста, основанный на данных об аппаратном обеспечении и системе. Вредоносное ПО выполняло проверки на наличие песочницы, включая ускорение сна, размер диска, журналы событий и дату установки. Периодически оно обращалось к серверу C2, обрабатывало вызовы, получало конфигурации и закодированные полезные нагрузки, а также отправляло отчеты о результатах. Несмотря на использование TLS, проверка сертификатов была отключена, поскольку обратный вызов проверки всегда возвращал значение true.

Бэкдор хранил конфигурационные данные локально и восстанавливал зашифрованный архив, содержащий основной полезный груз, `RemoteFileViewer.exe`. При наличии локальной установки WinRAR он использовал её, либо при необходимости загружал дополнительный инструмент для извлечения. Инструментарий, целевой профиль и повторное использование MATCHBOIL.V2 подтверждают атрибуцию к UAC-0099.

#ParsedReport #CompletenessMedium
27-08-2026

Projextor: Abusing Electron in Trojanized Productivity Applications

https://blog.gdatasoftware.com/2026/08/38468-projextor-abusing-electron

Report completeness: Medium

Threats:
Projextor
Tamperedchef

Victims:
Productivity software users, Document converters, Meal planners, Recipe formulators, Pdf management tools

Industry:
Foodtech

TTPs:
Tactics: 1
Technics: 6

IOCs:
Url: 6
Hash: 7

Soft:
Electron, Chromium, Node.js

Algorithms:
sha256

Languages:
javascript

Platforms:
cross-platform

#ParsedReport #ExtractedSchema

Classified images:
windows: 1, schema: 1, code: 5

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Projextor — это кампания по распространению троянизированных приложений для повышения продуктивности на базе Electron, которые выглядят легитимными, но содержат вредоносный код предварительной загрузки. Ненадёжные настройки Electron, в том числе отключённая изоляция контекста, обеспечивают привилегированный доступ к Node.js и динамическое выполнение JavaScript. Приложения также поддерживают перечисление и захват элементов рабочего стола и окон, что указывает на потенциальные возможности слежки в рамках общей кодовой базы.
-----

Projextor — это кампания, в рамках которой распространяются троянизированные приложения на базе Electron, предназначенные для повышения продуктивности и имитирующие легитимные инструменты, включая планировщики питания, приложения с рецептами, конвертеры документов и утилиты для работы с PDF. Среди выявленных приложений — Kitchen Canvas, Food or Meal Formula, DocConvertWizard, а также инструменты для работы с PDF, распространяемые под различными названиями. Данные приложения продвигались через различные веб-сайты и ссылки для загрузки, вероятно, полагаясь на видимость в поисковой выдаче и доверие пользователей к бесплатному программному обеспечению для повышения продуктивности.

Цепочка заражения начинается с установщика или загрузчика, который доставляет приложение Electron второго этапа. В образцах использовались пакеты NSIS, Squirrel Installer или Inno Setup, однако все они преследовали одну и ту же цель — установку вредоносного приложения. Данные приложения предоставляют заявленные функции, что позволяет вредоносным возможностям сливаться с ожидаемой активностью в области работы с файлами, документами и системой.

Основное злоупотребление происходит на уровне preload-слоя Electron. Приложения используют небезопасные параметры конфигурации, включая `contextIsolation: false`, что позволяет веб-контенту взаимодействовать с привилегированными функциями Node.js, открытыми preload-скриптом. Они также отключают предупреждения, связанные с устаревшими сборками Electron, что свидетельствует о намеренном использовании небезопасных конфигураций и, потенциально, уязвимых версий фреймворка. Preload-скрипты выступают в качестве точки входа для выполнения кода до загрузки пользовательского интерфейса и могут динамически импортировать и выполнять дополнительные модули JavaScript. Это позволяет добавлять функциональность после установки и выполнять произвольные действия без изменения исходного пакета приложения.

Приложения также реализуют возможности захвата рабочего стола на базе Electron. Их код предварительной загрузки (preload) взаимодействует через IPC Electron для перечисления доступных мониторов и окон приложений, генерации миниатюрных превью и выбора источника захвата. Хотя функция совместного использования экрана может быть легитимной, её наличие в обычном программном обеспечении для повышения продуктивности повышает потенциальный риск слежки или несанкционированного захвата рабочего стола, особенно в сочетании с возможностью выполнения произвольного JavaScript-кода.

Проанализированные образцы используют один и тот же фреймворк Electron и имеют практически идентичные реализации `main.js` и `preload.js`, несмотря на различные имена и назначение. Это указывает на общую кодовую базу или инфраструктуру кампании, хотя имеющиеся доказательства не позволяют установить, управлялись ли они одним конкретным злоумышленником.

#ParsedReport #CompletenessLow
27-08-2026

The ChainDrop npm Worm (August 2026): How 444 Packages Were Compromised Without a Single npm Install

https://medium.com/governed-at-the-source/the-chaindrop-npm-worm-august-2026-how-444-packages-were-compromised-without-a-single-npm-b0c9e5a4c387

Report completeness: Low

Threats:
Chaindrop
Supply_chain_technique

Victims:
Npm packages, Github repositories, Software developers

ChatGPT TTPs:
do not use without manual check
T1078.004, T1195.002, T1528, T1546, T1608.001

Soft:
Claude

Functions:
Microsoft

Links:
https://github.com/jaredwray/keyv/issues/2051#issuecomment-5186350604
https://github.com/jaredwray/keyv/issues/2051#issuecomment-5198193018

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ChainDrop привела к компрометации учетных данных для публикации в npm и аккаунтов GitHub, что позволило распространить вредоносные релизы в 444 пакетах и внедрить конфигурационные файлы с автоматическим запуском в репозитории. Вредоносная нагрузка могла активироваться при открытии проектов в VS Code или запуске Claude Code, обходя сканеры зависимостей, в то время как действительные свидетельства происхождения (provenance attestations) скрывали происхождение вредоносного кода.
-----

4 августа 2026 года злоумышленник получил несанкционированный доступ к учетной записи GitHub, связанной с пакетом npm `keyv`, а также к сопутствующим пакетам, включая `cacheable`, `flat-cache`, `file-entry-cache`, `cache-manager` и `cacheable-request`. Используя украденные учетные данные для публикации в npm, злоумышленник распространил вредоносный код в 444 пакетах через более чем 1300 версий, затронув пакеты с совокупной оценкой более двух миллиардов установок в месяц. Вредоносные релизы, как правило, размещались в последних основных версиях, поэтому степень подверженности риску зависела от диапазонов зависимостей, используемых в каждом проекте.

Кампания, получившая название ChainDrop, также использовала украденные учетные данные GitHub для модификации репозиториев жертв. В них были добавлены файлы `.claude/settings.json`, содержащий хук `SessionStart`, и `.vscode/tasks.json`, содержащий задачу по настройке окружения, настроенную на запуск при открытии папки. Там, где был доступен доступ через GitHub App, злоумышленник, по имеющимся данным, выгружал эти файлы в до 50 веток каждого репозитория. Таким образом, разработчик, открывший скомпрометированный проект в VS Code или запустивший сессию Claude Code, мог активировать полезную нагрузку без выполнения `npm install`, сборки проекта или разрешения затронутых пакетов.

Сканеры зависимостей, как правило, не обнаруживали эту активность, поскольку вредоносные файлы представляли собой конфигурацию репозитория, а не зависимости пакетов. Механизмы доверия к рабочим пространствам VS Code (VS Code Workspace Trust) и управления настройками репозитория в Claude Code могут блокировать автоматическое выполнение в недоверенных проектах, однако доверенные репозитории остаются уязвимыми для пользователей, которые ранее одобрили их. Кампания эксплуатировала задокументированное поведение инструментов, а не уязвимость в каком-либо из продуктов.

Скомпрометированные релизы в npm сохранили действительные свидетельства происхождения (provenance attestations), поскольку они были опубликованы через доверенный рабочий процесс GitHub Actions. Эти свидетельства верифицировали личность публикатора и процесс сборки, но не отсутствие вредоносного исходного кода в репозитории. Меры по устранению уязвимости включали отключение GitHub Actions и доверенной публикации в npm, удаление скомпрометированных версий и dist-tags, удаление вредоносных веток и тегов, а также сброс затронутых веток. Степень подверженности риску зависела от версий; например, пакет `got` мог разрешить затронутую версию `cacheable-request@13.0.20`, тогда как `eslint` оставался защищенным, поскольку он разрешает более старые основные версии.

#ParsedReport #CompletenessHigh
27-08-2026

AI Across the Intrusion Lifecycle

https://cdn.prod.website-files.com/69944dd945f20ca4a27a7c47/6a7eca2b40324665e06da6ad_AI%20Across%20the%20Intrusion%20Lifecycle%20(2).pdf

Report completeness: High

Actors/Campaigns:
Gentlemen_ransomware

Threats:
Crackmapexec_tool
Impacket_tool
Winrm_tool
Credential_harvesting_technique
Masscan_tool
Sliver_c2_tool
Hvnc_tool
Xmrig_miner

Victims:
Energy utility, Financial services, Food service, Manufacturing, It services, Property management, Distribution, Cloud services, Saas provider, Internet exposed services, have more...

Industry:
Energy, Foodtech

Geo:
Thailand, South africa, Russian, Chinese, Australia, Malaysia, Mauritius, United states

CVEs:
CVE-2024-23897 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- jenkins (<2.426.3, <2.442)


TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 16
IP: 15
Domain: 4

Soft:
Claude, curl, FortiGate, mssql, boto3, anthropic.claude, Laravel, Anthropic, AWS Bedrock, HuggingFace, have more...

Algorithms:
base64

Functions:
AssumeRole, dlopen

Languages:
groovy, python

Platforms:
x86, x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В отчете описаны три операции с использованием ИИ: партнер программы вымогательства использовал Claude Code для компрометации VPN-устройств, кражи учетных данных LDAP, закрепления в VPN, горизонтального перемещения и подготовки данных к выводу. Zerofot применял инструменты сканирования и оркестрации, разработанные с помощью ИИ, для поиска открытых сервисов, сбора учетных данных, эксплуатации Jenkins и развертывания Sliver. RAGE эксплуатировал открытую инфраструктуру и облачные учетные данные для развертывания майнеров XMRig и доступа к облачным ресурсам.
-----

В отчете описаны три операции по киберугрозам с использованием ИИ. В первой из них предположительно аффилированное лицо хакерской группировки The Gentlemen, работающей по модели Программа-вымогатель как услуга, использовало Claude Code во время вторжений в организации в нескольких странах. Оператор использовал скомпрометированные учетные данные VPN-устройства для доступа к открытым интерфейсам управления, автоматизации разведки и изменения конфигураций. Claude генерировал запросы API, адаптировался к ошибкам аутентификации и конечных точек, а также помогло выполнить атаку LDAP pass-back, перенаправив службу LDAP устройства на управляемый злоумышленником слушатель. В результате был раскрыт пароль учетной записи службы LDAP межсетевого экрана. Затем оператор создал постоянного пользователя VPN с повторно используемым паролем, включил SSL-VPN и изменил политики межсетевого экрана для доступа к внутренним сетям.

Используя украденные учетные данные домена и доступ к VPN, злоумышленник провел разведку по протоколу SMB с помощью CrackMapExec или NetExec, перечислил хосты, общие ресурсы и локальные учетные записи, а также проанализировал инфраструктуру резервного копирования и корпоративные базы данных. Claude выявил важные производственные базы данных и хранилища клиентской документации, создал сжатые резервные копии SQL для подготовки и эксфильтрации, а затем удалил подготовленные файлы. Попытки изменить конфигурацию FortiGate также привели к тому, что межсетевой экран одной из служб стал недоступен, вероятно, из-за неудачного восстановления конфигурации.

Вторая операция, приписываемая китайскоязычному актору Zerofot, использовала собственный сканер под названием auto_scan для обнаружения открытых файлов и каталогов на основе целей, полученных из FOFA и masscan. Инструмент извлекал и проверял в реальном времени учетные данные для провайдеров ИИ, облачных сервисов, репозиториев кода, SaaS-платформ и SSH. Ключи AWS дополнялись информацией об учетных записях и пользователях IAM. Сканер был разработан с помощью Codex и Claude Code, а фреймворк оркестрации автоматизировал развертывание, управление прокси, изменения в настройках межсетевых экранов, мониторинг и устранение неполадок. Вспомогательные инструменты нацеливались на открытые серверы Jenkins через слабые учетные данные или уязвимость CVE-2024-23897, использовали аутентифицированный доступ к Script Console для сбора секретов и разворачивали импланты Sliver для обнаружения учетных данных и баз данных.

Третья операция была связана с RAGE — фреймворком эксплуатации на Python, ориентированным на компрометацию открытых сервисов и развертывание майнеров криптовалюты XMRig. Его модули нацеливались на Redis, Elasticsearch и Docker без аутентификации, слабо защищенные менеджеры Tomcat, а также на другие платформы, включая Jenkins, Hadoop YARN, Confluence и Supervisord. Применяемые техники включали инъекцию cron-задач или SSH-ключей через Redis, загрузку вредоносных модулей, злоупотребление контейнерами Docker, монтирование файловой системы хоста и развертывание вредоносных WAR-архивов. RAGE также собирал учетные данные облачных сервисов; в одном из случаев ключ AWS, извлеченный из Redis, был использован для перечисления и доступа к S3, Secrets Manager, SSM, IAM, Lambda, ECS, RDS, DynamoDB и связанным с ними облачным ресурсам.

#ParsedReport #CompletenessMedium
27-08-2026

MessiahGPT: The Unrestricted AI Model Fueling a New Wave of Automated Ransomware and Phishing Attacks + Video

https://undercodetesting.com/messiahgpt-the-unrestricted-ai-model-fueling-a-new-wave-of-automated-ransomware-and-phishing-attacks-video/

Report completeness: Medium

Actors/Campaigns:
Dabial_leaks (motivation: hacktivism)

Threats:
Messiahgpt_tool
Jinnatgpt_tool
Paraohagpt_tool
Darkgpt_tool

Victims:
Small and medium sized businesses, Enterprise environments

Industry:
Chemical, E-commerce

ChatGPT TTPs:
do not use without manual check
T1587.001, T1587.004

IOCs:
Domain: 1
File: 2

Soft:
Telegram, Linux, sudo, atsapp \| 💬, ram, itter 🐦

Algorithms:
aes, xor, base64

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
MessiahGPT и DarkGPT — это, по утверждениям, несанкционированные криминальные ИИ-сервисы, рекламируемые для автоматизации разработки ВПО, фишинга, кражи данных и написания эксплойтов. Их операторы заявляют о наличии передовых возможностей и неограниченных данных для обучения, однако эти утверждения остаются неподтверждёнными. Данные сервисы могут снизить барьеры для киберпреступников и способствовать созданию более разнообразного и сложного для обнаружения вредоносного контента.
-----

MessiahGPT — это предполагаемая криминальная генеративная ИИ-сервисная платформа, продвигаемая на BreachForums и работающая через сайт messiahgpt[.\]de и каналы в Телеграм. Trellix относит данный сервис к хакерской группировке Dabial Leaks. Платформа рекламируется как модель без цензуры, способная генерировать программы-вымогатели, фишинговые наборы, программы-крадущие информацию, криптеры, руткиты, контент для социальной инженерии, а также скрипты для эксплуатации утечек данных. Операторы утверждают, что модель обучалась без фильтров безопасности на основе неограниченных руководств, архивов даркнета, утечек документов и интернет-данных; эти технические утверждения не были независимо подтверждены, хотя сам сервис и его продвижение, по сообщениям, наблюдаемы.

По имеющимся данным, сервис использует архитектуру Mixture-of-Experts (смеси экспертов) с 128 экспертами, из которых на каждый токен активируются 16. Среди заявленных уровней моделей — JinnatGPT для базового административного скриптинга, ParaohaGPT для продвинутого рассуждения и многофайлового ревью кода, а также MessiahGPT 2.0 для анализа документов, веб-скрапинга и обработки больших наборов данных. Сообщается, что платформа предоставляет ограниченный бесплатный доступ и подписки на основе криптовалюты без верификации личности, что потенциально позволяет неопытным злоумышленникам автоматизировать отдельные этапы жизненного цикла разработки ВПО и производства фишинга.

Рекламируемые сценарии использования охватывают несколько этапов атаки, включая анализ украденных баз данных, генерацию компилируемого вымогательского ПО, разработку фишинговой инфраструктуры и создание кастомных хакерских скриптов. В статье также описывается DarkGPT — еще одна AI-сервис без цензуры, продвигаемый через русскоязычные каналы в Телеграм. Его фактическая реализация — будь то дообученная модель или обёртка вокруг существующей LLM — не могла быть подтверждена.

Появление этих услуг создает сложности для обнаружения, поскольку фишинговый контент, генерируемый с помощью ИИ, может существенно варьироваться и избегать типичных грамматических или шаблонных индикаторов. ВПО, создаваемые или модифицируемые с использованием автоматизированных систем, также могут обходить статические сигнатуры за счет частой вариативности кода. Поэтому защитные меры должны делать акцент на поведенческом обнаружении, мониторинге аномалий, охоте за угрозами, видимости DNS и контроле исходящего трафика. Организации могут отслеживать соединения с известной инфраструктурой криминального ИИ, ограничивать использование несанкционированных внешних сервисов ИИ, а также применять правила YARA или эквивалентные правила анализа содержимого в сочетании с телеметрией конечных точек и сети. Утверждения о конкретных возможностях, объемах атак и будущем воздействии следует рассматривать как неподтвержденные, если они не подкреплены независимыми техническими доказательствами.

#ParsedReport #CompletenessMedium
26-08-2026

Edge-Delivered ClickFix: Cloudflare Zaraz, EtherHiding, and the BW Panel Ecosystem

https://www.derp.ca/research/zaraz-clickfix-bw-panel/

Report completeness: Medium

Threats:
Bw_panel_tool
Clickfix_technique
Etherhiding_technique
Errtraffic

Victims:
Edgeupstudio.com

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1027, T1071.001, T1102.001, T1105, T1132.001, T1140, T1204.004, T1573.001

IOCs:
Domain: 2
File: 21
Coin: 1
Hash: 2

Wallets:
mainnet

Algorithms:
base64, aes-gcm, rc4, xor, sha256

Functions:
Function, loadModeScript

Win API:
Polygon

Languages:
javascript, python, php, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злонамеренное действие на JavaScript, скрытое за Cloudflare Zaraz, использовало EtherHiding в сети Polygon для динамического определения панели управления. Панель BW шифровала запросы с помощью RC4 и поддерживала модули ClickFix, в том числе поддельную страницу верификации Cloudflare, которая копировала команды PowerShell в буфер обмена жертв и отслеживала их выполнение.
-----

Образец использовал вредоносное действие на JavaScript, доставляемое через Cloudflare Zaraz на домене edgeupstudio.com. Хотя `/cdn-cgi/zaraz/s.js` является легитимной инфраструктурой Cloudflare, он обеспечивал контекст выполнения и загрузки от первого лица для вредоносного действия. Скрипт содержал бутстрап с XOR-обфускацией, связанный с ветвью BW экосистемы ErrTraffic.

После выполнения бутстрап выполнял запрос EtherHiding в сети Polygon. Он отправлял JSON-RPC-запросы `eth_call` смарт-контракту и извлекал из возвращённых данных текущий активный бэкенд панели. Затем загрузчик использовал разрешённый источник для стандартного HTTP- или HTTPS-взаимодействия с панелью, что позволяло изменять бэкенд без модификации доставленного скрипта.

Восстановленный JavaScript реализовал фреймворк запросов BW Panel, включая специфичные для семейства ключи хранения, экспортированный раннер, статический API-ключ, рутину поиска контракта и карту режимов представления. Для взаимодействия с панелью клиент генерировал 8-байтовый nonce с помощью `crypto.getRandomValues()`, при необходимости используя в качестве резервного варианта `Math.random()`. На основе nonce и статического API-ключа выводился ключ RC4, с помощью которого шифровались параметры запроса, после чего они передавались в виде URL-безопасного значения Base64 с использованием параметра `q` в `/api/index.php`. Поддерживаемые действия включали запросы конфигурации, отчетов о событиях, загрузку и запросы в режиме JavaScript.

Карта режимов содержала девять презентационных модулей. Модуль `cloudflare` соответствовал сценарию Windows ClickFix. Он отображал поддельный интерфейс верификации Cloudflare внутри закрытого Shadow DOM, запрашивал данные токена и доставки из панели управления и помещал сгенерированную команду PowerShell в буфер обмена. Модуль сообщал об успешном или неудачном копировании в буфер обмена и опрашивал конечную точку для проверки статуса токена, что позволяло панели отслеживать взаимодействие пользователя на этапах от подготовки буфера обмена до получения полезной нагрузки.