#ParsedReport #CompletenessMedium
31-08-2026

Aurora ransomware targets ESXi, abuses Cursor Agent for exploitation

https://gambit.security/blog-posts/aurora-ransomware-targets-esxi-abuses-cursor-agent-for-exploitation

Report completeness: Medium

Actors/Campaigns:
Aurora_ransomware

Threats:
Aurora_ransomware
Netexec_tool
Proxychains_tool
Nmap_tool
Bloodhound_tool
Petitpotam_vuln
Printerbug_tool
Impacket_tool
Ntlmrelayx_tool
Certipy_tool
Dcsync_technique
S5cmd_tool
Godpotato_tool

Victims:
Organizations, Vmware esxi environments

Geo:
Israel, United states, Argentina, Spain, Germany, Austria

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1003.006, T1018, T1046, T1068, T1069.002, T1078, T1090, T1105, T1110.001, T1110.003, have more...

IOCs:
Url: 2
IP: 21
Domain: 2
Hash: 1
Email: 0
BrowserExtension: 0

Soft:
ESXi, Linux, Claude, Cloudflare R2, esxcli, tor browser

Algorithms:
chacha20, rsa-4096, sha256, md5

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операторы шифровальщика Aurora атаковали несколько организаций, включая среды VMware ESXi, используя шифрование ChaCha20/RSA-4096 и кастомные инструменты для обнаружения и нарушения работы виртуальных машин. Их вторжения включали разведку на основе LDAP, доступ через VPN/прокси, сканирование, перечисление привилегий, ретрансляцию NTLM и атаки на сертификаты. Отдельный кластер использовал SQL Server `xp_cmdshell`, GodPotato, DCSync и эксфильтрацию данных через S3.
-----

Шифровальщик Aurora активен с апреля 2026 года и атаковал организации в нескольких странах. Группа эксплуатирует сайт для публикации украденных данных и развернула вариант шифровальщика для Linux в средах VMware ESXi. Выявленный образец `encrypt.out` (SHA-256: `a4af136d159a8eb96b54924fa80355ca52874913301300f55af7d67ae97edcfe`) размещался на Cloudflare R2 и вручную копировался на несколько внутренних систем.

Шифровальщик шифрует файлы на месте с использованием алгоритма ChaCha20 и защищает ключи сессии встроенным открытым ключом RSA-4096. Он поддерживает параметры выбора пути, размера файла, процента, потоков, расширения и папок, а также специальный режим ESXi. В режиме ESXi он выполняет команду `esxcli vm process list` для идентификации активных виртуальных машин и принудительно завершает их работу с помощью команды `esxcli vm process kill`, снимая блокировки с виртуальных дисков. Затем он шифрует файлы VMware, включая VMDK, VMX, VMSD, VMSN, NVRAM, VMEM, VSWP и файлы журналов, при этом исключая системные тома BOOTBANK и OSDATA. Это сохраняет работоспособность загрузки гипервизора, позволяя жертвам получить доступ к выкупному требованию.

Оператор также использовал пользовательский модуль NetExec LDAP, `esxi_finder.py`, для выявления систем ESXi и vCenter. Инструмент определяет внутренние подсети посредством запросов к объектам компьютеров в LDAP или на основе предоставленных диапазонов, сканирует порты 443 и 902, анализирует TLS-сертификаты на наличие индикаторов ESXi и выполняет фангерпринтинг систем через конечные точки `/sdk`, `/ui/` и `/`.

В период с 8 апреля по 21 мая 2026 года Cursor Agent, работающий с Claude Sonnet, содействовал эксплуатации уязвимостей в десяти организациях. В число действий входили настройка доступа через VPN или proxychains, внутреннее сканирование с помощью Nmap и NetExec, перечисление привилегий в домене с использованием BloodHound, попытки ретрансляции NTLM с применением PetitPotam, Coerce Plus, PrinterBug и `ntlmrelayx`, а также атаки на сертификаты с использованием Certipy. Оператор намеренно избегал применения DCSync, блокировок учетных записей и добавления новых компьютеров в домен.

Отдельный кластер, атрибутированный со средней степенью уверенности, затронул восемь организаций. В нем использовались экспонированный SQL Server `xp_cmdshell` для перемещения внутри компании, GodPotato для повышения привилегий до уровня SYSTEM, DCSync для кражи учетных данных контроллера домена, а также `s5cmd` для выгрузки данных на собственный конечный пункт хранения, совместимый с S3.

#ParsedReport #CompletenessHigh
31-08-2026

a fake resume invoked China’s defence-tech elite, then installed VShell

https://blog.himanshuanand.com/2026/08/a-fake-resume-invoked-chinas-defence-tech-elite-then-installed-vshell/

Report completeness: High

Actors/Campaigns:
Unc5174 (motivation: cyber_espionage)
Earth_lamia
Uat-8302
Unc6586

Threats:
Vshell
Snowlight
Goloader
Antiweibu_technique
Voidmaw_tool
React2shell_vuln

Victims:
University faculty, Academic research groups

Industry:
Energy, Government, Education, Healthcare

Geo:
China, Macau, Hong kong, Chinese, Singapore

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.013, T1036, T1059.003, T1071.001, T1082, T1095, T1105, T1140, T1204.002, have more...

IOCs:
IP: 4
File: 5
Url: 2
Path: 2
Hash: 8

Soft:
Internet Explorer, Windows Defender, Linux, nginx

Algorithms:
aes, base64, aes-cbc, xor, md5, aes-256-gcm, aes-gcm, sha256

Functions:
Talos

Win API:
RUN, Beep, WSAStartup, WSASocketA, closesocket, inet_addr, gethostbyname, VirtualAlloc, GetTempPathA, wsprintfA, have more...

Languages:
python

Platforms:
cross-platform, x86

Links:
https://github.com/Esonhugh/How-AI-Kills-the-VShell/blob/Skyworship/Killing\_that\_VShell.md

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Фальшивое резюме на китайском языке доставило загрузчик на базе Go, нацеленный на академических исследователей в области инженерии и искусственного интеллекта. Загрузчик уклонялся от анализа, открывал DOCX-приманку и загружал SNOWLIGHT в память с использованием рефлексивной загрузки, который извлекал и выполнял в памяти зашифрованный VShell RAT с IP-адреса 38.207.178.192. VShell устанавливал зашифрованное C2-соединение, однако передача команд или данных не наблюдалась; атрибуция остается неизвестной.
-----

Фальшивое резюме на китайском языке, замаскированное под исполняемый файл Windows, было направлено академическим получателям, скорее всего, профессорам или исследовательским группам, работающим в области электротехники, энергетических систем, управления возобновляемой энергетикой или прикладного искусственного интеллекта. Приманка утверждала, что исходит от выпускника Пекинского института технологии, и открывала подлинный файл-приманку в формате DOCX в Microsoft Word, чтобы сохранить видимость законного заявления. Использование упрощенного китайского языка, специфической для КНР академической терминологии и локали WPS 2052 указывает на профиль жертвы, ориентированный на материковый Китай, однако не позволяет установить местонахождение или принадлежность злоумышленника.

Исполняемый файл представляет собой загрузчик, написанный на языке Go, который выполняет проверки на наличие песочницы и аналитической среды, включая обнаружение индикаторов, связанных с ThreatBook/Weibu, и систем с числом логических процессоров менее четырех. Он использует задержки на основе функции Beep и зашифрованные данные конфигурации, хранящиеся под именами файлов-приманок. Загрузчик скачивает документ Word, открывает его, извлекает зашифрованный шеллкод, выделяет исполняемую память и выполняет полезную нагрузку рефлексивно, не записывая ее на диск традиционным способом.

Первичный шеллкод представляет собой стейджер Windows SNOWLIGHT размером 1454 байта. Он устанавливает прямое TCP-соединение с 38.207.178.192:50812, получает полезную нагрузку размером около 4,65 МБ, декодирует её с использованием ключа XOR 0x99 и передаёт управление полученному PE-файлу в памяти. Полезная нагрузка является 32-разрядным обфусцированным исполняемым файлом на языке Go, соответствующим Троянской программе удалённого доступа VShell. Её конфигурация и код сильно зашифрованы, включая раздел данных с высокой энтропией, при этом полезная нагрузка, как правило, не сохранялась на диск.

Перехваченный трафик продемонстрировал успешную инициализацию VShell с использованием его протокола AES-GCM с префиксом длины, включая согласование версии, механизм запроса/ответа на основе MD5, регистрацию клиента, настройку канала и повторяющиеся проверки состояния. Команды, изданные оператором, передача файлов или интерактивная активность оболочки не наблюдались. Тем не менее VShell поддерживает выполнение произвольных команд, передачу файлов, разведку, создание скриншотов, интерактивный доступ, а также проксирование или туннелирование.

В инфраструктуре использовался адрес 38.207.178.192:50813 для HTTP-стажирования и доставки приманок, а порт 50812 — для трафика SNOWLIGHT и VShell. В отчете данная активность оценивается как операция без установленной атрибуции, в ходе которой использовалась коммерческая или утекшая экосистема VShell. Поскольку SNOWLIGHT и VShell связывались с различными акторами, одного лишь факта использования этих инструментов недостаточно для атрибуции к UNC5174, Earth Lamia или другой конкретной группе.

#ParsedReport #CompletenessMedium
25-08-2026

360AI security experts independently discovered a new type of botnet.

https://news.safe.360.cn/n/13046.html

Report completeness: Medium

Actors/Campaigns:
Silver_fox

Threats:
Password_spray_technique
Endpoint_botnet
Winrm_tool

Victims:
Cloud service providers, Servers worldwide, Silver fox trojan command and control servers

ChatGPT TTPs:
do not use without manual check
T1021.006, T1027, T1036, T1110.003

IOCs:
Hash: 5
Domain: 1
Url: 4

Soft:
WeChat, curl, Linux, Alibaba Cloud

Algorithms:
md5, zip, aes

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Новообнаруженный кроссплатформенный «Endpoint Botnet» (ботнет конечных точек) провел распределенные атаки методом распыления пароля (Password Spraying) как минимум против 1 311 серверов в более чем 20 странах. Он использует модульную зашифрованную архитектуру, поддерживающую Windows и Linux, с функциями скрытного развертывания, распространения, закрепления (Persistence) и доставки полезной нагрузки, при этом WinRM/WSMan являются одними из основных целей.
-----

Ранее не раскрытый кроссплатформенный ботнет, временно получивший название «Endpoint Botnet», появился в июле 2026 года и был обнаружен в ходе мониторинга инфраструктуры управления (C2) трояна Silver Fox. Вместо получения команд с этих серверов вредоносное ПО атаковало несколько систем C2 Silver Fox, что и выявило его активность. Ботнет проводил распределенные атаки методом распыления пароля (Password Spraying) в отношении как минимум 1311 серверов в более чем 20 странах и регионах. Среди его целей — инфраструктура, размещенная в Tencent Cloud, Alibaba Cloud, AWS, Azure, Hetzner и OVH.

Ботнет использует трехуровневую архитектуру, состоящую из компонентов развертывания, фреймворка загрузчика и атакующих полезных нагрузок. Он поддерживает несколько операционных систем, включая Windows и Linux, и обеспечивает автоматическое распространение, закрепление, скрытность, получение команд, сбор информации и доставку полезных нагрузок. На этапе развертывания образы маскируются под легитимные инструменты, такие как `curl` или клиенты endpoint detection and response (EDR). Внутренние данные шифруются с помощью AES, и для анализа требовалось расшифровать связанные трафик и данные конфигурации атаки. Первоначальные образы для Windows и Linux не были собраны VirusTotal и на момент обнаружения не вызывали срабатываний антивирусных систем.

Ботнет поддерживает распыление пароля по 13 распространённым сетевым протоколам. Основным наблюдаемым объектом атаки в настоящее время является `wsman`, протокол управления веб-сервисами, обычно связанный с Microsoft WinRM и GSSAPI. В ходе анализа также были выявлены кроссплатформенный инструмент развёртывания, ориентированный на Linux, скрипты развёртывания и вредоносные нагрузки для последующих этапов атаки. Инфраструктура, по всей видимости, находится на ранней стадии строительства, но уже обладает обширными возможностями для атак на учётные данные и доставки вредоносных компонентов. Вредоносное ПО было оценено как написанное с помощью ИИ или при участии ИИ, что указывает на использование автоматизированных процессов разработки и атак в рамках быстро расширяющейся операции по распылению учётных данных.

#ParsedReport #CompletenessLow
28-08-2026

OpenAPI React Query Codegen Compromised in Mini Shai-Hulud npm Supply Chain Attack

https://socket.dev/blog/openapi-react-query-codegen-npm-compromise

Report completeness: Low

Actors/Campaigns:
Mini_shai-hulud

Threats:
Supply_chain_technique

Victims:
Npm package ecosystem, Software development environments, Ci runners

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.009, T1027.013, T1059.006, T1059.007, T1070.004, T1140, T1195.001, T1199, T1546.016, have more...

IOCs:
File: 8
Url: 2
Hash: 3

Algorithms:
sha256, aes-128-gcm

Win API:
lockfile

Languages:
javascript, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Десять вредоносных версий пакета `@7nohe/openapi-react-query-codegen` были опубликованы через скомпрометированный рабочий процесс GitHub Actions, несмотря на наличие действительных свидетельств происхождения npm. Пакеты выполняют обфусцированные полезную нагрузку во время установки для расшифровки и запуска кода, нацеленного на учетные данные облачных сервисов, реестров, GitHub и ИИ-агентов, при этом возможности распространения связаны с кампанией Mini Shai-Hulud.
-----

28 августа 2026 года были опубликованы десять вредоносных версий пакета npm `@7nohe/openapi-react-query-codegen` двумя волнами с интервалом примерно в 20 минут. Выпуски затронули все поддерживаемые линейки версий, остаются доступными для установки и включали вредоносную последнюю версию `3.0.4`. Скомпрометированные версии выполняют код, контролируемый злоумышленником, в процессе установки и могут повлиять на системы разработчиков и CI-раннеры.

Основная полезная нагрузка представляет собой упакованный загрузчик на JavaScript с именем `3FWCvzduYZg.js`. Его размер составляет приблизительно 5,7 МБ, а защита реализована с помощью однобайтового XOR-обфускации. Во время выполнения загрузчик расшифровывает встроенную полезную нагрузку AES-128-GCM, записывает расшифрованное содержимое в файл со случайным именем в системной временной директории, выполняет его с помощью `child_process.execSync`, а затем удаляет временный файл. Полезная нагрузка второго этапа нацелена на облачные учетные данные, учетные данные реестров пакетов npm и других, секреты GitHub Actions и конфигурацию ИИ-агентов. Она также включает функции самораспространения, связанные с кампанией Mini Shai-Hulud. Дополнительные механизмы закрепления и функциональность полезной нагрузки остаются под исследованием.

Выпуски первого поколения инициируют выполнение через `binding.gyp`, который использует обфусцированное выражение на Python для вызова `os.system` и запуска вредоносного JavaScript во время обработки `node-gyp`. Связанный предварительный выпуск использует сценарий `preinstall` для загрузки и выполнения установщика Bun перед запуском `is_it_this_simple.js` с параметрами рабочего процесса, репозитория и целевого пакета.

Все десять выпусков содержат действительные утверждения о происхождении npm, сгенерированные через механизм доверенной публикации GitHub Actions. Утверждения идентифицируют легитимный рабочий процесс выпуска и чистый коммит репозитория, что демонстрирует: подписи происхождения не предотвратили компрометацию. Расследователи установили, что рабочий процесс публикации, запускаемый по комментарию, мог быть вызван недоверенным аккаунтом GitHub, что позволяло публиковать код из форка pull-request под доверенной идентичностью репозитория. Злоумышленник использовал форк `p00paboot/openapi-react-query-codegen` и несколько вредоносных коммитов для подготовки кода.

#ParsedReport #CompletenessHigh
31-08-2026

Operation RepoGhost: Exposing a Russian-Linked Malware Campaign Hiding in GitHub’s Open-Source Ecosystem

https://infosecwriteups.com/operation-repoghost-exposing-a-russian-linked-malware-campaign-hiding-in-githubs-open-source-85a5dd6fa01e

Report completeness: High

Actors/Campaigns:
Repoghost

Threats:
Nova_stealer
Countloader
Clickfix_technique
Lumma_stealer
Smartloader
Seo_poisoning_technique
React2shell_vuln

Victims:
Ai, Cybersecurity, Web3, Cryptography, Vulnerability research, Cryptocurrency, Github users, Windows systems, Macos users

Industry:
Entertainment

Geo:
Russian

CVEs:
CVE-2026-41940 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cpanel (<86.0.41, <110.0.97, <118.0.63, <124.0.35, <126.0.54)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.013, T1036, T1047, T1059.001, T1059.006, T1105, T1140, T1204.002, T1218, have more...

IOCs:
File: 5
IP: 13
Domain: 2
Hash: 6

Soft:
macOS, Discord, Telegram, Steam, Zoom, Claude, Microsoft App-V, Pastebin, NET Reactor, OpenAI, have more...

Crypto:
monero

Algorithms:
zip, base64

Win API:
Popen, RunShellcode, UnpackShellcode

Languages:
powershell, python, golang

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция RepoGhost представляет собой вредоносную кампанию, в рамках которой с использованием поддельных проектов на GitHub распространяются скрипты, непосредственно запускающие инфостилеры. Вредоносное ПО нацелено на данные браузеров, мессенджеров, игровых платформ и криптовалют, использует .NET-нагрузки в оперативной памяти и PowerShell, а также избегает систем с русскоязычной локализацией. Ранее были обнаружены варианты CountLoader и инфостилера Nova для macOS, что указывает на связь с операторами из России.
-----

Операция RepoGhost представляет собой продолжающуюся вредоносную кампанию, активную как минимум с ноября 2025 года, которая использует репозитории GitHub для распространения ВПО, замаскированных под легитимные проекты в области искусственного интеллекта, кибербезопасности, криптовалют, криптографии и исследования уязвимостей. Исследователи выявили 52 вредоносных репозитория. Репозитории используют убедительную документацию, поддельные инструменты PoC, а также искусственно завышенные количества звёзд и форков для повышения видимости в результатах поиска GitHub и поисковых систем. В отличие от кампаний, которые доставляют ZIP-архивы или используют поддельные порталы для загрузки, RepoGhost внедряет вредоносный код непосредственно в скрипты, запуск которых пользователям предписывается.

Один репозиторий, выдававший себя за PoC для CVE-2026-41940, содержал нерелевантный код и запускал `scriptrunner.exe` — легитимный компонент Microsoft App-V — для проксирования выполнения скрытого PowerShell. Скрипт PowerShell был получен с Pastebin и скачал `main.exe` с `172.237.119.163:8000`, сохранив его в каталоге TEMP Windows перед запуском. Исполняемый файл на базе Go был скомпилирован с функциональностью, связанной с шеллкодом, и загрузил обфусцированную сборку .NET непосредственно в память, а не записывая её на диск. Сборка установила соединение с `194.102.104.141:22310` и в режиме выполнения идентифицировала себя как `mid4`.

.NET-нагрузка, выполняемая в оперативной памяти, функционирует как стиллер информации. К её возможностям относятся сбор учетных данных и сессий, сохраненных в браузере, токенов сессий Discord, сессий Телеграм, сессий Steam, данных криптографических кошельков и другой конфиденциальной информации. Она проверяет локаль операционной системы Windows с помощью WMI и завершает работу при обнаружении `ru-RU`, что указывает на намеренное исключение систем с русскоязычной локалью.

История коммитов репозитория выявила более ранние методы доставки. Python-нагрузка, закодированная в Base64, содержала отдельные ветки для Windows и macOS. Ветка для macOS загружала и выполняла бинарный файл с именем `Peravi` с адреса `217.156.122.146`, который был идентифицирован как вариант macOS-инфостилера Nova. Более ранняя доставка для Windows извлекала Go-стилер с `pypi3.cc`, за чем следовали загрузки на основе PowerShell с адресов `85.120.255.252:8000` и `2.27.63.236:8000`.

Наиболее ранний установленный этап кампании распространял CountLoader с помощью шестнадцатерично закодированных скриптов, которые выполняли полезную нагрузку `mshta`, размещенную на доменах, включая `python3-library-node.com`. Эволюция вредоносного ПО и механизм исключения русского языка подтверждают оценку о том, что операция связана с угрожающими акторами, связанными с Россией.

#ParsedReport #CompletenessHigh
28-08-2026

The Video That Plays You: Fake MP4 File Carries Malicious Payload

https://censys.com/blog/fake-mp4-file-carries-malicious-payload/

Report completeness: High

Threats:
Netsupportmanager_rat
Clickfix_technique

Industry:
Telco

Geo:
Russian, Los angeles, Switzerland

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.002, T1027.004, T1027.009, T1027.013, T1036, T1036.005, T1059.001, T1070, T1071.001, have more...

IOCs:
Domain: 30
Hash: 40
Url: 14
IP: 13
File: 19

Soft:
Chrome, Windows Defender

Algorithms:
sha256, xor, base64

Win API:
ARC, decompress, BIn

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ходе кампании используется загрузчик на PowerShell и поддельные файлы MP4 для скрытой установки и закрепления NetSupport Manager. ВПО маскирует выполнение, извлекает зашифрованные полезную нагрузки из собственных контейнеров ISO Base Media, маскирует компоненты под файлы Windows Defender и устанавливает соединение с C2 на основе WebSocket по TCP 443.
-----

Цепочка заражения использует загрузчик на PowerShell для доставки NetSupport Manager через вредоносный файл, замаскированный под видеофайл MP4. Начальный этап предоставляется в виде исходного кода PowerShell по протоколу HTTP с инфраструктуры, защищённой Cloudflare. Он проверяет имя компьютера хоста на наличие закодированных маркеров, таких как «CLEAN» и «CLEN», вероятно, для обхода песочниц или аналитических сред, скрывает консоль с помощью динамически скомпилированного компонента на C#, вводит задержки в выполнение и проверяет маркер однократного запуска в каталоге `%ProgramData%`.

Скрипт первого этапа записывает второй скрипт PowerShell в каталог `%TEMP%` и выполняет его в скрытом режиме. Этот парсер извлекает файл-носитель из той же инфраструктуры доставки, используя поддельный пользовательский агент Chrome. Хотя файл-носитель проходит базовые проверки типа файла как файл в формате ISO Base Media File Format/MP4, он не является воспроизводимым видео. Около 99,95 % файла размером 6,5 МБ содержится в приватном блоке `uuid`. Блок включает ключ XOR и сжатые, зашифрованные данные PowerShell, которые после распаковки занимают около 17 МБ. Парсер ищет специфичный для сборки 16-байтовый селектор перед извлечением полезной нагрузки, что означает, что ротация носителей может сделать устаревшие развёртывания недействительными.

Извлеченный PowerShell-этап устанавливает клиент NetSupport Manager в случайную подпапку в каталоге `C:\Users\Public`. Пакет включает легитимные перераспределяемые компоненты, такие как Vulkan и SwiftShader, вероятно, для имитации обычной установки программного обеспечения. Загрузчику и исполняемому файлу NetSupport присваиваются имена, включая `SecurityHealth`, чтобы имитировать компоненты Windows Defender. Закрепление (Persistence) обеспечивается через значение `SecurityHealth` в ветке реестра `HKCU\Software\Microsoft\Windows\CurrentVersion\Run`, при этом маркер в `%ProgramData%` предотвращает повторное выполнение. Скрипты также удаляют записи из `HKCU\...\Explorer\RunMRU`, что указывает на первоначальное выполнение через диалоговое окно «Выполнить» Windows и на попытку сократить объем данных для криминалистического анализа.

Конфигурация NetSupport подавляет отображение элементов пользовательского интерфейса и направляет клиент на шлюз управления на основе WebSocket по TCP-порту 443. Инфраструктура включает активный шлюз на домене `gojirotomiodid[.\]com` и подготовленный резервный домен `kolitersdones[.\]com`; оба домена были зарегистрированы с интервалом примерно в 80 секунд. Кампания включала 18 сборок, 40 активных конечных точек доставки и нескольких хостинг-провайдеров.

#ParsedReport #CompletenessHigh
31-08-2026

Still Circling: Inside the Operator Behind Blind Eagle's GitHub Loader

https://www.levelblue.com/blogs/spiderlabs-blog/still-circling-inside-the-operator-behind-blind-eagles-github-loader

Report completeness: High

Actors/Campaigns:
Blindeagle

Threats:
Remcos_rat
Fud-crypter
Cassandra_crypter_tool
Polycrypt
Asyncrat
Process_injection_technique
Lolbin_technique
Dcrat
Spear-phishing_technique

Victims:
Government institutions, Judicial institutions, Tax authorities, Traffic violation recipients

Industry:
Energy, Critical_infrastructure, Government

Geo:
Colombia, Colombian

TTPs:
Tactics: 4
Technics: 12

IOCs:
File: 11
Domain: 6
Url: 8
IP: 1

Soft:
Telegram, HubSpot, Discord, Windows Defender

Algorithms:
sha256, base64

Languages:
vbscript, powershell, visual_basic, autoit

#ParsedReport #ExtractedSchema

Classified images:
windows: 4, schema: 2, chart: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4