CTT Report Hub
#ParsedReport #CompletenessMedium 16-09-2026 Agentic Ransomware: From Human-Operated to AI-Operated Attacks https://socradar.io/blog/agentic-ransomware-human-to-ai-attacks/ Report completeness: Medium Actors/Campaigns: Jadepuffer Fortibleed Toxman Inc_ransomware…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Агентское программное обеспечение для шифрования (agentic ransomware) использует ИИ-агентов для автономного планирования и выполнения вторжений, адаптируя действия на этапах разведки, эксплуатации уязвимостей, кражи учётных данных, перемещения внутри компании, шифрования и вымогательства. JADEPUFFER представляет собой полностью агентскую операцию: она эксплуатирует уязвимость CVE-2025-3248 в Langflow для обнаружения секретов, перемещения через открытые сервисы, закрепления в системе, а также шифрования или уничтожения данных. Предыдущие операции, такие как FortiBleed, использовали инструменты, созданные с помощью ИИ, но вторжения оставались под контролем человека.
-----
Агентное программное обеспечение для шифрования (agentic ransomware) — это операции с использованием программ для шифрования, в которых ИИ-агент принимает решения о ходе атаки и выполняет вторжение без необходимости получения человеческого одобрения на каждом этапе. В отличие от вредоносного ПО с фиксированным сценарием, агент преследует цель, оценивает результат каждого действия и адаптирует свой следующий шаг. В число действий могут входить разведка, эксплуатация уязвимостей, кража учетных данных, перемещение внутри компании, шифрование данных, их уничтожение и вымогательство. Основное отличие от программ для шифрования, управляемых человеком, заключается в операционной скорости и снижении зависимости от квалифицированных операторов, а не во введении принципиально новых техник.
В отчете проводится различие между шифровальщиками с поддержкой ИИ, в которых человек управляет LLM, операциями с агентной интеграцией, в которых агенты создают инструменты атаки, но вторжения осуществляют люди, и полностью агентными шифровальщиками, в которых агент выполняет всю кампанию. FortiBleed описывается как пример агентной интеграции. По сообщениям, аффилированное лицо, идентифицированное как TOXMAN, разработало PENTEST LAB — фреймворк на базе Docker, состоящий из 14 агентов и использующий такие инструменты, как nuclei, ffuf и sqlmap. Фреймворк искал уязвимости нулевого дня, валидировал известные уязвимости и генерировал сценарии атак и средства проверки учетных данных. Полученные в результате вторжения, включая пивотинг через VPN, активность администраторов домена и развертывание шифровальщика, по-прежнему выполнялись операторами-людьми. Кампания была направлена на уязвимые устройства Fortinet с использованием повторно использованных или утечек учетных данных и была связана с активностью шифровальщиков INC и Lynx.
JADEPUFFER представлен как первая задокументированная полностью агентная операция по распространению шифровальщиков. Она эксплуатировала уязвимость CVE-2025-3248 в Langflow — уязвимость Удаленного Выполнения Кода без аутентификации в его эндпоинте валидации кода — путем отправки Python-кода, закодированного в Base64. Агент выполнял перечисление хоста, искал API-ключи, облачные учетные данные, сиды кошельков, файлы баз данных и данные Langflow, получал доступ к открытому сервису MinIO с использованием учетных данных по умолчанию и устанавливал закрепление на основе cron. Затем он перемещался на доступный из интернета сервер MySQL и сервер Alibaba Nacos, используя обход аутентификации, подделанный токен на основе ключа подписи по умолчанию Nacos и учетную запись администратора, добавленную в базу данных.
Агент зашифровал 1342 записи конфигурации Nacos с помощью MySQL AES_ENCRYPT, удалил таблицы и схемы, а также оставил инструкции по выкупу. Неудачная попытка входа была автономно исправлена за 31 секунду. Поздний вариант, ENCFORGE, использовал доступ к сокету Docker для получения контроля, эквивалентного правам root, и нацеливался примерно на 180 типов файлов ИИ/МО, включая контрольные точки моделей, векторные базы данных, обучающие данные и индексы эмбеддингов. Эти инциденты демонстрируют, что существующие уязвимости, открытые сервисы, учетные данные по умолчанию и медленные процессы реагирования могут быть эксплуатированы с машинной скоростью.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Агентское программное обеспечение для шифрования (agentic ransomware) использует ИИ-агентов для автономного планирования и выполнения вторжений, адаптируя действия на этапах разведки, эксплуатации уязвимостей, кражи учётных данных, перемещения внутри компании, шифрования и вымогательства. JADEPUFFER представляет собой полностью агентскую операцию: она эксплуатирует уязвимость CVE-2025-3248 в Langflow для обнаружения секретов, перемещения через открытые сервисы, закрепления в системе, а также шифрования или уничтожения данных. Предыдущие операции, такие как FortiBleed, использовали инструменты, созданные с помощью ИИ, но вторжения оставались под контролем человека.
-----
Агентное программное обеспечение для шифрования (agentic ransomware) — это операции с использованием программ для шифрования, в которых ИИ-агент принимает решения о ходе атаки и выполняет вторжение без необходимости получения человеческого одобрения на каждом этапе. В отличие от вредоносного ПО с фиксированным сценарием, агент преследует цель, оценивает результат каждого действия и адаптирует свой следующий шаг. В число действий могут входить разведка, эксплуатация уязвимостей, кража учетных данных, перемещение внутри компании, шифрование данных, их уничтожение и вымогательство. Основное отличие от программ для шифрования, управляемых человеком, заключается в операционной скорости и снижении зависимости от квалифицированных операторов, а не во введении принципиально новых техник.
В отчете проводится различие между шифровальщиками с поддержкой ИИ, в которых человек управляет LLM, операциями с агентной интеграцией, в которых агенты создают инструменты атаки, но вторжения осуществляют люди, и полностью агентными шифровальщиками, в которых агент выполняет всю кампанию. FortiBleed описывается как пример агентной интеграции. По сообщениям, аффилированное лицо, идентифицированное как TOXMAN, разработало PENTEST LAB — фреймворк на базе Docker, состоящий из 14 агентов и использующий такие инструменты, как nuclei, ffuf и sqlmap. Фреймворк искал уязвимости нулевого дня, валидировал известные уязвимости и генерировал сценарии атак и средства проверки учетных данных. Полученные в результате вторжения, включая пивотинг через VPN, активность администраторов домена и развертывание шифровальщика, по-прежнему выполнялись операторами-людьми. Кампания была направлена на уязвимые устройства Fortinet с использованием повторно использованных или утечек учетных данных и была связана с активностью шифровальщиков INC и Lynx.
JADEPUFFER представлен как первая задокументированная полностью агентная операция по распространению шифровальщиков. Она эксплуатировала уязвимость CVE-2025-3248 в Langflow — уязвимость Удаленного Выполнения Кода без аутентификации в его эндпоинте валидации кода — путем отправки Python-кода, закодированного в Base64. Агент выполнял перечисление хоста, искал API-ключи, облачные учетные данные, сиды кошельков, файлы баз данных и данные Langflow, получал доступ к открытому сервису MinIO с использованием учетных данных по умолчанию и устанавливал закрепление на основе cron. Затем он перемещался на доступный из интернета сервер MySQL и сервер Alibaba Nacos, используя обход аутентификации, подделанный токен на основе ключа подписи по умолчанию Nacos и учетную запись администратора, добавленную в базу данных.
Агент зашифровал 1342 записи конфигурации Nacos с помощью MySQL AES_ENCRYPT, удалил таблицы и схемы, а также оставил инструкции по выкупу. Неудачная попытка входа была автономно исправлена за 31 секунду. Поздний вариант, ENCFORGE, использовал доступ к сокету Docker для получения контроля, эквивалентного правам root, и нацеливался примерно на 180 типов файлов ИИ/МО, включая контрольные точки моделей, векторные базы данных, обучающие данные и индексы эмбеддингов. Эти инциденты демонстрируют, что существующие уязвимости, открытые сервисы, учетные данные по умолчанию и медленные процессы реагирования могут быть эксплуатированы с машинной скоростью.
#ParsedReport #CompletenessMedium
17-09-2026
GhostCode: Dissecting a Novel Device Code Phishing Kit
https://www.esentire.com/blog/ghostcode-dissecting-a-novel-device-code-phishing-kit
Report completeness: Medium
Threats:
Device_code_phishing_technique
Eviltokens_tool
Residential_proxy_technique
Victims:
Service providers, Distributors, Manufacturers, Warehousing companies, Healthcare clinic
Industry:
Iot
Geo:
Germany, United kingdom, England, Ireland, London
ChatGPT TTPs:
T1027, T1027.013, T1059.007, T1090.002, T1098.005, T1114, T1140, T1204.002, T1528, T1550.001, have more...
IOCs:
Domain: 70
Email: 1
File: 3
Url: 1
IP: 9
Soft:
Salesforce, WeTransfer, Cloudflare Turnstile, curl, selenium, phantomjs, Outlook, Microsoft Outlook, Azure AD, Active Directory, have more...
Algorithms:
gzip, aes-gcm, deflate, aes, aes-256-gcm
Functions:
Service
Languages:
javascript, python
Links:
17-09-2026
GhostCode: Dissecting a Novel Device Code Phishing Kit
https://www.esentire.com/blog/ghostcode-dissecting-a-novel-device-code-phishing-kit
Report completeness: Medium
Threats:
Device_code_phishing_technique
Eviltokens_tool
Residential_proxy_technique
Victims:
Service providers, Distributors, Manufacturers, Warehousing companies, Healthcare clinic
Industry:
Iot
Geo:
Germany, United kingdom, England, Ireland, London
ChatGPT TTPs:
do not use without manual checkT1027, T1027.013, T1059.007, T1090.002, T1098.005, T1114, T1140, T1204.002, T1528, T1550.001, have more...
IOCs:
Domain: 70
Email: 1
File: 3
Url: 1
IP: 9
Soft:
Salesforce, WeTransfer, Cloudflare Turnstile, curl, selenium, phantomjs, Outlook, Microsoft Outlook, Azure AD, Active Directory, have more...
Algorithms:
gzip, aes-gcm, deflate, aes, aes-256-gcm
Functions:
Service
Languages:
javascript, python
Links:
https://github.com/eSentire/iocs/blob/main/GhostCode/GhostCode-iocs-09-09-2026.txteSentire
GhostCode: Dissecting a Novel Device Code Phishing Kit
eSentire's TRU uncovers GhostCode, a novel device code phishing kit using AES-256-GCM encryption and triple-layer HTML obfuscation to bypass MFA and hijack Microsoft 365 accounts in under 80 seconds.
CTT Report Hub
#ParsedReport #CompletenessMedium 17-09-2026 GhostCode: Dissecting a Novel Device Code Phishing Kit https://www.esentire.com/blog/ghostcode-dissecting-a-novel-device-code-phishing-kit Report completeness: Medium Threats: Device_code_phishing_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В августе 2026 года злоумышленники использовали фишинговый набор GhostCode для атак на предприятия через формы контактов Salesforce и приманки в виде NDA с паролем. Набор обходил обнаружение с помощью зашифрованных HTML-редиректов, браузерных проверок и фильтрации, после чего эксплуатировал механизм Device Authorization Grant от Microsoft для перехвата токенов, защищенных MFA. Затем злоумышленники регистрировали устройства, собирали данные электронной почты и использовали резидентные прокси-серверы для поддержания географически согласованного доступа.
-----
В конце августа 2026 года злоумышленники использовали набор инструментов фишинга GhostCode для кражи кодов устройств в кампании, инициированной через формы контактов Salesforce. Они выдавали себя за сотрудников отдела закупок легитимных компаний, продолжали общение с приманкой в виде NDA и отправляли жертвам защищенный паролем HTML-файл, размещенный через WeTransfer. Было выявлено более 30 доменов-двойников, имитирующих американских дистрибьюторов, производителей и логистические компании, что указывает на более широкий охват поставщиков услуг.
Вложение в формате HTML использовало несколько уровней обхода средств обнаружения. Видимый текст был перемешан с повторяющимися HTML-комментариями между отдельными символами, что обеспечивало нормальное отображение в браузере, но нарушало извлечение текста в сыром виде и автоматическое обнаружение фишинга. Встроенный URL для перенаправления был зашифрован с использованием AES-256-GCM и отсутствовал в открытом виде. Ключ расшифровки выводился на стороне клиента с помощью PBKDF2-HMAC-SHA256 на основе пароля, введённого жертвой, и жёстко закодированной соли, что предотвращало перенаправление до ввода правильного пароля.
Расшифрованный URL привел к ретранслятору, который выполнял JavaScript-задачи для браузера, отслеживание и фильтрацию ботов перед перенаправлением жертв на фишинговый сервер, размещенный на, вероятно, скомпрометированном легитимном веб-сайте. Использованный набор инструментов применял Cloudflare Turnstile, а также серверную фильтрацию по GeoIP и строке User-Agent для блокировки сканеров, ползунков, headless-браузеров и инструментов, содержащих строки, такие как «bot», «curl», «python», «selenium» и «wget». Наблюдаемые поддомены следовали именованию, характерному для доступа к учетным записям, на скомпрометированных доменах.
GhostCode использовал механизм Microsoft OAuth 2.0 Device Authorization Grant. Фишинговый бэкенд инициировал запросы на авторизацию, используя App ID приложения Microsoft Authentication Broker `29d9ed98-a469-4536-ade2-f981bc1d605e`, отображал жертве возвращенный код пользователя и сохранял код устройства для последующих опросов. Жертвы вводили код на легитимной странице входа Microsoft и проходили MFA, в то время как сервер атакующих опрашивал систему на предмет успешной авторизации и получал токены аутентификации. После этого жертве отображался поддельный документ NDA.
После аутентификации злоумышленники зарегистрировали три устройства и получили токены Azure AD и Microsoft Graph, создав несколько вариантов закрепления. В течение 78 секунд они успешно выполнили девять вызовов API, включая сбор электронной почты, используя ротацию резидентных прокси для соответствия географическому расположению жертвы. Большая часть активности исходила из резидентных сетей Великобритании, при этом дополнительный трафик был связан с GHOSTnet в Германии. Такой маршрут помогал обходить средства условного доступа (Conditional Access), основанные на геолокации, и делал активность авторизации устройств Microsoft географически согласованной с местоположением жертвы.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В августе 2026 года злоумышленники использовали фишинговый набор GhostCode для атак на предприятия через формы контактов Salesforce и приманки в виде NDA с паролем. Набор обходил обнаружение с помощью зашифрованных HTML-редиректов, браузерных проверок и фильтрации, после чего эксплуатировал механизм Device Authorization Grant от Microsoft для перехвата токенов, защищенных MFA. Затем злоумышленники регистрировали устройства, собирали данные электронной почты и использовали резидентные прокси-серверы для поддержания географически согласованного доступа.
-----
В конце августа 2026 года злоумышленники использовали набор инструментов фишинга GhostCode для кражи кодов устройств в кампании, инициированной через формы контактов Salesforce. Они выдавали себя за сотрудников отдела закупок легитимных компаний, продолжали общение с приманкой в виде NDA и отправляли жертвам защищенный паролем HTML-файл, размещенный через WeTransfer. Было выявлено более 30 доменов-двойников, имитирующих американских дистрибьюторов, производителей и логистические компании, что указывает на более широкий охват поставщиков услуг.
Вложение в формате HTML использовало несколько уровней обхода средств обнаружения. Видимый текст был перемешан с повторяющимися HTML-комментариями между отдельными символами, что обеспечивало нормальное отображение в браузере, но нарушало извлечение текста в сыром виде и автоматическое обнаружение фишинга. Встроенный URL для перенаправления был зашифрован с использованием AES-256-GCM и отсутствовал в открытом виде. Ключ расшифровки выводился на стороне клиента с помощью PBKDF2-HMAC-SHA256 на основе пароля, введённого жертвой, и жёстко закодированной соли, что предотвращало перенаправление до ввода правильного пароля.
Расшифрованный URL привел к ретранслятору, который выполнял JavaScript-задачи для браузера, отслеживание и фильтрацию ботов перед перенаправлением жертв на фишинговый сервер, размещенный на, вероятно, скомпрометированном легитимном веб-сайте. Использованный набор инструментов применял Cloudflare Turnstile, а также серверную фильтрацию по GeoIP и строке User-Agent для блокировки сканеров, ползунков, headless-браузеров и инструментов, содержащих строки, такие как «bot», «curl», «python», «selenium» и «wget». Наблюдаемые поддомены следовали именованию, характерному для доступа к учетным записям, на скомпрометированных доменах.
GhostCode использовал механизм Microsoft OAuth 2.0 Device Authorization Grant. Фишинговый бэкенд инициировал запросы на авторизацию, используя App ID приложения Microsoft Authentication Broker `29d9ed98-a469-4536-ade2-f981bc1d605e`, отображал жертве возвращенный код пользователя и сохранял код устройства для последующих опросов. Жертвы вводили код на легитимной странице входа Microsoft и проходили MFA, в то время как сервер атакующих опрашивал систему на предмет успешной авторизации и получал токены аутентификации. После этого жертве отображался поддельный документ NDA.
После аутентификации злоумышленники зарегистрировали три устройства и получили токены Azure AD и Microsoft Graph, создав несколько вариантов закрепления. В течение 78 секунд они успешно выполнили девять вызовов API, включая сбор электронной почты, используя ротацию резидентных прокси для соответствия географическому расположению жертвы. Большая часть активности исходила из резидентных сетей Великобритании, при этом дополнительный трафик был связан с GHOSTnet в Германии. Такой маршрут помогал обходить средства условного доступа (Conditional Access), основанные на геолокации, и делал активность авторизации устройств Microsoft географически согласованной с местоположением жертвы.
#ParsedReport #CompletenessHigh
17-09-2026
The extension you never installed: KREMLIN forges Chrome's own integrity checks to steal banking sessions
https://www.elastic.co/security-labs/threat-command/malicious-browser-extension-kremlin-banking-malware
Report completeness: High
Actors/Campaigns:
Kr3mlin4rt1st
Threats:
Dead_drop_technique
Process_injection_technique
Runpe_tool
Api_obfuscation_technique
Deadlock
Remcos_rat
Pulsar_rat
Donut
Chromeballrat
Dll_sideloading_technique
Steganography_technique
Victims:
Banking users, Financial institutions
Industry:
Financial
Geo:
Finland, Brazil, Canada, Brasil, Portuguese, United states, Switzerland, Germany, Russia, Brazilian, Netherlands
TTPs:
Tactics: 9
Technics: 0
IOCs:
Hash: 8
Url: 21
Path: 3
Coin: 20
File: 104
Email: 1
Domain: 18
IP: 25
BrowserExtension: 2
Soft:
Chrome, Chromium, Node.js, VirtualBox, vmmemctl, VBoxGuest, Google Chrome, flask, js) → Run, ode.js →, have more...
Crypto:
ethereum
Algorithms:
hmac, sha256, zip, md5, rc4, base64
Functions:
GetSyscallNumber, SetName, setConfig, getConfig
Win API:
Popup, CreateThread, LdrLockLiberator, ZwQuerySystemInformation, GetUserNameW, ZwQueryAttributesFile, GetLastInputInfo, TerminateProcess, CryptUnprotectData, ReadProcessMemory, have more...
Win Services:
VGAuthService
Languages:
php, javascript, powershell
Platforms:
x64
Links:
have more...
17-09-2026
The extension you never installed: KREMLIN forges Chrome's own integrity checks to steal banking sessions
https://www.elastic.co/security-labs/threat-command/malicious-browser-extension-kremlin-banking-malware
Report completeness: High
Actors/Campaigns:
Kr3mlin4rt1st
Threats:
Dead_drop_technique
Process_injection_technique
Runpe_tool
Api_obfuscation_technique
Deadlock
Remcos_rat
Pulsar_rat
Donut
Chromeballrat
Dll_sideloading_technique
Steganography_technique
Victims:
Banking users, Financial institutions
Industry:
Financial
Geo:
Finland, Brazil, Canada, Brasil, Portuguese, United states, Switzerland, Germany, Russia, Brazilian, Netherlands
TTPs:
Tactics: 9
Technics: 0
IOCs:
Hash: 8
Url: 21
Path: 3
Coin: 20
File: 104
Email: 1
Domain: 18
IP: 25
BrowserExtension: 2
Soft:
Chrome, Chromium, Node.js, VirtualBox, vmmemctl, VBoxGuest, Google Chrome, flask, js) → Run, ode.js →, have more...
Crypto:
ethereum
Algorithms:
hmac, sha256, zip, md5, rc4, base64
Functions:
GetSyscallNumber, SetName, setConfig, getConfig
Win API:
Popup, CreateThread, LdrLockLiberator, ZwQuerySystemInformation, GetUserNameW, ZwQueryAttributesFile, GetLastInputInfo, TerminateProcess, CryptUnprotectData, ReadProcessMemory, have more...
Win Services:
VGAuthService
Languages:
php, javascript, powershell
Platforms:
x64
Links:
https://github.com/ElliotKillick/LdrLockLiberatorhave more...
https://github.com/elastic/labs-releases/tree/main/indicators/kremlinhttps://github.com/evilashz/PigSyscallwww.elastic.co
Malicious browser extension: inside KREMLIN banking malware
Elastic Security Labs analyzes a malicious browser extension that forges Chromium's integrity checks and pulls its C2 from Ethereum smart contracts.
CTT Report Hub
#ParsedReport #CompletenessHigh 17-09-2026 The extension you never installed: KREMLIN forges Chrome's own integrity checks to steal banking sessions https://www.elastic.co/security-labs/threat-command/malicious-browser-extension-kremlin-banking-malware …
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
REF9334 — бразильская операция по распространению банковского ВПО, использующая набор инструментов KREMLIN для атак на клиентов финансовых учреждений посредством обманных документов и многоэтапных полезных нагрузок на JavaScript, PowerShell, Node.js и C++. ВПО уклоняется от анализа, обеспечивает закрепление через запланированные задачи и разворачивает вредоносные расширения для Chromium путем изменения профилей браузера и данных целостности. Расширения крадут учетные данные, файлы cookie, токены сессий, нажатия клавиш и веб-трафик, используя HTTP, HTTPS, WebSockets и разрешение адресов C2 на основе блокчейна.
-----
Elastic Security Labs отслеживала REF9334 — бразильскую банковскую вредоносную операцию, активную как минимум с мая 2025 года по 2026 год. Её набор инструментов, получивший название KREMLIN, использует многоэтапные загрузчики на JavaScript, PowerShell, Node.js, кастомные установщики на C++, RunPE, DLL sideloading и вредоносные расширения для Chromium. Приманки обычно маскируются под банковские документы, счета-фактуры, компоненты Adobe или корпоративные файлы и нацелены на пользователей бразильских финансовых учреждений, включая Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander и Mercado Pago.
Первоначальные JavaScript-стадии отображают поддельные сообщения об ошибках, выполняют проверки песочницы, извлекают или загружают дополнительные полезныe нагрузки и могут устанавливать Node.js для выполнения последующих скриптов. Методы обхода включают подсчет файлов на рабочем столе и запущенных процессов, проверку имен пользователей, характеристик ЦП, ОЗУ и диска, артефактов виртуализации, а также инструментов анализа. ВПО может намеренно вызывать сбой, если проверки указывают на наличие песочницы или если домен сетевой приманки возвращает неожиданный ответ. Закрепление осуществляется с помощью запланированных задач, включая задачи, выполняемые при входе в систему или периодически. Полезные нагрузки скрывались в файлах JPEG или CAB, размещенных на скомпрометированных или публичных сервисах, и выполнялись посредством ручной загрузки, внедрения кода в процессы или sideloading подписанного бинарного файла SentinelOne.
Основной установщик разворачивает расширения непосредственно в каталоги профилей Chrome и Edge, минуя одобрение Web Store. Он изменяет Secure Preferences и пересчитывает значения целостности Chromium, включая устаревшие HMAC и новые зашифрованные хеши. Для этого он извлекает сид Chromium из `resources.pak`, восстанавливает устаревшие ключи OSCrypt через DPAPI и получает ключи шифрования, привязанные к приложению, запуская браузер под отладчиком и считывая память из `chrome.dll` или `msedge.dll`.
Расширение, иногда выдающее себя за «AVSync», запрашивает доступ к вкладкам, файлам cookie, хранилищу и веб-запросам. Оно способно красть учетные данные, файлы cookie, токены сессий и данные браузера; выполнять кейлогинг для выбранных сайтов; перехватывать POST-запросы; перенаправлять элементы страниц; а также осуществлять коммуникацию через WebSockets. Адреса конфигурации и C2 разрешаются динамически, в более новых кампаниях — через смарт-контракты Ethereum, используемые в качестве dead-drop resolvers. В ходе операции также распространялись PULSAR, а затем REMCOS RAT, при этом зафиксирована связь с C2 по протоколам HTTP, HTTPS и WebSockets. Артефакты кампании, контент на португальском языке, банковские приманки и телеметрия жертв указывают на основную ориентацию на пользователей из Бразилии.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
REF9334 — бразильская операция по распространению банковского ВПО, использующая набор инструментов KREMLIN для атак на клиентов финансовых учреждений посредством обманных документов и многоэтапных полезных нагрузок на JavaScript, PowerShell, Node.js и C++. ВПО уклоняется от анализа, обеспечивает закрепление через запланированные задачи и разворачивает вредоносные расширения для Chromium путем изменения профилей браузера и данных целостности. Расширения крадут учетные данные, файлы cookie, токены сессий, нажатия клавиш и веб-трафик, используя HTTP, HTTPS, WebSockets и разрешение адресов C2 на основе блокчейна.
-----
Elastic Security Labs отслеживала REF9334 — бразильскую банковскую вредоносную операцию, активную как минимум с мая 2025 года по 2026 год. Её набор инструментов, получивший название KREMLIN, использует многоэтапные загрузчики на JavaScript, PowerShell, Node.js, кастомные установщики на C++, RunPE, DLL sideloading и вредоносные расширения для Chromium. Приманки обычно маскируются под банковские документы, счета-фактуры, компоненты Adobe или корпоративные файлы и нацелены на пользователей бразильских финансовых учреждений, включая Banco do Brasil, Caixa, Bradesco, Sicoob, C6 Bank, Inter, BTG, Safra, PagBank, PicPay, Santander и Mercado Pago.
Первоначальные JavaScript-стадии отображают поддельные сообщения об ошибках, выполняют проверки песочницы, извлекают или загружают дополнительные полезныe нагрузки и могут устанавливать Node.js для выполнения последующих скриптов. Методы обхода включают подсчет файлов на рабочем столе и запущенных процессов, проверку имен пользователей, характеристик ЦП, ОЗУ и диска, артефактов виртуализации, а также инструментов анализа. ВПО может намеренно вызывать сбой, если проверки указывают на наличие песочницы или если домен сетевой приманки возвращает неожиданный ответ. Закрепление осуществляется с помощью запланированных задач, включая задачи, выполняемые при входе в систему или периодически. Полезные нагрузки скрывались в файлах JPEG или CAB, размещенных на скомпрометированных или публичных сервисах, и выполнялись посредством ручной загрузки, внедрения кода в процессы или sideloading подписанного бинарного файла SentinelOne.
Основной установщик разворачивает расширения непосредственно в каталоги профилей Chrome и Edge, минуя одобрение Web Store. Он изменяет Secure Preferences и пересчитывает значения целостности Chromium, включая устаревшие HMAC и новые зашифрованные хеши. Для этого он извлекает сид Chromium из `resources.pak`, восстанавливает устаревшие ключи OSCrypt через DPAPI и получает ключи шифрования, привязанные к приложению, запуская браузер под отладчиком и считывая память из `chrome.dll` или `msedge.dll`.
Расширение, иногда выдающее себя за «AVSync», запрашивает доступ к вкладкам, файлам cookie, хранилищу и веб-запросам. Оно способно красть учетные данные, файлы cookie, токены сессий и данные браузера; выполнять кейлогинг для выбранных сайтов; перехватывать POST-запросы; перенаправлять элементы страниц; а также осуществлять коммуникацию через WebSockets. Адреса конфигурации и C2 разрешаются динамически, в более новых кампаниях — через смарт-контракты Ethereum, используемые в качестве dead-drop resolvers. В ходе операции также распространялись PULSAR, а затем REMCOS RAT, при этом зафиксирована связь с C2 по протоколам HTTP, HTTPS и WebSockets. Артефакты кампании, контент на португальском языке, банковские приманки и телеметрия жертв указывают на основную ориентацию на пользователей из Бразилии.
#ParsedReport #CompletenessHigh
17-09-2026
Beware the SparroWock: The backdoor that bites, the commands that catch
https://www.welivesecurity.com/en/eset-research/beware-sparrowock-backdoor-bites-commands-catch/
Report completeness: High
Actors/Campaigns:
Ghostemperor (motivation: cyber_espionage)
Threats:
Sparrowocky
Sparrowdoor
Proxylogon_exploit
Dll_sideloading_technique
Coff_loader
Silentmoonwalk_technique
Cobalt_strike_tool
Brc4_tool
Metasploit_tool
Sliver_c2_tool
Process_camouflage_technique
Victims:
Governmental organizations
Industry:
Energy, Telco, Government
Geo:
Peru, Guatemala, Honduras, Panama, China, Latin america, Puerto rico, Venezuela, Ecuador, Argentina
TTPs:
Tactics: 9
Technics: 34
IOCs:
Hash: 5
IP: 18
File: 2
Soft:
MinHook, Windows service
Algorithms:
md5, rc4, sha1, chacha20-poly1305
Functions:
CreateProcessAsUser
Win API:
ExitProcess, FindFirstFileW, WTSEnumerateSessionsW, CreateProcessAsUserW, CreateProcess, RtlUserThreadStart, CreateThread, AnimateWindow, RtlLoadString, RtlFindMessage, have more...
Platforms:
x64
Links:
have more...
17-09-2026
Beware the SparroWock: The backdoor that bites, the commands that catch
https://www.welivesecurity.com/en/eset-research/beware-sparrowock-backdoor-bites-commands-catch/
Report completeness: High
Actors/Campaigns:
Ghostemperor (motivation: cyber_espionage)
Threats:
Sparrowocky
Sparrowdoor
Proxylogon_exploit
Dll_sideloading_technique
Coff_loader
Silentmoonwalk_technique
Cobalt_strike_tool
Brc4_tool
Metasploit_tool
Sliver_c2_tool
Process_camouflage_technique
Victims:
Governmental organizations
Industry:
Energy, Telco, Government
Geo:
Peru, Guatemala, Honduras, Panama, China, Latin america, Puerto rico, Venezuela, Ecuador, Argentina
TTPs:
Tactics: 9
Technics: 34
IOCs:
Hash: 5
IP: 18
File: 2
Soft:
MinHook, Windows service
Algorithms:
md5, rc4, sha1, chacha20-poly1305
Functions:
CreateProcessAsUser
Win API:
ExitProcess, FindFirstFileW, WTSEnumerateSessionsW, CreateProcessAsUserW, CreateProcess, RtlUserThreadStart, CreateThread, AnimateWindow, RtlLoadString, RtlFindMessage, have more...
Platforms:
x64
Links:
https://github.com/eset/malware-ioc/tree/master/famoussparrow/extract\_sparrowocky.pyhave more...
https://github.com/Mbed-TLS/mbedtlshttps://github.com/Mbed-TLS/mbedtls/blob/mbedtls-3.6.7/library/poly1305.c#L406Welivesecurity
Beware the SparroWock: The backdoor that bites, the commands that catch
ESET researchers document SparroWocky, the new flagship backdoor of the FamousSparrow APT group
CTT Report Hub
#ParsedReport #CompletenessHigh 17-09-2026 Beware the SparroWock: The backdoor that bites, the commands that catch https://www.welivesecurity.com/en/eset-research/beware-sparrowock-backdoor-bites-commands-catch/ Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
FamousSparrow развернул SparroWocky — модульный бэкдор на C++, нацеленный на государственные организации в Латинской Америке. Доставляемый через DLL side-loading, он рефлексивно загружает зашифрованные полезную нагрузки в память, обеспечивает закрепление, собирает данные хоста, выполняет команды, выгружает файлы, делает скриншоты и поддерживает TCP-проксирование. Его TLS C2, загрузка BOF, перехват API, подделка стеков вызовов и манипуляция PEB обеспечивают обширное сокрытие и обход защиты.
-----
FamousSparrow, группа кибершпионажа, связанная с Китаем и активная как минимум с 2019 года, с августа 2025 года развертывает новый модульный бэкдор на C++ под названием SparroWocky. ВПО в значительной степени заменила имплант SparrowDoor, используемый группой, и была зафиксирована при нападках на государственные организации в Аргентине, Эквадоре, Гватемале, Гондурасе, Панаме, Перу, Пуэрто-Рико и Венесуэле. В некоторых инцидентах SparroWocky развертывалась с помощью SparrowDoor, что подтверждает атрибуцию к FamousSparrow.
SparroWocky распространяется с использованием схемы «трехзубого трезубца» (trident) на основе подмены DLL (DLL side-loading), которая включает легитимный исполняемый файл, модифицированную вредоносную DLL и зашифрованный файл полезной нагрузки. DLL извлекает данные конфигурации и полезной нагрузки из соответствующего файла `.dat`, используя ключ RC4, хранящийся в пользовательском заголовке, начинающемся с магического значения `0x11328712`. Полезная нагрузка представляет собой файл PE, из которого удалены сигнатуры `MZ` и `PE`; она отображается в память рефлексивно, что позволяет избежать записи на диск и потенциально обходить простые сигнатуры сканирования памяти. Закрепление (Persistence) может быть обеспечено через Службу Windows или ключ Run в реестре.
Бэкдор собирает информацию об узле, включая имя компьютера, имя пользователя, домен, версию Windows и адреса сетевых интерфейсов. Он поддерживает выполнение команд, произвольное выполнение файлов, эксфильтрацию файлов, периодический захват снимков экрана, TCP-проксирование и самоудаление. Для коммуникаций используется TLS через библиотеку Mbed TLS, при этом для эксфильтрируемых данных применяется шифрование RC4. Поддерживаются прямые соединения, настроенные HTTP-прокси с аутентификацией Basic или Negotiate, а также SOCKS5-прокси. C2, как правило, работает через порты 443 или 8080.
SparroWocky содержит код из Mbed TLS, MinHook и загрузчика COFF. Он способен загружать и выполнять файлы Beacon Object File, что обеспечивает использование модулей в памяти, связанных с Cobalt Strike и другими red-team фреймворками. Команда `0x14` выполняет BOF, а команда `0x13` удаляет закрепление и файлы ВПО с помощью временного пакетного сценария.
ВПО использует обширный обход защиты, включая собственное хеширование API, перехват `CreateThread` на основе MinHook и маскировку адресов начала потоков как `AnimateWindow`. Вариант SilentMoonwalk/StackMoonwalk подделывает стеки вызовов, чтобы отслеживаемые вызовы API выглядели как исходящие от легитимных системных функций Windows. Его рефлексивный загрузчик PE также перехватывает функции ресурсов и командной строки и вставляет поддельные структуры `LDR_DATA_TABLE_ENTRY` в PEB для маскировки вручную загружаемых исполняемых файлов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
FamousSparrow развернул SparroWocky — модульный бэкдор на C++, нацеленный на государственные организации в Латинской Америке. Доставляемый через DLL side-loading, он рефлексивно загружает зашифрованные полезную нагрузки в память, обеспечивает закрепление, собирает данные хоста, выполняет команды, выгружает файлы, делает скриншоты и поддерживает TCP-проксирование. Его TLS C2, загрузка BOF, перехват API, подделка стеков вызовов и манипуляция PEB обеспечивают обширное сокрытие и обход защиты.
-----
FamousSparrow, группа кибершпионажа, связанная с Китаем и активная как минимум с 2019 года, с августа 2025 года развертывает новый модульный бэкдор на C++ под названием SparroWocky. ВПО в значительной степени заменила имплант SparrowDoor, используемый группой, и была зафиксирована при нападках на государственные организации в Аргентине, Эквадоре, Гватемале, Гондурасе, Панаме, Перу, Пуэрто-Рико и Венесуэле. В некоторых инцидентах SparroWocky развертывалась с помощью SparrowDoor, что подтверждает атрибуцию к FamousSparrow.
SparroWocky распространяется с использованием схемы «трехзубого трезубца» (trident) на основе подмены DLL (DLL side-loading), которая включает легитимный исполняемый файл, модифицированную вредоносную DLL и зашифрованный файл полезной нагрузки. DLL извлекает данные конфигурации и полезной нагрузки из соответствующего файла `.dat`, используя ключ RC4, хранящийся в пользовательском заголовке, начинающемся с магического значения `0x11328712`. Полезная нагрузка представляет собой файл PE, из которого удалены сигнатуры `MZ` и `PE`; она отображается в память рефлексивно, что позволяет избежать записи на диск и потенциально обходить простые сигнатуры сканирования памяти. Закрепление (Persistence) может быть обеспечено через Службу Windows или ключ Run в реестре.
Бэкдор собирает информацию об узле, включая имя компьютера, имя пользователя, домен, версию Windows и адреса сетевых интерфейсов. Он поддерживает выполнение команд, произвольное выполнение файлов, эксфильтрацию файлов, периодический захват снимков экрана, TCP-проксирование и самоудаление. Для коммуникаций используется TLS через библиотеку Mbed TLS, при этом для эксфильтрируемых данных применяется шифрование RC4. Поддерживаются прямые соединения, настроенные HTTP-прокси с аутентификацией Basic или Negotiate, а также SOCKS5-прокси. C2, как правило, работает через порты 443 или 8080.
SparroWocky содержит код из Mbed TLS, MinHook и загрузчика COFF. Он способен загружать и выполнять файлы Beacon Object File, что обеспечивает использование модулей в памяти, связанных с Cobalt Strike и другими red-team фреймворками. Команда `0x14` выполняет BOF, а команда `0x13` удаляет закрепление и файлы ВПО с помощью временного пакетного сценария.
ВПО использует обширный обход защиты, включая собственное хеширование API, перехват `CreateThread` на основе MinHook и маскировку адресов начала потоков как `AnimateWindow`. Вариант SilentMoonwalk/StackMoonwalk подделывает стеки вызовов, чтобы отслеживаемые вызовы API выглядели как исходящие от легитимных системных функций Windows. Его рефлексивный загрузчик PE также перехватывает функции ресурсов и командной строки и вставляет поддельные структуры `LDR_DATA_TABLE_ENTRY` в PEB для маскировки вручную загружаемых исполняемых файлов.
#ParsedReport #CompletenessLow
15-09-2026
ParaShells: Parallels Desktop Turns Appliance Install Into a Root Shell
https://jfrog.com/blog/parallels-desktop-turns-appliance-install-into-root-shell/
Report completeness: Low
Threats:
Parashells
Victims:
Parallels desktop for mac users, Developer laptops, Universities, Corporate training rooms
Industry:
Education
CVEs:
CVE-2026-90894 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1059.006, T1068, T1202, T1559
IOCs:
File: 1
Soft:
Unix, macOS, sudo
Algorithms:
md5
Functions:
InstallAppliance
Languages:
python
Platforms:
arm, apple
15-09-2026
ParaShells: Parallels Desktop Turns Appliance Install Into a Root Shell
https://jfrog.com/blog/parallels-desktop-turns-appliance-install-into-root-shell/
Report completeness: Low
Threats:
Parashells
Victims:
Parallels desktop for mac users, Developer laptops, Universities, Corporate training rooms
Industry:
Education
CVEs:
CVE-2026-90894 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1059.006, T1068, T1202, T1559
IOCs:
File: 1
Soft:
Unix, macOS, sudo
Algorithms:
md5
Functions:
InstallAppliance
Languages:
python
Platforms:
arm, apple
JFrog
ParaShells: Parallels Desktop Turns Appliance Install Into a Root Shell
A flaw in Parallels Desktop for Mac (CVE-2026-90894) allows unprivileged local users to gain root privileges via argument injection during appliance installation.
CTT Report Hub
#ParsedReport #CompletenessLow 15-09-2026 ParaShells: Parallels Desktop Turns Appliance Install Into a Root Shell https://jfrog.com/blog/parallels-desktop-turns-appliance-install-into-root-shell/ Report completeness: Low Threats: Parashells Victims: Parallels…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
ParaShells — это уязвимость повышения привилегий в Parallels Desktop for Mac. Пользователь с ограниченными правами доступа может использовать сервисный сокет, доступный для записи всем, и небезопасное формирование аргументов для утилиты `tar`, чтобы заставить процесс `prl_disp_service`, работающий от имени root, выполнить код, контролируемый злоумышленником, с правами root — без запущенной виртуальной машины и без доступа администратора.
-----
ParaShells — это уязвимость повышения привилегий в Parallels Desktop for Mac. Тестирование на Parallels Desktop 26.4.0 (сборка 57513) на процессорах Apple Silicon показало, что локальный пользователь без привилегий может выполнить код, контролируемый злоумышленником, с правами root через привилегированный демон `prl_disp_service`. Для этого не требовалось запущенной виртуальной машины, доступа администратора или подписанного Parallels клиента.
Атака направлена на `/var/run/prl_disp_service.socket` — сокет домена Unix, доступный с правами на запись для всех пользователей. Механизм аутентификации `PrlSrv_LoginLocal` демона принимал неподписанные локальные клиенты на основе учетных данных ядра (peer credentials), а не проверяя идентификатор команды Parallels Team ID. В результате локальный пользователь без прав администратора мог пройти аутентификацию в демон с правами root и запросить операции по установке виртуальных машин (appliance-install).
Вторая уязвимость была связана с небезопасным формированием аргументов для процесса извлечения данных из устройства. Демон собирал команду `tar` в виде строки и использовал функцию разделения строк Qt для преобразования её в аргументы. Вставив кавычку в предоставленный путь к родительскому виртуальному машинному образу, злоумышленник мог завершить предназначенный аргумент и внедрить дополнительные опции `tar`. Демонстрируемый полезный код (payload) вставлял `--use-compress-program=/path/to/script`.
В процессе извлечения appliance утилита `tar` в macOS запускает указанную программу сжатия с теми же привилегиями, что и `tar`. Поскольку `prl_disp_service` инициирует процесс извлечения от имени root, скрипт, контролируемый злоумышленником, также выполняется с привилегиями root. В предоставленном proof of concept использовался специально созданный архив appliance и соответствующие метаданные, установка запускалась через сокет, а внедренная программа применялась для выполнения полезной нагрузки. Скрипт мог сохранять поток архива, одновременно фиксируя, что он выполняется с UID 0.
Уязвимость создает путь к компрометации на уровне хоста для любой локальной учетной записи или уже запущенного процесса с ограниченными правами на Mac с установленной уязвимой версией Parallels Desktop. Потенциальными источниками начального выполнения могут быть вредоносные пакеты, скомпрометированные рабочие процессы разработки или загруженные приложения. Успешная эксплуатация позволяет модифицировать хост-систему, устанавливать постоянные компоненты с повышенными привилегиями и выполнять произвольный код от имени root.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
ParaShells — это уязвимость повышения привилегий в Parallels Desktop for Mac. Пользователь с ограниченными правами доступа может использовать сервисный сокет, доступный для записи всем, и небезопасное формирование аргументов для утилиты `tar`, чтобы заставить процесс `prl_disp_service`, работающий от имени root, выполнить код, контролируемый злоумышленником, с правами root — без запущенной виртуальной машины и без доступа администратора.
-----
ParaShells — это уязвимость повышения привилегий в Parallels Desktop for Mac. Тестирование на Parallels Desktop 26.4.0 (сборка 57513) на процессорах Apple Silicon показало, что локальный пользователь без привилегий может выполнить код, контролируемый злоумышленником, с правами root через привилегированный демон `prl_disp_service`. Для этого не требовалось запущенной виртуальной машины, доступа администратора или подписанного Parallels клиента.
Атака направлена на `/var/run/prl_disp_service.socket` — сокет домена Unix, доступный с правами на запись для всех пользователей. Механизм аутентификации `PrlSrv_LoginLocal` демона принимал неподписанные локальные клиенты на основе учетных данных ядра (peer credentials), а не проверяя идентификатор команды Parallels Team ID. В результате локальный пользователь без прав администратора мог пройти аутентификацию в демон с правами root и запросить операции по установке виртуальных машин (appliance-install).
Вторая уязвимость была связана с небезопасным формированием аргументов для процесса извлечения данных из устройства. Демон собирал команду `tar` в виде строки и использовал функцию разделения строк Qt для преобразования её в аргументы. Вставив кавычку в предоставленный путь к родительскому виртуальному машинному образу, злоумышленник мог завершить предназначенный аргумент и внедрить дополнительные опции `tar`. Демонстрируемый полезный код (payload) вставлял `--use-compress-program=/path/to/script`.
В процессе извлечения appliance утилита `tar` в macOS запускает указанную программу сжатия с теми же привилегиями, что и `tar`. Поскольку `prl_disp_service` инициирует процесс извлечения от имени root, скрипт, контролируемый злоумышленником, также выполняется с привилегиями root. В предоставленном proof of concept использовался специально созданный архив appliance и соответствующие метаданные, установка запускалась через сокет, а внедренная программа применялась для выполнения полезной нагрузки. Скрипт мог сохранять поток архива, одновременно фиксируя, что он выполняется с UID 0.
Уязвимость создает путь к компрометации на уровне хоста для любой локальной учетной записи или уже запущенного процесса с ограниченными правами на Mac с установленной уязвимой версией Parallels Desktop. Потенциальными источниками начального выполнения могут быть вредоносные пакеты, скомпрометированные рабочие процессы разработки или загруженные приложения. Успешная эксплуатация позволяет модифицировать хост-систему, устанавливать постоянные компоненты с повышенными привилегиями и выполнять произвольный код от имени root.
#ParsedReport #CompletenessMedium
17-09-2026
SilkParasite Infrastructure: SpiceRAT Servers Tied to Energy and Government Targets Across Central Asia
https://hunt.io/blog/silkparasite-spicerat-central-asia-infrastructure
Report completeness: Medium
Actors/Campaigns:
Silkparasite
Ghostemperor
Indigozebra
Threats:
Spicerat
Nodeedgerat
Nomadrat
Bloodalchemy
Typosquatting_technique
Smac
Victims:
Government, Energy, Telecommunications
Industry:
Energy, Transport, Telco, Government, Petroleum
Geo:
Uzbekistan, Kyrgyzstan, China, Estonia, Tajikistan, Asia, Chinese, Turkmenistan, Bulgaria, Asian
ChatGPT TTPs:
T1036.005, T1583.001
IOCs:
IP: 55
Domain: 56
Hash: 3
File: 4
Soft:
nginx
Algorithms:
sha1, sha256
17-09-2026
SilkParasite Infrastructure: SpiceRAT Servers Tied to Energy and Government Targets Across Central Asia
https://hunt.io/blog/silkparasite-spicerat-central-asia-infrastructure
Report completeness: Medium
Actors/Campaigns:
Silkparasite
Ghostemperor
Indigozebra
Threats:
Spicerat
Nodeedgerat
Nomadrat
Bloodalchemy
Typosquatting_technique
Smac
Victims:
Government, Energy, Telecommunications
Industry:
Energy, Transport, Telco, Government, Petroleum
Geo:
Uzbekistan, Kyrgyzstan, China, Estonia, Tajikistan, Asia, Chinese, Turkmenistan, Bulgaria, Asian
ChatGPT TTPs:
do not use without manual checkT1036.005, T1583.001
IOCs:
IP: 55
Domain: 56
Hash: 3
File: 4
Soft:
nginx
Algorithms:
sha1, sha256
hunt.io
SilkParasite Infrastructure: SpiceRAT Servers Tied to Energy and Government Targets Across Central Asia
Hunt.io SpiceRAT detections identified shared infrastructure artifacts across malware families in Bitdefender’s SilkParasite report, connecting servers to Central Asian energy, government, and telecom targets.
CTT Report Hub
#ParsedReport #CompletenessMedium 17-09-2026 SilkParasite Infrastructure: SpiceRAT Servers Tied to Energy and Government Targets Across Central Asia https://hunt.io/blog/silkparasite-spicerat-central-asia-infrastructure Report completeness: Medium Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи картировали кластер инфраструктуры предположительно злоумышленника, связанный с SpiceRAT и, возможно, NodeEdgeRAT и NomadRAT. Кластер использовал повторно применяемые сертификаты, имена хостов, домены, обманные веб-страницы, а также имперсонацию государственных организаций Центральной Азии; при этом некоторые серверы предоставляли услуги RDP на высокопортовых интерфейсах. Связи в инфраструктуре основаны на общих артефактах и данных регистрации, а не на подтвержденном развёртывании ВПО на машинах жертв.
-----
Исследователи выявили кластер инфраструктуры, контролируемой злоумышленниками, связанный с SpiceRAT и потенциально относящийся к активности NodeEdgeRAT и NomadRAT. Серверы были активны с конца 2025 года по август 2026 года на нескольких европейских хостинг-провайдерах. Инфраструктура была связана через повторное использование имен хостов, сертификатов TLS, идентичных хешей веб-страниц, общих родительских доменов и записей регистрации, а не через прямые доказательства развертывания ВПО на системах жертв.
Несколько серверов соответствовали сигнатурам обнаружения SpiceRAT. Повторно использовались имена хостов `ns2.asiainfo.it[.\]com` и `manager.skycom[.\]support`, при этом дополнительные хосты обслуживали на порту 80 клонированную главную страницу компании RTX Corporation. Страница не содержала идентифицированных ВПО, форм для ввода учетных данных, полезных нагрузок или механизмов доставки и, по всей видимости, функционировала как статическое отвлекающее содержимое. Активность управления SpiceRAT была отдельно связана с портом 443.
Значимым артефактом, связывающим инфраструктуру, являлся сертификат TLS для домена `azure.uzrailwaystax[.\]com`, используемый для имперсонации железнодорожного ведомства Узбекистана. Тот же сертификат был обнаружен на восьми хостах, включая системы, независимо идентифицированные как инфраструктура SpiceRAT. Сертификат был выпущен TLC DV TLS CA, управляемым Китайским центром сертификации TL, который финансируется Китайской академией информационных и коммуникационных технологий. Сам по себе издатель сертификата не является доказательством злонамеренной деятельности, однако данный сертификат был развернут на инфраструктуре, использующей имперсонацию государственных органов и государственных предприятий Центральной Азии.
Регистрационные данные и связи доменов связали кластер с другими семействами ВПО. Родительский домен `hoster-kg[.\]com` был связан с хостом, связанным с SpiceRAT, и именем хоста NodeEdgeRAT, о котором сообщала компания Bitdefender. Аналогичным образом, `kg.tdtu[.\]org` разделял родительский домен с индикатором управления (command-and-control) для NomadRAT, о котором было сообщено. Некоторые связанные хосты предоставляли службы RDP на высоких портах, в том числе 64350, 64330, 65535 и 65111.
Наблюдаемые доменные имена имитировали организации в Узбекистане, Туркменистане, Таджикистане, Казахстане и Кыргызстане, включая Türkmengaz, газовое месторождение Галкыныш, Tojiktelecom, Министерство иностранных дел Туркменистана и государственные структуры. Пассивные данные DNS указывали на наличие связанной инфраструктуры поддоменов, датируемой как минимум серединой 2022 года. Указанные организации, по всей видимости, являлись целями имперсонации; полученные данные не подтверждают факт их компрометации.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Исследователи картировали кластер инфраструктуры предположительно злоумышленника, связанный с SpiceRAT и, возможно, NodeEdgeRAT и NomadRAT. Кластер использовал повторно применяемые сертификаты, имена хостов, домены, обманные веб-страницы, а также имперсонацию государственных организаций Центральной Азии; при этом некоторые серверы предоставляли услуги RDP на высокопортовых интерфейсах. Связи в инфраструктуре основаны на общих артефактах и данных регистрации, а не на подтвержденном развёртывании ВПО на машинах жертв.
-----
Исследователи выявили кластер инфраструктуры, контролируемой злоумышленниками, связанный с SpiceRAT и потенциально относящийся к активности NodeEdgeRAT и NomadRAT. Серверы были активны с конца 2025 года по август 2026 года на нескольких европейских хостинг-провайдерах. Инфраструктура была связана через повторное использование имен хостов, сертификатов TLS, идентичных хешей веб-страниц, общих родительских доменов и записей регистрации, а не через прямые доказательства развертывания ВПО на системах жертв.
Несколько серверов соответствовали сигнатурам обнаружения SpiceRAT. Повторно использовались имена хостов `ns2.asiainfo.it[.\]com` и `manager.skycom[.\]support`, при этом дополнительные хосты обслуживали на порту 80 клонированную главную страницу компании RTX Corporation. Страница не содержала идентифицированных ВПО, форм для ввода учетных данных, полезных нагрузок или механизмов доставки и, по всей видимости, функционировала как статическое отвлекающее содержимое. Активность управления SpiceRAT была отдельно связана с портом 443.
Значимым артефактом, связывающим инфраструктуру, являлся сертификат TLS для домена `azure.uzrailwaystax[.\]com`, используемый для имперсонации железнодорожного ведомства Узбекистана. Тот же сертификат был обнаружен на восьми хостах, включая системы, независимо идентифицированные как инфраструктура SpiceRAT. Сертификат был выпущен TLC DV TLS CA, управляемым Китайским центром сертификации TL, который финансируется Китайской академией информационных и коммуникационных технологий. Сам по себе издатель сертификата не является доказательством злонамеренной деятельности, однако данный сертификат был развернут на инфраструктуре, использующей имперсонацию государственных органов и государственных предприятий Центральной Азии.
Регистрационные данные и связи доменов связали кластер с другими семействами ВПО. Родительский домен `hoster-kg[.\]com` был связан с хостом, связанным с SpiceRAT, и именем хоста NodeEdgeRAT, о котором сообщала компания Bitdefender. Аналогичным образом, `kg.tdtu[.\]org` разделял родительский домен с индикатором управления (command-and-control) для NomadRAT, о котором было сообщено. Некоторые связанные хосты предоставляли службы RDP на высоких портах, в том числе 64350, 64330, 65535 и 65111.
Наблюдаемые доменные имена имитировали организации в Узбекистане, Туркменистане, Таджикистане, Казахстане и Кыргызстане, включая Türkmengaz, газовое месторождение Галкыныш, Tojiktelecom, Министерство иностранных дел Туркменистана и государственные структуры. Пассивные данные DNS указывали на наличие связанной инфраструктуры поддоменов, датируемой как минимум серединой 2022 года. Указанные организации, по всей видимости, являлись целями имперсонации; полученные данные не подтверждают факт их компрометации.
#ParsedReport #CompletenessHigh
16-09-2026
VectraRAT: An Undocumented Full-Stack MaaS Built From Scratch
https://socradar.io/blog/vectrarat-undocumented-stack-maas/
Report completeness: High
Threats:
Vectrarat
Clipboard_hijacking_technique
Uac_bypass_technique
Hvnc_tool
Amadey
Clickfix_technique
Uacme_tool
Vidar_stealer
Netsupportmanager_rat
Spear-phishing_technique
Victims:
Corporate organizations
Industry:
Government, Iot
Geo:
Russia, Asian, Germany, Russian, India, Chinese, Switzerland, United states, Venezuela, Czech republic, Budapest
TTPs:
Tactics: 9
Technics: 10
IOCs:
IP: 7
File: 9
Hash: 12
Soft:
Telegram, Linux, Chromium, Firefox, Internet Explorer
Algorithms:
lznt1, sha256
Functions:
ParseHeader
Win API:
FS, NtQueryInformationProcess, NtRemoveProcessDebug, DbgUiSetThreadDebugObject, DebugActiveProcess, CreateProcessW, NtDuplicateObject
Languages:
powershell, javascript
Links:
16-09-2026
VectraRAT: An Undocumented Full-Stack MaaS Built From Scratch
https://socradar.io/blog/vectrarat-undocumented-stack-maas/
Report completeness: High
Threats:
Vectrarat
Clipboard_hijacking_technique
Uac_bypass_technique
Hvnc_tool
Amadey
Clickfix_technique
Uacme_tool
Vidar_stealer
Netsupportmanager_rat
Spear-phishing_technique
Victims:
Corporate organizations
Industry:
Government, Iot
Geo:
Russia, Asian, Germany, Russian, India, Chinese, Switzerland, United states, Venezuela, Czech republic, Budapest
TTPs:
Tactics: 9
Technics: 10
IOCs:
IP: 7
File: 9
Hash: 12
Soft:
Telegram, Linux, Chromium, Firefox, Internet Explorer
Algorithms:
lznt1, sha256
Functions:
ParseHeader
Win API:
FS, NtQueryInformationProcess, NtRemoveProcessDebug, DbgUiSetThreadDebugObject, DebugActiveProcess, CreateProcessW, NtDuplicateObject
Languages:
powershell, javascript
Links:
https://github.com/tc-hib/winreshttps://github.com/hfiref0x/uacmeSOCRadar® Cyber Intelligence Inc.
VectraRAT: An Undocumented Full-Stack MaaS Built From Scratch
SOCRadar's Threat Research Unit (STRU) has documented VectraRAT, a Malware-as-a-Service platform built entirely from scratch rather than forked from...