#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
MALFEX — это кампания в цепочке поставок npm, использующая вредоносные пакеты для доставки ВПО для Windows. Её полезная нагрузка развертывает RAT Overlord или стиллер movinlike, которые перехватывают системные данные, учетные данные, файлы cookie, сеансы и кошельки криптовалют, после чего выводят их наружу. Скрытые загрузчики, устанавливаемые в процессе установки, и зависимости помогают поддерживать доставку через несколько пакетов.
-----

MALFEX — это кампания в цепочке поставок npm, приписываемая одному оператору, активному с августа 2023 года. Оператор опубликовал 12 связанных пакетов, восемь из которых были вредоносными, что зафиксировало 40 767 загрузок. По состоянию на 29 сентября 2026 года пакеты `function-flag`, `function-color` и `cdn-img-fetch` оставались доступными для установки. Покрытие бюллетенями было неполным: для `function-flag` и `function-color` бюллетени отсутствовали, а бюллетень для `cdn-img-fetch` охватывал только версии 1.0.0 и 1.0.1, но не вредоносные версии 1.0.2 и 1.0.3.

Кампания использует три пути доставки полезной нагрузки, нацеленные на Windows. Пакеты `tlxbnhd`, `tldriver` и `mxdriver` выполняют обфусцированные скрипты npm install, которые загружают исполняемые файлы Windows, запускают их и удаляют файлы. Загруженные полезные нагрузки представляют собой архивы IExpress, содержащие зашифрованный скрипт AutoIt, который извлекает и внедряет Overlord RAT в `TapiUnattend.exe` с использованием внедрения в пустой процесс и подмены родительского процесса. Overlord поддерживает захват экрана, регистрацию нажатий клавиш, сбор содержимого буфера обмена, поиск файлов, удаленные оболочки и скрытый доступ к рабочему столу. Он может получать зашифрованные адреса C2-серверов из заметок транзакций Solana и обеспечивает закрепление через запланированную задачу и замаскированную директорию поставщика.

Цепочка стиллера использует `cdn-img-fetch`, `img-to-native` и изъятый `native-runner`. При загрузке пакеты получают PNG-файл, к которому прикреплён зашифрованный исполняемый файл. Код расшифровывает полезную нагрузку с использованием ключа `malfexteam2027`, записывает её в виде `node_runtime_helper.exe` и загружает `setup.exe` — стиллер на базе Node.js, упакованный для Windows и известный как movinlike. Movinlike нацелен на клиенты Discord, учетные данные и файлы cookie браузеров, сессии Телеграм и кошельки криптовалют. Он архивирует украденную информацию, разбивает её на блоки по 25 МБ и выгружает данные в вебхук Discord.

`function-flag` содержит скрытый загрузчик, который активируется во время установки при использовании конкретного значения шрифта. Злонамеренные версии получают полезную нагрузку с вращающихся хостов, сохраняют её в виде `node.exe` или файлов с аналогичными именами в каталоге `%APPDATA%` и запускают их в скрытых окнах. `function-color` устанавливает `function-flag` в качестве зависимости.

#ParsedReport #CompletenessHigh
08-10-2026

Threat Intelligence \| Analysis of a Malicious Bookmark Phishing Attack Targeting Fomo Users

https://slowmist.medium.com/threat-intelligence-analysis-of-a-malicious-bookmark-phishing-attack-targeting-fomo-users-0985bff1ed36?source=rss-4ceeedda40e8------2

Report completeness: High

Threats:
Robinhood
Supply_chain_technique

Victims:
Fomo users

Industry:
Government

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1036, T1059.007, T1071.001, T1119, T1132, T1204.001, T1528

IOCs:
File: 2
Domain: 1
Coin: 3
Url: 2
Hash: 4

Soft:
SlowMist, Discord, indexedDB, loudflare Wo, ram, and s, Telegram, cloudflare, MistTrack

Crypto:
ethereum, bitcoin, solana, binance

Algorithms:
hmac-sha1, sha256

Functions:
v, getAll, y

Win API:
SG

Languages:
javascript

Links:
have more...
https://github.com/slowmist/MistEye-DepScan
https://github.com/slowmist/MistEye-DNS-Guard
https://github.com/slowmist/misteye-skills

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Фишинговый сайт ввел пользователей Fomo в заблуждение, заставив их установить вредоносный JavaScript-букмарклет, замаскированный под проверку человеком. При выполнении в аутентифицированной сессии Fomo он собирал токены Privy, данные кошелька, информацию MFA и содержимое хранилища браузера, после чего выгружал эти данные, что позволяло перехватывать управление учетными записями и совершать несанкционированные транзакции. Сообщается, что один из пострадавших потерял около 48 000 долларов.
-----

Атака была направлена на пользователей платформы Fomo Web3 для торговли через фишинговый сайт, маскировавшийся под интерфейс торговли и страницу проверки личности. Злоумышленный внешний ссылок, связанный с токеном MOONLET, перенаправлял жертву на voltage.family. Сайт инструктировал жертву выбрать животное и добавить закладку с названием «Triple click to verify». Вместо обычного URL закладка содержала bookmarklet `javascript:`, который выполнялся в контексте текущей открытой и аутентифицированной страницы Fomo.

Скрипт `fomo-track.js` на фишинговом сайте многократно перезаписывал ссылки для всех значков верификации одним и тем же вредоносным кодом закладки. Процесс выбора животного не влиял на полезную нагрузку и служил исключительно для убеждения жертвы установить и выполнить её. После выполнения на Fomo скрипт перечислял `localStorage` и `sessionStorage`, ища ключи или значения, связанные с Privy, кошельками, секретами, сид-фразами, MFA, Fomo и связанными сервисами. Он также запрашивал базы данных IndexedDB и извлекал записи из хранилищ объектов.

ВПО целенаправленно искала `privy:token` и `privy:refresh_token`, обрабатывала поля токенов, встроенные в JSON, а также использовала более широкое сопоставление и обнаружение фрагментов JWT в качестве резервных механизмов. Она собирала данные, связанные с доступом к встроенным кошелькам, аутентификацией, восстановлением доступа и MFA. Украденная информация структурировалась, кодировалась в base64url и передавалась на `noisy-heart-5856.zmfkc29.workers.dev` посредством HTTP-запросов и перенаправления URL. Механизмы контроля размера данных обеспечивали приоритетную передачу токенов Privy, записей, связанных с кошельками и секретами, а также хранилищ MFA, если объем собираемых данных превышал лимиты передачи.

Наблюдаемый скрипт в основном выполнял сбор данных браузера и их эксфильтрацию; точный механизм, использованный для передачи активов жертвы, пока не подтвержден. Однако утечка учетных данных, связанных с аутентификацией и кошельком, может позволить перехватить управление учетной записью, восстановить закрытый ключ, злоупотребить многофакторной аутентификацией (MFA) или совершить несанкционированные транзакции без необходимости для жертвы вводить фразу-восстановление или подписывать транзакцию в блокчейне. Жертва сообщила об убытках в размере приблизительно 48 000 долларов США, включая 45 106,85 USDC, переведенных в трех транзакциях на адрес в сети Solana. Последующие перемещения средств включали межсетевые переводы и транзакции с участием адресов, связанных с Stake и Winna, платформами для азартных игр.

#ParsedReport #CompletenessLow
08-10-2026

UAT-11985: AI-assisted event lures delivering real-time Google AitM phishing

https://blog.talosintelligence.com/uat-11985/

Report completeness: Low

Threats:
Aitm_technique
Spear-phishing_technique
Qshing_technique
Credential_harvesting_technique

Victims:
Research organizations

Geo:
Asian, Taiwan, Chinese, Hong kong, Taiwanese

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1041, T1056.003, T1059.007, T1071.001, T1082, T1111, T1204.001, T1557, have more...

IOCs:
File: 1
Url: 4
Email: 3
IP: 0
Domain: 0
Hash: 0
BrowserExtension: 0

Algorithms:
base64, exhibit

Languages:
javascript

Links:
https://github.com/Cisco-Talos/IOCs/blob/main/2026/10/uat-11985.txt

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа APT атаковала исследовательские организации, связанные с Тайванем, используя целевой фишинг с применением ИИ и приманки в виде QR-кодов, имитирующие легитимные организации и мероприятия. Жертв перенаправляли на многоязычные поддельные формы Google Forms и страницы входа, которые с использованием техник «человек посередине» (adversary-in-the-middle) перехватывали учетные данные, ответы MFA и, потенциально, токены аутентифицированных сессий.
-----

В середине 2026 года APT провела кампанию целевого фишинга, нацеленную на лиц, связанных с исследовательскими организациями на Тайване. Актор имитировал деятельность таких учреждений, как Тайваньский центр Европейского союза, Институт международных отношений Национального университета Чэн-Кунь (NCCU) и Тайваньский исследовательский институт. В электронных письмах повторно использовались легитимные публичные сведения о мероприятиях, фирменный стиль организаций и профессионально выверенные комплименты. Видимые ссылки казались ссылками на Google Forms или легитимные страницы регистрации, однако их фактические адреса перенаправляли жертв на инфраструктуру, контролируемую злоумышленниками. Аналогичная формулировка, структура и персонализация в нескольких сообщениях указывают на вероятное использование шаблонов с поддержкой ИИ для быстрого создания и адаптации приманок.

В ходе кампании также использовался фишинг с использованием QR-кодов. Злоумышленники копировали легитимные афиши мероприятий с публичных веб-сайтов и заменяли их QR-коды на вредоносные, после чего прикрепляли афиши к фишинговым письмам. Получатели могли распечатать и разместить афиши, что потенциально могло привести к тому, что дополнительные лица, встретившие их в физических локациях и отсканировавшие QR-коды, стали жертвами атаки.

Фишинговая инфраструктура имитировала страницы Google Forms и экраны входа в Google, используя интерфейсы с точностью до пикселя для сбора идентификаторов учетных записей, паролей и ответов MFA. Набор инструментов поддерживал упрощенный китайский, традиционный китайский и английский языки, с определением локали браузера на основе `navigator.languages`. Структура локализации использовала упрощенный китайский язык в качестве базового, при этом традиционный китайский и английский языки реализовывались через переопределения во время выполнения. Лексические особенности и поведение ветвей по умолчанию указывают на то, что интерфейс изначально разрабатывался носителем упрощенного китайского языка.

Операция использовала архитектуру «злоумышленник посередине» (adversary-in-the-middle), сочетающую HTTP-запросы POST с постоянным соединением WebSocket. Фишинговая страница отправляла на HTTP-сервер актора отпечатки браузера, идентификаторы учетных записей, учетные данные, задачи аутентификации и данные heartbeat. Сервер передавал предоставленную информацию в Google, определял требуемый процесс аутентификации и с помощью сообщений WebSocket управлял страницей, отображаемой жертве, в режиме реального времени. Это позволяло оператору динамически воспроизводить экраны ввода пароля, passkey и MFA и потенциально получать токены аутентифицированных сессий, что обеспечивало перехват управления учетной записью.

Клиентский JavaScript был встроен в конце HTML-кода и защищён с помощью массивов строк в кодировке Base64, ротацией массивов во время выполнения и обфускацией потока управления. Фреймворк также содержал скрытый HTML и локально размещённый iframe, предназначенный для имитации успешной аутентификации, что помогало сохранять видимость завершённого входа, пока злоумышленник обрабатывал сессию.

#ParsedReport #CompletenessLow
08-10-2026

Tensorlake npm Package Compromised: A Worm With a Hostage Token That Wipes Your Machine If You Revoke It

https://www.stepsecurity.io/blog/tensorlake-npm-compromised-hostage-token-worm

Report completeness: Low

Threats:
Shai-hulud
Gh-token-monitor
Supply_chain_technique
Math_symbol

Victims:
Software developers, Github accounts, Npm package ecosystem, Developer machines

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1036, T1053.005, T1059.001, T1059.004, T1059.007, T1071.001, T1078, T1105, have more...

IOCs:
File: 3
Domain: 1
Email: 1
Hash: 2

Soft:
Claude, Claude Code, Kubernetes, vscode, Linux, macOS, Task Scheduler

Algorithms:
sha256

Languages:
typescript, powershell

Links:
https://github.com/tensorlakeai/tensorlake/issues/1014
have more...
https://github.com/tensorlakeai/tensorlake/commit/e90c47bbb208e99cac8aa678405b2133f6cb3f52

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Пакет npm `tensorlake@0.5.144` был скомпрометирован посредством вредоносных коммитов и доставляет полезную нагрузку при установке, нацеленную на рабочие станции разработчиков. Он крадет учетные данные и конфиденциальные данные разработки, выгружает их через GitHub или `iseekaigogo.com`, распространяется через пакеты npm и файлы проектов, а также может удалить данные пользователя, если украденный токен GitHub будет отозван.
-----

Пакет npm `tensorlake@0.5.144` был скомпрометирован после того, как вредоносные коммиты были отправлены непосредственно в основную ветвь репозитория `tensorlakeai/tensorlake` от имени одного из сопровождающих. Пакет был впоследствии опубликован через рабочий процесс выпуска репозитория и содержит те же вредоносные файлы, что и на скомпрометированной ветви. Провенанс npm подтверждает источник сборки, но не гарантирует безопасность кода.

В процессе установки хук `preinstall` пакета выполняет `setup.mjs`, если процесс не запущен в среде CI. Скрипт загружает рантайм Bun и использует его для запуска обфусцированной полезной нагрузки, содержащейся в файле размером около 856 КБ. ВПО нацелена на рабочие станции разработчиков и пытается собрать токены GitHub и npm, учетные данные облачных сервисов, секреты Kubernetes и Vault, ключи SSH, логины, сохраненные в браузере, файлы переменных окружения, а также конфигурационные данные инструментов для разработки с использованием ИИ, таких как Claude, Cursor и Windsurf.

Украденные данные шифруются и отправляются либо в публичный репозиторий GitHub, созданный в учетной записи жертвы, как правило, с описанием «Shai-Hulud: Here We Go Again», либо на `iseekaigogo.com`. ВПО может распространяться с использованием украденных учетных данных npm путем модификации и повторной публикации пакетов жертвы с увеличенными версиями. При наличии доступа к GitHub вредоносное ПО коммитит файлы `.claude/settings.json` и `.vscode/tasks.json` в доступные репозитории. Эти файлы могут запускать ВПО при открытии проектов в Claude Code или Visual Studio Code.

Особенно деструктивный компонент, `gh-token-monitor`, проверяет украденный токен GitHub каждые 60 секунд в течение 24 часов. Если токен отозван или отклонён, он пытается удалить домашний каталог пользователя в Linux или профиль пользователя в Windows. На затронутых системах могут присутствовать файлы в каталоге `\~/.config/gh-token-monitor/`, служба пользователя или запланированная задача Windows, запускающая `monitor.ps1`.

#ParsedReport #CompletenessMedium
08-10-2026

tensorlake NPM package compromised with Shai Hulud worm

https://www.aikido.dev/blog/tensorlake-npm-package-compromised

Report completeness: Medium

Threats:
Shai-hulud
Supply_chain_technique
Math_symbol
Dead_drop_technique
Hackbrowserdata_tool

Victims:
Artificial intelligence software sector, Software supply chain, Developer endpoints

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1059.007, T1078, T1102.001, T1105, T1140, T1195.001, T1485, T1552, have more...

IOCs:
File: 2
Hash: 2
Domain: 1
Coin: 1

Soft:
IndexedDB, CIRCLECI, TRAVIS, VERCEL, docker

Wallets:
keplr, metamask, coinbase, rabby, tronlink, ronin_wallet, solflare_wallet, exodus_wallet, unisat, safepal, have more...

Crypto:
ethereum, monero

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники скомпрометировали версию 0.5.144 пакета tensorlake в npm, внедрив новый вариант червя цепочки поставок Shai-Hulud. При установке выполняются обфусцированные полезныe нагрузки, которые крадут учетные данные, секреты, переменные окружения и данные криптографических браузерных расширений, а также обеспечивают распространение и потенциальное стирание данных системы. Для управления используется домен `iseekaigogo[.\]com` и dead drop на базе Ethereum.
-----

8 октября 2026 года злоумышленники опубликовали скомпрометированную версию 0.5.144 пакета tensorlake в npm, который насчитывает более 100 000 установок за всё время. Пакет содержит вариант червя цепочки поставок Shai-Hulud. Tensorlake также распространяет программное обеспечение через PyPI и Cargo, однако компрометация этих экосистем не была выявлена. Отличительный маркер WORMTAG и вариации кода вредоносного ПО указывают на новую компрометацию, а не на повторное заражение в результате предыдущей кампании Shai-Hulud.

Установка запускает скрипт preinstall, который выполняет команду `node lib/setup.mjs`. Этот обфусцированный скрипт устанавливает рантайм Bun и выполняет `lib/Math_Symbol.js`, содержащий основной полезный груз. ВПО расшифровывает компоненты закрепления и распространения, пытается прочитать и выгрузить переменные окружения, учетные данные и локальные секреты, а также содержит механизм «dead-man’s switch», способный уничтожить данные на зараженных системах в случае отзыва встроенного токена GitHub. Зараженные системы следует считать полностью скомпрометированными, а скомпрометированные учетные данные — немедленно отозванными и замененными.

ВПО использует захардкоженный домен управления `iseekaigogo[.\]com` и может разрешить альтернативный домен C2 или эксфильтрации через blockchain dead-drop. Для этого она обращается к управляемому злоумышленником контракту Ethereum `0xb614155Fd88114d40549b259457Bcf921Df091B9` через несколько публичных RPC-провайдеров. Последнее записанное значение контракта указывает на тот же самый захардкоженный домен.

В отличие от более ранних вариантов Shai-Hulud, данный полезный груз расширяет возможности кражи данных, ориентированные на браузеры. Он нацелен на данные IndexedDB и LevelDB, связанные с 14 криптографическими браузерными расширениями, и загружает бинарный файл HackBrowserData, специфичный для операционной системы, с сервера C2 для извлечения дополнительных учетных данных браузера. Эти возможности указывают на усиленный акцент на монетизацию конечных точек разработчиков в дополнение к распространению через цепочку поставок. Компрометация началась в репозитории tensorlake на GitHub, где коммиты с верифицированной идентичностью сопровождающего ввели вредоносное ПО 7 октября посредством прямой загрузки файла. Репозиторий находился в состоянии компрометации в течение приблизительно 20 часов до того, как произошло вредоносное опубликование в npm.

#ParsedReport #CompletenessHigh
06-10-2026

Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data

https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a

Report completeness: High

Actors/Campaigns:
Flax_typhoon

Threats:
Password_spray_technique
Lolbin_technique
Bbscn_tool
Dirsearch_tool
Fscan_tool
Ksubdomain_tool
Masscan_tool
Nmap_tool
Oneforall_tool
Shuize_tool
Wpscan_tool
Microscan_tool
Credential_harvesting_technique
Dcsync_technique
Credential_dumping_technique

Victims:
Government services and facilities, Critical manufacturing, Healthcare and public health, Information technology, Law enforcement, Education, Religious organizations

Industry:
Critical_infrastructure, Healthcare, Government, Education

Geo:
America, China, Chinese, Asia, Africa

CVEs:
CVE-2021-22205 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- gitlab (<13.8.8, <13.9.6, <13.10.3)

CVE-2015-5477 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- isc bind (le9.9.7, le9.10.2)

CVE-2015-3306 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: False
Soft:
- proftpd (1.3.5)

CVE-2023-22894 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: Unknown
Soft:
- strapi (<4.8.0)

CVE-2019-11510 [Vulners]
CVSS V3.1: 9.9,
Vulners: Exploitation: True
Soft:
- ivanti connect_secure (8.2, 8.3, 9.0)

CVE-2016-3081 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
Soft:
- apache struts (2.0.0, 2.0.1, 2.0.2, 2.0.3, 2.0.4)

CVE-2021-3199 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
Soft:
- onlyoffice document_server (<5.6.3)

CVE-2014-6278 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- gnu bash (1.14.0, 1.14.1, 1.14.2, 1.14.3, 1.14.4)


TTPs:
Tactics: 6
Technics: 15

IOCs:
File: 22
Domain: 222
IP: 517
Url: 4
Hash: 64

Soft:
Microsoft Exchange, OpenSSL, WebLogic, WordPress, Jenkins, Apache Struts, Office365, Outlook, curl, SoftEther, have more...

Algorithms:
md5, rc4, zip, aes-128-cbc, sha256

Functions:
ReadMe

Win Services:
DiagTrack

Languages:
php, javascript, python, powershell

Links:
https://github.com/cisagov/Decider/

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Акторы, связанные с государством Китая и действующие при содействии Integrity Technology Group, нацеливаются на организации по всему миру, используя автоматизированную разведку, эксплуатация уязвимостей, атаки на учётные данные и деятельность ботнетов. Они разворачивают инструменты для сканирования сети, фишинга, закрепления через VPN, компрометации почтовых ящиков и кражи данных Active Directory, после чего сжимают или шифруют украденные почтовые данные и учётные данные для эксфильтрации.
-----

Злоумышленники, связанные с правительством Китая и использующие возможности компании Integrity Technology Group, атаковали организации по всему миру, включая государственные структуры, критически важные производственные предприятия, учреждения здравоохранения, информационно-технологический сектор, правоохранительные органы, образовательные учреждения и религиозные организации. Их деятельность сочетает в себе автоматизированную разведку, ботнеты, общедоступные инструменты и ручную эксплуатацию уязвимостей для компрометации сетей и кражи конфиденциальных данных. Среди зафиксированных целей — организации в Северной Америке, Юго-Восточной Азии и Африке.

Для разведки злоумышленники используют такие инструменты, как BBScan, dirsearch, Fscan, ksubdomain, masscan, Nmap, OneForAll, ShuiZe и WPScan, чтобы выявлять открытые сервисы, веб-приложения, интерфейсы аутентификации и уязвимые страницы. Сканирование, как правило, направлено на порты FTP, SSH, DNS, HTTP, HTTPS и SOCKS. Злоумышленники также используют MicroScan — приложение на базе Python, содержащее более 1300 сценариев для тестирования на проникновение, нацеленных на такие технологии, как OpenSSL, Oracle WebLogic, Rejetto, WordPress, Jenkins, Juniper ScreenOS и Apache Struts.

Первоначальный доступ осуществляется с помощью утилит для эксплуатации уязвимостей, написанных на Python и Go, атак межсайтового скриптинга (XSS) на основе JavaScript и HTML, а также распыления пароля или угадывания пароля для учетных записей Microsoft Exchange и Microsoft 365 с использованием инструмента EBurst. Восстановленные вредоносные нагрузки XSS отображают поддельные поля для ввода имени пользователя и пароля с целью перехвата учетных данных. Атакующие также использовали live700_v1.exe, который запускает процесс с маскировкой под DiagTrack.exe и взаимодействует с инфраструктурой, контролируемой злоумышленниками, по зашифрованному HTTP-соединению, при этом, по всей видимости, запрашивая данные почтовых ящиков.

Для закрепления и скрытого доступа злоумышленники развертывают клиенты SoftEther VPN с использованием PowerShell, curl, wget или других инструментов living-off-the-land. Установщики могут быть переименованы в conhost.exe или dllhost.exe и настроены на автоматическое переподключение при запуске. Кража данных включает сбор содержимого почтовых ящиков через Microsoft EWS API с использованием PHP-скрипта Curlc4.txt, автоматизированный доступ к Outlook 365 с помощью утилиты office-cli на базе Linux, а также кражу учетных данных и связей Active Directory с помощью DC.exe, который выполняет DCSync через RPC. Собранные базы данных электронной почты размещаются в записываемых каталогах, сжимаются и иногда шифруются с использованием RC4 или AES-128-CBC перед загрузкой на удаленные серверы.

#ParsedReport #CompletenessHigh
08-10-2026

tensorlake 0.5.144 npm Compromise Ships Mini Shai-Hulud

https://safedep.io/tensorlake-npm-compromise-mini-shai-hulud

Report completeness: High

Actors/Campaigns:
Mini_shai-hulud

Threats:
Credential_stealing_technique
Shai-hulud
Math_symbol
Dead_drop_technique
Hackbrowserdata_tool
Gh-token-monitor
Supply_chain_technique

Victims:
Npm packages, Github repositories, Software development sector

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1053.005, T1059.007, T1078.004, T1102.001, T1102.003, T1195.001, T1195.002, T1485, have more...

IOCs:
Domain: 1
File: 10
Url: 2
Coin: 1
Hash: 3
Path: 1

Soft:
Docker, Kubernetes, claude, Ledger Live, systemd, macOS, Windows scheduled task, Claude Code

Wallets:
electrum, metamask

Crypto:
ethereum

Algorithms:
rc4, zip, aes-256-gcm, sha1

Functions:
Remove-Item

Languages:
typescript

Links:
https://github.com/tensorlakeai/tensorlake/pull/1016
https://github.com/tensorlakeai/tensorlake/commit/c79bc475544311ca3ae8e3628ec30a9b2c9b2d6b
have more...
https://github.com/tensorlakeai/tensorlake/commit/e90c47bbb208e99cac8aa678405b2133f6cb3f52

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Пакет npm `tensorlake@0.5.144` содержал червь Mini Shai-Hulud для кражи учетных данных, который запускался при установке и нацеливался на учетные данные облачных сервисов, GitHub, npm, SSH, браузеров и криптовалют. Червь использовал каналы C2 на основе блокчейна, GitHub и с жестко заданными адресами, шифрованную эксфильтрацию и произвольное выполнение JavaScript. Распространение червя осуществлялось через пакеты npm и рабочие процессы CI, при этом модуль мониторинга токенов мог удалять домашний каталог жертвы после отзыва токена GitHub.
-----

Пакет npm `tensorlake@0.5.144`, по имеющимся данным, распространялся с тегом `latest` и содержал червь для кражи учетных данных, идентифицированный как новая сборка семейства ВПО Mini Shai-Hulud. Злоумышленный полезный код находился в файле `lib/Math_Symbol.js` размером около 856 КБ и выполнялся во время установки пакета. Он нацелен на учетные данные облачных сервисов, GitHub, npm, SSH, браузеров и криптокошельков. В состав ВПО также входит компонент для кражи паролей из браузера, который запускает бинарный файл с аргументами, характерными для HackBrowserData: `dump -b all -c password -f json`. По имеющимся данным, выполнение пропускается на системах, использующих русскую локаль.

Вредоносное ПО использует несколько механизмов управления. В нём зашит домен `iseekaigogo.com`, а также выполняются запросы к контракту Ethereum `0xb614155Fd88114d40549b259457Bcf921Df091B9` через 35 публичных RPC-эндпоинтов для получения информации об инфраструктуре управления. Кроме того, вредоносное ПО ищет подписанные коммиты в GitHub, связанные с `thebeautifulmarchoftime`, проверяя их по встроенному ключу RSA, и использует публичные репозитории в качестве точек передачи данных. Выгруженная информация коммитится в зашифрованном виде в вновь созданные публичные репозитории с описанием `Shai-Hulud: Here We Go Again`. После эксфильтрации вредоносное ПО обращается к своей инфраструктуре управления каждые 45–90 секунд. Ответы от инфраструктуры управления могут содержать произвольный код, который червь выполняет с помощью JavaScript `eval`.

Для распространения червь использует токены npm для модификации всех пакетов, которые может публиковать скомпрометированная учетная запись: добавляет полезную нагрузку и скрипт `preinstall`, увеличивает номер патч-версии пакета и повторно публикует их. Он также может злоупотреблять доверенной публикацией npm в средах CI, добавляя зависимость от Git и подписывая полученный пакет через Fulcio и Rekor. Украденный доступ к GitHub используется для добавления хуков Claude Code и VS Code, а также рабочего процесса Copilot, который извлекает секреты репозитория перед удалением запуска рабочего процесса и ветки.

Компонент удаления с именем `gh-token-monitor` проверяет токен GitHub каждые 60 секунд в течение 24 часов. Если GitHub возвращает ответ 40x, например, после отзыва токена, выполняется команда `rm -rf \~/`, что потенциально приводит к удалению домашнего каталога пользователя. Монитор может сохраняться в системе в виде пользовательского сервиса systemd, LaunchAgent в macOS или запланированной задачи в Windows. Путь заражения через npm требует наличия файла `./dist/Math_Symbol.js`; внедрённый загрузчик ищет файл `ai_init.js`, тогда как червь создаёт файл `math_init.js`, что может повлиять на процесс выполнения.

#ParsedReport #CompletenessMedium
08-10-2026

TensorLake npm SDK Compromised in ChainDrop Shai-Hulud Credential-Stealing Attack

https://socket.dev/blog/tensorlake-compromise

Report completeness: Medium

Threats:
Chaindrop
Shai-hulud
Credential_stealing_technique
Supply_chain_technique
Math_symbol
Credential_harvesting_technique
Gh-token-monitor

Victims:
Ai agent infrastructure, Software developers, Npm ecosystem

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1053.005, T1059.001, T1059.007, T1071.001, T1102, T1195.002, T1485, T1528, have more...

IOCs:
File: 3
Hash: 2

Soft:
Kubernetes, HashiCorp Vault, claude, Linux, macOS

Crypto:
ethereum

Algorithms:
sha256

Languages:
powershell, typescript