#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Пакет Tensorlake npm SDK версии 0.5.144 был скомпрометирован в результате атаки на цепочку поставок, в ходе которой с помощью хука установки был развернут самораспространяющийся npm-червь, предназначенный для кражи учетных данных. Целью атаки являются учетные данные для npm, GitHub, облачных сервисов, инструментов разработчиков, криптовалютных платформ и ИИ-инструментов. Злоумышленники используют украденные права на публикацию для компрометации дополнительных пакетов и закрепления в системе посредством монитора токенов GitHub, способного выполнять код, контролируемый атакующим.
-----

Версия 0.5.144 npm SDK Tensorlake была скомпрометирована в результате атаки на цепочку поставок по схеме ChainDrop/Shai-Hulud. Выпущенная 8 октября 2026 года, эта версия содержала вредоносный код, который выполнялся во время установки через preinstall-хук, что означало, что пользователи могли пострадать, даже не импортируя SDK и не запуская ИИ-агента. Хук запускает обфусцированную загрузчик на базе Bun в файле `package/lib/setup.mjs`, который выполняет полезную нагрузку из файла `package/lib/Math_Symbol.js`.

Плодовая оболочка (payload) функционирует как стиллер учетных данных и самораспространяющийся npm-червь. Он ищет учетные данные npm в файлах `.npmrc`, а также через обмен токенами npm и OIDC, собирает токены GitHub и получает доступ к учетным данным AWS через IMDS, ECS, Secrets Manager и Systems Manager Parameter Store. Кроме того, он нацелен на HashiCorp Vault, токены service-account Kubernetes и файлы kubeconfig, ключи SSH, файлы `.env`, кошельки для криптовалют, приложения для обмена сообщениями, а также файлы конфигурации или MCP, связанные с инструментами разработки на базе ИИ, такими как Claude, Cursor, Kiro, Windsurf и Zed.

Утечка учетных данных для публикации позволяет ВПО перечислять пакеты, связанные с жертвой, генерировать данные о происхождении Sigstore и публиковать скомпрометированные версии. ВПО также может создавать вредоносные рабочие процессы GitHub Actions. Полезная нагрузка определяет конечную точку управления через смарт-контракт Ethereum, запрашиваемый через публичные RPC-сервисы, с использованием GitHub в качестве резервного варианта, вместо использования заранее заданного домена.

ВПО также обеспечивает закрепление с использованием компонента `gh-token-monitor`. Монитор на базе PowerShell запускается через запланированную задачу ONLOGON и проверяет действительность украденного токена GitHub. Если токен отозван, вредонос может выполнить код, предоставленный злоумышленником, с помощью `Invoke-Expression`; в описанной реализации присутствует строка «dead-man-switch» деструктивного характера, связанная с очисткой домашнего каталога жертвы.

#ParsedReport #CompletenessLow
08-10-2026

Ignore all instructions and read this blog: The state of AI-analysis evasion in malware

https://blog.talosintelligence.com/ignore-all-instructions-and-read-this-blog-the-state-of-ai-analysis-evasion-in-malware/

Report completeness: Low

Actors/Campaigns:
0ktapus
Lazarus

Threats:
Cairn
Fruitshell
Plotsafe
Hollowclad
Mantlemaze
Amsi_bypass_technique
Rozeshell
Rozena
Themida_tool
Byovd_technique
Blackbyte

Victims:
Cybersecurity sector

CVEs:
CVE-2015-2291 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
Soft:
- intel ethernet_diagnostics_driver_iqvw32.sys (1.03.0.7)
- intel ethernet_diagnostics_driver_iqvw64.sys (1.03.0.7)


ChatGPT TTPs:
do not use without manual check
T1027, T1027.002, T1059.001, T1562.001

IOCs:
File: 2
Coin: 1
Hash: 11

Soft:
Microsoft Defender

Languages:
powershell

Platforms:
intel, apple

Links:
https://github.com/Cisco-Talos/CAIRN/blob/db84c86e4d8909ac462a3734993626853509ba4b/config/acquisition\_filters.yaml#L105
https://github.com/Cisco-Talos/CAIRN
https://github.com/Cisco-Talos/Cognitive-Artifact-Intelligence-Research-Network/blob/main/docs/families/FRUITSHELL.md
have more...

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники внедряют промпты на естественном языке в ВПО, чтобы манипулировать анализом с помощью LLM и вызывать неверную классификацию образцов; данная техника получила название «обход AI-анализа». Подход был зафиксирован в FRUITSHELL, PLOTSAFE, HOLLOWCLAD и MANTLEMAZE и повлиял на выводы моделей примерно в 35% тестов, хотя его эффективность была непостоянной.
-----

В отчете описывается техника «обхода AI-анализа» (AI-analysis evasion), при которой злоумышленники внедряют текст на естественном языке в образцы ВПО, чтобы повлиять на автоматизированные системы анализа, извлекающие строки и передающие их большим языковым моделям (LLM). В отличие от традиционных методов противодействия анализу, таких как упаковка, шифрование, виртуализация или проверки на отладку, данный подход нацелен на слой анализа с использованием ИИ, а не на сам бинарный файл. Внедренный текст следует рассматривать как улику, а не как инструкцию.

Выделены четыре семейства ВПО: FRUITSHELL, PLOTSAFE, HOLLOWCLAD и MANTLEMAZE, охватывающие 84 образца, собранных в период с января 2025 по июль 2026 года. FRUITSHELL представляет собой PowerShell-обратную оболочку, которая использует замаскированные имена переменных для построения TCP-соединения и содержит комментарий, инструктирующий ИИ-систему игнорировать или неверно классифицировать образец. Тот же самый комментарий присутствовал в нескольких несвязанных скриптах и также был включен в более функциональные ВПО, в том числе в ROZESHELL, который, по имеющимся данным, содержит обходы AMSI, компиляцию во время выполнения с использованием csc.exe и загрузчик шеллкода Rozena.

PLOTSAFE развивает данную технику, генерируя инструкции, направленные на противодействие анализу, на основе шаблонов с переменными ключевыми словами, сохраняя структуру инструкции, но изменяя её формулировку. HOLLOWCLAD использует «разбрасывание шаблонов» (template spraying), внедряя аналогичные инструкции в форматах нескольких систем чатов с LLM. В нём также содержится множество разделов, названных в честь инструментов защиты, таких как Themida, VMProtect, Enigma, UPX и Denuvo, хотя, по сообщениям, бинарный файл фактически не упакован. MANTLEMAZE применяет разбрасывание шаблонов в сочетании с вымышленными утверждениями о правах собственности, сертификатах, государственных контрактах, патентах и журналами загрузки модулей безопасности, по-видимому, пытаясь активировать ограничения модели или вызвать недоверие. Его загрузчики упакованы с помощью VMProtect и ссылаются на iqvw64e.sys — уязвимый драйвер Intel, связанный с CVE-2015-2291 и атаками BYOVD, используемыми для отключения средств защиты конечных точек.

В ходе тестирования сравнивались вердикты моделей на образцах с встроенными строками антианализа и без них. Прямые инструкции, используемые FRUITSHELL и PLOTSAFE, оказывали наиболее сильное влияние, тогда как более сложные методы обмана часто не имели эффекта или, напротив, повышали уровень подозрительности. В ходе тестирования данные техники направляли результаты в пользу атакующих примерно в 35% запусков, что указывает на непоследовательное, но измеримое воздействие.

#ParsedReport #CompletenessMedium
07-10-2026

The campaign that never stopped: tracking GhostAction from 2025 to 2026

https://blog.gitguardian.com/ghostaction-github-actions-supply-chain-attack-returns/

Report completeness: Medium

Actors/Campaigns:
Ghostaction
Mini_shai-hulud

Threats:
Supply_chain_technique
Shai-hulud
Interactsh_tool
Xmrig_miner

Victims:
Public github repositories, Software development

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.002, T1036, T1048.003, T1053, T1059.004, T1071.001, T1078.004, T1105, T1140, have more...

IOCs:
File: 2
Domain: 4
IP: 2
Url: 1
Coin: 1

Soft:
curl, plesk, DockerHub, Telegram, Slack, Discord, Cloudflare, version, Docker

Crypto:
monero

Algorithms:
xor, base64

Win API:
NAME

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
GhostAction — продолжающаяся кампания в цепочке поставок GitHub, в ходе которой с использованием украденных учетных данных в публичные репозитории внедряются рабочие процессы (workflows), а секреты выгружаются посредством HTTP-запросов POST. В волне 2026 года были скомпрометированы 772 репозитория, при этом из 13 репозиториев успешно похищено 26 секретов. Отдельный майнер XMRig, обнаруженный в образе Docker DevOpsGPT, использовал скомпрометированную учетную запись, однако применял иной набор инструментов, что оставляет вопрос атрибуции неопределенным.
-----

GhostAction — это продолжающаяся кампания в цепочке поставок GitHub, в ходе которой в публичные репозитории внедряется вредоносный workflow с именем `github_actions_security.yml`. В период с 31 августа по 30 сентября 2026 года кампания затронула 772 репозитория, принадлежащих 373 пользователям и организациям, и была направлена на 2 577 секретов. По имеющимся данным, злоумышленник использует украденные учетные данные GitHub, совершая коммиты от имени жертв. Workflow срабатывает при `workflow_dispatch` и при каждом push, определяет имена секретов, на которые ссылаются легитимные workflow, и отправляет их значения в рамках одного HTTP-запроса `curl` POST.

Волна 2026 года использовала конечную точку эксфильтрации `193.32.204.199`, заменив инфраструктуру, ранее связанную с кампанией, в том числе `bold-dhawan.45-139-104-115.plesk.page`, `carte-avantage.com` и `170.39.218.2`. Целевыми данными являлись ключи SSH и учетные данные для развертывания, учетные данные Azure, учетные данные реестра контейнеров, пароли баз данных, ключи AWS, учетные данные FTP, секреты Google Cloud и Firebase, токены GitHub, токены ботов платформ обмена сообщениями, учетные данные Cloudflare, токены реестров пакетов и ключи провайдеров ИИ.

GitHub зафиксировал 3 669 запусков рабочих процессов в 605 репозиториях, однако большинство из них ожидали одобрения. Только 499 запусков были выполнены в 32 репозиториях, из них 336 завершились успешно, что привело к утечке 26 секретов из 13 репозиториев. Поскольку рабочие процессы запускаются при каждом push, многие исполнения были вызваны последующими легитимными коммитами. К 5 октября 2026 года явные признаки эффективной очистки были обнаружены лишь в 124 репозиториях. В 92 случаях злоумышленники обновляли ранее внедренные рабочие процессы, а не добавляли новые, перенаправляя их на более новый конечный узел, что свидетельствует о продолжении кампании между основными волнами атак.

В отчете также задокументирован отдельный криптомайнер XMRig, встроенный в образ Docker DevOpsGPT. Для его работы использовался обфусцированный и упакованный с помощью UPX майнер, конфигурация с шифрованием по алгоритму XOR, скрытый исполняемый файл `/tmp/.hash` и механизм запланированной проверки работоспособности для закрепления. Хотя майнер и активность GhostAction использовали одну и ту же скомпрометированную учетную запись, их инструментарий и поведение различались, поэтому атрибуция действий одному оператору не подтверждается. Кроме того, жертвы GhostAction подвергались атакам со стороны нескольких несвязанных кампаний по майнингу, что указывает на возможное распространение или перепродажу скомпрометированных учетных данных GitHub. В связи с этим, помимо ротации скомпрометированных секретов, необходимо отозвать учетные данные, использовавшиеся для доступа к репозиторию.

#ParsedReport #CompletenessHigh
08-10-2026

Suspected TraderTraitor Group Uses Trojanized Terraform Provider to Deliver Cross-Platform Malware

https://www.zscaler.com/blogs/security-research/suspected-tradertraitor-group-uses-trojanized-terraform-provider-deliver

Report completeness: High

Actors/Campaigns:
Tradertraitor (motivation: information_theft)
Pressure_chollima

Threats:
Gaslight_backdoor
Roofdeck
Dead_drop_technique
Process_injection_technique
Process_hollowing_technique

Victims:
Cryptocurrency industry, Web3 developers, Cloud engineers, Developers

Industry:
Government

Geo:
North korea

TTPs:
Tactics: 3
Technics: 26

IOCs:
File: 10
Domain: 2
Url: 6
Hash: 12

Soft:
macOS, Linux, Pastebin, Node.js, OpenSSL, Telegram, Firefox, Chrome, Chromium, Unix, have more...

Wallets:
metamask, rabby

Algorithms:
aes-256-gcm, aes-256-cbc, base64, zip, aes, xor

Languages:
powershell, python, rust, perl

Platforms:
amd64, x86, cross-platform, apple, arm, intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания TraderTraitor с низкой степенью достоверности нацелилась на разработчиков криптовалют и Web3, используя троянизированный провайдер Terraform, который доставлял бэкдоры FLATROOF и ROOFDECK. ВПО использовала мультиплатформенные загрузчики, зашифрованные полезныe нагрузки, избыточные каналы C2, закрепление, управление системой и файлами, а также встроенные утилиты для кражи данных, нацеленные на данные браузеров, учетные данные, историю терминала и кошельки криптовалют.
-----

В июле 2026 года кампания, с низкой степенью уверенности приписываемая TraderTraitor, нацелилась на разработчиков криптовалют и Web3 посредством троянизированного провайдера Terraform. Злонамеренный бинарный файл на языке Go выдавал себя за провайдер Terraform для AWS и сохранял функциональность провайдера, одновременно вызывая добавленный злонамеренный пакет при загрузке Terraform. Поскольку провайдеры Terraform выполняются на рабочих станциях разработчиков и в системах CI/CD, данная техника потенциально подвергала риску инженеров облачной инфраструктуры и среды разработки.

Провайдер скачивал Bash-загрузчик с именем `safari_updater` с хоста динамической DNS, GitHub или сайта, размещённого на Vercel. Загрузчик поддерживал системы macOS, Linux и Windows, работающие с совместимыми Unix-подобными оболочками, а также несколько архитектур ЦП. Он выбирал имена файлов полезной нагрузки с использованием соответствий между операционной системой и архитектурой, разработанных так, чтобы напоминать веб-шрифты. Полезные нагрузки добавлялись к приманочным файлам `.woff` после маркера `@@ENDFONT@@`. Загрузчик извлекал, декодировал из Base64 и расшифровывал встроенный исполняемый файл с использованием AES-256-CBC и ключа `PTa3WZPQZAjj55t@`, полагаясь на Python, Node.js, Perl или OpenSSL, если они были доступны. На macOS он удалял метаданные карантина и применял ad hoc-подпись перед выполнением.

Поставленный бэкдор FLATROOF был написан на языке Rust и использовал PBKDF2-HMAC-SHA256 и AES-256-GCM для расшифровки своей конфигурации. Он поддерживал избыточные каналы управления через Телеграм, опрос GitHub API и HTTP-вебхук. Набор команд включал изучение хоста и процессов, выполнение команд, файловые операции, загрузку и выгрузку полезной нагрузки, управление закреплением, изменение конфигурации и самоудаление. Механизмы закрепления включали службу Linux, механизм завершения сеанса в оболочке macOS и значение Run в реестре Windows.

Встроенные стиллеры на Python собирали базы данных браузеров, файлы cookie, учетные данные, историю, историю терминала и оболочки, список установленных приложений, запущенные процессы, системную информацию, имена пользователей и данные расширений криптокошельков. Стиллер для Windows также использовал декодированный нативный payload для извлечения мастер-ключей браузеров из приостановленного процесса Chromium и включал инструмент для копирования файлов cookie в случае, если обычный доступ к базе данных не удавался.

ROOFDECK обеспечивал дополнительное закрепление на Windows и macOS. Он определял адрес C2 из локального файла, подписанного и зашифрованного документа Pastebin или метаданных профиля Nostr. После проверки адреса он взаимодействовал по протоколам HTTP и WebSocket и поддерживал выполнение команд в оболочке, создание обратных шеллов, операции с файловой системой, доступ к буферу обмена, управление закреплением, передачу файлов, изменение конфигурации, обновления и самоуничтожение.

#ParsedReport #CompletenessHigh
07-10-2026

Blacknet-00 Ransomware: Threat Actor Profile - Barricade Cyber Solutions

https://barricadecyber.com/blacknet-00-ransomware/

Report completeness: High

Actors/Campaigns:
Infrastructure_destruction_squad
Cartelcorp

Threats:
Blacknet-00
Trk-25_tool
Shadow_ghost_tool
Blacknet-corporate-breach-hunter_tool

Victims:
Government, Military, Financial services, Aviation manufacturing, Legal services, Industrial control systems, Utilities, Power plant, University

Industry:
Ics, Financial, Government, Military, Aerospace, Education

Geo:
Africa, Canada, United states, Asia, Middle east

CVEs:
CVE-2018-14847 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- mikrotik routeros (le6.42)

CVE-2016-6366 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- cisco pix_firewall_software (-)

CVE-2026-94127 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- f5 big-ip_access_policy_manager (le17.1.3, le17.5.1, 21.1.0)

CVE-2017-5638 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- apache struts (<2.3.32, <2.5.10.1)


TTPs:
Tactics: 3
Technics: 6

IOCs:
File: 1
Hash: 3

Soft:
Apache Struts, Apache Struts2, Telegram, BIG-IP

Algorithms:
rsa-2048, md5, aes-256, xor, sha256, sha1

Languages:
python, java

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Blacknet00 — хакер с низким уровнем технической подготовки, эксплуатирующий устаревшие уязвимости, открытые сервисы управления, слабые учетные данные и неправильно настроенное облачное хранилище. Его инструменты нацелены на промышленные системы и открытую инфраструктуру, а его программное обеспечение для шифрования с выкупом использует слабое шифрование XOR и, вероятно, поддаётся расшифровке; многие заявленные атаки остаются неподтвержденными или преувеличенными.
-----

Blacknet00, также известная как Infrastructure Destruction Squad, представляет собой операцию киберкриминала с низким уровнем изощренности, связанную с заявлениями о краже данных, использованием программ-вымогателей, нацеливанием на системы промышленного управления и эксплуатацией уязвимостей. В число предполагаемых жертв актора входят организации из государственных, военных, финансовых, промышленных и коммунальных секторов в различных регионах, однако сообщаемые инциденты не были независимо подтверждены, а часть доказательств выглядит как сфабрикованная, повторно использованная или основанная на доступе к единственному уязвимому устройству, а не на полной компрометации сети.

Актор в значительной степени полагается на устаревшие уязвимости и открытые сервисы управления. Его рекламируемый эксплойт для Apache Struts2 CVE-2017-5638 обеспечивает Удаленное Выполнение Кода без аутентификации и, по утверждению, поддерживает выполнение команд, доступ к конфиденциальным файлам, обнаружение учетных данных базы данных, закрепление и создание бэкдора. Среди других упомянутых уязвимостей — MikroTik RouterOS CVE-2018-14847 и другие недостатки устаревших периметровых устройств. Blacknet00 также нацеливается на открытые в интернет интерфейсы администрирования маршрутизаторов и межсетевых экранов, SNMP, службы удаленного рабочего стола, слабые учетные данные, а также неправильно настроенное облачное или Firebase-хранилище.

TRK25 ADVANCED SCADA — это инструмент промышленной атаки на базе Python, связанный с данным актором. Его функциональные возможности включают команды Modbus, изменяющие значения программируемых логических контроллеров, команды Siemens S7, способные остановить контроллер, обнаружение промышленных протоколов, определение типа устройства (fingerprinting) и наводнение для отказа в обслуживании. Ряд заявленных функций не работает, в том числе аутентификация удаленного рабочего стола, захват скриншотов, дефейс экрана и некоторые функции сканирования. Настройка прокси не направляет трафик через прокси, что потенциально может раскрыть фактический исходный адрес оператора. Соответствующие артефакты включают файлы отчетов и сканирования, скриншоты, установку PyQt5, Pillow и requests, а также строки, такие как «TRK25 ADVANCED SCADA» и «BLACKNET-00».

Сканер SHADOW-GHOST поддерживает разведку портов, веб-ресурсов, уязвимостей, CMS, SSL, баннеров, облачного хранилища и Firebase, формируя рабочий процесс для выявления систем и данных, доступных извне. Вымогатель BLACKNET-00 использует XOR с повторяющимся ключом, а не заявленное шифрование RSA/AES, добавляет расширение `.blacknet` и создает файл `READ_ME_BLACKNET.txt`. Его шифрование, как правило, обратимо посредством статистического восстановления ключа, что позволяет, вероятно, восстановить файлы без выплаты выкупа. Приоритеты в области защиты включают обновление уязвимостей в приложениях, доступных из интернета, удаление служб управления и ICS из публичного интернета, смену учетных данных по умолчанию, сегментацию сетей управления, защиту облачных хранилищ, а также мониторинг эксплуатации уязвимостей Struts, несанкционированного доступа к службам управления и аномальных команд промышленного управления.

#ParsedReport #CompletenessMedium
08-10-2026

Warden Stealer: The Rapid Rise of an Infostealer with an Appetite for AI Agent Data

https://www.gendigital.com/blog/insights/research/warden-stealer-rust-infostealer-analysis

Report completeness: Medium

Threats:
Warden_stealer
Vidar_stealer
Amatera_stealer
Remus
Clickfix_technique
Goflateloader
Bloat_technique
Sandbox_evasion_technique

Victims:
Ai assistants, Agentic coding tools, Chromium based browsers, Gecko based browsers, Cryptocurrency wallet extensions, Messengers, Password managers, 2fa tools, Vpn clients

Geo:
Russian

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1012, T1027, T1027.001, T1027.009, T1027.013, T1033, T1041, T1055, T1055.002, have more...

IOCs:
Hash: 21
File: 8
Path: 3
Command: 2
Domain: 50

Soft:
Claude, Codex, VirtualBox, Xen, QEMU, Chromium

Wallets:
tron

Crypto:
bitcoin, ethereum, monero, solana, litecoin, cardano

Algorithms:
sha256, xor, lznt1, base64

Win API:
FindWindowA, GetWindowThreadProcessId, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread, RtlGetCurrentPeb, LoadLibraryA, GetProcAddress, GetSystemFirmwareTable, EnumDisplayDevicesW, have more...

Win Services:
bits

Languages:
rust

Platforms:
apple

Links:
have more...
https://github.com/chromium/chromium/blob/2e22ca200ff2c2c2606e345b0ec880339b6bfa73/components/os\_crypt/async/common/encryptor.h#L121
https://chromium.googlesource.com/external/github.com/llvm/llvm-project/libcxx/+/97b436da4c33663581d394f4ee0a5977fc38c2f4/include/\_\_vector/layout.h#82
https://github.com/vojtechkrejsa/ioc/blob/master/WardenStealer/extras/warden\_stealer\_configuration.bin

#ParsedReport #ExtractedSchema

Classified images:
code: 7, windows: 2, dump: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Warden Stealer — это стиллер для Windows, работающий по модели ВПО как услуга и написанный на языке Rust, нацеленный на системы с операционными системами Windows 8–11. Он собирает данные браузеров, учетные данные, криптокошельки, информацию о 2FA и VPN, файлы, а также конфиденциальные данные из ИИ-ассистентов и инструментов для программирования. Его загрузчик использует инъекции и выполнение DLL, уклоняется от анализа и виртуализации, расшифровывает данные Chromium, взаимодействует с C2 по протоколу HTTPS и поддерживает динамические правила сбора, выполнение полезной нагрузки и криптоклиппинг.
-----

Целится в локальные данные Claude, Codex, Grok, Cursor и других ИИ-ассистентов или агентов для программирования, включая токены, учетные данные MCP, промпты, диалоги и данные проектов.

Внедряет свою реконструированную DLL стиллера в процесс explorer.exe с помощью функций VirtualAllocEx, WriteProcessMemory и CreateRemoteThread.

Обход шифрования, привязанного к приложению Chromium, путём сканирования памяти браузера в поисках метки ключа «v20» и внедрения шеллкода для вызова CryptUnprotectMemory.

Использует собственное кодирование, похожее на Base64, декомпрессию в стиле LZSS, крупные PE-оверлеи и сильно обфусцированный код на Rust для уклонения от анализа и обнаружения.

Останавливает сбор данных после обнаружения гипервизоров по идентификаторам CPUID, программному обеспечению виртуализации или именам дисплейных адаптеров.

Получает динамические правила сбора данных от C2 и загружает украденные данные партиями по HTTPS, используя бинарный протокол с XOR-обфускацией и сжатием LZNT1.

Может загружать и выполнять дополнительные полезныe нагрузки (payloads) с помощью certutil.exe и выполнения через COM-объект Shell.Application.

Включает криптографический клиппер, который заменяет скопированные адреса кошельков в нескольких сетях криптовалют.

#ParsedReport #CompletenessLow
07-10-2026

Android/RewaFake: Uncovering a Large-Scale Fake Apps Adware Campaign on Google Play

https://www.mcafee.com/blogs/other-blogs/mcafee-labs/malicious-apps-google-play-store-adware-campaign/

Report completeness: Low

Actors/Campaigns:
Rewafake

Victims:
Financial services, Gaming, Media and entertainment, Mobile application users

Industry:
Transport, Financial

Geo:
United states, India, Russia

ChatGPT TTPs:
do not use without manual check
T1036, T1071.001, T1204.002, T1587.001

IOCs:
Hash: 24
Url: 1

Soft:
Google Play, android, CapCut, Roblox, iMessage, Minecraft, Appstore, Chrome

Crypto:
binance

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Android/RewaFake использовал более 1900 приложений-имперсонаций в Google Play, чтобы достичь более чем 500 000 устройств. Эти приложения выступали в роли брендированных перенаправителей, тайно открывая в скрытых браузерах страницы азартных игр, рекламы, подписок или потенциальные фишинговые страницы, управляемые удаленно. Операторы быстро меняли бренды и учетные записи разработчиков, чтобы уклоняться от обнаружения и использовать доверенное распространение через магазины приложений.
-----

Кампания Android/RewaFake включала более 1 900 поддельных приложений, распространявшихся через Google Play и установленных на более чем 500 000 устройств в свыше 190 странах. Наибольшая концентрация затронутых пользователей наблюдалась в Индии, России и Соединенных Штатах. По имеющимся данным, операторы выпускали примерно 20–25 новых приложений в день, используя различные учетные записи разработчиков, темы, бренды и цели имперсонации, чтобы уклоняться от обнаружения и перехватывать поисковый трафик.

Приложения имитировали популярные сервисы и продукты, в том числе CapCut, Roblox, Netflix, PayPal, Zelle, Apple Pay, Binance, банковские сервисы, Siri, iMessage, Huawei Health и Xbox Game Pass. Некоторые из них были нацелены на сервисы, у которых нет легитимного приложения для Android, такие как App Store, Siri, iMessage, FaceTime и Apple Pay от Apple, либо на сервисы, не имеющие отдельного потребительского приложения, такие как Zelle. Приложения использовали общую кодовую базу, демонстрировали схожее поведение и обращались к одной и той же удаленной инфраструктуре.

Каждое приложение функционировало преимущественно как брендированная оболочка, содержащая перенаправлятор, а не как легитимная реализация имитируемого сервиса. При запуске приложение получало блок конфигурации с сервера. Поле `qureka_url` определяло адрес назначения, который открывался во встроенном браузере или в Chrome Custom Tab с скрытой адресной строкой. Наблюдаемые адреса назначения вели к викторинам в стиле азартных игр, рекламным воронкам и страницам, запрашивающим данные платежных карт для якобы бесплатных пробных периодов, которые могли привести к регулярным списаниям средств в размере до 49,99 долл. США в месяц. Адрес назначения, управляемый сервером, мог быть изменен без обновления приложения или повторной проверки в магазине приложений, что создавало возможность, которая также могла использоваться для проведения фишинга или кражи учетных данных.

Приложения, как правило, не запрашивали опасных разрешений и не использовали эксплойты, повышение привилегий, рутинг, динамическую загрузку кода, зашифрованные полезную нагрузку, обфускацию или цепочки дропперов. Их основная угроза проистекала из Имперсонации, обманный дистрибуции через официальный магазин приложений, скрытой навигации в браузере и удалённо управляемого перенаправления на страницы мошеннической рекламы и подписок. Google удалил выявленные приложения после их сообщения.

#ParsedReport #CompletenessHigh
09-10-2026

GhostAction Attack Escalates By Targeting GitHub Users

https://opensourcemalware.com/blog/ghostaction-attack-escalates

Report completeness: High

Actors/Campaigns:
Ghostaction

Threats:
Supply_chain_technique
Devopsgpt_tool
Xmrig_miner

Victims:
Github users, Gitlab users, Software development sector, Open source projects

Geo:
Hong kong, Turkey

TTPs:
Tactics: 8
Technics: 10

IOCs:
Url: 5
Domain: 11
IP: 3
File: 6
Hash: 1
Coin: 1

Soft:
nginx, Cloudflare, Ubuntu, OpenSSH, curl, Anthropic, OpenAI, Slack, SendGrid, plesk, have more...

Algorithms:
sha256, xor

Functions:
InternetDB

Win API:
NAME

Languages:
rust, python