CTT Report Hub
#ParsedReport #CompletenessHigh 04-10-2026 NetScaler checker for CTX697096, CTX697174 and CTX697191 https://github.com/ThomasPoppelgaard/netscaler-ctx697096-checker Report completeness: High Threats: Sliver_c2_tool Slapshot Notrobin Platypus Gsocket_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В отчете представлен инструмент проверки в режиме только для чтения, предназначенный для выявления уязвимых конфигураций Citrix NetScaler ADC/Gateway и возможных признаков компрометации, связанных с несколькими CVE. В нем рассматриваются эксплуатируемые уязвимости Удаленного Выполнения Кода, сбои и повреждения памяти, связанные с SAML, предсказание TCP ISN, риски конфигурации, а также локальные индикаторы, такие как веб-шеллы, закрепление, вредоносные процессы и подозрительные записи в журналах.
-----
В отчёте описан инструмент проверки только для чтения на основе POSIX-оболочки для уязвимостей Citrix NetScaler ADC и NetScaler Gateway, описанных в бюллетенях CTX697096, CTX697174 и CTX697191. Он оценивает текущую сборку, конфигурацию, административные разделы, роли SAML, функцию Enhanced ISN Generation, риски обновления и известные условия экспозиции. Инструмент может выполняться непосредственно на устройстве или по отношению к экспортированному файлу `ns.conf`; проверки на компрометацию требуют локального доступа к устройству.
Уязвимости CVE-2026-88771 и CVE-2026-88772 представляют собой уязвимости Удаленного Выполнения Кода, эксплуатируемые в реальных атаках и включенные в каталог KEV CISA. Для эксплуатации CVE-2026-88772 требуется доступность DTLS, тогда как CVE-2026-88771 имеет широкую область применения и связана с внедрением в журналы или механизмы аутентификации, что приводит к выполнению команд. CVE-2026-88778 касается предсказания начального номера последовательности TCP (TCP ISN) в тех случаях, когда существуют виртуальные серверы TCP без функции Enhanced ISN Generation. CVE-2026-88779 затрагивает устройства, настроенные с использованием `samlAction` или `samlIdPProfile`, из-за чего специально сформированные SAML-запросы приводят к аварийному завершению работы процесса `nsaaad` и потенциально к перезапуску устройства. CVE-2026-107406 — это критическая уязвимость переполнения памяти в SAML, которая может привести к удаленному выполнению кода или отказу в обслуживании. В некоторых сборках, уже исправленных в соответствии с предыдущими бюллетенями, данная уязвимость по-прежнему затрагивает провайдеров идентификации SAML.
Рекомендуемые исправленные версии — 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS и 13.1-37.283 FIPS/NDcPP, которые содержат все три исправления, описанные в бюллетене. Временные меры по смягчению рисков, связанные с SAML, включают сигнатуры Citrix Global Deny List или политики responder, однако они не заменяют обновление до указанных версий.
Локальный поиск IoC выявляет веб-шеллы, вредоносный код на PHP или в shell, изменённую конфигурацию Apache, подозрительные файлы с флагом setuid, механизмы закрепления, импланты, украденные конфигурационные файлы или закрытые ключи, вредоносные процессы, соединения C2, файлы полезной нагрузки и попытки эксплуатации уязвимостей, зафиксированные в журналах. Также анализируются признаки сбоев SAML, неудачные попытки входа в публичные системы управления, подозрительные HTTP-запросы, история команд в shell и известная инфраструктура атакующих. Результаты позволяют различить уязвимые сборки, целенаправленную активность, возможную эксплуатацию уязвимостей после применения исправлений и подтверждённую компрометацию. Чистый результат не является доказательством отсутствия компрометации, поскольку журналы могут быть неполными, а индикаторы — эволюционировать. До перезагрузки или обновления системы необходимо сохранить доказательства и выполнить официальный скан IoC от Citrix.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В отчете представлен инструмент проверки в режиме только для чтения, предназначенный для выявления уязвимых конфигураций Citrix NetScaler ADC/Gateway и возможных признаков компрометации, связанных с несколькими CVE. В нем рассматриваются эксплуатируемые уязвимости Удаленного Выполнения Кода, сбои и повреждения памяти, связанные с SAML, предсказание TCP ISN, риски конфигурации, а также локальные индикаторы, такие как веб-шеллы, закрепление, вредоносные процессы и подозрительные записи в журналах.
-----
В отчёте описан инструмент проверки только для чтения на основе POSIX-оболочки для уязвимостей Citrix NetScaler ADC и NetScaler Gateway, описанных в бюллетенях CTX697096, CTX697174 и CTX697191. Он оценивает текущую сборку, конфигурацию, административные разделы, роли SAML, функцию Enhanced ISN Generation, риски обновления и известные условия экспозиции. Инструмент может выполняться непосредственно на устройстве или по отношению к экспортированному файлу `ns.conf`; проверки на компрометацию требуют локального доступа к устройству.
Уязвимости CVE-2026-88771 и CVE-2026-88772 представляют собой уязвимости Удаленного Выполнения Кода, эксплуатируемые в реальных атаках и включенные в каталог KEV CISA. Для эксплуатации CVE-2026-88772 требуется доступность DTLS, тогда как CVE-2026-88771 имеет широкую область применения и связана с внедрением в журналы или механизмы аутентификации, что приводит к выполнению команд. CVE-2026-88778 касается предсказания начального номера последовательности TCP (TCP ISN) в тех случаях, когда существуют виртуальные серверы TCP без функции Enhanced ISN Generation. CVE-2026-88779 затрагивает устройства, настроенные с использованием `samlAction` или `samlIdPProfile`, из-за чего специально сформированные SAML-запросы приводят к аварийному завершению работы процесса `nsaaad` и потенциально к перезапуску устройства. CVE-2026-107406 — это критическая уязвимость переполнения памяти в SAML, которая может привести к удаленному выполнению кода или отказу в обслуживании. В некоторых сборках, уже исправленных в соответствии с предыдущими бюллетенями, данная уязвимость по-прежнему затрагивает провайдеров идентификации SAML.
Рекомендуемые исправленные версии — 14.1-73.46, 13.1-64.29, 14.1-73.46 FIPS и 13.1-37.283 FIPS/NDcPP, которые содержат все три исправления, описанные в бюллетене. Временные меры по смягчению рисков, связанные с SAML, включают сигнатуры Citrix Global Deny List или политики responder, однако они не заменяют обновление до указанных версий.
Локальный поиск IoC выявляет веб-шеллы, вредоносный код на PHP или в shell, изменённую конфигурацию Apache, подозрительные файлы с флагом setuid, механизмы закрепления, импланты, украденные конфигурационные файлы или закрытые ключи, вредоносные процессы, соединения C2, файлы полезной нагрузки и попытки эксплуатации уязвимостей, зафиксированные в журналах. Также анализируются признаки сбоев SAML, неудачные попытки входа в публичные системы управления, подозрительные HTTP-запросы, история команд в shell и известная инфраструктура атакующих. Результаты позволяют различить уязвимые сборки, целенаправленную активность, возможную эксплуатацию уязвимостей после применения исправлений и подтверждённую компрометацию. Чистый результат не является доказательством отсутствия компрометации, поскольку журналы могут быть неполными, а индикаторы — эволюционировать. До перезагрузки или обновления системы необходимо сохранить доказательства и выполнить официальный скан IoC от Citrix.
#ParsedReport #CompletenessMedium
09-10-2026
WinLol: A Multi-Stage Rust Dropper Delivering a WebRTC Remote Desktop RAT
https://hatching.io/blog/triage-insights-ep5-short/
Report completeness: Medium
Threats:
Winlol
Motw_bypass_technique
Webrtc_technique
Uac_bypass_technique
Dll_sideloading_technique
Victims:
Gamers
Geo:
Chinese
TTPs:
IOCs:
File: 8
Hash: 18
Domain: 3
IP: 3
Soft:
WebRTC
Algorithms:
sha256, xor, base64
Win API:
ShellExecuteA
Languages:
rust
09-10-2026
WinLol: A Multi-Stage Rust Dropper Delivering a WebRTC Remote Desktop RAT
https://hatching.io/blog/triage-insights-ep5-short/
Report completeness: Medium
Threats:
Winlol
Motw_bypass_technique
Webrtc_technique
Uac_bypass_technique
Dll_sideloading_technique
Victims:
Gamers
Geo:
Chinese
TTPs:
IOCs:
File: 8
Hash: 18
Domain: 3
IP: 3
Soft:
WebRTC
Algorithms:
sha256, xor, base64
Win API:
ShellExecuteA
Languages:
rust
hatching.io
Hatching - Automated malware analysis solutions
Automated malware analysis with Hatching Triage, the high-volume sandbox solution for SOCs, CERTs, SOARs, and MSSPs.
CTT Report Hub
#ParsedReport #CompletenessMedium 09-10-2026 WinLol: A Multi-Stage Rust Dropper Delivering a WebRTC Remote Desktop RAT https://hatching.io/blog/triage-insights-ep5-short/ Report completeness: Medium Threats: Winlol Motw_bypass_technique Webrtc_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
WinLol — это многоэтапный набор инструментов ВПО, использующий проверки на антианализ, подмену DLL через OneDrive, закрепление, изменения в настройках брандмауэра и обход UAC для развертывания удаленного RAT на базе Go, обеспечивающего доступ к рабочему столу. Агент маскируется под подписанный процесс Microsoft и транслирует экран жертвы через WebRTC, а также поддерживает сокрытие процессов, запуск сессий и инъекцию DLL.
-----
WinLol — это четырехэтапный набор вредоносных инструментов (malware toolkit), обеспечивающий доставку RDP-трояна (RAT) на базе Go. Цепочка заражения начинается с 64-битного дроппера на Rust размером 5,9 МБ, за которым следует загрузчик на C, работающий в оперативной памяти, вредоносный файл `version.dll`, внедряемый методом sideloading через скопированный легитимный исполняемый файл OneDrive, и агент на Go с именем `RiotClientServices.exe`.
Перед продолжением работы дроппер выполняет проверки на наличие средств анализа, включая тест времени отклика длительностью 500 мс, проверку имени пользователя и пути к профилю на наличие строки `abby`, а также сравнение заголовков HTTP `Date` в запросах с задержкой для обнаружения песочниц, ускоряющих функции сна. Кроме того, он запрашивает у каждого настроенного C2-сервера файл `/payload.txt` и продолжает выполнение только в том случае, если ответ начинается с `ok`, что предоставляет оператору серверный механизм аварийного отключения (kill switch). Конфигурация C2 шифруется с помощью XOR в ресурсе, а подгружаемая DLL хранится во встроенной базе данных SQLite и шифруется индивидуально.
Дроппер находит существующую установку OneDrive, копирует `OneDrive.exe` в `%TEMP%`, расшифровывает и записывает вредоносный `version.dll` рядом с ним, а также загружает следующий этап в виде шеллкода в памяти. Загрузчик получает RAT с пути `/download-agent`, сохраняет его под именем `RiotClientServices.exe`, устанавливает ключ запуска `RiotAgent` в реестре для закрепления, добавляет входящее правило брандмауэра, разрешающее все соединения, удаляет метаданные Mark-of-the-Web и запускает скопированный исполняемый файл OneDrive. Кроме того, он пытается обойти UAC с помощью компонента `CMSTPLUA`, работающего с повышенными правами, чтобы агент мог выполняться с правами администратора.
При загрузке OneDrive подгружаемая DLL перенаправляет функции легитимной библиотеки версий в системную DLL, а затем, после небольшой задержки, запускает RAT в виде скрытого дочернего процесса. Благодаря этому RAT отображается в дереве процессов как дочерний процесс подписанного бинарного файла Microsoft.
Финальный агент на Go использует WebRTC для захвата и потоковой передачи рабочего стола жертвы. Захват осуществляется через DXGI, кодирование видео выполняется с помощью x264 или NVIDIA NVENC, а обмен сигнализацией WebRTC и данными ICE происходит через WebSockets. Оператор предоставляет инфраструктуру STUN/TURN и учетные данные через `/api/rtc/ice-config`. Имплант поддерживает сокрытие процессов, запуск сессий и инъекцию DLL, однако наблюдаемый поток WebRTC доступен только для просмотра и не обеспечивает управления клавиатурой или мышью.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
WinLol — это многоэтапный набор инструментов ВПО, использующий проверки на антианализ, подмену DLL через OneDrive, закрепление, изменения в настройках брандмауэра и обход UAC для развертывания удаленного RAT на базе Go, обеспечивающего доступ к рабочему столу. Агент маскируется под подписанный процесс Microsoft и транслирует экран жертвы через WebRTC, а также поддерживает сокрытие процессов, запуск сессий и инъекцию DLL.
-----
WinLol — это четырехэтапный набор вредоносных инструментов (malware toolkit), обеспечивающий доставку RDP-трояна (RAT) на базе Go. Цепочка заражения начинается с 64-битного дроппера на Rust размером 5,9 МБ, за которым следует загрузчик на C, работающий в оперативной памяти, вредоносный файл `version.dll`, внедряемый методом sideloading через скопированный легитимный исполняемый файл OneDrive, и агент на Go с именем `RiotClientServices.exe`.
Перед продолжением работы дроппер выполняет проверки на наличие средств анализа, включая тест времени отклика длительностью 500 мс, проверку имени пользователя и пути к профилю на наличие строки `abby`, а также сравнение заголовков HTTP `Date` в запросах с задержкой для обнаружения песочниц, ускоряющих функции сна. Кроме того, он запрашивает у каждого настроенного C2-сервера файл `/payload.txt` и продолжает выполнение только в том случае, если ответ начинается с `ok`, что предоставляет оператору серверный механизм аварийного отключения (kill switch). Конфигурация C2 шифруется с помощью XOR в ресурсе, а подгружаемая DLL хранится во встроенной базе данных SQLite и шифруется индивидуально.
Дроппер находит существующую установку OneDrive, копирует `OneDrive.exe` в `%TEMP%`, расшифровывает и записывает вредоносный `version.dll` рядом с ним, а также загружает следующий этап в виде шеллкода в памяти. Загрузчик получает RAT с пути `/download-agent`, сохраняет его под именем `RiotClientServices.exe`, устанавливает ключ запуска `RiotAgent` в реестре для закрепления, добавляет входящее правило брандмауэра, разрешающее все соединения, удаляет метаданные Mark-of-the-Web и запускает скопированный исполняемый файл OneDrive. Кроме того, он пытается обойти UAC с помощью компонента `CMSTPLUA`, работающего с повышенными правами, чтобы агент мог выполняться с правами администратора.
При загрузке OneDrive подгружаемая DLL перенаправляет функции легитимной библиотеки версий в системную DLL, а затем, после небольшой задержки, запускает RAT в виде скрытого дочернего процесса. Благодаря этому RAT отображается в дереве процессов как дочерний процесс подписанного бинарного файла Microsoft.
Финальный агент на Go использует WebRTC для захвата и потоковой передачи рабочего стола жертвы. Захват осуществляется через DXGI, кодирование видео выполняется с помощью x264 или NVIDIA NVENC, а обмен сигнализацией WebRTC и данными ICE происходит через WebSockets. Оператор предоставляет инфраструктуру STUN/TURN и учетные данные через `/api/rtc/ice-config`. Имплант поддерживает сокрытие процессов, запуск сессий и инъекцию DLL, однако наблюдаемый поток WebRTC доступен только для просмотра и не обеспечивает управления клавиатурой или мышью.
#ParsedReport #CompletenessLow
09-10-2026
New GhostAction Wave Hits Hundreds of Repos, Expanding Beyond CI/CD Secrets to Cloud Credentials
https://socket.dev/blog/ghostaction-cloud-credentials
Report completeness: Low
Actors/Campaigns:
Ghostaction
Threats:
Supply_chain_technique
Victims:
Github repositories, Software supply chain, Cloud credential holders, Ai service credential holders
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1005, T1059.004, T1071.001, T1078, T1119, T1552.001
IOCs:
Url: 2
IP: 1
Domain: 0
Hash: 0
Email: 0
BrowserExtension: 0
Soft:
curl, Anthropic, OpenAI, Slack, SendGrid
Languages:
rust, python
Links:
09-10-2026
New GhostAction Wave Hits Hundreds of Repos, Expanding Beyond CI/CD Secrets to Cloud Credentials
https://socket.dev/blog/ghostaction-cloud-credentials
Report completeness: Low
Actors/Campaigns:
Ghostaction
Threats:
Supply_chain_technique
Victims:
Github repositories, Software supply chain, Cloud credential holders, Ai service credential holders
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1059.004, T1071.001, T1078, T1119, T1552.001
IOCs:
Url: 2
IP: 1
Domain: 0
Hash: 0
Email: 0
BrowserExtension: 0
Soft:
curl, Anthropic, OpenAI, Slack, SendGrid
Languages:
rust, python
Links:
https://github.com/henrywoohttps://github.com/kitaosocket.dev
New GhostAction Wave Hits Hundreds of Repos, Expanding Beyond CI/CD Secrets to Cloud Credentials
A new GhostAction wave hits hundreds of GitHub repos, expanding CI/CD secret theft to cloud and AI credentials in source code and git history.
CTT Report Hub
#ParsedReport #CompletenessLow 09-10-2026 New GhostAction Wave Hits Hundreds of Repos, Expanding Beyond CI/CD Secrets to Cloud Credentials https://socket.dev/blog/ghostaction-cloud-credentials Report completeness: Low Actors/Campaigns: Ghostaction Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания GhostAction привела к компрометации сотен репозиториев GitHub путем внедрения вредоносного рабочего процесса GitHub Actions с использованием украденных учетных данных администраторов. Данный рабочий процесс выполнял поиск в текущих файлах, ветках, тегах и истории Git секретов облачных сервисов, ИИ, инструментов совместной работы, пакетов и GitHub, после чего выгружал их на адрес `193.32.204[.\]199/?c=monami`, создавая риски для цепочки поставок в репозиториях, содержащих учетные данные для публикации.
-----
Новая кампания GhostAction привела к компрометации сотен репозиториев GitHub путем внедрения вредоносного рабочего процесса GitHub Actions с использованием украденных учетных данных администраторов. Рабочий процесс был обнаружен в 346 репозиториях, в том числе в 318 репозиториях в пространстве имен `henrywoo`, 27 в `kitao`, а также в `uber/athenadriver`. Активность фиксировалась в короткие автоматизированные временные интервалы и затрагивала как неактивные репозитории, так и их форки, что указывает на массовый перебор репозиториев, а не на целенаправленный выбор целей. Рабочий процесс сохранялся на затронутых ветках по умолчанию и успешно выполнялся.
Кампания сохраняет исходную возможность GhostAction по извлечению секретов GitHub Actions, включая учетные данные для публикации пакетов и персональные токены доступа. Внедренный рабочий процесс также вводит более широкий функционал сбора учетных записей. Он выполняет полную выгрузку с параметром `fetch-depth: 0`, а затем ищет учетные данные в рабочем дереве, а также во всех доступных ветках и тегах. С помощью команды `git log -p --all` он также просматривает историю репозитория в поисках секретов, которые разработчики могли удалить из текущей ветки, но которые остались в достижимых коммитах, устаревших ветках или тегах.
Новый полезный груз использует регулярные выражения для идентификации учетных данных облачных, ИИ-, коллаборативных и пакетных сервисов, включая идентификаторы ключей доступа AWS, ключи Google или Firebase, токены Slack, ключи SendGrid, а также учетные данные, связанные с такими сервисами, как Anthropic, OpenAI и OpenRouter. Контекст вокруг идентификаторов `AKIA` и `ASIA` собирается для помощи в восстановлении полных пар ключей AWS, включая секретные ключи доступа, хранящиеся поблизости в конфигурационных файлах или файлах окружения. Собранная данные объединяется со значениями секретов GitHub Actions и отправляется методом HTTP POST на управляемый злоумышленником конечный пункт `193.32.204[.\]199/?c=monami`.
К числу высокоценных целей относились репозитории, содержащие учетные данные для публикации пакетов в PyPI и crates.io, что создавало потенциальный риск для цепочки поставок через несанкционированный выпуск пакетов. На момент подготовки отчета вредоносные версии пакетов не были обнаружены. Вилки репозиториев также уязвимы, поскольку активация Actions и отправка изменений позволяют выполнять рабочие процессы на основе собственных файлов и истории каждой вилки. Организациям следует рассматривать завершившиеся запуски рабочих процессов как возможную эксфильтрацию, отзывать и заменять скомпрометированные учетные данные, проверять историю выпусков пакетов, анализировать активность GitHub Actions и изучать журналы AWS на предмет подозрительного использования скомпрометированных ключей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания GhostAction привела к компрометации сотен репозиториев GitHub путем внедрения вредоносного рабочего процесса GitHub Actions с использованием украденных учетных данных администраторов. Данный рабочий процесс выполнял поиск в текущих файлах, ветках, тегах и истории Git секретов облачных сервисов, ИИ, инструментов совместной работы, пакетов и GitHub, после чего выгружал их на адрес `193.32.204[.\]199/?c=monami`, создавая риски для цепочки поставок в репозиториях, содержащих учетные данные для публикации.
-----
Новая кампания GhostAction привела к компрометации сотен репозиториев GitHub путем внедрения вредоносного рабочего процесса GitHub Actions с использованием украденных учетных данных администраторов. Рабочий процесс был обнаружен в 346 репозиториях, в том числе в 318 репозиториях в пространстве имен `henrywoo`, 27 в `kitao`, а также в `uber/athenadriver`. Активность фиксировалась в короткие автоматизированные временные интервалы и затрагивала как неактивные репозитории, так и их форки, что указывает на массовый перебор репозиториев, а не на целенаправленный выбор целей. Рабочий процесс сохранялся на затронутых ветках по умолчанию и успешно выполнялся.
Кампания сохраняет исходную возможность GhostAction по извлечению секретов GitHub Actions, включая учетные данные для публикации пакетов и персональные токены доступа. Внедренный рабочий процесс также вводит более широкий функционал сбора учетных записей. Он выполняет полную выгрузку с параметром `fetch-depth: 0`, а затем ищет учетные данные в рабочем дереве, а также во всех доступных ветках и тегах. С помощью команды `git log -p --all` он также просматривает историю репозитория в поисках секретов, которые разработчики могли удалить из текущей ветки, но которые остались в достижимых коммитах, устаревших ветках или тегах.
Новый полезный груз использует регулярные выражения для идентификации учетных данных облачных, ИИ-, коллаборативных и пакетных сервисов, включая идентификаторы ключей доступа AWS, ключи Google или Firebase, токены Slack, ключи SendGrid, а также учетные данные, связанные с такими сервисами, как Anthropic, OpenAI и OpenRouter. Контекст вокруг идентификаторов `AKIA` и `ASIA` собирается для помощи в восстановлении полных пар ключей AWS, включая секретные ключи доступа, хранящиеся поблизости в конфигурационных файлах или файлах окружения. Собранная данные объединяется со значениями секретов GitHub Actions и отправляется методом HTTP POST на управляемый злоумышленником конечный пункт `193.32.204[.\]199/?c=monami`.
К числу высокоценных целей относились репозитории, содержащие учетные данные для публикации пакетов в PyPI и crates.io, что создавало потенциальный риск для цепочки поставок через несанкционированный выпуск пакетов. На момент подготовки отчета вредоносные версии пакетов не были обнаружены. Вилки репозиториев также уязвимы, поскольку активация Actions и отправка изменений позволяют выполнять рабочие процессы на основе собственных файлов и истории каждой вилки. Организациям следует рассматривать завершившиеся запуски рабочих процессов как возможную эксфильтрацию, отзывать и заменять скомпрометированные учетные данные, проверять историю выпусков пакетов, анализировать активность GitHub Actions и изучать журналы AWS на предмет подозрительного использования скомпрометированных ключей.
#ParsedReport #CompletenessHigh
08-10-2026
Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer
https://www.huntress.com/blog/ahsaycbs-flaws-exploit
Report completeness: High
Threats:
Xmrig_miner
Nssm_tool
Xmr_miner
Victims:
Managed service providers, System integrators, Backup software sector
Geo:
Taiwan, Vietnam, United states, France, Hong kong
CVEs:
CVE-2026-105133 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: Unknown
CVE-2026-105134 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: Unknown
TTPs:
Tactics: 8
Technics: 16
IOCs:
File: 5
Url: 6
IP: 8
Domain: 3
Path: 1
Hash: 3
Email: 0
BrowserExtension: 0
Soft:
Microsoft Edge, curl, Windows service, Microsoft Edge Update, Alibaba Cloud, Microsoft 365
Crypto:
monero
Algorithms:
sha256
Functions:
Get-Date
Languages:
powershell, java
SIGMA: Found
Links:
have more...
08-10-2026
Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer
https://www.huntress.com/blog/ahsaycbs-flaws-exploit
Report completeness: High
Threats:
Xmrig_miner
Nssm_tool
Xmr_miner
Victims:
Managed service providers, System integrators, Backup software sector
Geo:
Taiwan, Vietnam, United states, France, Hong kong
CVEs:
CVE-2026-105133 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: Unknown
CVE-2026-105134 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: Unknown
TTPs:
Tactics: 8
Technics: 16
IOCs:
File: 5
Url: 6
IP: 8
Domain: 3
Path: 1
Hash: 3
Email: 0
BrowserExtension: 0
Soft:
Microsoft Edge, curl, Windows service, Microsoft Edge Update, Alibaba Cloud, Microsoft 365
Crypto:
monero
Algorithms:
sha256
Functions:
Get-Date
Languages:
powershell, java
SIGMA: Found
Links:
https://github.com/huntresslabs/threat-intel/blob/main/2026/2026-10/AhsayCBS\_XMRig\_Miner/proc\_creation\_win\_susp\_ahsaycbs\_unexpected\_child\_process.ymlhave more...
https://github.com/huntresslabs/threat-intel/tree/main/2026/2026-10/AhsayCBS\_XMRig\_Minerhttps://github.com/huntresslabs/threat-intel/blob/main/2026/2026-10/AhsayCBS\_XMRig\_Miner/proc\_creation\_win\_susp\_fake\_edge\_daemonized\_miner.ymlHuntress
Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer | Huntress
Threat actors are exploiting AhsayCBS flaws, including CVE-2026-105133 and CVE-2026-105134, to deploy webshells and XMRig cryptominers. Update to 10.3.4 and restrict access now.
CTT Report Hub
#ParsedReport #CompletenessHigh 08-10-2026 Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer https://www.huntress.com/blog/ahsaycbs-flaws-exploit Report completeness: High Threats: Xmrig_miner Nssm_tool Xmr_miner Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атакующие эксплуатировали две уязвимости AhsayCBS, комбинируя обходы аутентификации для достижения Удаленного Выполнения Кода без аутентификации с правами SYSTEM. Они развернули JSP вебшеллы, проводили разведку и загружали вредоносные файлы. Постэксплуатационная активность была сосредоточена на майнинге криптовалюты XMRig с использованием маскированных бинарных файлов, постоянной Службы Windows, PowerShell-скриптов для противодействия анализу и уязвимого драйвера ядра.
-----
7 октября 2026 года злоумышленники начали эксплуатировать две уязвимости в AhsayCBS — платформе управления резервным копированием, используемой управляющими сервисными провайдерами и системными интеграторами. Под воздействие уязвимостей попадают версии AhsayCBS 10.3.4 и более ранние. CVE-2026-105133 представляет собой ошибку аутентификации в функции `checkSysPwd`, тогда как критическая уязвимость CVE-2026-105134 затрагивает конечную точку Replication Receiver `/rps/api/json/UpdateReceivers.do`. Последняя содержит обход аутентификации, позволяющий подставлять произвольные токены вместо действительных учетных данных, и обеспечивает возможность удаленного выполнения кода без аутентификации от имени `NT AUTHORITY\SYSTEM`.
Наблюдаемые атаки объединяли CVE-2026-105133 для обхода аутентификации, за которым следовало использование CVE-2026-105134 для выполнения команд через процесс службы AhsayCBS, обычно `cbssvcX64.exe`. Злоумышленники настраивали вредоносные приемники репликации и разворачивали JSP-вебшеллы в каталогах, обслуживаемых приложением. Другая активность на этапе постэксплуатации включала разведку и загрузку файлов во временные каталоги с инфраструктуры, контролируемой злоумышленниками. Среди наблюдаемых полезных нагрузок были `Taskgmr.ps1`, `msedge.exe`, `edge.exe` и `config.json`.
Атакующие развернули майнеры XMRig для монеты Monero, при этом майнер был переименован в `edge.exe`, чтобы имитировать Microsoft Edge. ВПО устанавливало соединение с инфраструктурой майнинга по TCP-порту 8029, в том числе с `51.195.127.124:8029` и `xmr.kryptex.network`. PowerShell использовался для изменения конфигурации майнера и создания постоянной Службы Windows с именем `MicrosoftEdgeUpdateSvc`, предназначенной для имитации легитимной службы обновления Edge. Служба выполняла `msedge.exe` из временного каталога с привилегиями SYSTEM. В ходе расследования было установлено, что `msedge.exe` являлась модифицированной копией утилиты NSSM, вероятно, использовавшейся для обеспечения непрерывной работы майнера при сбоях или перезагрузках.
Скрипт `Taskgmr.ps1` реализовал поведение, направленное на противодействие анализу, путем мониторинга процесса диспетчера задач Windows. При открытии диспетчера задач скрипт останавливал службу майнинга; после закрытия диспетчера задач служба перезапускалась. Кроме того, злоумышленники загрузили уязвимый драйвер ядра, предположительно связанный с WinRing0, для обеспечения доступа на уровне ядра и поддержки операций майнинга.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атакующие эксплуатировали две уязвимости AhsayCBS, комбинируя обходы аутентификации для достижения Удаленного Выполнения Кода без аутентификации с правами SYSTEM. Они развернули JSP вебшеллы, проводили разведку и загружали вредоносные файлы. Постэксплуатационная активность была сосредоточена на майнинге криптовалюты XMRig с использованием маскированных бинарных файлов, постоянной Службы Windows, PowerShell-скриптов для противодействия анализу и уязвимого драйвера ядра.
-----
7 октября 2026 года злоумышленники начали эксплуатировать две уязвимости в AhsayCBS — платформе управления резервным копированием, используемой управляющими сервисными провайдерами и системными интеграторами. Под воздействие уязвимостей попадают версии AhsayCBS 10.3.4 и более ранние. CVE-2026-105133 представляет собой ошибку аутентификации в функции `checkSysPwd`, тогда как критическая уязвимость CVE-2026-105134 затрагивает конечную точку Replication Receiver `/rps/api/json/UpdateReceivers.do`. Последняя содержит обход аутентификации, позволяющий подставлять произвольные токены вместо действительных учетных данных, и обеспечивает возможность удаленного выполнения кода без аутентификации от имени `NT AUTHORITY\SYSTEM`.
Наблюдаемые атаки объединяли CVE-2026-105133 для обхода аутентификации, за которым следовало использование CVE-2026-105134 для выполнения команд через процесс службы AhsayCBS, обычно `cbssvcX64.exe`. Злоумышленники настраивали вредоносные приемники репликации и разворачивали JSP-вебшеллы в каталогах, обслуживаемых приложением. Другая активность на этапе постэксплуатации включала разведку и загрузку файлов во временные каталоги с инфраструктуры, контролируемой злоумышленниками. Среди наблюдаемых полезных нагрузок были `Taskgmr.ps1`, `msedge.exe`, `edge.exe` и `config.json`.
Атакующие развернули майнеры XMRig для монеты Monero, при этом майнер был переименован в `edge.exe`, чтобы имитировать Microsoft Edge. ВПО устанавливало соединение с инфраструктурой майнинга по TCP-порту 8029, в том числе с `51.195.127.124:8029` и `xmr.kryptex.network`. PowerShell использовался для изменения конфигурации майнера и создания постоянной Службы Windows с именем `MicrosoftEdgeUpdateSvc`, предназначенной для имитации легитимной службы обновления Edge. Служба выполняла `msedge.exe` из временного каталога с привилегиями SYSTEM. В ходе расследования было установлено, что `msedge.exe` являлась модифицированной копией утилиты NSSM, вероятно, использовавшейся для обеспечения непрерывной работы майнера при сбоях или перезагрузках.
Скрипт `Taskgmr.ps1` реализовал поведение, направленное на противодействие анализу, путем мониторинга процесса диспетчера задач Windows. При открытии диспетчера задач скрипт останавливал службу майнинга; после закрытия диспетчера задач служба перезапускалась. Кроме того, злоумышленники загрузили уязвимый драйвер ядра, предположительно связанный с WinRing0, для обеспечения доступа на уровне ядра и поддержки операций майнинга.
#ParsedReport #CompletenessHigh
09-10-2026
MATCHBOIL: New tricks, same old evil intentions
https://www.welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/
Report completeness: High
Actors/Campaigns:
Earth_sirrush (motivation: cyber_espionage)
Sandworm
Threats:
Matchboil
Eziriz_tool
Lonepage
Spear-phishing_technique
Matchwok
Dotnet_reactor_tool
Victims:
Transportation sector, Manufacturing sector, Energy sector, Governmental organizations, Financial institutions, Media
Industry:
Transport, Energy
Geo:
Russian, Ukraine, Russia
TTPs:
Tactics: 5
Technics: 17
IOCs:
File: 6
Hash: 8
Domain: 4
IP: 2
Soft:
NET Reactor, Windows registry, NET Reactor ob, loudflare to, Cloudflare, NET Reactor to
Algorithms:
xor
Win API:
V2
Languages:
vbscript, powershell
Links:
09-10-2026
MATCHBOIL: New tricks, same old evil intentions
https://www.welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/
Report completeness: High
Actors/Campaigns:
Earth_sirrush (motivation: cyber_espionage)
Sandworm
Threats:
Matchboil
Eziriz_tool
Lonepage
Spear-phishing_technique
Matchwok
Dotnet_reactor_tool
Victims:
Transportation sector, Manufacturing sector, Energy sector, Governmental organizations, Financial institutions, Media
Industry:
Transport, Energy
Geo:
Russian, Ukraine, Russia
TTPs:
Tactics: 5
Technics: 17
IOCs:
File: 6
Hash: 8
Domain: 4
IP: 2
Soft:
NET Reactor, Windows registry, NET Reactor ob, loudflare to, Cloudflare, NET Reactor to
Algorithms:
xor
Win API:
V2
Languages:
vbscript, powershell
Links:
https://github.com/eset/malware-ioc/tree/master/Welivesecurity
MATCHBOIL: New tricks, same old evil intentions
ESET researchers document the evolution of the MATCHBOIL malware, a custom C# downloader wielded by the Russia-aligned UAC-0099 APT group.
CTT Report Hub
#ParsedReport #CompletenessHigh 09-10-2026 MATCHBOIL: New tricks, same old evil intentions https://www.welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/ Report completeness: High Actors/Campaigns: Earth_sirrush (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
UAC-0099 использует эволюционирующий загрузчик MATCHBOIL на C# для атак на украинские организации посредством целевого фишинга. MATCHBOIL профилирует заражённые системы, взаимодействует с C&C для получения и запуска бэкдора MATCHWOK, а со временем получил изменения для закрепления, проверки песочниц, более сильное обфускацию и варианты на основе DLL.
-----
MATCHBOIL — это собственный загрузчик на языке C#, используемый группой UAC-0099, связанной с Россией, против организаций на Украине. Он распространяется через ссылки для целевого фишинга, по которым загружается архив, содержащий VBScript. Жертва должна вручную выполнить скрипт, который скачивает и запускает MATCHBOIL. ВПО проверяет наличие каталога, специфичного для данного образца, в `%LOCALAPPDATA%` и завершает работу, если установка уже существует.
В процессе выполнения MATCHBOIL собирает информацию об узле, такую как CPUID, серийный номер BIOS, имя пользователя, MAC-адрес, сведения о сетевом интерфейсе, а также производитель или модель компьютера. Затем он выполняет три HTTPS-запроса к серверу управления. Первый запрос получает числовое значение, которое передается в пользовательском заголовке HTTP для второго запроса. Ожидается, что во втором ответе будет содержаться HTML с шестнадцатерично закодированной полезной нагрузкой, которую MATCHBOIL извлекает с помощью регулярного выражения, специфичного для данного образца, и записывает на диск. Третий запрос получает строку, которая может служить конфигурацией полезной нагрузки. Установленная полезная нагрузка обычно представляет собой бэкдор MATCHWOK на C#, также связанный с UAC-0099.
Способы закрепления и выполнения MATCHBOIL менялись со временем. Образцы 2024 года использовали как параметр реестра `Run`, так и запланированную задачу, тогда как образцы июля 2025 года полагались на ключ `Run` и запускали полезную нагрузку через `Win32_Process`. Варианты конца 2025 года создавали запланированные задачи и перешли от однократного выполнения к общению с C&C каждые две минуты, что позволяло им получать обновленные полезные нагрузки. Эти версии также использовали аргумент `-auto`, мьютекс и обманчивый графический интерфейс, отображаемый при ручном запуске.
С конца 2025 года MATCHBOIL добавил проверки песочниц и сред анализа. Он анализировал журналы событий Windows с идентификатором 6013 для определения времени работы системы, требовал наличия нескольких событий, подтверждающих время работы не менее двух часов, и проверял наличие подключённого отладчика. DLL-вариант от апреля 2026 года, загружаемый кастомным загрузчиком на C# и идентифицированный CERT-UA как MATCHBOIL.V2, дополнительно завершал работу, если дата установки операционной системы была менее чем за десять дней до момента выполнения.
Обфускация ВПО эволюционировала от переименования на основе Unicode и шифрования строк до использования Eziriz .NET Reactor, включая обфускацию потока управления и виртуализацию. Места размещения полезной нагрузки и имена файлов также изменялись, чтобы выглядеть менее подозрительно, в том числе `SMTPClientApplication.exe` в каталоге `%LOCALAPPDATA%\SMTPClient`. UAC-0099 размещает инфраструктуру C&C на VPS-провайдерах и использует Cloudflare, HTTP/HTTPS, а также сертификаты Let’s Encrypt, которые не переиспользуются.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
UAC-0099 использует эволюционирующий загрузчик MATCHBOIL на C# для атак на украинские организации посредством целевого фишинга. MATCHBOIL профилирует заражённые системы, взаимодействует с C&C для получения и запуска бэкдора MATCHWOK, а со временем получил изменения для закрепления, проверки песочниц, более сильное обфускацию и варианты на основе DLL.
-----
MATCHBOIL — это собственный загрузчик на языке C#, используемый группой UAC-0099, связанной с Россией, против организаций на Украине. Он распространяется через ссылки для целевого фишинга, по которым загружается архив, содержащий VBScript. Жертва должна вручную выполнить скрипт, который скачивает и запускает MATCHBOIL. ВПО проверяет наличие каталога, специфичного для данного образца, в `%LOCALAPPDATA%` и завершает работу, если установка уже существует.
В процессе выполнения MATCHBOIL собирает информацию об узле, такую как CPUID, серийный номер BIOS, имя пользователя, MAC-адрес, сведения о сетевом интерфейсе, а также производитель или модель компьютера. Затем он выполняет три HTTPS-запроса к серверу управления. Первый запрос получает числовое значение, которое передается в пользовательском заголовке HTTP для второго запроса. Ожидается, что во втором ответе будет содержаться HTML с шестнадцатерично закодированной полезной нагрузкой, которую MATCHBOIL извлекает с помощью регулярного выражения, специфичного для данного образца, и записывает на диск. Третий запрос получает строку, которая может служить конфигурацией полезной нагрузки. Установленная полезная нагрузка обычно представляет собой бэкдор MATCHWOK на C#, также связанный с UAC-0099.
Способы закрепления и выполнения MATCHBOIL менялись со временем. Образцы 2024 года использовали как параметр реестра `Run`, так и запланированную задачу, тогда как образцы июля 2025 года полагались на ключ `Run` и запускали полезную нагрузку через `Win32_Process`. Варианты конца 2025 года создавали запланированные задачи и перешли от однократного выполнения к общению с C&C каждые две минуты, что позволяло им получать обновленные полезные нагрузки. Эти версии также использовали аргумент `-auto`, мьютекс и обманчивый графический интерфейс, отображаемый при ручном запуске.
С конца 2025 года MATCHBOIL добавил проверки песочниц и сред анализа. Он анализировал журналы событий Windows с идентификатором 6013 для определения времени работы системы, требовал наличия нескольких событий, подтверждающих время работы не менее двух часов, и проверял наличие подключённого отладчика. DLL-вариант от апреля 2026 года, загружаемый кастомным загрузчиком на C# и идентифицированный CERT-UA как MATCHBOIL.V2, дополнительно завершал работу, если дата установки операционной системы была менее чем за десять дней до момента выполнения.
Обфускация ВПО эволюционировала от переименования на основе Unicode и шифрования строк до использования Eziriz .NET Reactor, включая обфускацию потока управления и виртуализацию. Места размещения полезной нагрузки и имена файлов также изменялись, чтобы выглядеть менее подозрительно, в том числе `SMTPClientApplication.exe` в каталоге `%LOCALAPPDATA%\SMTPClient`. UAC-0099 размещает инфраструктуру C&C на VPS-провайдерах и использует Cloudflare, HTTP/HTTPS, а также сертификаты Let’s Encrypt, которые не переиспользуются.
#ParsedReport #CompletenessMedium
09-10-2026
GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories
https://www.stepsecurity.io/blog/ghostaction-returns
Report completeness: Medium
Actors/Campaigns:
Ghostaction
Threats:
Supply_chain_technique
Victims:
Open source software, Github repositories, Software developers
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1005, T1020, T1041, T1059.004, T1071.001, T1078.004, T1119, T1195.001, T1213, T1552.001, have more...
IOCs:
Domain: 2
IP: 3
File: 3
Url: 3
Soft:
curl, plesk, Anthropic, OpenAI, Slack, SendGrid
Win API:
NAME
Links:
have more...
09-10-2026
GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories
https://www.stepsecurity.io/blog/ghostaction-returns
Report completeness: Medium
Actors/Campaigns:
Ghostaction
Threats:
Supply_chain_technique
Victims:
Open source software, Github repositories, Software developers
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1020, T1041, T1059.004, T1071.001, T1078.004, T1119, T1195.001, T1213, T1552.001, have more...
IOCs:
Domain: 2
IP: 3
File: 3
Url: 3
Soft:
curl, plesk, Anthropic, OpenAI, Slack, SendGrid
Win API:
NAME
Links:
https://github.com/uber/athenadriverhttps://github.com/henrywoohave more...
https://github.com/kitao/pyxelwww.stepsecurity.io
GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories - StepSecurity
GhostAction returns: compromised maintainers push a fake security-audit.yml workflow that steals CI/CD secrets and cloud credentials from GitHub repos.
CTT Report Hub
#ParsedReport #CompletenessMedium 09-10-2026 GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories https://www.stepsecurity.io/blog/ghostaction-returns Report completeness: Medium Actors/Campaigns: Ghostaction…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники получают доступ к учетным данным администраторов репозиториев, чтобы внедрить вредоносные рабочие процессы. Эти рабочие процессы перечисляют настроенные секреты и анализируют полную историю Git на предмет раскрытых учетных данных, включая ключи AWS, GitHub, облачных, SaaS- и ИИ-сервисов, после чего выводят их на сервер, контролируемый злоумышленником. К 9 октября 2026 года было затронуто приблизительно 378 репозиториев.
-----
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники осуществляют компрометацию аккаунтов разработчиков и внедряют рабочие процессы, замаскированные под проверки безопасности. 8 октября 2026 года скомпрометированные аккаунты, связанные с игровым движком Pyxel и драйвером Uber Athena, были использованы для добавления данного рабочего процесса в 345 репозиториев в течение двух автоматизированных временных окон. Ранее в ходе кампании было скомпрометировано более 3 000 секретов в 817 репозиториях.
Атака начинается с кражи учётных данных maintainer в GitHub, вероятно, персонального токена доступа, полученного из логов стиллера или дампов учётных данных. Атакующий анализирует рабочие процессы репозитория на наличие ссылок, таких как `${{ secrets.NAME }}`, встраивает обнаруженные имена секретов в вредоносный рабочий процесс и коммитит его непосредственно в ветку по умолчанию. События Push, включая коммит с внедрением, запускают рабочий процесс. Классический вариант отправляет настроенные секреты GitHub Actions на адрес `193.32.204.199` с помощью HTTP-запроса POST.
Октябрьская версия добавляет полный сбор истории Git. После переключения на ветви и теги репозитория она использует команду `git log -p --all`, что позволяет восстанавливать учетные данные, удаленные из текущего дерева исходного кода. Полезная нагрузка ищет ключи доступа и секретные ключи AWS, токены GitHub и GitLab, ключи Google/Firebase, учетные данные Slack и SendGrid, а также API-ключи для Anthropic, OpenAI и OpenRouter. Она захватывает контекстные данные для связывания идентификаторов ключей доступа AWS с соответствующими секретными ключами. Запросы используют маркеры запросов, такие как `?c=monami` для репозиториев, содержащих именованные секреты, и `?c=new` для результатов анализа истории.
Наблюдаемая активность подтверждает успешную эксфильтрацию из затронутых репозиториев. В ходе одного запуска были получены все 13 веток и 20 тегов репозитория `athenadriver`, а данные были отправлены на сервер злоумышленника. Workflow Pyxel был вручную запущен несколько раз из скомпрометированной сессии, что указывает на многократный сбор данных. По состоянию на 9 октября приблизительно 378 репозиториев содержали вредоносный workflow, в том числе 182 с маркером извлечения истории и 88 с шаблонизированными именованными секретами.
Защитникам следует отозвать скомпрометированные учётные данные GitHub и обновить все учётные данные, когда-либо зафиксированные в любой ветке, включая токены публикации. Необходимо удалить workflow из всех веток, проверить историю запусков workflow, проинспектировать форки и потребовать подтверждения для выполнения workflow. Защита веток и ограничение исходящего трафика CI также могут предотвратить несанкционированные изменения workflow и исходящую эксфильтрацию.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники получают доступ к учетным данным администраторов репозиториев, чтобы внедрить вредоносные рабочие процессы. Эти рабочие процессы перечисляют настроенные секреты и анализируют полную историю Git на предмет раскрытых учетных данных, включая ключи AWS, GitHub, облачных, SaaS- и ИИ-сервисов, после чего выводят их на сервер, контролируемый злоумышленником. К 9 октября 2026 года было затронуто приблизительно 378 репозиториев.
-----
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники осуществляют компрометацию аккаунтов разработчиков и внедряют рабочие процессы, замаскированные под проверки безопасности. 8 октября 2026 года скомпрометированные аккаунты, связанные с игровым движком Pyxel и драйвером Uber Athena, были использованы для добавления данного рабочего процесса в 345 репозиториев в течение двух автоматизированных временных окон. Ранее в ходе кампании было скомпрометировано более 3 000 секретов в 817 репозиториях.
Атака начинается с кражи учётных данных maintainer в GitHub, вероятно, персонального токена доступа, полученного из логов стиллера или дампов учётных данных. Атакующий анализирует рабочие процессы репозитория на наличие ссылок, таких как `${{ secrets.NAME }}`, встраивает обнаруженные имена секретов в вредоносный рабочий процесс и коммитит его непосредственно в ветку по умолчанию. События Push, включая коммит с внедрением, запускают рабочий процесс. Классический вариант отправляет настроенные секреты GitHub Actions на адрес `193.32.204.199` с помощью HTTP-запроса POST.
Октябрьская версия добавляет полный сбор истории Git. После переключения на ветви и теги репозитория она использует команду `git log -p --all`, что позволяет восстанавливать учетные данные, удаленные из текущего дерева исходного кода. Полезная нагрузка ищет ключи доступа и секретные ключи AWS, токены GitHub и GitLab, ключи Google/Firebase, учетные данные Slack и SendGrid, а также API-ключи для Anthropic, OpenAI и OpenRouter. Она захватывает контекстные данные для связывания идентификаторов ключей доступа AWS с соответствующими секретными ключами. Запросы используют маркеры запросов, такие как `?c=monami` для репозиториев, содержащих именованные секреты, и `?c=new` для результатов анализа истории.
Наблюдаемая активность подтверждает успешную эксфильтрацию из затронутых репозиториев. В ходе одного запуска были получены все 13 веток и 20 тегов репозитория `athenadriver`, а данные были отправлены на сервер злоумышленника. Workflow Pyxel был вручную запущен несколько раз из скомпрометированной сессии, что указывает на многократный сбор данных. По состоянию на 9 октября приблизительно 378 репозиториев содержали вредоносный workflow, в том числе 182 с маркером извлечения истории и 88 с шаблонизированными именованными секретами.
Защитникам следует отозвать скомпрометированные учётные данные GitHub и обновить все учётные данные, когда-либо зафиксированные в любой ветке, включая токены публикации. Необходимо удалить workflow из всех веток, проверить историю запусков workflow, проинспектировать форки и потребовать подтверждения для выполнения workflow. Защита веток и ограничение исходящего трафика CI также могут предотвратить несанкционированные изменения workflow и исходящую эксфильтрацию.
#ParsedReport #CompletenessMedium
09-10-2026
Hunting a Global Formbook Campaign with Machine Learning
https://www.vmray.com/hunting-a-global-formbook-campaign-with-machine-learning/
Report completeness: Medium
Threats:
Formbook
Victims:
Trade departments, Finance and accounting departments, Maritime and tanker charter operators, Public sector institutions, Universities, Interbank settlement institutions
Industry:
Maritime, Financial, Education
Geo:
Spain, Italy, Turkiye, Bahrain, Vietnam, Netherlands
ChatGPT TTPs:
T1115, T1566.001, T1656
IOCs:
Hash: 9
Domain: 19
IP: 1
File: 2
Soft:
Cloudflare, Sysinternals
Languages:
swift
09-10-2026
Hunting a Global Formbook Campaign with Machine Learning
https://www.vmray.com/hunting-a-global-formbook-campaign-with-machine-learning/
Report completeness: Medium
Threats:
Formbook
Victims:
Trade departments, Finance and accounting departments, Maritime and tanker charter operators, Public sector institutions, Universities, Interbank settlement institutions
Industry:
Maritime, Financial, Education
Geo:
Spain, Italy, Turkiye, Bahrain, Vietnam, Netherlands
ChatGPT TTPs:
do not use without manual checkT1115, T1566.001, T1656
IOCs:
Hash: 9
Domain: 19
IP: 1
File: 2
Soft:
Cloudflare, Sysinternals
Languages:
swift
VMRay
From One RedLine IP to a Maritime Phishing Cluster: A Threat Intelligence Pivot Chain
A single RedLine C2 from UniqueSignal pivots into a maritime spear-phishing cluster and attacker-owned infrastructure.
CTT Report Hub
#ParsedReport #CompletenessMedium 09-10-2026 Hunting a Global Formbook Campaign with Machine Learning https://www.vmray.com/hunting-a-global-formbook-campaign-with-machine-learning/ Report completeness: Medium Threats: Formbook Victims: Trade departments…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кластеризация на основе поведенческих характеристик выявила кластер из шести образцов Formbook, связанный с глобальной кампанией Business Email Compromise 2026 года. ВПО распространялась через вложения с тематикой финансов и торговли, похищала учетные данные и данные из буфера обмена, а также нацеливалась на организации в нескольких странах. Образцы взаимодействовали с доменом `finance77-laudantium[.\]pro`, при этом использование доменов-приманок и перестановка доменов усложняли отслеживание инфраструктуры на основе сетевых индикаторов.
-----
Исследователи проанализировали 276 образцов Formbook с использованием поведенческого кластеризации на основе HDBSCAN, в результате чего было сформировано 17 кластеров. Данный подход сравнивал техники MITRE ATT&CK, структуру дерева процессов, командные строки и поведение во время выполнения, а не опирался преимущественно на инфраструктуру C2 или сходство кода. Одна группа из шести образцов, Кластер 5, состояла из образцов, впервые обнаруженных в период с 20 мая по 14 июля 2026 года, и была связана с глобальной кампанией компрометации деловой электронной почты (Business Email Compromise).
Образцы использовали возможности Formbook для кражи учётных данных и содержимого буфера обмена для атак на организации посредством вредоносных вложений в электронной почте. В качестве приманок использовались типовые заказы на покупку, поддельные квитанции банков Ziraat Bank и Vietcombank, уведомления SWIFT о межбанковских расчётах, а также документы на морские чартеры, основанные на формах проверки танкеров Q88. Эти темы указывают на целенаправленные атаки на организации в сферах финансов, бухгалтерии, торговли, морского транспорта и государственного сектора. Подтверждённые или предполагаемые цели включали организации в Турции, Вьетнаме, Испании, Италии, Бахрейне и Объединённых Арабских Эмиратах, в том числе университеты и организации, участвующие в межбанковских переводах.
Одна из выявленных доменов управления — `finance77-laudantium[.\]pro` — была зарегистрирована 26 января 2026 года и наблюдалась в процессе взаимодействия с 46 образцами ВПО. Путь панели `/ge47/` соответствовал путям, зафиксированным в проанализированных образцах. История DNS-записей связывала домен с IP-адресом `5.45.75.98` (AS58061, Scalaxy B.V.) в Нидерландах. Пассивный DNS-анализ ассоциировал с этим IP-адресом около 200 доменов, из которых 189 использовали схожий шаблон именования. Образцы Formbook также содержали домены-приманки, которые перемешивались между запусками, что усложняло анализ на основе инфраструктуры.
ВПО достигла корпоративных почтовых ящиков и впоследствии была передана в системы безопасности электронной почты и анализа конечных точек, что подтверждается путями, такими как `/tmp/eml_attach_for_scan/`, `/tmp/cortex-job-…/` и `D:\auto_black_abuse`. Это указывает на доставку в организации, использующие автоматизированные средства безопасности, а не на отдельных пользователей. Конвейер кластеризации нормализовал имена файлов, хеши, имена пользователей, имена процессов и строки команд, сгенерированные песочницей, перед извлечением признаков. Сходство деревьев процессов вычислялось с использованием ядра поддерева Вайсфелера-Лемана, а техники ATT&CK представлялись в виде многогорячих векторов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кластеризация на основе поведенческих характеристик выявила кластер из шести образцов Formbook, связанный с глобальной кампанией Business Email Compromise 2026 года. ВПО распространялась через вложения с тематикой финансов и торговли, похищала учетные данные и данные из буфера обмена, а также нацеливалась на организации в нескольких странах. Образцы взаимодействовали с доменом `finance77-laudantium[.\]pro`, при этом использование доменов-приманок и перестановка доменов усложняли отслеживание инфраструктуры на основе сетевых индикаторов.
-----
Исследователи проанализировали 276 образцов Formbook с использованием поведенческого кластеризации на основе HDBSCAN, в результате чего было сформировано 17 кластеров. Данный подход сравнивал техники MITRE ATT&CK, структуру дерева процессов, командные строки и поведение во время выполнения, а не опирался преимущественно на инфраструктуру C2 или сходство кода. Одна группа из шести образцов, Кластер 5, состояла из образцов, впервые обнаруженных в период с 20 мая по 14 июля 2026 года, и была связана с глобальной кампанией компрометации деловой электронной почты (Business Email Compromise).
Образцы использовали возможности Formbook для кражи учётных данных и содержимого буфера обмена для атак на организации посредством вредоносных вложений в электронной почте. В качестве приманок использовались типовые заказы на покупку, поддельные квитанции банков Ziraat Bank и Vietcombank, уведомления SWIFT о межбанковских расчётах, а также документы на морские чартеры, основанные на формах проверки танкеров Q88. Эти темы указывают на целенаправленные атаки на организации в сферах финансов, бухгалтерии, торговли, морского транспорта и государственного сектора. Подтверждённые или предполагаемые цели включали организации в Турции, Вьетнаме, Испании, Италии, Бахрейне и Объединённых Арабских Эмиратах, в том числе университеты и организации, участвующие в межбанковских переводах.
Одна из выявленных доменов управления — `finance77-laudantium[.\]pro` — была зарегистрирована 26 января 2026 года и наблюдалась в процессе взаимодействия с 46 образцами ВПО. Путь панели `/ge47/` соответствовал путям, зафиксированным в проанализированных образцах. История DNS-записей связывала домен с IP-адресом `5.45.75.98` (AS58061, Scalaxy B.V.) в Нидерландах. Пассивный DNS-анализ ассоциировал с этим IP-адресом около 200 доменов, из которых 189 использовали схожий шаблон именования. Образцы Formbook также содержали домены-приманки, которые перемешивались между запусками, что усложняло анализ на основе инфраструктуры.
ВПО достигла корпоративных почтовых ящиков и впоследствии была передана в системы безопасности электронной почты и анализа конечных точек, что подтверждается путями, такими как `/tmp/eml_attach_for_scan/`, `/tmp/cortex-job-…/` и `D:\auto_black_abuse`. Это указывает на доставку в организации, использующие автоматизированные средства безопасности, а не на отдельных пользователей. Конвейер кластеризации нормализовал имена файлов, хеши, имена пользователей, имена процессов и строки команд, сгенерированные песочницей, перед извлечением признаков. Сходство деревьев процессов вычислялось с использованием ядра поддерева Вайсфелера-Лемана, а техники ATT&CK представлялись в виде многогорячих векторов.
#ParsedReport #CompletenessLow
07-10-2026
How AI Agents Turned One Exposed Endpoint into a Server Takeover
https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/
Report completeness: Low
Threats:
Cairn
Acunetix_tool
Cyberstrikeai_tool
Godpotato_tool
Printspoofer_tool
Victims:
Application server
ChatGPT TTPs:
T1059.007, T1070.004, T1136.001, T1190, T1505.001, T1552.001, T1588.002, T1595.002
IOCs:
IP: 3
File: 9
Path: 2
Soft:
uvicorn, SimpleHTTP, nginx a, Claude, Claude Code, Codex, Apache Tomcat
Algorithms:
base64
Win API:
SeImpersonatePrivilege
Languages:
javascript, python, powershell, java
07-10-2026
How AI Agents Turned One Exposed Endpoint into a Server Takeover
https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/
Report completeness: Low
Threats:
Cairn
Acunetix_tool
Cyberstrikeai_tool
Godpotato_tool
Printspoofer_tool
Victims:
Application server
ChatGPT TTPs:
do not use without manual checkT1059.007, T1070.004, T1136.001, T1190, T1505.001, T1552.001, T1588.002, T1595.002
IOCs:
IP: 3
File: 9
Path: 2
Soft:
uvicorn, SimpleHTTP, nginx a, Claude, Claude Code, Codex, Apache Tomcat
Algorithms:
base64
Win API:
SeImpersonatePrivilege
Languages:
javascript, python, powershell, java
ReliaQuest
How AI Agents Turned One Exposed Endpoint into a Server Takeover | Threat Spotlight
What happens when LLM-driven agents carry out substantial portions of an attack? ReliaQuest analyzed an incident where AI did the heavy lifting.