#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания GhostAction привела к компрометации сотен репозиториев GitHub путем внедрения вредоносного рабочего процесса GitHub Actions с использованием украденных учетных данных администраторов. Данный рабочий процесс выполнял поиск в текущих файлах, ветках, тегах и истории Git секретов облачных сервисов, ИИ, инструментов совместной работы, пакетов и GitHub, после чего выгружал их на адрес `193.32.204[.\]199/?c=monami`, создавая риски для цепочки поставок в репозиториях, содержащих учетные данные для публикации.
-----

Новая кампания GhostAction привела к компрометации сотен репозиториев GitHub путем внедрения вредоносного рабочего процесса GitHub Actions с использованием украденных учетных данных администраторов. Рабочий процесс был обнаружен в 346 репозиториях, в том числе в 318 репозиториях в пространстве имен `henrywoo`, 27 в `kitao`, а также в `uber/athenadriver`. Активность фиксировалась в короткие автоматизированные временные интервалы и затрагивала как неактивные репозитории, так и их форки, что указывает на массовый перебор репозиториев, а не на целенаправленный выбор целей. Рабочий процесс сохранялся на затронутых ветках по умолчанию и успешно выполнялся.

Кампания сохраняет исходную возможность GhostAction по извлечению секретов GitHub Actions, включая учетные данные для публикации пакетов и персональные токены доступа. Внедренный рабочий процесс также вводит более широкий функционал сбора учетных записей. Он выполняет полную выгрузку с параметром `fetch-depth: 0`, а затем ищет учетные данные в рабочем дереве, а также во всех доступных ветках и тегах. С помощью команды `git log -p --all` он также просматривает историю репозитория в поисках секретов, которые разработчики могли удалить из текущей ветки, но которые остались в достижимых коммитах, устаревших ветках или тегах.

Новый полезный груз использует регулярные выражения для идентификации учетных данных облачных, ИИ-, коллаборативных и пакетных сервисов, включая идентификаторы ключей доступа AWS, ключи Google или Firebase, токены Slack, ключи SendGrid, а также учетные данные, связанные с такими сервисами, как Anthropic, OpenAI и OpenRouter. Контекст вокруг идентификаторов `AKIA` и `ASIA` собирается для помощи в восстановлении полных пар ключей AWS, включая секретные ключи доступа, хранящиеся поблизости в конфигурационных файлах или файлах окружения. Собранная данные объединяется со значениями секретов GitHub Actions и отправляется методом HTTP POST на управляемый злоумышленником конечный пункт `193.32.204[.\]199/?c=monami`.

К числу высокоценных целей относились репозитории, содержащие учетные данные для публикации пакетов в PyPI и crates.io, что создавало потенциальный риск для цепочки поставок через несанкционированный выпуск пакетов. На момент подготовки отчета вредоносные версии пакетов не были обнаружены. Вилки репозиториев также уязвимы, поскольку активация Actions и отправка изменений позволяют выполнять рабочие процессы на основе собственных файлов и истории каждой вилки. Организациям следует рассматривать завершившиеся запуски рабочих процессов как возможную эксфильтрацию, отзывать и заменять скомпрометированные учетные данные, проверять историю выпусков пакетов, анализировать активность GitHub Actions и изучать журналы AWS на предмет подозрительного использования скомпрометированных ключей.

#ParsedReport #CompletenessHigh
08-10-2026

Threat Actors Exploit Critical AhsayCBS Flaws to Drop Webshells and XMRig Cryptominer

https://www.huntress.com/blog/ahsaycbs-flaws-exploit

Report completeness: High

Threats:
Xmrig_miner
Nssm_tool
Xmr_miner

Victims:
Managed service providers, System integrators, Backup software sector

Geo:
Taiwan, Vietnam, United states, France, Hong kong

CVEs:
CVE-2026-105133 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: Unknown

CVE-2026-105134 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: Unknown


TTPs:
Tactics: 8
Technics: 16

IOCs:
File: 5
Url: 6
IP: 8
Domain: 3
Path: 1
Hash: 3
Email: 0
BrowserExtension: 0

Soft:
Microsoft Edge, curl, Windows service, Microsoft Edge Update, Alibaba Cloud, Microsoft 365

Crypto:
monero

Algorithms:
sha256

Functions:
Get-Date

Languages:
powershell, java

SIGMA: Found

Links:
https://github.com/huntresslabs/threat-intel/blob/main/2026/2026-10/AhsayCBS\_XMRig\_Miner/proc\_creation\_win\_susp\_ahsaycbs\_unexpected\_child\_process.yml
have more...
https://github.com/huntresslabs/threat-intel/tree/main/2026/2026-10/AhsayCBS\_XMRig\_Miner
https://github.com/huntresslabs/threat-intel/blob/main/2026/2026-10/AhsayCBS\_XMRig\_Miner/proc\_creation\_win\_susp\_fake\_edge\_daemonized\_miner.yml

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие эксплуатировали две уязвимости AhsayCBS, комбинируя обходы аутентификации для достижения Удаленного Выполнения Кода без аутентификации с правами SYSTEM. Они развернули JSP вебшеллы, проводили разведку и загружали вредоносные файлы. Постэксплуатационная активность была сосредоточена на майнинге криптовалюты XMRig с использованием маскированных бинарных файлов, постоянной Службы Windows, PowerShell-скриптов для противодействия анализу и уязвимого драйвера ядра.
-----

7 октября 2026 года злоумышленники начали эксплуатировать две уязвимости в AhsayCBS — платформе управления резервным копированием, используемой управляющими сервисными провайдерами и системными интеграторами. Под воздействие уязвимостей попадают версии AhsayCBS 10.3.4 и более ранние. CVE-2026-105133 представляет собой ошибку аутентификации в функции `checkSysPwd`, тогда как критическая уязвимость CVE-2026-105134 затрагивает конечную точку Replication Receiver `/rps/api/json/UpdateReceivers.do`. Последняя содержит обход аутентификации, позволяющий подставлять произвольные токены вместо действительных учетных данных, и обеспечивает возможность удаленного выполнения кода без аутентификации от имени `NT AUTHORITY\SYSTEM`.

Наблюдаемые атаки объединяли CVE-2026-105133 для обхода аутентификации, за которым следовало использование CVE-2026-105134 для выполнения команд через процесс службы AhsayCBS, обычно `cbssvcX64.exe`. Злоумышленники настраивали вредоносные приемники репликации и разворачивали JSP-вебшеллы в каталогах, обслуживаемых приложением. Другая активность на этапе постэксплуатации включала разведку и загрузку файлов во временные каталоги с инфраструктуры, контролируемой злоумышленниками. Среди наблюдаемых полезных нагрузок были `Taskgmr.ps1`, `msedge.exe`, `edge.exe` и `config.json`.

Атакующие развернули майнеры XMRig для монеты Monero, при этом майнер был переименован в `edge.exe`, чтобы имитировать Microsoft Edge. ВПО устанавливало соединение с инфраструктурой майнинга по TCP-порту 8029, в том числе с `51.195.127.124:8029` и `xmr.kryptex.network`. PowerShell использовался для изменения конфигурации майнера и создания постоянной Службы Windows с именем `MicrosoftEdgeUpdateSvc`, предназначенной для имитации легитимной службы обновления Edge. Служба выполняла `msedge.exe` из временного каталога с привилегиями SYSTEM. В ходе расследования было установлено, что `msedge.exe` являлась модифицированной копией утилиты NSSM, вероятно, использовавшейся для обеспечения непрерывной работы майнера при сбоях или перезагрузках.

Скрипт `Taskgmr.ps1` реализовал поведение, направленное на противодействие анализу, путем мониторинга процесса диспетчера задач Windows. При открытии диспетчера задач скрипт останавливал службу майнинга; после закрытия диспетчера задач служба перезапускалась. Кроме того, злоумышленники загрузили уязвимый драйвер ядра, предположительно связанный с WinRing0, для обеспечения доступа на уровне ядра и поддержки операций майнинга.

#ParsedReport #CompletenessHigh
09-10-2026

MATCHBOIL: New tricks, same old evil intentions

https://www.welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/

Report completeness: High

Actors/Campaigns:
Earth_sirrush (motivation: cyber_espionage)
Sandworm

Threats:
Matchboil
Eziriz_tool
Lonepage
Spear-phishing_technique
Matchwok
Dotnet_reactor_tool

Victims:
Transportation sector, Manufacturing sector, Energy sector, Governmental organizations, Financial institutions, Media

Industry:
Transport, Energy

Geo:
Russian, Ukraine, Russia

TTPs:
Tactics: 5
Technics: 17

IOCs:
File: 6
Hash: 8
Domain: 4
IP: 2

Soft:
NET Reactor, Windows registry, NET Reactor ob, loudflare to, Cloudflare, NET Reactor to

Algorithms:
xor

Win API:
V2

Languages:
vbscript, powershell

Links:
https://github.com/eset/malware-ioc/tree/master/

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
UAC-0099 использует эволюционирующий загрузчик MATCHBOIL на C# для атак на украинские организации посредством целевого фишинга. MATCHBOIL профилирует заражённые системы, взаимодействует с C&C для получения и запуска бэкдора MATCHWOK, а со временем получил изменения для закрепления, проверки песочниц, более сильное обфускацию и варианты на основе DLL.
-----

MATCHBOIL — это собственный загрузчик на языке C#, используемый группой UAC-0099, связанной с Россией, против организаций на Украине. Он распространяется через ссылки для целевого фишинга, по которым загружается архив, содержащий VBScript. Жертва должна вручную выполнить скрипт, который скачивает и запускает MATCHBOIL. ВПО проверяет наличие каталога, специфичного для данного образца, в `%LOCALAPPDATA%` и завершает работу, если установка уже существует.

В процессе выполнения MATCHBOIL собирает информацию об узле, такую как CPUID, серийный номер BIOS, имя пользователя, MAC-адрес, сведения о сетевом интерфейсе, а также производитель или модель компьютера. Затем он выполняет три HTTPS-запроса к серверу управления. Первый запрос получает числовое значение, которое передается в пользовательском заголовке HTTP для второго запроса. Ожидается, что во втором ответе будет содержаться HTML с шестнадцатерично закодированной полезной нагрузкой, которую MATCHBOIL извлекает с помощью регулярного выражения, специфичного для данного образца, и записывает на диск. Третий запрос получает строку, которая может служить конфигурацией полезной нагрузки. Установленная полезная нагрузка обычно представляет собой бэкдор MATCHWOK на C#, также связанный с UAC-0099.

Способы закрепления и выполнения MATCHBOIL менялись со временем. Образцы 2024 года использовали как параметр реестра `Run`, так и запланированную задачу, тогда как образцы июля 2025 года полагались на ключ `Run` и запускали полезную нагрузку через `Win32_Process`. Варианты конца 2025 года создавали запланированные задачи и перешли от однократного выполнения к общению с C&C каждые две минуты, что позволяло им получать обновленные полезные нагрузки. Эти версии также использовали аргумент `-auto`, мьютекс и обманчивый графический интерфейс, отображаемый при ручном запуске.

С конца 2025 года MATCHBOIL добавил проверки песочниц и сред анализа. Он анализировал журналы событий Windows с идентификатором 6013 для определения времени работы системы, требовал наличия нескольких событий, подтверждающих время работы не менее двух часов, и проверял наличие подключённого отладчика. DLL-вариант от апреля 2026 года, загружаемый кастомным загрузчиком на C# и идентифицированный CERT-UA как MATCHBOIL.V2, дополнительно завершал работу, если дата установки операционной системы была менее чем за десять дней до момента выполнения.

Обфускация ВПО эволюционировала от переименования на основе Unicode и шифрования строк до использования Eziriz .NET Reactor, включая обфускацию потока управления и виртуализацию. Места размещения полезной нагрузки и имена файлов также изменялись, чтобы выглядеть менее подозрительно, в том числе `SMTPClientApplication.exe` в каталоге `%LOCALAPPDATA%\SMTPClient`. UAC-0099 размещает инфраструктуру C&C на VPS-провайдерах и использует Cloudflare, HTTP/HTTPS, а также сертификаты Let’s Encrypt, которые не переиспользуются.

#ParsedReport #CompletenessMedium
09-10-2026

GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories

https://www.stepsecurity.io/blog/ghostaction-returns

Report completeness: Medium

Actors/Campaigns:
Ghostaction

Threats:
Supply_chain_technique

Victims:
Open source software, Github repositories, Software developers

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1020, T1041, T1059.004, T1071.001, T1078.004, T1119, T1195.001, T1213, T1552.001, have more...

IOCs:
Domain: 2
IP: 3
File: 3
Url: 3

Soft:
curl, plesk, Anthropic, OpenAI, Slack, SendGrid

Win API:
NAME

Links:
https://github.com/uber/athenadriver
https://github.com/henrywoo
have more...
https://github.com/kitao/pyxel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники получают доступ к учетным данным администраторов репозиториев, чтобы внедрить вредоносные рабочие процессы. Эти рабочие процессы перечисляют настроенные секреты и анализируют полную историю Git на предмет раскрытых учетных данных, включая ключи AWS, GitHub, облачных, SaaS- и ИИ-сервисов, после чего выводят их на сервер, контролируемый злоумышленником. К 9 октября 2026 года было затронуто приблизительно 378 репозиториев.
-----

GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники осуществляют компрометацию аккаунтов разработчиков и внедряют рабочие процессы, замаскированные под проверки безопасности. 8 октября 2026 года скомпрометированные аккаунты, связанные с игровым движком Pyxel и драйвером Uber Athena, были использованы для добавления данного рабочего процесса в 345 репозиториев в течение двух автоматизированных временных окон. Ранее в ходе кампании было скомпрометировано более 3 000 секретов в 817 репозиториях.

Атака начинается с кражи учётных данных maintainer в GitHub, вероятно, персонального токена доступа, полученного из логов стиллера или дампов учётных данных. Атакующий анализирует рабочие процессы репозитория на наличие ссылок, таких как `${{ secrets.NAME }}`, встраивает обнаруженные имена секретов в вредоносный рабочий процесс и коммитит его непосредственно в ветку по умолчанию. События Push, включая коммит с внедрением, запускают рабочий процесс. Классический вариант отправляет настроенные секреты GitHub Actions на адрес `193.32.204.199` с помощью HTTP-запроса POST.

Октябрьская версия добавляет полный сбор истории Git. После переключения на ветви и теги репозитория она использует команду `git log -p --all`, что позволяет восстанавливать учетные данные, удаленные из текущего дерева исходного кода. Полезная нагрузка ищет ключи доступа и секретные ключи AWS, токены GitHub и GitLab, ключи Google/Firebase, учетные данные Slack и SendGrid, а также API-ключи для Anthropic, OpenAI и OpenRouter. Она захватывает контекстные данные для связывания идентификаторов ключей доступа AWS с соответствующими секретными ключами. Запросы используют маркеры запросов, такие как `?c=monami` для репозиториев, содержащих именованные секреты, и `?c=new` для результатов анализа истории.

Наблюдаемая активность подтверждает успешную эксфильтрацию из затронутых репозиториев. В ходе одного запуска были получены все 13 веток и 20 тегов репозитория `athenadriver`, а данные были отправлены на сервер злоумышленника. Workflow Pyxel был вручную запущен несколько раз из скомпрометированной сессии, что указывает на многократный сбор данных. По состоянию на 9 октября приблизительно 378 репозиториев содержали вредоносный workflow, в том числе 182 с маркером извлечения истории и 88 с шаблонизированными именованными секретами.

Защитникам следует отозвать скомпрометированные учётные данные GitHub и обновить все учётные данные, когда-либо зафиксированные в любой ветке, включая токены публикации. Необходимо удалить workflow из всех веток, проверить историю запусков workflow, проинспектировать форки и потребовать подтверждения для выполнения workflow. Защита веток и ограничение исходящего трафика CI также могут предотвратить несанкционированные изменения workflow и исходящую эксфильтрацию.

#ParsedReport #CompletenessMedium
09-10-2026

Hunting a Global Formbook Campaign with Machine Learning

https://www.vmray.com/hunting-a-global-formbook-campaign-with-machine-learning/

Report completeness: Medium

Threats:
Formbook

Victims:
Trade departments, Finance and accounting departments, Maritime and tanker charter operators, Public sector institutions, Universities, Interbank settlement institutions

Industry:
Maritime, Financial, Education

Geo:
Spain, Italy, Turkiye, Bahrain, Vietnam, Netherlands

ChatGPT TTPs:
do not use without manual check
T1115, T1566.001, T1656

IOCs:
Hash: 9
Domain: 19
IP: 1
File: 2

Soft:
Cloudflare, Sysinternals

Languages:
swift

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кластеризация на основе поведенческих характеристик выявила кластер из шести образцов Formbook, связанный с глобальной кампанией Business Email Compromise 2026 года. ВПО распространялась через вложения с тематикой финансов и торговли, похищала учетные данные и данные из буфера обмена, а также нацеливалась на организации в нескольких странах. Образцы взаимодействовали с доменом `finance77-laudantium[.\]pro`, при этом использование доменов-приманок и перестановка доменов усложняли отслеживание инфраструктуры на основе сетевых индикаторов.
-----

Исследователи проанализировали 276 образцов Formbook с использованием поведенческого кластеризации на основе HDBSCAN, в результате чего было сформировано 17 кластеров. Данный подход сравнивал техники MITRE ATT&CK, структуру дерева процессов, командные строки и поведение во время выполнения, а не опирался преимущественно на инфраструктуру C2 или сходство кода. Одна группа из шести образцов, Кластер 5, состояла из образцов, впервые обнаруженных в период с 20 мая по 14 июля 2026 года, и была связана с глобальной кампанией компрометации деловой электронной почты (Business Email Compromise).

Образцы использовали возможности Formbook для кражи учётных данных и содержимого буфера обмена для атак на организации посредством вредоносных вложений в электронной почте. В качестве приманок использовались типовые заказы на покупку, поддельные квитанции банков Ziraat Bank и Vietcombank, уведомления SWIFT о межбанковских расчётах, а также документы на морские чартеры, основанные на формах проверки танкеров Q88. Эти темы указывают на целенаправленные атаки на организации в сферах финансов, бухгалтерии, торговли, морского транспорта и государственного сектора. Подтверждённые или предполагаемые цели включали организации в Турции, Вьетнаме, Испании, Италии, Бахрейне и Объединённых Арабских Эмиратах, в том числе университеты и организации, участвующие в межбанковских переводах.

Одна из выявленных доменов управления — `finance77-laudantium[.\]pro` — была зарегистрирована 26 января 2026 года и наблюдалась в процессе взаимодействия с 46 образцами ВПО. Путь панели `/ge47/` соответствовал путям, зафиксированным в проанализированных образцах. История DNS-записей связывала домен с IP-адресом `5.45.75.98` (AS58061, Scalaxy B.V.) в Нидерландах. Пассивный DNS-анализ ассоциировал с этим IP-адресом около 200 доменов, из которых 189 использовали схожий шаблон именования. Образцы Formbook также содержали домены-приманки, которые перемешивались между запусками, что усложняло анализ на основе инфраструктуры.

ВПО достигла корпоративных почтовых ящиков и впоследствии была передана в системы безопасности электронной почты и анализа конечных точек, что подтверждается путями, такими как `/tmp/eml_attach_for_scan/`, `/tmp/cortex-job-…/` и `D:\auto_black_abuse`. Это указывает на доставку в организации, использующие автоматизированные средства безопасности, а не на отдельных пользователей. Конвейер кластеризации нормализовал имена файлов, хеши, имена пользователей, имена процессов и строки команд, сгенерированные песочницей, перед извлечением признаков. Сходство деревьев процессов вычислялось с использованием ядра поддерева Вайсфелера-Лемана, а техники ATT&CK представлялись в виде многогорячих векторов.

#ParsedReport #CompletenessLow
07-10-2026

How AI Agents Turned One Exposed Endpoint into a Server Takeover

https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/

Report completeness: Low

Threats:
Cairn
Acunetix_tool
Cyberstrikeai_tool
Godpotato_tool
Printspoofer_tool

Victims:
Application server

ChatGPT TTPs:
do not use without manual check
T1059.007, T1070.004, T1136.001, T1190, T1505.001, T1552.001, T1588.002, T1595.002

IOCs:
IP: 3
File: 9
Path: 2

Soft:
uvicorn, SimpleHTTP, nginx a, Claude, Claude Code, Codex, Apache Tomcat

Algorithms:
base64

Win API:
SeImpersonatePrivilege

Languages:
javascript, python, powershell, java

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленник эксплуатировал эндпоинт отправки заданий Spring Batch в Apache Tomcat, не требующий аутентификации, для выполнения кода через Nashorn, кражи учетных данных администратора SQL Server и получения привилегий SYSTEM с использованием `xp_cmdshell`, PrintSpoofer и GodPotato. Для получения результатов и поддержания доступа применялись автоматизированные запросы, разбитые на части, при этом инфраструктура указывает на возможное участие ИИ-агентов в деятельности злоумышленника.
-----

Злоумышленник получил несанкционированный доступ к приложению Apache Tomcat, доступному из интернета, в котором функция отправки заданий Spring Batch была доступна без аутентификации. Конечная точка принимала определения задач и выполняла их от имени учетной записи приложения. Злоумышленник использовал эти задачи для вызова Nashorn — встроенного в Java движка JavaScript, — что позволило выполнить код внутри приложения без первоначального запуска дочерних процессов.

Атакующий извлекал результаты выполнения команд через сообщения об ошибках приложения, а не разворачивая веб-шелл. Поскольку размер ответов был ограничен, файлы и вывод команд извлекались фиксированными блоками по 1800 байт в ходе сотен последовательных запросов. Задачи использовали сгенерированные имена, отслеживающие смещения файлов и части загрузки, при этом за неудачными командами следовали повторные попытки, резервные методы и скорректированные подходы. Эти паттерны, в сочетании с быстрым выполнением и структурированным выводом, были оценены как соответствующие активности агентов, управляемых большими языковыми моделями, хотя конкретная модель, количество агентов и степень участия человека определить не удалось.

Файлы конфигурации содержали учетные данные SQL Server в открытом виде, наделенные правами sysadmin. Злоумышленник включил и использовал `xp_cmdshell` для выполнения команд операционной системы от имени учетной записи службы SQL Server. Затем он проверил права учетной записи в Windows и обнаружил `SeImpersonatePrivilege`. Были перемещены и использованы общедоступные инструменты, включая PrintSpoofer и GodPotato, для повышения привилегий до уровня `SYSTEM`. Злоумышленник также использовал встроенные утилиты, такие как PowerShell, `certutil` и `wmic`, а также общедоступные библиотеки для работы с учетными данными и протоколами.

Инфраструктура, связанная с атакой, включала хост, на котором работала платформа оркестрации ИИ-агентов с открытым исходным кодом Cairn, чей дашборд был доступен по тому же адресу, с которого были отправлены первоначальные вредоносные задания. Другая инфраструктура содержала инструменты сканирования, бинарные файлы для повышения привилегий, исходный код, закодированные полезныe нагрузки и системы для сбора результатов выполнения заданий. Доказательства связали инфраструктуру с инцидентом, но не подтвердили, что другие наблюдаемые сервисы, связанные с ИИ, были вовлечены в атаку.

Атакующий выполнил ограниченную очистку, удалив часть артефактов и одну учетную запись администратора, при этом оставив активным другую учетную запись администратора, используемую как бэкдор. Первоначальный путь доступа, оставшийся открытым, по-прежнему оставался доступным. Инцидент демонстрирует, что конечная точка выполнения задач без аутентификации может обеспечить достаточный уровень доступа для кражи учетных данных, выполнения кода, повышения привилегий и полного захвата сервера без использования уязвимости нулевого дня или развертывания нового ВПО.

#ParsedReport #CompletenessLow
09-10-2026

When a Wallet Drainer Asks DNS Where to Go

https://www.infoblox.com/blog/threat-intelligence/when-a-wallet-drainer-asks-dns-where-to-go/

Report completeness: Low

Threats:
Noir
Detour_dog
Decoy_dog

Victims:
Cryptocurrency wallet users

ChatGPT TTPs:
do not use without manual check
T1027, T1059.007, T1071.001, T1071.004, T1140, T1568, T1573

IOCs:
Domain: 4
File: 2

Soft:
Cloudflare, WalletConnect

Crypto:
uniswap

Languages:
javascript

Platforms:
intel

#ParsedReport #ExtractedSchema

Classified images:
code: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Крипто-дроппер Noir использует обфусцированный JavaScript, DNS TXT-записи и публичные сервисы DoH для динамического определения заменяемой backend-инфраструктуры. Фальшивые страницы, связанные с криптовалютами, побуждают жертв подключать свои кошельки, после чего Noir адаптирует процесс кражи, используя обманные разрешения на расход средств, а не запрашивая seed-фразы или закрытые ключи. Он может использовать резервную инфраструктуру и разрывать сессии WalletConnect, чтобы скрыть свою активность.
-----

Набор инструментов для кражи средств из криптокошельков Noir использует записи DNS TXT и общедоступные сервисы DNS-over-HTTPS (DoH) для динамического определения своей операционной инфраструктуры. Жертв, как правило, направляют на поддельные страницы криптоголосований, аирдропов, листингов, децентрализованных бирж или проверки соответствия требованиям, которые побуждают их подключить кошелёк. Сам приманка не содержит постоянной ссылки на бэкенд инструмента для кражи средств. Вместо этого встроенный загрузчик на JavaScript декодирует замаскированный массив десятичных кодов символов, выполняет его и запрашивает запись TXT по адресу `_r.noir.black` через нескольких провайдеров DoH, включая Google Public DNS и конечные точки Cloudflare. Первая валидная реакция определяет активный пул инструментов для кражи средств, в который входили домены, размещённые на Cloudflare Pages.

Данная архитектура разделяет долговечные приманочные страницы и заменяемую инфраструктуру бэкенда. Операторы могут изменить одну запись DNS TXT, чтобы перенаправить существующие приманки на новый пул, если хост заблокирован или удалён. По имеющимся данным, загрузчик использует кэш с тайм-аутом 60 секунд и логику повторных попыток для обеспечения восстановления при изменениях инфраструктуры. Он также запрашивает дорожную конфигурацию у API по адресу `noir.black`; ответ может предоставить независимо разрешённый резервный пул в случае сбоя прямого доступа через DoH. Разрешение DNS и получение конфигурации выполняются параллельно для снижения задержки. Возвращённая конфигурация определяет, будет ли дрэйн-скрипт внедрён в существующую приманочную страницу или отображён в прозрачной рамке, занимающей всё видимое поле.

Noir не требует от жертв предоставления seed-фраз, паролей или закрытых ключей. После получения начальных разрешений на чтение данных кошелька он анализирует конкретный кошелёк и разрабатывает индивидуальный план кражи. Затем он запрашивает разрешения на расходование средств, которые могут выглядеть менее подозрительно, чем прямой перевод, и осуществляет кражу активов с инфраструктуры, контролируемой злоумышленником. После завершения процесса набор инструментов разрывает сессию WalletConnect, удаляя вредоносное приложение из списка подключённых приложений кошелька и сокращая видимые следы компрометации. Использование публичного DoH, DNS-основанной живой конфигурации, пулов, размещённых в облаке, резервной инфраструктуры и принятия решений для каждого кошелька обеспечивает устойчивость и поддерживает оперативные изменения в ходе проведения операций.