#ParsedReport #CompletenessHigh
09-10-2026
MATCHBOIL: New tricks, same old evil intentions
https://www.welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/
Report completeness: High
Actors/Campaigns:
Earth_sirrush (motivation: cyber_espionage)
Sandworm
Threats:
Matchboil
Eziriz_tool
Lonepage
Spear-phishing_technique
Matchwok
Dotnet_reactor_tool
Victims:
Transportation sector, Manufacturing sector, Energy sector, Governmental organizations, Financial institutions, Media
Industry:
Transport, Energy
Geo:
Russian, Ukraine, Russia
TTPs:
Tactics: 5
Technics: 17
IOCs:
File: 6
Hash: 8
Domain: 4
IP: 2
Soft:
NET Reactor, Windows registry, NET Reactor ob, loudflare to, Cloudflare, NET Reactor to
Algorithms:
xor
Win API:
V2
Languages:
vbscript, powershell
Links:
09-10-2026
MATCHBOIL: New tricks, same old evil intentions
https://www.welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/
Report completeness: High
Actors/Campaigns:
Earth_sirrush (motivation: cyber_espionage)
Sandworm
Threats:
Matchboil
Eziriz_tool
Lonepage
Spear-phishing_technique
Matchwok
Dotnet_reactor_tool
Victims:
Transportation sector, Manufacturing sector, Energy sector, Governmental organizations, Financial institutions, Media
Industry:
Transport, Energy
Geo:
Russian, Ukraine, Russia
TTPs:
Tactics: 5
Technics: 17
IOCs:
File: 6
Hash: 8
Domain: 4
IP: 2
Soft:
NET Reactor, Windows registry, NET Reactor ob, loudflare to, Cloudflare, NET Reactor to
Algorithms:
xor
Win API:
V2
Languages:
vbscript, powershell
Links:
https://github.com/eset/malware-ioc/tree/master/Welivesecurity
MATCHBOIL: New tricks, same old evil intentions
ESET researchers document the evolution of the MATCHBOIL malware, a custom C# downloader wielded by the Russia-aligned UAC-0099 APT group.
CTT Report Hub
#ParsedReport #CompletenessHigh 09-10-2026 MATCHBOIL: New tricks, same old evil intentions https://www.welivesecurity.com/en/eset-research/matchboil-new-tricks-same-old-evil-intentions/ Report completeness: High Actors/Campaigns: Earth_sirrush (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
UAC-0099 использует эволюционирующий загрузчик MATCHBOIL на C# для атак на украинские организации посредством целевого фишинга. MATCHBOIL профилирует заражённые системы, взаимодействует с C&C для получения и запуска бэкдора MATCHWOK, а со временем получил изменения для закрепления, проверки песочниц, более сильное обфускацию и варианты на основе DLL.
-----
MATCHBOIL — это собственный загрузчик на языке C#, используемый группой UAC-0099, связанной с Россией, против организаций на Украине. Он распространяется через ссылки для целевого фишинга, по которым загружается архив, содержащий VBScript. Жертва должна вручную выполнить скрипт, который скачивает и запускает MATCHBOIL. ВПО проверяет наличие каталога, специфичного для данного образца, в `%LOCALAPPDATA%` и завершает работу, если установка уже существует.
В процессе выполнения MATCHBOIL собирает информацию об узле, такую как CPUID, серийный номер BIOS, имя пользователя, MAC-адрес, сведения о сетевом интерфейсе, а также производитель или модель компьютера. Затем он выполняет три HTTPS-запроса к серверу управления. Первый запрос получает числовое значение, которое передается в пользовательском заголовке HTTP для второго запроса. Ожидается, что во втором ответе будет содержаться HTML с шестнадцатерично закодированной полезной нагрузкой, которую MATCHBOIL извлекает с помощью регулярного выражения, специфичного для данного образца, и записывает на диск. Третий запрос получает строку, которая может служить конфигурацией полезной нагрузки. Установленная полезная нагрузка обычно представляет собой бэкдор MATCHWOK на C#, также связанный с UAC-0099.
Способы закрепления и выполнения MATCHBOIL менялись со временем. Образцы 2024 года использовали как параметр реестра `Run`, так и запланированную задачу, тогда как образцы июля 2025 года полагались на ключ `Run` и запускали полезную нагрузку через `Win32_Process`. Варианты конца 2025 года создавали запланированные задачи и перешли от однократного выполнения к общению с C&C каждые две минуты, что позволяло им получать обновленные полезные нагрузки. Эти версии также использовали аргумент `-auto`, мьютекс и обманчивый графический интерфейс, отображаемый при ручном запуске.
С конца 2025 года MATCHBOIL добавил проверки песочниц и сред анализа. Он анализировал журналы событий Windows с идентификатором 6013 для определения времени работы системы, требовал наличия нескольких событий, подтверждающих время работы не менее двух часов, и проверял наличие подключённого отладчика. DLL-вариант от апреля 2026 года, загружаемый кастомным загрузчиком на C# и идентифицированный CERT-UA как MATCHBOIL.V2, дополнительно завершал работу, если дата установки операционной системы была менее чем за десять дней до момента выполнения.
Обфускация ВПО эволюционировала от переименования на основе Unicode и шифрования строк до использования Eziriz .NET Reactor, включая обфускацию потока управления и виртуализацию. Места размещения полезной нагрузки и имена файлов также изменялись, чтобы выглядеть менее подозрительно, в том числе `SMTPClientApplication.exe` в каталоге `%LOCALAPPDATA%\SMTPClient`. UAC-0099 размещает инфраструктуру C&C на VPS-провайдерах и использует Cloudflare, HTTP/HTTPS, а также сертификаты Let’s Encrypt, которые не переиспользуются.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
UAC-0099 использует эволюционирующий загрузчик MATCHBOIL на C# для атак на украинские организации посредством целевого фишинга. MATCHBOIL профилирует заражённые системы, взаимодействует с C&C для получения и запуска бэкдора MATCHWOK, а со временем получил изменения для закрепления, проверки песочниц, более сильное обфускацию и варианты на основе DLL.
-----
MATCHBOIL — это собственный загрузчик на языке C#, используемый группой UAC-0099, связанной с Россией, против организаций на Украине. Он распространяется через ссылки для целевого фишинга, по которым загружается архив, содержащий VBScript. Жертва должна вручную выполнить скрипт, который скачивает и запускает MATCHBOIL. ВПО проверяет наличие каталога, специфичного для данного образца, в `%LOCALAPPDATA%` и завершает работу, если установка уже существует.
В процессе выполнения MATCHBOIL собирает информацию об узле, такую как CPUID, серийный номер BIOS, имя пользователя, MAC-адрес, сведения о сетевом интерфейсе, а также производитель или модель компьютера. Затем он выполняет три HTTPS-запроса к серверу управления. Первый запрос получает числовое значение, которое передается в пользовательском заголовке HTTP для второго запроса. Ожидается, что во втором ответе будет содержаться HTML с шестнадцатерично закодированной полезной нагрузкой, которую MATCHBOIL извлекает с помощью регулярного выражения, специфичного для данного образца, и записывает на диск. Третий запрос получает строку, которая может служить конфигурацией полезной нагрузки. Установленная полезная нагрузка обычно представляет собой бэкдор MATCHWOK на C#, также связанный с UAC-0099.
Способы закрепления и выполнения MATCHBOIL менялись со временем. Образцы 2024 года использовали как параметр реестра `Run`, так и запланированную задачу, тогда как образцы июля 2025 года полагались на ключ `Run` и запускали полезную нагрузку через `Win32_Process`. Варианты конца 2025 года создавали запланированные задачи и перешли от однократного выполнения к общению с C&C каждые две минуты, что позволяло им получать обновленные полезные нагрузки. Эти версии также использовали аргумент `-auto`, мьютекс и обманчивый графический интерфейс, отображаемый при ручном запуске.
С конца 2025 года MATCHBOIL добавил проверки песочниц и сред анализа. Он анализировал журналы событий Windows с идентификатором 6013 для определения времени работы системы, требовал наличия нескольких событий, подтверждающих время работы не менее двух часов, и проверял наличие подключённого отладчика. DLL-вариант от апреля 2026 года, загружаемый кастомным загрузчиком на C# и идентифицированный CERT-UA как MATCHBOIL.V2, дополнительно завершал работу, если дата установки операционной системы была менее чем за десять дней до момента выполнения.
Обфускация ВПО эволюционировала от переименования на основе Unicode и шифрования строк до использования Eziriz .NET Reactor, включая обфускацию потока управления и виртуализацию. Места размещения полезной нагрузки и имена файлов также изменялись, чтобы выглядеть менее подозрительно, в том числе `SMTPClientApplication.exe` в каталоге `%LOCALAPPDATA%\SMTPClient`. UAC-0099 размещает инфраструктуру C&C на VPS-провайдерах и использует Cloudflare, HTTP/HTTPS, а также сертификаты Let’s Encrypt, которые не переиспользуются.
#ParsedReport #CompletenessMedium
09-10-2026
GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories
https://www.stepsecurity.io/blog/ghostaction-returns
Report completeness: Medium
Actors/Campaigns:
Ghostaction
Threats:
Supply_chain_technique
Victims:
Open source software, Github repositories, Software developers
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1005, T1020, T1041, T1059.004, T1071.001, T1078.004, T1119, T1195.001, T1213, T1552.001, have more...
IOCs:
Domain: 2
IP: 3
File: 3
Url: 3
Soft:
curl, plesk, Anthropic, OpenAI, Slack, SendGrid
Win API:
NAME
Links:
have more...
09-10-2026
GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories
https://www.stepsecurity.io/blog/ghostaction-returns
Report completeness: Medium
Actors/Campaigns:
Ghostaction
Threats:
Supply_chain_technique
Victims:
Open source software, Github repositories, Software developers
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1005, T1020, T1041, T1059.004, T1071.001, T1078.004, T1119, T1195.001, T1213, T1552.001, have more...
IOCs:
Domain: 2
IP: 3
File: 3
Url: 3
Soft:
curl, plesk, Anthropic, OpenAI, Slack, SendGrid
Win API:
NAME
Links:
https://github.com/uber/athenadriverhttps://github.com/henrywoohave more...
https://github.com/kitao/pyxelwww.stepsecurity.io
GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories - StepSecurity
GhostAction returns: compromised maintainers push a fake security-audit.yml workflow that steals CI/CD secrets and cloud credentials from GitHub repos.
CTT Report Hub
#ParsedReport #CompletenessMedium 09-10-2026 GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories https://www.stepsecurity.io/blog/ghostaction-returns Report completeness: Medium Actors/Campaigns: Ghostaction…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники получают доступ к учетным данным администраторов репозиториев, чтобы внедрить вредоносные рабочие процессы. Эти рабочие процессы перечисляют настроенные секреты и анализируют полную историю Git на предмет раскрытых учетных данных, включая ключи AWS, GitHub, облачных, SaaS- и ИИ-сервисов, после чего выводят их на сервер, контролируемый злоумышленником. К 9 октября 2026 года было затронуто приблизительно 378 репозиториев.
-----
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники осуществляют компрометацию аккаунтов разработчиков и внедряют рабочие процессы, замаскированные под проверки безопасности. 8 октября 2026 года скомпрометированные аккаунты, связанные с игровым движком Pyxel и драйвером Uber Athena, были использованы для добавления данного рабочего процесса в 345 репозиториев в течение двух автоматизированных временных окон. Ранее в ходе кампании было скомпрометировано более 3 000 секретов в 817 репозиториях.
Атака начинается с кражи учётных данных maintainer в GitHub, вероятно, персонального токена доступа, полученного из логов стиллера или дампов учётных данных. Атакующий анализирует рабочие процессы репозитория на наличие ссылок, таких как `${{ secrets.NAME }}`, встраивает обнаруженные имена секретов в вредоносный рабочий процесс и коммитит его непосредственно в ветку по умолчанию. События Push, включая коммит с внедрением, запускают рабочий процесс. Классический вариант отправляет настроенные секреты GitHub Actions на адрес `193.32.204.199` с помощью HTTP-запроса POST.
Октябрьская версия добавляет полный сбор истории Git. После переключения на ветви и теги репозитория она использует команду `git log -p --all`, что позволяет восстанавливать учетные данные, удаленные из текущего дерева исходного кода. Полезная нагрузка ищет ключи доступа и секретные ключи AWS, токены GitHub и GitLab, ключи Google/Firebase, учетные данные Slack и SendGrid, а также API-ключи для Anthropic, OpenAI и OpenRouter. Она захватывает контекстные данные для связывания идентификаторов ключей доступа AWS с соответствующими секретными ключами. Запросы используют маркеры запросов, такие как `?c=monami` для репозиториев, содержащих именованные секреты, и `?c=new` для результатов анализа истории.
Наблюдаемая активность подтверждает успешную эксфильтрацию из затронутых репозиториев. В ходе одного запуска были получены все 13 веток и 20 тегов репозитория `athenadriver`, а данные были отправлены на сервер злоумышленника. Workflow Pyxel был вручную запущен несколько раз из скомпрометированной сессии, что указывает на многократный сбор данных. По состоянию на 9 октября приблизительно 378 репозиториев содержали вредоносный workflow, в том числе 182 с маркером извлечения истории и 88 с шаблонизированными именованными секретами.
Защитникам следует отозвать скомпрометированные учётные данные GitHub и обновить все учётные данные, когда-либо зафиксированные в любой ветке, включая токены публикации. Необходимо удалить workflow из всех веток, проверить историю запусков workflow, проинспектировать форки и потребовать подтверждения для выполнения workflow. Защита веток и ограничение исходящего трафика CI также могут предотвратить несанкционированные изменения workflow и исходящую эксфильтрацию.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники получают доступ к учетным данным администраторов репозиториев, чтобы внедрить вредоносные рабочие процессы. Эти рабочие процессы перечисляют настроенные секреты и анализируют полную историю Git на предмет раскрытых учетных данных, включая ключи AWS, GitHub, облачных, SaaS- и ИИ-сервисов, после чего выводят их на сервер, контролируемый злоумышленником. К 9 октября 2026 года было затронуто приблизительно 378 репозиториев.
-----
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники осуществляют компрометацию аккаунтов разработчиков и внедряют рабочие процессы, замаскированные под проверки безопасности. 8 октября 2026 года скомпрометированные аккаунты, связанные с игровым движком Pyxel и драйвером Uber Athena, были использованы для добавления данного рабочего процесса в 345 репозиториев в течение двух автоматизированных временных окон. Ранее в ходе кампании было скомпрометировано более 3 000 секретов в 817 репозиториях.
Атака начинается с кражи учётных данных maintainer в GitHub, вероятно, персонального токена доступа, полученного из логов стиллера или дампов учётных данных. Атакующий анализирует рабочие процессы репозитория на наличие ссылок, таких как `${{ secrets.NAME }}`, встраивает обнаруженные имена секретов в вредоносный рабочий процесс и коммитит его непосредственно в ветку по умолчанию. События Push, включая коммит с внедрением, запускают рабочий процесс. Классический вариант отправляет настроенные секреты GitHub Actions на адрес `193.32.204.199` с помощью HTTP-запроса POST.
Октябрьская версия добавляет полный сбор истории Git. После переключения на ветви и теги репозитория она использует команду `git log -p --all`, что позволяет восстанавливать учетные данные, удаленные из текущего дерева исходного кода. Полезная нагрузка ищет ключи доступа и секретные ключи AWS, токены GitHub и GitLab, ключи Google/Firebase, учетные данные Slack и SendGrid, а также API-ключи для Anthropic, OpenAI и OpenRouter. Она захватывает контекстные данные для связывания идентификаторов ключей доступа AWS с соответствующими секретными ключами. Запросы используют маркеры запросов, такие как `?c=monami` для репозиториев, содержащих именованные секреты, и `?c=new` для результатов анализа истории.
Наблюдаемая активность подтверждает успешную эксфильтрацию из затронутых репозиториев. В ходе одного запуска были получены все 13 веток и 20 тегов репозитория `athenadriver`, а данные были отправлены на сервер злоумышленника. Workflow Pyxel был вручную запущен несколько раз из скомпрометированной сессии, что указывает на многократный сбор данных. По состоянию на 9 октября приблизительно 378 репозиториев содержали вредоносный workflow, в том числе 182 с маркером извлечения истории и 88 с шаблонизированными именованными секретами.
Защитникам следует отозвать скомпрометированные учётные данные GitHub и обновить все учётные данные, когда-либо зафиксированные в любой ветке, включая токены публикации. Необходимо удалить workflow из всех веток, проверить историю запусков workflow, проинспектировать форки и потребовать подтверждения для выполнения workflow. Защита веток и ограничение исходящего трафика CI также могут предотвратить несанкционированные изменения workflow и исходящую эксфильтрацию.
#ParsedReport #CompletenessMedium
09-10-2026
Hunting a Global Formbook Campaign with Machine Learning
https://www.vmray.com/hunting-a-global-formbook-campaign-with-machine-learning/
Report completeness: Medium
Threats:
Formbook
Victims:
Trade departments, Finance and accounting departments, Maritime and tanker charter operators, Public sector institutions, Universities, Interbank settlement institutions
Industry:
Maritime, Financial, Education
Geo:
Spain, Italy, Turkiye, Bahrain, Vietnam, Netherlands
ChatGPT TTPs:
T1115, T1566.001, T1656
IOCs:
Hash: 9
Domain: 19
IP: 1
File: 2
Soft:
Cloudflare, Sysinternals
Languages:
swift
09-10-2026
Hunting a Global Formbook Campaign with Machine Learning
https://www.vmray.com/hunting-a-global-formbook-campaign-with-machine-learning/
Report completeness: Medium
Threats:
Formbook
Victims:
Trade departments, Finance and accounting departments, Maritime and tanker charter operators, Public sector institutions, Universities, Interbank settlement institutions
Industry:
Maritime, Financial, Education
Geo:
Spain, Italy, Turkiye, Bahrain, Vietnam, Netherlands
ChatGPT TTPs:
do not use without manual checkT1115, T1566.001, T1656
IOCs:
Hash: 9
Domain: 19
IP: 1
File: 2
Soft:
Cloudflare, Sysinternals
Languages:
swift
VMRay
From One RedLine IP to a Maritime Phishing Cluster: A Threat Intelligence Pivot Chain
A single RedLine C2 from UniqueSignal pivots into a maritime spear-phishing cluster and attacker-owned infrastructure.
CTT Report Hub
#ParsedReport #CompletenessMedium 09-10-2026 Hunting a Global Formbook Campaign with Machine Learning https://www.vmray.com/hunting-a-global-formbook-campaign-with-machine-learning/ Report completeness: Medium Threats: Formbook Victims: Trade departments…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кластеризация на основе поведенческих характеристик выявила кластер из шести образцов Formbook, связанный с глобальной кампанией Business Email Compromise 2026 года. ВПО распространялась через вложения с тематикой финансов и торговли, похищала учетные данные и данные из буфера обмена, а также нацеливалась на организации в нескольких странах. Образцы взаимодействовали с доменом `finance77-laudantium[.\]pro`, при этом использование доменов-приманок и перестановка доменов усложняли отслеживание инфраструктуры на основе сетевых индикаторов.
-----
Исследователи проанализировали 276 образцов Formbook с использованием поведенческого кластеризации на основе HDBSCAN, в результате чего было сформировано 17 кластеров. Данный подход сравнивал техники MITRE ATT&CK, структуру дерева процессов, командные строки и поведение во время выполнения, а не опирался преимущественно на инфраструктуру C2 или сходство кода. Одна группа из шести образцов, Кластер 5, состояла из образцов, впервые обнаруженных в период с 20 мая по 14 июля 2026 года, и была связана с глобальной кампанией компрометации деловой электронной почты (Business Email Compromise).
Образцы использовали возможности Formbook для кражи учётных данных и содержимого буфера обмена для атак на организации посредством вредоносных вложений в электронной почте. В качестве приманок использовались типовые заказы на покупку, поддельные квитанции банков Ziraat Bank и Vietcombank, уведомления SWIFT о межбанковских расчётах, а также документы на морские чартеры, основанные на формах проверки танкеров Q88. Эти темы указывают на целенаправленные атаки на организации в сферах финансов, бухгалтерии, торговли, морского транспорта и государственного сектора. Подтверждённые или предполагаемые цели включали организации в Турции, Вьетнаме, Испании, Италии, Бахрейне и Объединённых Арабских Эмиратах, в том числе университеты и организации, участвующие в межбанковских переводах.
Одна из выявленных доменов управления — `finance77-laudantium[.\]pro` — была зарегистрирована 26 января 2026 года и наблюдалась в процессе взаимодействия с 46 образцами ВПО. Путь панели `/ge47/` соответствовал путям, зафиксированным в проанализированных образцах. История DNS-записей связывала домен с IP-адресом `5.45.75.98` (AS58061, Scalaxy B.V.) в Нидерландах. Пассивный DNS-анализ ассоциировал с этим IP-адресом около 200 доменов, из которых 189 использовали схожий шаблон именования. Образцы Formbook также содержали домены-приманки, которые перемешивались между запусками, что усложняло анализ на основе инфраструктуры.
ВПО достигла корпоративных почтовых ящиков и впоследствии была передана в системы безопасности электронной почты и анализа конечных точек, что подтверждается путями, такими как `/tmp/eml_attach_for_scan/`, `/tmp/cortex-job-…/` и `D:\auto_black_abuse`. Это указывает на доставку в организации, использующие автоматизированные средства безопасности, а не на отдельных пользователей. Конвейер кластеризации нормализовал имена файлов, хеши, имена пользователей, имена процессов и строки команд, сгенерированные песочницей, перед извлечением признаков. Сходство деревьев процессов вычислялось с использованием ядра поддерева Вайсфелера-Лемана, а техники ATT&CK представлялись в виде многогорячих векторов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кластеризация на основе поведенческих характеристик выявила кластер из шести образцов Formbook, связанный с глобальной кампанией Business Email Compromise 2026 года. ВПО распространялась через вложения с тематикой финансов и торговли, похищала учетные данные и данные из буфера обмена, а также нацеливалась на организации в нескольких странах. Образцы взаимодействовали с доменом `finance77-laudantium[.\]pro`, при этом использование доменов-приманок и перестановка доменов усложняли отслеживание инфраструктуры на основе сетевых индикаторов.
-----
Исследователи проанализировали 276 образцов Formbook с использованием поведенческого кластеризации на основе HDBSCAN, в результате чего было сформировано 17 кластеров. Данный подход сравнивал техники MITRE ATT&CK, структуру дерева процессов, командные строки и поведение во время выполнения, а не опирался преимущественно на инфраструктуру C2 или сходство кода. Одна группа из шести образцов, Кластер 5, состояла из образцов, впервые обнаруженных в период с 20 мая по 14 июля 2026 года, и была связана с глобальной кампанией компрометации деловой электронной почты (Business Email Compromise).
Образцы использовали возможности Formbook для кражи учётных данных и содержимого буфера обмена для атак на организации посредством вредоносных вложений в электронной почте. В качестве приманок использовались типовые заказы на покупку, поддельные квитанции банков Ziraat Bank и Vietcombank, уведомления SWIFT о межбанковских расчётах, а также документы на морские чартеры, основанные на формах проверки танкеров Q88. Эти темы указывают на целенаправленные атаки на организации в сферах финансов, бухгалтерии, торговли, морского транспорта и государственного сектора. Подтверждённые или предполагаемые цели включали организации в Турции, Вьетнаме, Испании, Италии, Бахрейне и Объединённых Арабских Эмиратах, в том числе университеты и организации, участвующие в межбанковских переводах.
Одна из выявленных доменов управления — `finance77-laudantium[.\]pro` — была зарегистрирована 26 января 2026 года и наблюдалась в процессе взаимодействия с 46 образцами ВПО. Путь панели `/ge47/` соответствовал путям, зафиксированным в проанализированных образцах. История DNS-записей связывала домен с IP-адресом `5.45.75.98` (AS58061, Scalaxy B.V.) в Нидерландах. Пассивный DNS-анализ ассоциировал с этим IP-адресом около 200 доменов, из которых 189 использовали схожий шаблон именования. Образцы Formbook также содержали домены-приманки, которые перемешивались между запусками, что усложняло анализ на основе инфраструктуры.
ВПО достигла корпоративных почтовых ящиков и впоследствии была передана в системы безопасности электронной почты и анализа конечных точек, что подтверждается путями, такими как `/tmp/eml_attach_for_scan/`, `/tmp/cortex-job-…/` и `D:\auto_black_abuse`. Это указывает на доставку в организации, использующие автоматизированные средства безопасности, а не на отдельных пользователей. Конвейер кластеризации нормализовал имена файлов, хеши, имена пользователей, имена процессов и строки команд, сгенерированные песочницей, перед извлечением признаков. Сходство деревьев процессов вычислялось с использованием ядра поддерева Вайсфелера-Лемана, а техники ATT&CK представлялись в виде многогорячих векторов.
#ParsedReport #CompletenessLow
07-10-2026
How AI Agents Turned One Exposed Endpoint into a Server Takeover
https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/
Report completeness: Low
Threats:
Cairn
Acunetix_tool
Cyberstrikeai_tool
Godpotato_tool
Printspoofer_tool
Victims:
Application server
ChatGPT TTPs:
T1059.007, T1070.004, T1136.001, T1190, T1505.001, T1552.001, T1588.002, T1595.002
IOCs:
IP: 3
File: 9
Path: 2
Soft:
uvicorn, SimpleHTTP, nginx a, Claude, Claude Code, Codex, Apache Tomcat
Algorithms:
base64
Win API:
SeImpersonatePrivilege
Languages:
javascript, python, powershell, java
07-10-2026
How AI Agents Turned One Exposed Endpoint into a Server Takeover
https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/
Report completeness: Low
Threats:
Cairn
Acunetix_tool
Cyberstrikeai_tool
Godpotato_tool
Printspoofer_tool
Victims:
Application server
ChatGPT TTPs:
do not use without manual checkT1059.007, T1070.004, T1136.001, T1190, T1505.001, T1552.001, T1588.002, T1595.002
IOCs:
IP: 3
File: 9
Path: 2
Soft:
uvicorn, SimpleHTTP, nginx a, Claude, Claude Code, Codex, Apache Tomcat
Algorithms:
base64
Win API:
SeImpersonatePrivilege
Languages:
javascript, python, powershell, java
ReliaQuest
How AI Agents Turned One Exposed Endpoint into a Server Takeover | Threat Spotlight
What happens when LLM-driven agents carry out substantial portions of an attack? ReliaQuest analyzed an incident where AI did the heavy lifting.
CTT Report Hub
#ParsedReport #CompletenessLow 07-10-2026 How AI Agents Turned One Exposed Endpoint into a Server Takeover https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/ Report completeness: Low Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Злоумышленник эксплуатировал эндпоинт отправки заданий Spring Batch в Apache Tomcat, не требующий аутентификации, для выполнения кода через Nashorn, кражи учетных данных администратора SQL Server и получения привилегий SYSTEM с использованием `xp_cmdshell`, PrintSpoofer и GodPotato. Для получения результатов и поддержания доступа применялись автоматизированные запросы, разбитые на части, при этом инфраструктура указывает на возможное участие ИИ-агентов в деятельности злоумышленника.
-----
Злоумышленник получил несанкционированный доступ к приложению Apache Tomcat, доступному из интернета, в котором функция отправки заданий Spring Batch была доступна без аутентификации. Конечная точка принимала определения задач и выполняла их от имени учетной записи приложения. Злоумышленник использовал эти задачи для вызова Nashorn — встроенного в Java движка JavaScript, — что позволило выполнить код внутри приложения без первоначального запуска дочерних процессов.
Атакующий извлекал результаты выполнения команд через сообщения об ошибках приложения, а не разворачивая веб-шелл. Поскольку размер ответов был ограничен, файлы и вывод команд извлекались фиксированными блоками по 1800 байт в ходе сотен последовательных запросов. Задачи использовали сгенерированные имена, отслеживающие смещения файлов и части загрузки, при этом за неудачными командами следовали повторные попытки, резервные методы и скорректированные подходы. Эти паттерны, в сочетании с быстрым выполнением и структурированным выводом, были оценены как соответствующие активности агентов, управляемых большими языковыми моделями, хотя конкретная модель, количество агентов и степень участия человека определить не удалось.
Файлы конфигурации содержали учетные данные SQL Server в открытом виде, наделенные правами sysadmin. Злоумышленник включил и использовал `xp_cmdshell` для выполнения команд операционной системы от имени учетной записи службы SQL Server. Затем он проверил права учетной записи в Windows и обнаружил `SeImpersonatePrivilege`. Были перемещены и использованы общедоступные инструменты, включая PrintSpoofer и GodPotato, для повышения привилегий до уровня `SYSTEM`. Злоумышленник также использовал встроенные утилиты, такие как PowerShell, `certutil` и `wmic`, а также общедоступные библиотеки для работы с учетными данными и протоколами.
Инфраструктура, связанная с атакой, включала хост, на котором работала платформа оркестрации ИИ-агентов с открытым исходным кодом Cairn, чей дашборд был доступен по тому же адресу, с которого были отправлены первоначальные вредоносные задания. Другая инфраструктура содержала инструменты сканирования, бинарные файлы для повышения привилегий, исходный код, закодированные полезныe нагрузки и системы для сбора результатов выполнения заданий. Доказательства связали инфраструктуру с инцидентом, но не подтвердили, что другие наблюдаемые сервисы, связанные с ИИ, были вовлечены в атаку.
Атакующий выполнил ограниченную очистку, удалив часть артефактов и одну учетную запись администратора, при этом оставив активным другую учетную запись администратора, используемую как бэкдор. Первоначальный путь доступа, оставшийся открытым, по-прежнему оставался доступным. Инцидент демонстрирует, что конечная точка выполнения задач без аутентификации может обеспечить достаточный уровень доступа для кражи учетных данных, выполнения кода, повышения привилегий и полного захвата сервера без использования уязвимости нулевого дня или развертывания нового ВПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Злоумышленник эксплуатировал эндпоинт отправки заданий Spring Batch в Apache Tomcat, не требующий аутентификации, для выполнения кода через Nashorn, кражи учетных данных администратора SQL Server и получения привилегий SYSTEM с использованием `xp_cmdshell`, PrintSpoofer и GodPotato. Для получения результатов и поддержания доступа применялись автоматизированные запросы, разбитые на части, при этом инфраструктура указывает на возможное участие ИИ-агентов в деятельности злоумышленника.
-----
Злоумышленник получил несанкционированный доступ к приложению Apache Tomcat, доступному из интернета, в котором функция отправки заданий Spring Batch была доступна без аутентификации. Конечная точка принимала определения задач и выполняла их от имени учетной записи приложения. Злоумышленник использовал эти задачи для вызова Nashorn — встроенного в Java движка JavaScript, — что позволило выполнить код внутри приложения без первоначального запуска дочерних процессов.
Атакующий извлекал результаты выполнения команд через сообщения об ошибках приложения, а не разворачивая веб-шелл. Поскольку размер ответов был ограничен, файлы и вывод команд извлекались фиксированными блоками по 1800 байт в ходе сотен последовательных запросов. Задачи использовали сгенерированные имена, отслеживающие смещения файлов и части загрузки, при этом за неудачными командами следовали повторные попытки, резервные методы и скорректированные подходы. Эти паттерны, в сочетании с быстрым выполнением и структурированным выводом, были оценены как соответствующие активности агентов, управляемых большими языковыми моделями, хотя конкретная модель, количество агентов и степень участия человека определить не удалось.
Файлы конфигурации содержали учетные данные SQL Server в открытом виде, наделенные правами sysadmin. Злоумышленник включил и использовал `xp_cmdshell` для выполнения команд операционной системы от имени учетной записи службы SQL Server. Затем он проверил права учетной записи в Windows и обнаружил `SeImpersonatePrivilege`. Были перемещены и использованы общедоступные инструменты, включая PrintSpoofer и GodPotato, для повышения привилегий до уровня `SYSTEM`. Злоумышленник также использовал встроенные утилиты, такие как PowerShell, `certutil` и `wmic`, а также общедоступные библиотеки для работы с учетными данными и протоколами.
Инфраструктура, связанная с атакой, включала хост, на котором работала платформа оркестрации ИИ-агентов с открытым исходным кодом Cairn, чей дашборд был доступен по тому же адресу, с которого были отправлены первоначальные вредоносные задания. Другая инфраструктура содержала инструменты сканирования, бинарные файлы для повышения привилегий, исходный код, закодированные полезныe нагрузки и системы для сбора результатов выполнения заданий. Доказательства связали инфраструктуру с инцидентом, но не подтвердили, что другие наблюдаемые сервисы, связанные с ИИ, были вовлечены в атаку.
Атакующий выполнил ограниченную очистку, удалив часть артефактов и одну учетную запись администратора, при этом оставив активным другую учетную запись администратора, используемую как бэкдор. Первоначальный путь доступа, оставшийся открытым, по-прежнему оставался доступным. Инцидент демонстрирует, что конечная точка выполнения задач без аутентификации может обеспечить достаточный уровень доступа для кражи учетных данных, выполнения кода, повышения привилегий и полного захвата сервера без использования уязвимости нулевого дня или развертывания нового ВПО.
#ParsedReport #CompletenessLow
09-10-2026
When a Wallet Drainer Asks DNS Where to Go
https://www.infoblox.com/blog/threat-intelligence/when-a-wallet-drainer-asks-dns-where-to-go/
Report completeness: Low
Threats:
Noir
Detour_dog
Decoy_dog
Victims:
Cryptocurrency wallet users
ChatGPT TTPs:
T1027, T1059.007, T1071.001, T1071.004, T1140, T1568, T1573
IOCs:
Domain: 4
File: 2
Soft:
Cloudflare, WalletConnect
Crypto:
uniswap
Languages:
javascript
Platforms:
intel
09-10-2026
When a Wallet Drainer Asks DNS Where to Go
https://www.infoblox.com/blog/threat-intelligence/when-a-wallet-drainer-asks-dns-where-to-go/
Report completeness: Low
Threats:
Noir
Detour_dog
Decoy_dog
Victims:
Cryptocurrency wallet users
ChatGPT TTPs:
do not use without manual checkT1027, T1059.007, T1071.001, T1071.004, T1140, T1568, T1573
IOCs:
Domain: 4
File: 2
Soft:
Cloudflare, WalletConnect
Crypto:
uniswap
Languages:
javascript
Platforms:
intel
Infoblox Blog
DNS as C2 in Noir, An AI-Developed Crypto Wallet Drainer
Researchers uncovered a likely AI-developed wallet drainer that uses DNS TXT records and public DoH services as a dynamic C2 infrastructure control plane.
CTT Report Hub
#ParsedReport #CompletenessLow 09-10-2026 When a Wallet Drainer Asks DNS Where to Go https://www.infoblox.com/blog/threat-intelligence/when-a-wallet-drainer-asks-dns-where-to-go/ Report completeness: Low Threats: Noir Detour_dog Decoy_dog Victims: Cryptocurrency…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Крипто-дроппер Noir использует обфусцированный JavaScript, DNS TXT-записи и публичные сервисы DoH для динамического определения заменяемой backend-инфраструктуры. Фальшивые страницы, связанные с криптовалютами, побуждают жертв подключать свои кошельки, после чего Noir адаптирует процесс кражи, используя обманные разрешения на расход средств, а не запрашивая seed-фразы или закрытые ключи. Он может использовать резервную инфраструктуру и разрывать сессии WalletConnect, чтобы скрыть свою активность.
-----
Набор инструментов для кражи средств из криптокошельков Noir использует записи DNS TXT и общедоступные сервисы DNS-over-HTTPS (DoH) для динамического определения своей операционной инфраструктуры. Жертв, как правило, направляют на поддельные страницы криптоголосований, аирдропов, листингов, децентрализованных бирж или проверки соответствия требованиям, которые побуждают их подключить кошелёк. Сам приманка не содержит постоянной ссылки на бэкенд инструмента для кражи средств. Вместо этого встроенный загрузчик на JavaScript декодирует замаскированный массив десятичных кодов символов, выполняет его и запрашивает запись TXT по адресу `_r.noir.black` через нескольких провайдеров DoH, включая Google Public DNS и конечные точки Cloudflare. Первая валидная реакция определяет активный пул инструментов для кражи средств, в который входили домены, размещённые на Cloudflare Pages.
Данная архитектура разделяет долговечные приманочные страницы и заменяемую инфраструктуру бэкенда. Операторы могут изменить одну запись DNS TXT, чтобы перенаправить существующие приманки на новый пул, если хост заблокирован или удалён. По имеющимся данным, загрузчик использует кэш с тайм-аутом 60 секунд и логику повторных попыток для обеспечения восстановления при изменениях инфраструктуры. Он также запрашивает дорожную конфигурацию у API по адресу `noir.black`; ответ может предоставить независимо разрешённый резервный пул в случае сбоя прямого доступа через DoH. Разрешение DNS и получение конфигурации выполняются параллельно для снижения задержки. Возвращённая конфигурация определяет, будет ли дрэйн-скрипт внедрён в существующую приманочную страницу или отображён в прозрачной рамке, занимающей всё видимое поле.
Noir не требует от жертв предоставления seed-фраз, паролей или закрытых ключей. После получения начальных разрешений на чтение данных кошелька он анализирует конкретный кошелёк и разрабатывает индивидуальный план кражи. Затем он запрашивает разрешения на расходование средств, которые могут выглядеть менее подозрительно, чем прямой перевод, и осуществляет кражу активов с инфраструктуры, контролируемой злоумышленником. После завершения процесса набор инструментов разрывает сессию WalletConnect, удаляя вредоносное приложение из списка подключённых приложений кошелька и сокращая видимые следы компрометации. Использование публичного DoH, DNS-основанной живой конфигурации, пулов, размещённых в облаке, резервной инфраструктуры и принятия решений для каждого кошелька обеспечивает устойчивость и поддерживает оперативные изменения в ходе проведения операций.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Крипто-дроппер Noir использует обфусцированный JavaScript, DNS TXT-записи и публичные сервисы DoH для динамического определения заменяемой backend-инфраструктуры. Фальшивые страницы, связанные с криптовалютами, побуждают жертв подключать свои кошельки, после чего Noir адаптирует процесс кражи, используя обманные разрешения на расход средств, а не запрашивая seed-фразы или закрытые ключи. Он может использовать резервную инфраструктуру и разрывать сессии WalletConnect, чтобы скрыть свою активность.
-----
Набор инструментов для кражи средств из криптокошельков Noir использует записи DNS TXT и общедоступные сервисы DNS-over-HTTPS (DoH) для динамического определения своей операционной инфраструктуры. Жертв, как правило, направляют на поддельные страницы криптоголосований, аирдропов, листингов, децентрализованных бирж или проверки соответствия требованиям, которые побуждают их подключить кошелёк. Сам приманка не содержит постоянной ссылки на бэкенд инструмента для кражи средств. Вместо этого встроенный загрузчик на JavaScript декодирует замаскированный массив десятичных кодов символов, выполняет его и запрашивает запись TXT по адресу `_r.noir.black` через нескольких провайдеров DoH, включая Google Public DNS и конечные точки Cloudflare. Первая валидная реакция определяет активный пул инструментов для кражи средств, в который входили домены, размещённые на Cloudflare Pages.
Данная архитектура разделяет долговечные приманочные страницы и заменяемую инфраструктуру бэкенда. Операторы могут изменить одну запись DNS TXT, чтобы перенаправить существующие приманки на новый пул, если хост заблокирован или удалён. По имеющимся данным, загрузчик использует кэш с тайм-аутом 60 секунд и логику повторных попыток для обеспечения восстановления при изменениях инфраструктуры. Он также запрашивает дорожную конфигурацию у API по адресу `noir.black`; ответ может предоставить независимо разрешённый резервный пул в случае сбоя прямого доступа через DoH. Разрешение DNS и получение конфигурации выполняются параллельно для снижения задержки. Возвращённая конфигурация определяет, будет ли дрэйн-скрипт внедрён в существующую приманочную страницу или отображён в прозрачной рамке, занимающей всё видимое поле.
Noir не требует от жертв предоставления seed-фраз, паролей или закрытых ключей. После получения начальных разрешений на чтение данных кошелька он анализирует конкретный кошелёк и разрабатывает индивидуальный план кражи. Затем он запрашивает разрешения на расходование средств, которые могут выглядеть менее подозрительно, чем прямой перевод, и осуществляет кражу активов с инфраструктуры, контролируемой злоумышленником. После завершения процесса набор инструментов разрывает сессию WalletConnect, удаляя вредоносное приложение из списка подключённых приложений кошелька и сокращая видимые следы компрометации. Использование публичного DoH, DNS-основанной живой конфигурации, пулов, размещённых в облаке, резервной инфраструктуры и принятия решений для каждого кошелька обеспечивает устойчивость и поддерживает оперативные изменения в ходе проведения операций.
#ParsedReport #CompletenessHigh
07-10-2026
From WhatsApp to SYSTEM: Inside the VulcanRAT207.A Intrusion Chain
https://www.morphisec.com/blog/copy-of-how-to-stop-ransomware-before-execution/
Report completeness: High
Threats:
Dll_sideloading_technique
Romulusloader
Poolparty_technique
Byovd_technique
Process_injection_technique
Dllsearchorder_hijacking_technique
Victims:
Baidu security products, 360 security products, Tencent security products
Geo:
Chinese, China
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1012, T1027, T1027.002, T1027.007, T1027.009, T1036.004, T1053.005, T1055, T1055.003, T1057, have more...
IOCs:
IP: 2
File: 21
Command: 1
Url: 1
Hash: 6
Path: 4
Soft:
WhatsApp, Task Scheduler, Windows Task Scheduler, NET Framework, Hyper-V, winlogon
Algorithms:
rc4, md5, xor, zip, sha256
Functions:
CreateRemoteThread-based, DLL-resolution, DLL
Win API:
CreateRemoteThread, CreateServiceW, SeDebugPrivilege, ZwTerminateProcess, ShellExecuteW, CoGetObject, AdjustTokenPrivileges, ZwSetIoCompletion, MoveFileExW, DeleteFileW, have more...
Languages:
powershell
Platforms:
x64
07-10-2026
From WhatsApp to SYSTEM: Inside the VulcanRAT207.A Intrusion Chain
https://www.morphisec.com/blog/copy-of-how-to-stop-ransomware-before-execution/
Report completeness: High
Threats:
Dll_sideloading_technique
Romulusloader
Poolparty_technique
Byovd_technique
Process_injection_technique
Dllsearchorder_hijacking_technique
Victims:
Baidu security products, 360 security products, Tencent security products
Geo:
Chinese, China
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1012, T1027, T1027.002, T1027.007, T1027.009, T1036.004, T1053.005, T1055, T1055.003, T1057, have more...
IOCs:
IP: 2
File: 21
Command: 1
Url: 1
Hash: 6
Path: 4
Soft:
WhatsApp, Task Scheduler, Windows Task Scheduler, NET Framework, Hyper-V, winlogon
Algorithms:
rc4, md5, xor, zip, sha256
Functions:
CreateRemoteThread-based, DLL-resolution, DLL
Win API:
CreateRemoteThread, CreateServiceW, SeDebugPrivilege, ZwTerminateProcess, ShellExecuteW, CoGetObject, AdjustTokenPrivileges, ZwSetIoCompletion, MoveFileExW, DeleteFileW, have more...
Languages:
powershell
Platforms:
x64
Morphisec
From WhatsApp to SYSTEM: Inside the VulcanRAT207.A Intrusion Chain
Learn how to stop ransomware before execution. See why detection reacts too late and how prevention-first AMTD blocks ransomware before it encrypts files.
CTT Report Hub
#ParsedReport #CompletenessHigh 07-10-2026 From WhatsApp to SYSTEM: Inside the VulcanRAT207.A Intrusion Chain https://www.morphisec.com/blog/copy-of-how-to-stop-ransomware-before-execution/ Report completeness: High Threats: Dll_sideloading_technique Romulusloader…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
ZIP-архив, доставленный через WhatsApp и содержащий `Statement.exe`, развертывает загрузчик в оперативной памяти с обширным набором проверок на анализ и пытается обойти UAC. Он внедряет шеллкод в процесс Планировщика заданий SYSTEM с помощью PoolParty, загружает полезную нагрузку и злоупотребляет подписанным драйвером `GoFly64.sys` для завершения работы процессов безопасности. Закрепление в системе осуществляется с помощью DLL sideloading через `vulkaninfo-64.exe`, что приводит к запуску VulcanRAT207.A для наблюдения, удаленного управления, внедрения кода в процессы и нацеливания на продукты безопасности.
-----
Вторжение начинается с приманки в виде финансового документа, которая, по имеющимся данным, распространялась через WhatsApp в виде ZIP-архива, содержащего `Statement.exe`. Исполняемый файл представляет собой обёртку со сжатием NRV2E, которая полностью восстанавливает фактический загрузчик в оперативной памяти. Загрузчик выполняет обширную проверку хоста, включая проверку аппаратного обеспечения, дисплея, журнала событий, реестра, виртуализации, точек повторного анализа (reparse points) и продуктов безопасности Baidu. Он также использует временные шлюзы (timing gates) и проверки на наличие хуков (anti-hooking) для завершения работы в эмулированных или инструментированных средах.
После попытки повышения привилегий через COM-интерфейс UAC и использования резервного механизма `runas` через `ShellExecuteW`, загрузчик внедряет шеллкод в процесс службы Планировщика заданий Windows с использованием PoolParty Variant 7. Он идентифицирует объект `IoCompletion`, записывает структуру обратного вызова пула потоков и шеллкод загрузчика в целевой процесс, а затем ставит выполнение в очередь с помощью `ZwSetIoCompletion`. Поскольку целевой процесс работает от имени LocalSystem, последующие этапы наследуют привилегии SYSTEM, а не выполняют отдельный шаг повышения привилегий.
Вставленный шеллкод отправляет HTTP-запрос POST на адрес `61.18.208.27:8888`, проверяет пользовательский заголовок ответа и получает составной пакет развертывания. Рефлексивный загрузщик распаковывает и вручную отображает DLL развертывания, которая координирует выполнение полезной нагрузки, обход защиты и закрепление. Она злоупотребляет легитимно подписанным драйвером `GoFly64.sys` в качестве компонента BYOVD. Через IOCTL `0x12227A` драйвер принимает идентификаторы процессов и вызывает `ZwTerminateProcess` из режима ядра, что позволяет завершать работу выбранных процессов безопасности Baidu.
Развёртываемая DLL выполняет контейнер RAT из памяти и записывает пакет закрепления в каталог `C:\Program Files\Common Files`. Пакет содержит легитимный подписанный файл `vulkaninfo-64.exe`, вредоносный файл `vulkan-1.dll` и полезную нагрузку `vulkan-1.bin`. Планируемая задача SYSTEM с именем `USOPrivate Kit` запускает подписанный исполняемый файл, который загружает вредоносную DLL через неразрешённое разрешение DLL (unqualified DLL resolution). DLL восстанавливает и рефлексивно загружает конечную полезную нагрузку из сопутствующего файла.
Итоговый полезный груз, отслеживаемый как VulcanRAT207.A, устанавливает соединение WebSocket v13 с `61.18.208.27:8888`. Его возможности включают наблюдение за хостом, удаленный рабочий стол и манипуляции с учетной записью, внедрение кода в процессы с использованием нескольких техник, доступ к журналу событий, операции с трафиком, связанные с WFP, а также развёртывание драйвера ядра по команде. Он также содержит целенаправленные рутинные процедуры внедрения для китайских продуктов безопасности, включая компоненты 360 и Tencent.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
ZIP-архив, доставленный через WhatsApp и содержащий `Statement.exe`, развертывает загрузчик в оперативной памяти с обширным набором проверок на анализ и пытается обойти UAC. Он внедряет шеллкод в процесс Планировщика заданий SYSTEM с помощью PoolParty, загружает полезную нагрузку и злоупотребляет подписанным драйвером `GoFly64.sys` для завершения работы процессов безопасности. Закрепление в системе осуществляется с помощью DLL sideloading через `vulkaninfo-64.exe`, что приводит к запуску VulcanRAT207.A для наблюдения, удаленного управления, внедрения кода в процессы и нацеливания на продукты безопасности.
-----
Вторжение начинается с приманки в виде финансового документа, которая, по имеющимся данным, распространялась через WhatsApp в виде ZIP-архива, содержащего `Statement.exe`. Исполняемый файл представляет собой обёртку со сжатием NRV2E, которая полностью восстанавливает фактический загрузчик в оперативной памяти. Загрузчик выполняет обширную проверку хоста, включая проверку аппаратного обеспечения, дисплея, журнала событий, реестра, виртуализации, точек повторного анализа (reparse points) и продуктов безопасности Baidu. Он также использует временные шлюзы (timing gates) и проверки на наличие хуков (anti-hooking) для завершения работы в эмулированных или инструментированных средах.
После попытки повышения привилегий через COM-интерфейс UAC и использования резервного механизма `runas` через `ShellExecuteW`, загрузчик внедряет шеллкод в процесс службы Планировщика заданий Windows с использованием PoolParty Variant 7. Он идентифицирует объект `IoCompletion`, записывает структуру обратного вызова пула потоков и шеллкод загрузчика в целевой процесс, а затем ставит выполнение в очередь с помощью `ZwSetIoCompletion`. Поскольку целевой процесс работает от имени LocalSystem, последующие этапы наследуют привилегии SYSTEM, а не выполняют отдельный шаг повышения привилегий.
Вставленный шеллкод отправляет HTTP-запрос POST на адрес `61.18.208.27:8888`, проверяет пользовательский заголовок ответа и получает составной пакет развертывания. Рефлексивный загрузщик распаковывает и вручную отображает DLL развертывания, которая координирует выполнение полезной нагрузки, обход защиты и закрепление. Она злоупотребляет легитимно подписанным драйвером `GoFly64.sys` в качестве компонента BYOVD. Через IOCTL `0x12227A` драйвер принимает идентификаторы процессов и вызывает `ZwTerminateProcess` из режима ядра, что позволяет завершать работу выбранных процессов безопасности Baidu.
Развёртываемая DLL выполняет контейнер RAT из памяти и записывает пакет закрепления в каталог `C:\Program Files\Common Files`. Пакет содержит легитимный подписанный файл `vulkaninfo-64.exe`, вредоносный файл `vulkan-1.dll` и полезную нагрузку `vulkan-1.bin`. Планируемая задача SYSTEM с именем `USOPrivate Kit` запускает подписанный исполняемый файл, который загружает вредоносную DLL через неразрешённое разрешение DLL (unqualified DLL resolution). DLL восстанавливает и рефлексивно загружает конечную полезную нагрузку из сопутствующего файла.
Итоговый полезный груз, отслеживаемый как VulcanRAT207.A, устанавливает соединение WebSocket v13 с `61.18.208.27:8888`. Его возможности включают наблюдение за хостом, удаленный рабочий стол и манипуляции с учетной записью, внедрение кода в процессы с использованием нескольких техник, доступ к журналу событий, операции с трафиком, связанные с WFP, а также развёртывание драйвера ядра по команде. Он также содержит целенаправленные рутинные процедуры внедрения для китайских продуктов безопасности, включая компоненты 360 и Tencent.
#ParsedReport #CompletenessMedium
08-10-2026
ARTokens 5.1.2: From Compromised SharePoint Tenants to Device Code Phishing
https://zerobec.com/blog/artokens-5-1-2-sharepoint-device-code-phishing
Report completeness: Medium
Threats:
Device_code_phishing_technique
Artoken_tool
Eviltokens_tool
Artbrowser_tool
Spear-phishing_technique
Bec_technique
Victims:
Microsoft 365 users, Sharepoint tenants
TTPs:
Tactics: 8
Technics: 14
IOCs:
Domain: 9
IP: 5
Url: 2
Soft:
SharePoint, Microsoft 365, Cloudflare, harePoint, flare Worker, Selenium, PhantomJS, Node.js, Telegram, DocuSign, have more...
Algorithms:
xor
Languages:
javascript
08-10-2026
ARTokens 5.1.2: From Compromised SharePoint Tenants to Device Code Phishing
https://zerobec.com/blog/artokens-5-1-2-sharepoint-device-code-phishing
Report completeness: Medium
Threats:
Device_code_phishing_technique
Artoken_tool
Eviltokens_tool
Artbrowser_tool
Spear-phishing_technique
Bec_technique
Victims:
Microsoft 365 users, Sharepoint tenants
TTPs:
Tactics: 8
Technics: 14
IOCs:
Domain: 9
IP: 5
Url: 2
Soft:
SharePoint, Microsoft 365, Cloudflare, harePoint, flare Worker, Selenium, PhantomJS, Node.js, Telegram, DocuSign, have more...
Algorithms:
xor
Languages:
javascript
ZeroBEC
ARTokens 5.1.2: Microsoft 365 Device Code Phishing | ZeroBEC
ZeroBEC analyzes ARTokens 5.1.2 device code phishing through SharePoint, Google Sites, and Cloudflare Workers, with Microsoft 365 indicators and defenses.