#ParsedReport #CompletenessMedium
09-10-2026

GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories

https://www.stepsecurity.io/blog/ghostaction-returns

Report completeness: Medium

Actors/Campaigns:
Ghostaction

Threats:
Supply_chain_technique

Victims:
Open source software, Github repositories, Software developers

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1020, T1041, T1059.004, T1071.001, T1078.004, T1119, T1195.001, T1213, T1552.001, have more...

IOCs:
Domain: 2
IP: 3
File: 3
Url: 3

Soft:
curl, plesk, Anthropic, OpenAI, Slack, SendGrid

Win API:
NAME

Links:
https://github.com/uber/athenadriver
https://github.com/henrywoo
have more...
https://github.com/kitao/pyxel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники получают доступ к учетным данным администраторов репозиториев, чтобы внедрить вредоносные рабочие процессы. Эти рабочие процессы перечисляют настроенные секреты и анализируют полную историю Git на предмет раскрытых учетных данных, включая ключи AWS, GitHub, облачных, SaaS- и ИИ-сервисов, после чего выводят их на сервер, контролируемый злоумышленником. К 9 октября 2026 года было затронуто приблизительно 378 репозиториев.
-----

GhostAction — это продолжающаяся кампания в цепочке поставок GitHub Actions, в ходе которой злоумышленники осуществляют компрометацию аккаунтов разработчиков и внедряют рабочие процессы, замаскированные под проверки безопасности. 8 октября 2026 года скомпрометированные аккаунты, связанные с игровым движком Pyxel и драйвером Uber Athena, были использованы для добавления данного рабочего процесса в 345 репозиториев в течение двух автоматизированных временных окон. Ранее в ходе кампании было скомпрометировано более 3 000 секретов в 817 репозиториях.

Атака начинается с кражи учётных данных maintainer в GitHub, вероятно, персонального токена доступа, полученного из логов стиллера или дампов учётных данных. Атакующий анализирует рабочие процессы репозитория на наличие ссылок, таких как `${{ secrets.NAME }}`, встраивает обнаруженные имена секретов в вредоносный рабочий процесс и коммитит его непосредственно в ветку по умолчанию. События Push, включая коммит с внедрением, запускают рабочий процесс. Классический вариант отправляет настроенные секреты GitHub Actions на адрес `193.32.204.199` с помощью HTTP-запроса POST.

Октябрьская версия добавляет полный сбор истории Git. После переключения на ветви и теги репозитория она использует команду `git log -p --all`, что позволяет восстанавливать учетные данные, удаленные из текущего дерева исходного кода. Полезная нагрузка ищет ключи доступа и секретные ключи AWS, токены GitHub и GitLab, ключи Google/Firebase, учетные данные Slack и SendGrid, а также API-ключи для Anthropic, OpenAI и OpenRouter. Она захватывает контекстные данные для связывания идентификаторов ключей доступа AWS с соответствующими секретными ключами. Запросы используют маркеры запросов, такие как `?c=monami` для репозиториев, содержащих именованные секреты, и `?c=new` для результатов анализа истории.

Наблюдаемая активность подтверждает успешную эксфильтрацию из затронутых репозиториев. В ходе одного запуска были получены все 13 веток и 20 тегов репозитория `athenadriver`, а данные были отправлены на сервер злоумышленника. Workflow Pyxel был вручную запущен несколько раз из скомпрометированной сессии, что указывает на многократный сбор данных. По состоянию на 9 октября приблизительно 378 репозиториев содержали вредоносный workflow, в том числе 182 с маркером извлечения истории и 88 с шаблонизированными именованными секретами.

Защитникам следует отозвать скомпрометированные учётные данные GitHub и обновить все учётные данные, когда-либо зафиксированные в любой ветке, включая токены публикации. Необходимо удалить workflow из всех веток, проверить историю запусков workflow, проинспектировать форки и потребовать подтверждения для выполнения workflow. Защита веток и ограничение исходящего трафика CI также могут предотвратить несанкционированные изменения workflow и исходящую эксфильтрацию.

#ParsedReport #CompletenessMedium
09-10-2026

Hunting a Global Formbook Campaign with Machine Learning

https://www.vmray.com/hunting-a-global-formbook-campaign-with-machine-learning/

Report completeness: Medium

Threats:
Formbook

Victims:
Trade departments, Finance and accounting departments, Maritime and tanker charter operators, Public sector institutions, Universities, Interbank settlement institutions

Industry:
Maritime, Financial, Education

Geo:
Spain, Italy, Turkiye, Bahrain, Vietnam, Netherlands

ChatGPT TTPs:
do not use without manual check
T1115, T1566.001, T1656

IOCs:
Hash: 9
Domain: 19
IP: 1
File: 2

Soft:
Cloudflare, Sysinternals

Languages:
swift

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кластеризация на основе поведенческих характеристик выявила кластер из шести образцов Formbook, связанный с глобальной кампанией Business Email Compromise 2026 года. ВПО распространялась через вложения с тематикой финансов и торговли, похищала учетные данные и данные из буфера обмена, а также нацеливалась на организации в нескольких странах. Образцы взаимодействовали с доменом `finance77-laudantium[.\]pro`, при этом использование доменов-приманок и перестановка доменов усложняли отслеживание инфраструктуры на основе сетевых индикаторов.
-----

Исследователи проанализировали 276 образцов Formbook с использованием поведенческого кластеризации на основе HDBSCAN, в результате чего было сформировано 17 кластеров. Данный подход сравнивал техники MITRE ATT&CK, структуру дерева процессов, командные строки и поведение во время выполнения, а не опирался преимущественно на инфраструктуру C2 или сходство кода. Одна группа из шести образцов, Кластер 5, состояла из образцов, впервые обнаруженных в период с 20 мая по 14 июля 2026 года, и была связана с глобальной кампанией компрометации деловой электронной почты (Business Email Compromise).

Образцы использовали возможности Formbook для кражи учётных данных и содержимого буфера обмена для атак на организации посредством вредоносных вложений в электронной почте. В качестве приманок использовались типовые заказы на покупку, поддельные квитанции банков Ziraat Bank и Vietcombank, уведомления SWIFT о межбанковских расчётах, а также документы на морские чартеры, основанные на формах проверки танкеров Q88. Эти темы указывают на целенаправленные атаки на организации в сферах финансов, бухгалтерии, торговли, морского транспорта и государственного сектора. Подтверждённые или предполагаемые цели включали организации в Турции, Вьетнаме, Испании, Италии, Бахрейне и Объединённых Арабских Эмиратах, в том числе университеты и организации, участвующие в межбанковских переводах.

Одна из выявленных доменов управления — `finance77-laudantium[.\]pro` — была зарегистрирована 26 января 2026 года и наблюдалась в процессе взаимодействия с 46 образцами ВПО. Путь панели `/ge47/` соответствовал путям, зафиксированным в проанализированных образцах. История DNS-записей связывала домен с IP-адресом `5.45.75.98` (AS58061, Scalaxy B.V.) в Нидерландах. Пассивный DNS-анализ ассоциировал с этим IP-адресом около 200 доменов, из которых 189 использовали схожий шаблон именования. Образцы Formbook также содержали домены-приманки, которые перемешивались между запусками, что усложняло анализ на основе инфраструктуры.

ВПО достигла корпоративных почтовых ящиков и впоследствии была передана в системы безопасности электронной почты и анализа конечных точек, что подтверждается путями, такими как `/tmp/eml_attach_for_scan/`, `/tmp/cortex-job-…/` и `D:\auto_black_abuse`. Это указывает на доставку в организации, использующие автоматизированные средства безопасности, а не на отдельных пользователей. Конвейер кластеризации нормализовал имена файлов, хеши, имена пользователей, имена процессов и строки команд, сгенерированные песочницей, перед извлечением признаков. Сходство деревьев процессов вычислялось с использованием ядра поддерева Вайсфелера-Лемана, а техники ATT&CK представлялись в виде многогорячих векторов.

#ParsedReport #CompletenessLow
07-10-2026

How AI Agents Turned One Exposed Endpoint into a Server Takeover

https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/

Report completeness: Low

Threats:
Cairn
Acunetix_tool
Cyberstrikeai_tool
Godpotato_tool
Printspoofer_tool

Victims:
Application server

ChatGPT TTPs:
do not use without manual check
T1059.007, T1070.004, T1136.001, T1190, T1505.001, T1552.001, T1588.002, T1595.002

IOCs:
IP: 3
File: 9
Path: 2

Soft:
uvicorn, SimpleHTTP, nginx a, Claude, Claude Code, Codex, Apache Tomcat

Algorithms:
base64

Win API:
SeImpersonatePrivilege

Languages:
javascript, python, powershell, java

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленник эксплуатировал эндпоинт отправки заданий Spring Batch в Apache Tomcat, не требующий аутентификации, для выполнения кода через Nashorn, кражи учетных данных администратора SQL Server и получения привилегий SYSTEM с использованием `xp_cmdshell`, PrintSpoofer и GodPotato. Для получения результатов и поддержания доступа применялись автоматизированные запросы, разбитые на части, при этом инфраструктура указывает на возможное участие ИИ-агентов в деятельности злоумышленника.
-----

Злоумышленник получил несанкционированный доступ к приложению Apache Tomcat, доступному из интернета, в котором функция отправки заданий Spring Batch была доступна без аутентификации. Конечная точка принимала определения задач и выполняла их от имени учетной записи приложения. Злоумышленник использовал эти задачи для вызова Nashorn — встроенного в Java движка JavaScript, — что позволило выполнить код внутри приложения без первоначального запуска дочерних процессов.

Атакующий извлекал результаты выполнения команд через сообщения об ошибках приложения, а не разворачивая веб-шелл. Поскольку размер ответов был ограничен, файлы и вывод команд извлекались фиксированными блоками по 1800 байт в ходе сотен последовательных запросов. Задачи использовали сгенерированные имена, отслеживающие смещения файлов и части загрузки, при этом за неудачными командами следовали повторные попытки, резервные методы и скорректированные подходы. Эти паттерны, в сочетании с быстрым выполнением и структурированным выводом, были оценены как соответствующие активности агентов, управляемых большими языковыми моделями, хотя конкретная модель, количество агентов и степень участия человека определить не удалось.

Файлы конфигурации содержали учетные данные SQL Server в открытом виде, наделенные правами sysadmin. Злоумышленник включил и использовал `xp_cmdshell` для выполнения команд операционной системы от имени учетной записи службы SQL Server. Затем он проверил права учетной записи в Windows и обнаружил `SeImpersonatePrivilege`. Были перемещены и использованы общедоступные инструменты, включая PrintSpoofer и GodPotato, для повышения привилегий до уровня `SYSTEM`. Злоумышленник также использовал встроенные утилиты, такие как PowerShell, `certutil` и `wmic`, а также общедоступные библиотеки для работы с учетными данными и протоколами.

Инфраструктура, связанная с атакой, включала хост, на котором работала платформа оркестрации ИИ-агентов с открытым исходным кодом Cairn, чей дашборд был доступен по тому же адресу, с которого были отправлены первоначальные вредоносные задания. Другая инфраструктура содержала инструменты сканирования, бинарные файлы для повышения привилегий, исходный код, закодированные полезныe нагрузки и системы для сбора результатов выполнения заданий. Доказательства связали инфраструктуру с инцидентом, но не подтвердили, что другие наблюдаемые сервисы, связанные с ИИ, были вовлечены в атаку.

Атакующий выполнил ограниченную очистку, удалив часть артефактов и одну учетную запись администратора, при этом оставив активным другую учетную запись администратора, используемую как бэкдор. Первоначальный путь доступа, оставшийся открытым, по-прежнему оставался доступным. Инцидент демонстрирует, что конечная точка выполнения задач без аутентификации может обеспечить достаточный уровень доступа для кражи учетных данных, выполнения кода, повышения привилегий и полного захвата сервера без использования уязвимости нулевого дня или развертывания нового ВПО.

#ParsedReport #CompletenessLow
09-10-2026

When a Wallet Drainer Asks DNS Where to Go

https://www.infoblox.com/blog/threat-intelligence/when-a-wallet-drainer-asks-dns-where-to-go/

Report completeness: Low

Threats:
Noir
Detour_dog
Decoy_dog

Victims:
Cryptocurrency wallet users

ChatGPT TTPs:
do not use without manual check
T1027, T1059.007, T1071.001, T1071.004, T1140, T1568, T1573

IOCs:
Domain: 4
File: 2

Soft:
Cloudflare, WalletConnect

Crypto:
uniswap

Languages:
javascript

Platforms:
intel

#ParsedReport #ExtractedSchema

Classified images:
code: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Крипто-дроппер Noir использует обфусцированный JavaScript, DNS TXT-записи и публичные сервисы DoH для динамического определения заменяемой backend-инфраструктуры. Фальшивые страницы, связанные с криптовалютами, побуждают жертв подключать свои кошельки, после чего Noir адаптирует процесс кражи, используя обманные разрешения на расход средств, а не запрашивая seed-фразы или закрытые ключи. Он может использовать резервную инфраструктуру и разрывать сессии WalletConnect, чтобы скрыть свою активность.
-----

Набор инструментов для кражи средств из криптокошельков Noir использует записи DNS TXT и общедоступные сервисы DNS-over-HTTPS (DoH) для динамического определения своей операционной инфраструктуры. Жертв, как правило, направляют на поддельные страницы криптоголосований, аирдропов, листингов, децентрализованных бирж или проверки соответствия требованиям, которые побуждают их подключить кошелёк. Сам приманка не содержит постоянной ссылки на бэкенд инструмента для кражи средств. Вместо этого встроенный загрузчик на JavaScript декодирует замаскированный массив десятичных кодов символов, выполняет его и запрашивает запись TXT по адресу `_r.noir.black` через нескольких провайдеров DoH, включая Google Public DNS и конечные точки Cloudflare. Первая валидная реакция определяет активный пул инструментов для кражи средств, в который входили домены, размещённые на Cloudflare Pages.

Данная архитектура разделяет долговечные приманочные страницы и заменяемую инфраструктуру бэкенда. Операторы могут изменить одну запись DNS TXT, чтобы перенаправить существующие приманки на новый пул, если хост заблокирован или удалён. По имеющимся данным, загрузчик использует кэш с тайм-аутом 60 секунд и логику повторных попыток для обеспечения восстановления при изменениях инфраструктуры. Он также запрашивает дорожную конфигурацию у API по адресу `noir.black`; ответ может предоставить независимо разрешённый резервный пул в случае сбоя прямого доступа через DoH. Разрешение DNS и получение конфигурации выполняются параллельно для снижения задержки. Возвращённая конфигурация определяет, будет ли дрэйн-скрипт внедрён в существующую приманочную страницу или отображён в прозрачной рамке, занимающей всё видимое поле.

Noir не требует от жертв предоставления seed-фраз, паролей или закрытых ключей. После получения начальных разрешений на чтение данных кошелька он анализирует конкретный кошелёк и разрабатывает индивидуальный план кражи. Затем он запрашивает разрешения на расходование средств, которые могут выглядеть менее подозрительно, чем прямой перевод, и осуществляет кражу активов с инфраструктуры, контролируемой злоумышленником. После завершения процесса набор инструментов разрывает сессию WalletConnect, удаляя вредоносное приложение из списка подключённых приложений кошелька и сокращая видимые следы компрометации. Использование публичного DoH, DNS-основанной живой конфигурации, пулов, размещённых в облаке, резервной инфраструктуры и принятия решений для каждого кошелька обеспечивает устойчивость и поддерживает оперативные изменения в ходе проведения операций.

#ParsedReport #CompletenessHigh
07-10-2026

From WhatsApp to SYSTEM: Inside the VulcanRAT207.A Intrusion Chain

https://www.morphisec.com/blog/copy-of-how-to-stop-ransomware-before-execution/

Report completeness: High

Threats:
Dll_sideloading_technique
Romulusloader
Poolparty_technique
Byovd_technique
Process_injection_technique
Dllsearchorder_hijacking_technique

Victims:
Baidu security products, 360 security products, Tencent security products

Geo:
Chinese, China

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1012, T1027, T1027.002, T1027.007, T1027.009, T1036.004, T1053.005, T1055, T1055.003, T1057, have more...

IOCs:
IP: 2
File: 21
Command: 1
Url: 1
Hash: 6
Path: 4

Soft:
WhatsApp, Task Scheduler, Windows Task Scheduler, NET Framework, Hyper-V, winlogon

Algorithms:
rc4, md5, xor, zip, sha256

Functions:
CreateRemoteThread-based, DLL-resolution, DLL

Win API:
CreateRemoteThread, CreateServiceW, SeDebugPrivilege, ZwTerminateProcess, ShellExecuteW, CoGetObject, AdjustTokenPrivileges, ZwSetIoCompletion, MoveFileExW, DeleteFileW, have more...

Languages:
powershell

Platforms:
x64

#ParsedReport #ExtractedSchema

Classified images:
code: 9, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ZIP-архив, доставленный через WhatsApp и содержащий `Statement.exe`, развертывает загрузчик в оперативной памяти с обширным набором проверок на анализ и пытается обойти UAC. Он внедряет шеллкод в процесс Планировщика заданий SYSTEM с помощью PoolParty, загружает полезную нагрузку и злоупотребляет подписанным драйвером `GoFly64.sys` для завершения работы процессов безопасности. Закрепление в системе осуществляется с помощью DLL sideloading через `vulkaninfo-64.exe`, что приводит к запуску VulcanRAT207.A для наблюдения, удаленного управления, внедрения кода в процессы и нацеливания на продукты безопасности.
-----

Вторжение начинается с приманки в виде финансового документа, которая, по имеющимся данным, распространялась через WhatsApp в виде ZIP-архива, содержащего `Statement.exe`. Исполняемый файл представляет собой обёртку со сжатием NRV2E, которая полностью восстанавливает фактический загрузчик в оперативной памяти. Загрузчик выполняет обширную проверку хоста, включая проверку аппаратного обеспечения, дисплея, журнала событий, реестра, виртуализации, точек повторного анализа (reparse points) и продуктов безопасности Baidu. Он также использует временные шлюзы (timing gates) и проверки на наличие хуков (anti-hooking) для завершения работы в эмулированных или инструментированных средах.

После попытки повышения привилегий через COM-интерфейс UAC и использования резервного механизма `runas` через `ShellExecuteW`, загрузчик внедряет шеллкод в процесс службы Планировщика заданий Windows с использованием PoolParty Variant 7. Он идентифицирует объект `IoCompletion`, записывает структуру обратного вызова пула потоков и шеллкод загрузчика в целевой процесс, а затем ставит выполнение в очередь с помощью `ZwSetIoCompletion`. Поскольку целевой процесс работает от имени LocalSystem, последующие этапы наследуют привилегии SYSTEM, а не выполняют отдельный шаг повышения привилегий.

Вставленный шеллкод отправляет HTTP-запрос POST на адрес `61.18.208.27:8888`, проверяет пользовательский заголовок ответа и получает составной пакет развертывания. Рефлексивный загрузщик распаковывает и вручную отображает DLL развертывания, которая координирует выполнение полезной нагрузки, обход защиты и закрепление. Она злоупотребляет легитимно подписанным драйвером `GoFly64.sys` в качестве компонента BYOVD. Через IOCTL `0x12227A` драйвер принимает идентификаторы процессов и вызывает `ZwTerminateProcess` из режима ядра, что позволяет завершать работу выбранных процессов безопасности Baidu.

Развёртываемая DLL выполняет контейнер RAT из памяти и записывает пакет закрепления в каталог `C:\Program Files\Common Files`. Пакет содержит легитимный подписанный файл `vulkaninfo-64.exe`, вредоносный файл `vulkan-1.dll` и полезную нагрузку `vulkan-1.bin`. Планируемая задача SYSTEM с именем `USOPrivate Kit` запускает подписанный исполняемый файл, который загружает вредоносную DLL через неразрешённое разрешение DLL (unqualified DLL resolution). DLL восстанавливает и рефлексивно загружает конечную полезную нагрузку из сопутствующего файла.

Итоговый полезный груз, отслеживаемый как VulcanRAT207.A, устанавливает соединение WebSocket v13 с `61.18.208.27:8888`. Его возможности включают наблюдение за хостом, удаленный рабочий стол и манипуляции с учетной записью, внедрение кода в процессы с использованием нескольких техник, доступ к журналу событий, операции с трафиком, связанные с WFP, а также развёртывание драйвера ядра по команде. Он также содержит целенаправленные рутинные процедуры внедрения для китайских продуктов безопасности, включая компоненты 360 и Tencent.

#ParsedReport #CompletenessMedium
08-10-2026

ARTokens 5.1.2: From Compromised SharePoint Tenants to Device Code Phishing

https://zerobec.com/blog/artokens-5-1-2-sharepoint-device-code-phishing

Report completeness: Medium

Threats:
Device_code_phishing_technique
Artoken_tool
Eviltokens_tool
Artbrowser_tool
Spear-phishing_technique
Bec_technique

Victims:
Microsoft 365 users, Sharepoint tenants

TTPs:
Tactics: 8
Technics: 14

IOCs:
Domain: 9
IP: 5
Url: 2

Soft:
SharePoint, Microsoft 365, Cloudflare, harePoint, flare Worker, Selenium, PhantomJS, Node.js, Telegram, DocuSign, have more...

Algorithms:
xor

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ARTokens 5.1.2 представляет собой набор инструментов для фишинга с использованием кода устройства Microsoft 365, происходящий из линейки EvilTokens. В ходе кампаний использовались поддельные электронные письма с запросами предложений (RFP) или счетами, скомпрометированные ресурсы SharePoint, Google Sites и Cloudflare Workers для доставки приманок в стиле Microsoft, предназначенных для перехвата токенов аутентификации. Его зашифрованный JavaScript позволял уклоняться от анализа, в то время как бэкенд поддерживал кражу токена, доступ к почтовым ящикам и SharePoint, администрирование Entra ID и сценарии закрепления.
-----

ARTokens 5.1.2 представляет собой набор инструментов для фишинга с использованием кода устройства Microsoft 365, связанный с семейством вредоносного ПО EvilTokens. В двух пресеченных кампаниях использовалась одна и та же цепочка доставки: поддельные электронные письма, имитирующие запросы на рассмотрение коммерческого предложения (RFP) или счета-фактуры, направляли жертв на скомпрометированный арендатор SharePoint. На этом арендаторе размещался файл `.URL`, содержащий ссылку на страницу Google Sites, которая, в свою очередь, перенаправляла пользователей на приманку для фишинга кода устройства в стиле Microsoft, размещенную на Cloudflare Workers. Использование доверенных Облачных сервисов, вероятно, способствовало обходу фильтрации URL на основе репутации.

Приманка отображала код устройства и побуждала жертв продолжить аутентификацию с Microsoft. Когда пользователи продолжали процесс, страница инициировала опрос кода устройства в фоновом режиме. В проанализированных кампаниях запросы на опрос поступали на панель ARTokens backend, размещенную на `support.mayco-build.com`. Сборка панели содержала идентификатор `5.1.2-prod`, который отсутствовал в ранее наблюдаемых вариантах.

Фишинговая страница содержала XOR-шифрованный JavaScript с использованием 16-байтного ключа. После расшифровки скрипт выявил механизмы обнаружения ботов и песочниц, проверки на наличие Selenium, PhantomJS, Playwright, несоответствия в характеристиках браузера, размеры окна и ввод с помощью сенсорного экрана, а также отслеживание мыши и клавиатуры. Кроме того, в коде присутствовали захардкоженный URL панели, перенаправление после аутентификации и настраиваемые пути для опроса. Вместо фиксированных конечных точек `/api/device/start` и `/api/device/poll` в более новых развёртываниях могут использоваться псевдонимы, генерируемые оператором, например `/s/gc7mh`, что снижает надёжность обнаружения статических конечных точек. Запрос опроса содержал код устройства и IP-адрес жертвы.

Панель поддерживает стандартный перехват токенов Microsoft Office и рабочий процесс Authentication Broker, связанный с закреплением первичного токена обновления. Дополнительные возможности включают мониторинг почтовых ящиков, управление вредоносными правилами входящих сообщений, операции с SharePoint и кражу данных, администрирование Entra ID, уведомления через Телеграм, а также ARTBrowser — автономный клиент для Windows, предназначенный для использования скомпрометированных токенов Microsoft 365. Операторы также могут развертывать логику опроса через Cloudflare Workers, скрывая URL-адрес панели в бэкенде и снижая степень раскрытия инфраструктуры. В качестве индикаторов компрометации были идентифицированы пять IP-адресов панели и девять доменных имен.

#ParsedReport #CompletenessHigh
08-10-2026

The phone was compromised before the user turned it on: the rise of Midnight Mimosa

https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware

Report completeness: High

Threats:
Midnight-mimosa
Residential_proxy_technique
Supply_chain_technique
Gogo_tool
Joker

Industry:
Logistic, Retail, E-commerce

Geo:
France, Americas, United states, Germany, Asia, Middle east, Brazil, Spain, Africa, Mexico, Italy

TTPs:
Tactics: 1
Technics: 0

IOCs:
File: 37
Hash: 127
Domain: 12
IP: 1
Url: 10

Soft:
Android, Google Play, ndroid; o, ndroid 13, ndroid.ve, roid.vend, id.vendin, ndroid.Cl, appstore

Algorithms:
zip, rc4, aes, md5, base64, cbc

Functions:
getUserHandleForUid, getConfigs, setAdData, createSession

Languages:
kotlin, java

Platforms:
apple