#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кластеризация на основе поведенческих характеристик выявила кластер из шести образцов Formbook, связанный с глобальной кампанией Business Email Compromise 2026 года. ВПО распространялась через вложения с тематикой финансов и торговли, похищала учетные данные и данные из буфера обмена, а также нацеливалась на организации в нескольких странах. Образцы взаимодействовали с доменом `finance77-laudantium[.\]pro`, при этом использование доменов-приманок и перестановка доменов усложняли отслеживание инфраструктуры на основе сетевых индикаторов.
-----

Исследователи проанализировали 276 образцов Formbook с использованием поведенческого кластеризации на основе HDBSCAN, в результате чего было сформировано 17 кластеров. Данный подход сравнивал техники MITRE ATT&CK, структуру дерева процессов, командные строки и поведение во время выполнения, а не опирался преимущественно на инфраструктуру C2 или сходство кода. Одна группа из шести образцов, Кластер 5, состояла из образцов, впервые обнаруженных в период с 20 мая по 14 июля 2026 года, и была связана с глобальной кампанией компрометации деловой электронной почты (Business Email Compromise).

Образцы использовали возможности Formbook для кражи учётных данных и содержимого буфера обмена для атак на организации посредством вредоносных вложений в электронной почте. В качестве приманок использовались типовые заказы на покупку, поддельные квитанции банков Ziraat Bank и Vietcombank, уведомления SWIFT о межбанковских расчётах, а также документы на морские чартеры, основанные на формах проверки танкеров Q88. Эти темы указывают на целенаправленные атаки на организации в сферах финансов, бухгалтерии, торговли, морского транспорта и государственного сектора. Подтверждённые или предполагаемые цели включали организации в Турции, Вьетнаме, Испании, Италии, Бахрейне и Объединённых Арабских Эмиратах, в том числе университеты и организации, участвующие в межбанковских переводах.

Одна из выявленных доменов управления — `finance77-laudantium[.\]pro` — была зарегистрирована 26 января 2026 года и наблюдалась в процессе взаимодействия с 46 образцами ВПО. Путь панели `/ge47/` соответствовал путям, зафиксированным в проанализированных образцах. История DNS-записей связывала домен с IP-адресом `5.45.75.98` (AS58061, Scalaxy B.V.) в Нидерландах. Пассивный DNS-анализ ассоциировал с этим IP-адресом около 200 доменов, из которых 189 использовали схожий шаблон именования. Образцы Formbook также содержали домены-приманки, которые перемешивались между запусками, что усложняло анализ на основе инфраструктуры.

ВПО достигла корпоративных почтовых ящиков и впоследствии была передана в системы безопасности электронной почты и анализа конечных точек, что подтверждается путями, такими как `/tmp/eml_attach_for_scan/`, `/tmp/cortex-job-…/` и `D:\auto_black_abuse`. Это указывает на доставку в организации, использующие автоматизированные средства безопасности, а не на отдельных пользователей. Конвейер кластеризации нормализовал имена файлов, хеши, имена пользователей, имена процессов и строки команд, сгенерированные песочницей, перед извлечением признаков. Сходство деревьев процессов вычислялось с использованием ядра поддерева Вайсфелера-Лемана, а техники ATT&CK представлялись в виде многогорячих векторов.

#ParsedReport #CompletenessLow
07-10-2026

How AI Agents Turned One Exposed Endpoint into a Server Takeover

https://reliaquest.com/blog/threat-spotlight-how-ai-agents-turned-one-exposed-endpoint-into-a-server-takeover/

Report completeness: Low

Threats:
Cairn
Acunetix_tool
Cyberstrikeai_tool
Godpotato_tool
Printspoofer_tool

Victims:
Application server

ChatGPT TTPs:
do not use without manual check
T1059.007, T1070.004, T1136.001, T1190, T1505.001, T1552.001, T1588.002, T1595.002

IOCs:
IP: 3
File: 9
Path: 2

Soft:
uvicorn, SimpleHTTP, nginx a, Claude, Claude Code, Codex, Apache Tomcat

Algorithms:
base64

Win API:
SeImpersonatePrivilege

Languages:
javascript, python, powershell, java

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленник эксплуатировал эндпоинт отправки заданий Spring Batch в Apache Tomcat, не требующий аутентификации, для выполнения кода через Nashorn, кражи учетных данных администратора SQL Server и получения привилегий SYSTEM с использованием `xp_cmdshell`, PrintSpoofer и GodPotato. Для получения результатов и поддержания доступа применялись автоматизированные запросы, разбитые на части, при этом инфраструктура указывает на возможное участие ИИ-агентов в деятельности злоумышленника.
-----

Злоумышленник получил несанкционированный доступ к приложению Apache Tomcat, доступному из интернета, в котором функция отправки заданий Spring Batch была доступна без аутентификации. Конечная точка принимала определения задач и выполняла их от имени учетной записи приложения. Злоумышленник использовал эти задачи для вызова Nashorn — встроенного в Java движка JavaScript, — что позволило выполнить код внутри приложения без первоначального запуска дочерних процессов.

Атакующий извлекал результаты выполнения команд через сообщения об ошибках приложения, а не разворачивая веб-шелл. Поскольку размер ответов был ограничен, файлы и вывод команд извлекались фиксированными блоками по 1800 байт в ходе сотен последовательных запросов. Задачи использовали сгенерированные имена, отслеживающие смещения файлов и части загрузки, при этом за неудачными командами следовали повторные попытки, резервные методы и скорректированные подходы. Эти паттерны, в сочетании с быстрым выполнением и структурированным выводом, были оценены как соответствующие активности агентов, управляемых большими языковыми моделями, хотя конкретная модель, количество агентов и степень участия человека определить не удалось.

Файлы конфигурации содержали учетные данные SQL Server в открытом виде, наделенные правами sysadmin. Злоумышленник включил и использовал `xp_cmdshell` для выполнения команд операционной системы от имени учетной записи службы SQL Server. Затем он проверил права учетной записи в Windows и обнаружил `SeImpersonatePrivilege`. Были перемещены и использованы общедоступные инструменты, включая PrintSpoofer и GodPotato, для повышения привилегий до уровня `SYSTEM`. Злоумышленник также использовал встроенные утилиты, такие как PowerShell, `certutil` и `wmic`, а также общедоступные библиотеки для работы с учетными данными и протоколами.

Инфраструктура, связанная с атакой, включала хост, на котором работала платформа оркестрации ИИ-агентов с открытым исходным кодом Cairn, чей дашборд был доступен по тому же адресу, с которого были отправлены первоначальные вредоносные задания. Другая инфраструктура содержала инструменты сканирования, бинарные файлы для повышения привилегий, исходный код, закодированные полезныe нагрузки и системы для сбора результатов выполнения заданий. Доказательства связали инфраструктуру с инцидентом, но не подтвердили, что другие наблюдаемые сервисы, связанные с ИИ, были вовлечены в атаку.

Атакующий выполнил ограниченную очистку, удалив часть артефактов и одну учетную запись администратора, при этом оставив активным другую учетную запись администратора, используемую как бэкдор. Первоначальный путь доступа, оставшийся открытым, по-прежнему оставался доступным. Инцидент демонстрирует, что конечная точка выполнения задач без аутентификации может обеспечить достаточный уровень доступа для кражи учетных данных, выполнения кода, повышения привилегий и полного захвата сервера без использования уязвимости нулевого дня или развертывания нового ВПО.

#ParsedReport #CompletenessLow
09-10-2026

When a Wallet Drainer Asks DNS Where to Go

https://www.infoblox.com/blog/threat-intelligence/when-a-wallet-drainer-asks-dns-where-to-go/

Report completeness: Low

Threats:
Noir
Detour_dog
Decoy_dog

Victims:
Cryptocurrency wallet users

ChatGPT TTPs:
do not use without manual check
T1027, T1059.007, T1071.001, T1071.004, T1140, T1568, T1573

IOCs:
Domain: 4
File: 2

Soft:
Cloudflare, WalletConnect

Crypto:
uniswap

Languages:
javascript

Platforms:
intel

#ParsedReport #ExtractedSchema

Classified images:
code: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Крипто-дроппер Noir использует обфусцированный JavaScript, DNS TXT-записи и публичные сервисы DoH для динамического определения заменяемой backend-инфраструктуры. Фальшивые страницы, связанные с криптовалютами, побуждают жертв подключать свои кошельки, после чего Noir адаптирует процесс кражи, используя обманные разрешения на расход средств, а не запрашивая seed-фразы или закрытые ключи. Он может использовать резервную инфраструктуру и разрывать сессии WalletConnect, чтобы скрыть свою активность.
-----

Набор инструментов для кражи средств из криптокошельков Noir использует записи DNS TXT и общедоступные сервисы DNS-over-HTTPS (DoH) для динамического определения своей операционной инфраструктуры. Жертв, как правило, направляют на поддельные страницы криптоголосований, аирдропов, листингов, децентрализованных бирж или проверки соответствия требованиям, которые побуждают их подключить кошелёк. Сам приманка не содержит постоянной ссылки на бэкенд инструмента для кражи средств. Вместо этого встроенный загрузчик на JavaScript декодирует замаскированный массив десятичных кодов символов, выполняет его и запрашивает запись TXT по адресу `_r.noir.black` через нескольких провайдеров DoH, включая Google Public DNS и конечные точки Cloudflare. Первая валидная реакция определяет активный пул инструментов для кражи средств, в который входили домены, размещённые на Cloudflare Pages.

Данная архитектура разделяет долговечные приманочные страницы и заменяемую инфраструктуру бэкенда. Операторы могут изменить одну запись DNS TXT, чтобы перенаправить существующие приманки на новый пул, если хост заблокирован или удалён. По имеющимся данным, загрузчик использует кэш с тайм-аутом 60 секунд и логику повторных попыток для обеспечения восстановления при изменениях инфраструктуры. Он также запрашивает дорожную конфигурацию у API по адресу `noir.black`; ответ может предоставить независимо разрешённый резервный пул в случае сбоя прямого доступа через DoH. Разрешение DNS и получение конфигурации выполняются параллельно для снижения задержки. Возвращённая конфигурация определяет, будет ли дрэйн-скрипт внедрён в существующую приманочную страницу или отображён в прозрачной рамке, занимающей всё видимое поле.

Noir не требует от жертв предоставления seed-фраз, паролей или закрытых ключей. После получения начальных разрешений на чтение данных кошелька он анализирует конкретный кошелёк и разрабатывает индивидуальный план кражи. Затем он запрашивает разрешения на расходование средств, которые могут выглядеть менее подозрительно, чем прямой перевод, и осуществляет кражу активов с инфраструктуры, контролируемой злоумышленником. После завершения процесса набор инструментов разрывает сессию WalletConnect, удаляя вредоносное приложение из списка подключённых приложений кошелька и сокращая видимые следы компрометации. Использование публичного DoH, DNS-основанной живой конфигурации, пулов, размещённых в облаке, резервной инфраструктуры и принятия решений для каждого кошелька обеспечивает устойчивость и поддерживает оперативные изменения в ходе проведения операций.

#ParsedReport #CompletenessHigh
07-10-2026

From WhatsApp to SYSTEM: Inside the VulcanRAT207.A Intrusion Chain

https://www.morphisec.com/blog/copy-of-how-to-stop-ransomware-before-execution/

Report completeness: High

Threats:
Dll_sideloading_technique
Romulusloader
Poolparty_technique
Byovd_technique
Process_injection_technique
Dllsearchorder_hijacking_technique

Victims:
Baidu security products, 360 security products, Tencent security products

Geo:
Chinese, China

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1012, T1027, T1027.002, T1027.007, T1027.009, T1036.004, T1053.005, T1055, T1055.003, T1057, have more...

IOCs:
IP: 2
File: 21
Command: 1
Url: 1
Hash: 6
Path: 4

Soft:
WhatsApp, Task Scheduler, Windows Task Scheduler, NET Framework, Hyper-V, winlogon

Algorithms:
rc4, md5, xor, zip, sha256

Functions:
CreateRemoteThread-based, DLL-resolution, DLL

Win API:
CreateRemoteThread, CreateServiceW, SeDebugPrivilege, ZwTerminateProcess, ShellExecuteW, CoGetObject, AdjustTokenPrivileges, ZwSetIoCompletion, MoveFileExW, DeleteFileW, have more...

Languages:
powershell

Platforms:
x64

#ParsedReport #ExtractedSchema

Classified images:
code: 9, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ZIP-архив, доставленный через WhatsApp и содержащий `Statement.exe`, развертывает загрузчик в оперативной памяти с обширным набором проверок на анализ и пытается обойти UAC. Он внедряет шеллкод в процесс Планировщика заданий SYSTEM с помощью PoolParty, загружает полезную нагрузку и злоупотребляет подписанным драйвером `GoFly64.sys` для завершения работы процессов безопасности. Закрепление в системе осуществляется с помощью DLL sideloading через `vulkaninfo-64.exe`, что приводит к запуску VulcanRAT207.A для наблюдения, удаленного управления, внедрения кода в процессы и нацеливания на продукты безопасности.
-----

Вторжение начинается с приманки в виде финансового документа, которая, по имеющимся данным, распространялась через WhatsApp в виде ZIP-архива, содержащего `Statement.exe`. Исполняемый файл представляет собой обёртку со сжатием NRV2E, которая полностью восстанавливает фактический загрузчик в оперативной памяти. Загрузчик выполняет обширную проверку хоста, включая проверку аппаратного обеспечения, дисплея, журнала событий, реестра, виртуализации, точек повторного анализа (reparse points) и продуктов безопасности Baidu. Он также использует временные шлюзы (timing gates) и проверки на наличие хуков (anti-hooking) для завершения работы в эмулированных или инструментированных средах.

После попытки повышения привилегий через COM-интерфейс UAC и использования резервного механизма `runas` через `ShellExecuteW`, загрузчик внедряет шеллкод в процесс службы Планировщика заданий Windows с использованием PoolParty Variant 7. Он идентифицирует объект `IoCompletion`, записывает структуру обратного вызова пула потоков и шеллкод загрузчика в целевой процесс, а затем ставит выполнение в очередь с помощью `ZwSetIoCompletion`. Поскольку целевой процесс работает от имени LocalSystem, последующие этапы наследуют привилегии SYSTEM, а не выполняют отдельный шаг повышения привилегий.

Вставленный шеллкод отправляет HTTP-запрос POST на адрес `61.18.208.27:8888`, проверяет пользовательский заголовок ответа и получает составной пакет развертывания. Рефлексивный загрузщик распаковывает и вручную отображает DLL развертывания, которая координирует выполнение полезной нагрузки, обход защиты и закрепление. Она злоупотребляет легитимно подписанным драйвером `GoFly64.sys` в качестве компонента BYOVD. Через IOCTL `0x12227A` драйвер принимает идентификаторы процессов и вызывает `ZwTerminateProcess` из режима ядра, что позволяет завершать работу выбранных процессов безопасности Baidu.

Развёртываемая DLL выполняет контейнер RAT из памяти и записывает пакет закрепления в каталог `C:\Program Files\Common Files`. Пакет содержит легитимный подписанный файл `vulkaninfo-64.exe`, вредоносный файл `vulkan-1.dll` и полезную нагрузку `vulkan-1.bin`. Планируемая задача SYSTEM с именем `USOPrivate Kit` запускает подписанный исполняемый файл, который загружает вредоносную DLL через неразрешённое разрешение DLL (unqualified DLL resolution). DLL восстанавливает и рефлексивно загружает конечную полезную нагрузку из сопутствующего файла.

Итоговый полезный груз, отслеживаемый как VulcanRAT207.A, устанавливает соединение WebSocket v13 с `61.18.208.27:8888`. Его возможности включают наблюдение за хостом, удаленный рабочий стол и манипуляции с учетной записью, внедрение кода в процессы с использованием нескольких техник, доступ к журналу событий, операции с трафиком, связанные с WFP, а также развёртывание драйвера ядра по команде. Он также содержит целенаправленные рутинные процедуры внедрения для китайских продуктов безопасности, включая компоненты 360 и Tencent.

#ParsedReport #CompletenessMedium
08-10-2026

ARTokens 5.1.2: From Compromised SharePoint Tenants to Device Code Phishing

https://zerobec.com/blog/artokens-5-1-2-sharepoint-device-code-phishing

Report completeness: Medium

Threats:
Device_code_phishing_technique
Artoken_tool
Eviltokens_tool
Artbrowser_tool
Spear-phishing_technique
Bec_technique

Victims:
Microsoft 365 users, Sharepoint tenants

TTPs:
Tactics: 8
Technics: 14

IOCs:
Domain: 9
IP: 5
Url: 2

Soft:
SharePoint, Microsoft 365, Cloudflare, harePoint, flare Worker, Selenium, PhantomJS, Node.js, Telegram, DocuSign, have more...

Algorithms:
xor

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ARTokens 5.1.2 представляет собой набор инструментов для фишинга с использованием кода устройства Microsoft 365, происходящий из линейки EvilTokens. В ходе кампаний использовались поддельные электронные письма с запросами предложений (RFP) или счетами, скомпрометированные ресурсы SharePoint, Google Sites и Cloudflare Workers для доставки приманок в стиле Microsoft, предназначенных для перехвата токенов аутентификации. Его зашифрованный JavaScript позволял уклоняться от анализа, в то время как бэкенд поддерживал кражу токена, доступ к почтовым ящикам и SharePoint, администрирование Entra ID и сценарии закрепления.
-----

ARTokens 5.1.2 представляет собой набор инструментов для фишинга с использованием кода устройства Microsoft 365, связанный с семейством вредоносного ПО EvilTokens. В двух пресеченных кампаниях использовалась одна и та же цепочка доставки: поддельные электронные письма, имитирующие запросы на рассмотрение коммерческого предложения (RFP) или счета-фактуры, направляли жертв на скомпрометированный арендатор SharePoint. На этом арендаторе размещался файл `.URL`, содержащий ссылку на страницу Google Sites, которая, в свою очередь, перенаправляла пользователей на приманку для фишинга кода устройства в стиле Microsoft, размещенную на Cloudflare Workers. Использование доверенных Облачных сервисов, вероятно, способствовало обходу фильтрации URL на основе репутации.

Приманка отображала код устройства и побуждала жертв продолжить аутентификацию с Microsoft. Когда пользователи продолжали процесс, страница инициировала опрос кода устройства в фоновом режиме. В проанализированных кампаниях запросы на опрос поступали на панель ARTokens backend, размещенную на `support.mayco-build.com`. Сборка панели содержала идентификатор `5.1.2-prod`, который отсутствовал в ранее наблюдаемых вариантах.

Фишинговая страница содержала XOR-шифрованный JavaScript с использованием 16-байтного ключа. После расшифровки скрипт выявил механизмы обнаружения ботов и песочниц, проверки на наличие Selenium, PhantomJS, Playwright, несоответствия в характеристиках браузера, размеры окна и ввод с помощью сенсорного экрана, а также отслеживание мыши и клавиатуры. Кроме того, в коде присутствовали захардкоженный URL панели, перенаправление после аутентификации и настраиваемые пути для опроса. Вместо фиксированных конечных точек `/api/device/start` и `/api/device/poll` в более новых развёртываниях могут использоваться псевдонимы, генерируемые оператором, например `/s/gc7mh`, что снижает надёжность обнаружения статических конечных точек. Запрос опроса содержал код устройства и IP-адрес жертвы.

Панель поддерживает стандартный перехват токенов Microsoft Office и рабочий процесс Authentication Broker, связанный с закреплением первичного токена обновления. Дополнительные возможности включают мониторинг почтовых ящиков, управление вредоносными правилами входящих сообщений, операции с SharePoint и кражу данных, администрирование Entra ID, уведомления через Телеграм, а также ARTBrowser — автономный клиент для Windows, предназначенный для использования скомпрометированных токенов Microsoft 365. Операторы также могут развертывать логику опроса через Cloudflare Workers, скрывая URL-адрес панели в бэкенде и снижая степень раскрытия инфраструктуры. В качестве индикаторов компрометации были идентифицированы пять IP-адресов панели и девять доменных имен.

#ParsedReport #CompletenessHigh
08-10-2026

The phone was compromised before the user turned it on: the rise of Midnight Mimosa

https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware

Report completeness: High

Threats:
Midnight-mimosa
Residential_proxy_technique
Supply_chain_technique
Gogo_tool
Joker

Industry:
Logistic, Retail, E-commerce

Geo:
France, Americas, United states, Germany, Asia, Middle east, Brazil, Spain, Africa, Mexico, Italy

TTPs:
Tactics: 1
Technics: 0

IOCs:
File: 37
Hash: 127
Domain: 12
IP: 1
Url: 10

Soft:
Android, Google Play, ndroid; o, ndroid 13, ndroid.ve, roid.vend, id.vendin, ndroid.Cl, appstore

Algorithms:
zip, rc4, aes, md5, base64, cbc

Functions:
getUserHandleForUid, getConfigs, setAdData, createSession

Languages:
kotlin, java

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Midnight Mimosa — это вредоносная кампания для Android, предустановленная в прошивке устройства, что обеспечивает ей закрепление и привилегии на системном уровне. Она использует плагины, доставляемые через C2, для установки полезных нагрузок, совершения мошенничества с рекламой и подключения устройств к ботнету на базе домашних прокси, а также позволяет злоупотреблять разрешениями, осуществлять Удаленное Выполнение Кода, а также потенциально красть данные или управлять интерфейсом.
-----

Кампания Midnight Mimosa предполагает использование предустановленного на Android вредоносного ПО, встроенного в прошивку устройства до его продажи. Его основной компонент, как правило, упаковывается в виде `com.android.system.lite` или связанных вариантов `com.android.sys.*`, и представляет собой системное приложение с подписью платформы, скрытой иконкой, постоянным выполнением и привилегиями системного UID. Поскольку он размещается в системном разделе, пользователи обычно не могут его удалить. Приложение обладает возможностями, включая установку и удаление пакетов, предоставление разрешений во время выполнения, изменение защищенных настроек и Удаленное Выполнение Кода.

Нативная библиотека ВПО, обычно `libeasy.so`, расшифровывает встроенный APK с использованием RC4 и загружает привилегированный Java-фреймворк. Этот фреймворк получает конфигурацию из инфраструктуры управления, включая `api.weatherlive.world`, и загружает плагины второй и третьей ступеней. Плагины могут незаметно устанавливать и удалять полезную нагрузку, предоставлять разрешения другим приложениям и загружать дополнительный удалённый код. Разрешения Accessibility, Notification Access и SMS многократно выдаются и отзываются; хотя во время анализа не было зафиксировано их активного злоупотребления, они могут обеспечивать мониторинг экрана, кражу уведомлений и SMS, управление интерфейсом и мошенничество с платными SMS.

Доставка полезной нагрузки контролируется с помощью плагинов, предоставляемых через C2, и упакованных ресурсов APK. Полезные нагрузки включают маскированные под приложения AppLock, прогноз погоды, управления файлами, OCR, иконок и редактирования аудио. Системный компонент отключает `com.android.vending` непосредственно перед бесшумной установкой полезной нагрузки, подавляет Google Play Protect в течение окна установки, а затем снова активирует его. Он также может имитировать Google Play в качестве пакета установщика, несмотря на отсутствие метаданных «frosting» с подписью Google.

Основной вид монетизации — мошенничество с рекламой. Полезные нагрузки генерируют скрытые показы и синтетические клики с использованием настраиваемых вероятностей, целевых списков, дневных лимитов, управления временными интервалами и имитации точек касания. Защищенные рекламные поверхности скрывают эту активность от скриншотов и записей экрана, а сотрудничающие приложения обмениваются идентификаторами и взаимодействуют с тем же C2. Другие полезные нагрузки подключают зараженные устройства к ботнету на базе резидентных прокси. Компонент прокси регистрирует отпечаток устройства и UUID, получает удаленные целевые хосты и порты и ретранслирует произвольный TCP-трафик в обоих направлениях, что потенциально может привести к раскрытию локальных сетей или содействовать атакам, таким как DDoS.

ВПО обнаруживалась на бюджетных, поддельных и брендовых устройствах Android, распространяемых по всему миру. В части выборки присутствует прошивка, подписанная сертификатом Shenzhen Zediel, однако имеющиеся доказательства не подтверждают, что владелец сертификата создал ВПО или осознанно распространял её. Аналогичный код, связанный с мошенничеством в сфере рекламы, также был выявлен в тринадцати приложениях в Google Play, что свидетельствует о наличии отдельных каналов распространения через прошивки и официальный магазин.

#ParsedReport #CompletenessLow
08-10-2026

Making sure the checks get printed

https://blog.talosintelligence.com/making-sure-the-checks-get-printed/

Report completeness: Low

Actors/Campaigns:
Warlock

Threats:
Supply_chain_technique

Victims:
Government, Water, Telecommunications, Education, Health care

Industry:
Telco, Healthcare, Education, Government

Geo:
Spanish, Spain, Portuguese, Danish

CVEs:
CVE-2026-88779 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- citrix netscaler_application_delivery_controller (<13.1-37.282, <13.1-64.28, <14.1-73.41)
- citrix netscaler_gateway (<13.1-64.28, <14.1-73.41)


ChatGPT TTPs:
do not use without manual check
T1562.001

IOCs:
Hash: 10
File: 4
IP: 0
Domain: 0
Url: 0
Email: 0
BrowserExtension: 0

Soft:
KMSAuto

Algorithms:
md5, sha256

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники всё чаще внедряют инструкции для prompt-injection в ВПО с целью манипуляции анализом с использованием ИИ; зафиксированы попытки влияния на вердикты примерно в 35% случаев. Данная техника охватывает различные семейства ВПО и может сочетаться с возможностями, такими как использование MANTLEMAZE уязвимых драйверов на уровне ядра для отключения средств защиты конечных точек.
-----

Cisco Talos сообщает о растущей технике использования вредоносного ПО, при которой злоумышленники внедряют инструкции на естественном языке в вредоносный код, чтобы манипулировать анализом с помощью ИИ. Эти инструкции могут варьироваться от комментариев, указывающих ИИ-системе игнорировать файл или классифицировать его как безвредный, до более продвинутых методов «разбрасывания шаблонов» (template spraying), предназначенных для влияния на конкретные большие языковые модели. Talos классифицирует эту активность как A3: AI-Analysis Evasion и отмечает, что за последние 18 месяцев наблюдал применение данной техники в различных семействах ВПО и с разным уровнем изощренности.

Техники инъекции в промпт, по имеющимся данным, повлияли на вердикт ИИ примерно в 35% зафиксированных случаев, как правило, направляя оценку в пользу атакующего. Данный подход является недорогим и, судя по всему, всё чаще применяется, поскольку атакующие исходят из того, что инструменты ИИ являются частью рабочих процессов анализа ВПО со стороны защитников. В некоторых случаях манипуляция с ИИ сочетается с более серьёзными возможностями на уровне системы. Семейство ВПО MANTLEMAZE, например, по имеющимся данным, злоупотребляет уязвимыми драйверами для отключения защитных механизмов обнаружения и реагирования на конечных точках из пространства ядра, сочетая обход анализа с вмешательством в работу средств безопасности.

Среди других зафиксированных инцидентов — уязвимость Citrix NetScaler, CVE-2026-88779, описанная как проблема переполнения памяти, способная привести к отказу в обслуживании. В Дании, по сообщениям, злоумышленники получили доступ к государственной базе данных CPR и получили записи, принадлежащие примерно восьми миллионам граждан, злоупотребив легитимным разрешением датской компании на поиск в системе. Ответственный актор не был идентифицирован.

Исследователи также зафиксировали атаки шифровальщика Warlock против четырех организаций в Испании и Португалии в течение двухмесячного периода, среди которых были водоканал, телекоммуникационный провайдер, региональный государственный орган и университет. Отдельно сообщается, что Google временно ограничил подачу отчетов об уязвимостях в продуктах в рамках своей программы вознаграждений за уязвимости с открытым исходным кодом из-за большого объема недействительных автоматизированных отчетов; при этом, по имеющимся данным, отчеты, связанные с цепочкой поставок, и ранее поданные заявки не пострадали.