#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
С 21 сентября по 1 октября 2026 года, вероятно, скоординированный актор атаковал украинские видеорегистраторы Hikvision, используя сканирование Nuclei и эксплуатацию уязвимости CVE-2021-36260. Активность, исходившая преимущественно через узлы PureVPN, могла обеспечить выполнение удаленных команд, наблюдение и проведение дальнейших атак; ее временные рамки и географическая направленность указывают на поддержку осведомленности российских сил о ситуации на поле боя.
-----

В период с 21 сентября по 1 октября 2026 года исследователи зафиксировали резкое увеличение попыток сканирования и эксплуатации цифровых видеорегистраторов (DVR) на территории Украины. Данная активность совпала по времени с усилением российских ударов по всей стране, что повышает вероятность использования скомпрометированных DVR для мониторинга физических объектов и поддержки ситуационной осведомленности в зоне боевых действий. Указанная активность представляла собой значительное отклонение от фоновых условий, поскольку в предшествующие месяцы аналогичная активность в отношении украинских целей практически не наблюдалась.

Большая часть активности была сосредоточена на уязвимости CVE-2021-36260 — уязвимости в командной инъекции без аутентификации, затрагивающей не обновлённые продукты Hikvision. Успешная эксплуатация позволяет злоумышленникам выполнять удалённые команды на уязвимых DVR, что потенциально обеспечивает наблюдение, дальнейшую компрометацию или использование устройств в качестве инфраструктуры для дополнительных операций. Наблюдаемые злоумышленники использовали шаблон сканирования Nuclei, предназначенный для выявления или эксплуатации данной уязвимости.

Активность исходила преимущественно из трех выходных узлов PureVPN и одного украинского внутреннего IP-адреса. Трафик, связанный с PureVPN, был оценен как, вероятно, принадлежащий одному субъекту, тогда как украинский IP-адрес мог быть с ним связан, хотя уверенность в этой оценке была низкой. Хотя наблюдался более широкий глобальный рост числа обнаружений, эти четыре IP-адреса не пытались эксплуатировать датчики за пределами Украины. Их географическая направленность, в сочетании с резким увеличением активности и отсутствием аналогичной активности с тех же адресов в предыдущие месяцы, указывает на целенаправленное воздействие, специально направленное на инфраструктуру видеорегистраторов (DVR) в Украине.

#ParsedReport #CompletenessLow
13-10-2026

New macOS Malware Uses Fake System Prompts to Steal Passwords and Deploy RAT

https://gbhackers.com/macos-credential-stealing/

Report completeness: Low

Actors/Campaigns:
Glowcoma

Threats:
Icmacos
Icarus
Clickfix_technique
Credential_stealing_technique

Victims:
Macos users, Professional developers, Developer endpoints, Cloud accounts, Source code repositories, Package registries, Cryptocurrency wallets

ChatGPT TTPs:
do not use without manual check
T1036, T1036.004, T1056.002, T1059.004, T1082, T1105, T1204, T1217, T1528, T1539, have more...

IOCs:
Domain: 2
IP: 2
Url: 2

Soft:
macOS, Telegram, Discord, WhatsApp, iMessage, Kubernetes, Docker

Platforms:
intel, apple, amd64, arm

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
ICMacOS (Icarus macOS) — это платформа ВПО как услуга для macOS, распространяемая через страницы в стиле ClickFix, которые обманом заставляют пользователей выполнять команды в Терминале и вводить пароли в поддельных диалоговых окнах. Написанный на Go стиллер нацелен на данные браузеров, Связки ключей, криптовалютных кошельков, мессенджеров, инструментов разработчика, облачных сервисов и SSH. Более новая версия обеспечивает закрепление с помощью поддельного LaunchAgent и функции удаленного доступа.
-----

ICMacOS, также известная как Icarus macOS, — это платформа ВПО как услуга для macOS, рекламируемая русскоязычным злоумышленником, известным как GlowComa. Вредоносное ПО распространяется через страницы социальной инженерии в стиле ClickFix, которые убеждают жертв скопировать и выполнить команду в Терминале. Bash-дроппер загружает компонент следующего этапа, подавляет видимую активность Терминала и отображает поддельное окно запроса пароля в «Настройках системы» macOS. Введенный пароль проверяется по локальной Связке ключей жертвы перед загрузкой и выполнением конечного полезной нагрузки.

Дроппер использует команду `uname -m` для определения того, работает ли хост на аппаратном обеспечении Apple Silicon или Intel, что позволяет доставлять полезную нагрузку в форматах ARM64 или AMD64. Основная полезная нагрузка представляет собой 64-разрядный исполняемый файл Mach-O, написанный на языке Go. Его возможности по краже информации включают сбор учетных данных браузеров, файлов cookie, истории просмотров, данных менеджеров паролей, файлов криптографических кошельков, сессий Телеграм, токенов Discord, баз данных WhatsApp, данных iMessage и заметок Apple. Также целевыми объектами являются материалы для разработки и доступа к облачным сервисам, включая профили AWS, файлы конфигурации Kubernetes, учетные данные Docker, токены GitHub CLI, закрытые ключи SSH, файлы `.env` и записи истории командной строки.

ICMacOS использует открытую библиотеку `keychainbreaker` для разбора и расшифровки файлов `login.keychain-db` в macOS, если доступен пароль входа жертвы. Если офлайн-разбор Связки ключей не удается, вредоносное ПО использует штатную утилиту `security` macOS и отображает еще одно мошенническое уведомление, предназначенное для получения одобрения на выполнение операции с правами администратора.

Вторая версия расширяет функциональность стиллера, превращая его в троянскую программу удаленного доступа, путем обеспечения закрепления с помощью LaunchAgent с именем `com.apple.systemupdater.plist`, который имитирует легитимный компонент Apple. В конфигурации используются параметры `KeepAlive` и запланированный интервал для перезапуска ВПО после его завершения и при каждом входе пользователя в систему. К соответствующим индикаторам обнаружения относятся неожиданное выполнение Terminal или `osascript`, поддельные диалоговые окна аутентификации, недавно созданные пользовательские LaunchAgents, запуск ВПО из каталога `/tmp`, а также исходящие соединения с неизвестными доменами или конечными точками WebSocket. Скомпрометированные учетные данные разработчиков, облачных сервисов и другие учетные данные следует обновить, а затронутые хосты — исследовать.

#ParsedReport #CompletenessMedium
08-10-2026

RMM tools being distributed through phishing attacks (ScreenConnect, FleetDeck, Datto, SimpleHelp, JumpCloud, N-able)

https://asec.ahnlab.com/ko/95750/

Report completeness: Medium

Actors/Campaigns:
0ktapus

Threats:
Screenconnect_tool
Fleetdeck_tool
Centrastage_tool
Simplehelp_tool
Jump_cloud_tool
N-able_tool
Syncro_tool
Ninjaone_tool
Superops_tool
Dragonforce_ransomware
Playcrypt
Medusa_ransomware
Blackcat

ChatGPT TTPs:
do not use without manual check
T1036, T1059.003, T1105, T1204.001, T1219, T1566.001

IOCs:
File: 5
Path: 1
Email: 1
Hash: 5
Url: 5
Domain: 4
IP: 1

Soft:
dropbox, Adobe Acrobat, DocuSign

Algorithms:
md5

Win Services:
CagService

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие злоупотребляют легитимными инструментами RMM, используя их в качестве скрытых бэкдоров, распространяя их через фишинговые электронные письма, вредоносные вложения и поддельные страницы документов или обновлений программного обеспечения. Развертывания ScreenConnect, FleetDeck, Datto RMM, SimpleHelp, JumpCloud и N-able содержали серверы, идентификаторы, ключи или учетные записи, контролируемые атакующими, что позволяло осуществлять удаленный доступ, мониторинг, выполнение команд и операции по шифрованию данных (ransomware), уклоняясь от обнаружения благодаря статусу подписанного программного обеспечения.
-----

Атакующие распространяют легитимное программное обеспечение для удаленного мониторинга и управления (RMM) посредством фишинговых писем, вредоносных вложений и поддельных страниц с документами или обновлениями программного обеспечения. Хотя эти инструменты по своей природе не являются ВПО, они предоставляют возможности для удаленного доступа, управления системой, мониторинга, установки обновлений и выполнения скриптов. Их легитимное использование и подписанные бинарные файлы могут сделать их более сложными для обнаружения файрволами и антивирусными продуктами по сравнению с традиционными бэкдорами или троянами удаленного доступа.

ConnectWise ScreenConnect по-прежнему остаётся одним из наиболее часто используемых злоумышленниками инструментов. Во второй половине 2026 года он распространялся через предположительно фишинговые вложения в форматах LNK, BAT и VBS. Аргументы выполнения ScreenConnect могут раскрывать информацию о сервере-релее и портах, контролируемых злоумышленником. FleetDeck распространялся с помощью PDF-приманок, побуждающих пользователей перейти по ссылке для просмотра документа. Скачанный установщик сохраняет идентификатор развёртывания, который передаётся через аргумент `-deploymentID` и позволяет злоумышленнику, осуществляющему распространение, управлять установленным агентом. Ранее FleetDeck связывался с деятельностью Scattered Spider и развёртыванием вымогательского ПО DragonForce.

Datto RMM также маскировался под обновление Adobe Acrobat в PDF-файле-приманке. Скачанный исполняемый файл на самом деле являлся установщиком Datto, в файле конфигурации `CagService.exe.config` которого содержалось значение `AccountUid`, предположительно идентифицирующее учетную запись злоумышленника. Злоупотребление SimpleHelp включает использование его функций удаленного управления, мониторинга и выполнения скриптов. В его конфигурации сервер управления хранится в записи `sg_servers` в виде шестнадцатеричного значения, а данный инструмент применялся в атаках с использованием Play, Medusa и вымогательского ПО ALPHV/BlackCat.

JumpCloud распространялся со страницы фишинга, выдававшей себя за документ Adobe по вопросам безопасности. Вредоносное ПО Batch скачивало и устанавливало агент с использованием `CONNECT_KEY` злоумышленника. Та же инфраструктура также использовалась для распространения FleetDeck. N-able устанавливалось вредоносным ПО Batch, маскирующимся под просмотрщик DocuSign, при этом отображалась поддельная страница поддержки. В конфигурации установщика содержался адрес электронной почты, контролируемый злоумышленником, а на связанном домене размещалась поддельная страница DocuSign, направлявшая пользователей на установку просмотрщика, что скрывало развертывание N-able.

#ParsedReport #CompletenessHigh
08-10-2026

From JBRJ to JUCEC: Exposed Infrastructure Reveals a Broad Brazilian Government Intrusion Campaign

https://www.infrahunter.com/research/a-live-compromise-of-a-brazilian-federal-research-institute

Report completeness: High

Actors/Campaigns:
Jbrj
Jucec
Bluedash

Threats:
Credential_harvesting_technique
Password_spray_technique
Shadow_copies_delete_technique
Copyfail_vuln
Credential_dumping_technique

Victims:
Brazilian government, Brazilian federal biodiversity research institute, Junta comercial do estado do ceará, E simples, Rio grande do norte municipal councils, Brazilian public sector, Brazilian research sector

Industry:
Government, Military

Geo:
Mexican, Malaysian, Brazil, Brazilian, Malaysia, Singapore, Brasil

CVEs:
CVE-2026-71880 [Vulners]
CVSS V3.1: 7.6,
Vulners: Exploitation: Unknown

CVE-2026-42031 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- okfn ckan (<2.10.10, <2.11.5)

CVE-2026-71878 [Vulners]
CVSS V3.1: 9.2,
Vulners: Exploitation: Unknown

CVE-2026-31431 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
Soft:
- linux linux_kernel (<5.10.254, <5.15.204, <6.1.170, <6.6.137, <6.12.85)


TTPs:
Tactics: 8
Technics: 14

IOCs:
IP: 4
File: 119
Email: 3
Domain: 4

Soft:
Linux, Active Directory, Zimbra, Codex, Claude, Claude Code, PostgreSQL, Ubuntu, boto3, Openfire, have more...

Algorithms:
base64, bcrypt, aes

Functions:
isBaseURLValid, io_uring_setup, chr, Windows

Win API:
BR, NET

Languages:
java, python, powershell, php, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Открытые каталоги на VPS в Малайзии раскрыли масштабную хакерскую кампанию, нацеленную на организации государственного сектора и исследовательские учреждения Бразилии. Злоумышленники эксплуатировали уязвимые серверы IPT, собирали учетные данные и облачные секреты, а также использовали веб-шеллы и инструменты выполнения команд для закрепления и доступа. Их набор инструментов поддерживал разведку, атаки на учетные данные, кражу данных из баз данных и почтовых ящиков, компрометацию Active Directory, перемещение внутри компании и повышение привилегий в Linux.
-----

Hunt.io обнаружил открытые каталоги на 111.90.145.92, содержащие инструменты и доказательства вторжений в организации государственного сектора и исследовательские учреждения Бразилии.

Сервер GBIF IPT компании JBRJ был скомпрометирован посредством внедрения в шаблоны на стороне сервера (FreeMarker), что позволило получить произвольный доступ к файлам и выполнить команды.

Атакующие эксплуатировали конечную точку `setupDefaultAdministrator.do` IPT для создания несанкционированной учётной записи администратора, в том числе применяя технику гонки условий (race condition) для обхода проверки источника запроса.

Функциональность IPT JDBC, DuckDB и dblink была использована для выполнения операций произвольного чтения/записи файлов и выполнения команд.

Атакующие получили доступ к AWS EC2 Instance Metadata Service и получили временные учетные данные для двух ролей IAM.

Учетные данные и секреты, подвергшиеся краже, были получены из баз данных JBRJ, CKAN, CITSmart, Matomo, Fauna do Brasil, PostgreSQL, а также из файлов конфигурации приложений.

Повторное использование паролей и слабые учетные данные позволили получить доступ к дополнительным базам данных, учетным записям сотрудников, ключам API и организационным токенам.

Закрепление включало скрытые каталоги для хранения украденных данных, JSP-вебшеллы, механизмы выполнения команд и подготовку к повышению привилегий в ядре Linux.

Набор инструментов JUCEC содержал 34 веб-шелла, использующих общий жёстко закодированный ключ в PHP, ASP.NET, JSP, Python и PowerShell.

Инструментарий JUCEC поддерживал разведку в среде Zimbra, брутфорс учётных данных (credential spraying), тестирование SMTP, доступ к почтовым ящикам, перечисление объектов Active Directory, доступ по протоколу SMB, создание теневых копий с помощью WMI, а также извлечение файлов `NTDS.dit`, `SYSTEM` и `SECURITY`.

Атакующие искали конфиденциальные документы на внутренних общих ресурсах и в резервных копиях, а также нацелились на GLPI, osTicket, Openfire, SQL Server, ScriptCase, Google Cloud Directory Sync, сессии Gmail и учетные данные, сохраненные в Chrome.

Способы закрепления включали модификацию cron-задач GLPI, PHP-вебшеллы и замаскированную запланированную задачу `WaaSHealthCheck`, которая копировала полезную нагрузку в корневые каталоги веб-сервера.

Порт 18080 хостил набор инструментов для повышения привилегий в ядре Linux для CVE-2026-31431 («Copy Fail»), включая код эксплуатации, полезную нагрузку и код проверки уязвимости.

#ParsedReport #CompletenessLow
13-10-2026

Kimsuky Uses Quasar RAT to Deploy Funhouse Ransomware Through Multi-Stage Scripts

https://gbhackers.com/funhouse-ransomware-attack/

Report completeness: Low

Actors/Campaigns:
Kimsuky

Threats:
Quasar_rat
Funhouse

ChatGPT TTPs:
do not use without manual check
T1027.009, T1059.001, T1059.003, T1059.005, T1204.001, T1204.002, T1219, T1486

IOCs:
File: 6
IP: 1
Email: 2
Hash: 3
Url: 3

Algorithms:
curve25519, sha512, md5, chacha20, hc-128

Win API:
CryptGenRandom

Languages:
python, powershell, vbscript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания, приписываемая Kimsuky, использовала вредоносное резюме на хангыле для запуска многоэтапной цепочки заражения, включающей VBScript, Batch, PowerShell, Python-бэкдор и Quasar RAT. В конечном итоге Quasar развернул шифровальщик Funhouse, который шифровал файлы с расширением `.Funhouse`. Повторное использование артефактов, включая мьютекс шифровальщика, характеристики шифрования и паттерны конфигурации, указывает на преемственность с более ранней деятельностью Kimsuky.
-----

Кампания, приписываемая Kimsuky, использовала вредоносный документ на хангыль `resume.hwp`, замаскированный под резюме, для доставки шифровальщика Funhouse. Документ содержит вредоносные данные OLE, которые при открытии извлекают `pdf.exe` и соответствующий манифест/скрипт в временный каталог Windows. Также в документе отображается гиперссылка, маскирующаяся под PDF, например `resume_{name}.pdf`. При переходе по ссылке запускается `pdf.exe`, идентифицированный как редактор VBScript, который обрабатывает вредоносный манифест.

Цепочка заражения проходит через несколько этапов на основе Batch, VBScript и PowerShell. Эти скрипты обеспечивают закрепление или поток выполнения, устанавливают бэкдор на базе Python и развертывают Quasar RAT. Затем вредоносное ПО удаленного доступа используется для запуска шифровальщика Funhouse, выступая связующим звеном между начальной компрометацией, основанной на документе, и шифрованием файлов. Пара «исполняемый файл и манифест», а также элементы пакетного скриптинга были связаны с более ранними кампаниями Kimsuky, в которых использовались бэкдоры на базе Python и вредоносные файлы LNK.

Вариант Quasar хранит свою конфигурацию в файле `dog.dwg`, заменяя артефакт `se.dwg`, наблюдавшийся в активности в феврале и июне. Несмотря на изменения в именах файлов, инфраструктуре, версиях конфигурации и контактных адресах, вымогатель сохранил технические сходства с образцом Endpoint, обнаруженным в июне. К ним относятся расширение зашифрованных файлов `.Funhouse`, записка-вымогательство `How To Restore Your Files.Txt`, повторно используемый мьютекс вымогателя, аналогичный метод шифрования, размер подвала и встроенный маркер.

Активность свидетельствует о непрерывности операций при развертывании вымогательского ПО Kimsuky, а не о полностью новой операции. Ключевые артефакты расследования включают извлечение исполняемых файлов в временные каталоги, выполнение VbsEdit, цепочки этапов на основе скриптов, установку Python-бэкдора, конфигурационные файлы Quasar и, в конечном итоге, развертывание Funhouse. Эти детали реализации и повторно используемые артефакты, такие как мьютексы или конфигурационные файлы, могут обеспечить более надежные возможности для обнаружения и корреляции по сравнению с изменяемыми именами файлов, адресами эл. почты или сетевой инфраструктурой.

#ParsedReport #CompletenessLow
13-10-2026

RSVP to Disaster: How One Click Installs a RAT

https://cofense.com/blog/rsvp-to-disaster-how-one-click-installs-a-rat

Report completeness: Low

Threats:
Screenconnect_tool

ChatGPT TTPs:
do not use without manual check
T1105, T1204.001, T1204.002, T1219, T1566.002

IOCs:
File: 1
IP: 2
Url: 2
Hash: 1

Algorithms:
md5, zip, sha256

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В ходе фишинговой кампании программное обеспечение удаленного доступа ConnectWise ScreenConnect маскируется под загружаемое приглашение на мероприятие в ZIP-архиве. При запуске файл «ScreenConnect.exe» предоставляет злоумышленникам удаленный контроль над системой жертвы, при этом выглядя легитимным и потенциально обходя обнаружение антивирусными средствами.
-----

Фишинговая кампания использует поддельные приглашения на онлайн-мероприятия для доставки троянской программы (RAT). Письма разработаны так, чтобы выглядеть легитимными, при этом в них используются расплывчатые темы, названия мероприятий и минимальное количество деталей об организаторах. Такая общая формулировка позволяет приманке подходить для множества социальных ситуаций и побуждает получателей переходить по ссылке из любопытства. Кампания особенно хорошо подходит для периодов, когда распространены приглашения и праздничные мероприятия.

Сообщение содержит кнопку «Click Here to Download the Invite» (Нажмите здесь, чтобы скачать приглашение). Вместо явного отображения адреса назначения нажатие на кнопку инициирует принудительное скачивание, скрывая URL и приводя к тому, что жертва получает ZIP-архив с именем «ViewDePartyyinvites». В архиве находится исполняемый файл «ScreenConnect.exe».

Исполняемый файл представляет собой легитимный установщик ConnectWise ScreenConnect, который был использован злоумышленником в качестве инструмента удаленного доступа. После запуска он предоставляет злоумышленнику широкие возможности для удаленного управления скомпрометированной системой, при этом потенциально позволяя обходить обнаружение антивирусным программным обеспечением за счет использования доверенного ПО для удаленной поддержки. Жертва может не осознавать, что на ее системе установлена ВПО, поскольку программа маскируется под приглашение на мероприятие или связанный с ним файл.

После запуска на панели задач появляется значок небольшого размера. При выборе значка отображается интерфейс чата и статус подключения, что указывает на активное установление или поддержание программным обеспечением связи с хостом злоумышленника. Это предоставляет злоумышленнику активный канал доступа к устройству, при этом видимый индикатор является основным признаком активной сессии удаленного доступа. Кампания в основном опирается на социальную инженерию, обманные методы доставки файлов и злоупотребление легитимным программным обеспечением, а не на продвинутые техники эксплуатации уязвимостей.

#ParsedReport #CompletenessHigh
13-10-2026

MALFEX Moves Its npm Loader into a Native Windows DLL

https://safedep.io/malfex-imgdecode-npm-native-addon-loader

Report completeness: High

Actors/Campaigns:
Malfex

Threats:
Native_loader
Malfex
Overlord_tool
Process_injection_technique
Movinlike
Supply_chain_technique

Victims:
Windows developers, Software development

Geo:
Brazil, Portuguese

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1027, T1027.013, T1036, T1053.005, T1055, T1059, T1059.001, T1070.003, T1071.001, have more...

IOCs:
File: 21
Url: 3
Path: 5
Email: 1
IP: 1
Hash: 6

Soft:
Node.js, Microsoft Visual C++, Chromium, Chrome, Component Object Model, Discord, Steam, Minecraft, Telegram, WinHTTP, have more...

Algorithms:
sha256, base64, aes-256-cbc, aes, xor

Functions:
exec, decode, getAsset, readFileSync, require, GetConsoleMode, WriteProcessMemo, CreateRemoteThre

Win API:
VirtualAlloc, RtlMoveMemory, CreateThread, CreateProcessW, VirtualAllocEx, WriteProcessMemory, VirtualProtectEx, CreateRemoteThread, ResumeThread, TerminateProcess, have more...

Languages:
javascript, powershell

Platforms:
amd64

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злонамеренный пакет npm `imgdecode` нацелен на разработчиков, работающих в среде Windows, и загружает нативный DLL-файл, который при определенных условиях скачивает и расшифровывает шеллкод, после чего внедряет его в процесс `dllhost.exe` или выполняет в рамках Node.js. Полезные нагрузки кампании связаны со стиллером/RAT, способным собирать учетные данные, токены, криптовалюту и игровые данные, обеспечивать закрепление в системе и вносить изменения в журналы.
-----

Пакет npm `imgdecode` является частью кампании MALFEX, нацеленной на разработчиков Windows. Версии 1.0.0–1.0.3, опубликованные пользователем `malfexteste8`, содержат предварительно скомпилированное 64-битное нативное дополнение Node.js, расположенное по пути `prebuilds/win32-x64/imgdecode.node`. Импортирование пакета приводит к загрузке DLL без использования установочного скрипта или этапа сборки. Начиная с версии 1.0.1, вредоносное выполнение происходит во время процедуры инициализации модуля N-API. Загрузчик запускается только в том случае, если стандартный вывод подключен к интерактивной консоли Windows, что снижает вероятность активации в средах CI, песочницах и контекстах с перенаправленным выводом.

DLL использует строки, зашифрованные с помощью XOR, и динамически разрешает вызовы Windows API, связанные с сетевыми операциями и внедрением кода в процессы. Она загружает зашифрованные данные с `raw.githubusercontent.com/cavecrew/proj/main/banner.jpg`, расшифровывает ответ с использованием AES-256-CBC, применяя ключ, полученный из `nif-runtime-2027`, и внедряет полученный шеллкод в приостановленный процесс `dllhost.exe`. Ожидается, что полезная нагрузка будет начинаться с исполняемого шеллкода, а не с обычного заголовка PE. Если удаленное внедрение не удается, загрузчик пытается выполнить код внутри процесса Node.js с использованием функций `VirtualAlloc`, `RtlMoveMemory`, `VirtualProtect` и `CreateThread`. При этом не проверяется значение возврата функции `VirtualProtectEx` перед созданием удаленного потока.

Плагин `banner.jpg` не был восстановлен, поэтому его точный следующий этап остаётся неподтверждённым. Однако связанная инфраструктура MALFEX использует то же место промежуточного хранения на GitHub, ту же схему шифрования и загрузчик на языке Go, хеш SHA-256 которого связан с кампанией. Этот загрузчик извлекает `setup.exe` с `104.234.65[.\]75:700` — это приложение Node.js размером 71,5 МБ, идентифицированное как стиллер и инструмент удалённого доступа. Его предполагаемые возможности включают кражу учётных данных и файлов cookie из браузеров, сбор токенов Discord, кражу данных о криптовалюте и игровых данных, поиск файлов с конфиденциальной информацией, функции RAT через WebSockets, закрепление через ключи Run и запланированные задачи, а также модификацию или удаление данных истории событий Windows и PowerShell.

Системы, на которых были загружены пакеты `imgdecode` или связанные с ними пакеты MALFEX, следует рассматривать как потенциально скомпрометированные. К соответствующим индикаторам относятся запуск процесса `dllhost.exe` из `node.exe` без аргумента `/Processid`, соединения с `raw.githubusercontent.com`, за которыми следует подозрительная активность `dllhost.exe`, а также нативные модули, импортирующие сетевые и криптографические API без легитимной функциональности обработки изображений. Специалисты по реагированию на инциденты должны изолировать затронутые хосты, собрать образы оперативной памяти, проверить механизмы закрепления и журналы событий, а также обновить учетные данные, токены, ключи и секреты кошельков, использовавшиеся на этих системах.

#ParsedReport #CompletenessMedium
10-10-2026

Sleep, Beacon, Steal, Repeat - The Story of P7 DarkSword Variant

https://www.iverify.com/blog/darksword-variant-threat-research

Report completeness: Medium

Threats:
Darksword_tool
Coruna_tool
Weworm

Victims:
Mobile devices

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1055, T1071.001, T1555.001, T1573

IOCs:
File: 4
Url: 282
Domain: 4
Hash: 185

Soft:
Mac OS

Wallets:
imtoken

Algorithms:
md5, sha256

Languages:
javascript

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4