CTT Report Hub
#ParsedReport #CompletenessHigh 13-10-2026 MALFEX Moves Its npm Loader into a Native Windows DLL https://safedep.io/malfex-imgdecode-npm-native-addon-loader Report completeness: High Actors/Campaigns: Malfex Threats: Native_loader Malfex Overlord_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Злонамеренный пакет npm `imgdecode` нацелен на разработчиков, работающих в среде Windows, и загружает нативный DLL-файл, который при определенных условиях скачивает и расшифровывает шеллкод, после чего внедряет его в процесс `dllhost.exe` или выполняет в рамках Node.js. Полезные нагрузки кампании связаны со стиллером/RAT, способным собирать учетные данные, токены, криптовалюту и игровые данные, обеспечивать закрепление в системе и вносить изменения в журналы.
-----
Пакет npm `imgdecode` является частью кампании MALFEX, нацеленной на разработчиков Windows. Версии 1.0.0–1.0.3, опубликованные пользователем `malfexteste8`, содержат предварительно скомпилированное 64-битное нативное дополнение Node.js, расположенное по пути `prebuilds/win32-x64/imgdecode.node`. Импортирование пакета приводит к загрузке DLL без использования установочного скрипта или этапа сборки. Начиная с версии 1.0.1, вредоносное выполнение происходит во время процедуры инициализации модуля N-API. Загрузчик запускается только в том случае, если стандартный вывод подключен к интерактивной консоли Windows, что снижает вероятность активации в средах CI, песочницах и контекстах с перенаправленным выводом.
DLL использует строки, зашифрованные с помощью XOR, и динамически разрешает вызовы Windows API, связанные с сетевыми операциями и внедрением кода в процессы. Она загружает зашифрованные данные с `raw.githubusercontent.com/cavecrew/proj/main/banner.jpg`, расшифровывает ответ с использованием AES-256-CBC, применяя ключ, полученный из `nif-runtime-2027`, и внедряет полученный шеллкод в приостановленный процесс `dllhost.exe`. Ожидается, что полезная нагрузка будет начинаться с исполняемого шеллкода, а не с обычного заголовка PE. Если удаленное внедрение не удается, загрузчик пытается выполнить код внутри процесса Node.js с использованием функций `VirtualAlloc`, `RtlMoveMemory`, `VirtualProtect` и `CreateThread`. При этом не проверяется значение возврата функции `VirtualProtectEx` перед созданием удаленного потока.
Плагин `banner.jpg` не был восстановлен, поэтому его точный следующий этап остаётся неподтверждённым. Однако связанная инфраструктура MALFEX использует то же место промежуточного хранения на GitHub, ту же схему шифрования и загрузчик на языке Go, хеш SHA-256 которого связан с кампанией. Этот загрузчик извлекает `setup.exe` с `104.234.65[.\]75:700` — это приложение Node.js размером 71,5 МБ, идентифицированное как стиллер и инструмент удалённого доступа. Его предполагаемые возможности включают кражу учётных данных и файлов cookie из браузеров, сбор токенов Discord, кражу данных о криптовалюте и игровых данных, поиск файлов с конфиденциальной информацией, функции RAT через WebSockets, закрепление через ключи Run и запланированные задачи, а также модификацию или удаление данных истории событий Windows и PowerShell.
Системы, на которых были загружены пакеты `imgdecode` или связанные с ними пакеты MALFEX, следует рассматривать как потенциально скомпрометированные. К соответствующим индикаторам относятся запуск процесса `dllhost.exe` из `node.exe` без аргумента `/Processid`, соединения с `raw.githubusercontent.com`, за которыми следует подозрительная активность `dllhost.exe`, а также нативные модули, импортирующие сетевые и криптографические API без легитимной функциональности обработки изображений. Специалисты по реагированию на инциденты должны изолировать затронутые хосты, собрать образы оперативной памяти, проверить механизмы закрепления и журналы событий, а также обновить учетные данные, токены, ключи и секреты кошельков, использовавшиеся на этих системах.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Злонамеренный пакет npm `imgdecode` нацелен на разработчиков, работающих в среде Windows, и загружает нативный DLL-файл, который при определенных условиях скачивает и расшифровывает шеллкод, после чего внедряет его в процесс `dllhost.exe` или выполняет в рамках Node.js. Полезные нагрузки кампании связаны со стиллером/RAT, способным собирать учетные данные, токены, криптовалюту и игровые данные, обеспечивать закрепление в системе и вносить изменения в журналы.
-----
Пакет npm `imgdecode` является частью кампании MALFEX, нацеленной на разработчиков Windows. Версии 1.0.0–1.0.3, опубликованные пользователем `malfexteste8`, содержат предварительно скомпилированное 64-битное нативное дополнение Node.js, расположенное по пути `prebuilds/win32-x64/imgdecode.node`. Импортирование пакета приводит к загрузке DLL без использования установочного скрипта или этапа сборки. Начиная с версии 1.0.1, вредоносное выполнение происходит во время процедуры инициализации модуля N-API. Загрузчик запускается только в том случае, если стандартный вывод подключен к интерактивной консоли Windows, что снижает вероятность активации в средах CI, песочницах и контекстах с перенаправленным выводом.
DLL использует строки, зашифрованные с помощью XOR, и динамически разрешает вызовы Windows API, связанные с сетевыми операциями и внедрением кода в процессы. Она загружает зашифрованные данные с `raw.githubusercontent.com/cavecrew/proj/main/banner.jpg`, расшифровывает ответ с использованием AES-256-CBC, применяя ключ, полученный из `nif-runtime-2027`, и внедряет полученный шеллкод в приостановленный процесс `dllhost.exe`. Ожидается, что полезная нагрузка будет начинаться с исполняемого шеллкода, а не с обычного заголовка PE. Если удаленное внедрение не удается, загрузчик пытается выполнить код внутри процесса Node.js с использованием функций `VirtualAlloc`, `RtlMoveMemory`, `VirtualProtect` и `CreateThread`. При этом не проверяется значение возврата функции `VirtualProtectEx` перед созданием удаленного потока.
Плагин `banner.jpg` не был восстановлен, поэтому его точный следующий этап остаётся неподтверждённым. Однако связанная инфраструктура MALFEX использует то же место промежуточного хранения на GitHub, ту же схему шифрования и загрузчик на языке Go, хеш SHA-256 которого связан с кампанией. Этот загрузчик извлекает `setup.exe` с `104.234.65[.\]75:700` — это приложение Node.js размером 71,5 МБ, идентифицированное как стиллер и инструмент удалённого доступа. Его предполагаемые возможности включают кражу учётных данных и файлов cookie из браузеров, сбор токенов Discord, кражу данных о криптовалюте и игровых данных, поиск файлов с конфиденциальной информацией, функции RAT через WebSockets, закрепление через ключи Run и запланированные задачи, а также модификацию или удаление данных истории событий Windows и PowerShell.
Системы, на которых были загружены пакеты `imgdecode` или связанные с ними пакеты MALFEX, следует рассматривать как потенциально скомпрометированные. К соответствующим индикаторам относятся запуск процесса `dllhost.exe` из `node.exe` без аргумента `/Processid`, соединения с `raw.githubusercontent.com`, за которыми следует подозрительная активность `dllhost.exe`, а также нативные модули, импортирующие сетевые и криптографические API без легитимной функциональности обработки изображений. Специалисты по реагированию на инциденты должны изолировать затронутые хосты, собрать образы оперативной памяти, проверить механизмы закрепления и журналы событий, а также обновить учетные данные, токены, ключи и секреты кошельков, использовавшиеся на этих системах.
#ParsedReport #CompletenessMedium
10-10-2026
Sleep, Beacon, Steal, Repeat - The Story of P7 DarkSword Variant
https://www.iverify.com/blog/darksword-variant-threat-research
Report completeness: Medium
Threats:
Darksword_tool
Coruna_tool
Weworm
Victims:
Mobile devices
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1055, T1071.001, T1555.001, T1573
IOCs:
File: 4
Url: 282
Domain: 4
Hash: 185
Soft:
Mac OS
Wallets:
imtoken
Algorithms:
md5, sha256
Languages:
javascript
Platforms:
apple
10-10-2026
Sleep, Beacon, Steal, Repeat - The Story of P7 DarkSword Variant
https://www.iverify.com/blog/darksword-variant-threat-research
Report completeness: Medium
Threats:
Darksword_tool
Coruna_tool
Weworm
Victims:
Mobile devices
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1055, T1071.001, T1555.001, T1573
IOCs:
File: 4
Url: 282
Domain: 4
Hash: 185
Soft:
Mac OS
Wallets:
imtoken
Algorithms:
md5, sha256
Languages:
javascript
Platforms:
apple
Iverify
Sleep, Beacon, Steal, Repeat - The Story of P7 DarkSword Variant
Discover P7 DarkSword, a new iOS spyware variant with improved stealth, keychain and crypto-wallet theft, and two-way C2 communication.
CTT Report Hub
#ParsedReport #CompletenessMedium 10-10-2026 Sleep, Beacon, Steal, Repeat - The Story of P7 DarkSword Variant https://www.iverify.com/blog/darksword-variant-threat-research Report completeness: Medium Threats: Darksword_tool Coruna_tool Weworm Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
P7 DarkSword представляет собой модифицированный вариант шпионского ПО для iPhone, ориентированный на скрытность, закрепление и расширенный краж данных, включая данные Связки ключей и криптографических кошельков. Он поддерживает двунаправленное управление посредством периодических HTTP-запросов `/beacon`, дистанционно настраиваемых интервалов сна и выполнения команд на стороне устройства, при этом артефакты размещаются в `/private/var/tmp` и `localStorage` браузера.
-----
В августе 2026 года исследователи выявили P7 DarkSword, ранее неизвестный вариант семейства шпионского ПО DarkSword, заразивший iPhone. Данный вариант был изъят в ходе криминалистического анализа после аномального обнаружения DarkSword и создания подозрительных файлов в `/private/var/tmp`. Дополнительные поисковые мероприятия позволили выявить связанные эксплойты и компоненты внедрения, размещенные на подозрительном домене, что связало данный образец с тем же семейством шпионского ПО. Обозначение «P7» относится к префиксу переменной `p7_`, используемому в модифицированном коде.
P7 DarkSword вносит изменения, направленные на повышение скрытности, закрепление и кражу данных. В нем удалено ведение журналов отладки через HTTP-запросы и syslog, снижена активность внедрения кода в процессы, а для предотвращения повторной эксплуатации используется `localStorage` браузера. Кроме того, данные Связки ключей обрабатываются в формате JSON непосредственно на скомпрометированном устройстве перед эксфильтрацией, а не копируются в базу данных Связки ключей для обработки на инфраструктуре злоумышленника. Данная версия также поддерживает кражу данных криптографических кошельков.
Имплант взаимодействует с инфраструктурой, контролируемой злоумышленниками, посредством запроса `/beacon`, который по умолчанию отправляется каждые 15 секунд. Интервал можно изменить удаленно с помощью команды `sleep`, а ответы на бикон-запросы содержат команды для выполнения на устройстве жертвы, обеспечивая двунаправленное управление. Сетевой трафик использует HTTP-запросы `POST` по протоколу HTTP/1.0 и строку User-Agent, жестко закодированную для iPhone Safari: `Mozilla/5.0 (iPhone; CPU iPhone OS 18_5 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/18.5 Mobile/15E148 Safari/604.1`. Эндпоинт `/p` использует жестко закодированную границу multipart `------HqBound`. Хотя операторы используют HTTPS, имплант не применяет строгую валидацию сертификатов, что потенциально позволяет перехватывать трафик путем подмены сертификата.
P7 DarkSword демонстрирует активную модификацию кодовой базы DarkSword, сочетая уменьшенный след на устройстве с расширенными возможностями доступа к Связке ключей, криптографическим кошелькам и удалённым командам. Ключевые артефакты обнаружения включают подозрительные файлы в `/private/var/tmp`, `localStorage` браузера, связанный с механизмами предотвращения эксплуатации, паттерн коммуникации `/beacon` и жёстко закодированные характеристики HTTP.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
P7 DarkSword представляет собой модифицированный вариант шпионского ПО для iPhone, ориентированный на скрытность, закрепление и расширенный краж данных, включая данные Связки ключей и криптографических кошельков. Он поддерживает двунаправленное управление посредством периодических HTTP-запросов `/beacon`, дистанционно настраиваемых интервалов сна и выполнения команд на стороне устройства, при этом артефакты размещаются в `/private/var/tmp` и `localStorage` браузера.
-----
В августе 2026 года исследователи выявили P7 DarkSword, ранее неизвестный вариант семейства шпионского ПО DarkSword, заразивший iPhone. Данный вариант был изъят в ходе криминалистического анализа после аномального обнаружения DarkSword и создания подозрительных файлов в `/private/var/tmp`. Дополнительные поисковые мероприятия позволили выявить связанные эксплойты и компоненты внедрения, размещенные на подозрительном домене, что связало данный образец с тем же семейством шпионского ПО. Обозначение «P7» относится к префиксу переменной `p7_`, используемому в модифицированном коде.
P7 DarkSword вносит изменения, направленные на повышение скрытности, закрепление и кражу данных. В нем удалено ведение журналов отладки через HTTP-запросы и syslog, снижена активность внедрения кода в процессы, а для предотвращения повторной эксплуатации используется `localStorage` браузера. Кроме того, данные Связки ключей обрабатываются в формате JSON непосредственно на скомпрометированном устройстве перед эксфильтрацией, а не копируются в базу данных Связки ключей для обработки на инфраструктуре злоумышленника. Данная версия также поддерживает кражу данных криптографических кошельков.
Имплант взаимодействует с инфраструктурой, контролируемой злоумышленниками, посредством запроса `/beacon`, который по умолчанию отправляется каждые 15 секунд. Интервал можно изменить удаленно с помощью команды `sleep`, а ответы на бикон-запросы содержат команды для выполнения на устройстве жертвы, обеспечивая двунаправленное управление. Сетевой трафик использует HTTP-запросы `POST` по протоколу HTTP/1.0 и строку User-Agent, жестко закодированную для iPhone Safari: `Mozilla/5.0 (iPhone; CPU iPhone OS 18_5 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/18.5 Mobile/15E148 Safari/604.1`. Эндпоинт `/p` использует жестко закодированную границу multipart `------HqBound`. Хотя операторы используют HTTPS, имплант не применяет строгую валидацию сертификатов, что потенциально позволяет перехватывать трафик путем подмены сертификата.
P7 DarkSword демонстрирует активную модификацию кодовой базы DarkSword, сочетая уменьшенный след на устройстве с расширенными возможностями доступа к Связке ключей, криптографическим кошелькам и удалённым командам. Ключевые артефакты обнаружения включают подозрительные файлы в `/private/var/tmp`, `localStorage` браузера, связанный с механизмами предотвращения эксплуатации, паттерн коммуникации `/beacon` и жёстко закодированные характеристики HTTP.
#ParsedReport #CompletenessHigh
14-10-2026
Fake AI Tools Put US Companies at Risk: Inside Counterfeit Claude, ChatGPT, and Copilot
https://any.run/cybersecurity-blog/fake-ai-tools-us-companies/
Report completeness: High
Threats:
Clickfix_technique
Bitm_technique
Installfix_technique
Seo_poisoning_technique
Typosquatting_technique
Hijackloader
Macc_stealer
Aurastealer
Asyncrat
Quasar_rat
Victims:
Developers, Marketing teams, Consulting, Education, Manufacturing
Industry:
Transport, Healthcare, Education, Financial, Telco, Government
Geo:
American, India, Usa
TTPs:
Tactics: 7
Technics: 11
IOCs:
File: 14
Domain: 36
Command: 5
Path: 1
Url: 2
Hash: 2
Soft:
Claude, ChatGPT, OpenAI, Codex, Cloudflare, Ollama, OpenClaw, curl, Claude Code, DeepSeek, have more...
Algorithms:
base64
Win API:
RUN
Languages:
php, powershell
Platforms:
x86
14-10-2026
Fake AI Tools Put US Companies at Risk: Inside Counterfeit Claude, ChatGPT, and Copilot
https://any.run/cybersecurity-blog/fake-ai-tools-us-companies/
Report completeness: High
Threats:
Clickfix_technique
Bitm_technique
Installfix_technique
Seo_poisoning_technique
Typosquatting_technique
Hijackloader
Macc_stealer
Aurastealer
Asyncrat
Quasar_rat
Victims:
Developers, Marketing teams, Consulting, Education, Manufacturing
Industry:
Transport, Healthcare, Education, Financial, Telco, Government
Geo:
American, India, Usa
TTPs:
Tactics: 7
Technics: 11
IOCs:
File: 14
Domain: 36
Command: 5
Path: 1
Url: 2
Hash: 2
Soft:
Claude, ChatGPT, OpenAI, Codex, Cloudflare, Ollama, OpenClaw, curl, Claude Code, DeepSeek, have more...
Algorithms:
base64
Win API:
RUN
Languages:
php, powershell
Platforms:
x86
any.run
Fake AI Tools Target US Companies: Claude, ChatGPT & Copilot
ANY.RUN researchers break down fake Claude, ChatGPT, and Copilot campaigns: how they reach US companies, what they steal, and how to stop them.
CTT Report Hub
#ParsedReport #CompletenessHigh 14-10-2026 Fake AI Tools Put US Companies at Risk: Inside Counterfeit Claude, ChatGPT, and Copilot https://any.run/cybersecurity-blog/fake-ai-tools-us-companies/ Report completeness: High Threats: Clickfix_technique Bitm_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атакующие имитируют популярные ИИ-инструменты с помощью отравленных результатов поиска, поддельных страниц загрузки, общих чатов и доменов с опечатками, чтобы заставить пользователей выполнять вредоносные команды. В ходе кампаний через PowerShell, mshta, curl и установщики MSI развертываются инфостилеры, RAT и HijackLoader, нацеленные на браузерные сессии, учетные данные, SSH-ключи, API-ключи и активы разработчиков.
-----
В период с 15 апреля по 5 октября 2026 года исследователи связали 1258 публичных анализов в песочницах с кампаниями, имитирующими Claude, ChatGPT, GitHub Copilot, Gemini, DeepSeek и другие ИИ-продукты. На активность, связанную с Claude, пришлось 601 анализ, а на ChatGPT/Codex — 418. Соединенные Штаты стали вторым по величине источником отправлений в целом и основным источником для кампаний с поддельными темами «Download Claude» и ChatGPT.
В ходе кампаний используются спонсируемые или отравленные поисковые результаты, общие чаты и артефакты ИИ, приглашательные электронные письма и домены с опечатками (typosquatting) для перенаправления пользователей на поддельные страницы загрузки или документации. Эти страницы часто размещаются на GitHub, GitLab Pages, Cloudflare Pages, Google Sites, Webflow или на легитимных платформах ИИ. По крайней мере в 561 анализе зафиксированы случаи, когда пользователям давались инструкции по вставке команд в PowerShell, диалоговое окно «Выполнить» Windows или терминал. Злоумышленники часто используют встроенные инструменты, такие как `mshta.exe`, `powershell.exe` и `curl`, для получения закодированных скриптов и полезных нагрузок второго этапа.
Кампании InstallFix копируют легитимные инструкции по установке из командной строки для Claude Code, Copilot CLI, Codex, Ollama и OpenClaw, но заменяют домены, контролируемые вендорами, на инфраструктуру злоумышленников. Выполняемые скрипты способны загружать инфостилеры, при этом некоторые варианты устанавливают подлинное приложение Ollama в качестве приманки. Фальшивые страницы «Download Claude» используют инструкции в стиле ClickFix и `mshta.exe` для получения HTA-контента, который запускает обфусцированный PowerShell. Связанная инфраструктура ассоциировалась с детекциями HijackLoader.
Другие кампании распространяют вредоносные команды через общий контент Claude или ChatGPT. Эти цепочки атак используют поддельные страницы верификации Cloudflare, URL-адреса для загрузки, закодированные в base64, ключи оператора в запросах к `/api.php`, а также бесшумную установку MSI-файлов. Среди обнаруженных полезных нагрузок были MacSync Stealer и другие программы-крадунки информации. Отдельный поддельный установщик Claude запускает легитимный установщик в качестве приманки, одновременно создавая запланированную задачу с именем `mseupdate`. Затем он запускает Microsoft Edge в режиме без пользовательского интерфейса (headless) с включенной удаленной отладкой, после чего выводит из системы файлы cookie браузера, данные расширений и информацию, связанную с ключами, что позволяет похищать сессии без необходимости ввода паролей или дополнительного запроса MFA.
Среди дополнительных угроз — фишинговые страницы, эксплуатирующие уязвимость «браузер в браузере» и нацеленные на учетные данные Google Ads, а также вредоносные программы Aura Stealer, AsyncRAT и Quasar RAT. Активность представляет угрозу исходному коду разработчиков, SSH-ключам, учетным данным CI/CD, ключам API облачных и ИИ-сервисов, сессиям браузера и корпоративным рекламным аккаунтам. Возможности для устойчивого обнаружения включают паттерны командной строки, создание запланированных задач, подозрительные пути для промежуточного хранения данных, конечные точки API, закодированные URL, а также кражу данных после выполнения, а не часто меняющиеся доменные имена.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атакующие имитируют популярные ИИ-инструменты с помощью отравленных результатов поиска, поддельных страниц загрузки, общих чатов и доменов с опечатками, чтобы заставить пользователей выполнять вредоносные команды. В ходе кампаний через PowerShell, mshta, curl и установщики MSI развертываются инфостилеры, RAT и HijackLoader, нацеленные на браузерные сессии, учетные данные, SSH-ключи, API-ключи и активы разработчиков.
-----
В период с 15 апреля по 5 октября 2026 года исследователи связали 1258 публичных анализов в песочницах с кампаниями, имитирующими Claude, ChatGPT, GitHub Copilot, Gemini, DeepSeek и другие ИИ-продукты. На активность, связанную с Claude, пришлось 601 анализ, а на ChatGPT/Codex — 418. Соединенные Штаты стали вторым по величине источником отправлений в целом и основным источником для кампаний с поддельными темами «Download Claude» и ChatGPT.
В ходе кампаний используются спонсируемые или отравленные поисковые результаты, общие чаты и артефакты ИИ, приглашательные электронные письма и домены с опечатками (typosquatting) для перенаправления пользователей на поддельные страницы загрузки или документации. Эти страницы часто размещаются на GitHub, GitLab Pages, Cloudflare Pages, Google Sites, Webflow или на легитимных платформах ИИ. По крайней мере в 561 анализе зафиксированы случаи, когда пользователям давались инструкции по вставке команд в PowerShell, диалоговое окно «Выполнить» Windows или терминал. Злоумышленники часто используют встроенные инструменты, такие как `mshta.exe`, `powershell.exe` и `curl`, для получения закодированных скриптов и полезных нагрузок второго этапа.
Кампании InstallFix копируют легитимные инструкции по установке из командной строки для Claude Code, Copilot CLI, Codex, Ollama и OpenClaw, но заменяют домены, контролируемые вендорами, на инфраструктуру злоумышленников. Выполняемые скрипты способны загружать инфостилеры, при этом некоторые варианты устанавливают подлинное приложение Ollama в качестве приманки. Фальшивые страницы «Download Claude» используют инструкции в стиле ClickFix и `mshta.exe` для получения HTA-контента, который запускает обфусцированный PowerShell. Связанная инфраструктура ассоциировалась с детекциями HijackLoader.
Другие кампании распространяют вредоносные команды через общий контент Claude или ChatGPT. Эти цепочки атак используют поддельные страницы верификации Cloudflare, URL-адреса для загрузки, закодированные в base64, ключи оператора в запросах к `/api.php`, а также бесшумную установку MSI-файлов. Среди обнаруженных полезных нагрузок были MacSync Stealer и другие программы-крадунки информации. Отдельный поддельный установщик Claude запускает легитимный установщик в качестве приманки, одновременно создавая запланированную задачу с именем `mseupdate`. Затем он запускает Microsoft Edge в режиме без пользовательского интерфейса (headless) с включенной удаленной отладкой, после чего выводит из системы файлы cookie браузера, данные расширений и информацию, связанную с ключами, что позволяет похищать сессии без необходимости ввода паролей или дополнительного запроса MFA.
Среди дополнительных угроз — фишинговые страницы, эксплуатирующие уязвимость «браузер в браузере» и нацеленные на учетные данные Google Ads, а также вредоносные программы Aura Stealer, AsyncRAT и Quasar RAT. Активность представляет угрозу исходному коду разработчиков, SSH-ключам, учетным данным CI/CD, ключам API облачных и ИИ-сервисов, сессиям браузера и корпоративным рекламным аккаунтам. Возможности для устойчивого обнаружения включают паттерны командной строки, создание запланированных задач, подозрительные пути для промежуточного хранения данных, конечные точки API, закодированные URL, а также кражу данных после выполнения, а не часто меняющиеся доменные имена.
#ParsedReport #CompletenessHigh
14-10-2026
From ClickFix to C2: Comparative Analysis of Two Malware Loaders
https://www.forescout.com/blog/from-clickfix-to-c2-comparative-analysis-of-two-malware-loaders/
Report completeness: High
Actors/Campaigns:
Vice_society (motivation: cyber_criminal)
Rapid_brigantine
Threats:
Clickfix_technique
Lorem_ipsum_loader
Axolotl
Terminalfix_technique
Dll_sideloading_technique
Babadeda
Potemkin
Rhysida
Seo_poisoning_technique
Dead_drop_technique
Blackcat
Steganography_technique
Process_injection_technique
Com_hijacking_technique
TTPs:
Tactics: 3
Technics: 14
IOCs:
Domain: 36
File: 12
Hash: 49
Url: 6
Email: 1
IP: 6
Command: 1
Path: 2
Soft:
Node.js, Microsoft Teams, Bitwarden, Windows Terminal, Active Directory, WinHTTP, Internet Explorer
Algorithms:
zip, gzip, xor
Functions:
Explicit
Win API:
Polygon, VirtualProtect, EXE, RegisterTypeLibForUser, RegOverridePredefKey, RegisterTypeLib, NtProtectVirtualMemory
Languages:
powershell, python
Platforms:
x64
14-10-2026
From ClickFix to C2: Comparative Analysis of Two Malware Loaders
https://www.forescout.com/blog/from-clickfix-to-c2-comparative-analysis-of-two-malware-loaders/
Report completeness: High
Actors/Campaigns:
Vice_society (motivation: cyber_criminal)
Rapid_brigantine
Threats:
Clickfix_technique
Lorem_ipsum_loader
Axolotl
Terminalfix_technique
Dll_sideloading_technique
Babadeda
Potemkin
Rhysida
Seo_poisoning_technique
Dead_drop_technique
Blackcat
Steganography_technique
Process_injection_technique
Com_hijacking_technique
TTPs:
Tactics: 3
Technics: 14
IOCs:
Domain: 36
File: 12
Hash: 49
Url: 6
Email: 1
IP: 6
Command: 1
Path: 2
Soft:
Node.js, Microsoft Teams, Bitwarden, Windows Terminal, Active Directory, WinHTTP, Internet Explorer
Algorithms:
zip, gzip, xor
Functions:
Explicit
Win API:
Polygon, VirtualProtect, EXE, RegisterTypeLibForUser, RegOverridePredefKey, RegisterTypeLib, NtProtectVirtualMemory
Languages:
powershell, python
Platforms:
x64
Forescout
From ClickFix to C2: Comparative Analysis of Two Malware Loaders - Forescout
Forescout’s Vedere Labs share recent research on a campaign using malware loaders and ClickFix to deploy ransomware.
CTT Report Hub
#ParsedReport #CompletenessHigh 14-10-2026 From ClickFix to C2: Comparative Analysis of Two Malware Loaders https://www.forescout.com/blog/from-clickfix-to-c2-comparative-analysis-of-two-malware-loaders/ Report completeness: High Actors/Campaigns: Vice_society…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Загрузчик Lorem Ipsum, также отслеживаемый под именами Axolotl или OAKGLINT, распространяется через кампании ClickFix/TerminalFix, заражённые установщики, скомпрометированные сайты, PowerShell и подмену DLL (DLL sideloading). Он использует закодированный шеллкод, закрепление, внедрение кода в процессы, снятие хуков с `ntdll` и C2-каналы типа dead-drop на основе WinHTTP. Его полезная нагрузка поддерживает туннелирование TLS WebSocket и двунаправленную TCP-передачу, при этом варианты Axolotl разделяют инфраструктуру и поведение.
-----
Кампании ClickFix и TerminalFix использовались для распространения загрузчика Lorem Ipsum Loader, который в некоторых источниках отслеживается под именами Axolotl или OAKGLINT, в рамках активности, связанной с развертыванием программ-вымогателей. Загрузчик доставлялся через SEO-отравленные и троянизированные установщики, скомпрометированные веб-сайты, дропперы на базе Node.js, автономные сценарии PowerShell, подмену DLL (DLL sideloading) и многоэтапное выполнение MSI-файлов с последующим запуском PowerShell. В наблюдаемых цепочках полезной нагрузки присутствовали троянизированные установщики Microsoft Teams, 3D PDF Maker Smart, Bitwarden VPN и ESET SysInspector.
Задокументированная цепочка подмены DLL (DLL-sideloading) использовала подписанный исполняемый файл Microsoft, вредоносную DLL и пакетный файл. Пакетный файл обеспечивал закрепление (persistence) через ключ HKCU Run и запланированную задачу, настроенную на выполнение каждый час и немедленно. DLL содержала дополнительный раздел `.cpoc` и словарь слов `RT_RCDATA`. Вредоносный шеллкод был закодирован в виде слов, индексируемых по словарю, декодирован, обработан операцией XOR в восьмибайтовых блоках и выполнен. На финальном этапе были сняты перехваты (unhooked) функций `ntdll` с использованием чистой копии с диска, вызвана функция `VirtualProtect`, созданы мьютекс и маркерный файл для каждого образца (per-sample), после чего вредоносный код был повторно внедрен во вторую копию подмененного исполняемого файла. Альтернативный метод доставки использовал MSI-файл, содержащий промежуточный сценарий PowerShell, который распаковывал и выполнял финальный сценарий PowerShell. Этот сценарий резолвил API-функции kernel32, выделял исполняемую память, копировал закодированную полезную нагрузку и выполнял её.
Загрузчики используют WinHTTP с пользовательским агентом, похожим на Firefox. Они обращаются к профилю dead-drop на публичных форумах, извлекают список C2, закодированный словарём, и отправляют запрос на регистрацию, замаскированный под JPEG, на `/api/init/`. Загрузчик опрашивает C2 примерно каждые пять секунд. Доставляемый полезный груз, `client.py`, устанавливает TLS-соединение, которое апгрейдится до WebSocket на `/tunnel`, аутентифицируется с помощью UUID образца и обеспечивает двунаправленную TCP-передачу. Его собственный протокол поддерживает несколько потоков, keepalive-сообщения PING/PONG и команды завершения, выдаваемые сервером.
Образцы Axolotl Loader представляют собой автономные исполняемые файлы, которые скрывают шеллкод с помощью операции XOR с встроенными данными PNG. Было выявлено три варианта: один хранит шеллкод непосредственно в секции `.text`, другой использует секцию-трамплин `fothk` для перенаправления выполнения, а третий модифицирует `ieinstal.exe`, используя секции Detours и перенаправление реестра для закрепления через значения `RunOnce`. Lorem Ipsum и Axolotl демонстрируют схожее поведение на финальной стадии, характеристики C2 и инфраструктуру, однако Lorem Ipsum использует dead-drop resolution, внедрение кода в процессы и снятие хуков с `ntdll`, тогда как Axolotl использует захардкоженные значения C2 и UUID и не обладает указанными функциями.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Загрузчик Lorem Ipsum, также отслеживаемый под именами Axolotl или OAKGLINT, распространяется через кампании ClickFix/TerminalFix, заражённые установщики, скомпрометированные сайты, PowerShell и подмену DLL (DLL sideloading). Он использует закодированный шеллкод, закрепление, внедрение кода в процессы, снятие хуков с `ntdll` и C2-каналы типа dead-drop на основе WinHTTP. Его полезная нагрузка поддерживает туннелирование TLS WebSocket и двунаправленную TCP-передачу, при этом варианты Axolotl разделяют инфраструктуру и поведение.
-----
Кампании ClickFix и TerminalFix использовались для распространения загрузчика Lorem Ipsum Loader, который в некоторых источниках отслеживается под именами Axolotl или OAKGLINT, в рамках активности, связанной с развертыванием программ-вымогателей. Загрузчик доставлялся через SEO-отравленные и троянизированные установщики, скомпрометированные веб-сайты, дропперы на базе Node.js, автономные сценарии PowerShell, подмену DLL (DLL sideloading) и многоэтапное выполнение MSI-файлов с последующим запуском PowerShell. В наблюдаемых цепочках полезной нагрузки присутствовали троянизированные установщики Microsoft Teams, 3D PDF Maker Smart, Bitwarden VPN и ESET SysInspector.
Задокументированная цепочка подмены DLL (DLL-sideloading) использовала подписанный исполняемый файл Microsoft, вредоносную DLL и пакетный файл. Пакетный файл обеспечивал закрепление (persistence) через ключ HKCU Run и запланированную задачу, настроенную на выполнение каждый час и немедленно. DLL содержала дополнительный раздел `.cpoc` и словарь слов `RT_RCDATA`. Вредоносный шеллкод был закодирован в виде слов, индексируемых по словарю, декодирован, обработан операцией XOR в восьмибайтовых блоках и выполнен. На финальном этапе были сняты перехваты (unhooked) функций `ntdll` с использованием чистой копии с диска, вызвана функция `VirtualProtect`, созданы мьютекс и маркерный файл для каждого образца (per-sample), после чего вредоносный код был повторно внедрен во вторую копию подмененного исполняемого файла. Альтернативный метод доставки использовал MSI-файл, содержащий промежуточный сценарий PowerShell, который распаковывал и выполнял финальный сценарий PowerShell. Этот сценарий резолвил API-функции kernel32, выделял исполняемую память, копировал закодированную полезную нагрузку и выполнял её.
Загрузчики используют WinHTTP с пользовательским агентом, похожим на Firefox. Они обращаются к профилю dead-drop на публичных форумах, извлекают список C2, закодированный словарём, и отправляют запрос на регистрацию, замаскированный под JPEG, на `/api/init/`. Загрузчик опрашивает C2 примерно каждые пять секунд. Доставляемый полезный груз, `client.py`, устанавливает TLS-соединение, которое апгрейдится до WebSocket на `/tunnel`, аутентифицируется с помощью UUID образца и обеспечивает двунаправленную TCP-передачу. Его собственный протокол поддерживает несколько потоков, keepalive-сообщения PING/PONG и команды завершения, выдаваемые сервером.
Образцы Axolotl Loader представляют собой автономные исполняемые файлы, которые скрывают шеллкод с помощью операции XOR с встроенными данными PNG. Было выявлено три варианта: один хранит шеллкод непосредственно в секции `.text`, другой использует секцию-трамплин `fothk` для перенаправления выполнения, а третий модифицирует `ieinstal.exe`, используя секции Detours и перенаправление реестра для закрепления через значения `RunOnce`. Lorem Ipsum и Axolotl демонстрируют схожее поведение на финальной стадии, характеристики C2 и инфраструктуру, однако Lorem Ipsum использует dead-drop resolution, внедрение кода в процессы и снятие хуков с `ntdll`, тогда как Axolotl использует захардкоженные значения C2 и UUID и не обладает указанными функциями.
#ParsedReport #CompletenessMedium
14-10-2026
Hirudo: From Fake Updates to Patched Banking Apps
https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps
Report completeness: Medium
Threats:
Hirudo
Victims:
Banking sector, Financial services sector
Industry:
Entertainment, Financial
Geo:
Mexico, Malaysian, India, Thailand, Indonesian, Indonesia, Morocco, China
ChatGPT TTPs:
T1036, T1071.001, T1090, T1105, T1119, T1412, T1417, T1437, T1480, T1512, have more...
IOCs:
Hash: 6
Domain: 6
IP: 8
Url: 2
Soft:
Android, WebRTC
Languages:
java
14-10-2026
Hirudo: From Fake Updates to Patched Banking Apps
https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps
Report completeness: Medium
Threats:
Hirudo
Victims:
Banking sector, Financial services sector
Industry:
Entertainment, Financial
Geo:
Mexico, Malaysian, India, Thailand, Indonesian, Indonesia, Morocco, China
ChatGPT TTPs:
do not use without manual checkT1036, T1071.001, T1090, T1105, T1119, T1412, T1417, T1437, T1480, T1512, have more...
IOCs:
Hash: 6
Domain: 6
IP: 8
Url: 2
Soft:
Android, WebRTC
Languages:
java
ThreatFabric
Hirudo: From Fake Updates to Patched Banking Apps
Hirudo replaces Indonesian banking apps with patched copies that blind their defences. We break down its patching, distribution, targeting and fraud.
CTT Report Hub
#ParsedReport #CompletenessMedium 14-10-2026 Hirudo: From Fake Updates to Patched Banking Apps https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps Report completeness: Medium Threats: Hirudo Victims: Banking sector, Financial…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Hirudo — это банковский троян (RAT) для Android, распространяемый через поддельные утилиты и развлекательные приложения, которые побуждают жертв установить его в качестве обновления. Он крадет учетные данные, PIN-коды, SMS-сообщения, а также данные с экрана или камеры, обеспечивает удаленное управление, налагает мошеннические страницы оплаты и заменяет легитимные банковские приложения на модифицированные копии с внедренными хуками. Основными целями являются банки Индонезии, при этом в коде содержатся ссылки на финансовые учреждения нескольких других стран.
-----
ThreatFabric выявила Hirudo — банковский троян для удалённого доступа (RAT) для Android, который сочетает в себе кражу учётных данных, управление устройством, захват экрана и камеры, а также сбор SMS-сообщений. Распространение осуществляется через, на первый взгляд, легитимные приложения для покупок, порнографического видео и коротких драматических сериалов, такие как Shopora, 1V1 X, ZoyaTV и KoiShort. Эти дропперы предоставляют функциональный контент через WebView или каталоги, после чего отображают поддельное уведомление о необходимости обновления, в результате чего Hirudo устанавливается как отдельный APK-файл. Полезная нагрузка требует разрешений на доступ к функциям доступности (Accessibility) и уведомлениям. Некоторые дропперы также создают «чёрную дыру» VPN во время установки для нарушения трафика IPv4.
Hirudo собирает банковские учетные данные, ПИН-коды для платежей, паттерны разблокировки устройства, пароли, SMS-сообщения, содержимое экрана и видеопоток с камеры. Программа поддерживает просмотр экрана в реальном времени через WebRTC и выполняет начальное 90-дневное сканирование SMS, сфокусированное на настроенных финансовых отправителях. Кроме того, она отображает прозрачные поддельные страницы оформления заказа поверх приманочных приложений, перехватывает платежную информацию и возвращает сфабрикованные ответы об успешном выполнении операции. Окна ввода данных для входа в банковские приложения являются кастомными и настраиваются под конкретное приложение, а содержимое экрана считывается, чтобы мошеннические взаимодействия выглядели правдоподобно.
Ключевой возможностью является замена подлинных банковских приложений на модифицированные копии. Hirudo отслеживает установленные финансовые приложения, проверяет их сертификаты, побуждает жертву удалить легитимное приложение и устанавливает замену, используя исходное имя пакета и версию. Замены подписаны тестовым ключом Android, что препятствует обычным обновлениям и требует предварительного удаления подлинного приложения. Для восьми индонезийских банковских приложений, принадлежащих семи банкам, были созданы специализированные замены.
Изменённые банковские приложения внедряют единственную строку при запуске, которая загружает движок перехвата (hooking) на основе YAHFA и Dobby. Перехваты скрывают подпись тестового ключа, прячут службу доступности (Accessibility) Hirudo, удаляют флаг `FLAG_SECURE` для обеспечения возможности захвата экрана, изменяют сертификаты аутентификации ключей и перенаправляют запросы Play Integrity на сервер оператора по протоколу HTTP. Файл-триггер управляет активацией, что позволяет модифицированному приложению оставаться менее заметным в отсутствие RAT.
Инфраструктура использует Amazon CloudFront, атрибуцию OpenInstall, идентификаторы Meta Pixel и одноразовые приманочные приложения. Хотя Индонезия является основной целью замены, в коде содержатся ссылки на финансовые цели в Китае, Индии, Мексике, Марокко и Таиланде, а также используется брендинг малайзийских банков и электронных кошельков. По имеющимся данным, в данных на стороне сервера содержались учетные данные, сведения об устройствах, данные экранов блокировки и финансовые записи.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Hirudo — это банковский троян (RAT) для Android, распространяемый через поддельные утилиты и развлекательные приложения, которые побуждают жертв установить его в качестве обновления. Он крадет учетные данные, PIN-коды, SMS-сообщения, а также данные с экрана или камеры, обеспечивает удаленное управление, налагает мошеннические страницы оплаты и заменяет легитимные банковские приложения на модифицированные копии с внедренными хуками. Основными целями являются банки Индонезии, при этом в коде содержатся ссылки на финансовые учреждения нескольких других стран.
-----
ThreatFabric выявила Hirudo — банковский троян для удалённого доступа (RAT) для Android, который сочетает в себе кражу учётных данных, управление устройством, захват экрана и камеры, а также сбор SMS-сообщений. Распространение осуществляется через, на первый взгляд, легитимные приложения для покупок, порнографического видео и коротких драматических сериалов, такие как Shopora, 1V1 X, ZoyaTV и KoiShort. Эти дропперы предоставляют функциональный контент через WebView или каталоги, после чего отображают поддельное уведомление о необходимости обновления, в результате чего Hirudo устанавливается как отдельный APK-файл. Полезная нагрузка требует разрешений на доступ к функциям доступности (Accessibility) и уведомлениям. Некоторые дропперы также создают «чёрную дыру» VPN во время установки для нарушения трафика IPv4.
Hirudo собирает банковские учетные данные, ПИН-коды для платежей, паттерны разблокировки устройства, пароли, SMS-сообщения, содержимое экрана и видеопоток с камеры. Программа поддерживает просмотр экрана в реальном времени через WebRTC и выполняет начальное 90-дневное сканирование SMS, сфокусированное на настроенных финансовых отправителях. Кроме того, она отображает прозрачные поддельные страницы оформления заказа поверх приманочных приложений, перехватывает платежную информацию и возвращает сфабрикованные ответы об успешном выполнении операции. Окна ввода данных для входа в банковские приложения являются кастомными и настраиваются под конкретное приложение, а содержимое экрана считывается, чтобы мошеннические взаимодействия выглядели правдоподобно.
Ключевой возможностью является замена подлинных банковских приложений на модифицированные копии. Hirudo отслеживает установленные финансовые приложения, проверяет их сертификаты, побуждает жертву удалить легитимное приложение и устанавливает замену, используя исходное имя пакета и версию. Замены подписаны тестовым ключом Android, что препятствует обычным обновлениям и требует предварительного удаления подлинного приложения. Для восьми индонезийских банковских приложений, принадлежащих семи банкам, были созданы специализированные замены.
Изменённые банковские приложения внедряют единственную строку при запуске, которая загружает движок перехвата (hooking) на основе YAHFA и Dobby. Перехваты скрывают подпись тестового ключа, прячут службу доступности (Accessibility) Hirudo, удаляют флаг `FLAG_SECURE` для обеспечения возможности захвата экрана, изменяют сертификаты аутентификации ключей и перенаправляют запросы Play Integrity на сервер оператора по протоколу HTTP. Файл-триггер управляет активацией, что позволяет модифицированному приложению оставаться менее заметным в отсутствие RAT.
Инфраструктура использует Amazon CloudFront, атрибуцию OpenInstall, идентификаторы Meta Pixel и одноразовые приманочные приложения. Хотя Индонезия является основной целью замены, в коде содержатся ссылки на финансовые цели в Китае, Индии, Мексике, Марокко и Таиланде, а также используется брендинг малайзийских банков и электронных кошельков. По имеющимся данным, в данных на стороне сервера содержались учетные данные, сведения об устройствах, данные экранов блокировки и финансовые записи.
#ParsedReport #CompletenessHigh
14-10-2026
KGB RAT: A Fully Undetectable Windows Trojan Built to Spy, Steal, and Terrorize
https://www.group-ib.com/blog/kgb-rat-windows-fud-trojan/
Report completeness: High
Threats:
Kgb_rat
Credential_harvesting_technique
Cryptoclipper
Fud-crypter
Hvnc_tool
Uac_bypass_technique
Njrat
Process_injection_technique
Process_hollowing_technique
Process_hacker_tool
Fodhelper_uac_bypass_technique
Victims:
Windows users
Industry:
Education, Retail
TTPs:
Tactics: 11
Technics: 41
IOCs:
File: 24
Command: 4
Registry: 4
Path: 2
IP: 2
Url: 2
Domain: 1
Hash: 12
Soft:
Windows Remote Access, Windows Defender, Telegram, VirtualBox, Pastebin, Google Chrome, Chrome, Windows Explorer, Windows Registry, Process Explorer, have more...
Wallets:
tron
Algorithms:
base64, aes, prng, gzip, sha256, md5
Functions:
Refresh, SetWindowsHookEx, WebClient, ElevateMe, CreateKey
Win API:
NET, Sched, SCHEDNAME, ANYRUN, CryptoClipperx, Bypass, TaskMGR, Melty, KProc, Proc, have more...
Win Services:
VGAuthService
Languages:
vbscript, powershell
Platforms:
x86
14-10-2026
KGB RAT: A Fully Undetectable Windows Trojan Built to Spy, Steal, and Terrorize
https://www.group-ib.com/blog/kgb-rat-windows-fud-trojan/
Report completeness: High
Threats:
Kgb_rat
Credential_harvesting_technique
Cryptoclipper
Fud-crypter
Hvnc_tool
Uac_bypass_technique
Njrat
Process_injection_technique
Process_hollowing_technique
Process_hacker_tool
Fodhelper_uac_bypass_technique
Victims:
Windows users
Industry:
Education, Retail
TTPs:
Tactics: 11
Technics: 41
IOCs:
File: 24
Command: 4
Registry: 4
Path: 2
IP: 2
Url: 2
Domain: 1
Hash: 12
Soft:
Windows Remote Access, Windows Defender, Telegram, VirtualBox, Pastebin, Google Chrome, Chrome, Windows Explorer, Windows Registry, Process Explorer, have more...
Wallets:
tron
Algorithms:
base64, aes, prng, gzip, sha256, md5
Functions:
Refresh, SetWindowsHookEx, WebClient, ElevateMe, CreateKey
Win API:
NET, Sched, SCHEDNAME, ANYRUN, CryptoClipperx, Bypass, TaskMGR, Melty, KProc, Proc, have more...
Win Services:
VGAuthService
Languages:
vbscript, powershell
Platforms:
x86
Group-IB
KGB RAT: A Fully Undetectable Windows Trojan Built to Spy, Steal, and Terrorize
Group-IB researchers analyze KGB RAT, a Windows Remote Access Trojan advertised on underground forums as being fully undetectable, featuring a built-in crypter, HVNC, credential theft, ransomware, and an unusual set of psychological harassment capabilities.
CTT Report Hub
#ParsedReport #CompletenessHigh 14-10-2026 KGB RAT: A Fully Undetectable Windows Trojan Built to Spy, Steal, and Terrorize https://www.group-ib.com/blog/kgb-rat-windows-fud-trojan/ Report completeness: High Threats: Kgb_rat Credential_harvesting_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
KGB RAT — это троянская программа удалённого доступа для Windows, работающая по модели ВПО как услуга (MaaS), производная от вариантов NjRAT/Lime-Worm, обладающая широким набором функций наблюдения, кражи учётных данных, закрепления, обхода защитных механизмов и деструктивных действий. Она использует маскированное выполнение из каталога AppData, запланированные задачи, перехват реестра, утилиты LOLBins, проверки на анализ и каналы C2, включая Телеграм, Pastebin и выделенную инфраструктуру на основе IP-адресов.
-----
RAT KGB использует `104.248.130.195` и `2.59.134.215:443` для управления.
Он обеспечивает закрепление с помощью запланированной задачи `ChromeUpdate` при входе пользователя с наивысшими доступными привилегиями, а также через ключ реестра `Run`.
Он копирует себя во временный каталог AppData под именем `svchost.exe` и создает приостановленный дочерний процесс.
Поддерживает скрытый доступ через VNC/RDP, захват данных с веб-камеры и микрофона, регистрацию нажатий клавиш, кражу учётных данных, манипуляции с файлами, управление процессами и службами, изменение реестра, а также возможное внедрение кода в процессы.
Он извлекает файлы хранилищ Диспетчера учетных данных Windows и регистрирует нажатия клавиш с помощью `GetAsyncKeyState`.
Она пытается осуществить обход UAC без использования файлов посредством перехвата реестра `ms-settings` с использованием `fodhelper` или `ComputerDefaults`.
Она выполняет разведку на основе WMI, направленную на сбор информации о средствах защиты, деталях системы, идентификаторах аппаратного обеспечения, процессах и индикаторах песочницы.
Оно способно развертывать ВПО-шифровальщики, подменять адреса криптокошельков посредством мониторинга буфера обмена, распространяться в сетях LAN и завершать работу конкурирующих вредоносных программ.
Для выполнения и закрепления используются `cmd.exe`, PowerShell, `reg.exe` и `schtasks.exe`.
Он отправляет IP-адрес жертвы и данные геолокации, полученные с `ip-api.com`, через Telegram Bot API и может получать обновлённую информацию о C2 из Pastebin.
Он скрывает защищённые файлы, устанавливая значение `0` для параметра `ShowSuperHidden`, и подавляет предупреждения о зонах безопасности с помощью флага `SEE_MASK_NOZONECHECKS`.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
KGB RAT — это троянская программа удалённого доступа для Windows, работающая по модели ВПО как услуга (MaaS), производная от вариантов NjRAT/Lime-Worm, обладающая широким набором функций наблюдения, кражи учётных данных, закрепления, обхода защитных механизмов и деструктивных действий. Она использует маскированное выполнение из каталога AppData, запланированные задачи, перехват реестра, утилиты LOLBins, проверки на анализ и каналы C2, включая Телеграм, Pastebin и выделенную инфраструктуру на основе IP-адресов.
-----
RAT KGB использует `104.248.130.195` и `2.59.134.215:443` для управления.
Он обеспечивает закрепление с помощью запланированной задачи `ChromeUpdate` при входе пользователя с наивысшими доступными привилегиями, а также через ключ реестра `Run`.
Он копирует себя во временный каталог AppData под именем `svchost.exe` и создает приостановленный дочерний процесс.
Поддерживает скрытый доступ через VNC/RDP, захват данных с веб-камеры и микрофона, регистрацию нажатий клавиш, кражу учётных данных, манипуляции с файлами, управление процессами и службами, изменение реестра, а также возможное внедрение кода в процессы.
Он извлекает файлы хранилищ Диспетчера учетных данных Windows и регистрирует нажатия клавиш с помощью `GetAsyncKeyState`.
Она пытается осуществить обход UAC без использования файлов посредством перехвата реестра `ms-settings` с использованием `fodhelper` или `ComputerDefaults`.
Она выполняет разведку на основе WMI, направленную на сбор информации о средствах защиты, деталях системы, идентификаторах аппаратного обеспечения, процессах и индикаторах песочницы.
Оно способно развертывать ВПО-шифровальщики, подменять адреса криптокошельков посредством мониторинга буфера обмена, распространяться в сетях LAN и завершать работу конкурирующих вредоносных программ.
Для выполнения и закрепления используются `cmd.exe`, PowerShell, `reg.exe` и `schtasks.exe`.
Он отправляет IP-адрес жертвы и данные геолокации, полученные с `ip-api.com`, через Telegram Bot API и может получать обновлённую информацию о C2 из Pastebin.
Он скрывает защищённые файлы, устанавливая значение `0` для параметра `ShowSuperHidden`, и подавляет предупреждения о зонах безопасности с помощью флага `SEE_MASK_NOZONECHECKS`.
#ParsedReport #CompletenessMedium
14-10-2026
Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations
https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/
Report completeness: Medium
Actors/Campaigns:
Uat-6275
Yorotrooper
Silent_lynx
Threats:
Ps2exe_tool
Credential_harvesting_technique
Chvost
Laplasclipper
Pickleshell
Victims:
Government organizations, Diplomatic affairs, Economic development, Agriculture, Environmental management, Water resource organizations, Energy infrastructure, Smart forestry initiative
Industry:
Foodtech, Government, Energy, Aerospace, Petroleum
Geo:
Belarus, Belarusian, Turkmenistan, Kyrgyzstan, Asia, Uzbekistan, Azerbaijan, Armenia, Russian, Kazakhstan, Russia, Tajikistan
CVEs:
CVE-2025-8088 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- rarlab winrar (<7.13)
CVE-2025-25257 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- fortinet fortiweb (<7.0.11, <7.2.11, <7.4.8, <7.6.4)
ChatGPT TTPs:
T1053.005, T1059, T1059.001, T1105, T1203, T1547.001, T1587.001, T1608.001
IOCs:
Hash: 11
Soft:
WinRAR, Linux
Languages:
powershell
Links:
14-10-2026
Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations
https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/
Report completeness: Medium
Actors/Campaigns:
Uat-6275
Yorotrooper
Silent_lynx
Threats:
Ps2exe_tool
Credential_harvesting_technique
Chvost
Laplasclipper
Pickleshell
Victims:
Government organizations, Diplomatic affairs, Economic development, Agriculture, Environmental management, Water resource organizations, Energy infrastructure, Smart forestry initiative
Industry:
Foodtech, Government, Energy, Aerospace, Petroleum
Geo:
Belarus, Belarusian, Turkmenistan, Kyrgyzstan, Asia, Uzbekistan, Azerbaijan, Armenia, Russian, Kazakhstan, Russia, Tajikistan
CVEs:
CVE-2025-8088 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- rarlab winrar (<7.13)
CVE-2025-25257 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- fortinet fortiweb (<7.0.11, <7.2.11, <7.4.8, <7.6.4)
ChatGPT TTPs:
do not use without manual checkT1053.005, T1059, T1059.001, T1105, T1203, T1547.001, T1587.001, T1608.001
IOCs:
Hash: 11
Soft:
WinRAR, Linux
Languages:
powershell
Links:
https://github.com/Cisco-Talos/IOCs/tree/main/2026/10Cisco Talos
Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations
Talos and Recorded Future identified UAT-6275 activity targeting government organizations across the Commonwealth of Independent States. Recovered artifacts show additional interest in water resources and energy.
CTT Report Hub
#ParsedReport #CompletenessMedium 14-10-2026 Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/ Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа UAT-6275, вероятно связанная с Казахстаном, в период с июня 2025 по август 2026 года проводила кампании кибершпионажа против государственных организаций стран СНГ. Для развертывания собственных обратных шеллов, включая PickleShell, Chvost и Laplas, с целью обеспечения постоянного удаленного доступа и сбора разведданных группа использовала вредоносные документы, PowerShell, запланированные задачи, файлы ярлыков, скрипты, размещенные на GitHub, а также уязвимость CVE-2025-8088.
-----
Cisco Talos выявила UAT-6275, также отслеживаемую Recorded Future как TAG-193, которая осуществляет кибершпионаж в отношении государственных организаций в странах Содружества Независимых Государств. Среди целевых стран — Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Среди жертв — учреждения, занимающиеся дипломатией, экономическим развитием, сельским хозяйством, природопользованием, водными ресурсами, лесным хозяйством и энергетикой. Активность, зафиксированная в период с июня 2025 года по август 2026 года, указывает на цель сбора разведывательной информации, включая мониторинг региональных дипломатических событий и безопасности ресурсов.
UAT-6275 использовал четыре основные цепочки заражения. Начальная активность включала документы Microsoft Word с макросами, которые загружали и выполняли бинарные файлы второй стадии. В последующих кампаниях использовались загрузчики, созданные с помощью PS2EXE, для получения полезных нагрузок reverse-shell и обеспечения закрепления через запланированные задачи. Третья цепочка использовала вредоносные файлы ярлыков для запуска PowerShell, загрузки скриптов с GitHub и выполнения полезных нагрузок remote-shell. Некоторые образцы размещали PickleShell в папке автозагрузки Windows. В апреле 2026 года группа использовала специально созданный архив RAR, эксплуатирующий уязвимость WinRAR CVE-2025-8088, чтобы разместить PickleShell в папке автозагрузки, что приводило к его выполнению при следующем входе пользователя в систему.
Восстановленные образцы ВПО включали лёгкие кастомные обратные шеллы, такие как Chvost, Laplas и PickleShell, обеспечивавшие интерактивное выполнение команд на скомпрометированных системах. Обнаруженные каталоги промежуточного хранения и репозиторий на GitHub раскрыли сборки полезных нагрузок, списки инструментов, изменения инфраструктуры и историю разработки. Инфраструктура также содержала инструменты, совместимые с Linux, и публичный эксплойт proof-of-concept для уязвимости FortiWeb CVE-2025-25257, что указывает на возможную подготовку к атакам на системы Linux и сетевые устройства, доступные из интернета.
Talos с умеренной степенью уверенности полагает, что злоумышленник имеет связь с Казахстаном. Подтверждающими индикаторами являются артефакты на русском языке, предположительно тестовые отправки ВПО из Казахстана, активность оператора, соответствующая рабочим часам по UTC+5, доступ к инфраструктуре и региональные паттерны целевого воздействия. Данная активность перекрывается с кампаниями, связанными с YoroTrooper и другими отслеживаемыми кластерами, хотя прямое совпадение инструментов или индикаторов не установлено. Специалисты по защите должны отслеживать подозрительное выполнение PowerShell, загрузку файлов с GitHub и других публичных сервисов, создание запланированных задач, изменения в папке автозагрузки, документы с макросами и эксплуатацию уязвимостей в не обновленных утилитах для работы с архивами.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Группа UAT-6275, вероятно связанная с Казахстаном, в период с июня 2025 по август 2026 года проводила кампании кибершпионажа против государственных организаций стран СНГ. Для развертывания собственных обратных шеллов, включая PickleShell, Chvost и Laplas, с целью обеспечения постоянного удаленного доступа и сбора разведданных группа использовала вредоносные документы, PowerShell, запланированные задачи, файлы ярлыков, скрипты, размещенные на GitHub, а также уязвимость CVE-2025-8088.
-----
Cisco Talos выявила UAT-6275, также отслеживаемую Recorded Future как TAG-193, которая осуществляет кибершпионаж в отношении государственных организаций в странах Содружества Независимых Государств. Среди целевых стран — Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Среди жертв — учреждения, занимающиеся дипломатией, экономическим развитием, сельским хозяйством, природопользованием, водными ресурсами, лесным хозяйством и энергетикой. Активность, зафиксированная в период с июня 2025 года по август 2026 года, указывает на цель сбора разведывательной информации, включая мониторинг региональных дипломатических событий и безопасности ресурсов.
UAT-6275 использовал четыре основные цепочки заражения. Начальная активность включала документы Microsoft Word с макросами, которые загружали и выполняли бинарные файлы второй стадии. В последующих кампаниях использовались загрузчики, созданные с помощью PS2EXE, для получения полезных нагрузок reverse-shell и обеспечения закрепления через запланированные задачи. Третья цепочка использовала вредоносные файлы ярлыков для запуска PowerShell, загрузки скриптов с GitHub и выполнения полезных нагрузок remote-shell. Некоторые образцы размещали PickleShell в папке автозагрузки Windows. В апреле 2026 года группа использовала специально созданный архив RAR, эксплуатирующий уязвимость WinRAR CVE-2025-8088, чтобы разместить PickleShell в папке автозагрузки, что приводило к его выполнению при следующем входе пользователя в систему.
Восстановленные образцы ВПО включали лёгкие кастомные обратные шеллы, такие как Chvost, Laplas и PickleShell, обеспечивавшие интерактивное выполнение команд на скомпрометированных системах. Обнаруженные каталоги промежуточного хранения и репозиторий на GitHub раскрыли сборки полезных нагрузок, списки инструментов, изменения инфраструктуры и историю разработки. Инфраструктура также содержала инструменты, совместимые с Linux, и публичный эксплойт proof-of-concept для уязвимости FortiWeb CVE-2025-25257, что указывает на возможную подготовку к атакам на системы Linux и сетевые устройства, доступные из интернета.
Talos с умеренной степенью уверенности полагает, что злоумышленник имеет связь с Казахстаном. Подтверждающими индикаторами являются артефакты на русском языке, предположительно тестовые отправки ВПО из Казахстана, активность оператора, соответствующая рабочим часам по UTC+5, доступ к инфраструктуре и региональные паттерны целевого воздействия. Данная активность перекрывается с кампаниями, связанными с YoroTrooper и другими отслеживаемыми кластерами, хотя прямое совпадение инструментов или индикаторов не установлено. Специалисты по защите должны отслеживать подозрительное выполнение PowerShell, загрузку файлов с GitHub и других публичных сервисов, создание запланированных задач, изменения в папке автозагрузки, документы с макросами и эксплуатацию уязвимостей в не обновленных утилитах для работы с архивами.
#ParsedReport #CompletenessHigh
14-10-2026
The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime
https://www.microsoft.com/en-us/security/blog/2026/10/14/the-hidden-network-inside-the-phishing-infrastructure-ecosystem-powering-global-cybercrime/
Report completeness: High
Actors/Campaigns:
Storm-3119 (motivation: cyber_criminal, financially_motivated)
Storm-2990
Threats:
Iron_man_tool
Cogui
Haozi_tool
Credential_stealing_technique
Credential_harvesting_technique
Device_code_phishing_technique
Password_spray_technique
Victims:
Healthcare, Financial services, Wholesale distribution, Information technology
Industry:
Financial, Logistic, Retail, Transport, Healthcare, Government
Geo:
China, Australia, Japan, United states, India
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1056.003, T1078.004, T1090.003, T1098, T1136.003, T1528, T1550.001, T1566.002, T1580, T1583.001, have more...
IOCs:
File: 1
Domain: 1
Soft:
Microsoft Defender, Microsoft Defender for Endpoint, Telegram, Microsoft 365, Flask, Cloudflare, SharePoint, WeChat, Microsoft Entra, Office 365, have more...
Crypto:
ethereum
Algorithms:
exhibit
Languages:
python, java, php
Platforms:
intel
14-10-2026
The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime
https://www.microsoft.com/en-us/security/blog/2026/10/14/the-hidden-network-inside-the-phishing-infrastructure-ecosystem-powering-global-cybercrime/
Report completeness: High
Actors/Campaigns:
Storm-3119 (motivation: cyber_criminal, financially_motivated)
Storm-2990
Threats:
Iron_man_tool
Cogui
Haozi_tool
Credential_stealing_technique
Credential_harvesting_technique
Device_code_phishing_technique
Password_spray_technique
Victims:
Healthcare, Financial services, Wholesale distribution, Information technology
Industry:
Financial, Logistic, Retail, Transport, Healthcare, Government
Geo:
China, Australia, Japan, United states, India
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1056.003, T1078.004, T1090.003, T1098, T1136.003, T1528, T1550.001, T1566.002, T1580, T1583.001, have more...
IOCs:
File: 1
Domain: 1
Soft:
Microsoft Defender, Microsoft Defender for Endpoint, Telegram, Microsoft 365, Flask, Cloudflare, SharePoint, WeChat, Microsoft Entra, Office 365, have more...
Crypto:
ethereum
Algorithms:
exhibit
Languages:
python, java, php
Platforms:
intel
Microsoft News
The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime
Microsoft uncovered a Chinese-language cybercriminal ecosystem, an interconnected network of phishing kit operators (tracked as Storm-2990), and an illicit marketplace (tracked as Storm-3119) selling tools and infrastructure for large-scale phishing. In collaboration…