#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Hirudo — это банковский троян (RAT) для Android, распространяемый через поддельные утилиты и развлекательные приложения, которые побуждают жертв установить его в качестве обновления. Он крадет учетные данные, PIN-коды, SMS-сообщения, а также данные с экрана или камеры, обеспечивает удаленное управление, налагает мошеннические страницы оплаты и заменяет легитимные банковские приложения на модифицированные копии с внедренными хуками. Основными целями являются банки Индонезии, при этом в коде содержатся ссылки на финансовые учреждения нескольких других стран.
-----

ThreatFabric выявила Hirudo — банковский троян для удалённого доступа (RAT) для Android, который сочетает в себе кражу учётных данных, управление устройством, захват экрана и камеры, а также сбор SMS-сообщений. Распространение осуществляется через, на первый взгляд, легитимные приложения для покупок, порнографического видео и коротких драматических сериалов, такие как Shopora, 1V1 X, ZoyaTV и KoiShort. Эти дропперы предоставляют функциональный контент через WebView или каталоги, после чего отображают поддельное уведомление о необходимости обновления, в результате чего Hirudo устанавливается как отдельный APK-файл. Полезная нагрузка требует разрешений на доступ к функциям доступности (Accessibility) и уведомлениям. Некоторые дропперы также создают «чёрную дыру» VPN во время установки для нарушения трафика IPv4.

Hirudo собирает банковские учетные данные, ПИН-коды для платежей, паттерны разблокировки устройства, пароли, SMS-сообщения, содержимое экрана и видеопоток с камеры. Программа поддерживает просмотр экрана в реальном времени через WebRTC и выполняет начальное 90-дневное сканирование SMS, сфокусированное на настроенных финансовых отправителях. Кроме того, она отображает прозрачные поддельные страницы оформления заказа поверх приманочных приложений, перехватывает платежную информацию и возвращает сфабрикованные ответы об успешном выполнении операции. Окна ввода данных для входа в банковские приложения являются кастомными и настраиваются под конкретное приложение, а содержимое экрана считывается, чтобы мошеннические взаимодействия выглядели правдоподобно.

Ключевой возможностью является замена подлинных банковских приложений на модифицированные копии. Hirudo отслеживает установленные финансовые приложения, проверяет их сертификаты, побуждает жертву удалить легитимное приложение и устанавливает замену, используя исходное имя пакета и версию. Замены подписаны тестовым ключом Android, что препятствует обычным обновлениям и требует предварительного удаления подлинного приложения. Для восьми индонезийских банковских приложений, принадлежащих семи банкам, были созданы специализированные замены.

Изменённые банковские приложения внедряют единственную строку при запуске, которая загружает движок перехвата (hooking) на основе YAHFA и Dobby. Перехваты скрывают подпись тестового ключа, прячут службу доступности (Accessibility) Hirudo, удаляют флаг `FLAG_SECURE` для обеспечения возможности захвата экрана, изменяют сертификаты аутентификации ключей и перенаправляют запросы Play Integrity на сервер оператора по протоколу HTTP. Файл-триггер управляет активацией, что позволяет модифицированному приложению оставаться менее заметным в отсутствие RAT.

Инфраструктура использует Amazon CloudFront, атрибуцию OpenInstall, идентификаторы Meta Pixel и одноразовые приманочные приложения. Хотя Индонезия является основной целью замены, в коде содержатся ссылки на финансовые цели в Китае, Индии, Мексике, Марокко и Таиланде, а также используется брендинг малайзийских банков и электронных кошельков. По имеющимся данным, в данных на стороне сервера содержались учетные данные, сведения об устройствах, данные экранов блокировки и финансовые записи.

#ParsedReport #CompletenessHigh
14-10-2026

KGB RAT: A Fully Undetectable Windows Trojan Built to Spy, Steal, and Terrorize

https://www.group-ib.com/blog/kgb-rat-windows-fud-trojan/

Report completeness: High

Threats:
Kgb_rat
Credential_harvesting_technique
Cryptoclipper
Fud-crypter
Hvnc_tool
Uac_bypass_technique
Njrat
Process_injection_technique
Process_hollowing_technique
Process_hacker_tool
Fodhelper_uac_bypass_technique

Victims:
Windows users

Industry:
Education, Retail

TTPs:
Tactics: 11
Technics: 41

IOCs:
File: 24
Command: 4
Registry: 4
Path: 2
IP: 2
Url: 2
Domain: 1
Hash: 12

Soft:
Windows Remote Access, Windows Defender, Telegram, VirtualBox, Pastebin, Google Chrome, Chrome, Windows Explorer, Windows Registry, Process Explorer, have more...

Wallets:
tron

Algorithms:
base64, aes, prng, gzip, sha256, md5

Functions:
Refresh, SetWindowsHookEx, WebClient, ElevateMe, CreateKey

Win API:
NET, Sched, SCHEDNAME, ANYRUN, CryptoClipperx, Bypass, TaskMGR, Melty, KProc, Proc, have more...

Win Services:
VGAuthService

Languages:
vbscript, powershell

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
KGB RAT — это троянская программа удалённого доступа для Windows, работающая по модели ВПО как услуга (MaaS), производная от вариантов NjRAT/Lime-Worm, обладающая широким набором функций наблюдения, кражи учётных данных, закрепления, обхода защитных механизмов и деструктивных действий. Она использует маскированное выполнение из каталога AppData, запланированные задачи, перехват реестра, утилиты LOLBins, проверки на анализ и каналы C2, включая Телеграм, Pastebin и выделенную инфраструктуру на основе IP-адресов.
-----

RAT KGB использует `104.248.130.195` и `2.59.134.215:443` для управления.

Он обеспечивает закрепление с помощью запланированной задачи `ChromeUpdate` при входе пользователя с наивысшими доступными привилегиями, а также через ключ реестра `Run`.

Он копирует себя во временный каталог AppData под именем `svchost.exe` и создает приостановленный дочерний процесс.

Поддерживает скрытый доступ через VNC/RDP, захват данных с веб-камеры и микрофона, регистрацию нажатий клавиш, кражу учётных данных, манипуляции с файлами, управление процессами и службами, изменение реестра, а также возможное внедрение кода в процессы.

Он извлекает файлы хранилищ Диспетчера учетных данных Windows и регистрирует нажатия клавиш с помощью `GetAsyncKeyState`.

Она пытается осуществить обход UAC без использования файлов посредством перехвата реестра `ms-settings` с использованием `fodhelper` или `ComputerDefaults`.

Она выполняет разведку на основе WMI, направленную на сбор информации о средствах защиты, деталях системы, идентификаторах аппаратного обеспечения, процессах и индикаторах песочницы.

Оно способно развертывать ВПО-шифровальщики, подменять адреса криптокошельков посредством мониторинга буфера обмена, распространяться в сетях LAN и завершать работу конкурирующих вредоносных программ.

Для выполнения и закрепления используются `cmd.exe`, PowerShell, `reg.exe` и `schtasks.exe`.

Он отправляет IP-адрес жертвы и данные геолокации, полученные с `ip-api.com`, через Telegram Bot API и может получать обновлённую информацию о C2 из Pastebin.

Он скрывает защищённые файлы, устанавливая значение `0` для параметра `ShowSuperHidden`, и подавляет предупреждения о зонах безопасности с помощью флага `SEE_MASK_NOZONECHECKS`.

#ParsedReport #CompletenessMedium
14-10-2026

Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations

https://blog.talosintelligence.com/break-the-silence-kazakhstan-nexus-uat-6275-targets-cis-government-organizations/

Report completeness: Medium

Actors/Campaigns:
Uat-6275
Yorotrooper
Silent_lynx

Threats:
Ps2exe_tool
Credential_harvesting_technique
Chvost
Laplasclipper
Pickleshell

Victims:
Government organizations, Diplomatic affairs, Economic development, Agriculture, Environmental management, Water resource organizations, Energy infrastructure, Smart forestry initiative

Industry:
Foodtech, Government, Energy, Aerospace, Petroleum

Geo:
Belarus, Belarusian, Turkmenistan, Kyrgyzstan, Asia, Uzbekistan, Azerbaijan, Armenia, Russian, Kazakhstan, Russia, Tajikistan

CVEs:
CVE-2025-8088 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- rarlab winrar (<7.13)

CVE-2025-25257 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- fortinet fortiweb (<7.0.11, <7.2.11, <7.4.8, <7.6.4)


ChatGPT TTPs:
do not use without manual check
T1053.005, T1059, T1059.001, T1105, T1203, T1547.001, T1587.001, T1608.001

IOCs:
Hash: 11

Soft:
WinRAR, Linux

Languages:
powershell

Links:
https://github.com/Cisco-Talos/IOCs/tree/main/2026/10

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа UAT-6275, вероятно связанная с Казахстаном, в период с июня 2025 по август 2026 года проводила кампании кибершпионажа против государственных организаций стран СНГ. Для развертывания собственных обратных шеллов, включая PickleShell, Chvost и Laplas, с целью обеспечения постоянного удаленного доступа и сбора разведданных группа использовала вредоносные документы, PowerShell, запланированные задачи, файлы ярлыков, скрипты, размещенные на GitHub, а также уязвимость CVE-2025-8088.
-----

Cisco Talos выявила UAT-6275, также отслеживаемую Recorded Future как TAG-193, которая осуществляет кибершпионаж в отношении государственных организаций в странах Содружества Независимых Государств. Среди целевых стран — Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Среди жертв — учреждения, занимающиеся дипломатией, экономическим развитием, сельским хозяйством, природопользованием, водными ресурсами, лесным хозяйством и энергетикой. Активность, зафиксированная в период с июня 2025 года по август 2026 года, указывает на цель сбора разведывательной информации, включая мониторинг региональных дипломатических событий и безопасности ресурсов.

UAT-6275 использовал четыре основные цепочки заражения. Начальная активность включала документы Microsoft Word с макросами, которые загружали и выполняли бинарные файлы второй стадии. В последующих кампаниях использовались загрузчики, созданные с помощью PS2EXE, для получения полезных нагрузок reverse-shell и обеспечения закрепления через запланированные задачи. Третья цепочка использовала вредоносные файлы ярлыков для запуска PowerShell, загрузки скриптов с GitHub и выполнения полезных нагрузок remote-shell. Некоторые образцы размещали PickleShell в папке автозагрузки Windows. В апреле 2026 года группа использовала специально созданный архив RAR, эксплуатирующий уязвимость WinRAR CVE-2025-8088, чтобы разместить PickleShell в папке автозагрузки, что приводило к его выполнению при следующем входе пользователя в систему.

Восстановленные образцы ВПО включали лёгкие кастомные обратные шеллы, такие как Chvost, Laplas и PickleShell, обеспечивавшие интерактивное выполнение команд на скомпрометированных системах. Обнаруженные каталоги промежуточного хранения и репозиторий на GitHub раскрыли сборки полезных нагрузок, списки инструментов, изменения инфраструктуры и историю разработки. Инфраструктура также содержала инструменты, совместимые с Linux, и публичный эксплойт proof-of-concept для уязвимости FortiWeb CVE-2025-25257, что указывает на возможную подготовку к атакам на системы Linux и сетевые устройства, доступные из интернета.

Talos с умеренной степенью уверенности полагает, что злоумышленник имеет связь с Казахстаном. Подтверждающими индикаторами являются артефакты на русском языке, предположительно тестовые отправки ВПО из Казахстана, активность оператора, соответствующая рабочим часам по UTC+5, доступ к инфраструктуре и региональные паттерны целевого воздействия. Данная активность перекрывается с кампаниями, связанными с YoroTrooper и другими отслеживаемыми кластерами, хотя прямое совпадение инструментов или индикаторов не установлено. Специалисты по защите должны отслеживать подозрительное выполнение PowerShell, загрузку файлов с GitHub и других публичных сервисов, создание запланированных задач, изменения в папке автозагрузки, документы с макросами и эксплуатацию уязвимостей в не обновленных утилитах для работы с архивами.

#ParsedReport #CompletenessHigh
14-10-2026

The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime

https://www.microsoft.com/en-us/security/blog/2026/10/14/the-hidden-network-inside-the-phishing-infrastructure-ecosystem-powering-global-cybercrime/

Report completeness: High

Actors/Campaigns:
Storm-3119 (motivation: cyber_criminal, financially_motivated)
Storm-2990

Threats:
Iron_man_tool
Cogui
Haozi_tool
Credential_stealing_technique
Credential_harvesting_technique
Device_code_phishing_technique
Password_spray_technique

Victims:
Healthcare, Financial services, Wholesale distribution, Information technology

Industry:
Financial, Logistic, Retail, Transport, Healthcare, Government

Geo:
China, Australia, Japan, United states, India

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1056.003, T1078.004, T1090.003, T1098, T1136.003, T1528, T1550.001, T1566.002, T1580, T1583.001, have more...

IOCs:
File: 1
Domain: 1

Soft:
Microsoft Defender, Microsoft Defender for Endpoint, Telegram, Microsoft 365, Flask, Cloudflare, SharePoint, WeChat, Microsoft Entra, Office 365, have more...

Crypto:
ethereum

Algorithms:
exhibit

Languages:
python, java, php

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Microsoft выявила китайскоязычную киберпреступную экосистему, в которой Storm-3119 перепродает скомпрометированные облачные ресурсы, а Storm-2990 эксплуатирует наборы инструментов для фишинга как услуги. Акторы используют эти сервисы для проведения масштабных кампаний имперсонации, в ходе которых крадут учетные данные, платежные данные и коды аутентификации у целей в нескольких странах.
-----

Microsoft выявила китайскоязычную киберпреступную экосистему, включающую маркетплейс YAM Store, отслеживаемый как Storm-3119, и три фишинговых набора — CoGUI/NX/FA, Haozi/Phoenix и Iron Man System, отслеживаемые совместно как Storm-2990. Эти наборы продаются в качестве продуктов Фишинг как услуга и предоставляют шаблоны для имитации правительственных, финансовых, медицинских, транспортных, логистических и розничных организаций. Microsoft с высокой степенью уверенности относит эту экосистему к акторам, говорящим на китайском языке, и зафиксировала нацеливание на организации и пользователей в Японии, Соединенных Штатах, Австралии и Индии.

Storm-3119 действует в качестве брокера доступа, приобретая, компрометируя и перепродавая ресурсы Microsoft 365, Azure for Education, Google и связанные облачные сервисы. Его инфраструктура использует автоматизированную разведку, инструменты на базе Flask и сеть Tor для идентификации облачных арендаторов, возможностей лицензирования и данных о регистрации. После захвата сред актор использует аутентификацию только на уровне приложения и украденные клиентские секреты для администрирования арендаторов, сброса паролей, назначения лицензий и предоставления привилегированного доступа. Он также разворачивает сервисный принципал PnP Management Shell и предоставляет широкие разрешения Microsoft Graph и SharePoint, что позволяет использовать SharePoint и OneDrive для массового размещения фишинговых материалов.

Актор поддерживает централизованную инфраструктуру на базе DNS и Cloudflare для управления доменами фишинга, SSL-сертификатами и маршрутизацией. Скомпрометированные учетные записи, лицензии, хранилища и домены перепродаются через автоматизированный интернет-магазин, при этом платежи принимаются в криптовалюте и через региональные платежные сервисы. Storm-3119 также создает фиктивные организации и веб-сайты, потенциально используя контент, сгенерированный с помощью ИИ, и поддельную документацию, для создания, казалось бы, легитимных облачных арендаторов.

Система Iron Man включает более 2335 локализованных шаблонов, охватывающих свыше 139 стран. К её возможностям относятся географическое зонирование (geofencing) на основе страны, поддельные задачи CAPTCHA, списки разрешённых и заблокированных IP-адресов, настройки для противодействия исследователям, а также уведомления жертв через Телеграм. Набор инструментов собирает имена пользователей, пароли, данные кредитных карт и коды подтверждения посредством коммуникаций по протоколу WebSocket и отправляет операторам обновления в режиме реального времени через Телеграм, что обеспечивает интерактивное управление жертвами в процессе сбора учетных записей.

Операторы нижнего уровня используют фишинговые приманки в электронной почте и SMS, основанные на теме срочности, вредоносные перенаправления, фишинг учетных данных, фишинг кодов устройств для получения токенов аутентификации, а также украденные платежные данные для совершения мошеннических покупок и финансовых транзакций. Панели в основном размещаются провайдерами, базирующимися в Китае, а наборы инструментов поддерживают проведение кампаний в больших масштабах, включающих имперсонацию платных дорожных сервисов, сервисов по штрафам за нарушения ПДД и других доверенных служб.

#ParsedReport #CompletenessHigh
12-10-2026

Auditing the auditor: Unmasking Apex Accelerator

https://www.elastic.co/security-labs/threat-command/apex-accelerator-malicious-npm-packages

Report completeness: High

Actors/Campaigns:
Apex_accelerator
Ref8801

Threats:
Apexacc_tool
Cloudsyncd
Supply_chain_technique
Apex_audit_tool
Cloudsync
Uac_bypass_technique
Uacme_tool
Shadow_copies_delete_technique

Victims:
Cryptocurrency start ups, Web3 founders

Geo:
Singapore, Russian

TTPs:
Tactics: 10
Technics: 0

IOCs:
Domain: 14
File: 34
Url: 16
Command: 2
Path: 1
Hash: 9

Soft:
macOS, Claude, Telegram, Slack, Twitter, └─ Embe, tempts, OS │ └─, , curl, have more...

Algorithms:
base64, zip, sha256, gzip, chacha20, chacha20-poly1305, fnv-1a, xor, aes-gcm, aes-256-cbc

Functions:
getifaddrs, main

Win API:
gethostname, IsUserAnAdmin, ShellExecuteW, EnumPageFilesW, ReadProcessMemory, WriteProcessMemory, AmsiOpenSession, EtwEventWrite, EtwEventWriteEx, EtwEventWriteFull, have more...

Win Services:
bits

Languages:
javascript, golang, python, rust, vbscript, powershell

Platforms:
cross-platform, x64, arm

Links:
https://github.com/can1357/oh-my-pi/blob/95acb042e7d70725a372b1034458145349c1d86f/docs/approval-mode.md?plain=1#L24
https://github.com/elastic/supply-chain-monitor
have more...
https://github.com/can1357/oh-my-pi

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие маскировали Web3-ускоритель под легитимный сервис для распространения вредоносных npm-пакетов, нацеленных на стартапы в сфере криптовалют. Пакеты обеспечивали удаленное выполнение команд, манипуляцию трафиком LLM/MCP и развертывание платформенно-специфичного ВПО: CloudSyncD на macOS и загрузчики, ведущие к ВПО для кражи информации на Windows. Вредоносное ПО собирало учетные данные, данные браузеров и кошельков, системную информацию, файлы и другие конфиденциальные данные перед их эксфильтрацией.
-----

Elastic Security Labs выявила кампанию, замаскированную под Web3-ускоритель, которая нацеливалась на стартапы в сфере криптовалют и их основателей с помощью вредоносных пакетов npm, репозиториев с бэкдорами, инструментов для программирования и услуг по аудиту безопасности. Основные пакеты, `@apexacc/cli` и `@apexacc/audit`, были вредоносными с момента публикации, а не были скомпрометированы после выпуска. Хотя `@apexacc/cli` переупаковывал легитимного агента для программирования Oh My Pi, в него был добавлен бутстрап, который получал команды, предоставленные злоумышленником, регистрировал MCP-сервер, контролируемый злоумышленником, и перенаправлял трафик LLM с меткой OpenRouter через инфраструктуру злоумышленника. Это создало потенциальный путь для того, чтобы сфальсифицированные ответы модели вызывали локальные инструменты. Пакет также загружал исполняемые файлы Bun, специфичные для платформы.

Оба пакета обращались к `vrf.apexaccs[.\]org/api/v1/vrf` для получения инструкций по выполнению. На Windows JavaScript-код извлекал команды, содержащие поля исполняемого файла, аргументов и команды, после чего запускал PowerShell через временные файлы VBScript с использованием `wscript.exe`. Пакет аудита также пытался повысить привилегии через UAC, исключить Defender и изменить параметры Smart App Control. На macOS бинарные файлы верификатора на Rust получали команды и загружали архив установщика, содержащий семейство ВПО CloudSyncD. Восемнадцать заявленных инструментов безопасности в пакете аудита генерировали результаты, основанные на жёстко заданных, рандомизированных, форматируемых на входе или производных от даты данных, а не проводили подлинный анализ; удалённый сервис оценки также возвращал неподдерживаемые оценки для вымышленных проектов.

Цепочка для macOS использовала CloudSyncD — универсальный Mach-O-платформенный модуль, который запрашивал пароль администратора пользователя, проверял его с помощью `dscl`, сохранял в `\~/.config/cloudsync/data.json` и выполнял встроенный полезный код с повышенными привилегиями. CloudSyncD собирал информацию об аппаратном обеспечении и операционной системе, идентифицировал хосты по IOPlatformUUID, шифровал данные алгоритмом ChaCha и взаимодействовал с C2-сервером по HTTPS. Он мог получать и выполнять сырые Mach-O-файлы или сжатые полезные нагрузки.

Цепочка для Windows загрузила PowerShell с дополнительной инфраструктуры, контролируемой злоумышленниками, и скачала загрузчики на базе PyInstaller. Эти загрузчики реализовали обход UAC, основанный на поведении объекта отладки AppInfo, выполнили проверки на виртуализацию и запустили загрузчик на Golang. Последний попытался обойти AMSI и ETW, расшифровал шеллкод и выполнил его в процессе. Итоговый стиллер собрал системные данные, содержимое буфера обмена, списки процессов, профили Wi-Fi, снимки экрана, файлы, учетные данные браузеров, файлы cookie, историю, данные кошельков и VPN, а также другую информацию о приложениях. Он использовал методы восстановления ключей браузеров и DPAPI, при необходимости обращался к базам данных через Volume Shadow Copy и выгружал архивы через Телеграм.

#ParsedReport #CompletenessLow
14-10-2026

Fake Calendly “Meta Careers” pages steal Facebook and Google logins

https://www.malwarebytes.com/blog/threat-intel/2026/10/fake-calendly-meta-careers-pages-steal-facebook-and-google-logins

Report completeness: Low

Victims:
Social media, Email services

Geo:
Vietnamese, Singapore

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1056.003, T1111, T1589

IOCs:
Domain: 12
IP: 0
Url: 0
Hash: 0
Email: 0
BrowserExtension: 0

Soft:
WhatsApp, Gmail

Functions:
Phone

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Фишинговая кампания использует поддельные страницы найма Meta Careers/Calendly для сбора учетных данных Facebook и Google, паролей, данных для восстановления доступа и кодов MFA. Поддельные запросы на вход и методы атаки «человек посередине» направляют данные жертв на серверы, контролируемые злоумышленниками, что потенциально позволяет захватить учетные записи и получить доступ к бизнес-аккаунтам, рекламным кампаниям, электронной почте и связанным учетным записям.
-----

Фишинговая кампания использует поддельные страницы «Meta Careers» в стиле Calendly для кражи учетных данных Facebook и Google у соискателей. Страницы имитируют процесс планирования собеседования и на начальном этапе запрашивают имя жертвы, адрес электронной почты, номер телефона и информацию, связанную с встречей. Поддельный CAPTCHA может использоваться для придания легитимности и потенциального затруднения автоматизированного сканирования средств безопасности до появления этапов кражи учетных данных.

Фишинговая схема встраивает поддельные интерфейсы входа в Facebook и Google в веб-страницу. Фальшивое окно Facebook содержит сфабрикованную адресную строку браузера, реалистичные сообщения об ошибках и запрос учетных данных Facebook, включая коды двухфакторной аутентификации, доставляемые через приложение-аутентификатор, SMS, WhatsApp или электронную почту. Страница также может запрашивать информацию для создания предполагаемого профессионального профиля. Затем утверждается, что Facebook требует верификации адреса Gmail пользователя, и демонстрируется аналогично обманчивая последовательность входа в Google. Жертвам может быть предложено предоставить пароль Google, подтвердить запрос на вход с телефона, ввести код из приложения-аутентификатора или SMS или раскрыть адрес электронной почты для восстановления доступа. Переданная информация отправляется на сервер сбора данных, контролируемый злоумышленником, что позволяет захватить учетную запись и потенциально обойти многофакторную аутентификацию с использованием техник «злоумышленник посередине» (adversary-in-the-middle).

По имеющимся данным, инфраструктура использует Amazon API Gateway в сингапурском регионе AWS (`ap-southeast-1`). Комментарии на вьетнамском языке в коде фишинга указывают на вероятное повторное использование фишингового комплекта. Скомпрометированные аккаунты Facebook представляют ценность, поскольку они могут обеспечить доступ к бизнес-страницам и рекламным аккаунтам, в то время как доступ к аккаунтам Google может раскрыть электронную почту и облегчить сброс паролей для других сервисов.

Пострадавшим следует рассматривать неожиданные ссылки на рекрутинг, а также запросы учетных данных для социальных сетей или кодов аутентификации как вредоносные. Необходимо независимо проверить рекрутера, осмотреть фактическую строку адреса в браузере и избегать одобрения несанкционированных запросов на вход в систему. Тем, кто предоставил учетные данные, следует сменить пароли с доверенного устройства, завершить другие сеансы, проверить настройки восстановления и правила пересылки, защитить связанные учетные записи и изучить активность в Facebook Business и рекламных аккаунтах.

#ParsedReport #CompletenessLow
14-10-2026

Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus

https://www.proofpoint.com/us/blog/threat-insight/disruption-targets-major-chinese-language-phishing-kits-japanese-focus

Report completeness: Low

Threats:
Cogui
Coacev_tool
Cofish_tool
Iron_man_tool

Victims:
Financial services, Healthcare, Government, Education, Manufacturing

Industry:
Government, Education, Retail, Transport, Healthcare, Financial

Geo:
America, Australia, Japanese, Japan, Italy, Chinese, United states

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1056.003, T1497, T1566.002, T1583.001, T1657

IOCs:
Url: 5

Soft:
Cloudflare

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Координированное воздействие было направлено на китайскоязычную фишинговую экосистему, стоящую за CoGUI, CoAceV и CoFish_Ws, которая использовала быстро ротирующиеся домены и имперсонацию брендов для кражи учетных данных и платежных данных, преимущественно из японских организаций. Эти наборы инструментов разделяли инфраструктуру, методы обхода и аффилированных лиц, при этом активность охватывала около 17 000 доменов и более одного миллиарда вредоносных сообщений с января 2026 года.
-----

Нарушение работы было направлено против китайскоязычной экосистемы киберкриминала, ответственной за массовые кампании фишинга с целью кражи учётных данных, в частности, в отношении японских организаций. Операция была сосредоточена на фишинговых комплектах CoGUI, CoAceV и CoFish_Ws, а также на поддерживающих услугах и инфраструктуре, связанных с YAM Store и Iron Man. Microsoft и Health-ISAC подали гражданский иск, в то время как партнёры содействовали изъятию или перенаправлению доменов, использовавшихся для функционирования фишинговых сервисов.

С высокой степенью уверенности установлено, что три набора инструментов имеют общее происхождение и пересекающихся аффилированных лиц. Они имитируют известные финансовые, розничные, технологические и логистические бренды, включая Amazon, PayPay, Apple, Rakuten, японские банки, провайдеров платежных карт, DHL и Yamato Transport. Их приманки нацелены на получение учетных данных для банковских счетов, платежных аккаунтов, данных кредитных карт, информации о розничных покупках и деталей, связанных с доставкой. Жертв направляют по URL-адресам на мошеннические порталы для входа или оплаты, иногда после прохождения CAPTCHA или других механизмов фильтрации, предназначенных для обхода автоматизированного анализа.

Proofpoint зафиксировала около 17 000 доменов, связанных с тремя наборами инструментов. Операторы часто меняют инфраструктуру: в период с 1 июля по 17 сентября 2026 года было обнаружено 3 788 полностью квалифицированных доменных имен, что свидетельствует о способности приобретать и управлять фишинговыми доменами в промышленных масштабах. Кампании в первую очередь затрагивали Японию, при этом зафиксирована дополнительная активность, направленная на Соединенные Штаты, Австралию и Италию. Наиболее пострадавшими отраслями стали финансовый сектор и здравоохранение, за которыми последовали государственные органы, образование и производственный сектор.

Киты также разделяют технические и операционные характеристики, включая структуру URL, страницы-приманки и паттерны целевого воздействия. В одном из примеров CoGUI перенаправлял неподходящие сессии просмотра на безвредные домены, такие как `www.a.com`, `www.b.com` или `www.c.com`, чтобы затруднить обнаружение в песочницах; вскоре после этого CoAceV применил ту же технику. По данным Microsoft, с января 2026 года более миллиарда вредоносных сообщений, направленных в адрес более 75 000 организаций, были отнесены к более широкой экосистеме. Ожидается, что нарушение создаст операционные затруднения и снизит эффективность этих фишинговых операций, направленных на захват учетных записей и кражу денежных средств.

#ParsedReport #CompletenessLow
14-10-2026

Beware of phishing emails disguised as purchase orders

https://asec.ahnlab.com/ko/95838/

Report completeness: Low

Threats:
Snake_keylogger

Victims:
Organisations

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1056.001, T1059.001, T1059.003, T1059.005, T1059.006, T1070.004, T1113, T1115, have more...

IOCs:
File: 6
Command: 1
Domain: 1
Email: 2
IP: 0
Url: 0
Hash: 0
BrowserExtension: 0

Soft:
Discord

Algorithms:
zip, rc4, chacha20, xor, base64, salsa20, md5

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4