#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа UAT-6275, вероятно связанная с Казахстаном, в период с июня 2025 по август 2026 года проводила кампании кибершпионажа против государственных организаций стран СНГ. Для развертывания собственных обратных шеллов, включая PickleShell, Chvost и Laplas, с целью обеспечения постоянного удаленного доступа и сбора разведданных группа использовала вредоносные документы, PowerShell, запланированные задачи, файлы ярлыков, скрипты, размещенные на GitHub, а также уязвимость CVE-2025-8088.
-----

Cisco Talos выявила UAT-6275, также отслеживаемую Recorded Future как TAG-193, которая осуществляет кибершпионаж в отношении государственных организаций в странах Содружества Независимых Государств. Среди целевых стран — Казахстан, Кыргызстан, Таджикистан, Туркменистан, Узбекистан, Армения, Азербайджан, Россия и Беларусь. Среди жертв — учреждения, занимающиеся дипломатией, экономическим развитием, сельским хозяйством, природопользованием, водными ресурсами, лесным хозяйством и энергетикой. Активность, зафиксированная в период с июня 2025 года по август 2026 года, указывает на цель сбора разведывательной информации, включая мониторинг региональных дипломатических событий и безопасности ресурсов.

UAT-6275 использовал четыре основные цепочки заражения. Начальная активность включала документы Microsoft Word с макросами, которые загружали и выполняли бинарные файлы второй стадии. В последующих кампаниях использовались загрузчики, созданные с помощью PS2EXE, для получения полезных нагрузок reverse-shell и обеспечения закрепления через запланированные задачи. Третья цепочка использовала вредоносные файлы ярлыков для запуска PowerShell, загрузки скриптов с GitHub и выполнения полезных нагрузок remote-shell. Некоторые образцы размещали PickleShell в папке автозагрузки Windows. В апреле 2026 года группа использовала специально созданный архив RAR, эксплуатирующий уязвимость WinRAR CVE-2025-8088, чтобы разместить PickleShell в папке автозагрузки, что приводило к его выполнению при следующем входе пользователя в систему.

Восстановленные образцы ВПО включали лёгкие кастомные обратные шеллы, такие как Chvost, Laplas и PickleShell, обеспечивавшие интерактивное выполнение команд на скомпрометированных системах. Обнаруженные каталоги промежуточного хранения и репозиторий на GitHub раскрыли сборки полезных нагрузок, списки инструментов, изменения инфраструктуры и историю разработки. Инфраструктура также содержала инструменты, совместимые с Linux, и публичный эксплойт proof-of-concept для уязвимости FortiWeb CVE-2025-25257, что указывает на возможную подготовку к атакам на системы Linux и сетевые устройства, доступные из интернета.

Talos с умеренной степенью уверенности полагает, что злоумышленник имеет связь с Казахстаном. Подтверждающими индикаторами являются артефакты на русском языке, предположительно тестовые отправки ВПО из Казахстана, активность оператора, соответствующая рабочим часам по UTC+5, доступ к инфраструктуре и региональные паттерны целевого воздействия. Данная активность перекрывается с кампаниями, связанными с YoroTrooper и другими отслеживаемыми кластерами, хотя прямое совпадение инструментов или индикаторов не установлено. Специалисты по защите должны отслеживать подозрительное выполнение PowerShell, загрузку файлов с GitHub и других публичных сервисов, создание запланированных задач, изменения в папке автозагрузки, документы с макросами и эксплуатацию уязвимостей в не обновленных утилитах для работы с архивами.

#ParsedReport #CompletenessHigh
14-10-2026

The hidden network: Inside the phishing infrastructure ecosystem powering global cybercrime

https://www.microsoft.com/en-us/security/blog/2026/10/14/the-hidden-network-inside-the-phishing-infrastructure-ecosystem-powering-global-cybercrime/

Report completeness: High

Actors/Campaigns:
Storm-3119 (motivation: cyber_criminal, financially_motivated)
Storm-2990

Threats:
Iron_man_tool
Cogui
Haozi_tool
Credential_stealing_technique
Credential_harvesting_technique
Device_code_phishing_technique
Password_spray_technique

Victims:
Healthcare, Financial services, Wholesale distribution, Information technology

Industry:
Financial, Logistic, Retail, Transport, Healthcare, Government

Geo:
China, Australia, Japan, United states, India

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1056.003, T1078.004, T1090.003, T1098, T1136.003, T1528, T1550.001, T1566.002, T1580, T1583.001, have more...

IOCs:
File: 1
Domain: 1

Soft:
Microsoft Defender, Microsoft Defender for Endpoint, Telegram, Microsoft 365, Flask, Cloudflare, SharePoint, WeChat, Microsoft Entra, Office 365, have more...

Crypto:
ethereum

Algorithms:
exhibit

Languages:
python, java, php

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Microsoft выявила китайскоязычную киберпреступную экосистему, в которой Storm-3119 перепродает скомпрометированные облачные ресурсы, а Storm-2990 эксплуатирует наборы инструментов для фишинга как услуги. Акторы используют эти сервисы для проведения масштабных кампаний имперсонации, в ходе которых крадут учетные данные, платежные данные и коды аутентификации у целей в нескольких странах.
-----

Microsoft выявила китайскоязычную киберпреступную экосистему, включающую маркетплейс YAM Store, отслеживаемый как Storm-3119, и три фишинговых набора — CoGUI/NX/FA, Haozi/Phoenix и Iron Man System, отслеживаемые совместно как Storm-2990. Эти наборы продаются в качестве продуктов Фишинг как услуга и предоставляют шаблоны для имитации правительственных, финансовых, медицинских, транспортных, логистических и розничных организаций. Microsoft с высокой степенью уверенности относит эту экосистему к акторам, говорящим на китайском языке, и зафиксировала нацеливание на организации и пользователей в Японии, Соединенных Штатах, Австралии и Индии.

Storm-3119 действует в качестве брокера доступа, приобретая, компрометируя и перепродавая ресурсы Microsoft 365, Azure for Education, Google и связанные облачные сервисы. Его инфраструктура использует автоматизированную разведку, инструменты на базе Flask и сеть Tor для идентификации облачных арендаторов, возможностей лицензирования и данных о регистрации. После захвата сред актор использует аутентификацию только на уровне приложения и украденные клиентские секреты для администрирования арендаторов, сброса паролей, назначения лицензий и предоставления привилегированного доступа. Он также разворачивает сервисный принципал PnP Management Shell и предоставляет широкие разрешения Microsoft Graph и SharePoint, что позволяет использовать SharePoint и OneDrive для массового размещения фишинговых материалов.

Актор поддерживает централизованную инфраструктуру на базе DNS и Cloudflare для управления доменами фишинга, SSL-сертификатами и маршрутизацией. Скомпрометированные учетные записи, лицензии, хранилища и домены перепродаются через автоматизированный интернет-магазин, при этом платежи принимаются в криптовалюте и через региональные платежные сервисы. Storm-3119 также создает фиктивные организации и веб-сайты, потенциально используя контент, сгенерированный с помощью ИИ, и поддельную документацию, для создания, казалось бы, легитимных облачных арендаторов.

Система Iron Man включает более 2335 локализованных шаблонов, охватывающих свыше 139 стран. К её возможностям относятся географическое зонирование (geofencing) на основе страны, поддельные задачи CAPTCHA, списки разрешённых и заблокированных IP-адресов, настройки для противодействия исследователям, а также уведомления жертв через Телеграм. Набор инструментов собирает имена пользователей, пароли, данные кредитных карт и коды подтверждения посредством коммуникаций по протоколу WebSocket и отправляет операторам обновления в режиме реального времени через Телеграм, что обеспечивает интерактивное управление жертвами в процессе сбора учетных записей.

Операторы нижнего уровня используют фишинговые приманки в электронной почте и SMS, основанные на теме срочности, вредоносные перенаправления, фишинг учетных данных, фишинг кодов устройств для получения токенов аутентификации, а также украденные платежные данные для совершения мошеннических покупок и финансовых транзакций. Панели в основном размещаются провайдерами, базирующимися в Китае, а наборы инструментов поддерживают проведение кампаний в больших масштабах, включающих имперсонацию платных дорожных сервисов, сервисов по штрафам за нарушения ПДД и других доверенных служб.

#ParsedReport #CompletenessHigh
12-10-2026

Auditing the auditor: Unmasking Apex Accelerator

https://www.elastic.co/security-labs/threat-command/apex-accelerator-malicious-npm-packages

Report completeness: High

Actors/Campaigns:
Apex_accelerator
Ref8801

Threats:
Apexacc_tool
Cloudsyncd
Supply_chain_technique
Apex_audit_tool
Cloudsync
Uac_bypass_technique
Uacme_tool
Shadow_copies_delete_technique

Victims:
Cryptocurrency start ups, Web3 founders

Geo:
Singapore, Russian

TTPs:
Tactics: 10
Technics: 0

IOCs:
Domain: 14
File: 34
Url: 16
Command: 2
Path: 1
Hash: 9

Soft:
macOS, Claude, Telegram, Slack, Twitter, └─ Embe, tempts, OS │ └─, , curl, have more...

Algorithms:
base64, zip, sha256, gzip, chacha20, chacha20-poly1305, fnv-1a, xor, aes-gcm, aes-256-cbc

Functions:
getifaddrs, main

Win API:
gethostname, IsUserAnAdmin, ShellExecuteW, EnumPageFilesW, ReadProcessMemory, WriteProcessMemory, AmsiOpenSession, EtwEventWrite, EtwEventWriteEx, EtwEventWriteFull, have more...

Win Services:
bits

Languages:
javascript, golang, python, rust, vbscript, powershell

Platforms:
cross-platform, x64, arm

Links:
https://github.com/can1357/oh-my-pi/blob/95acb042e7d70725a372b1034458145349c1d86f/docs/approval-mode.md?plain=1#L24
https://github.com/elastic/supply-chain-monitor
have more...
https://github.com/can1357/oh-my-pi

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие маскировали Web3-ускоритель под легитимный сервис для распространения вредоносных npm-пакетов, нацеленных на стартапы в сфере криптовалют. Пакеты обеспечивали удаленное выполнение команд, манипуляцию трафиком LLM/MCP и развертывание платформенно-специфичного ВПО: CloudSyncD на macOS и загрузчики, ведущие к ВПО для кражи информации на Windows. Вредоносное ПО собирало учетные данные, данные браузеров и кошельков, системную информацию, файлы и другие конфиденциальные данные перед их эксфильтрацией.
-----

Elastic Security Labs выявила кампанию, замаскированную под Web3-ускоритель, которая нацеливалась на стартапы в сфере криптовалют и их основателей с помощью вредоносных пакетов npm, репозиториев с бэкдорами, инструментов для программирования и услуг по аудиту безопасности. Основные пакеты, `@apexacc/cli` и `@apexacc/audit`, были вредоносными с момента публикации, а не были скомпрометированы после выпуска. Хотя `@apexacc/cli` переупаковывал легитимного агента для программирования Oh My Pi, в него был добавлен бутстрап, который получал команды, предоставленные злоумышленником, регистрировал MCP-сервер, контролируемый злоумышленником, и перенаправлял трафик LLM с меткой OpenRouter через инфраструктуру злоумышленника. Это создало потенциальный путь для того, чтобы сфальсифицированные ответы модели вызывали локальные инструменты. Пакет также загружал исполняемые файлы Bun, специфичные для платформы.

Оба пакета обращались к `vrf.apexaccs[.\]org/api/v1/vrf` для получения инструкций по выполнению. На Windows JavaScript-код извлекал команды, содержащие поля исполняемого файла, аргументов и команды, после чего запускал PowerShell через временные файлы VBScript с использованием `wscript.exe`. Пакет аудита также пытался повысить привилегии через UAC, исключить Defender и изменить параметры Smart App Control. На macOS бинарные файлы верификатора на Rust получали команды и загружали архив установщика, содержащий семейство ВПО CloudSyncD. Восемнадцать заявленных инструментов безопасности в пакете аудита генерировали результаты, основанные на жёстко заданных, рандомизированных, форматируемых на входе или производных от даты данных, а не проводили подлинный анализ; удалённый сервис оценки также возвращал неподдерживаемые оценки для вымышленных проектов.

Цепочка для macOS использовала CloudSyncD — универсальный Mach-O-платформенный модуль, который запрашивал пароль администратора пользователя, проверял его с помощью `dscl`, сохранял в `\~/.config/cloudsync/data.json` и выполнял встроенный полезный код с повышенными привилегиями. CloudSyncD собирал информацию об аппаратном обеспечении и операционной системе, идентифицировал хосты по IOPlatformUUID, шифровал данные алгоритмом ChaCha и взаимодействовал с C2-сервером по HTTPS. Он мог получать и выполнять сырые Mach-O-файлы или сжатые полезные нагрузки.

Цепочка для Windows загрузила PowerShell с дополнительной инфраструктуры, контролируемой злоумышленниками, и скачала загрузчики на базе PyInstaller. Эти загрузчики реализовали обход UAC, основанный на поведении объекта отладки AppInfo, выполнили проверки на виртуализацию и запустили загрузчик на Golang. Последний попытался обойти AMSI и ETW, расшифровал шеллкод и выполнил его в процессе. Итоговый стиллер собрал системные данные, содержимое буфера обмена, списки процессов, профили Wi-Fi, снимки экрана, файлы, учетные данные браузеров, файлы cookie, историю, данные кошельков и VPN, а также другую информацию о приложениях. Он использовал методы восстановления ключей браузеров и DPAPI, при необходимости обращался к базам данных через Volume Shadow Copy и выгружал архивы через Телеграм.

#ParsedReport #CompletenessLow
14-10-2026

Fake Calendly “Meta Careers” pages steal Facebook and Google logins

https://www.malwarebytes.com/blog/threat-intel/2026/10/fake-calendly-meta-careers-pages-steal-facebook-and-google-logins

Report completeness: Low

Victims:
Social media, Email services

Geo:
Vietnamese, Singapore

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1056.003, T1111, T1589

IOCs:
Domain: 12
IP: 0
Url: 0
Hash: 0
Email: 0
BrowserExtension: 0

Soft:
WhatsApp, Gmail

Functions:
Phone

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Фишинговая кампания использует поддельные страницы найма Meta Careers/Calendly для сбора учетных данных Facebook и Google, паролей, данных для восстановления доступа и кодов MFA. Поддельные запросы на вход и методы атаки «человек посередине» направляют данные жертв на серверы, контролируемые злоумышленниками, что потенциально позволяет захватить учетные записи и получить доступ к бизнес-аккаунтам, рекламным кампаниям, электронной почте и связанным учетным записям.
-----

Фишинговая кампания использует поддельные страницы «Meta Careers» в стиле Calendly для кражи учетных данных Facebook и Google у соискателей. Страницы имитируют процесс планирования собеседования и на начальном этапе запрашивают имя жертвы, адрес электронной почты, номер телефона и информацию, связанную с встречей. Поддельный CAPTCHA может использоваться для придания легитимности и потенциального затруднения автоматизированного сканирования средств безопасности до появления этапов кражи учетных данных.

Фишинговая схема встраивает поддельные интерфейсы входа в Facebook и Google в веб-страницу. Фальшивое окно Facebook содержит сфабрикованную адресную строку браузера, реалистичные сообщения об ошибках и запрос учетных данных Facebook, включая коды двухфакторной аутентификации, доставляемые через приложение-аутентификатор, SMS, WhatsApp или электронную почту. Страница также может запрашивать информацию для создания предполагаемого профессионального профиля. Затем утверждается, что Facebook требует верификации адреса Gmail пользователя, и демонстрируется аналогично обманчивая последовательность входа в Google. Жертвам может быть предложено предоставить пароль Google, подтвердить запрос на вход с телефона, ввести код из приложения-аутентификатора или SMS или раскрыть адрес электронной почты для восстановления доступа. Переданная информация отправляется на сервер сбора данных, контролируемый злоумышленником, что позволяет захватить учетную запись и потенциально обойти многофакторную аутентификацию с использованием техник «злоумышленник посередине» (adversary-in-the-middle).

По имеющимся данным, инфраструктура использует Amazon API Gateway в сингапурском регионе AWS (`ap-southeast-1`). Комментарии на вьетнамском языке в коде фишинга указывают на вероятное повторное использование фишингового комплекта. Скомпрометированные аккаунты Facebook представляют ценность, поскольку они могут обеспечить доступ к бизнес-страницам и рекламным аккаунтам, в то время как доступ к аккаунтам Google может раскрыть электронную почту и облегчить сброс паролей для других сервисов.

Пострадавшим следует рассматривать неожиданные ссылки на рекрутинг, а также запросы учетных данных для социальных сетей или кодов аутентификации как вредоносные. Необходимо независимо проверить рекрутера, осмотреть фактическую строку адреса в браузере и избегать одобрения несанкционированных запросов на вход в систему. Тем, кто предоставил учетные данные, следует сменить пароли с доверенного устройства, завершить другие сеансы, проверить настройки восстановления и правила пересылки, защитить связанные учетные записи и изучить активность в Facebook Business и рекламных аккаунтах.

#ParsedReport #CompletenessLow
14-10-2026

Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus

https://www.proofpoint.com/us/blog/threat-insight/disruption-targets-major-chinese-language-phishing-kits-japanese-focus

Report completeness: Low

Threats:
Cogui
Coacev_tool
Cofish_tool
Iron_man_tool

Victims:
Financial services, Healthcare, Government, Education, Manufacturing

Industry:
Government, Education, Retail, Transport, Healthcare, Financial

Geo:
America, Australia, Japanese, Japan, Italy, Chinese, United states

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1056.003, T1497, T1566.002, T1583.001, T1657

IOCs:
Url: 5

Soft:
Cloudflare

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Координированное воздействие было направлено на китайскоязычную фишинговую экосистему, стоящую за CoGUI, CoAceV и CoFish_Ws, которая использовала быстро ротирующиеся домены и имперсонацию брендов для кражи учетных данных и платежных данных, преимущественно из японских организаций. Эти наборы инструментов разделяли инфраструктуру, методы обхода и аффилированных лиц, при этом активность охватывала около 17 000 доменов и более одного миллиарда вредоносных сообщений с января 2026 года.
-----

Нарушение работы было направлено против китайскоязычной экосистемы киберкриминала, ответственной за массовые кампании фишинга с целью кражи учётных данных, в частности, в отношении японских организаций. Операция была сосредоточена на фишинговых комплектах CoGUI, CoAceV и CoFish_Ws, а также на поддерживающих услугах и инфраструктуре, связанных с YAM Store и Iron Man. Microsoft и Health-ISAC подали гражданский иск, в то время как партнёры содействовали изъятию или перенаправлению доменов, использовавшихся для функционирования фишинговых сервисов.

С высокой степенью уверенности установлено, что три набора инструментов имеют общее происхождение и пересекающихся аффилированных лиц. Они имитируют известные финансовые, розничные, технологические и логистические бренды, включая Amazon, PayPay, Apple, Rakuten, японские банки, провайдеров платежных карт, DHL и Yamato Transport. Их приманки нацелены на получение учетных данных для банковских счетов, платежных аккаунтов, данных кредитных карт, информации о розничных покупках и деталей, связанных с доставкой. Жертв направляют по URL-адресам на мошеннические порталы для входа или оплаты, иногда после прохождения CAPTCHA или других механизмов фильтрации, предназначенных для обхода автоматизированного анализа.

Proofpoint зафиксировала около 17 000 доменов, связанных с тремя наборами инструментов. Операторы часто меняют инфраструктуру: в период с 1 июля по 17 сентября 2026 года было обнаружено 3 788 полностью квалифицированных доменных имен, что свидетельствует о способности приобретать и управлять фишинговыми доменами в промышленных масштабах. Кампании в первую очередь затрагивали Японию, при этом зафиксирована дополнительная активность, направленная на Соединенные Штаты, Австралию и Италию. Наиболее пострадавшими отраслями стали финансовый сектор и здравоохранение, за которыми последовали государственные органы, образование и производственный сектор.

Киты также разделяют технические и операционные характеристики, включая структуру URL, страницы-приманки и паттерны целевого воздействия. В одном из примеров CoGUI перенаправлял неподходящие сессии просмотра на безвредные домены, такие как `www.a.com`, `www.b.com` или `www.c.com`, чтобы затруднить обнаружение в песочницах; вскоре после этого CoAceV применил ту же технику. По данным Microsoft, с января 2026 года более миллиарда вредоносных сообщений, направленных в адрес более 75 000 организаций, были отнесены к более широкой экосистеме. Ожидается, что нарушение создаст операционные затруднения и снизит эффективность этих фишинговых операций, направленных на захват учетных записей и кражу денежных средств.

#ParsedReport #CompletenessLow
14-10-2026

Beware of phishing emails disguised as purchase orders

https://asec.ahnlab.com/ko/95838/

Report completeness: Low

Threats:
Snake_keylogger

Victims:
Organisations

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1056.001, T1059.001, T1059.003, T1059.005, T1059.006, T1070.004, T1113, T1115, have more...

IOCs:
File: 6
Command: 1
Domain: 1
Email: 2
IP: 0
Url: 0
Hash: 0
BrowserExtension: 0

Soft:
Discord

Algorithms:
zip, rc4, chacha20, xor, base64, salsa20, md5

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники использовали фишинговые электронные письма с вредоносными вложениями в форматах DOCX/RTF для эксплуатации уязвимости в Microsoft Equation Editor и выполнения поэтапно загружаемых полезных нагрузок на VBScript, PowerShell и Python. Многослойное кодирование, шифрование и загрузка в оперативную память в конечном итоге привели к развертыванию трояна Snake Keylogger, который обеспечивал постоянство присутствия через ключ Run в реестре и похищал учетные данные, нажатия клавиш, снимки экрана, данные из буфера обмена и другую конфиденциальную информацию.
-----

Злоумышленники распространяли фишинговые электронные письма, замаскированные под запросы на подтверждение заказа. Сообщения побуждали получателей открыть вложенный документ DOCX и ответить с требуемыми материалами. В DOCX был встроен вредоносный файл RTF с именем `niza.rtf`, который загружался через элемент `altChunk` формата WordprocessingML. RTF-файл содержал вредоносный файл VBScript `832734.vbs` и объект Equation.3, эксплуатировавший уязвимость в Microsoft Equation Editor. В результате `cmd.exe` выполнял команду `cscript %TMP% 832734.vbs`.

Сгенерированный VBScript создал данные в кодировке Base64 в файле `%APPDATA%\Tempor.zip` и запустил PowerShell в скрытом режиме. Несмотря на то что файл имел расширение ZIP, изначально он не был в формате ZIP. PowerShell декодировал его содержимое и записал полученные данные в ZIP-файл со случайным именем в каталоге `%TEMP%`. Если каталог `%USERPROFILE%\AppData\Roaming\Templates\python312x86` уже существовал, скрипт удалял и повторно создавал его, извлекал содержимое ZIP-архива в этот каталог, удалял временный архив и использовал встроенный `pythonw.exe` для выполнения `Protected.py`.

`Protected.py` декодировал `Excepteur.Dal` и расшифровывал полученный контент с использованием Salsa20, ChaCha20, RC4 и XOR. Расшифрованный полезный груз содержал загрузчик PE и шеллкод. Загрузчик отображался в память, получал адрес шеллкода и запускался. В конечном итоге шеллкод запускал стиллер Snake Keylogger.

Snake Keylogger обеспечил закрепление (Persistence) с помощью ключа Run в реестре и собирал нажатия клавиш, содержимое буфера обмена, скриншоты, пароли Wi-Fi, учетные данные (Credentials) браузера, информацию об учетных записях эл. почты (Email Account), учетные данные (Credentials) FileZilla, токены Discord, публичные IP-адреса и данные о местоположении. Таким образом, цепочка заражения включала использование вооруженного документа, эксплуатацию Equation Editor, поэтапное выполнение скриптов и PowerShell, многоуровневое кодирование и шифрование, загрузку в оперативную память, а также кражу учетных данных (Credentials) и информации.

#ParsedReport #CompletenessMedium
14-10-2026

Iron Man & YamStore: Powering a Global Phishing-as-a-Service Ecosystem

https://www.resecurity.com/blog/article/iron-man-yamstore-powering-a-global-phishing-as-a-service-ecosystem

Report completeness: Medium

Threats:
Iron_man_tool
Yamstore_tool
Smishing_technique

Victims:
Postal and courier services, Toll and traffic fine authorities, Tax agencies, Banks, Telecommunications providers, Loyalty programmes, Retailers, Healthcare providers, Transportation authorities, Police departments, have more...

Industry:
Financial, Telco, Retail, Healthcare, Transport, Government

Geo:
Japanese, Chinese

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1056.003, T1566

IOCs:
Domain: 14
Email: 8
File: 1
IP: 2

Soft:
chrome, Gmail, ProtonMail, MariaDB, docker

Algorithms:
exhibit

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Iron Man System — это коммерческая, самостоятельно размещаемая платформа фишинга как услуга, связанная с инфраструктурой поставщика для лицензирования, телеметрии, развертывания и распространения. Платформа предлагает настраиваемые фишинговые сайты, имитирующие 130 целевых областей, с 2360 пакетами, в основном сосредоточенными на приманках, связанных с курьерскими службами, почтой, налоговыми органами и банками. Обнаруженные данные о сборке и учетных записях дополнительно раскрыли операционную экосистему и масштаб платформы.
-----

Компания Resecurity идентифицировала Iron Man System как коммерческую платформу фишинга как услуга, продаваемую в виде пакета для самостоятельного развертывания. Набор включает административную панель для развертывания и управления фишинговыми фронтендами, имитирующими почтовые и курьерские службы, налоговые органы, банки, телекоммуникационных операторов, розничных продавцов, медицинские организации, транспортные ведомства, полицейские управления и программы лояльности. Платформа поддерживает интерфейсы на китайском и английском языках, валидацию лицензий, конфигурацию фронтендов и скрытые административные пути.

В ходе расследования была подтверждена связь комплекта с инфраструктурой, управляемой поставщиком, посредством приобретённой лицензии, изолированного развертывания в лабораторной среде и фильтрации перехвата исходящего сетевого трафика. Вспомогательная инфраструктура включала домены и сервисы, используемые для лицензирования, телеметрии, объектного хранилища, подготовки развертывания и дистрибуции программного обеспечения. Публично доступный реестр сборок и инфраструктура контейнеров выявили 911 исторических сборок и каталог без аутентификации, содержащий восемь учетных записей операторов. Данные учетных записей включали адреса электронной почты на китайских, Gmail и ProtonMail доменах, при этом одна административная учетная запись использовала домен, связанный с собственной инфраструктурой оператора.

В состав комплекта также входит выделенная подсистема каталога товаров для удаленного доступа. Её бэкенд на Go содержит контроллеры и маршруты API для импорта национальных каталогов товаров, отображения товаров жертвам и загрузки изображений товаров на медиа-бэкенд. Встроенные строки журналирования указывают на то, что загрузка метаданных изображений и каталогов отслеживается, повторяется после сбоев и рассматривается как операционный компонент, а не неиспользуемый код.

Связанный каталог шаблонов содержал 2 360 фишинговых пакетов, охватывающих 130 целевых областей, 242 кода страны или региона и 551 тег типа приманки. Имперсонация служб доставки и почтовых операторов составляла крупнейшую категорию, за которой следовали темы налоговых органов и банков, что указывает на широкое использование массового фишинга и смишинга. Метаданные были доступны для 1 566 записей, что соответствует примерно 17,4 ГБ упакованного контента приманок. Инфраструктура использовала повторяющиеся паттерны хостинга и DNS для функций лицензирования, телеметрии, хранения данных и сборки, при этом фронтенд-инфраструктура периодически ротировалась. Оценка основывалась на контролируемом лабораторном анализе, публичной экспозиции реестров, сетевых наблюдениях и метаданных каталога; процедуры установки, учетные данные и детали оперативного развертывания были скрыты.

#ParsedReport #CompletenessMedium
13-10-2026

Clean Install, Stolen Creds: Fake WatchGuard VPN Site Serves Genuine Signed Client

https://www.huntress.com/blog/fake-watchguard-vpn-credential-phishing

Report completeness: Medium

Threats:
Seo_poisoning_technique
Credential_harvesting_technique

Victims:
Managed service providers, Watchguard vpn users

Geo:
Netherlands

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1041, T1056, T1056.003, T1078, T1133, T1204.001, T1574.002, T1583.001, T1608.006, have more...

IOCs:
Domain: 4
Url: 3
File: 2
IP: 3
Hash: 0
Email: 0
BrowserExtension: 0

Soft:
SonicWall, Microsoft 365

Algorithms:
sha256

Languages:
javascript