#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие маскировали Web3-ускоритель под легитимный сервис для распространения вредоносных npm-пакетов, нацеленных на стартапы в сфере криптовалют. Пакеты обеспечивали удаленное выполнение команд, манипуляцию трафиком LLM/MCP и развертывание платформенно-специфичного ВПО: CloudSyncD на macOS и загрузчики, ведущие к ВПО для кражи информации на Windows. Вредоносное ПО собирало учетные данные, данные браузеров и кошельков, системную информацию, файлы и другие конфиденциальные данные перед их эксфильтрацией.
-----

Elastic Security Labs выявила кампанию, замаскированную под Web3-ускоритель, которая нацеливалась на стартапы в сфере криптовалют и их основателей с помощью вредоносных пакетов npm, репозиториев с бэкдорами, инструментов для программирования и услуг по аудиту безопасности. Основные пакеты, `@apexacc/cli` и `@apexacc/audit`, были вредоносными с момента публикации, а не были скомпрометированы после выпуска. Хотя `@apexacc/cli` переупаковывал легитимного агента для программирования Oh My Pi, в него был добавлен бутстрап, который получал команды, предоставленные злоумышленником, регистрировал MCP-сервер, контролируемый злоумышленником, и перенаправлял трафик LLM с меткой OpenRouter через инфраструктуру злоумышленника. Это создало потенциальный путь для того, чтобы сфальсифицированные ответы модели вызывали локальные инструменты. Пакет также загружал исполняемые файлы Bun, специфичные для платформы.

Оба пакета обращались к `vrf.apexaccs[.\]org/api/v1/vrf` для получения инструкций по выполнению. На Windows JavaScript-код извлекал команды, содержащие поля исполняемого файла, аргументов и команды, после чего запускал PowerShell через временные файлы VBScript с использованием `wscript.exe`. Пакет аудита также пытался повысить привилегии через UAC, исключить Defender и изменить параметры Smart App Control. На macOS бинарные файлы верификатора на Rust получали команды и загружали архив установщика, содержащий семейство ВПО CloudSyncD. Восемнадцать заявленных инструментов безопасности в пакете аудита генерировали результаты, основанные на жёстко заданных, рандомизированных, форматируемых на входе или производных от даты данных, а не проводили подлинный анализ; удалённый сервис оценки также возвращал неподдерживаемые оценки для вымышленных проектов.

Цепочка для macOS использовала CloudSyncD — универсальный Mach-O-платформенный модуль, который запрашивал пароль администратора пользователя, проверял его с помощью `dscl`, сохранял в `\~/.config/cloudsync/data.json` и выполнял встроенный полезный код с повышенными привилегиями. CloudSyncD собирал информацию об аппаратном обеспечении и операционной системе, идентифицировал хосты по IOPlatformUUID, шифровал данные алгоритмом ChaCha и взаимодействовал с C2-сервером по HTTPS. Он мог получать и выполнять сырые Mach-O-файлы или сжатые полезные нагрузки.

Цепочка для Windows загрузила PowerShell с дополнительной инфраструктуры, контролируемой злоумышленниками, и скачала загрузчики на базе PyInstaller. Эти загрузчики реализовали обход UAC, основанный на поведении объекта отладки AppInfo, выполнили проверки на виртуализацию и запустили загрузчик на Golang. Последний попытался обойти AMSI и ETW, расшифровал шеллкод и выполнил его в процессе. Итоговый стиллер собрал системные данные, содержимое буфера обмена, списки процессов, профили Wi-Fi, снимки экрана, файлы, учетные данные браузеров, файлы cookie, историю, данные кошельков и VPN, а также другую информацию о приложениях. Он использовал методы восстановления ключей браузеров и DPAPI, при необходимости обращался к базам данных через Volume Shadow Copy и выгружал архивы через Телеграм.

#ParsedReport #CompletenessLow
14-10-2026

Fake Calendly “Meta Careers” pages steal Facebook and Google logins

https://www.malwarebytes.com/blog/threat-intel/2026/10/fake-calendly-meta-careers-pages-steal-facebook-and-google-logins

Report completeness: Low

Victims:
Social media, Email services

Geo:
Vietnamese, Singapore

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1056.003, T1111, T1589

IOCs:
Domain: 12
IP: 0
Url: 0
Hash: 0
Email: 0
BrowserExtension: 0

Soft:
WhatsApp, Gmail

Functions:
Phone

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Фишинговая кампания использует поддельные страницы найма Meta Careers/Calendly для сбора учетных данных Facebook и Google, паролей, данных для восстановления доступа и кодов MFA. Поддельные запросы на вход и методы атаки «человек посередине» направляют данные жертв на серверы, контролируемые злоумышленниками, что потенциально позволяет захватить учетные записи и получить доступ к бизнес-аккаунтам, рекламным кампаниям, электронной почте и связанным учетным записям.
-----

Фишинговая кампания использует поддельные страницы «Meta Careers» в стиле Calendly для кражи учетных данных Facebook и Google у соискателей. Страницы имитируют процесс планирования собеседования и на начальном этапе запрашивают имя жертвы, адрес электронной почты, номер телефона и информацию, связанную с встречей. Поддельный CAPTCHA может использоваться для придания легитимности и потенциального затруднения автоматизированного сканирования средств безопасности до появления этапов кражи учетных данных.

Фишинговая схема встраивает поддельные интерфейсы входа в Facebook и Google в веб-страницу. Фальшивое окно Facebook содержит сфабрикованную адресную строку браузера, реалистичные сообщения об ошибках и запрос учетных данных Facebook, включая коды двухфакторной аутентификации, доставляемые через приложение-аутентификатор, SMS, WhatsApp или электронную почту. Страница также может запрашивать информацию для создания предполагаемого профессионального профиля. Затем утверждается, что Facebook требует верификации адреса Gmail пользователя, и демонстрируется аналогично обманчивая последовательность входа в Google. Жертвам может быть предложено предоставить пароль Google, подтвердить запрос на вход с телефона, ввести код из приложения-аутентификатора или SMS или раскрыть адрес электронной почты для восстановления доступа. Переданная информация отправляется на сервер сбора данных, контролируемый злоумышленником, что позволяет захватить учетную запись и потенциально обойти многофакторную аутентификацию с использованием техник «злоумышленник посередине» (adversary-in-the-middle).

По имеющимся данным, инфраструктура использует Amazon API Gateway в сингапурском регионе AWS (`ap-southeast-1`). Комментарии на вьетнамском языке в коде фишинга указывают на вероятное повторное использование фишингового комплекта. Скомпрометированные аккаунты Facebook представляют ценность, поскольку они могут обеспечить доступ к бизнес-страницам и рекламным аккаунтам, в то время как доступ к аккаунтам Google может раскрыть электронную почту и облегчить сброс паролей для других сервисов.

Пострадавшим следует рассматривать неожиданные ссылки на рекрутинг, а также запросы учетных данных для социальных сетей или кодов аутентификации как вредоносные. Необходимо независимо проверить рекрутера, осмотреть фактическую строку адреса в браузере и избегать одобрения несанкционированных запросов на вход в систему. Тем, кто предоставил учетные данные, следует сменить пароли с доверенного устройства, завершить другие сеансы, проверить настройки восстановления и правила пересылки, защитить связанные учетные записи и изучить активность в Facebook Business и рекламных аккаунтах.

#ParsedReport #CompletenessLow
14-10-2026

Disruption Targets Major Chinese-Language Phishing Kits with Japanese Focus

https://www.proofpoint.com/us/blog/threat-insight/disruption-targets-major-chinese-language-phishing-kits-japanese-focus

Report completeness: Low

Threats:
Cogui
Coacev_tool
Cofish_tool
Iron_man_tool

Victims:
Financial services, Healthcare, Government, Education, Manufacturing

Industry:
Government, Education, Retail, Transport, Healthcare, Financial

Geo:
America, Australia, Japanese, Japan, Italy, Chinese, United states

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1056.003, T1497, T1566.002, T1583.001, T1657

IOCs:
Url: 5

Soft:
Cloudflare

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Координированное воздействие было направлено на китайскоязычную фишинговую экосистему, стоящую за CoGUI, CoAceV и CoFish_Ws, которая использовала быстро ротирующиеся домены и имперсонацию брендов для кражи учетных данных и платежных данных, преимущественно из японских организаций. Эти наборы инструментов разделяли инфраструктуру, методы обхода и аффилированных лиц, при этом активность охватывала около 17 000 доменов и более одного миллиарда вредоносных сообщений с января 2026 года.
-----

Нарушение работы было направлено против китайскоязычной экосистемы киберкриминала, ответственной за массовые кампании фишинга с целью кражи учётных данных, в частности, в отношении японских организаций. Операция была сосредоточена на фишинговых комплектах CoGUI, CoAceV и CoFish_Ws, а также на поддерживающих услугах и инфраструктуре, связанных с YAM Store и Iron Man. Microsoft и Health-ISAC подали гражданский иск, в то время как партнёры содействовали изъятию или перенаправлению доменов, использовавшихся для функционирования фишинговых сервисов.

С высокой степенью уверенности установлено, что три набора инструментов имеют общее происхождение и пересекающихся аффилированных лиц. Они имитируют известные финансовые, розничные, технологические и логистические бренды, включая Amazon, PayPay, Apple, Rakuten, японские банки, провайдеров платежных карт, DHL и Yamato Transport. Их приманки нацелены на получение учетных данных для банковских счетов, платежных аккаунтов, данных кредитных карт, информации о розничных покупках и деталей, связанных с доставкой. Жертв направляют по URL-адресам на мошеннические порталы для входа или оплаты, иногда после прохождения CAPTCHA или других механизмов фильтрации, предназначенных для обхода автоматизированного анализа.

Proofpoint зафиксировала около 17 000 доменов, связанных с тремя наборами инструментов. Операторы часто меняют инфраструктуру: в период с 1 июля по 17 сентября 2026 года было обнаружено 3 788 полностью квалифицированных доменных имен, что свидетельствует о способности приобретать и управлять фишинговыми доменами в промышленных масштабах. Кампании в первую очередь затрагивали Японию, при этом зафиксирована дополнительная активность, направленная на Соединенные Штаты, Австралию и Италию. Наиболее пострадавшими отраслями стали финансовый сектор и здравоохранение, за которыми последовали государственные органы, образование и производственный сектор.

Киты также разделяют технические и операционные характеристики, включая структуру URL, страницы-приманки и паттерны целевого воздействия. В одном из примеров CoGUI перенаправлял неподходящие сессии просмотра на безвредные домены, такие как `www.a.com`, `www.b.com` или `www.c.com`, чтобы затруднить обнаружение в песочницах; вскоре после этого CoAceV применил ту же технику. По данным Microsoft, с января 2026 года более миллиарда вредоносных сообщений, направленных в адрес более 75 000 организаций, были отнесены к более широкой экосистеме. Ожидается, что нарушение создаст операционные затруднения и снизит эффективность этих фишинговых операций, направленных на захват учетных записей и кражу денежных средств.

#ParsedReport #CompletenessLow
14-10-2026

Beware of phishing emails disguised as purchase orders

https://asec.ahnlab.com/ko/95838/

Report completeness: Low

Threats:
Snake_keylogger

Victims:
Organisations

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1056.001, T1059.001, T1059.003, T1059.005, T1059.006, T1070.004, T1113, T1115, have more...

IOCs:
File: 6
Command: 1
Domain: 1
Email: 2
IP: 0
Url: 0
Hash: 0
BrowserExtension: 0

Soft:
Discord

Algorithms:
zip, rc4, chacha20, xor, base64, salsa20, md5

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники использовали фишинговые электронные письма с вредоносными вложениями в форматах DOCX/RTF для эксплуатации уязвимости в Microsoft Equation Editor и выполнения поэтапно загружаемых полезных нагрузок на VBScript, PowerShell и Python. Многослойное кодирование, шифрование и загрузка в оперативную память в конечном итоге привели к развертыванию трояна Snake Keylogger, который обеспечивал постоянство присутствия через ключ Run в реестре и похищал учетные данные, нажатия клавиш, снимки экрана, данные из буфера обмена и другую конфиденциальную информацию.
-----

Злоумышленники распространяли фишинговые электронные письма, замаскированные под запросы на подтверждение заказа. Сообщения побуждали получателей открыть вложенный документ DOCX и ответить с требуемыми материалами. В DOCX был встроен вредоносный файл RTF с именем `niza.rtf`, который загружался через элемент `altChunk` формата WordprocessingML. RTF-файл содержал вредоносный файл VBScript `832734.vbs` и объект Equation.3, эксплуатировавший уязвимость в Microsoft Equation Editor. В результате `cmd.exe` выполнял команду `cscript %TMP% 832734.vbs`.

Сгенерированный VBScript создал данные в кодировке Base64 в файле `%APPDATA%\Tempor.zip` и запустил PowerShell в скрытом режиме. Несмотря на то что файл имел расширение ZIP, изначально он не был в формате ZIP. PowerShell декодировал его содержимое и записал полученные данные в ZIP-файл со случайным именем в каталоге `%TEMP%`. Если каталог `%USERPROFILE%\AppData\Roaming\Templates\python312x86` уже существовал, скрипт удалял и повторно создавал его, извлекал содержимое ZIP-архива в этот каталог, удалял временный архив и использовал встроенный `pythonw.exe` для выполнения `Protected.py`.

`Protected.py` декодировал `Excepteur.Dal` и расшифровывал полученный контент с использованием Salsa20, ChaCha20, RC4 и XOR. Расшифрованный полезный груз содержал загрузчик PE и шеллкод. Загрузчик отображался в память, получал адрес шеллкода и запускался. В конечном итоге шеллкод запускал стиллер Snake Keylogger.

Snake Keylogger обеспечил закрепление (Persistence) с помощью ключа Run в реестре и собирал нажатия клавиш, содержимое буфера обмена, скриншоты, пароли Wi-Fi, учетные данные (Credentials) браузера, информацию об учетных записях эл. почты (Email Account), учетные данные (Credentials) FileZilla, токены Discord, публичные IP-адреса и данные о местоположении. Таким образом, цепочка заражения включала использование вооруженного документа, эксплуатацию Equation Editor, поэтапное выполнение скриптов и PowerShell, многоуровневое кодирование и шифрование, загрузку в оперативную память, а также кражу учетных данных (Credentials) и информации.

#ParsedReport #CompletenessMedium
14-10-2026

Iron Man & YamStore: Powering a Global Phishing-as-a-Service Ecosystem

https://www.resecurity.com/blog/article/iron-man-yamstore-powering-a-global-phishing-as-a-service-ecosystem

Report completeness: Medium

Threats:
Iron_man_tool
Yamstore_tool
Smishing_technique

Victims:
Postal and courier services, Toll and traffic fine authorities, Tax agencies, Banks, Telecommunications providers, Loyalty programmes, Retailers, Healthcare providers, Transportation authorities, Police departments, have more...

Industry:
Financial, Telco, Retail, Healthcare, Transport, Government

Geo:
Japanese, Chinese

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1056.003, T1566

IOCs:
Domain: 14
Email: 8
File: 1
IP: 2

Soft:
chrome, Gmail, ProtonMail, MariaDB, docker

Algorithms:
exhibit

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Iron Man System — это коммерческая, самостоятельно размещаемая платформа фишинга как услуга, связанная с инфраструктурой поставщика для лицензирования, телеметрии, развертывания и распространения. Платформа предлагает настраиваемые фишинговые сайты, имитирующие 130 целевых областей, с 2360 пакетами, в основном сосредоточенными на приманках, связанных с курьерскими службами, почтой, налоговыми органами и банками. Обнаруженные данные о сборке и учетных записях дополнительно раскрыли операционную экосистему и масштаб платформы.
-----

Компания Resecurity идентифицировала Iron Man System как коммерческую платформу фишинга как услуга, продаваемую в виде пакета для самостоятельного развертывания. Набор включает административную панель для развертывания и управления фишинговыми фронтендами, имитирующими почтовые и курьерские службы, налоговые органы, банки, телекоммуникационных операторов, розничных продавцов, медицинские организации, транспортные ведомства, полицейские управления и программы лояльности. Платформа поддерживает интерфейсы на китайском и английском языках, валидацию лицензий, конфигурацию фронтендов и скрытые административные пути.

В ходе расследования была подтверждена связь комплекта с инфраструктурой, управляемой поставщиком, посредством приобретённой лицензии, изолированного развертывания в лабораторной среде и фильтрации перехвата исходящего сетевого трафика. Вспомогательная инфраструктура включала домены и сервисы, используемые для лицензирования, телеметрии, объектного хранилища, подготовки развертывания и дистрибуции программного обеспечения. Публично доступный реестр сборок и инфраструктура контейнеров выявили 911 исторических сборок и каталог без аутентификации, содержащий восемь учетных записей операторов. Данные учетных записей включали адреса электронной почты на китайских, Gmail и ProtonMail доменах, при этом одна административная учетная запись использовала домен, связанный с собственной инфраструктурой оператора.

В состав комплекта также входит выделенная подсистема каталога товаров для удаленного доступа. Её бэкенд на Go содержит контроллеры и маршруты API для импорта национальных каталогов товаров, отображения товаров жертвам и загрузки изображений товаров на медиа-бэкенд. Встроенные строки журналирования указывают на то, что загрузка метаданных изображений и каталогов отслеживается, повторяется после сбоев и рассматривается как операционный компонент, а не неиспользуемый код.

Связанный каталог шаблонов содержал 2 360 фишинговых пакетов, охватывающих 130 целевых областей, 242 кода страны или региона и 551 тег типа приманки. Имперсонация служб доставки и почтовых операторов составляла крупнейшую категорию, за которой следовали темы налоговых органов и банков, что указывает на широкое использование массового фишинга и смишинга. Метаданные были доступны для 1 566 записей, что соответствует примерно 17,4 ГБ упакованного контента приманок. Инфраструктура использовала повторяющиеся паттерны хостинга и DNS для функций лицензирования, телеметрии, хранения данных и сборки, при этом фронтенд-инфраструктура периодически ротировалась. Оценка основывалась на контролируемом лабораторном анализе, публичной экспозиции реестров, сетевых наблюдениях и метаданных каталога; процедуры установки, учетные данные и детали оперативного развертывания были скрыты.

#ParsedReport #CompletenessMedium
13-10-2026

Clean Install, Stolen Creds: Fake WatchGuard VPN Site Serves Genuine Signed Client

https://www.huntress.com/blog/fake-watchguard-vpn-credential-phishing

Report completeness: Medium

Threats:
Seo_poisoning_technique
Credential_harvesting_technique

Victims:
Managed service providers, Watchguard vpn users

Geo:
Netherlands

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1041, T1056, T1056.003, T1078, T1133, T1204.001, T1574.002, T1583.001, T1608.006, have more...

IOCs:
Domain: 4
Url: 3
File: 2
IP: 3
Hash: 0
Email: 0
BrowserExtension: 0

Soft:
SonicWall, Microsoft 365

Algorithms:
sha256

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В октябре 2026 года злоумышленники использовали домен-двойник `watchguard-vpn[.\]net` и отравление поисковой оптимизации (SEO) для имитации страницы загрузки VPN WatchGuard. Скрипт JavaScript собирал адреса VPN-серверов, имена пользователей и пароли, отправляя их на `watchguard-ssl[.\]online`, при этом доставляя легитимный подписанный установщик WatchGuard для уклонения от обнаружения.
-----

В начале октября 2026 года была проведена кампания фишинга с целью кражи учётных данных, в ходе которой использовался домен-двойник `watchguard-vpn[.\]net` для имитации сайта загрузки Mobile VPN с поддержкой SSL от WatchGuard. Домен продвигался через результаты поиска, вероятно, с применением отравления поисковой оптимизации (SEO). Жертва попала на сайт после поиска в Bing загрузки VPN WatchGuard и была перенаправлена на страницу, предлагающую загрузку для нескольких операционных систем.

Нажатие на вариант загрузки открывало всплывающее окно браузера, реализованное примерно в 150 строках нескриптованного JavaScript. В запросе требовались адрес VPN-сервера, имя пользователя и пароль — значения, напоминающие информацию, запрашиваемую легитимным VPN-клиентом. Скрипт отправлял введённые данные в формате JSON на отдельный домен сбора `watchguard-ssl[.\]online`. Он намеренно отклонял первую отправку, очищал поля и запрашивал информацию повторно, что потенциально позволяло получать несколько вариантов пароля или побуждало жертв исправлять якобы ошибочно введённый пароль.

После второй отправки на сайте отобразилось сообщение об успешной установке, и установщик подлинного WatchGuard Mobile VPN with SSL был загружен непосредственно с CDN WatchGuard. Наблюдаемый установщик был версии 12.11.5 и содержал действующую подпись WatchGuard Authenticode, при этом его целостность соответствовала подписанному дайджесту SHA-256. Следовательно, для проведения атаки не требовался модифицированный установщик, вредоносная DLL или иное ВПО, которые средства защиты конечных точек могли бы легко обнаружить. Жертвы получали ожидаемое программное обеспечение, в то время как их учетные данные VPN передавались злоумышленнику.

Домен ранее был связан с активностью по имперсонации WatchGuard и был повторно зарегистрирован 22 августа 2026 года. В ходе наблюдаемой кампании он резолвился на `80.249.132[.\]140` на инфраструктуре LeaseWeb. Домен сборщика был зарегистрирован 14 сентября. Специалисты по безопасности должны считать учетные данные, введённые на фишинговом сайте, скомпрометированными, сбросить затронутые пароли, внедрить MFA, отслеживать входы в VPN из незнакомых сетей или хостинг-провайдеров, а также блокировать идентифицированные домены и инфраструктуру.