#ParsedReport #CompletenessMedium
20-10-2026

Forged Commits Push a preinstall Dropper into hugo-paper and mevn-cli

https://safedep.io/hugo-paper-mevn-cli-forged-commit-preinstall-dropper

Report completeness: Medium

Actors/Campaigns:
Forcememo

Threats:
Glassworm
Supply_chain_technique

Victims:
Hugo paper, Mevn cli

ChatGPT TTPs:
do not use without manual check
T1036, T1059.001, T1059.003, T1059.004, T1059.007, T1071.001, T1078, T1082, T1105, T1195.002, have more...

IOCs:
Domain: 1
File: 3
Url: 2
Command: 2
Hash: 2

Soft:
curl, linux, macOS, Travis

Crypto:
solana

Algorithms:
sha256

Languages:
javascript, powershell

Links:
https://github.com/nanxiaobei/hugo-paper
have more...
https://github.com/nanxiaobei/hugo-paper/blob/a68d2c9b2ad9d857b09dcb30a578ac1de6487061/scripts/preinstall.js
https://github.com/madlabsinc/mevn-cli

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники скомпрометировали репозитории GitHub `hugo-paper` и `mevn-cli`, манипулируя историей Git и добавляя вредоносные хуки npm `preinstall`. При установке зависимостей загружаются и исполняются внешние платформенно-специфичные полезныe нагрузки с домена `buildwithknexus[.\]xyz`, что потенциально приводит к компрометации затронутых систем.
-----

Атакующие скомпрометировали репозитории GitHub `hugo-paper` и `mevn-cli`, внедрив вредоносные скрипты `preinstall` в поддельные или добавленные коммиты. Выполнение команд `npm install` или `bun install` в любом из этих репозиториев запускает хук, который загружает и выполняет полезную нагрузку второго этапа с адреса `https://buildwithknexus[.\]xyz`. Поскольку полезная нагрузка размещена на внешнем хостинге, а не включена в пакет npm, сканеры реестров пакетов могут не обнаружить её.

Загрузчик использует Node.js `child_process.execSync` для выполнения платформозависимых команд с подавлением вывода в терминал. На Windows он незаметно скачивает `check_w` с помощью `curl.exe -k -s` в `%TEMP%\check.cmd`, а затем запускает его через `cmd`. На macOS и Linux он скачивает `check_m` в `/tmp/check` и запускает его через `bash` с использованием `nohup`, что позволяет завершить установку, пока вторая стадия продолжает работу в фоновом режиме. Опция `-k` отключает проверку сертификатов TLS, а `-s` подавляет вывод curl. Сервер может изменять полезную нагрузку второй стадии в любой момент, и её поведение не было подтверждено. Любая система, на которой был выполнен хук, должна рассматриваться как скомпрометированная.

`mevn-cli` получил две версии загрузчика. Первая, связанная с SHA-256 `c7b8b06d…5e575f79e`, пыталась запустить скрытый процесс PowerShell и, вероятно, содержала ошибку экранирования JavaScript, влияющую на путь в Windows. Исправленная версия, SHA-256 `61412c99…14f9eaf100`, использует `curl.exe` и `cmd /c`; `hugo-paper` получил именно эту версию.

Изменения в репозитории указывают на манипуляции с историей Git с использованием скомпрометированных учетных данных сопровождающих. Поддельный коммит `hugo-paper` сохранил исходное сообщение, аватар и дату, но утратил значок Verified и имел одного родителя вместо двух. В `mevn-cli` вредоносные коммиты были добавлены в ветки `develop` и `master` с повторным использованием легитимных метаданных. Активность оценивается как отдельная от GlassWorm и ForceMemo, поскольку в ней используется curl в открытом виде, фиксированный домен и отсутствуют общие индикаторы компрометации. Использование проектов исключительно в качестве модулей Hugo или подмодулей Git не приводит к выполнению JavaScript-хука.

#ParsedReport #CompletenessHigh
19-10-2026

Slaiclind: analyzing a campaign combining ClickFix and EtherHiding

https://www.stormshield.com/news/cti-payload-slaiclind-campaign/

Report completeness: High

Actors/Campaigns:
Slaiclind

Threats:
Clickfix_technique
Etherhiding_technique
Process_ghosting_technique

Victims:
Wordpress websites, Cryptocurrency ecosystem websites, Blockchain ecosystem websites

Industry:
Financial

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1055, T1059.001, T1059.007, T1070.004, T1071.001, T1082, T1095, T1102.001, have more...

IOCs:
File: 35
Coin: 2
Url: 2
Hash: 2
IP: 2
Domain: 18

Soft:
WordPress, Cloudflare

Algorithms:
md5

Functions:
or, owner, getPayload, setPayload, ld, setEnabled, init, GetConsoleWindow

Win API:
Polygon, ShowWindow, SetForegroundWindow, GetForegroundWindow, CreateEnvironmentBlock, GetCurrentProcess, GetWindowThreadProcessId, GetShellWindow, NtSetInformationFile, WriteFile, have more...

Languages:
powershell, javascript, solidity, typescript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания Slaiclind компрометирует сайты WordPress и другие веб-сайты с использованием EtherHiding, загружая JavaScript из смарт-контрактов Polygon. Скрипт отображает поддельный CAPTCHA Cloudflare и использует ClickFix, чтобы заставить жертв выполнить PowerShell, который устанавливает Deno и загружает ВПО. Загрузчик использует Process Ghosting и внедряет шеллкод в `explorer.exe`, взаимодействуя с `195.63.139.180` по незашифрованному TCP/443.
-----

Кампания Slaiclind сочетает в себе техники EtherHiding и ClickFix для компрометации веб-сайтов и обмана пользователей с целью выполнения вредоносных команд PowerShell. Исследователи выявили более 70 000 скомпрометированных веб-сайтов, связанных с активностью EtherHiding, из которых около 95 % не имеют отношения к темам блокчейна или криптовалют, что указывает на вероятную компрометацию. Кампания в основном нацелена на сайты на платформе WordPress и подавляет выполнение вредоносного кода, когда видна административная панель WordPress, что снижает вероятность обнаружения владельцами сайтов.

Внедренный JavaScript устанавливает соединение со смарт-контрактом Polygon по адресу `0xB29927B7D854B232D5E58CFC201866376E68C676` и вызывает функцию `getPayload`. Возвращаемые данные содержат поле `enabled` и список URL-адресов для управления. Если функция включена, скрипт случайным образом выбирает один из URL, добавляет к нему конечную точку JavaScript и внедряет полученный контент в браузер жертвы. Злоумышленники могут активировать или деактивировать кампанию с помощью функции `setEnabled` контракта, используя блокчейн в качестве хранилища полезной нагрузки и механизма аварийного отключения. Второй контракт, `0xB2A4EA7055B7E2A6B2D96502F0FF85024E72987B`, содержит идентичный код на Solidity, однако его использование на скомпрометированных сайтах не наблюдалось.

Полученный скрипт отображает локализованную поддельную страницу CAPTCHA от Cloudflare, представляющую собой приманку ClickFix, предназначенную для убеждения пользователей скопировать и выполнить команду. Данная команда помещает код PowerShell в буфер обмена и использует конструкцию `irm`, переданную в `iex` через конвейер, для загрузки и выполнения инструкций. Скрипт устанавливает среду выполнения Deno с помощью `winget`, скрывает окно PowerShell и запускает JavaScript с адреса `https://checkmybtrobot.cc/j/traffic?r=797a`. Зависимость от `winget` приводит к провалу атаки на системах, где данная утилита недоступна.

Загрузчик Deno загружает два полезныx нагрузки (payloads). Он проверяет первый файл, сверяя его размер и заголовок `MZ`, а затем использует технику Process Ghosting для создания и запуска процесса, удалённого с диска. Вторая полезная нагрузка внедряется в процесс `explorer.exe`. Первый файл, идентифицируемый по MD5-хешу `b97643bd45522efe9eea175d897787d3`, считывает ключи реестра для получения системной информации и устанавливает соединение с IP-адресом `195.63.139.180` по TCP-порту 443 без использования TLS. Внедрённый закодированный шеллкод имеет MD5-хеш `41e66c27fc6202f332e8e0a33aa5f519`.

#ParsedReport #CompletenessLow
19-10-2026

Glassworm Hacks OVH Clouds CLI tool

https://opensourcemalware.com/blog/glassworm-hacks-ovh-clouds-cli-tool

Report completeness: Low

Actors/Campaigns:
Forcememo

Threats:
Glassworm
Ovhcloud_cli
Supply_chain_technique
Dead_drop_technique
Credential_harvesting_technique
Bumblebee

Victims:
Ovhcloud, Developers and operations workstations

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1059.007, T1070.004, T1071.001, T1078, T1102.001, T1105, T1195.002, T1480, have more...

IOCs:
File: 5
Coin: 1
Hash: 3

Soft:
macOS, Linux, Docker, curl, Kubernetes

Crypto:
solana

Algorithms:
aes-256-cbc, sha256, base64, aes

Win API:
Version

Platforms:
arm

Links:
have more...
https://github.com/ovh/ovhcloud-cli/issues/300
https://github.com/ovh/ovhcloud-cli

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Акторы Glassworm скомпрометировали аккаунт OVHcloud на GitHub и заменили бинарные файлы CLI в релизах v0.11.0–v0.15.0 на вредоносные версии, собранные вручную для macOS, Linux и Windows. В атаке также использовался скрытый загрузчик на JavaScript, который получал полезную нагрузку через заметки в транзакциях Solana, при этом точное поведение полезной нагрузки CLI остается неизвестным.
-----

19 октября 2026 года участники группировки Glassworm скомпрометировали канал распространения CLI-инструмента OVHcloud, заменив бинарные файлы релизов версий с v0.11.0 по v0.15.0. Замена была выполнена в период с 12:47 до 13:12 UTC через скомпрометированный аккаунт GitHub HassenBF с использованием GitHub Releases API. Исходный код, теги и рабочие процессы GitHub Actions не были изменены. OVHcloud удалил вредоносные активы в 14:21 UTC и выпустил чистую версию v0.16.0 несколько часов спустя. Затронутыми платформами стали macOS, Linux x86_64 и arm64, а также Windows x86_64; сборки для i386, Windows arm64 и WASM не были заменены.

Злоумышленные бинарные файлы были собраны вручную с рабочей станции, а не через конвейер GoReleaser проекта. Метаданные сборки содержали `vcs.modified=true`, суффикс `+dirty`, неожиданный коммит из дерева разработки v0.16 и отсутствие стандартного флага линковщика версии. В результате бинарный файл сообщал псевдоверсию, а не тег релиза. Это указывает на то, что злоумышленник, вероятно, модифицировал незакоммиченную локальную копию кода и загрузил полученные файлы непосредственно в существующие релизы.

Учётная запись HassenBF была скомпрометирована не позднее марта 2026 года. Злоумышленники переписали репозитории с помощью скриптов, выполняющих операции amend и force-push, и внедрили скрытый загрузчик `preinstall.js`. Загрузчик задерживает выполнение, избегает систем, идентифицированных как российские, создаёт файл `\~/init.json` для ограничения частоты выполнения и извлекает URL второго этапа из мемо транзакции Solana. Он обращается к публичным RPC-эндпоинтам Solana для поиска кошелька, связанного с индикаторами Glassworm, декодирует мемо и выполняет возвращаемый полезный груз. В статье не удалось восстановить заменённый полезный груз CLI, поэтому его точное поведение в части кражи данных и управления остаётся неизвестным.

Пользователи, которые установили или обновили CLI в течение периода уязвимости с помощью `install.sh`, Homebrew, загрузок релизов с GitHub, CI-задач или Dockerfile с использованием архивов релизов, могут быть затронуты. Пользователям следует считать скомпрометированными все учетные данные, доступные с хоста, выполнить их ротацию с отдельного устройства, удалить бинарный файл и установить версию v0.16.0 или более позднюю. К соответствующим целям относятся учетные данные OVHcloud, облачные ключи, SSH-ключи, токены реестров пакетов, конфигурации Kubernetes и файлы `.env`.

#ParsedReport #CompletenessHigh
19-10-2026

From Win+X to EdgeUpdate - Unpacking a jsDelivr Hosted ClickFix Loader

https://newtonpaul.com/blog/werd19327-clickfix-edgeupdate-loader/

Report completeness: High

Threats:
Clickfix_technique
Device_code_phishing_technique
Etherhiding_technique
Clearfake
Apc_injection_technique

Victims:
Wordpress sites, Windows users

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.007, T1027.013, T1036, T1055, T1055.002, T1055.004, T1059.001, T1059.003, T1059.007, have more...

IOCs:
File: 24
Domain: 384
Coin: 27
Url: 37
Path: 2
Hash: 29
Email: 3
IP: 20
Command: 4

Soft:
WordPress, Windows Terminal, Cloudflare, curl, Node.js, Vercel

Algorithms:
sha256, xor, aes, sha1, base64, zip

Functions:
load_, isGoalReached, Get-Variable, Get-PSBreakpoint, GetDelegateForFunctionPointer

Win API:
CreateProcessA, VirtualAllocEx, WriteProcessMemory, QueueUserAPC, ResumeThread, TerminateProcess, CloseHandle, Path, LoadLibraryA, GetProcAddress, have more...

Win Services:
WebClient

Languages:
python, javascript, powershell, jscript

Platforms:
x86, x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix на скомпрометированных сайтах WordPress использовала EtherHiding и поддельные инструкции для Windows для доставки обфусцированного загрузчика PowerShell через GitHub/jsDelivr. Загрузчик применял инъекцию Early Bird APC для выполнения шеллкода, который рефлексивно загружал замаскированный PE-файл; инфраструктура и тактики пересекались с ранее зафиксированной активностью ClearFake.
-----

Кампания ClickFix, зафиксированная 17–18 октября 2026 года на 16 скомпрометированных сайтах WordPress, использовала цепочку доставки EtherHiding. Внедрённый JavaScript извлекал оверлей из смарт-контрактов в тестовой сети BNB Smart Chain через публичные RPC-эндпоинты. Оверлей отслеживал посетителей с помощью cookie `cjs_id` и выборочно отображал поддельную страницу с инструкциями для не-headless браузеров Windows. Приманка побуждала жертв открыть Windows Terminal с помощью сочетания клавиш Win+X, а затем I, и вставить команду PowerShell.

Команда обращалась к хостящемуся на GitHub скрипту PowerShell через путь `/gh/` сервиса jsDelivr, что позволяло системе жертвы взаимодействовать с доверенным CDN, а не с инфраструктурой злоумышленника. Команда маскировала строку CDN с помощью встроенных кавычек, чтобы обойти простейшие средства обнаружения. Скрипт первого этапа запускал 32-разрядный PowerShell из каталога `SysWOW64`, который скачивал `install.ps1` — загрузчик размером 6,3 МБ, закодированный с помощью XOR. Ключом XOR служила строка `AMSI_RESULT_NOT_DETECTED`.

После декодирования загрузчик резолвил API Windows по хэшу и декодировал шеллкод, закодированный с использованием Base85 и пользовательского алфавита. Он пытался создать `MicrosoftEdgeUpdate.exe` как приостановленный 32-разрядный процесс, а в случае недоступности Edge Update переключался на `rundll32.exe`. Затем загрузчик использовал инъекцию Early Bird APC для выполнения шеллкода до того, как целевой процесс достигал своей точки входа. Сбой операций приводил к завершению процесса и очистке памяти. Механизмы закрепления (persistence) в PowerShell-стадиях не наблюдались, включая ключи Run в реестре, запланированные задачи, службы или выгруженные файлы.

Шеллкод выполнял функции рефлексивного загрузчика PE. Он выполнял расшифровку с помощью операции XOR и декомпрессию конечного PE-нагрузки, идентифицированной по SHA-256 `7706300537b13e40761d173327fccfb4e668333b22c09ec4a08b64489ba867ea`, которая маскировалась под Realtek HD Audio Manager. На момент анализа ни нагрузка, ни шеллкод не были обнаружены на VirusTotal или MalwareBazaar.

Инфраструктура демонстрировала операционное пересечение с более ранними кампаниями, связанными с ClearFake. Аккаунты GitHub, домены C2, именование файлов, характеристики упаковщиков, DNS-серверы Cloudflare и перенаправления на `apnews.com` подвергались ротации. Второй аккаунт также хостил несвязанные загрузчики для x64-бота под названием «smallpox», доставляемого через XOR-декодированные блоки, выполняемые из памяти с правами RWX посредством `EnumSystemLocalesEx`.

#ParsedReport #CompletenessLow
21-10-2026

The Linux version of Noodle RAT executed by a FUD loader

https://sect.iij.ad.jp/blog/2026/10/linux-noodlerat-executed-by-fud-loader/

Report completeness: Low

Threats:
Nood_rat
Fud-loader

Geo:
Japanese

ChatGPT TTPs:
do not use without manual check
T1027.013, T1036, T1036.005, T1140, T1564.001

IOCs:
File: 1
Hash: 6

Soft:
Linux, Twitter

Algorithms:
chacha20, sha256, rc4

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В сентябре 2026 года загрузчики Linux Noodle RAT, загруженные на VirusTotal, представляли собой, по всей видимости, тестовые сборки для обхода обнаружения, а не активные атаки. Загрузчик расшифровывает встроенный шифрованный с помощью ChaCha20 полезный груз, выполняет его из памяти с помощью `memfd_create` и может переключиться на использование `/tmp`; для конфигурации используется RC4, при этом наличие IP-адресов loopback и документации указывает на тестирование C2 в неоперационном режиме.
-----

В сентябре 2026 года несколько вариантов Noodle RAT для Linux и связанные с ними загрузчики были загружены на VirusTotal через его API одним и тем же пользователем. Образцы использовали имена файлов, включая `packed-x64`, `vt2-packed-x64` и `vt-submit-x64.bin`. Noodle RAT ассоциируется с угрозующими группами, использующими китайский язык, и применялся в кибершпионаже, операциях с финансовой мотивацией и других атаках. Активность загрузки и характеристики образцов указывают на то, что файлы, вероятно, использовались для тестирования возможностей обхода обнаружения, а не для активной атаки.

Загрузчик встраивает полезную нагрузку Noodle RAT, зашифрованную алгоритмом ChaCha20. При выполнении он считывает последние 60 байтов собственного исполняемого файла, которые начинаются с магического значения `NLKA01\x00\x01`. Эти завершающие данные содержат размер полезной нагрузки и параметры расшифровки. Загрузчик использует эти значения для расшифровки полезной нагрузки, расположенной по смещению файла `0x5B88`. Затем он создает анонимный файл в памяти с именем `kworker` с помощью `memfd_create`, записывает в него расшифрованную полезную нагрузку и запускает ее через `execve`. Данный метод выполнения позволяет избежать прямой записи полезной нагрузки на диск.

Если вызов `memfd_create` завершается ошибкой или переменная окружения `STUB_MODE` установлена в значение `file`, загрузчик записывает полезную нагрузку в `/tmp/.0000e444` и выполняет её оттуда. Переменная окружения `STUB_ARGV0` может использоваться для перезаписи аргументов командной строки и маскировки имени процесса. Сам Noodle RAT содержит аналогичную возможность подмены имени процесса, что указывает на то, что загрузчик, вероятно, поддерживает и другие полезные нагрузки, помимо Noodle RAT.

Наблюдаемые параметры конфигурации Noodle RAT и подделанное имя процесса были зашифрованы алгоритмом RC4. Если в более ранних версиях использовался ключ `r0st@#$`, то в данном образце применялся ключ `mBCHk?u`. Однако процедура расшифровки имени процесса по-прежнему использовала старый ключ, что приводило к срабатыванию этого функционала, в то время как расшифровка конфигурации оставалась работоспособной. В образце в качестве C2-серверов были указаны IP-адреса loopback и документации, что указывает на то, что, вероятно, это тестовая сборка. Один из зарегистрированных хешей SHA-256 — `5cc6aad107fa9fee4718fa79ae940f0e6ef3e0255f42a03bed00d78fb0e5d710`.

#ParsedReport #CompletenessLow
20-10-2026

From Phishing to LLMjacking: Threat Actors Targeting Cloud Billing Accounts for LLM Usage

https://www.wiz.io/blog/from-phishing-to-llmjacking

Report completeness: Low

Threats:
Llmjacking_technique

Victims:
Google cloud platform organizations, Cloud billing accounts

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1056.003, T1078.004, T1098, T1111, T1496, T1583.008

IOCs:
IP: 1
File: 1
Domain: 15

Soft:
Gmail

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники получают учетные данные GCP и коды MFA с помощью фишинга, после чего изменяют политики организации и привязывают проекты, контролируемые злоумышленниками, к счетам для выставления счетов жертв. Они используют скомпрометированные отношения в сфере выставления счетов для финансирования крупных рабочих нагрузок LLM API, скрывая промпты и выходные данные, а также перекладывая расходы на жертву.
-----

Злоумышленники компрометируют среды Google Cloud Platform (GCP), чтобы перехватить учётные записи облачного биллинга и финансировать несанкционированное использование больших языковых моделей (LLM). Вместо кражи данных или развёртывания традиционных ВПО атакующие используют биллинг-связи организаций-жертв для оплаты крупномасштабной активности API искусственного интеллекта. Нагрузки выполняются в проектах, контролируемых атакующими, что позволяет скрывать от жертвы промпты, выходные данные моделей и точную природу осуществляемой активности.

Наблюдаемые атаки начинаются с размещения фишинговых объявлений в Google Search по административным запросам, таким как «Google Cloud» и «GCP». Жертвы перенаправляются через Google Sites на поддельные страницы входа в Google, где они вводят учетные данные GCP и коды MFA. Фишинговая инфраструктура перехватывает эту информацию, после чего перенаправляет пользователей на легитимную страницу аутентификации Google, заставляя их пройти аутентификацию повторно, что снижает уровень подозрительности. Украденные учетные данные немедленно используются для доступа к среде GCP жертвы. Начальная активность была зафиксирована с IP-адреса 212.73.134.136, спустя несколько минут последовала аутентификация с другого IP-адреса, который использовался для последующих операций.

После получения доступа злоумышленники изменяют организационные политики, в том числе удаляют ограничения домена, которые регулируют, какие идентификаторы могут получать доступ к облачным ресурсам. Затем они добавляют управляемые атакующими аккаунты Gmail в учётную запись для выставления счетов организации и связывают внешние проекты GCP, принадлежащие атакующим, с платёжной схемой жертвы. Атакующие отдают предпочтение существующим проектам с низким уровнем использования и конфигурациям выставления счетов, а не созданию инфраструктуры с нуля, что позволяет им быстро запускать ИИ-нагрузки, перекладывая финансовое воздействие на скомпрометированную организацию.

Обнаружение должно быть направлено на выявление необычной аутентификации в Google Workspace, подозрительных изменений политик организации или идентификации в GCP, добавления внешних учетных записей, создания межпроектных связей для выставления счетов, а также аномального потребления сервисов ИИ. Соответствующие доказательства могут содержаться в журналах аудита Google Workspace, GCP Admin Activity и Cloud Billing.

#ParsedReport #CompletenessMedium
19-10-2026

Ukraine’s State Data-Exchange System Targeted by Russian-Speaking Operator via Graylog Log4Shell

https://hunt.io/blog/ukraine-state-data-exchange-graylog-log4shell

Report completeness: Medium

Threats:
Log4shell_vuln
Masscan_tool
Ysoserial_tool

Victims:
Ukraine state data exchange system, Hotel management systems, E government integration services

Industry:
Government

Geo:
Russian, Ukraine, Ukrainian

CVEs:
CVE-2021-41987 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: Unknown
Soft:
- mikrotik routeros (6.46.8, 6.47.9, 6.47.10)

CVE-2018-14847 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- mikrotik routeros (le6.42)


TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1021.004, T1046, T1059.004, T1059.006, T1078, T1105, T1190, T1213, T1505.003, T1572, have more...

IOCs:
Email: 1
File: 4
IP: 8
Hash: 7

Soft:
FortiGate, WordPress

Algorithms:
base64

Win API:
NET

Languages:
java, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Оператор, говорящий на русском языке, провел кампанию кибершпионажа с низкими затратами против инфраструктуры, связанной с украинским правительством, используя уязвимости десериализации в Graylog для выполнения обратных шеллов на системах, связанных с UXP. Оператор запрашивал конфиденциальные государственные данные, сканировал и нацеливался на сетевые устройства и сервисы, используя публичные эксплойты, однако подтвержденная кража данных, закрепление или внедрение ВПО не были выявлены.
-----

В период с мая по сентябрь 2026 года оператор, владеющий русским языком, провел кампанию в отношении украинской инфраструктуры, сосредоточившись на системах, связанных с государственной экосистемой обмена данными и продуктом UXP Verifier. Оператор скачал диапазоны украинских IP-адресов, просканировал 7576 активных хостов на предмет TCP-порта 5000 и сузил результаты до двух систем на основе строки «UXP Verifier». Оператор также резолвил хостнеймы, связанные с государственными органами, и проверял порты, ассоциированные с развертываниями UXP.

Оператору удалось выполнить код как минимум на двух хостах в Украине, используя двухэтапную цепочку десериализации CommonsBeanutils2, доставленную через эндпоинт `/api/system/sessions` в Graylog. В запросе строка JNDI была помещена в поле имени пользователя в JSON, а также требовалась заголовок `X-Requested-By: cli`. Полезная нагрузка привела к тому, что Graylog загрузил шелл-скрипт, после чего был выполнен обратный шелл. Java-нагрузка выполняла команду из статического инициализатора транслета, что означает, что обнаружение, основанное исключительно на традиционных точках вызова `Runtime.exec`, может оказаться неэффективным; более надежным индикатором на уровне хоста является созданный дочерний процесс.

На одном из скомпрометированных серверов Graylog связанный кластер Elasticsearch содержал приблизительно 6,8 млн документов из государственной платформы обмена данными Украины. Оператор выполнял запросы к бизнес-индексам и запускал агрегации по полям, включая идентификаторы клиентов и услуг, идентификаторы сообщений, коды услуг и статус успешности транзакций. Наблюдались только агрегированные результаты, поэтому кражу данных из этого кластера подтвердить не удалось. Ранее зафиксированная компрометация включала SSH-туннель к интерфейсу управления UXP, однако имеющиеся доказательства не позволяют установить, какие данные передавались через него.

Кампания в значительной степени опиралась на общедоступый код эксплуатации уязвимостей. Оператор сканировал соседние сети `/27` на наличие сервисов MikroTik и предпринимал попытки эксплуатации CVE-2018-14847, многократно атаковал инфраструктуру FortiGate SSL-VPN, а также проводил неудачные исследования RouterOS в отношении CVE-2021-41987. Дополнительная активность была направлена на платформу управления гостиницей с использованием существующей сессии ASP.NET, включая попытки SQL-инъекции, XXE и загрузки вебшеллов. История командной строки также свидетельствовала о проведении разведки национального сервиса интеграции электронного правительства, включая проверку учетных данных, получение WSDL и интерфейсы обработки документов.

Оператор использовал несколько промежуточных серверов и оставил открытым каталог, содержащий скрипты, полезную нагрузку, результаты сканирования и историю командной строки. В инфраструктуре использовался порт 8888 для промежуточного размещения и порты 1389 и 8890 для сервисов JNDI. Данные свидетельствуют о низкобюджетной операции, направленной на сбор информации, при этом не подтверждено ни закрепление, ни внедрение ВПО.