#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Акторы Glassworm скомпрометировали аккаунт OVHcloud на GitHub и заменили бинарные файлы CLI в релизах v0.11.0–v0.15.0 на вредоносные версии, собранные вручную для macOS, Linux и Windows. В атаке также использовался скрытый загрузчик на JavaScript, который получал полезную нагрузку через заметки в транзакциях Solana, при этом точное поведение полезной нагрузки CLI остается неизвестным.
-----

19 октября 2026 года участники группировки Glassworm скомпрометировали канал распространения CLI-инструмента OVHcloud, заменив бинарные файлы релизов версий с v0.11.0 по v0.15.0. Замена была выполнена в период с 12:47 до 13:12 UTC через скомпрометированный аккаунт GitHub HassenBF с использованием GitHub Releases API. Исходный код, теги и рабочие процессы GitHub Actions не были изменены. OVHcloud удалил вредоносные активы в 14:21 UTC и выпустил чистую версию v0.16.0 несколько часов спустя. Затронутыми платформами стали macOS, Linux x86_64 и arm64, а также Windows x86_64; сборки для i386, Windows arm64 и WASM не были заменены.

Злоумышленные бинарные файлы были собраны вручную с рабочей станции, а не через конвейер GoReleaser проекта. Метаданные сборки содержали `vcs.modified=true`, суффикс `+dirty`, неожиданный коммит из дерева разработки v0.16 и отсутствие стандартного флага линковщика версии. В результате бинарный файл сообщал псевдоверсию, а не тег релиза. Это указывает на то, что злоумышленник, вероятно, модифицировал незакоммиченную локальную копию кода и загрузил полученные файлы непосредственно в существующие релизы.

Учётная запись HassenBF была скомпрометирована не позднее марта 2026 года. Злоумышленники переписали репозитории с помощью скриптов, выполняющих операции amend и force-push, и внедрили скрытый загрузчик `preinstall.js`. Загрузчик задерживает выполнение, избегает систем, идентифицированных как российские, создаёт файл `\~/init.json` для ограничения частоты выполнения и извлекает URL второго этапа из мемо транзакции Solana. Он обращается к публичным RPC-эндпоинтам Solana для поиска кошелька, связанного с индикаторами Glassworm, декодирует мемо и выполняет возвращаемый полезный груз. В статье не удалось восстановить заменённый полезный груз CLI, поэтому его точное поведение в части кражи данных и управления остаётся неизвестным.

Пользователи, которые установили или обновили CLI в течение периода уязвимости с помощью `install.sh`, Homebrew, загрузок релизов с GitHub, CI-задач или Dockerfile с использованием архивов релизов, могут быть затронуты. Пользователям следует считать скомпрометированными все учетные данные, доступные с хоста, выполнить их ротацию с отдельного устройства, удалить бинарный файл и установить версию v0.16.0 или более позднюю. К соответствующим целям относятся учетные данные OVHcloud, облачные ключи, SSH-ключи, токены реестров пакетов, конфигурации Kubernetes и файлы `.env`.

#ParsedReport #CompletenessHigh
19-10-2026

From Win+X to EdgeUpdate - Unpacking a jsDelivr Hosted ClickFix Loader

https://newtonpaul.com/blog/werd19327-clickfix-edgeupdate-loader/

Report completeness: High

Threats:
Clickfix_technique
Device_code_phishing_technique
Etherhiding_technique
Clearfake
Apc_injection_technique

Victims:
Wordpress sites, Windows users

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.007, T1027.013, T1036, T1055, T1055.002, T1055.004, T1059.001, T1059.003, T1059.007, have more...

IOCs:
File: 24
Domain: 384
Coin: 27
Url: 37
Path: 2
Hash: 29
Email: 3
IP: 20
Command: 4

Soft:
WordPress, Windows Terminal, Cloudflare, curl, Node.js, Vercel

Algorithms:
sha256, xor, aes, sha1, base64, zip

Functions:
load_, isGoalReached, Get-Variable, Get-PSBreakpoint, GetDelegateForFunctionPointer

Win API:
CreateProcessA, VirtualAllocEx, WriteProcessMemory, QueueUserAPC, ResumeThread, TerminateProcess, CloseHandle, Path, LoadLibraryA, GetProcAddress, have more...

Win Services:
WebClient

Languages:
python, javascript, powershell, jscript

Platforms:
x86, x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix на скомпрометированных сайтах WordPress использовала EtherHiding и поддельные инструкции для Windows для доставки обфусцированного загрузчика PowerShell через GitHub/jsDelivr. Загрузчик применял инъекцию Early Bird APC для выполнения шеллкода, который рефлексивно загружал замаскированный PE-файл; инфраструктура и тактики пересекались с ранее зафиксированной активностью ClearFake.
-----

Кампания ClickFix, зафиксированная 17–18 октября 2026 года на 16 скомпрометированных сайтах WordPress, использовала цепочку доставки EtherHiding. Внедрённый JavaScript извлекал оверлей из смарт-контрактов в тестовой сети BNB Smart Chain через публичные RPC-эндпоинты. Оверлей отслеживал посетителей с помощью cookie `cjs_id` и выборочно отображал поддельную страницу с инструкциями для не-headless браузеров Windows. Приманка побуждала жертв открыть Windows Terminal с помощью сочетания клавиш Win+X, а затем I, и вставить команду PowerShell.

Команда обращалась к хостящемуся на GitHub скрипту PowerShell через путь `/gh/` сервиса jsDelivr, что позволяло системе жертвы взаимодействовать с доверенным CDN, а не с инфраструктурой злоумышленника. Команда маскировала строку CDN с помощью встроенных кавычек, чтобы обойти простейшие средства обнаружения. Скрипт первого этапа запускал 32-разрядный PowerShell из каталога `SysWOW64`, который скачивал `install.ps1` — загрузчик размером 6,3 МБ, закодированный с помощью XOR. Ключом XOR служила строка `AMSI_RESULT_NOT_DETECTED`.

После декодирования загрузчик резолвил API Windows по хэшу и декодировал шеллкод, закодированный с использованием Base85 и пользовательского алфавита. Он пытался создать `MicrosoftEdgeUpdate.exe` как приостановленный 32-разрядный процесс, а в случае недоступности Edge Update переключался на `rundll32.exe`. Затем загрузчик использовал инъекцию Early Bird APC для выполнения шеллкода до того, как целевой процесс достигал своей точки входа. Сбой операций приводил к завершению процесса и очистке памяти. Механизмы закрепления (persistence) в PowerShell-стадиях не наблюдались, включая ключи Run в реестре, запланированные задачи, службы или выгруженные файлы.

Шеллкод выполнял функции рефлексивного загрузчика PE. Он выполнял расшифровку с помощью операции XOR и декомпрессию конечного PE-нагрузки, идентифицированной по SHA-256 `7706300537b13e40761d173327fccfb4e668333b22c09ec4a08b64489ba867ea`, которая маскировалась под Realtek HD Audio Manager. На момент анализа ни нагрузка, ни шеллкод не были обнаружены на VirusTotal или MalwareBazaar.

Инфраструктура демонстрировала операционное пересечение с более ранними кампаниями, связанными с ClearFake. Аккаунты GitHub, домены C2, именование файлов, характеристики упаковщиков, DNS-серверы Cloudflare и перенаправления на `apnews.com` подвергались ротации. Второй аккаунт также хостил несвязанные загрузчики для x64-бота под названием «smallpox», доставляемого через XOR-декодированные блоки, выполняемые из памяти с правами RWX посредством `EnumSystemLocalesEx`.

#ParsedReport #CompletenessLow
21-10-2026

The Linux version of Noodle RAT executed by a FUD loader

https://sect.iij.ad.jp/blog/2026/10/linux-noodlerat-executed-by-fud-loader/

Report completeness: Low

Threats:
Nood_rat
Fud-loader

Geo:
Japanese

ChatGPT TTPs:
do not use without manual check
T1027.013, T1036, T1036.005, T1140, T1564.001

IOCs:
File: 1
Hash: 6

Soft:
Linux, Twitter

Algorithms:
chacha20, sha256, rc4

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В сентябре 2026 года загрузчики Linux Noodle RAT, загруженные на VirusTotal, представляли собой, по всей видимости, тестовые сборки для обхода обнаружения, а не активные атаки. Загрузчик расшифровывает встроенный шифрованный с помощью ChaCha20 полезный груз, выполняет его из памяти с помощью `memfd_create` и может переключиться на использование `/tmp`; для конфигурации используется RC4, при этом наличие IP-адресов loopback и документации указывает на тестирование C2 в неоперационном режиме.
-----

В сентябре 2026 года несколько вариантов Noodle RAT для Linux и связанные с ними загрузчики были загружены на VirusTotal через его API одним и тем же пользователем. Образцы использовали имена файлов, включая `packed-x64`, `vt2-packed-x64` и `vt-submit-x64.bin`. Noodle RAT ассоциируется с угрозующими группами, использующими китайский язык, и применялся в кибершпионаже, операциях с финансовой мотивацией и других атаках. Активность загрузки и характеристики образцов указывают на то, что файлы, вероятно, использовались для тестирования возможностей обхода обнаружения, а не для активной атаки.

Загрузчик встраивает полезную нагрузку Noodle RAT, зашифрованную алгоритмом ChaCha20. При выполнении он считывает последние 60 байтов собственного исполняемого файла, которые начинаются с магического значения `NLKA01\x00\x01`. Эти завершающие данные содержат размер полезной нагрузки и параметры расшифровки. Загрузчик использует эти значения для расшифровки полезной нагрузки, расположенной по смещению файла `0x5B88`. Затем он создает анонимный файл в памяти с именем `kworker` с помощью `memfd_create`, записывает в него расшифрованную полезную нагрузку и запускает ее через `execve`. Данный метод выполнения позволяет избежать прямой записи полезной нагрузки на диск.

Если вызов `memfd_create` завершается ошибкой или переменная окружения `STUB_MODE` установлена в значение `file`, загрузчик записывает полезную нагрузку в `/tmp/.0000e444` и выполняет её оттуда. Переменная окружения `STUB_ARGV0` может использоваться для перезаписи аргументов командной строки и маскировки имени процесса. Сам Noodle RAT содержит аналогичную возможность подмены имени процесса, что указывает на то, что загрузчик, вероятно, поддерживает и другие полезные нагрузки, помимо Noodle RAT.

Наблюдаемые параметры конфигурации Noodle RAT и подделанное имя процесса были зашифрованы алгоритмом RC4. Если в более ранних версиях использовался ключ `r0st@#$`, то в данном образце применялся ключ `mBCHk?u`. Однако процедура расшифровки имени процесса по-прежнему использовала старый ключ, что приводило к срабатыванию этого функционала, в то время как расшифровка конфигурации оставалась работоспособной. В образце в качестве C2-серверов были указаны IP-адреса loopback и документации, что указывает на то, что, вероятно, это тестовая сборка. Один из зарегистрированных хешей SHA-256 — `5cc6aad107fa9fee4718fa79ae940f0e6ef3e0255f42a03bed00d78fb0e5d710`.

#ParsedReport #CompletenessLow
20-10-2026

From Phishing to LLMjacking: Threat Actors Targeting Cloud Billing Accounts for LLM Usage

https://www.wiz.io/blog/from-phishing-to-llmjacking

Report completeness: Low

Threats:
Llmjacking_technique

Victims:
Google cloud platform organizations, Cloud billing accounts

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1056.003, T1078.004, T1098, T1111, T1496, T1583.008

IOCs:
IP: 1
File: 1
Domain: 15

Soft:
Gmail

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники получают учетные данные GCP и коды MFA с помощью фишинга, после чего изменяют политики организации и привязывают проекты, контролируемые злоумышленниками, к счетам для выставления счетов жертв. Они используют скомпрометированные отношения в сфере выставления счетов для финансирования крупных рабочих нагрузок LLM API, скрывая промпты и выходные данные, а также перекладывая расходы на жертву.
-----

Злоумышленники компрометируют среды Google Cloud Platform (GCP), чтобы перехватить учётные записи облачного биллинга и финансировать несанкционированное использование больших языковых моделей (LLM). Вместо кражи данных или развёртывания традиционных ВПО атакующие используют биллинг-связи организаций-жертв для оплаты крупномасштабной активности API искусственного интеллекта. Нагрузки выполняются в проектах, контролируемых атакующими, что позволяет скрывать от жертвы промпты, выходные данные моделей и точную природу осуществляемой активности.

Наблюдаемые атаки начинаются с размещения фишинговых объявлений в Google Search по административным запросам, таким как «Google Cloud» и «GCP». Жертвы перенаправляются через Google Sites на поддельные страницы входа в Google, где они вводят учетные данные GCP и коды MFA. Фишинговая инфраструктура перехватывает эту информацию, после чего перенаправляет пользователей на легитимную страницу аутентификации Google, заставляя их пройти аутентификацию повторно, что снижает уровень подозрительности. Украденные учетные данные немедленно используются для доступа к среде GCP жертвы. Начальная активность была зафиксирована с IP-адреса 212.73.134.136, спустя несколько минут последовала аутентификация с другого IP-адреса, который использовался для последующих операций.

После получения доступа злоумышленники изменяют организационные политики, в том числе удаляют ограничения домена, которые регулируют, какие идентификаторы могут получать доступ к облачным ресурсам. Затем они добавляют управляемые атакующими аккаунты Gmail в учётную запись для выставления счетов организации и связывают внешние проекты GCP, принадлежащие атакующим, с платёжной схемой жертвы. Атакующие отдают предпочтение существующим проектам с низким уровнем использования и конфигурациям выставления счетов, а не созданию инфраструктуры с нуля, что позволяет им быстро запускать ИИ-нагрузки, перекладывая финансовое воздействие на скомпрометированную организацию.

Обнаружение должно быть направлено на выявление необычной аутентификации в Google Workspace, подозрительных изменений политик организации или идентификации в GCP, добавления внешних учетных записей, создания межпроектных связей для выставления счетов, а также аномального потребления сервисов ИИ. Соответствующие доказательства могут содержаться в журналах аудита Google Workspace, GCP Admin Activity и Cloud Billing.

#ParsedReport #CompletenessMedium
19-10-2026

Ukraine’s State Data-Exchange System Targeted by Russian-Speaking Operator via Graylog Log4Shell

https://hunt.io/blog/ukraine-state-data-exchange-graylog-log4shell

Report completeness: Medium

Threats:
Log4shell_vuln
Masscan_tool
Ysoserial_tool

Victims:
Ukraine state data exchange system, Hotel management systems, E government integration services

Industry:
Government

Geo:
Russian, Ukraine, Ukrainian

CVEs:
CVE-2021-41987 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: Unknown
Soft:
- mikrotik routeros (6.46.8, 6.47.9, 6.47.10)

CVE-2018-14847 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- mikrotik routeros (le6.42)


TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1021.004, T1046, T1059.004, T1059.006, T1078, T1105, T1190, T1213, T1505.003, T1572, have more...

IOCs:
Email: 1
File: 4
IP: 8
Hash: 7

Soft:
FortiGate, WordPress

Algorithms:
base64

Win API:
NET

Languages:
java, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Оператор, говорящий на русском языке, провел кампанию кибершпионажа с низкими затратами против инфраструктуры, связанной с украинским правительством, используя уязвимости десериализации в Graylog для выполнения обратных шеллов на системах, связанных с UXP. Оператор запрашивал конфиденциальные государственные данные, сканировал и нацеливался на сетевые устройства и сервисы, используя публичные эксплойты, однако подтвержденная кража данных, закрепление или внедрение ВПО не были выявлены.
-----

В период с мая по сентябрь 2026 года оператор, владеющий русским языком, провел кампанию в отношении украинской инфраструктуры, сосредоточившись на системах, связанных с государственной экосистемой обмена данными и продуктом UXP Verifier. Оператор скачал диапазоны украинских IP-адресов, просканировал 7576 активных хостов на предмет TCP-порта 5000 и сузил результаты до двух систем на основе строки «UXP Verifier». Оператор также резолвил хостнеймы, связанные с государственными органами, и проверял порты, ассоциированные с развертываниями UXP.

Оператору удалось выполнить код как минимум на двух хостах в Украине, используя двухэтапную цепочку десериализации CommonsBeanutils2, доставленную через эндпоинт `/api/system/sessions` в Graylog. В запросе строка JNDI была помещена в поле имени пользователя в JSON, а также требовалась заголовок `X-Requested-By: cli`. Полезная нагрузка привела к тому, что Graylog загрузил шелл-скрипт, после чего был выполнен обратный шелл. Java-нагрузка выполняла команду из статического инициализатора транслета, что означает, что обнаружение, основанное исключительно на традиционных точках вызова `Runtime.exec`, может оказаться неэффективным; более надежным индикатором на уровне хоста является созданный дочерний процесс.

На одном из скомпрометированных серверов Graylog связанный кластер Elasticsearch содержал приблизительно 6,8 млн документов из государственной платформы обмена данными Украины. Оператор выполнял запросы к бизнес-индексам и запускал агрегации по полям, включая идентификаторы клиентов и услуг, идентификаторы сообщений, коды услуг и статус успешности транзакций. Наблюдались только агрегированные результаты, поэтому кражу данных из этого кластера подтвердить не удалось. Ранее зафиксированная компрометация включала SSH-туннель к интерфейсу управления UXP, однако имеющиеся доказательства не позволяют установить, какие данные передавались через него.

Кампания в значительной степени опиралась на общедоступый код эксплуатации уязвимостей. Оператор сканировал соседние сети `/27` на наличие сервисов MikroTik и предпринимал попытки эксплуатации CVE-2018-14847, многократно атаковал инфраструктуру FortiGate SSL-VPN, а также проводил неудачные исследования RouterOS в отношении CVE-2021-41987. Дополнительная активность была направлена на платформу управления гостиницей с использованием существующей сессии ASP.NET, включая попытки SQL-инъекции, XXE и загрузки вебшеллов. История командной строки также свидетельствовала о проведении разведки национального сервиса интеграции электронного правительства, включая проверку учетных данных, получение WSDL и интерфейсы обработки документов.

Оператор использовал несколько промежуточных серверов и оставил открытым каталог, содержащий скрипты, полезную нагрузку, результаты сканирования и историю командной строки. В инфраструктуре использовался порт 8888 для промежуточного размещения и порты 1389 и 8890 для сервисов JNDI. Данные свидетельствуют о низкобюджетной операции, направленной на сбор информации, при этом не подтверждено ни закрепление, ни внедрение ВПО.

#ParsedReport #CompletenessMedium
19-10-2026

Midnight Mimosa Malware Campaign Exploits Android Firmware Supply Chain

https://blog.polyswarm.io/midnight-mimosa-malware-campaign-exploits-android-firmware-supply-chain

Report completeness: Medium

Threats:
Midnight-mimosa
Supply_chain_technique
Residential_proxy_technique
Enloaderlib_tool

Victims:
Android devices

Geo:
Germany, Italy, France, Spain, Mexico, Brazil, United states

ChatGPT TTPs:
do not use without manual check
T1027.013, T1036, T1090, T1105, T1129, T1140, T1195.002, T1407, T1542.001, T1553.002, have more...

IOCs:
Hash: 40

Soft:
Android, Google Play

Algorithms:
rc4

Languages:
java

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Midnight Mimosa — это вредоносная кампания для Android без установленной атрибуции, встроенная в прошивку недорогих устройств MediaTek, что обеспечивает ей постоянный привилегированный доступ, сохраняющийся даже после удаления приложений. Она загружает модульные плагины для мошенничества с рекламой, управления приложениями и потенциального использования в качестве прокси-шпиона, затрагивая тысячи устройств более чем в 150 странах.
-----

Midnight Mimosa — это вредоносная кампания для Android, не приписанная конкретной группе, которая компрометирует недорогие устройства на базе MediaTek посредством вредоносных приложений, встроенных в прошивку до того, как устройства попадут к пользователям. Основной компонент представляет собой постоянно присутствующее системное приложение с подписью платформы, включающее пакет `com.android.system.lite`, которое использует привилегированные разрешения для установки и удаления приложений, предоставления разрешений во время выполнения и изменения защищённых настроек без взаимодействия с пользователем. Это закрепление на системном уровне делает стандартное удаление приложений неэффективным.

Обеспечивающий компонент загружает нативную библиотеку `libeasy.so`, которая использует расшифровку RC4 для извлечения встроенного Java-фреймворка. Фреймворк устанавливает связь с инфраструктурой управления, включая `api.weatherlive.world`, получает конфигурационные данные и загружает плагины DEX/JAR с дополнительной инфраструктуры, такой как `oss.showtimetool.com`. Операторы могут менять полезную нагрузку и обновлять функциональность без замены компонента прошивки. Перед установкой полезной нагрузки ВПО временно отключает пакет Google Play Store, а затем восстанавливает его, по-видимому, для обхода Play Protect. Некоторые вредоносные приложения также ложно указывали Google Play в качестве установщика.

Наблюдаемые плагины поддерживают мошенничество в сфере рекламы и управление приложениями. Модуль рекламного мошенничества создаёт скрытые окна и автоматизирует показы, клики и события конверсии, имитируя легитимные приложения, такие как инструменты для получения прогноза погоды, файловые менеджеры, утилиты OCR и блокировщики приложений. Другие компоненты незаметно устанавливают или удаляют партнёрские приложения. С экосистемой полезной нагрузки было связано как минимум 32 замаскированных приложения. ВПО также включает `com.mobile.applock.en`, содержащий прокси-вредонос EnLoaderLib, способный регистрировать заражённые устройства и создавать двунаправленные TCP-туннели для ретрансляции трафика с домашних устройств, хотя активная ретрансляция в ходе тестирования не была подтверждена.

Кампания затронула тысячи устройств более чем в 150 странах, включая Соединенные Штаты, и была связана с поддельными и недорогими смартфонами, ассоциированными с моделями брендов Doogee и Cubot. Через Google Play также распространялись тринадцать связанных с мошенничеством в сфере рекламы приложений, однако они не обладали привилегированным доступом, предоставляемым компонентом прошивки. Совпадения в коде и инфраструктуре с активностью Android.Joker, Android.Phantom и Android.Click указывают на связь с более широкой экосистемой монетизации, но не подтверждают наличие единого оператора. Кампания создает дополнительные риски для неуправляемых устройств, устройств по модели BYOD и устройств, закупленных по низкой стоимости, поскольку скомпрометированная прошивка может обеспечивать постоянный доступ и позволять вредоносному трафику исходить из доверенных сетей.

#ParsedReport #CompletenessHigh
19-10-2026

Same Vulkan Host, Different Payload: Inside VulcanRAT207.B

https://www.morphisec.com/blog/same-vulkan-host-different-payload-inside-vulcanrat207-b/

Report completeness: High

Threats:
Vulcanrat
Romulusloader
Shadow_copies_delete_technique
Poisonx
Gofly_tool
Dll_sideloading_technique

Victims:
Cybersecurity sector

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1007, T1010, T1012, T1014, T1027, T1027.013, T1033, T1036, T1047, T1049, have more...

IOCs:
File: 14
Url: 1
IP: 1
Hash: 5
Path: 1

Soft:
WhatsApp, Task Scheduler, Windows Task Scheduler, Telegram, winlogon

Algorithms:
xor, sha256, rc4

Functions:
VulkanInfo

Win API:
GetTickCount64, IsDebuggerPresent, NtGlobalFlag, CoGetObjectContext

Platforms:
intel, x86, x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
VulcanRAT207.B использует цепочку подмены DLL на базе Vulkan, в которой RomulusLoader выполняет расшифровку и рефлексивную загрузку RAT. Он обеспечивает закрепление в системе, поддерживает внедрение и несколько каналов C2, а также загрузку дополнительного шеллкода по TCP. RAT предоставляет широкие возможности для наблюдения и управления, включая разведку, регистрацию нажатий клавиш, доступ к удалённому рабочему столу, сокрытие процессов, нацеливание на средства защиты и интерфейсы ядра драйвера, отличающиеся от VulcanRAT207.A.
-----

VulcanRAT207.B распространяется через отдельную цепочку выполнения, которая использует подписанный хост VulkanInfo и структуру пакета, ассоциированную с VulcanRAT207.A, но не устанавливает тот же метод первоначального доступа. Проанализированный пакет использует подгруженную (side-loaded) библиотеку `vulkan-1.dll`, которая считывает файл `vulkan-1.bin`. DLL выполняет проверки на наличие анализа, включая обнаружение отладчика, проверки PEB и процесс-отладки, сканирование точек останова и тесты времени. Затем она считывает шеллкод из сопутствующего файла (sidecar), выделяет исполняемую память и передает управление через косвенный вызов (callback) в контексте COM.

Шеллкод соответствует сигнатуре RomulusLoader от Proofpoint и расшифровывает встроенный контроллер с использованием модифицированного алгоритма RC4. Он выполняет рефлексивную загрузку PE32+ DLL с модифицированной заголовочной частью, обрабатывает перемещения и импорты, выполняет TLS-колбэки и вызывает экспортированную функцию `run`. Встроенная конфигурация содержит четыре идентичных TCP-конечных узла `61.18.208.27:1234`, идентификатор кампании `0903` и тайм-аут 300 секунд.

RomulusLoader выполняет функции установщика, координатора закрепления, внедрения кода в процессы и загрузчика. При наличии привилегий администратора он копирует компоненты в `C:\Program Files\Common Files\444.exe`, применяет атрибуты скрытого, системного и только для чтения файлов, а также создает запланированную задачу `Microsoft Compatibility system`, запускаемую при загрузке, для получения выполнения с правами SYSTEM. Кроме того, в нем присутствует обфусцированный путь повышения привилегий на основе RPC, точная техника которого пока не установлена. Фреймворк внедрения кода в процессы поддерживает внедрение через удаленные потоки, перехват контекста потока, внедрение в приостановленные процессы, создание процессов на основе токенов, выполнение с учетом сессии и взаимодействие с драйвером ядра.

Контроллер поддерживает транспортные протоколы TCP, надёжный UDP на основе KCP, а также HTTP/WebSocket, хотя в данном образце используется TCP. Команда `0x13000` извлекает и выполняет шеллкод следующего этапа, который доставляет VulcanRAT207.B. RAT использует протокол с магическим значением `0x020721A4`, необязательным сжатием zlib, сообщениями heartbeat и общим префиксом `0x0207`. Он обеспечивает разведку на хосте, управление процессами и службами, запросы к реестру и WMI, передачу файлов, выполнение команд, регистрацию нажатий клавиш, удалённое управление рабочим столом, ретрансляцию TCP и манипуляции с окнами.

VulcanRAT207.B также скрывает выбранные процессы, перехватывая вызовы API для получения информации о процессах, нацеливается на продукты безопасности, включая процессы 360 и QQ, и может пометить себя как критический компонент, чтобы вызвать сбой системы при попытке его завершения. Он поддерживает отдельные интерфейсы ядра в стиле PoisonX и TrueSight с различными именами устройств и IOCTL. Эти возможности и артефакты не следует путать с путём GoFly64.sys, используемым VulcanRAT207.A.

#ParsedReport #CompletenessHigh
15-10-2026

Inside a PaperCut Attacker’s AI Toolkit: Agent Instructions, Exploit Code, a Second RCE, and Victims Across 45+ Countries

https://hunt.io/blog/papercut-attacker-ai-toolkit-exploit-code-second-rce

Report completeness: High

Threats:
Metasploit_tool
Chisel_tool
Pentagi_tool
Meterpreter_tool
Nmap_tool
Credential_dumping_technique

Victims:
Papercut ng/mf users, Print management organizations

Industry:
Education

Geo:
Portugal, Switzerland, Chile, Netherlands, African, Sweden, Belgium, United kingdom, Africa, Italy, France, Malaysia, Australia, Canada, United states, Germany, Brazil, Puerto rico, Latin america, Holland, Spain, Saudi arabia, Asia-pacific, Singapore, South africa, Ireland, Taiwan

CVEs:
CVE-2026-82078 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- papercut papercut_mf (<24.1.9, <25.0.12, <26.0.4)
- papercut papercut_ng (<24.1.9, <25.0.12, <26.0.4)

CVE-2026-81578 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- papercut papercut_mf (<24.1.9, <25.0.12, <26.0.4)
- papercut papercut_ng (<24.1.9, <25.0.12, <26.0.4)


TTPs:
Tactics: 9
Technics: 16

IOCs:
IP: 7
File: 39
Path: 1
Hash: 4

Soft:
PaperCut, Linux, Active Directory, OpenAI, Codex, DeepSeek, scripting engine, Docker, Windows SECURITY, Unix, have more...

Algorithms:
sha256, base64

Functions:
getInstance, getServerHome

Win API:
SeBackupPrivilege, SeSecurityPrivilege

Languages:
groovy, golang, rust, java

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 7, windows: 7, dump: 1, chats: 1, chart: 1