#ParsedReport #CompletenessMedium
19-10-2026

Midnight Mimosa Malware Campaign Exploits Android Firmware Supply Chain

https://blog.polyswarm.io/midnight-mimosa-malware-campaign-exploits-android-firmware-supply-chain

Report completeness: Medium

Threats:
Midnight-mimosa
Supply_chain_technique
Residential_proxy_technique
Enloaderlib_tool

Victims:
Android devices

Geo:
Germany, Italy, France, Spain, Mexico, Brazil, United states

ChatGPT TTPs:
do not use without manual check
T1027.013, T1036, T1090, T1105, T1129, T1140, T1195.002, T1407, T1542.001, T1553.002, have more...

IOCs:
Hash: 40

Soft:
Android, Google Play

Algorithms:
rc4

Languages:
java

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Midnight Mimosa — это вредоносная кампания для Android без установленной атрибуции, встроенная в прошивку недорогих устройств MediaTek, что обеспечивает ей постоянный привилегированный доступ, сохраняющийся даже после удаления приложений. Она загружает модульные плагины для мошенничества с рекламой, управления приложениями и потенциального использования в качестве прокси-шпиона, затрагивая тысячи устройств более чем в 150 странах.
-----

Midnight Mimosa — это вредоносная кампания для Android, не приписанная конкретной группе, которая компрометирует недорогие устройства на базе MediaTek посредством вредоносных приложений, встроенных в прошивку до того, как устройства попадут к пользователям. Основной компонент представляет собой постоянно присутствующее системное приложение с подписью платформы, включающее пакет `com.android.system.lite`, которое использует привилегированные разрешения для установки и удаления приложений, предоставления разрешений во время выполнения и изменения защищённых настроек без взаимодействия с пользователем. Это закрепление на системном уровне делает стандартное удаление приложений неэффективным.

Обеспечивающий компонент загружает нативную библиотеку `libeasy.so`, которая использует расшифровку RC4 для извлечения встроенного Java-фреймворка. Фреймворк устанавливает связь с инфраструктурой управления, включая `api.weatherlive.world`, получает конфигурационные данные и загружает плагины DEX/JAR с дополнительной инфраструктуры, такой как `oss.showtimetool.com`. Операторы могут менять полезную нагрузку и обновлять функциональность без замены компонента прошивки. Перед установкой полезной нагрузки ВПО временно отключает пакет Google Play Store, а затем восстанавливает его, по-видимому, для обхода Play Protect. Некоторые вредоносные приложения также ложно указывали Google Play в качестве установщика.

Наблюдаемые плагины поддерживают мошенничество в сфере рекламы и управление приложениями. Модуль рекламного мошенничества создаёт скрытые окна и автоматизирует показы, клики и события конверсии, имитируя легитимные приложения, такие как инструменты для получения прогноза погоды, файловые менеджеры, утилиты OCR и блокировщики приложений. Другие компоненты незаметно устанавливают или удаляют партнёрские приложения. С экосистемой полезной нагрузки было связано как минимум 32 замаскированных приложения. ВПО также включает `com.mobile.applock.en`, содержащий прокси-вредонос EnLoaderLib, способный регистрировать заражённые устройства и создавать двунаправленные TCP-туннели для ретрансляции трафика с домашних устройств, хотя активная ретрансляция в ходе тестирования не была подтверждена.

Кампания затронула тысячи устройств более чем в 150 странах, включая Соединенные Штаты, и была связана с поддельными и недорогими смартфонами, ассоциированными с моделями брендов Doogee и Cubot. Через Google Play также распространялись тринадцать связанных с мошенничеством в сфере рекламы приложений, однако они не обладали привилегированным доступом, предоставляемым компонентом прошивки. Совпадения в коде и инфраструктуре с активностью Android.Joker, Android.Phantom и Android.Click указывают на связь с более широкой экосистемой монетизации, но не подтверждают наличие единого оператора. Кампания создает дополнительные риски для неуправляемых устройств, устройств по модели BYOD и устройств, закупленных по низкой стоимости, поскольку скомпрометированная прошивка может обеспечивать постоянный доступ и позволять вредоносному трафику исходить из доверенных сетей.

#ParsedReport #CompletenessHigh
19-10-2026

Same Vulkan Host, Different Payload: Inside VulcanRAT207.B

https://www.morphisec.com/blog/same-vulkan-host-different-payload-inside-vulcanrat207-b/

Report completeness: High

Threats:
Vulcanrat
Romulusloader
Shadow_copies_delete_technique
Poisonx
Gofly_tool
Dll_sideloading_technique

Victims:
Cybersecurity sector

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1007, T1010, T1012, T1014, T1027, T1027.013, T1033, T1036, T1047, T1049, have more...

IOCs:
File: 14
Url: 1
IP: 1
Hash: 5
Path: 1

Soft:
WhatsApp, Task Scheduler, Windows Task Scheduler, Telegram, winlogon

Algorithms:
xor, sha256, rc4

Functions:
VulkanInfo

Win API:
GetTickCount64, IsDebuggerPresent, NtGlobalFlag, CoGetObjectContext

Platforms:
intel, x86, x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
VulcanRAT207.B использует цепочку подмены DLL на базе Vulkan, в которой RomulusLoader выполняет расшифровку и рефлексивную загрузку RAT. Он обеспечивает закрепление в системе, поддерживает внедрение и несколько каналов C2, а также загрузку дополнительного шеллкода по TCP. RAT предоставляет широкие возможности для наблюдения и управления, включая разведку, регистрацию нажатий клавиш, доступ к удалённому рабочему столу, сокрытие процессов, нацеливание на средства защиты и интерфейсы ядра драйвера, отличающиеся от VulcanRAT207.A.
-----

VulcanRAT207.B распространяется через отдельную цепочку выполнения, которая использует подписанный хост VulkanInfo и структуру пакета, ассоциированную с VulcanRAT207.A, но не устанавливает тот же метод первоначального доступа. Проанализированный пакет использует подгруженную (side-loaded) библиотеку `vulkan-1.dll`, которая считывает файл `vulkan-1.bin`. DLL выполняет проверки на наличие анализа, включая обнаружение отладчика, проверки PEB и процесс-отладки, сканирование точек останова и тесты времени. Затем она считывает шеллкод из сопутствующего файла (sidecar), выделяет исполняемую память и передает управление через косвенный вызов (callback) в контексте COM.

Шеллкод соответствует сигнатуре RomulusLoader от Proofpoint и расшифровывает встроенный контроллер с использованием модифицированного алгоритма RC4. Он выполняет рефлексивную загрузку PE32+ DLL с модифицированной заголовочной частью, обрабатывает перемещения и импорты, выполняет TLS-колбэки и вызывает экспортированную функцию `run`. Встроенная конфигурация содержит четыре идентичных TCP-конечных узла `61.18.208.27:1234`, идентификатор кампании `0903` и тайм-аут 300 секунд.

RomulusLoader выполняет функции установщика, координатора закрепления, внедрения кода в процессы и загрузчика. При наличии привилегий администратора он копирует компоненты в `C:\Program Files\Common Files\444.exe`, применяет атрибуты скрытого, системного и только для чтения файлов, а также создает запланированную задачу `Microsoft Compatibility system`, запускаемую при загрузке, для получения выполнения с правами SYSTEM. Кроме того, в нем присутствует обфусцированный путь повышения привилегий на основе RPC, точная техника которого пока не установлена. Фреймворк внедрения кода в процессы поддерживает внедрение через удаленные потоки, перехват контекста потока, внедрение в приостановленные процессы, создание процессов на основе токенов, выполнение с учетом сессии и взаимодействие с драйвером ядра.

Контроллер поддерживает транспортные протоколы TCP, надёжный UDP на основе KCP, а также HTTP/WebSocket, хотя в данном образце используется TCP. Команда `0x13000` извлекает и выполняет шеллкод следующего этапа, который доставляет VulcanRAT207.B. RAT использует протокол с магическим значением `0x020721A4`, необязательным сжатием zlib, сообщениями heartbeat и общим префиксом `0x0207`. Он обеспечивает разведку на хосте, управление процессами и службами, запросы к реестру и WMI, передачу файлов, выполнение команд, регистрацию нажатий клавиш, удалённое управление рабочим столом, ретрансляцию TCP и манипуляции с окнами.

VulcanRAT207.B также скрывает выбранные процессы, перехватывая вызовы API для получения информации о процессах, нацеливается на продукты безопасности, включая процессы 360 и QQ, и может пометить себя как критический компонент, чтобы вызвать сбой системы при попытке его завершения. Он поддерживает отдельные интерфейсы ядра в стиле PoisonX и TrueSight с различными именами устройств и IOCTL. Эти возможности и артефакты не следует путать с путём GoFly64.sys, используемым VulcanRAT207.A.

#ParsedReport #CompletenessHigh
15-10-2026

Inside a PaperCut Attacker’s AI Toolkit: Agent Instructions, Exploit Code, a Second RCE, and Victims Across 45+ Countries

https://hunt.io/blog/papercut-attacker-ai-toolkit-exploit-code-second-rce

Report completeness: High

Threats:
Metasploit_tool
Chisel_tool
Pentagi_tool
Meterpreter_tool
Nmap_tool
Credential_dumping_technique

Victims:
Papercut ng/mf users, Print management organizations

Industry:
Education

Geo:
Portugal, Switzerland, Chile, Netherlands, African, Sweden, Belgium, United kingdom, Africa, Italy, France, Malaysia, Australia, Canada, United states, Germany, Brazil, Puerto rico, Latin america, Holland, Spain, Saudi arabia, Asia-pacific, Singapore, South africa, Ireland, Taiwan

CVEs:
CVE-2026-82078 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- papercut papercut_mf (<24.1.9, <25.0.12, <26.0.4)
- papercut papercut_ng (<24.1.9, <25.0.12, <26.0.4)

CVE-2026-81578 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- papercut papercut_mf (<24.1.9, <25.0.12, <26.0.4)
- papercut papercut_ng (<24.1.9, <25.0.12, <26.0.4)


TTPs:
Tactics: 9
Technics: 16

IOCs:
IP: 7
File: 39
Path: 1
Hash: 4

Soft:
PaperCut, Linux, Active Directory, OpenAI, Codex, DeepSeek, scripting engine, Docker, Windows SECURITY, Unix, have more...

Algorithms:
sha256, base64

Functions:
getInstance, getServerHome

Win API:
SeBackupPrivilege, SeSecurityPrivilege

Languages:
groovy, golang, rust, java

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 7, windows: 7, dump: 1, chats: 1, chart: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие скомпрометировали серверы PaperCut, доступные из интернета, путем эксплуатации двух уязвимостей и злоупотребления функциональностью JDBC, H2, Derby и XML-RPC для Удаленного Выполнения Кода. После этого они собрали учетные данные, повысили привилегии, внесли изменения в учетные записи и политики, выполнили перечисление объектов Active Directory и установили постоянный доступ на основе SOCKS5 для перемещения по внутренним сетям.
-----

Кампания была направлена на серверы PaperCut NG/MF, доступные из интернета, с использованием уязвимостей CVE-2026-81578 — неавторизованного запроса, приведшего к раскрытию компонента Tapestry, доступного только администратору, — и CVE-2026-82078 — небезопасного дефекта рефлексии JDBC. Инструментарий злоумышленников выполнял первичную оценку уязвимостей с помощью безвредных запросов на чтение конфигурации, после чего изменял параметры PaperCut `user-lookup.*`, чтобы перенаправить запросы на SQL-запросы, контролируемые злоумышленником. В версии 26.x цепочка эксплуатации использовала обработку `INIT` в H2 и выполнение Groovy; в более старых версиях использовалась функция экспорта Apache Derby для записи вредоносного класса Java в каталог установки PaperCut. Вариант с выводом в веб-интерфейс записывал результаты выполнения команд в каталог `custom/web/` и предоставлял их по путям `/custom/` перед самовосстановлением (самоудалением).

Задокументированные в отчёте инструменты зафиксировали второй путь для Удаленного Выполнения Кода через XML-RPC-эндпоинт PaperCut, расположенный по адресу `/rpc/api/xmlrpc`. Сообщается, что при слабых механизмах контроля доступа к API или при отсутствии явно настроенного токена служба могла откатываться к встроенному паролю администратора, что позволяло выполнять вызовы `api.setConfigValue` и последующую эксплуатацию с использованием техники Derby. Актор также протестировал и отверг несколько других поверхностей атаки.

Деятельность на этапе постэксплуатации включала сбор учетных данных Windows с использованием инструментов, обращавшихся к данным веток реестра SYSTEM и SECURITY, секретам LSA, хешам учетных записей машин, учетным данным базы данных PaperCut, паролям LDAP, секретам хранилищ ключей (keystore) и учетным данным служебных учетных записей. Скомпрометированные хосты были преобразованы в точки перехода (пивоты) для доступа к внутренней сети посредством Java-мостов, обратных TCP-соединений и SOCKS5-прокси. Закрепление на системах Linux осуществлялось с помощью chisel, записей в cron, скриптов watchdog и обратных SOCKS5-соединений с инфраструктурой оператора, включая прослушиватель на `127.0.0.1:1083`.

Восстановленные журналы свидетельствовали об автоматизированной активности Metasploit, манипуляциях с учетными записями администраторов, изменениях политик безопасности, повышении привилегий до уровня SYSTEM и перечислении объектов Active Directory. Актор определил 1005 целей для разведки в не менее чем 45 странах, зафиксировал пять интерактивных сессий и поддерживал активный доступ через обратный SOCKS5 к 45 целям. Артефакты упаковки включали 46 доменов Active Directory, а также переиспользуемые данные прокси и учетных данных. Ключевые возможности для обнаружения атак включают неожиданные изменения `user-lookup.*`, файлы в каталоге `custom/web/`, вредоносные файлы классов, механизмы закрепления с использованием chisel и cron, необычные исходящие TLS-соединения, доступ через XML-RPC, несанкционированное создание учетных записей и активность по перечислению доменов с серверов PaperCut.

#ParsedReport #CompletenessHigh
20-10-2026

#StopRansomware: SafePay Ransomware

https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a

Report completeness: High

Actors/Campaigns:
Safepay

Threats:
Safepay
Sharefinder_tool
Lolbin_technique
Winrm_tool
Uac_bypass_technique
Rclone_tool
Anydesk_tool
Teamviewer_tool
Shadow_copies_delete_technique

Victims:
Businesses, Critical infrastructure

Industry:
Critical_infrastructure, Government

Geo:
Australia, America

CVEs:
CVE-2024-40766 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- sonicwall sonicos (<5.9.2.14-13o)

CVE-2024-40711 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- veeam veeam_backup_\&_replication (<12.2.0.334)

CVE-2023-20269 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- cisco adaptive_security_appliance_software (9.8.1, 9.8.1.5, 9.8.1.7, 9.8.2, 9.8.2.8)

CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- veeam veeam_backup_\&_replication (<11.0.1.1261, 12.0.0.1420)

CVE-2020-3259 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- cisco secure_firewall_threat_defense (<6.2.3.16, <6.3.0.6, <6.4.0.9, <6.5.0.5)
- cisco adaptive_security_appliance_software (<9.8.4.20, <9.9.2.67, <9.10.1.40, <9.12.3.9, <9.13.1.10)


TTPs:
Tactics: 6
Technics: 24

IOCs:
File: 1
IP: 9
Hash: 9

Soft:
PsExec, Active Directory, component object model, WinRAR, WinSCP

Crypto:
bitcoin

Algorithms:
chacha20

Functions:
PowerShell

Links:
https://github.com/cisagov/Decider/

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
SafePay — группа вымогателей, использующая программное обеспечение для шифрования данных (ransomware), активная с августа 2024 года, которая атаковала не менее 600 организаций по всему миру. Она получает доступ через украденные учетные данные, фишинг, брутфорс, злоупотребление VPN и уязвимые системы, доступные из интернета, а затем использует легитимные инструменты для повышения привилегий, перемещения внутри компании, кражи данных и нарушения процессов восстановления. SafePay шифрует файлы с использованием ChaCha20/RSA, добавляет расширение `.SafePay` и угрожает опубликовать украденные данные.
-----

SafePay — группа вымогателей, активная с августа 2024 года, чья деятельность затронула не менее 600 жертв в секторах критической инфраструктуры и бизнеса в Северной и Южной Америке, Европе и Австралии. Группа получает первоначальный доступ через раскрытые или скомпрометированные учетные данные, распыление пароля или атаки брутфорса, фишинг, злоупотребление учетными записями VPN, а также эксплуатация систем, доступных из интернета, и периметровых устройств. Акторы использовали скомпрометированные профили и инфраструктуру Mullvad VPN для доступа к сетям жертв. В отчете упоминаются эксплуатированные CVE, однако конкретные идентификаторы уязвимостей не приведены в предоставленном тексте.

После получения доступа SafePay обеспечивает закрепление, повышая привилегии на существующих учетных записях или создавая новые учетные записи с административными правами. Группа использует встроенные инструменты Windows и легитимные приложения для выполнения команд и перемещения внутри компании, в том числе PsExec, Службу удаленного управления Windows, Протокол удаленного рабочего стола, а также программное обеспечение для удаленного мониторинга и управления. Скрипт ShareFinder.ps1 и утилита SharpShares.exe применяются для перечисления сетевых шар и выявления ценных систем и файлов. Также зафиксировано, что участники SafePay обходят контроль учетных записей пользователей (User Account Control), имитируют токены доступа, отключают средства защиты, изменяют пароли пользователей, а также используют упаковку или защиты на основе виртуализации для сокрытия вредоносного кода.

Для сбора и эксфильтрации данных группа использует FileZilla, 7-Zip, RClone, WinRAR, WinSCP и OneDrive. Данные сжимаются перед передачей на учетные записи или в облачные хранилища, контролируемые злоумышленниками. AnyDesk и TeamViewer могут быть установлены для передачи программ-вымогателей и других инструментов. Для предотвращения восстановления SafePay останавливает службу копирования тома (Volume Shadow Copy Service) и сбрасывает сетевые устройства хранения данных, содержащие резервные копии.

SafePay шифрует файлы с использованием гибридной схемы на базе ChaCha20 и RSA, применяя полное или частичное шифрование в зависимости от типа и размера файла. Зашифрованные файлы, как правило, получают расширение `.SafePay`. Жертвы получают записки с требованием выкупа, направляющие их на чат-портал в сети Tor, при этом украденные данные могут быть опубликованы на сайте утечек SafePay в случае отсутствия оплаты. Вредоносное ПО может удалить себя после завершения шифрования.

#ParsedReport #CompletenessMedium
20-10-2026

Swallowtail: Russian Espionage Group Targets Defense Firms in Two NATO Countries

https://www.security.com/threat-intelligence/swallowtail-russia-nato-targets

Report completeness: Medium

Actors/Campaigns:
Fancy_bear (motivation: cyber_espionage)

Threats:
Hookedge
Ntlmrelayx_tool

Victims:
Law enforcement, Shipbuilding, Aerospace engine manufacturing, Defense manufacturing

Industry:
Maritime, Military, Aerospace, Government

Geo:
Russian, America

ChatGPT TTPs:
do not use without manual check
T1016, T1016.001, T1018, T1027, T1033, T1041, T1053.005, T1057, T1059.001, T1059.003, have more...

IOCs:
File: 7
Path: 6
Url: 5
IP: 2
Hash: 21

Soft:
Microsoft Edge, Outlook, curl, Dropbox, OpenSSH

Algorithms:
sha256, base64

Languages:
powershell, vbscript, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
APT28 проводила длительную киберразведку в отношении объектов оборонного и государственного секторов НАТО, используя документы с макросами для развертывания бэкдора Hookedge. В ходе операции осуществлялись разведка, интерактивный удаленный доступ, туннелирование сети, кража учетных данных NTLM и выполнение полезной нагрузки в оперативной памяти, а также поддерживалась устойчивая активность управления.
-----

Swallowtail, также известная как APT28, Fancy Bear и Forest Blizzard, проводила операции кибершпионажа против организаций в двух государствах — членах НАТО. Среди целей находились орган правоохранительных органов, производитель авиационных двигателей и верфь по строительству кораблей. Целевая направленность указывает на усилия по сбору разведывательной информации, сфокусированные на данных в сферах государственного управления, обороны и национальной безопасности.

Группа использовала бэкдор Hookedge, доставляемый через документы Word с макросами. При вторжении на верфь злонамеренный документ был открыт из кэша вложений Outlook. Его обфусцированный макрос VBA развернул загрузчик VBScript, файлы HTML/XHTML и пакетный скрипт. Пакетный скрипт запустил практически невидимый процесс Microsoft Edge со встроенным JavaScript-нагрузкой, используя браузер для получения файлов и задач с webhook.site. Hookedge выполнял сбор информации о системе, включая проверку прокси и WPAD, активные сеансы, конфигурацию IP, системную информацию, список запущенных процессов, содержимое каталогов и тесты соединения с несколькими внешними сервисами.

Впоследствии операторы переместили компонент Hookedge второго этапа на выделенный IP-адрес, контролируемый злоумышленниками. Быстрое выполнение задач в течение нескольких секунд указывало на интерактивную активность с ручным управлением (hands-on-keyboard). Злоумышленники проводили обнаружение внутренних хостов с помощью DNS-запросов и ping-запросов, включая запросы к системам, которые, по всей видимости, включали почтовый сервер.

Кража учётных данных осуществлялась с использованием двух техник. Во-первых, злоумышленники разместили закрытый ключ SSH на скомпрометированном хосте и использовали клиент Windows OpenSSH для подключения к своему серверу через порт 80. Установленное соединение создало постоянный фоновый туннель для удалённого перенаправления портов, обеспечив доступ из инфраструктуры злоумышленников во внутреннюю сеть жертвы. Для облегчения подключения они отключили проверку ключей хоста и включили устаревшие алгоритмы RSA.

Во-вторых, злоумышленники выполнили скрипт PowerShell, который создал локальный прослушиватель и принудительно заставил хост аутентифицироваться в нем через трафик, аналогичный SMB. Скрипт перехватывал пары «запрос-ответ» NTLMv2, которые могли быть использованы для офлайн-взлома пароля или атак ретрансляции. Позднее в ходе вторжения операторы развернули `ld.exe` и `Events.dat`. Ранее не документированный загрузчик `ld.exe` расшифровывает зашифрованную полезную нагрузку и выполняет ее в памяти; для выполнения полезной нагрузки требуется ключ, предоставляемый во время выполнения, и она не может быть запущена самостоятельно. Вторжение продолжалось не менее двух месяцев, с многократным доступом и непрерывной активностью управления.

#ParsedReport #CompletenessLow
19-10-2026

CVE-2026-102764: Critical BeyondTrust Remote Support Authentication Bypass Exploited in the Wild

https://www.rapid7.com/blog/post/etr-cve-2026-102764-critical-beyondtrust-remote-support-authentication-bypass-exploited-in-the-wild

Report completeness: Low

Actors/Campaigns:
Unc5221 (motivation: cyber_espionage)

Threats:
Sawfly
Bareclaw

Victims:
Remote access products

CVEs:
CVE-2026-102764 [Vulners]
CVSS V3.1: 9.3,
Vulners: Exploitation: Unknown

CVE-2026-1731 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- beyondtrust privileged_remote_access (<25.1)
- beyondtrust remote_support (<25.3.2)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1098, T1105, T1190, T1505.003

IOCs:
Hash: 2

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Уязвимость CVE-2026-102764 представляет собой критический дефект обхода аутентификации в BeyondTrust Remote Support, который активно эксплуатируется группой ARMORY CASTLE (UNC5221), связанной с Китаем. Злоумышленники использовали эту уязвимость для загрузки файлов, развертывания SAWFLY и BARECLAW, получения прав root, извлечения учетных данных, закрепления в системе и удаления журналов.
-----

BeyondTrust раскрыла уязвимость CVE-2026-102764 15 октября 2026 года — критическую уязвимость обхода аутентификации в компоненте Remote Support (RS). Дефект затрагивает версии 26.2.3 и более ранние, если не применен патч BT26-05-RS. Он позволяет удаленным злоумышленникам без аутентификации выполнять файловые операции на уязвимом устройстве без взаимодействия с пользователем. Уязвимость классифицирована как CWE-290 (обход аутентификации путем подделки) и имеет оценку CVSSv4 9,3. CISA внесла ее в каталог Known Exploited Vulnerabilities 16 октября, указав на активное эксплуатирование, установив срок устранения до 19 октября и потребовав проведения криминалистического анализа.

Уязвимость возникает из-за недостаточной проверки источника сообщений, получаемых внутренними компонентами Remote Support. Хотя BeyondTrust не опубликовала подробную информацию об эксплуатации, Mandiant зафиксировала, что злоумышленники использовали эту уязвимость для загрузки произвольных файлов, развертывания Веб-шелла SAWFLY на PHP и туннеля BARECLAW, повышения привилегий до root, попытки извлечения хранилища учетных данных, закрепления в системе и удаления журналов. Активность была отнесена к ARMORY CASTLE, предположительно связанной с Китаем группе шпионов, ранее отслеживавшейся под обозначением UNC5221.

Признаками возможной компрометации могут быть нераспознанные административные сессии, инициированные из сетей домашнего широкополосного доступа или коммерческой инфраструктуры VPN, непредвиденные скрипты в веб-доступных каталогах, а также шеллы, запущенные учетными записями веб-службы. Расследователям также следует проверить несанкционированные изменения учетных записей, разрешений или политик сессий, особенно те, которые затрагивают Jump Items или Teams. Пробелы в передаче журналов, ограниченные одной сессией, могут указывать на подделку журналов или попытки скрыть активность. Организациям следует срочно применить патч от поставщика и провести криминалистический анализ затронутых устройств Remote Support на наличие признаков эксплуатации уязвимости или закрепления.

#ParsedReport #CompletenessHigh
19-10-2026

Inside DarkVision RAT

https://rexorvc0.com/2026/10/19/Inside-DarkVision/

Report completeness: High

Threats:
Darkvisionrat
Credential_stealing_technique
Smokeloader
Purecrypter
Donut
Graftloader
Clickfix_technique
Asyncrat
Amadey
Vidar_stealer
Stealc
Raccoon_stealer
Confuserex_tool
Eazfuscator_tool
Steganography_technique
Uac_bypass_technique
Process_hollowing_technique
Lolbin_technique
Antidebugging_technique
Process_injection_technique
Spear-phishing_technique
Dll_injection_technique

Victims:
Worldwide devices

Geo:
Russian, Russia

TTPs:
Tactics: 9
Technics: 0

IOCs:
File: 22
Command: 2
Registry: 4
Path: 3
Email: 2
Hash: 20
IP: 9
Domain: 0
Url: 0
BrowserExtension: 0

Soft:
Chrome, Opera, Vivaldi, Firefox, FoxMail, WinHTTP, Windows Defender, Telegram, Twitter, winlogon, have more...

Crypto:
monero

Algorithms:
aes-128, xor, zip, aes, base64, lzma

Functions:
Read-Only, Initialize, UnInitialize, UnInstall, SetWindowsHookEx, ReadOnly

Win API:
VirtualAlloc, GetProcAddress, LoadLibrary, ZwSetVol, ZwSuspendThread, ZwTerminateJob, ZwTerminateProcess, ZwTerminateThread, RtlDecompressBuffer, TXT, have more...

Languages:
javascript, powershell

Platforms:
x64

Links:
https://github.com/CHUMENII/COM-UACBypass-Privilege-Escalation

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 5, code: 17, dump: 8, table: 2