#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 7, windows: 7, dump: 1, chats: 1, chart: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие скомпрометировали серверы PaperCut, доступные из интернета, путем эксплуатации двух уязвимостей и злоупотребления функциональностью JDBC, H2, Derby и XML-RPC для Удаленного Выполнения Кода. После этого они собрали учетные данные, повысили привилегии, внесли изменения в учетные записи и политики, выполнили перечисление объектов Active Directory и установили постоянный доступ на основе SOCKS5 для перемещения по внутренним сетям.
-----

Кампания была направлена на серверы PaperCut NG/MF, доступные из интернета, с использованием уязвимостей CVE-2026-81578 — неавторизованного запроса, приведшего к раскрытию компонента Tapestry, доступного только администратору, — и CVE-2026-82078 — небезопасного дефекта рефлексии JDBC. Инструментарий злоумышленников выполнял первичную оценку уязвимостей с помощью безвредных запросов на чтение конфигурации, после чего изменял параметры PaperCut `user-lookup.*`, чтобы перенаправить запросы на SQL-запросы, контролируемые злоумышленником. В версии 26.x цепочка эксплуатации использовала обработку `INIT` в H2 и выполнение Groovy; в более старых версиях использовалась функция экспорта Apache Derby для записи вредоносного класса Java в каталог установки PaperCut. Вариант с выводом в веб-интерфейс записывал результаты выполнения команд в каталог `custom/web/` и предоставлял их по путям `/custom/` перед самовосстановлением (самоудалением).

Задокументированные в отчёте инструменты зафиксировали второй путь для Удаленного Выполнения Кода через XML-RPC-эндпоинт PaperCut, расположенный по адресу `/rpc/api/xmlrpc`. Сообщается, что при слабых механизмах контроля доступа к API или при отсутствии явно настроенного токена служба могла откатываться к встроенному паролю администратора, что позволяло выполнять вызовы `api.setConfigValue` и последующую эксплуатацию с использованием техники Derby. Актор также протестировал и отверг несколько других поверхностей атаки.

Деятельность на этапе постэксплуатации включала сбор учетных данных Windows с использованием инструментов, обращавшихся к данным веток реестра SYSTEM и SECURITY, секретам LSA, хешам учетных записей машин, учетным данным базы данных PaperCut, паролям LDAP, секретам хранилищ ключей (keystore) и учетным данным служебных учетных записей. Скомпрометированные хосты были преобразованы в точки перехода (пивоты) для доступа к внутренней сети посредством Java-мостов, обратных TCP-соединений и SOCKS5-прокси. Закрепление на системах Linux осуществлялось с помощью chisel, записей в cron, скриптов watchdog и обратных SOCKS5-соединений с инфраструктурой оператора, включая прослушиватель на `127.0.0.1:1083`.

Восстановленные журналы свидетельствовали об автоматизированной активности Metasploit, манипуляциях с учетными записями администраторов, изменениях политик безопасности, повышении привилегий до уровня SYSTEM и перечислении объектов Active Directory. Актор определил 1005 целей для разведки в не менее чем 45 странах, зафиксировал пять интерактивных сессий и поддерживал активный доступ через обратный SOCKS5 к 45 целям. Артефакты упаковки включали 46 доменов Active Directory, а также переиспользуемые данные прокси и учетных данных. Ключевые возможности для обнаружения атак включают неожиданные изменения `user-lookup.*`, файлы в каталоге `custom/web/`, вредоносные файлы классов, механизмы закрепления с использованием chisel и cron, необычные исходящие TLS-соединения, доступ через XML-RPC, несанкционированное создание учетных записей и активность по перечислению доменов с серверов PaperCut.

#ParsedReport #CompletenessHigh
20-10-2026

#StopRansomware: SafePay Ransomware

https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a

Report completeness: High

Actors/Campaigns:
Safepay

Threats:
Safepay
Sharefinder_tool
Lolbin_technique
Winrm_tool
Uac_bypass_technique
Rclone_tool
Anydesk_tool
Teamviewer_tool
Shadow_copies_delete_technique

Victims:
Businesses, Critical infrastructure

Industry:
Critical_infrastructure, Government

Geo:
Australia, America

CVEs:
CVE-2024-40766 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- sonicwall sonicos (<5.9.2.14-13o)

CVE-2024-40711 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- veeam veeam_backup_\&_replication (<12.2.0.334)

CVE-2023-20269 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- cisco adaptive_security_appliance_software (9.8.1, 9.8.1.5, 9.8.1.7, 9.8.2, 9.8.2.8)

CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- veeam veeam_backup_\&_replication (<11.0.1.1261, 12.0.0.1420)

CVE-2020-3259 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- cisco secure_firewall_threat_defense (<6.2.3.16, <6.3.0.6, <6.4.0.9, <6.5.0.5)
- cisco adaptive_security_appliance_software (<9.8.4.20, <9.9.2.67, <9.10.1.40, <9.12.3.9, <9.13.1.10)


TTPs:
Tactics: 6
Technics: 24

IOCs:
File: 1
IP: 9
Hash: 9

Soft:
PsExec, Active Directory, component object model, WinRAR, WinSCP

Crypto:
bitcoin

Algorithms:
chacha20

Functions:
PowerShell

Links:
https://github.com/cisagov/Decider/

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
SafePay — группа вымогателей, использующая программное обеспечение для шифрования данных (ransomware), активная с августа 2024 года, которая атаковала не менее 600 организаций по всему миру. Она получает доступ через украденные учетные данные, фишинг, брутфорс, злоупотребление VPN и уязвимые системы, доступные из интернета, а затем использует легитимные инструменты для повышения привилегий, перемещения внутри компании, кражи данных и нарушения процессов восстановления. SafePay шифрует файлы с использованием ChaCha20/RSA, добавляет расширение `.SafePay` и угрожает опубликовать украденные данные.
-----

SafePay — группа вымогателей, активная с августа 2024 года, чья деятельность затронула не менее 600 жертв в секторах критической инфраструктуры и бизнеса в Северной и Южной Америке, Европе и Австралии. Группа получает первоначальный доступ через раскрытые или скомпрометированные учетные данные, распыление пароля или атаки брутфорса, фишинг, злоупотребление учетными записями VPN, а также эксплуатация систем, доступных из интернета, и периметровых устройств. Акторы использовали скомпрометированные профили и инфраструктуру Mullvad VPN для доступа к сетям жертв. В отчете упоминаются эксплуатированные CVE, однако конкретные идентификаторы уязвимостей не приведены в предоставленном тексте.

После получения доступа SafePay обеспечивает закрепление, повышая привилегии на существующих учетных записях или создавая новые учетные записи с административными правами. Группа использует встроенные инструменты Windows и легитимные приложения для выполнения команд и перемещения внутри компании, в том числе PsExec, Службу удаленного управления Windows, Протокол удаленного рабочего стола, а также программное обеспечение для удаленного мониторинга и управления. Скрипт ShareFinder.ps1 и утилита SharpShares.exe применяются для перечисления сетевых шар и выявления ценных систем и файлов. Также зафиксировано, что участники SafePay обходят контроль учетных записей пользователей (User Account Control), имитируют токены доступа, отключают средства защиты, изменяют пароли пользователей, а также используют упаковку или защиты на основе виртуализации для сокрытия вредоносного кода.

Для сбора и эксфильтрации данных группа использует FileZilla, 7-Zip, RClone, WinRAR, WinSCP и OneDrive. Данные сжимаются перед передачей на учетные записи или в облачные хранилища, контролируемые злоумышленниками. AnyDesk и TeamViewer могут быть установлены для передачи программ-вымогателей и других инструментов. Для предотвращения восстановления SafePay останавливает службу копирования тома (Volume Shadow Copy Service) и сбрасывает сетевые устройства хранения данных, содержащие резервные копии.

SafePay шифрует файлы с использованием гибридной схемы на базе ChaCha20 и RSA, применяя полное или частичное шифрование в зависимости от типа и размера файла. Зашифрованные файлы, как правило, получают расширение `.SafePay`. Жертвы получают записки с требованием выкупа, направляющие их на чат-портал в сети Tor, при этом украденные данные могут быть опубликованы на сайте утечек SafePay в случае отсутствия оплаты. Вредоносное ПО может удалить себя после завершения шифрования.

#ParsedReport #CompletenessMedium
20-10-2026

Swallowtail: Russian Espionage Group Targets Defense Firms in Two NATO Countries

https://www.security.com/threat-intelligence/swallowtail-russia-nato-targets

Report completeness: Medium

Actors/Campaigns:
Fancy_bear (motivation: cyber_espionage)

Threats:
Hookedge
Ntlmrelayx_tool

Victims:
Law enforcement, Shipbuilding, Aerospace engine manufacturing, Defense manufacturing

Industry:
Maritime, Military, Aerospace, Government

Geo:
Russian, America

ChatGPT TTPs:
do not use without manual check
T1016, T1016.001, T1018, T1027, T1033, T1041, T1053.005, T1057, T1059.001, T1059.003, have more...

IOCs:
File: 7
Path: 6
Url: 5
IP: 2
Hash: 21

Soft:
Microsoft Edge, Outlook, curl, Dropbox, OpenSSH

Algorithms:
sha256, base64

Languages:
powershell, vbscript, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
APT28 проводила длительную киберразведку в отношении объектов оборонного и государственного секторов НАТО, используя документы с макросами для развертывания бэкдора Hookedge. В ходе операции осуществлялись разведка, интерактивный удаленный доступ, туннелирование сети, кража учетных данных NTLM и выполнение полезной нагрузки в оперативной памяти, а также поддерживалась устойчивая активность управления.
-----

Swallowtail, также известная как APT28, Fancy Bear и Forest Blizzard, проводила операции кибершпионажа против организаций в двух государствах — членах НАТО. Среди целей находились орган правоохранительных органов, производитель авиационных двигателей и верфь по строительству кораблей. Целевая направленность указывает на усилия по сбору разведывательной информации, сфокусированные на данных в сферах государственного управления, обороны и национальной безопасности.

Группа использовала бэкдор Hookedge, доставляемый через документы Word с макросами. При вторжении на верфь злонамеренный документ был открыт из кэша вложений Outlook. Его обфусцированный макрос VBA развернул загрузчик VBScript, файлы HTML/XHTML и пакетный скрипт. Пакетный скрипт запустил практически невидимый процесс Microsoft Edge со встроенным JavaScript-нагрузкой, используя браузер для получения файлов и задач с webhook.site. Hookedge выполнял сбор информации о системе, включая проверку прокси и WPAD, активные сеансы, конфигурацию IP, системную информацию, список запущенных процессов, содержимое каталогов и тесты соединения с несколькими внешними сервисами.

Впоследствии операторы переместили компонент Hookedge второго этапа на выделенный IP-адрес, контролируемый злоумышленниками. Быстрое выполнение задач в течение нескольких секунд указывало на интерактивную активность с ручным управлением (hands-on-keyboard). Злоумышленники проводили обнаружение внутренних хостов с помощью DNS-запросов и ping-запросов, включая запросы к системам, которые, по всей видимости, включали почтовый сервер.

Кража учётных данных осуществлялась с использованием двух техник. Во-первых, злоумышленники разместили закрытый ключ SSH на скомпрометированном хосте и использовали клиент Windows OpenSSH для подключения к своему серверу через порт 80. Установленное соединение создало постоянный фоновый туннель для удалённого перенаправления портов, обеспечив доступ из инфраструктуры злоумышленников во внутреннюю сеть жертвы. Для облегчения подключения они отключили проверку ключей хоста и включили устаревшие алгоритмы RSA.

Во-вторых, злоумышленники выполнили скрипт PowerShell, который создал локальный прослушиватель и принудительно заставил хост аутентифицироваться в нем через трафик, аналогичный SMB. Скрипт перехватывал пары «запрос-ответ» NTLMv2, которые могли быть использованы для офлайн-взлома пароля или атак ретрансляции. Позднее в ходе вторжения операторы развернули `ld.exe` и `Events.dat`. Ранее не документированный загрузчик `ld.exe` расшифровывает зашифрованную полезную нагрузку и выполняет ее в памяти; для выполнения полезной нагрузки требуется ключ, предоставляемый во время выполнения, и она не может быть запущена самостоятельно. Вторжение продолжалось не менее двух месяцев, с многократным доступом и непрерывной активностью управления.

#ParsedReport #CompletenessLow
19-10-2026

CVE-2026-102764: Critical BeyondTrust Remote Support Authentication Bypass Exploited in the Wild

https://www.rapid7.com/blog/post/etr-cve-2026-102764-critical-beyondtrust-remote-support-authentication-bypass-exploited-in-the-wild

Report completeness: Low

Actors/Campaigns:
Unc5221 (motivation: cyber_espionage)

Threats:
Sawfly
Bareclaw

Victims:
Remote access products

CVEs:
CVE-2026-102764 [Vulners]
CVSS V3.1: 9.3,
Vulners: Exploitation: Unknown

CVE-2026-1731 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- beyondtrust privileged_remote_access (<25.1)
- beyondtrust remote_support (<25.3.2)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1098, T1105, T1190, T1505.003

IOCs:
Hash: 2

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Уязвимость CVE-2026-102764 представляет собой критический дефект обхода аутентификации в BeyondTrust Remote Support, который активно эксплуатируется группой ARMORY CASTLE (UNC5221), связанной с Китаем. Злоумышленники использовали эту уязвимость для загрузки файлов, развертывания SAWFLY и BARECLAW, получения прав root, извлечения учетных данных, закрепления в системе и удаления журналов.
-----

BeyondTrust раскрыла уязвимость CVE-2026-102764 15 октября 2026 года — критическую уязвимость обхода аутентификации в компоненте Remote Support (RS). Дефект затрагивает версии 26.2.3 и более ранние, если не применен патч BT26-05-RS. Он позволяет удаленным злоумышленникам без аутентификации выполнять файловые операции на уязвимом устройстве без взаимодействия с пользователем. Уязвимость классифицирована как CWE-290 (обход аутентификации путем подделки) и имеет оценку CVSSv4 9,3. CISA внесла ее в каталог Known Exploited Vulnerabilities 16 октября, указав на активное эксплуатирование, установив срок устранения до 19 октября и потребовав проведения криминалистического анализа.

Уязвимость возникает из-за недостаточной проверки источника сообщений, получаемых внутренними компонентами Remote Support. Хотя BeyondTrust не опубликовала подробную информацию об эксплуатации, Mandiant зафиксировала, что злоумышленники использовали эту уязвимость для загрузки произвольных файлов, развертывания Веб-шелла SAWFLY на PHP и туннеля BARECLAW, повышения привилегий до root, попытки извлечения хранилища учетных данных, закрепления в системе и удаления журналов. Активность была отнесена к ARMORY CASTLE, предположительно связанной с Китаем группе шпионов, ранее отслеживавшейся под обозначением UNC5221.

Признаками возможной компрометации могут быть нераспознанные административные сессии, инициированные из сетей домашнего широкополосного доступа или коммерческой инфраструктуры VPN, непредвиденные скрипты в веб-доступных каталогах, а также шеллы, запущенные учетными записями веб-службы. Расследователям также следует проверить несанкционированные изменения учетных записей, разрешений или политик сессий, особенно те, которые затрагивают Jump Items или Teams. Пробелы в передаче журналов, ограниченные одной сессией, могут указывать на подделку журналов или попытки скрыть активность. Организациям следует срочно применить патч от поставщика и провести криминалистический анализ затронутых устройств Remote Support на наличие признаков эксплуатации уязвимости или закрепления.

#ParsedReport #CompletenessHigh
19-10-2026

Inside DarkVision RAT

https://rexorvc0.com/2026/10/19/Inside-DarkVision/

Report completeness: High

Threats:
Darkvisionrat
Credential_stealing_technique
Smokeloader
Purecrypter
Donut
Graftloader
Clickfix_technique
Asyncrat
Amadey
Vidar_stealer
Stealc
Raccoon_stealer
Confuserex_tool
Eazfuscator_tool
Steganography_technique
Uac_bypass_technique
Process_hollowing_technique
Lolbin_technique
Antidebugging_technique
Process_injection_technique
Spear-phishing_technique
Dll_injection_technique

Victims:
Worldwide devices

Geo:
Russian, Russia

TTPs:
Tactics: 9
Technics: 0

IOCs:
File: 22
Command: 2
Registry: 4
Path: 3
Email: 2
Hash: 20
IP: 9
Domain: 0
Url: 0
BrowserExtension: 0

Soft:
Chrome, Opera, Vivaldi, Firefox, FoxMail, WinHTTP, Windows Defender, Telegram, Twitter, winlogon, have more...

Crypto:
monero

Algorithms:
aes-128, xor, zip, aes, base64, lzma

Functions:
Read-Only, Initialize, UnInitialize, UnInstall, SetWindowsHookEx, ReadOnly

Win API:
VirtualAlloc, GetProcAddress, LoadLibrary, ZwSetVol, ZwSuspendThread, ZwTerminateJob, ZwTerminateProcess, ZwTerminateThread, RtlDecompressBuffer, TXT, have more...

Languages:
javascript, powershell

Platforms:
x64

Links:
https://github.com/CHUMENII/COM-UACBypass-Privilege-Escalation

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 5, code: 17, dump: 8, table: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
DarkVision — это RAT, работающий по модели ВПО как услуга, используемый в фишинге, вредоносной рекламе, поддельном программном обеспечении и вредоносных архивах. Его многоэтапные загрузчики используют обфускацию, стеганографию, внедрение кода в процессы или hollowing, механизмы закрепления, а также функции противодействия анализу. Он обменивается данными по зашифрованному TCP, поддерживает модульные плагины и удаленные команды, а также крадет учетные данные браузеров через внедрение в процессы браузеров на базе Chromium.
-----

DarkVision использует многоэтапные загрузчики на C++/.NET, способные распаковывать и выполнять DLL или исполняемые файлы непосредственно из памяти.

Варианты NET скрывают модули полезной нагрузки в битмапных ресурсах с использованием пиксельной стеганографии и рекурсивно извлекают встроенные библиотеки.

Первоначальный доступ обычно осуществляется с использованием вредоносных файлов VBS, JavaScript, BAT, HTA или LNK в сочетании с PowerShell, обфускацией, декодированием XOR/Base64 и промежуточными загрузками.

Механизмы закрепления включают ключи запуска в реестре, запланированные задачи и BAT-файлы, размещённые в папках автозагрузки.

ВПО может копировать себя в файл со случайным именем в каталоге `%AppData%\Roaming`, устанавливать атрибуты «Скрытый» и «Только для чтения», а также создавать исключения для Defender.

DarkVision может выполнять повышение привилегий UAC на основе COM, внедряя шеллкод в `explorer.exe`, когда административные привилегии недоступны.

Он использует внедрение в пустой процесс и отображение секций для выполнения внутри процессов, таких как `explorer.exe`.

Проверки на противодействие анализу перечисляют запущенные процессы и сопоставляют их с внутренним списком инструментов анализа.

DarkVision использует собственный TCP-протокол для связи, при этом опционально применяются SOCKS5 и шифрование сессий AES-128.

Её система плагинов загружает DLL из каталога `ProgramData` или скачивает их с сервера C2 для обеспечения выполнения команд, закрепления и создания обратных шеллов.

Плагин-стиллер для браузеров нацелен на браузеры на базе Chromium, включая Chrome, Brave, Edge и Opera, путем доступа к базам данных `Login Data` и памяти браузера.

Укрادенные учетные данные браузера выгружаются отдельно через WinHTTP, как правило, по протоколу HTTPS, что позволяет обходить ограничения, наложенные на настроенный порт C2.

#ParsedReport #CompletenessHigh
21-10-2026

Amazon-Themed ClickFix Campaign Serves Up Finger-Licking Malware

https://www.huntress.com/blog/amazon-clickfix-finger

Report completeness: High

Threats:
Clickfix_technique
Lolbin_technique
Lumma_stealer
Netsupportmanager_rat
Metasploit_tool
Meterpreter_tool
Cmder
Process_hollowing_technique
Macc_stealer
Nodestealer

Victims:
Amazon users, Businesses

ChatGPT TTPs:
do not use without manual check
T1027, T1027.013, T1033, T1036, T1036.005, T1041, T1055, T1055.012, T1059.003, T1059.004, have more...

IOCs:
Domain: 8
Url: 10
File: 7
Email: 1
Path: 1
IP: 2
Hash: 8

Soft:
ChatGPT, macOS, Unix, curl, Node.js, Chrome, Firefox, Opera, LastPass, Dashlane, have more...

Wallets:
electrum, atomicwallet

Algorithms:
aes-256-gcm, base64, xor, sha256, zip, rc4

Win API:
HeapCreate, HeapAlloc

Languages:
python, ironpython, powershell

Platforms:
x64, cross-platform

Links:
https://github.com/Veil-Framework/Veil
https://github.com/huntresslabs/threat-intel/blob/main/2026/2026-10/20261021\_IoC\_finger-lickin-bad.csv

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix с тематикой Amazon использовала поддельный CAPTCHA, чтобы заставить жертв выполнить команды, запустившие многоэтапную цепочку заражения. В ходе атаки были использованы утилита `finger`, IronPython, закодированный шеллкод и загрузчик Doina для развертывания Lumma Stealer, который собирал данные из браузеров и приложений, а также устанавливал пиратскую версию клиента NetSupport RMM для удаленного доступа.
-----

Huntress расследовала кампанию ClickFix с тематикой Amazon, которая началась со спонсируемого результата в Google по запросу «amazon business». Жертв перенаправляли на поддельную страницу входа в Amazon, размещенную на Google Sites, где им предлагалось пройти поддельный CAPTCHA с инструкцией по выполнению команды. Кампания также поддерживала пользователей macOS, предлагая альтернативные инструкции для Terminal, хотя URL macOS-нагрузки, обнаруженный в ходе анализа, был недоступен.

В ОС Windows команда ClickFix вызывала встроенную утилиту `finger` в качестве бинарного файла для техники Living-off-the-land. Злоумышленник размещал вредоносный скрипт в файле `.plan`, связанном с удаленной учетной записью. Данный скрипт использовал `curl` для загрузки IronPython 3.4.2 с GitHub, сохранял архив с расширением `.pdf` во временном каталоге пользователя и извлекал его с помощью утилиты `tar` для Windows. Включенный в состав интерпретатор `ipyw32.exe` затем выполнял Python-нагрузку, закодированную в Base64 и сжатую алгоритмом zlib.

Скрипт следующего этапа на языке Python, названный `timer6`, использовал подстановки кириллических символов для затруднения декодирования Base64. Он декодировал и выполнял шеллкод, защищённый 19-байтовым ключом XOR, в результате чего создавался загрузчик в формате Windows PE. Загрузчик искал файл `.ini`, содержащий URL для загрузки, получал полезную нагрузку, используя User-Agent, имитирующий браузер, и расшифровывал её с помощью RC4. Наблюдаемая полезная нагрузка была получена с `grillmasterchef[.\]com` и, вероятно, была идентифицирована как Doina — модульный загрузчик/RAT и стиллер. Doina впоследствии скачал ZIP-архив размером 52 МБ с `kiriosyka[.\]com`, содержащий портативный рантайм Node.js и обфусцированный скрипт `index.js`.

Вредоносное ПО для Node.js развернуло инъектор отражаемых DLL с использованием sRDI и полезную нагрузку, идентифицированную как Lumma Stealer. Lumma профилировал жертву, осуществлял эксфильтрацию информации об узле и пользователе по протоколу HTTPS и поддерживал связь через WebSockets. Целью атаки стали данные приложений и браузеров; для управления и эксфильтрации использовались несколько доменов с тематикой барбекю, в том числе `thegrilljournal[.\]com`, `homelygrill[.\]com` и `perfectgrillrecipes[.\]com`.

В результате заражения также был установлен пиратский клиент NetSupport RMM в каталоге `C:\ProgramData\Prodclear`. Он осуществлял связь по протоколу HTTPS на TCP-порту 725 с адресом `167.148.201[.\]106`, используя путь `/fakeurl.htm`.

#ParsedReport #CompletenessHigh
21-10-2026

Stray Cat, Open Doors: How k0t Wanders Through the Network Edge

https://www.group-ib.com/blog/stray-cat-network-edge/

Report completeness: High

Actors/Campaigns:
Fortibleed
Gentlemen_ransomware

Threats:
Qilin_ransomware
Openconnect_tool
Adaptixc2_tool
Credential_harvesting_technique
Meshagent_tool
Meshcentral_tool
Atera_tool
Netexec_tool
Impacket_tool
Secretsdump_tool
Nopac_tool
Kerbrute_tool
Password_spray_technique
Petitpotam_tool
Mimikatz_tool
Teramind_tool
Anydesk_tool
Ngrok_tool
Rclone_tool
Credential_dumping_technique
Atexec_tool
Smbexec_tool
Nezha_tool

Victims:
Organizations worldwide

Geo:
Asia pacific, Canada, America, Asia-pacific, Latin america, Apac, United states

CVEs:
CVE-2021-42287 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- microsoft windows_server_2004 (<10.0.19041.1348)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.4770)
- microsoft windows_server_2019 (<10.0.17763.2300)
have more...
CVE-2026-0257 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- paloaltonetworks pan-os (<10.2.7, 10.2.8, 10.2.9, 10.2.10, 10.2.11)

CVE-2019-6693 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
Soft:
- fortinet fortios (le5.6.10, le6.0.6, 6.2.0)

CVE-2021-42278 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- microsoft windows_server_2004 (<10.0.19041.1348)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.4770)
- microsoft windows_server_2019 (<10.0.17763.2300)
have more...
CVE-2025-64446 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- fortinet fortiweb (<7.0.12, <7.2.12, <7.4.10, <7.6.5, <8.0.2)


TTPs:
Tactics: 4
Technics: 32

IOCs:
Domain: 5
File: 2
Url: 7
IP: 9
Hash: 7

Soft:
FortiGate, GlobalProtect, ZoomEye, SonicWall, PAN-OS, -OS Glob, balProtect Scan, NIX ti, sudo, OpenSSL, have more...

Wallets:
wassabi

Algorithms:
aes

Functions:
GetUserSPNs

Languages:
powershell, golang, php

#ParsedReport #GeneratedSchema
Generated with GPT-4