#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
SafePay — группа вымогателей, использующая программное обеспечение для шифрования данных (ransomware), активная с августа 2024 года, которая атаковала не менее 600 организаций по всему миру. Она получает доступ через украденные учетные данные, фишинг, брутфорс, злоупотребление VPN и уязвимые системы, доступные из интернета, а затем использует легитимные инструменты для повышения привилегий, перемещения внутри компании, кражи данных и нарушения процессов восстановления. SafePay шифрует файлы с использованием ChaCha20/RSA, добавляет расширение `.SafePay` и угрожает опубликовать украденные данные.
-----

SafePay — группа вымогателей, активная с августа 2024 года, чья деятельность затронула не менее 600 жертв в секторах критической инфраструктуры и бизнеса в Северной и Южной Америке, Европе и Австралии. Группа получает первоначальный доступ через раскрытые или скомпрометированные учетные данные, распыление пароля или атаки брутфорса, фишинг, злоупотребление учетными записями VPN, а также эксплуатация систем, доступных из интернета, и периметровых устройств. Акторы использовали скомпрометированные профили и инфраструктуру Mullvad VPN для доступа к сетям жертв. В отчете упоминаются эксплуатированные CVE, однако конкретные идентификаторы уязвимостей не приведены в предоставленном тексте.

После получения доступа SafePay обеспечивает закрепление, повышая привилегии на существующих учетных записях или создавая новые учетные записи с административными правами. Группа использует встроенные инструменты Windows и легитимные приложения для выполнения команд и перемещения внутри компании, в том числе PsExec, Службу удаленного управления Windows, Протокол удаленного рабочего стола, а также программное обеспечение для удаленного мониторинга и управления. Скрипт ShareFinder.ps1 и утилита SharpShares.exe применяются для перечисления сетевых шар и выявления ценных систем и файлов. Также зафиксировано, что участники SafePay обходят контроль учетных записей пользователей (User Account Control), имитируют токены доступа, отключают средства защиты, изменяют пароли пользователей, а также используют упаковку или защиты на основе виртуализации для сокрытия вредоносного кода.

Для сбора и эксфильтрации данных группа использует FileZilla, 7-Zip, RClone, WinRAR, WinSCP и OneDrive. Данные сжимаются перед передачей на учетные записи или в облачные хранилища, контролируемые злоумышленниками. AnyDesk и TeamViewer могут быть установлены для передачи программ-вымогателей и других инструментов. Для предотвращения восстановления SafePay останавливает службу копирования тома (Volume Shadow Copy Service) и сбрасывает сетевые устройства хранения данных, содержащие резервные копии.

SafePay шифрует файлы с использованием гибридной схемы на базе ChaCha20 и RSA, применяя полное или частичное шифрование в зависимости от типа и размера файла. Зашифрованные файлы, как правило, получают расширение `.SafePay`. Жертвы получают записки с требованием выкупа, направляющие их на чат-портал в сети Tor, при этом украденные данные могут быть опубликованы на сайте утечек SafePay в случае отсутствия оплаты. Вредоносное ПО может удалить себя после завершения шифрования.

#ParsedReport #CompletenessMedium
20-10-2026

Swallowtail: Russian Espionage Group Targets Defense Firms in Two NATO Countries

https://www.security.com/threat-intelligence/swallowtail-russia-nato-targets

Report completeness: Medium

Actors/Campaigns:
Fancy_bear (motivation: cyber_espionage)

Threats:
Hookedge
Ntlmrelayx_tool

Victims:
Law enforcement, Shipbuilding, Aerospace engine manufacturing, Defense manufacturing

Industry:
Maritime, Military, Aerospace, Government

Geo:
Russian, America

ChatGPT TTPs:
do not use without manual check
T1016, T1016.001, T1018, T1027, T1033, T1041, T1053.005, T1057, T1059.001, T1059.003, have more...

IOCs:
File: 7
Path: 6
Url: 5
IP: 2
Hash: 21

Soft:
Microsoft Edge, Outlook, curl, Dropbox, OpenSSH

Algorithms:
sha256, base64

Languages:
powershell, vbscript, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
APT28 проводила длительную киберразведку в отношении объектов оборонного и государственного секторов НАТО, используя документы с макросами для развертывания бэкдора Hookedge. В ходе операции осуществлялись разведка, интерактивный удаленный доступ, туннелирование сети, кража учетных данных NTLM и выполнение полезной нагрузки в оперативной памяти, а также поддерживалась устойчивая активность управления.
-----

Swallowtail, также известная как APT28, Fancy Bear и Forest Blizzard, проводила операции кибершпионажа против организаций в двух государствах — членах НАТО. Среди целей находились орган правоохранительных органов, производитель авиационных двигателей и верфь по строительству кораблей. Целевая направленность указывает на усилия по сбору разведывательной информации, сфокусированные на данных в сферах государственного управления, обороны и национальной безопасности.

Группа использовала бэкдор Hookedge, доставляемый через документы Word с макросами. При вторжении на верфь злонамеренный документ был открыт из кэша вложений Outlook. Его обфусцированный макрос VBA развернул загрузчик VBScript, файлы HTML/XHTML и пакетный скрипт. Пакетный скрипт запустил практически невидимый процесс Microsoft Edge со встроенным JavaScript-нагрузкой, используя браузер для получения файлов и задач с webhook.site. Hookedge выполнял сбор информации о системе, включая проверку прокси и WPAD, активные сеансы, конфигурацию IP, системную информацию, список запущенных процессов, содержимое каталогов и тесты соединения с несколькими внешними сервисами.

Впоследствии операторы переместили компонент Hookedge второго этапа на выделенный IP-адрес, контролируемый злоумышленниками. Быстрое выполнение задач в течение нескольких секунд указывало на интерактивную активность с ручным управлением (hands-on-keyboard). Злоумышленники проводили обнаружение внутренних хостов с помощью DNS-запросов и ping-запросов, включая запросы к системам, которые, по всей видимости, включали почтовый сервер.

Кража учётных данных осуществлялась с использованием двух техник. Во-первых, злоумышленники разместили закрытый ключ SSH на скомпрометированном хосте и использовали клиент Windows OpenSSH для подключения к своему серверу через порт 80. Установленное соединение создало постоянный фоновый туннель для удалённого перенаправления портов, обеспечив доступ из инфраструктуры злоумышленников во внутреннюю сеть жертвы. Для облегчения подключения они отключили проверку ключей хоста и включили устаревшие алгоритмы RSA.

Во-вторых, злоумышленники выполнили скрипт PowerShell, который создал локальный прослушиватель и принудительно заставил хост аутентифицироваться в нем через трафик, аналогичный SMB. Скрипт перехватывал пары «запрос-ответ» NTLMv2, которые могли быть использованы для офлайн-взлома пароля или атак ретрансляции. Позднее в ходе вторжения операторы развернули `ld.exe` и `Events.dat`. Ранее не документированный загрузчик `ld.exe` расшифровывает зашифрованную полезную нагрузку и выполняет ее в памяти; для выполнения полезной нагрузки требуется ключ, предоставляемый во время выполнения, и она не может быть запущена самостоятельно. Вторжение продолжалось не менее двух месяцев, с многократным доступом и непрерывной активностью управления.

#ParsedReport #CompletenessLow
19-10-2026

CVE-2026-102764: Critical BeyondTrust Remote Support Authentication Bypass Exploited in the Wild

https://www.rapid7.com/blog/post/etr-cve-2026-102764-critical-beyondtrust-remote-support-authentication-bypass-exploited-in-the-wild

Report completeness: Low

Actors/Campaigns:
Unc5221 (motivation: cyber_espionage)

Threats:
Sawfly
Bareclaw

Victims:
Remote access products

CVEs:
CVE-2026-102764 [Vulners]
CVSS V3.1: 9.3,
Vulners: Exploitation: Unknown

CVE-2026-1731 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- beyondtrust privileged_remote_access (<25.1)
- beyondtrust remote_support (<25.3.2)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1098, T1105, T1190, T1505.003

IOCs:
Hash: 2

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Уязвимость CVE-2026-102764 представляет собой критический дефект обхода аутентификации в BeyondTrust Remote Support, который активно эксплуатируется группой ARMORY CASTLE (UNC5221), связанной с Китаем. Злоумышленники использовали эту уязвимость для загрузки файлов, развертывания SAWFLY и BARECLAW, получения прав root, извлечения учетных данных, закрепления в системе и удаления журналов.
-----

BeyondTrust раскрыла уязвимость CVE-2026-102764 15 октября 2026 года — критическую уязвимость обхода аутентификации в компоненте Remote Support (RS). Дефект затрагивает версии 26.2.3 и более ранние, если не применен патч BT26-05-RS. Он позволяет удаленным злоумышленникам без аутентификации выполнять файловые операции на уязвимом устройстве без взаимодействия с пользователем. Уязвимость классифицирована как CWE-290 (обход аутентификации путем подделки) и имеет оценку CVSSv4 9,3. CISA внесла ее в каталог Known Exploited Vulnerabilities 16 октября, указав на активное эксплуатирование, установив срок устранения до 19 октября и потребовав проведения криминалистического анализа.

Уязвимость возникает из-за недостаточной проверки источника сообщений, получаемых внутренними компонентами Remote Support. Хотя BeyondTrust не опубликовала подробную информацию об эксплуатации, Mandiant зафиксировала, что злоумышленники использовали эту уязвимость для загрузки произвольных файлов, развертывания Веб-шелла SAWFLY на PHP и туннеля BARECLAW, повышения привилегий до root, попытки извлечения хранилища учетных данных, закрепления в системе и удаления журналов. Активность была отнесена к ARMORY CASTLE, предположительно связанной с Китаем группе шпионов, ранее отслеживавшейся под обозначением UNC5221.

Признаками возможной компрометации могут быть нераспознанные административные сессии, инициированные из сетей домашнего широкополосного доступа или коммерческой инфраструктуры VPN, непредвиденные скрипты в веб-доступных каталогах, а также шеллы, запущенные учетными записями веб-службы. Расследователям также следует проверить несанкционированные изменения учетных записей, разрешений или политик сессий, особенно те, которые затрагивают Jump Items или Teams. Пробелы в передаче журналов, ограниченные одной сессией, могут указывать на подделку журналов или попытки скрыть активность. Организациям следует срочно применить патч от поставщика и провести криминалистический анализ затронутых устройств Remote Support на наличие признаков эксплуатации уязвимости или закрепления.

#ParsedReport #CompletenessHigh
19-10-2026

Inside DarkVision RAT

https://rexorvc0.com/2026/10/19/Inside-DarkVision/

Report completeness: High

Threats:
Darkvisionrat
Credential_stealing_technique
Smokeloader
Purecrypter
Donut
Graftloader
Clickfix_technique
Asyncrat
Amadey
Vidar_stealer
Stealc
Raccoon_stealer
Confuserex_tool
Eazfuscator_tool
Steganography_technique
Uac_bypass_technique
Process_hollowing_technique
Lolbin_technique
Antidebugging_technique
Process_injection_technique
Spear-phishing_technique
Dll_injection_technique

Victims:
Worldwide devices

Geo:
Russian, Russia

TTPs:
Tactics: 9
Technics: 0

IOCs:
File: 22
Command: 2
Registry: 4
Path: 3
Email: 2
Hash: 20
IP: 9
Domain: 0
Url: 0
BrowserExtension: 0

Soft:
Chrome, Opera, Vivaldi, Firefox, FoxMail, WinHTTP, Windows Defender, Telegram, Twitter, winlogon, have more...

Crypto:
monero

Algorithms:
aes-128, xor, zip, aes, base64, lzma

Functions:
Read-Only, Initialize, UnInitialize, UnInstall, SetWindowsHookEx, ReadOnly

Win API:
VirtualAlloc, GetProcAddress, LoadLibrary, ZwSetVol, ZwSuspendThread, ZwTerminateJob, ZwTerminateProcess, ZwTerminateThread, RtlDecompressBuffer, TXT, have more...

Languages:
javascript, powershell

Platforms:
x64

Links:
https://github.com/CHUMENII/COM-UACBypass-Privilege-Escalation

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 5, code: 17, dump: 8, table: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
DarkVision — это RAT, работающий по модели ВПО как услуга, используемый в фишинге, вредоносной рекламе, поддельном программном обеспечении и вредоносных архивах. Его многоэтапные загрузчики используют обфускацию, стеганографию, внедрение кода в процессы или hollowing, механизмы закрепления, а также функции противодействия анализу. Он обменивается данными по зашифрованному TCP, поддерживает модульные плагины и удаленные команды, а также крадет учетные данные браузеров через внедрение в процессы браузеров на базе Chromium.
-----

DarkVision использует многоэтапные загрузчики на C++/.NET, способные распаковывать и выполнять DLL или исполняемые файлы непосредственно из памяти.

Варианты NET скрывают модули полезной нагрузки в битмапных ресурсах с использованием пиксельной стеганографии и рекурсивно извлекают встроенные библиотеки.

Первоначальный доступ обычно осуществляется с использованием вредоносных файлов VBS, JavaScript, BAT, HTA или LNK в сочетании с PowerShell, обфускацией, декодированием XOR/Base64 и промежуточными загрузками.

Механизмы закрепления включают ключи запуска в реестре, запланированные задачи и BAT-файлы, размещённые в папках автозагрузки.

ВПО может копировать себя в файл со случайным именем в каталоге `%AppData%\Roaming`, устанавливать атрибуты «Скрытый» и «Только для чтения», а также создавать исключения для Defender.

DarkVision может выполнять повышение привилегий UAC на основе COM, внедряя шеллкод в `explorer.exe`, когда административные привилегии недоступны.

Он использует внедрение в пустой процесс и отображение секций для выполнения внутри процессов, таких как `explorer.exe`.

Проверки на противодействие анализу перечисляют запущенные процессы и сопоставляют их с внутренним списком инструментов анализа.

DarkVision использует собственный TCP-протокол для связи, при этом опционально применяются SOCKS5 и шифрование сессий AES-128.

Её система плагинов загружает DLL из каталога `ProgramData` или скачивает их с сервера C2 для обеспечения выполнения команд, закрепления и создания обратных шеллов.

Плагин-стиллер для браузеров нацелен на браузеры на базе Chromium, включая Chrome, Brave, Edge и Opera, путем доступа к базам данных `Login Data` и памяти браузера.

Укрادенные учетные данные браузера выгружаются отдельно через WinHTTP, как правило, по протоколу HTTPS, что позволяет обходить ограничения, наложенные на настроенный порт C2.

#ParsedReport #CompletenessHigh
21-10-2026

Amazon-Themed ClickFix Campaign Serves Up Finger-Licking Malware

https://www.huntress.com/blog/amazon-clickfix-finger

Report completeness: High

Threats:
Clickfix_technique
Lolbin_technique
Lumma_stealer
Netsupportmanager_rat
Metasploit_tool
Meterpreter_tool
Cmder
Process_hollowing_technique
Macc_stealer
Nodestealer

Victims:
Amazon users, Businesses

ChatGPT TTPs:
do not use without manual check
T1027, T1027.013, T1033, T1036, T1036.005, T1041, T1055, T1055.012, T1059.003, T1059.004, have more...

IOCs:
Domain: 8
Url: 10
File: 7
Email: 1
Path: 1
IP: 2
Hash: 8

Soft:
ChatGPT, macOS, Unix, curl, Node.js, Chrome, Firefox, Opera, LastPass, Dashlane, have more...

Wallets:
electrum, atomicwallet

Algorithms:
aes-256-gcm, base64, xor, sha256, zip, rc4

Win API:
HeapCreate, HeapAlloc

Languages:
python, ironpython, powershell

Platforms:
x64, cross-platform

Links:
https://github.com/Veil-Framework/Veil
https://github.com/huntresslabs/threat-intel/blob/main/2026/2026-10/20261021\_IoC\_finger-lickin-bad.csv

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix с тематикой Amazon использовала поддельный CAPTCHA, чтобы заставить жертв выполнить команды, запустившие многоэтапную цепочку заражения. В ходе атаки были использованы утилита `finger`, IronPython, закодированный шеллкод и загрузчик Doina для развертывания Lumma Stealer, который собирал данные из браузеров и приложений, а также устанавливал пиратскую версию клиента NetSupport RMM для удаленного доступа.
-----

Huntress расследовала кампанию ClickFix с тематикой Amazon, которая началась со спонсируемого результата в Google по запросу «amazon business». Жертв перенаправляли на поддельную страницу входа в Amazon, размещенную на Google Sites, где им предлагалось пройти поддельный CAPTCHA с инструкцией по выполнению команды. Кампания также поддерживала пользователей macOS, предлагая альтернативные инструкции для Terminal, хотя URL macOS-нагрузки, обнаруженный в ходе анализа, был недоступен.

В ОС Windows команда ClickFix вызывала встроенную утилиту `finger` в качестве бинарного файла для техники Living-off-the-land. Злоумышленник размещал вредоносный скрипт в файле `.plan`, связанном с удаленной учетной записью. Данный скрипт использовал `curl` для загрузки IronPython 3.4.2 с GitHub, сохранял архив с расширением `.pdf` во временном каталоге пользователя и извлекал его с помощью утилиты `tar` для Windows. Включенный в состав интерпретатор `ipyw32.exe` затем выполнял Python-нагрузку, закодированную в Base64 и сжатую алгоритмом zlib.

Скрипт следующего этапа на языке Python, названный `timer6`, использовал подстановки кириллических символов для затруднения декодирования Base64. Он декодировал и выполнял шеллкод, защищённый 19-байтовым ключом XOR, в результате чего создавался загрузчик в формате Windows PE. Загрузчик искал файл `.ini`, содержащий URL для загрузки, получал полезную нагрузку, используя User-Agent, имитирующий браузер, и расшифровывал её с помощью RC4. Наблюдаемая полезная нагрузка была получена с `grillmasterchef[.\]com` и, вероятно, была идентифицирована как Doina — модульный загрузчик/RAT и стиллер. Doina впоследствии скачал ZIP-архив размером 52 МБ с `kiriosyka[.\]com`, содержащий портативный рантайм Node.js и обфусцированный скрипт `index.js`.

Вредоносное ПО для Node.js развернуло инъектор отражаемых DLL с использованием sRDI и полезную нагрузку, идентифицированную как Lumma Stealer. Lumma профилировал жертву, осуществлял эксфильтрацию информации об узле и пользователе по протоколу HTTPS и поддерживал связь через WebSockets. Целью атаки стали данные приложений и браузеров; для управления и эксфильтрации использовались несколько доменов с тематикой барбекю, в том числе `thegrilljournal[.\]com`, `homelygrill[.\]com` и `perfectgrillrecipes[.\]com`.

В результате заражения также был установлен пиратский клиент NetSupport RMM в каталоге `C:\ProgramData\Prodclear`. Он осуществлял связь по протоколу HTTPS на TCP-порту 725 с адресом `167.148.201[.\]106`, используя путь `/fakeurl.htm`.

#ParsedReport #CompletenessHigh
21-10-2026

Stray Cat, Open Doors: How k0t Wanders Through the Network Edge

https://www.group-ib.com/blog/stray-cat-network-edge/

Report completeness: High

Actors/Campaigns:
Fortibleed
Gentlemen_ransomware

Threats:
Qilin_ransomware
Openconnect_tool
Adaptixc2_tool
Credential_harvesting_technique
Meshagent_tool
Meshcentral_tool
Atera_tool
Netexec_tool
Impacket_tool
Secretsdump_tool
Nopac_tool
Kerbrute_tool
Password_spray_technique
Petitpotam_tool
Mimikatz_tool
Teramind_tool
Anydesk_tool
Ngrok_tool
Rclone_tool
Credential_dumping_technique
Atexec_tool
Smbexec_tool
Nezha_tool

Victims:
Organizations worldwide

Geo:
Asia pacific, Canada, America, Asia-pacific, Latin america, Apac, United states

CVEs:
CVE-2021-42287 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- microsoft windows_server_2004 (<10.0.19041.1348)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.4770)
- microsoft windows_server_2019 (<10.0.17763.2300)
have more...
CVE-2026-0257 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- paloaltonetworks pan-os (<10.2.7, 10.2.8, 10.2.9, 10.2.10, 10.2.11)

CVE-2019-6693 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
Soft:
- fortinet fortios (le5.6.10, le6.0.6, 6.2.0)

CVE-2021-42278 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- microsoft windows_server_2004 (<10.0.19041.1348)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.4770)
- microsoft windows_server_2019 (<10.0.17763.2300)
have more...
CVE-2025-64446 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- fortinet fortiweb (<7.0.12, <7.2.12, <7.4.10, <7.6.5, <8.0.2)


TTPs:
Tactics: 4
Technics: 32

IOCs:
Domain: 5
File: 2
Url: 7
IP: 9
Hash: 7

Soft:
FortiGate, GlobalProtect, ZoomEye, SonicWall, PAN-OS, -OS Glob, balProtect Scan, NIX ti, sudo, OpenSSL, have more...

Wallets:
wassabi

Algorithms:
aes

Functions:
GetUserSPNs

Languages:
powershell, golang, php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленник k0t проводил автоматизированную кампанию против уязвимых сетевых устройств Fortinet и Palo Alto, эксплуатируя уязвимости и применяя атаки на учетные данные для получения доступа. Он похищал конфигурации и учетные данные, проводил разведку в среде Active Directory и повышение привилегий, после чего устанавливал устойчивый удаленный доступ и выгружал данные. Совпадения с жертвами программ-вымогателей указывают на возможную деятельность злоумышленника как брокера первоначального доступа, однако эти связи остаются неподтвержденными.
-----

Злоумышленник, известный как k0t, провел крупномасштабную кампанию, нацеленную на устройства Fortinet FortiGate и FortiWeb, а также порталы и шлюзы Palo Alto GlobalProtect, доступные из интернета, и, возможно, на другие периметровые устройства. Разведка опиралась на использование FOFA, ZoomEye, Censys, AccessTracker и FortiSSL для массового выявления уязвимых систем. Оператор применял собственные сканеры для проверки целей, их географической сортировки и автоматизации эксплуатации уязвимостей или атак на учетные данные.

Доступ к FortiWeb был получен преимущественно за счет эксплуатации уязвимости CVE-2025-64446 — уязвимости в обходе относительных путей (relative path traversal), позволявшей выполнять административные команды без аутентификации посредством специально сформированных запросов. В ходе атаки был создан случайный локальный администратор с неограниченным доступом доверенных хостов. В отношении устройств FortiGate применялись инструменты, выполнявшие брутфорс на основе API, включая логику повторных попыток с учетом блокировок. После успешной аутентификации злоумышленники могли скачивать конфигурации и расшифровывать сохраненные секреты с использованием ключа AES по умолчанию в FortiOS, связанного с уязвимостью CVE-2019-6693, что потенциально приводило к раскрытию учетных данных LDAP, Active Directory, администраторов и локальных пользователей.

Операторы также эксплуатировали уязвимость CVE-2026-0257 в уязвимых конфигурациях PAN-OS GlobalProtect. В рамках данной техники был сформирован поддельный cookie для обхода аутентификации с использованием открытого ключа TLS целевой системы, после чего он был отправлен на конечную точку входа в GlobalProtect, а для установления доступа через VPN использовался OpenConnect. После получения доступа операторы проводили разведку с ручным управлением и кражу учетных данных с помощью NetExec, Impacket, Mimikatz, SoftPerfect, Kerbrute и связанных с ними инструментов. В число действий входили перечисление SMB и LDAP, извлечение SAM, LSA, LSASS и DPAPI, кража хэшей учетных записей служб Kerberos, распыление пароля, удаленное выполнение кода, а также эксплуатация уязвимостей CVE-2021-42278 и CVE-2021-42287 для повышения привилегий в домене. PetitPotam применялся в рамках атак с ретрансляцией NTLM и кражей сертификатов AD CS.

Закрепление и удалённый доступ были обеспечены с помощью OpenConnect, агентов MeshCentral, AdaptixC2, Atera, Teramind, AnyDesk и ngrok. MeshCentral предоставлял возможности интерактивной командной строки, удалённого рабочего стола и передачи файлов, тогда как AdaptixC2 обеспечивал канал управления по протоколу HTTPS и выполнение полезной нагрузки. Экфильтрация данных осуществлялась с помощью Rclone в хранилища Wasabi S3 и MEGA. Пересечение жертв с операциями программ-вымогателей Qilin и The Gentlemen указывает на возможную деятельность брокеров первоначального доступа, хотя прямые связи остаются неподтверждёнными.

#ParsedReport #CompletenessMedium
21-10-2026

“Next Exploit Opportunities”: How a Threat Actor Used AI to Help Plan and Execute Multiple Types of Cybercrime Activities

https://unit42.paloaltonetworks.com/ai-assisted-cybercrime-analysis/

Report completeness: Medium

Threats:
Hermes
Ncat_tool

Victims:
Indian universities, E commerce platforms, Wi fi networks, Cryptocurrency holders

Industry:
Education, Telco

Geo:
Indian, India

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1040, T1059.001, T1059.005, T1071.001, T1078, T1087, T1110.001, T1110.002, T1213, have more...

IOCs:
IP: 2
Email: 1
Domain: 0
Url: 0
Hash: 0
BrowserExtension: 0

Soft:
DeepSeek, WordPress, Cloudflare, Windows shell, Linux, Discord, Claude, GPT-5, Telegram

Algorithms:
base64, exhibit

Languages:
python, powershell, golang, vbscript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
BUGSTER использовал инструменты с поддержкой ИИ для совершения киберпреступлений против индийских организаций, включая разведку, атаки на учётные данные WordPress и кражу базы данных MongoDB, содержащей данные студентов. Актор также разрабатывал инфраструктуру для сбора учётных данных, создания обратных шеллов, взлома паролей Wi-Fi, атак на криптовалюты, а также планировал мошенничество по VoIP с использованием подмены идентификатора вызывающего абонента и обхода механизмов аутентификации.
-----

Злоумышленник, действующий под псевдонимом BUGSTER, использовал ИИ для планирования и проведения нескольких операций в сфере киберкриминала, в основном нацеленных на организации в Индии. Актер настроил фреймворк Hermes Agent с использованием DeepSeek V4 и применял Cursor IDE в качестве инструмента разработки, отключив механизмы безопасности, разрешения и песочницы. Профили Hermes управлялись через ботов в Телеграм, при этом дополнительные профили, судя по всему, предназначались для разработки, тестирования на уязвимости, валидации и развертывания.

В отношении образовательной платформы на базе WordPress, принадлежащей индийскому университету, актор использовал разведку, сгенерированную с помощью ИИ, для перечисления 12 поддоменов, включая LMS, студенческий портал, административную панель и сайты на WordPress. Перечисление через REST API WordPress и sitemap авторов выявило 13 активных идентификаторов пользователей и их настоящие имена, что позволило обойти прямые ограничения на конечные точки, наложенные Cloudflare. Затем актор сгенерировал инструмент для брутфорса, содержащий 117 имен пользователей и 28 распространенных паролей. В ходе кампании было выявлено как минимум одно действительное сочетание учетных данных для входа в WordPress.

Актор также скомпрометировал второй индийский государственный университет и выкрал базу данных MongoDB, содержащую более 5200 записей, включая персональные данные студентов. Дополнительная активность включала перечисление платформ электронной коммерции, набор инструментов на базе Go для сбора учетных данных, открытых на веб-сайтах, а также сбор списков доменов для автоматизированного сканирования.

В отчёте описывается запланированное мошенничество с использованием протокола передачи голоса по IP (VoIP), а не подтверждённое завершённое мошенничество при совершении звонков. Профиль ИИ с именем «alice» предоставил рекомендации по созданию легитимного на вид телекоммуникационного бизнеса, получению американского LLC и EIN, регистрации в FCC, приобретению ёмкости SIP-транков, смешиванию легитимного и мошеннического трафика, обходу механизмов аутентификации вызовов STIR/SHAKEN, а также использованию подмены идентификатора вызывающего абонента (Caller ID) или идентификации линии вызова (Calling Line Identification). Предусмотренные методы монетизации включали тарифное мошенничество (toll fraud) и другие формы некорректной маршрутизации, при этом для снижения операционных расходов применялась маршрутизация по минимальной стоимости (least-cost routing). Другой профиль изучал оптовых поставщиков услуг VoIP и уязвимости в нормативно-правовом регулировании.

Актор также разработал конвейер для взлома паролей Wi-Fi. Близлежащее устройство с Kali Linux перехватывало данные PMKID или рукопожатия EAPOL, отправляло хеши через SSH-туннель на облачные GPU-инстансы и возвращал результаты взлома через вебхуки Discord. Эта деятельность требовала физического присутствия вблизи целевых беспроводных сетей. Разведка в сфере криптовалют включала сбор данных о ведущих держателях Ethereum и токенов через API DeBank, в результате чего было идентифицировано 45 высокодоходных «китов» для возможного целевого воздействия в будущем. Инфраструктура включала C2-сервер с обратным шеллом для Windows на базе Python, полезную нагрузку PowerShell, доставляемую через VBScript, инструменты SSH и Netcat, а также несколько вариантов шелла для Windows.

#ParsedReport #CompletenessLow
19-10-2026

A Visualizza into Recent IcedID Campaigns:

https://www.team-cymru.com/post/a-visualizza-into-recent-icedid-campaigns

Report completeness: Low

Threats:
Icedid
Cobalt_strike_tool
Quantum_locker
Privateloader

Victims:
Italian speakers, English speakers

Industry:
Financial

Geo:
Italian

ChatGPT TTPs:
do not use without manual check
T1027.013, T1059.003, T1105, T1204.002, T1566.001, T1583.001

IOCs:
Domain: 11
IP: 8
Url: 0
Hash: 0
Email: 0
BrowserExtension: 0

Algorithms:
zip