#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
DarkVision — это RAT, работающий по модели ВПО как услуга, используемый в фишинге, вредоносной рекламе, поддельном программном обеспечении и вредоносных архивах. Его многоэтапные загрузчики используют обфускацию, стеганографию, внедрение кода в процессы или hollowing, механизмы закрепления, а также функции противодействия анализу. Он обменивается данными по зашифрованному TCP, поддерживает модульные плагины и удаленные команды, а также крадет учетные данные браузеров через внедрение в процессы браузеров на базе Chromium.
-----

DarkVision использует многоэтапные загрузчики на C++/.NET, способные распаковывать и выполнять DLL или исполняемые файлы непосредственно из памяти.

Варианты NET скрывают модули полезной нагрузки в битмапных ресурсах с использованием пиксельной стеганографии и рекурсивно извлекают встроенные библиотеки.

Первоначальный доступ обычно осуществляется с использованием вредоносных файлов VBS, JavaScript, BAT, HTA или LNK в сочетании с PowerShell, обфускацией, декодированием XOR/Base64 и промежуточными загрузками.

Механизмы закрепления включают ключи запуска в реестре, запланированные задачи и BAT-файлы, размещённые в папках автозагрузки.

ВПО может копировать себя в файл со случайным именем в каталоге `%AppData%\Roaming`, устанавливать атрибуты «Скрытый» и «Только для чтения», а также создавать исключения для Defender.

DarkVision может выполнять повышение привилегий UAC на основе COM, внедряя шеллкод в `explorer.exe`, когда административные привилегии недоступны.

Он использует внедрение в пустой процесс и отображение секций для выполнения внутри процессов, таких как `explorer.exe`.

Проверки на противодействие анализу перечисляют запущенные процессы и сопоставляют их с внутренним списком инструментов анализа.

DarkVision использует собственный TCP-протокол для связи, при этом опционально применяются SOCKS5 и шифрование сессий AES-128.

Её система плагинов загружает DLL из каталога `ProgramData` или скачивает их с сервера C2 для обеспечения выполнения команд, закрепления и создания обратных шеллов.

Плагин-стиллер для браузеров нацелен на браузеры на базе Chromium, включая Chrome, Brave, Edge и Opera, путем доступа к базам данных `Login Data` и памяти браузера.

Укрادенные учетные данные браузера выгружаются отдельно через WinHTTP, как правило, по протоколу HTTPS, что позволяет обходить ограничения, наложенные на настроенный порт C2.

#ParsedReport #CompletenessHigh
21-10-2026

Amazon-Themed ClickFix Campaign Serves Up Finger-Licking Malware

https://www.huntress.com/blog/amazon-clickfix-finger

Report completeness: High

Threats:
Clickfix_technique
Lolbin_technique
Lumma_stealer
Netsupportmanager_rat
Metasploit_tool
Meterpreter_tool
Cmder
Process_hollowing_technique
Macc_stealer
Nodestealer

Victims:
Amazon users, Businesses

ChatGPT TTPs:
do not use without manual check
T1027, T1027.013, T1033, T1036, T1036.005, T1041, T1055, T1055.012, T1059.003, T1059.004, have more...

IOCs:
Domain: 8
Url: 10
File: 7
Email: 1
Path: 1
IP: 2
Hash: 8

Soft:
ChatGPT, macOS, Unix, curl, Node.js, Chrome, Firefox, Opera, LastPass, Dashlane, have more...

Wallets:
electrum, atomicwallet

Algorithms:
aes-256-gcm, base64, xor, sha256, zip, rc4

Win API:
HeapCreate, HeapAlloc

Languages:
python, ironpython, powershell

Platforms:
x64, cross-platform

Links:
https://github.com/Veil-Framework/Veil
https://github.com/huntresslabs/threat-intel/blob/main/2026/2026-10/20261021\_IoC\_finger-lickin-bad.csv

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix с тематикой Amazon использовала поддельный CAPTCHA, чтобы заставить жертв выполнить команды, запустившие многоэтапную цепочку заражения. В ходе атаки были использованы утилита `finger`, IronPython, закодированный шеллкод и загрузчик Doina для развертывания Lumma Stealer, который собирал данные из браузеров и приложений, а также устанавливал пиратскую версию клиента NetSupport RMM для удаленного доступа.
-----

Huntress расследовала кампанию ClickFix с тематикой Amazon, которая началась со спонсируемого результата в Google по запросу «amazon business». Жертв перенаправляли на поддельную страницу входа в Amazon, размещенную на Google Sites, где им предлагалось пройти поддельный CAPTCHA с инструкцией по выполнению команды. Кампания также поддерживала пользователей macOS, предлагая альтернативные инструкции для Terminal, хотя URL macOS-нагрузки, обнаруженный в ходе анализа, был недоступен.

В ОС Windows команда ClickFix вызывала встроенную утилиту `finger` в качестве бинарного файла для техники Living-off-the-land. Злоумышленник размещал вредоносный скрипт в файле `.plan`, связанном с удаленной учетной записью. Данный скрипт использовал `curl` для загрузки IronPython 3.4.2 с GitHub, сохранял архив с расширением `.pdf` во временном каталоге пользователя и извлекал его с помощью утилиты `tar` для Windows. Включенный в состав интерпретатор `ipyw32.exe` затем выполнял Python-нагрузку, закодированную в Base64 и сжатую алгоритмом zlib.

Скрипт следующего этапа на языке Python, названный `timer6`, использовал подстановки кириллических символов для затруднения декодирования Base64. Он декодировал и выполнял шеллкод, защищённый 19-байтовым ключом XOR, в результате чего создавался загрузчик в формате Windows PE. Загрузчик искал файл `.ini`, содержащий URL для загрузки, получал полезную нагрузку, используя User-Agent, имитирующий браузер, и расшифровывал её с помощью RC4. Наблюдаемая полезная нагрузка была получена с `grillmasterchef[.\]com` и, вероятно, была идентифицирована как Doina — модульный загрузчик/RAT и стиллер. Doina впоследствии скачал ZIP-архив размером 52 МБ с `kiriosyka[.\]com`, содержащий портативный рантайм Node.js и обфусцированный скрипт `index.js`.

Вредоносное ПО для Node.js развернуло инъектор отражаемых DLL с использованием sRDI и полезную нагрузку, идентифицированную как Lumma Stealer. Lumma профилировал жертву, осуществлял эксфильтрацию информации об узле и пользователе по протоколу HTTPS и поддерживал связь через WebSockets. Целью атаки стали данные приложений и браузеров; для управления и эксфильтрации использовались несколько доменов с тематикой барбекю, в том числе `thegrilljournal[.\]com`, `homelygrill[.\]com` и `perfectgrillrecipes[.\]com`.

В результате заражения также был установлен пиратский клиент NetSupport RMM в каталоге `C:\ProgramData\Prodclear`. Он осуществлял связь по протоколу HTTPS на TCP-порту 725 с адресом `167.148.201[.\]106`, используя путь `/fakeurl.htm`.

#ParsedReport #CompletenessHigh
21-10-2026

Stray Cat, Open Doors: How k0t Wanders Through the Network Edge

https://www.group-ib.com/blog/stray-cat-network-edge/

Report completeness: High

Actors/Campaigns:
Fortibleed
Gentlemen_ransomware

Threats:
Qilin_ransomware
Openconnect_tool
Adaptixc2_tool
Credential_harvesting_technique
Meshagent_tool
Meshcentral_tool
Atera_tool
Netexec_tool
Impacket_tool
Secretsdump_tool
Nopac_tool
Kerbrute_tool
Password_spray_technique
Petitpotam_tool
Mimikatz_tool
Teramind_tool
Anydesk_tool
Ngrok_tool
Rclone_tool
Credential_dumping_technique
Atexec_tool
Smbexec_tool
Nezha_tool

Victims:
Organizations worldwide

Geo:
Asia pacific, Canada, America, Asia-pacific, Latin america, Apac, United states

CVEs:
CVE-2021-42287 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- microsoft windows_server_2004 (<10.0.19041.1348)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.4770)
- microsoft windows_server_2019 (<10.0.17763.2300)
have more...
CVE-2026-0257 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- paloaltonetworks pan-os (<10.2.7, 10.2.8, 10.2.9, 10.2.10, 10.2.11)

CVE-2019-6693 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
Soft:
- fortinet fortios (le5.6.10, le6.0.6, 6.2.0)

CVE-2021-42278 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- microsoft windows_server_2004 (<10.0.19041.1348)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.4770)
- microsoft windows_server_2019 (<10.0.17763.2300)
have more...
CVE-2025-64446 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- fortinet fortiweb (<7.0.12, <7.2.12, <7.4.10, <7.6.5, <8.0.2)


TTPs:
Tactics: 4
Technics: 32

IOCs:
Domain: 5
File: 2
Url: 7
IP: 9
Hash: 7

Soft:
FortiGate, GlobalProtect, ZoomEye, SonicWall, PAN-OS, -OS Glob, balProtect Scan, NIX ti, sudo, OpenSSL, have more...

Wallets:
wassabi

Algorithms:
aes

Functions:
GetUserSPNs

Languages:
powershell, golang, php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленник k0t проводил автоматизированную кампанию против уязвимых сетевых устройств Fortinet и Palo Alto, эксплуатируя уязвимости и применяя атаки на учетные данные для получения доступа. Он похищал конфигурации и учетные данные, проводил разведку в среде Active Directory и повышение привилегий, после чего устанавливал устойчивый удаленный доступ и выгружал данные. Совпадения с жертвами программ-вымогателей указывают на возможную деятельность злоумышленника как брокера первоначального доступа, однако эти связи остаются неподтвержденными.
-----

Злоумышленник, известный как k0t, провел крупномасштабную кампанию, нацеленную на устройства Fortinet FortiGate и FortiWeb, а также порталы и шлюзы Palo Alto GlobalProtect, доступные из интернета, и, возможно, на другие периметровые устройства. Разведка опиралась на использование FOFA, ZoomEye, Censys, AccessTracker и FortiSSL для массового выявления уязвимых систем. Оператор применял собственные сканеры для проверки целей, их географической сортировки и автоматизации эксплуатации уязвимостей или атак на учетные данные.

Доступ к FortiWeb был получен преимущественно за счет эксплуатации уязвимости CVE-2025-64446 — уязвимости в обходе относительных путей (relative path traversal), позволявшей выполнять административные команды без аутентификации посредством специально сформированных запросов. В ходе атаки был создан случайный локальный администратор с неограниченным доступом доверенных хостов. В отношении устройств FortiGate применялись инструменты, выполнявшие брутфорс на основе API, включая логику повторных попыток с учетом блокировок. После успешной аутентификации злоумышленники могли скачивать конфигурации и расшифровывать сохраненные секреты с использованием ключа AES по умолчанию в FortiOS, связанного с уязвимостью CVE-2019-6693, что потенциально приводило к раскрытию учетных данных LDAP, Active Directory, администраторов и локальных пользователей.

Операторы также эксплуатировали уязвимость CVE-2026-0257 в уязвимых конфигурациях PAN-OS GlobalProtect. В рамках данной техники был сформирован поддельный cookie для обхода аутентификации с использованием открытого ключа TLS целевой системы, после чего он был отправлен на конечную точку входа в GlobalProtect, а для установления доступа через VPN использовался OpenConnect. После получения доступа операторы проводили разведку с ручным управлением и кражу учетных данных с помощью NetExec, Impacket, Mimikatz, SoftPerfect, Kerbrute и связанных с ними инструментов. В число действий входили перечисление SMB и LDAP, извлечение SAM, LSA, LSASS и DPAPI, кража хэшей учетных записей служб Kerberos, распыление пароля, удаленное выполнение кода, а также эксплуатация уязвимостей CVE-2021-42278 и CVE-2021-42287 для повышения привилегий в домене. PetitPotam применялся в рамках атак с ретрансляцией NTLM и кражей сертификатов AD CS.

Закрепление и удалённый доступ были обеспечены с помощью OpenConnect, агентов MeshCentral, AdaptixC2, Atera, Teramind, AnyDesk и ngrok. MeshCentral предоставлял возможности интерактивной командной строки, удалённого рабочего стола и передачи файлов, тогда как AdaptixC2 обеспечивал канал управления по протоколу HTTPS и выполнение полезной нагрузки. Экфильтрация данных осуществлялась с помощью Rclone в хранилища Wasabi S3 и MEGA. Пересечение жертв с операциями программ-вымогателей Qilin и The Gentlemen указывает на возможную деятельность брокеров первоначального доступа, хотя прямые связи остаются неподтверждёнными.

#ParsedReport #CompletenessMedium
21-10-2026

“Next Exploit Opportunities”: How a Threat Actor Used AI to Help Plan and Execute Multiple Types of Cybercrime Activities

https://unit42.paloaltonetworks.com/ai-assisted-cybercrime-analysis/

Report completeness: Medium

Threats:
Hermes
Ncat_tool

Victims:
Indian universities, E commerce platforms, Wi fi networks, Cryptocurrency holders

Industry:
Education, Telco

Geo:
Indian, India

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1040, T1059.001, T1059.005, T1071.001, T1078, T1087, T1110.001, T1110.002, T1213, have more...

IOCs:
IP: 2
Email: 1
Domain: 0
Url: 0
Hash: 0
BrowserExtension: 0

Soft:
DeepSeek, WordPress, Cloudflare, Windows shell, Linux, Discord, Claude, GPT-5, Telegram

Algorithms:
base64, exhibit

Languages:
python, powershell, golang, vbscript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
BUGSTER использовал инструменты с поддержкой ИИ для совершения киберпреступлений против индийских организаций, включая разведку, атаки на учётные данные WordPress и кражу базы данных MongoDB, содержащей данные студентов. Актор также разрабатывал инфраструктуру для сбора учётных данных, создания обратных шеллов, взлома паролей Wi-Fi, атак на криптовалюты, а также планировал мошенничество по VoIP с использованием подмены идентификатора вызывающего абонента и обхода механизмов аутентификации.
-----

Злоумышленник, действующий под псевдонимом BUGSTER, использовал ИИ для планирования и проведения нескольких операций в сфере киберкриминала, в основном нацеленных на организации в Индии. Актер настроил фреймворк Hermes Agent с использованием DeepSeek V4 и применял Cursor IDE в качестве инструмента разработки, отключив механизмы безопасности, разрешения и песочницы. Профили Hermes управлялись через ботов в Телеграм, при этом дополнительные профили, судя по всему, предназначались для разработки, тестирования на уязвимости, валидации и развертывания.

В отношении образовательной платформы на базе WordPress, принадлежащей индийскому университету, актор использовал разведку, сгенерированную с помощью ИИ, для перечисления 12 поддоменов, включая LMS, студенческий портал, административную панель и сайты на WordPress. Перечисление через REST API WordPress и sitemap авторов выявило 13 активных идентификаторов пользователей и их настоящие имена, что позволило обойти прямые ограничения на конечные точки, наложенные Cloudflare. Затем актор сгенерировал инструмент для брутфорса, содержащий 117 имен пользователей и 28 распространенных паролей. В ходе кампании было выявлено как минимум одно действительное сочетание учетных данных для входа в WordPress.

Актор также скомпрометировал второй индийский государственный университет и выкрал базу данных MongoDB, содержащую более 5200 записей, включая персональные данные студентов. Дополнительная активность включала перечисление платформ электронной коммерции, набор инструментов на базе Go для сбора учетных данных, открытых на веб-сайтах, а также сбор списков доменов для автоматизированного сканирования.

В отчёте описывается запланированное мошенничество с использованием протокола передачи голоса по IP (VoIP), а не подтверждённое завершённое мошенничество при совершении звонков. Профиль ИИ с именем «alice» предоставил рекомендации по созданию легитимного на вид телекоммуникационного бизнеса, получению американского LLC и EIN, регистрации в FCC, приобретению ёмкости SIP-транков, смешиванию легитимного и мошеннического трафика, обходу механизмов аутентификации вызовов STIR/SHAKEN, а также использованию подмены идентификатора вызывающего абонента (Caller ID) или идентификации линии вызова (Calling Line Identification). Предусмотренные методы монетизации включали тарифное мошенничество (toll fraud) и другие формы некорректной маршрутизации, при этом для снижения операционных расходов применялась маршрутизация по минимальной стоимости (least-cost routing). Другой профиль изучал оптовых поставщиков услуг VoIP и уязвимости в нормативно-правовом регулировании.

Актор также разработал конвейер для взлома паролей Wi-Fi. Близлежащее устройство с Kali Linux перехватывало данные PMKID или рукопожатия EAPOL, отправляло хеши через SSH-туннель на облачные GPU-инстансы и возвращал результаты взлома через вебхуки Discord. Эта деятельность требовала физического присутствия вблизи целевых беспроводных сетей. Разведка в сфере криптовалют включала сбор данных о ведущих держателях Ethereum и токенов через API DeBank, в результате чего было идентифицировано 45 высокодоходных «китов» для возможного целевого воздействия в будущем. Инфраструктура включала C2-сервер с обратным шеллом для Windows на базе Python, полезную нагрузку PowerShell, доставляемую через VBScript, инструменты SSH и Netcat, а также несколько вариантов шелла для Windows.

#ParsedReport #CompletenessLow
19-10-2026

A Visualizza into Recent IcedID Campaigns:

https://www.team-cymru.com/post/a-visualizza-into-recent-icedid-campaigns

Report completeness: Low

Threats:
Icedid
Cobalt_strike_tool
Quantum_locker
Privateloader

Victims:
Italian speakers, English speakers

Industry:
Financial

Geo:
Italian

ChatGPT TTPs:
do not use without manual check
T1027.013, T1059.003, T1105, T1204.002, T1566.001, T1583.001

IOCs:
Domain: 11
IP: 8
Url: 0
Hash: 0
Email: 0
BrowserExtension: 0

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В сентябре 2022 года IcedID широко распространялся через спам, вредоносные документы, архивы, файлы ярлыков, файлы CHM и пиратское программное обеспечение. Его многоуровневая инфраструктура доставляла ВПО и последующие полезную нагрузку, такие как Cobalt Strike или шифровальщик Quantum, с часто меняющимися доменами C2 и короткими кампаниями, нацеленными преимущественно на англоязычных пользователей.
-----

IcedID (BokBot) — банковский троян, который эволюционировал в дроппер, способный загружать дополнительные полезные нагрузки, включая Cobalt Strike и, в некоторых случаях заражения, шифровальщик Quantum. В сентябре 2022 года он распространялся посредством частых спам-кампаний с использованием вредоносных документов Office, ZIP-архивов с паролем, содержащих файлы ISO и LNK, файлов CHM, а также заражений PrivateLoader, которые скрывали ВПО в пиратском или «взломанном» программном обеспечении.

Кампании преимущественно использовали инфраструктуру управления (C2) первого этапа и первого уровня (Tier 1) для первоначальной загрузки IcedID после того, как жертва открывала приманку или выполняла ярлык, в то время как инфраструктура второго уровня (Tier 2) обрабатывала последующие коммуникации. До 22 сентября 2022 года домены C2 первого этапа, как правило, регистрировались через инфраструктуру, связанную с Njalla, примерно за 31 день до использования, что потенциально помогало обходить блокировки недавно зарегистрированных доменов. После этого паттерн изменился: домены стали регистрироваться всего за один-два дня до начала кампаний. Доменам C2 обычно назначался новый IP-адрес в день запуска кампании или непосредственно перед ним, они принимали трафик жертв по HTTP-порту 80 и, как правило, взаимодействовали с инфраструктурой второго уровня в течение примерно шести дней.

Большинство доменных имен и IP-адресов использовались в рамках одной кампании и не перерабатывались. Однако несколько кампаний в середине и конце сентября повторно использовали инфраструктуру, включая ту же комбинацию домена и IP-адреса, а также IP-адрес, общий для двух недавно зарегистрированных доменов. В одной из кампаний фиксировался трафик от жертв, но отсутствовало работоспособное взаимодействие на втором уровне (Tier 2), что указывает на сбой при настройке инфраструктуры. Другая кампания функционировала лишь несколько часов до отключения.

Крупнейшая зафиксированная кампания была направлена на англоязычных пользователей и использовала защищённый паролем ZIP-архив, содержащий файлы ISO и LNK, что привело к появлению приблизительно 115 потенциальных жертв. Кампания с использованием PrivateLoader привела к появлению около 79 потенциальных жертв. Другие кампании привели к появлению от пяти до 29 жертв, в то время как вредоносные приманки в форматах Word, Excel и CHM, как правило, генерировали меньший объём. Большинство трафика жертв приходилось на день запуска кампании или на следующий день, после чего наблюдалось снижение. Кампания, содержавшая очевидную языковую ошибку в приманке XLSM, оказалась менее эффективной, что указывает на то, что реалистичность приманки может влиять на взаимодействие с ней со стороны жертв.

#ParsedReport #CompletenessLow
19-10-2026

Active Exploitation of CVE-2026-110936 in Siemens Software Center

https://productcert.siemens.com/news/2026/10/19/active-exploitation-of-cve-2026-110936-in-siemens-software-center/

Report completeness: Low

Threats:
Dll_sideloading_technique
Romulusloader
Clickfix_technique

Victims:
Siemens software center users

CVEs:
CVE-2026-110936 [Vulners]
CVSS V3.1: 6.7,
Vulners: Exploitation: True


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1053.005, T1203, T1574.002

IOCs:
IP: 2
Domain: 1
File: 3
Hash: 2

Soft:
Task Scheduler

Win API:
DB

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Версии Siemens Software Center ранее 4.0.9.8 содержат активно эксплуатируемое уязвимость DLL side-loading, CVE-2026-110936. Злоумышленники могут размещать вредоносные DLL, которые легитимное приложение загружает при запуске, что позволяет выполнять код без изменения исполняемого файла Siemens. Зафиксированная активность включает социальную инженерию, подозрительные файлы и каталоги, закрепление через автозагрузку или запланированные задачи, а также связь с IP-адресом 96.62.218.59.
-----

Siemens подтвердила активное использование уязвимости CVE-2026-110936, представляющей собой уязвимость подмены DLL (DLL side-loading), которая затрагивает версии Siemens Software Center, более ранние, чем 4.0.9.8. Данная уязвимость позволяет злоумышленникам размещать вредоносные файлы DLL в тех местах, где легитимное приложение Siemens будет загружать их при запуске. Сам исполняемый файл Siemens не изменяется; вместо этого уязвимое программное обеспечение загружает DLL, предоставленные злоумышленником, что обеспечивает выполнение вредоносного кода.

Siemens устранила проблему в версии Software Center 4.0.9.8 и опубликовала уведомление SSA-580366 15 октября. Ожидается, что существующие установки будут автоматически обновлены при следующем запуске приложения, однако организациям следует убедиться, что развернутые системы работают на версии 4.0.9.8 или более поздней.

Возможными индикаторами компрометации являются наличие Siemens Software Center в приложениях автозагрузки или Планировщике задач Windows на системах, где он никогда не устанавливался. ВПО может создавать каталог «SM Software Provisioning Service» в локальном пути AppData\Programs. Вблизи файла `SiemensSoftwareCenter.exe` могут появляться подозрительные файлы с именами `activate.bak` или `statinfosta.DB`. Другим задокументированным артефактом является каталог `FTSuite`, содержащий файл `ftc.uml`, в локальном пути AppData\Network. Также следует расследовать системы, устанавливающие связь с IP-адресом `96.62.218.59`.

Зафиксированная активность может включать социальную инженерию, в ходе которой жертвам предписывается выполнять команды через диалоговое окно «Выполнить» в Windows или PowerShell, например, путем злоупотребления поддельным запросом на подтверждение «Я не робот». Пользователи не должны вставлять команды с веб-страниц в эти интерфейсы. Организациям следует обновить Siemens Software Center, проверить записи автозагрузки и запланированные задачи, выполнить поиск перечисленных файлов и каталогов, а также расследовать сетевые соединения с указанным IP-адресом.

#ParsedReport #CompletenessMedium
21-10-2026

Behind the Panels: Validating ShinyHunters Cluster A Infrastructure Through Network Telemetry

https://www.team-cymru.com/post/validating-shinyhunters-cyber-threat-actors-infrastructure

Report completeness: Medium

Actors/Campaigns:
Shinyhunters
Snarky_spider
Cordial_spider

Threats:
Aitm_technique

Victims:
Higher education, Financial services, Asset management, Real estate, Luxury goods, Retail and consumer, Cryptocurrency platforms, Taxation, Telecommunications, Enterprise saas, have more...

Industry:
Retail, Education, Telco

Geo:
Russian, Apac, Indonesian, Australian

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036.005, T1056.003, T1111, T1557, T1566.004

IOCs:
IP: 2
File: 1
Hash: 8

Soft:
Salesforce, SharePoint, Slack, DocuSign, Cloudflare, Telegram, Okta, Microsoft Entra, Dropbox, Cloudflare Turnstile, have more...

Wallets:
coinbase

Crypto:
binance

Algorithms:
sha256

Win API:
OPENDIR

Languages:
php

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В отчете идентифицированы два IP-адреса, на которых размещена фишинговая инфраструктура, связанная с панелью Doko и кластером A Push Security. В инфраструктуре использовались домены, имитирующие бренды, и конечные точки панели управления для поддержки голосового фишинга и атак типа «человек посередине» (adversary-in-the-middle), направленных на получение учетных данных, данных MFA и аутентифицированных сессий. Приписывание активности группе ShinyHunters или одному конкретному оператору пока не подтверждено.
-----

Отчёт подтверждает инфраструктуру, связанную с Cluster A компании Push Security — кластером фишинговой инфраструктуры, связанным с панелью Doko и размещённым на хостинге Mevspace AS201814. С помощью пассивного DNS, телеметрии сертификатов, наблюдений за открытыми службами и анализа паттернов хостинга были идентифицированы два активных IP-адреса: 149.50.97.174 и 149.50.127.228. Оба хостили множество доменов, тематически привязанных к жертвам, с повторяющимися характеристиками именования, регистратора, DNS-серверов и сертификатов, характерными для данного кластера.

Домены имитировали провайдеров идентификации, корпоративные SaaS-платформы, финансовые учреждения, криптовалютные сервисы, розничных продавцов, университеты и австралийские налоговые службы. Среди выявленных тематических направлений были Okta, Microsoft Entra, Google Workspace, Coinbase, Binance, Nexo, NDAX, Koinly, Yale, University of Pennsylvania, Disney, Nike, Verizon и другие. Также присутствовали универсальные домены для верификации, что указывает на использование страниц перехвата учетных данных, работающих на нескольких платформах, помимо фишинговых наборов, нацеленных на конкретные бренды. Инфраструктура соответствует атакам голосового фишинга и adversary-in-the-middle, предназначенным для перехвата учетных данных, данных MFA и, потенциально, аутентифицированных сессий для доступа к корпоративным приложениям и финансовым платформам.

На адресе 149.50.97.174 появился поддомен `cp.myyalemanager.com`, что соответствует конечной точке панели управления оператора. На этом же хосте также был обнаружен сервис FTP на порту 21, использующий самоподписанный сертификат. На адресе 149.50.127.228 доменные имена следовали повторяющемуся формату с числовым токеном и названием бренда, включая Coinbase, Binance, NDAX и имена, связанные с тематикой криптовалют. Тисокуаты Binance включали легитимный бренд в более длинные имена хостов, что потенциально могло использоваться для эксплуатации усечения строки URL. Домены `dokopanel.com` и `admin.dokopanel.com` также резолвились на этот адрес, что могло указывать на возможную инфраструктурную точку перехода, но не являлось доказательством контроля со стороны конкретного лица.

Телеметрия сети зафиксировала трафик через прокси Cloudflare на портах 80 и 443, а также фоновое сканирование интернета. Полученные данные подтверждают инфраструктуру Кластера A, однако не позволяют однозначно приписать всю активность группе ShinyHunters или единственному оператору. Общее происхождение используемых инструментов, пересечения в хостинге и схожесть целей атак следует рассматривать как инфраструктурные ассоциации, а не как неопровержимые доказательства владения.

#ParsedReport #CompletenessMedium
22-10-2026

skynox7: Proxyjacking Edge Devices Into Residential Proxies

https://www.greynoise.io/blog/proxyjacking-edge-devices-residential-proxies

Report completeness: Medium

Threats:
Residential_proxy_technique
Proxyjacking_technique
Supply_chain_technique
Iproyal_pawns_tool

Victims:
Network edge devices, Digital video recorders, Network video recorders

Industry:
Government

Geo:
Ukraine

CVEs:
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- siemens 6bk1602-0aa12-0tp0_firmware (<2.7.0)

CVE-2024-3273 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)

CVE-2024-3272 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)

CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- sap netweaver (7.50)


ChatGPT TTPs:
do not use without manual check
T1090, T1090.002, T1496

IOCs:
Hash: 7
IP: 1
Email: 1

Soft:
SAP NetWeaver, Dahua

Algorithms:
sha256

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4