#ParsedReport #CompletenessHigh
21-10-2026

Stray Cat, Open Doors: How k0t Wanders Through the Network Edge

https://www.group-ib.com/blog/stray-cat-network-edge/

Report completeness: High

Actors/Campaigns:
Fortibleed
Gentlemen_ransomware

Threats:
Qilin_ransomware
Openconnect_tool
Adaptixc2_tool
Credential_harvesting_technique
Meshagent_tool
Meshcentral_tool
Atera_tool
Netexec_tool
Impacket_tool
Secretsdump_tool
Nopac_tool
Kerbrute_tool
Password_spray_technique
Petitpotam_tool
Mimikatz_tool
Teramind_tool
Anydesk_tool
Ngrok_tool
Rclone_tool
Credential_dumping_technique
Atexec_tool
Smbexec_tool
Nezha_tool

Victims:
Organizations worldwide

Geo:
Asia pacific, Canada, America, Asia-pacific, Latin america, Apac, United states

CVEs:
CVE-2021-42287 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
Soft:
- microsoft windows_server_2004 (<10.0.19041.1348)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.4770)
- microsoft windows_server_2019 (<10.0.17763.2300)
have more...
CVE-2026-0257 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
Soft:
- paloaltonetworks pan-os (<10.2.7, 10.2.8, 10.2.9, 10.2.10, 10.2.11)

CVE-2019-6693 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
Soft:
- fortinet fortios (le5.6.10, le6.0.6, 6.2.0)

CVE-2021-42278 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
Soft:
- microsoft windows_server_2004 (<10.0.19041.1348)
- microsoft windows_server_2008 (-, r2)
- microsoft windows_server_2012 (-, r2)
- microsoft windows_server_2016 (<10.0.14393.4770)
- microsoft windows_server_2019 (<10.0.17763.2300)
have more...
CVE-2025-64446 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- fortinet fortiweb (<7.0.12, <7.2.12, <7.4.10, <7.6.5, <8.0.2)


TTPs:
Tactics: 4
Technics: 32

IOCs:
Domain: 5
File: 2
Url: 7
IP: 9
Hash: 7

Soft:
FortiGate, GlobalProtect, ZoomEye, SonicWall, PAN-OS, -OS Glob, balProtect Scan, NIX ti, sudo, OpenSSL, have more...

Wallets:
wassabi

Algorithms:
aes

Functions:
GetUserSPNs

Languages:
powershell, golang, php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленник k0t проводил автоматизированную кампанию против уязвимых сетевых устройств Fortinet и Palo Alto, эксплуатируя уязвимости и применяя атаки на учетные данные для получения доступа. Он похищал конфигурации и учетные данные, проводил разведку в среде Active Directory и повышение привилегий, после чего устанавливал устойчивый удаленный доступ и выгружал данные. Совпадения с жертвами программ-вымогателей указывают на возможную деятельность злоумышленника как брокера первоначального доступа, однако эти связи остаются неподтвержденными.
-----

Злоумышленник, известный как k0t, провел крупномасштабную кампанию, нацеленную на устройства Fortinet FortiGate и FortiWeb, а также порталы и шлюзы Palo Alto GlobalProtect, доступные из интернета, и, возможно, на другие периметровые устройства. Разведка опиралась на использование FOFA, ZoomEye, Censys, AccessTracker и FortiSSL для массового выявления уязвимых систем. Оператор применял собственные сканеры для проверки целей, их географической сортировки и автоматизации эксплуатации уязвимостей или атак на учетные данные.

Доступ к FortiWeb был получен преимущественно за счет эксплуатации уязвимости CVE-2025-64446 — уязвимости в обходе относительных путей (relative path traversal), позволявшей выполнять административные команды без аутентификации посредством специально сформированных запросов. В ходе атаки был создан случайный локальный администратор с неограниченным доступом доверенных хостов. В отношении устройств FortiGate применялись инструменты, выполнявшие брутфорс на основе API, включая логику повторных попыток с учетом блокировок. После успешной аутентификации злоумышленники могли скачивать конфигурации и расшифровывать сохраненные секреты с использованием ключа AES по умолчанию в FortiOS, связанного с уязвимостью CVE-2019-6693, что потенциально приводило к раскрытию учетных данных LDAP, Active Directory, администраторов и локальных пользователей.

Операторы также эксплуатировали уязвимость CVE-2026-0257 в уязвимых конфигурациях PAN-OS GlobalProtect. В рамках данной техники был сформирован поддельный cookie для обхода аутентификации с использованием открытого ключа TLS целевой системы, после чего он был отправлен на конечную точку входа в GlobalProtect, а для установления доступа через VPN использовался OpenConnect. После получения доступа операторы проводили разведку с ручным управлением и кражу учетных данных с помощью NetExec, Impacket, Mimikatz, SoftPerfect, Kerbrute и связанных с ними инструментов. В число действий входили перечисление SMB и LDAP, извлечение SAM, LSA, LSASS и DPAPI, кража хэшей учетных записей служб Kerberos, распыление пароля, удаленное выполнение кода, а также эксплуатация уязвимостей CVE-2021-42278 и CVE-2021-42287 для повышения привилегий в домене. PetitPotam применялся в рамках атак с ретрансляцией NTLM и кражей сертификатов AD CS.

Закрепление и удалённый доступ были обеспечены с помощью OpenConnect, агентов MeshCentral, AdaptixC2, Atera, Teramind, AnyDesk и ngrok. MeshCentral предоставлял возможности интерактивной командной строки, удалённого рабочего стола и передачи файлов, тогда как AdaptixC2 обеспечивал канал управления по протоколу HTTPS и выполнение полезной нагрузки. Экфильтрация данных осуществлялась с помощью Rclone в хранилища Wasabi S3 и MEGA. Пересечение жертв с операциями программ-вымогателей Qilin и The Gentlemen указывает на возможную деятельность брокеров первоначального доступа, хотя прямые связи остаются неподтверждёнными.

#ParsedReport #CompletenessMedium
21-10-2026

“Next Exploit Opportunities”: How a Threat Actor Used AI to Help Plan and Execute Multiple Types of Cybercrime Activities

https://unit42.paloaltonetworks.com/ai-assisted-cybercrime-analysis/

Report completeness: Medium

Threats:
Hermes
Ncat_tool

Victims:
Indian universities, E commerce platforms, Wi fi networks, Cryptocurrency holders

Industry:
Education, Telco

Geo:
Indian, India

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1040, T1059.001, T1059.005, T1071.001, T1078, T1087, T1110.001, T1110.002, T1213, have more...

IOCs:
IP: 2
Email: 1
Domain: 0
Url: 0
Hash: 0
BrowserExtension: 0

Soft:
DeepSeek, WordPress, Cloudflare, Windows shell, Linux, Discord, Claude, GPT-5, Telegram

Algorithms:
base64, exhibit

Languages:
python, powershell, golang, vbscript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
BUGSTER использовал инструменты с поддержкой ИИ для совершения киберпреступлений против индийских организаций, включая разведку, атаки на учётные данные WordPress и кражу базы данных MongoDB, содержащей данные студентов. Актор также разрабатывал инфраструктуру для сбора учётных данных, создания обратных шеллов, взлома паролей Wi-Fi, атак на криптовалюты, а также планировал мошенничество по VoIP с использованием подмены идентификатора вызывающего абонента и обхода механизмов аутентификации.
-----

Злоумышленник, действующий под псевдонимом BUGSTER, использовал ИИ для планирования и проведения нескольких операций в сфере киберкриминала, в основном нацеленных на организации в Индии. Актер настроил фреймворк Hermes Agent с использованием DeepSeek V4 и применял Cursor IDE в качестве инструмента разработки, отключив механизмы безопасности, разрешения и песочницы. Профили Hermes управлялись через ботов в Телеграм, при этом дополнительные профили, судя по всему, предназначались для разработки, тестирования на уязвимости, валидации и развертывания.

В отношении образовательной платформы на базе WordPress, принадлежащей индийскому университету, актор использовал разведку, сгенерированную с помощью ИИ, для перечисления 12 поддоменов, включая LMS, студенческий портал, административную панель и сайты на WordPress. Перечисление через REST API WordPress и sitemap авторов выявило 13 активных идентификаторов пользователей и их настоящие имена, что позволило обойти прямые ограничения на конечные точки, наложенные Cloudflare. Затем актор сгенерировал инструмент для брутфорса, содержащий 117 имен пользователей и 28 распространенных паролей. В ходе кампании было выявлено как минимум одно действительное сочетание учетных данных для входа в WordPress.

Актор также скомпрометировал второй индийский государственный университет и выкрал базу данных MongoDB, содержащую более 5200 записей, включая персональные данные студентов. Дополнительная активность включала перечисление платформ электронной коммерции, набор инструментов на базе Go для сбора учетных данных, открытых на веб-сайтах, а также сбор списков доменов для автоматизированного сканирования.

В отчёте описывается запланированное мошенничество с использованием протокола передачи голоса по IP (VoIP), а не подтверждённое завершённое мошенничество при совершении звонков. Профиль ИИ с именем «alice» предоставил рекомендации по созданию легитимного на вид телекоммуникационного бизнеса, получению американского LLC и EIN, регистрации в FCC, приобретению ёмкости SIP-транков, смешиванию легитимного и мошеннического трафика, обходу механизмов аутентификации вызовов STIR/SHAKEN, а также использованию подмены идентификатора вызывающего абонента (Caller ID) или идентификации линии вызова (Calling Line Identification). Предусмотренные методы монетизации включали тарифное мошенничество (toll fraud) и другие формы некорректной маршрутизации, при этом для снижения операционных расходов применялась маршрутизация по минимальной стоимости (least-cost routing). Другой профиль изучал оптовых поставщиков услуг VoIP и уязвимости в нормативно-правовом регулировании.

Актор также разработал конвейер для взлома паролей Wi-Fi. Близлежащее устройство с Kali Linux перехватывало данные PMKID или рукопожатия EAPOL, отправляло хеши через SSH-туннель на облачные GPU-инстансы и возвращал результаты взлома через вебхуки Discord. Эта деятельность требовала физического присутствия вблизи целевых беспроводных сетей. Разведка в сфере криптовалют включала сбор данных о ведущих держателях Ethereum и токенов через API DeBank, в результате чего было идентифицировано 45 высокодоходных «китов» для возможного целевого воздействия в будущем. Инфраструктура включала C2-сервер с обратным шеллом для Windows на базе Python, полезную нагрузку PowerShell, доставляемую через VBScript, инструменты SSH и Netcat, а также несколько вариантов шелла для Windows.

#ParsedReport #CompletenessLow
19-10-2026

A Visualizza into Recent IcedID Campaigns:

https://www.team-cymru.com/post/a-visualizza-into-recent-icedid-campaigns

Report completeness: Low

Threats:
Icedid
Cobalt_strike_tool
Quantum_locker
Privateloader

Victims:
Italian speakers, English speakers

Industry:
Financial

Geo:
Italian

ChatGPT TTPs:
do not use without manual check
T1027.013, T1059.003, T1105, T1204.002, T1566.001, T1583.001

IOCs:
Domain: 11
IP: 8
Url: 0
Hash: 0
Email: 0
BrowserExtension: 0

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В сентябре 2022 года IcedID широко распространялся через спам, вредоносные документы, архивы, файлы ярлыков, файлы CHM и пиратское программное обеспечение. Его многоуровневая инфраструктура доставляла ВПО и последующие полезную нагрузку, такие как Cobalt Strike или шифровальщик Quantum, с часто меняющимися доменами C2 и короткими кампаниями, нацеленными преимущественно на англоязычных пользователей.
-----

IcedID (BokBot) — банковский троян, который эволюционировал в дроппер, способный загружать дополнительные полезные нагрузки, включая Cobalt Strike и, в некоторых случаях заражения, шифровальщик Quantum. В сентябре 2022 года он распространялся посредством частых спам-кампаний с использованием вредоносных документов Office, ZIP-архивов с паролем, содержащих файлы ISO и LNK, файлов CHM, а также заражений PrivateLoader, которые скрывали ВПО в пиратском или «взломанном» программном обеспечении.

Кампании преимущественно использовали инфраструктуру управления (C2) первого этапа и первого уровня (Tier 1) для первоначальной загрузки IcedID после того, как жертва открывала приманку или выполняла ярлык, в то время как инфраструктура второго уровня (Tier 2) обрабатывала последующие коммуникации. До 22 сентября 2022 года домены C2 первого этапа, как правило, регистрировались через инфраструктуру, связанную с Njalla, примерно за 31 день до использования, что потенциально помогало обходить блокировки недавно зарегистрированных доменов. После этого паттерн изменился: домены стали регистрироваться всего за один-два дня до начала кампаний. Доменам C2 обычно назначался новый IP-адрес в день запуска кампании или непосредственно перед ним, они принимали трафик жертв по HTTP-порту 80 и, как правило, взаимодействовали с инфраструктурой второго уровня в течение примерно шести дней.

Большинство доменных имен и IP-адресов использовались в рамках одной кампании и не перерабатывались. Однако несколько кампаний в середине и конце сентября повторно использовали инфраструктуру, включая ту же комбинацию домена и IP-адреса, а также IP-адрес, общий для двух недавно зарегистрированных доменов. В одной из кампаний фиксировался трафик от жертв, но отсутствовало работоспособное взаимодействие на втором уровне (Tier 2), что указывает на сбой при настройке инфраструктуры. Другая кампания функционировала лишь несколько часов до отключения.

Крупнейшая зафиксированная кампания была направлена на англоязычных пользователей и использовала защищённый паролем ZIP-архив, содержащий файлы ISO и LNK, что привело к появлению приблизительно 115 потенциальных жертв. Кампания с использованием PrivateLoader привела к появлению около 79 потенциальных жертв. Другие кампании привели к появлению от пяти до 29 жертв, в то время как вредоносные приманки в форматах Word, Excel и CHM, как правило, генерировали меньший объём. Большинство трафика жертв приходилось на день запуска кампании или на следующий день, после чего наблюдалось снижение. Кампания, содержавшая очевидную языковую ошибку в приманке XLSM, оказалась менее эффективной, что указывает на то, что реалистичность приманки может влиять на взаимодействие с ней со стороны жертв.

#ParsedReport #CompletenessLow
19-10-2026

Active Exploitation of CVE-2026-110936 in Siemens Software Center

https://productcert.siemens.com/news/2026/10/19/active-exploitation-of-cve-2026-110936-in-siemens-software-center/

Report completeness: Low

Threats:
Dll_sideloading_technique
Romulusloader
Clickfix_technique

Victims:
Siemens software center users

CVEs:
CVE-2026-110936 [Vulners]
CVSS V3.1: 6.7,
Vulners: Exploitation: True


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1053.005, T1203, T1574.002

IOCs:
IP: 2
Domain: 1
File: 3
Hash: 2

Soft:
Task Scheduler

Win API:
DB

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Версии Siemens Software Center ранее 4.0.9.8 содержат активно эксплуатируемое уязвимость DLL side-loading, CVE-2026-110936. Злоумышленники могут размещать вредоносные DLL, которые легитимное приложение загружает при запуске, что позволяет выполнять код без изменения исполняемого файла Siemens. Зафиксированная активность включает социальную инженерию, подозрительные файлы и каталоги, закрепление через автозагрузку или запланированные задачи, а также связь с IP-адресом 96.62.218.59.
-----

Siemens подтвердила активное использование уязвимости CVE-2026-110936, представляющей собой уязвимость подмены DLL (DLL side-loading), которая затрагивает версии Siemens Software Center, более ранние, чем 4.0.9.8. Данная уязвимость позволяет злоумышленникам размещать вредоносные файлы DLL в тех местах, где легитимное приложение Siemens будет загружать их при запуске. Сам исполняемый файл Siemens не изменяется; вместо этого уязвимое программное обеспечение загружает DLL, предоставленные злоумышленником, что обеспечивает выполнение вредоносного кода.

Siemens устранила проблему в версии Software Center 4.0.9.8 и опубликовала уведомление SSA-580366 15 октября. Ожидается, что существующие установки будут автоматически обновлены при следующем запуске приложения, однако организациям следует убедиться, что развернутые системы работают на версии 4.0.9.8 или более поздней.

Возможными индикаторами компрометации являются наличие Siemens Software Center в приложениях автозагрузки или Планировщике задач Windows на системах, где он никогда не устанавливался. ВПО может создавать каталог «SM Software Provisioning Service» в локальном пути AppData\Programs. Вблизи файла `SiemensSoftwareCenter.exe` могут появляться подозрительные файлы с именами `activate.bak` или `statinfosta.DB`. Другим задокументированным артефактом является каталог `FTSuite`, содержащий файл `ftc.uml`, в локальном пути AppData\Network. Также следует расследовать системы, устанавливающие связь с IP-адресом `96.62.218.59`.

Зафиксированная активность может включать социальную инженерию, в ходе которой жертвам предписывается выполнять команды через диалоговое окно «Выполнить» в Windows или PowerShell, например, путем злоупотребления поддельным запросом на подтверждение «Я не робот». Пользователи не должны вставлять команды с веб-страниц в эти интерфейсы. Организациям следует обновить Siemens Software Center, проверить записи автозагрузки и запланированные задачи, выполнить поиск перечисленных файлов и каталогов, а также расследовать сетевые соединения с указанным IP-адресом.

#ParsedReport #CompletenessMedium
21-10-2026

Behind the Panels: Validating ShinyHunters Cluster A Infrastructure Through Network Telemetry

https://www.team-cymru.com/post/validating-shinyhunters-cyber-threat-actors-infrastructure

Report completeness: Medium

Actors/Campaigns:
Shinyhunters
Snarky_spider
Cordial_spider

Threats:
Aitm_technique

Victims:
Higher education, Financial services, Asset management, Real estate, Luxury goods, Retail and consumer, Cryptocurrency platforms, Taxation, Telecommunications, Enterprise saas, have more...

Industry:
Retail, Education, Telco

Geo:
Russian, Apac, Indonesian, Australian

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036.005, T1056.003, T1111, T1557, T1566.004

IOCs:
IP: 2
File: 1
Hash: 8

Soft:
Salesforce, SharePoint, Slack, DocuSign, Cloudflare, Telegram, Okta, Microsoft Entra, Dropbox, Cloudflare Turnstile, have more...

Wallets:
coinbase

Crypto:
binance

Algorithms:
sha256

Win API:
OPENDIR

Languages:
php

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В отчете идентифицированы два IP-адреса, на которых размещена фишинговая инфраструктура, связанная с панелью Doko и кластером A Push Security. В инфраструктуре использовались домены, имитирующие бренды, и конечные точки панели управления для поддержки голосового фишинга и атак типа «человек посередине» (adversary-in-the-middle), направленных на получение учетных данных, данных MFA и аутентифицированных сессий. Приписывание активности группе ShinyHunters или одному конкретному оператору пока не подтверждено.
-----

Отчёт подтверждает инфраструктуру, связанную с Cluster A компании Push Security — кластером фишинговой инфраструктуры, связанным с панелью Doko и размещённым на хостинге Mevspace AS201814. С помощью пассивного DNS, телеметрии сертификатов, наблюдений за открытыми службами и анализа паттернов хостинга были идентифицированы два активных IP-адреса: 149.50.97.174 и 149.50.127.228. Оба хостили множество доменов, тематически привязанных к жертвам, с повторяющимися характеристиками именования, регистратора, DNS-серверов и сертификатов, характерными для данного кластера.

Домены имитировали провайдеров идентификации, корпоративные SaaS-платформы, финансовые учреждения, криптовалютные сервисы, розничных продавцов, университеты и австралийские налоговые службы. Среди выявленных тематических направлений были Okta, Microsoft Entra, Google Workspace, Coinbase, Binance, Nexo, NDAX, Koinly, Yale, University of Pennsylvania, Disney, Nike, Verizon и другие. Также присутствовали универсальные домены для верификации, что указывает на использование страниц перехвата учетных данных, работающих на нескольких платформах, помимо фишинговых наборов, нацеленных на конкретные бренды. Инфраструктура соответствует атакам голосового фишинга и adversary-in-the-middle, предназначенным для перехвата учетных данных, данных MFA и, потенциально, аутентифицированных сессий для доступа к корпоративным приложениям и финансовым платформам.

На адресе 149.50.97.174 появился поддомен `cp.myyalemanager.com`, что соответствует конечной точке панели управления оператора. На этом же хосте также был обнаружен сервис FTP на порту 21, использующий самоподписанный сертификат. На адресе 149.50.127.228 доменные имена следовали повторяющемуся формату с числовым токеном и названием бренда, включая Coinbase, Binance, NDAX и имена, связанные с тематикой криптовалют. Тисокуаты Binance включали легитимный бренд в более длинные имена хостов, что потенциально могло использоваться для эксплуатации усечения строки URL. Домены `dokopanel.com` и `admin.dokopanel.com` также резолвились на этот адрес, что могло указывать на возможную инфраструктурную точку перехода, но не являлось доказательством контроля со стороны конкретного лица.

Телеметрия сети зафиксировала трафик через прокси Cloudflare на портах 80 и 443, а также фоновое сканирование интернета. Полученные данные подтверждают инфраструктуру Кластера A, однако не позволяют однозначно приписать всю активность группе ShinyHunters или единственному оператору. Общее происхождение используемых инструментов, пересечения в хостинге и схожесть целей атак следует рассматривать как инфраструктурные ассоциации, а не как неопровержимые доказательства владения.

#ParsedReport #CompletenessMedium
22-10-2026

skynox7: Proxyjacking Edge Devices Into Residential Proxies

https://www.greynoise.io/blog/proxyjacking-edge-devices-residential-proxies

Report completeness: Medium

Threats:
Residential_proxy_technique
Proxyjacking_technique
Supply_chain_technique
Iproyal_pawns_tool

Victims:
Network edge devices, Digital video recorders, Network video recorders

Industry:
Government

Geo:
Ukraine

CVEs:
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- siemens 6bk1602-0aa12-0tp0_firmware (<2.7.0)

CVE-2024-3273 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)

CVE-2024-3272 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)

CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- sap netweaver (7.50)


ChatGPT TTPs:
do not use without manual check
T1090, T1090.002, T1496

IOCs:
Hash: 7
IP: 1
Email: 1

Soft:
SAP NetWeaver, Dahua

Algorithms:
sha256

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие получают несанкционированный доступ к устройствам, ориентированным на Интернет, включая DVR/NVR Hikvision и Dahua, для установки прокси-ПО и скрытного превращения их в узлы резидентных прокси. Эти прокси маскируют вредоносную активность, заставляя трафик выглядеть как исходящий из легитимных потребительских сетей, что позволяет обходить механизмы аутентификации и скрывать инфраструктуру атакующих. Аутентификация нескольких пользователей через один и тот же резидентный IP-адрес может свидетельствовать о злоупотреблении прокси-сервисами.
-----

В отчете описывается использование сетей резидентных прокси для сокрытия вредоносной деятельности и обхода обнаружения на основе репутации IP-адресов, атрибуции хостинг-провайдеров и географических несоответствий. Резидентные прокси направляют интернет-трафик через потребительские устройства, что позволяет вредоносным соединениям выглядеть как исходящие из легитимных домашних или корпоративных сетей. Это может позволить злоумышленникам обходить мониторинг аутентификации, который помечает попытки входа с виртуальных частных серверов, коммерческих VPN или из неожиданных стран.

В статье проводится различие между легитимным прокси-варом и прокси-джекингом. В рамках легитимных прокси-варных схем пользователи осознанно устанавливают программное обеспечение или приложения, которые делят пропускную способность их устройств в обмен на вознаграждение. Разработчики также могут внедрять наборы инструментов для разработки прокси-программного обеспечения в приложения и монетизировать пропускную способность устройств пользователей. Прокси-джекинг происходит, когда злоумышленник скрытно устанавливает такое программное обеспечение на скомпрометированные системы и монетизирует интернет-соединения жертв без их согласия.

По имеющимся данным, в рамках злонамеренной кампании были атакованы устройства сетевого периметра, доступные из интернета, по всему миру, в результате чего на них было установлено прокси-ПО Pawns.app в интересах злоумышленника. Pawns.app ассоциируется с IPRoyal и обеспечивает доступ к коммерческой инфраструктуре резидентных прокси. Кампания, по всей видимости, была направлена на цифровые видеорегистраторы и сетевые видеорегистраторы, в том числе на устройства, произведённые компаниями Hikvision и Dahua. Скомпрометированные устройства периметра могли впоследствии выполнять функции узлов резидентной прокси-сети, что позволяло несвязанным злоумышленникам или другим клиентам прокси-сети направлять трафик через IP-адреса жертв.

В отчете также рассматривается расследование несанкционированного доступа, в ходе которого в журналах входа в систему Entra ID были обнаружены аутентификации с домашних IP-адресов, которые географически соответствовали местоположению легитимных пользователей. Дальнейшее расследование выявило более тревожную картину: несколько пользователей выполняли аутентификацию через один и тот же IP-адрес домашнего прокси, что является маловероятным паттерном для нормальной активности. Организациям следует выявлять адреса домашних прокси в журналах аутентификации и сетевых журналах, а также проводить расследование случаев, когда несколько учетных записей используют один и тот же домашний IP-адрес, особенно если этот адрес одновременно связан со злонамеренным сканированием или иной подозрительной активностью.

#ParsedReport #CompletenessMedium
21-10-2026

AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise

https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/

Report completeness: Medium

Actors/Campaigns:
Storm-0940 (motivation: information_theft)

Threats:
Supply_chain_technique
Artex_tool
Screenconnect_tool
Password_spray_technique

Victims:
Aerospace and defense, Automotive, Chemicals, Energy, Financial services, Government, Legal, Manufacturing, Media, Military, have more...

Industry:
Military, Chemical, Semiconductor_industry, Energy, Government, Transport, Aerospace

TTPs:
Tactics: 8
Technics: 2

IOCs:
File: 7
IP: 6
Coin: 1

Soft:
Microsoft Defender, Microsoft Entra, Microsoft 365, Graph API, SharePoint, raph API ac

Functions:
Graph

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Китайская группировка Storm-0940 использовала фреймворк ARTEX с несколькими агентами на базе LLM для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачных сред и эксфильтрации данных в масштабах сотен организаций. После компрометации облачной платформы резервного копирования ConnectWise актор получил доступ к конечным пользователям (downstream tenants) с использованием OAuth-идентификаторов, провел разведку в Microsoft Graph и предпринял попытки изменения учетных данных приложений, разрешений и привилегий для закрепления в системе.
-----

Storm-0940, злоумышленник, связанный с государством Китая и активный с 2021 года, провел крупномасштабную кампанию против организаций в секторах аэрокосмической отрасли, обороны, финансов, государственного управления, производства, технологий и других. Начиная с сентября 2026 года, злоумышленник использовал ARTEX — открытый фреймворк для многоагентного тестирования на проникновение на базе LLM — для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачной инфраструктуры и процессов эксфильтрации данных. Кампания была направлена на сотни организаций, и в нескольких случаях вторжения привели к получению привилегированного доступа к облачной инфраструктуре менее чем за три часа.

Деятельность была связана с компрометацией многонационального облачного приложения ConnectWise для резервного копирования и последующим доступом к тенантам клиентов. Storm-0940 использовал скомпрометированные идентификаторы OAuth-приложений для аутентификации в средах Microsoft 365 без интерактивного входа пользователя. Затем актор проводил разведку в Microsoft Graph, включая перечисление элементов каталога, разрешений и согласований, а также пытался изменить учетные данные приложений, выданные согласия, владельцев, назначения ролей приложений и привилегии. Эти изменения могли обеспечить закрепление через сервисные субъекты, альтернативные учетные данные и другие облачные идентификаторы. Наличие аутентификации или приложения само по себе не подтверждало доступ к данным или их эксфильтрацию.

В период с 10 по 14 октября инфраструктура, связанная с актором, в том числе IP-адрес 144.172.64.99, проводила распыление пароля в отношении 327 учетных записей в восьми организациях. Microsoft зафиксировала более 151 000 неудачных попыток входа в систему, при этом пиковая активность составила приблизительно 2900 неудачных попыток в минуту. В ходе данной кампании не было зафиксировано успешной аутентификации, выпуска токенов, активности в Microsoft Graph или изменений в каталоге. После компрометации ConnectWise, по сообщениям, ARTEX ускорил попытки получения доступа к более чем 2250 арендаторам (tenants) с аналогичной интенсивностью, что существенно сократило время реакции защитников.

Соответствующие действия соответствуют техникам MITRE ATT&CK, включая Активное сканирование (T1595), Компрометация цепочки поставок (T1195), Изучение облачной инфраструктуры (T1580), а также использование скомпрометированных облачных учетных записей. Организациям следует проверять вход в систему через служебные учетные записи (service principal), разрешения OAuth-приложений, изменения учетных данных и привилегий, активность в Microsoft Graph, необычный доступ к электронной почте или файлам, а также аутентификацию с непредвиденной инфраструктуры. При расследовании необходимо сохранять доказательства из журналов аудита и SIEM, сопоставлять активность с санкционированными административными изменениями, отключать затронутые интеграции, отзывать несанкционированные разрешения и учетные данные, а также ротировать скомпрометированные секреты после сбора доказательств.