#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
BUGSTER использовал инструменты с поддержкой ИИ для совершения киберпреступлений против индийских организаций, включая разведку, атаки на учётные данные WordPress и кражу базы данных MongoDB, содержащей данные студентов. Актор также разрабатывал инфраструктуру для сбора учётных данных, создания обратных шеллов, взлома паролей Wi-Fi, атак на криптовалюты, а также планировал мошенничество по VoIP с использованием подмены идентификатора вызывающего абонента и обхода механизмов аутентификации.
-----

Злоумышленник, действующий под псевдонимом BUGSTER, использовал ИИ для планирования и проведения нескольких операций в сфере киберкриминала, в основном нацеленных на организации в Индии. Актер настроил фреймворк Hermes Agent с использованием DeepSeek V4 и применял Cursor IDE в качестве инструмента разработки, отключив механизмы безопасности, разрешения и песочницы. Профили Hermes управлялись через ботов в Телеграм, при этом дополнительные профили, судя по всему, предназначались для разработки, тестирования на уязвимости, валидации и развертывания.

В отношении образовательной платформы на базе WordPress, принадлежащей индийскому университету, актор использовал разведку, сгенерированную с помощью ИИ, для перечисления 12 поддоменов, включая LMS, студенческий портал, административную панель и сайты на WordPress. Перечисление через REST API WordPress и sitemap авторов выявило 13 активных идентификаторов пользователей и их настоящие имена, что позволило обойти прямые ограничения на конечные точки, наложенные Cloudflare. Затем актор сгенерировал инструмент для брутфорса, содержащий 117 имен пользователей и 28 распространенных паролей. В ходе кампании было выявлено как минимум одно действительное сочетание учетных данных для входа в WordPress.

Актор также скомпрометировал второй индийский государственный университет и выкрал базу данных MongoDB, содержащую более 5200 записей, включая персональные данные студентов. Дополнительная активность включала перечисление платформ электронной коммерции, набор инструментов на базе Go для сбора учетных данных, открытых на веб-сайтах, а также сбор списков доменов для автоматизированного сканирования.

В отчёте описывается запланированное мошенничество с использованием протокола передачи голоса по IP (VoIP), а не подтверждённое завершённое мошенничество при совершении звонков. Профиль ИИ с именем «alice» предоставил рекомендации по созданию легитимного на вид телекоммуникационного бизнеса, получению американского LLC и EIN, регистрации в FCC, приобретению ёмкости SIP-транков, смешиванию легитимного и мошеннического трафика, обходу механизмов аутентификации вызовов STIR/SHAKEN, а также использованию подмены идентификатора вызывающего абонента (Caller ID) или идентификации линии вызова (Calling Line Identification). Предусмотренные методы монетизации включали тарифное мошенничество (toll fraud) и другие формы некорректной маршрутизации, при этом для снижения операционных расходов применялась маршрутизация по минимальной стоимости (least-cost routing). Другой профиль изучал оптовых поставщиков услуг VoIP и уязвимости в нормативно-правовом регулировании.

Актор также разработал конвейер для взлома паролей Wi-Fi. Близлежащее устройство с Kali Linux перехватывало данные PMKID или рукопожатия EAPOL, отправляло хеши через SSH-туннель на облачные GPU-инстансы и возвращал результаты взлома через вебхуки Discord. Эта деятельность требовала физического присутствия вблизи целевых беспроводных сетей. Разведка в сфере криптовалют включала сбор данных о ведущих держателях Ethereum и токенов через API DeBank, в результате чего было идентифицировано 45 высокодоходных «китов» для возможного целевого воздействия в будущем. Инфраструктура включала C2-сервер с обратным шеллом для Windows на базе Python, полезную нагрузку PowerShell, доставляемую через VBScript, инструменты SSH и Netcat, а также несколько вариантов шелла для Windows.

#ParsedReport #CompletenessLow
19-10-2026

A Visualizza into Recent IcedID Campaigns:

https://www.team-cymru.com/post/a-visualizza-into-recent-icedid-campaigns

Report completeness: Low

Threats:
Icedid
Cobalt_strike_tool
Quantum_locker
Privateloader

Victims:
Italian speakers, English speakers

Industry:
Financial

Geo:
Italian

ChatGPT TTPs:
do not use without manual check
T1027.013, T1059.003, T1105, T1204.002, T1566.001, T1583.001

IOCs:
Domain: 11
IP: 8
Url: 0
Hash: 0
Email: 0
BrowserExtension: 0

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В сентябре 2022 года IcedID широко распространялся через спам, вредоносные документы, архивы, файлы ярлыков, файлы CHM и пиратское программное обеспечение. Его многоуровневая инфраструктура доставляла ВПО и последующие полезную нагрузку, такие как Cobalt Strike или шифровальщик Quantum, с часто меняющимися доменами C2 и короткими кампаниями, нацеленными преимущественно на англоязычных пользователей.
-----

IcedID (BokBot) — банковский троян, который эволюционировал в дроппер, способный загружать дополнительные полезные нагрузки, включая Cobalt Strike и, в некоторых случаях заражения, шифровальщик Quantum. В сентябре 2022 года он распространялся посредством частых спам-кампаний с использованием вредоносных документов Office, ZIP-архивов с паролем, содержащих файлы ISO и LNK, файлов CHM, а также заражений PrivateLoader, которые скрывали ВПО в пиратском или «взломанном» программном обеспечении.

Кампании преимущественно использовали инфраструктуру управления (C2) первого этапа и первого уровня (Tier 1) для первоначальной загрузки IcedID после того, как жертва открывала приманку или выполняла ярлык, в то время как инфраструктура второго уровня (Tier 2) обрабатывала последующие коммуникации. До 22 сентября 2022 года домены C2 первого этапа, как правило, регистрировались через инфраструктуру, связанную с Njalla, примерно за 31 день до использования, что потенциально помогало обходить блокировки недавно зарегистрированных доменов. После этого паттерн изменился: домены стали регистрироваться всего за один-два дня до начала кампаний. Доменам C2 обычно назначался новый IP-адрес в день запуска кампании или непосредственно перед ним, они принимали трафик жертв по HTTP-порту 80 и, как правило, взаимодействовали с инфраструктурой второго уровня в течение примерно шести дней.

Большинство доменных имен и IP-адресов использовались в рамках одной кампании и не перерабатывались. Однако несколько кампаний в середине и конце сентября повторно использовали инфраструктуру, включая ту же комбинацию домена и IP-адреса, а также IP-адрес, общий для двух недавно зарегистрированных доменов. В одной из кампаний фиксировался трафик от жертв, но отсутствовало работоспособное взаимодействие на втором уровне (Tier 2), что указывает на сбой при настройке инфраструктуры. Другая кампания функционировала лишь несколько часов до отключения.

Крупнейшая зафиксированная кампания была направлена на англоязычных пользователей и использовала защищённый паролем ZIP-архив, содержащий файлы ISO и LNK, что привело к появлению приблизительно 115 потенциальных жертв. Кампания с использованием PrivateLoader привела к появлению около 79 потенциальных жертв. Другие кампании привели к появлению от пяти до 29 жертв, в то время как вредоносные приманки в форматах Word, Excel и CHM, как правило, генерировали меньший объём. Большинство трафика жертв приходилось на день запуска кампании или на следующий день, после чего наблюдалось снижение. Кампания, содержавшая очевидную языковую ошибку в приманке XLSM, оказалась менее эффективной, что указывает на то, что реалистичность приманки может влиять на взаимодействие с ней со стороны жертв.

#ParsedReport #CompletenessLow
19-10-2026

Active Exploitation of CVE-2026-110936 in Siemens Software Center

https://productcert.siemens.com/news/2026/10/19/active-exploitation-of-cve-2026-110936-in-siemens-software-center/

Report completeness: Low

Threats:
Dll_sideloading_technique
Romulusloader
Clickfix_technique

Victims:
Siemens software center users

CVEs:
CVE-2026-110936 [Vulners]
CVSS V3.1: 6.7,
Vulners: Exploitation: True


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1053.005, T1203, T1574.002

IOCs:
IP: 2
Domain: 1
File: 3
Hash: 2

Soft:
Task Scheduler

Win API:
DB

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Версии Siemens Software Center ранее 4.0.9.8 содержат активно эксплуатируемое уязвимость DLL side-loading, CVE-2026-110936. Злоумышленники могут размещать вредоносные DLL, которые легитимное приложение загружает при запуске, что позволяет выполнять код без изменения исполняемого файла Siemens. Зафиксированная активность включает социальную инженерию, подозрительные файлы и каталоги, закрепление через автозагрузку или запланированные задачи, а также связь с IP-адресом 96.62.218.59.
-----

Siemens подтвердила активное использование уязвимости CVE-2026-110936, представляющей собой уязвимость подмены DLL (DLL side-loading), которая затрагивает версии Siemens Software Center, более ранние, чем 4.0.9.8. Данная уязвимость позволяет злоумышленникам размещать вредоносные файлы DLL в тех местах, где легитимное приложение Siemens будет загружать их при запуске. Сам исполняемый файл Siemens не изменяется; вместо этого уязвимое программное обеспечение загружает DLL, предоставленные злоумышленником, что обеспечивает выполнение вредоносного кода.

Siemens устранила проблему в версии Software Center 4.0.9.8 и опубликовала уведомление SSA-580366 15 октября. Ожидается, что существующие установки будут автоматически обновлены при следующем запуске приложения, однако организациям следует убедиться, что развернутые системы работают на версии 4.0.9.8 или более поздней.

Возможными индикаторами компрометации являются наличие Siemens Software Center в приложениях автозагрузки или Планировщике задач Windows на системах, где он никогда не устанавливался. ВПО может создавать каталог «SM Software Provisioning Service» в локальном пути AppData\Programs. Вблизи файла `SiemensSoftwareCenter.exe` могут появляться подозрительные файлы с именами `activate.bak` или `statinfosta.DB`. Другим задокументированным артефактом является каталог `FTSuite`, содержащий файл `ftc.uml`, в локальном пути AppData\Network. Также следует расследовать системы, устанавливающие связь с IP-адресом `96.62.218.59`.

Зафиксированная активность может включать социальную инженерию, в ходе которой жертвам предписывается выполнять команды через диалоговое окно «Выполнить» в Windows или PowerShell, например, путем злоупотребления поддельным запросом на подтверждение «Я не робот». Пользователи не должны вставлять команды с веб-страниц в эти интерфейсы. Организациям следует обновить Siemens Software Center, проверить записи автозагрузки и запланированные задачи, выполнить поиск перечисленных файлов и каталогов, а также расследовать сетевые соединения с указанным IP-адресом.

#ParsedReport #CompletenessMedium
21-10-2026

Behind the Panels: Validating ShinyHunters Cluster A Infrastructure Through Network Telemetry

https://www.team-cymru.com/post/validating-shinyhunters-cyber-threat-actors-infrastructure

Report completeness: Medium

Actors/Campaigns:
Shinyhunters
Snarky_spider
Cordial_spider

Threats:
Aitm_technique

Victims:
Higher education, Financial services, Asset management, Real estate, Luxury goods, Retail and consumer, Cryptocurrency platforms, Taxation, Telecommunications, Enterprise saas, have more...

Industry:
Retail, Education, Telco

Geo:
Russian, Apac, Indonesian, Australian

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036.005, T1056.003, T1111, T1557, T1566.004

IOCs:
IP: 2
File: 1
Hash: 8

Soft:
Salesforce, SharePoint, Slack, DocuSign, Cloudflare, Telegram, Okta, Microsoft Entra, Dropbox, Cloudflare Turnstile, have more...

Wallets:
coinbase

Crypto:
binance

Algorithms:
sha256

Win API:
OPENDIR

Languages:
php

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В отчете идентифицированы два IP-адреса, на которых размещена фишинговая инфраструктура, связанная с панелью Doko и кластером A Push Security. В инфраструктуре использовались домены, имитирующие бренды, и конечные точки панели управления для поддержки голосового фишинга и атак типа «человек посередине» (adversary-in-the-middle), направленных на получение учетных данных, данных MFA и аутентифицированных сессий. Приписывание активности группе ShinyHunters или одному конкретному оператору пока не подтверждено.
-----

Отчёт подтверждает инфраструктуру, связанную с Cluster A компании Push Security — кластером фишинговой инфраструктуры, связанным с панелью Doko и размещённым на хостинге Mevspace AS201814. С помощью пассивного DNS, телеметрии сертификатов, наблюдений за открытыми службами и анализа паттернов хостинга были идентифицированы два активных IP-адреса: 149.50.97.174 и 149.50.127.228. Оба хостили множество доменов, тематически привязанных к жертвам, с повторяющимися характеристиками именования, регистратора, DNS-серверов и сертификатов, характерными для данного кластера.

Домены имитировали провайдеров идентификации, корпоративные SaaS-платформы, финансовые учреждения, криптовалютные сервисы, розничных продавцов, университеты и австралийские налоговые службы. Среди выявленных тематических направлений были Okta, Microsoft Entra, Google Workspace, Coinbase, Binance, Nexo, NDAX, Koinly, Yale, University of Pennsylvania, Disney, Nike, Verizon и другие. Также присутствовали универсальные домены для верификации, что указывает на использование страниц перехвата учетных данных, работающих на нескольких платформах, помимо фишинговых наборов, нацеленных на конкретные бренды. Инфраструктура соответствует атакам голосового фишинга и adversary-in-the-middle, предназначенным для перехвата учетных данных, данных MFA и, потенциально, аутентифицированных сессий для доступа к корпоративным приложениям и финансовым платформам.

На адресе 149.50.97.174 появился поддомен `cp.myyalemanager.com`, что соответствует конечной точке панели управления оператора. На этом же хосте также был обнаружен сервис FTP на порту 21, использующий самоподписанный сертификат. На адресе 149.50.127.228 доменные имена следовали повторяющемуся формату с числовым токеном и названием бренда, включая Coinbase, Binance, NDAX и имена, связанные с тематикой криптовалют. Тисокуаты Binance включали легитимный бренд в более длинные имена хостов, что потенциально могло использоваться для эксплуатации усечения строки URL. Домены `dokopanel.com` и `admin.dokopanel.com` также резолвились на этот адрес, что могло указывать на возможную инфраструктурную точку перехода, но не являлось доказательством контроля со стороны конкретного лица.

Телеметрия сети зафиксировала трафик через прокси Cloudflare на портах 80 и 443, а также фоновое сканирование интернета. Полученные данные подтверждают инфраструктуру Кластера A, однако не позволяют однозначно приписать всю активность группе ShinyHunters или единственному оператору. Общее происхождение используемых инструментов, пересечения в хостинге и схожесть целей атак следует рассматривать как инфраструктурные ассоциации, а не как неопровержимые доказательства владения.

#ParsedReport #CompletenessMedium
22-10-2026

skynox7: Proxyjacking Edge Devices Into Residential Proxies

https://www.greynoise.io/blog/proxyjacking-edge-devices-residential-proxies

Report completeness: Medium

Threats:
Residential_proxy_technique
Proxyjacking_technique
Supply_chain_technique
Iproyal_pawns_tool

Victims:
Network edge devices, Digital video recorders, Network video recorders

Industry:
Government

Geo:
Ukraine

CVEs:
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- siemens 6bk1602-0aa12-0tp0_firmware (<2.7.0)

CVE-2024-3273 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)

CVE-2024-3272 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)

CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- sap netweaver (7.50)


ChatGPT TTPs:
do not use without manual check
T1090, T1090.002, T1496

IOCs:
Hash: 7
IP: 1
Email: 1

Soft:
SAP NetWeaver, Dahua

Algorithms:
sha256

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие получают несанкционированный доступ к устройствам, ориентированным на Интернет, включая DVR/NVR Hikvision и Dahua, для установки прокси-ПО и скрытного превращения их в узлы резидентных прокси. Эти прокси маскируют вредоносную активность, заставляя трафик выглядеть как исходящий из легитимных потребительских сетей, что позволяет обходить механизмы аутентификации и скрывать инфраструктуру атакующих. Аутентификация нескольких пользователей через один и тот же резидентный IP-адрес может свидетельствовать о злоупотреблении прокси-сервисами.
-----

В отчете описывается использование сетей резидентных прокси для сокрытия вредоносной деятельности и обхода обнаружения на основе репутации IP-адресов, атрибуции хостинг-провайдеров и географических несоответствий. Резидентные прокси направляют интернет-трафик через потребительские устройства, что позволяет вредоносным соединениям выглядеть как исходящие из легитимных домашних или корпоративных сетей. Это может позволить злоумышленникам обходить мониторинг аутентификации, который помечает попытки входа с виртуальных частных серверов, коммерческих VPN или из неожиданных стран.

В статье проводится различие между легитимным прокси-варом и прокси-джекингом. В рамках легитимных прокси-варных схем пользователи осознанно устанавливают программное обеспечение или приложения, которые делят пропускную способность их устройств в обмен на вознаграждение. Разработчики также могут внедрять наборы инструментов для разработки прокси-программного обеспечения в приложения и монетизировать пропускную способность устройств пользователей. Прокси-джекинг происходит, когда злоумышленник скрытно устанавливает такое программное обеспечение на скомпрометированные системы и монетизирует интернет-соединения жертв без их согласия.

По имеющимся данным, в рамках злонамеренной кампании были атакованы устройства сетевого периметра, доступные из интернета, по всему миру, в результате чего на них было установлено прокси-ПО Pawns.app в интересах злоумышленника. Pawns.app ассоциируется с IPRoyal и обеспечивает доступ к коммерческой инфраструктуре резидентных прокси. Кампания, по всей видимости, была направлена на цифровые видеорегистраторы и сетевые видеорегистраторы, в том числе на устройства, произведённые компаниями Hikvision и Dahua. Скомпрометированные устройства периметра могли впоследствии выполнять функции узлов резидентной прокси-сети, что позволяло несвязанным злоумышленникам или другим клиентам прокси-сети направлять трафик через IP-адреса жертв.

В отчете также рассматривается расследование несанкционированного доступа, в ходе которого в журналах входа в систему Entra ID были обнаружены аутентификации с домашних IP-адресов, которые географически соответствовали местоположению легитимных пользователей. Дальнейшее расследование выявило более тревожную картину: несколько пользователей выполняли аутентификацию через один и тот же IP-адрес домашнего прокси, что является маловероятным паттерном для нормальной активности. Организациям следует выявлять адреса домашних прокси в журналах аутентификации и сетевых журналах, а также проводить расследование случаев, когда несколько учетных записей используют один и тот же домашний IP-адрес, особенно если этот адрес одновременно связан со злонамеренным сканированием или иной подозрительной активностью.

#ParsedReport #CompletenessMedium
21-10-2026

AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise

https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/

Report completeness: Medium

Actors/Campaigns:
Storm-0940 (motivation: information_theft)

Threats:
Supply_chain_technique
Artex_tool
Screenconnect_tool
Password_spray_technique

Victims:
Aerospace and defense, Automotive, Chemicals, Energy, Financial services, Government, Legal, Manufacturing, Media, Military, have more...

Industry:
Military, Chemical, Semiconductor_industry, Energy, Government, Transport, Aerospace

TTPs:
Tactics: 8
Technics: 2

IOCs:
File: 7
IP: 6
Coin: 1

Soft:
Microsoft Defender, Microsoft Entra, Microsoft 365, Graph API, SharePoint, raph API ac

Functions:
Graph

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Китайская группировка Storm-0940 использовала фреймворк ARTEX с несколькими агентами на базе LLM для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачных сред и эксфильтрации данных в масштабах сотен организаций. После компрометации облачной платформы резервного копирования ConnectWise актор получил доступ к конечным пользователям (downstream tenants) с использованием OAuth-идентификаторов, провел разведку в Microsoft Graph и предпринял попытки изменения учетных данных приложений, разрешений и привилегий для закрепления в системе.
-----

Storm-0940, злоумышленник, связанный с государством Китая и активный с 2021 года, провел крупномасштабную кампанию против организаций в секторах аэрокосмической отрасли, обороны, финансов, государственного управления, производства, технологий и других. Начиная с сентября 2026 года, злоумышленник использовал ARTEX — открытый фреймворк для многоагентного тестирования на проникновение на базе LLM — для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачной инфраструктуры и процессов эксфильтрации данных. Кампания была направлена на сотни организаций, и в нескольких случаях вторжения привели к получению привилегированного доступа к облачной инфраструктуре менее чем за три часа.

Деятельность была связана с компрометацией многонационального облачного приложения ConnectWise для резервного копирования и последующим доступом к тенантам клиентов. Storm-0940 использовал скомпрометированные идентификаторы OAuth-приложений для аутентификации в средах Microsoft 365 без интерактивного входа пользователя. Затем актор проводил разведку в Microsoft Graph, включая перечисление элементов каталога, разрешений и согласований, а также пытался изменить учетные данные приложений, выданные согласия, владельцев, назначения ролей приложений и привилегии. Эти изменения могли обеспечить закрепление через сервисные субъекты, альтернативные учетные данные и другие облачные идентификаторы. Наличие аутентификации или приложения само по себе не подтверждало доступ к данным или их эксфильтрацию.

В период с 10 по 14 октября инфраструктура, связанная с актором, в том числе IP-адрес 144.172.64.99, проводила распыление пароля в отношении 327 учетных записей в восьми организациях. Microsoft зафиксировала более 151 000 неудачных попыток входа в систему, при этом пиковая активность составила приблизительно 2900 неудачных попыток в минуту. В ходе данной кампании не было зафиксировано успешной аутентификации, выпуска токенов, активности в Microsoft Graph или изменений в каталоге. После компрометации ConnectWise, по сообщениям, ARTEX ускорил попытки получения доступа к более чем 2250 арендаторам (tenants) с аналогичной интенсивностью, что существенно сократило время реакции защитников.

Соответствующие действия соответствуют техникам MITRE ATT&CK, включая Активное сканирование (T1595), Компрометация цепочки поставок (T1195), Изучение облачной инфраструктуры (T1580), а также использование скомпрометированных облачных учетных записей. Организациям следует проверять вход в систему через служебные учетные записи (service principal), разрешения OAuth-приложений, изменения учетных данных и привилегий, активность в Microsoft Graph, необычный доступ к электронной почте или файлам, а также аутентификацию с непредвиденной инфраструктуры. При расследовании необходимо сохранять доказательства из журналов аудита и SIEM, сопоставлять активность с санкционированными административными изменениями, отключать затронутые интеграции, отзывать несанкционированные разрешения и учетные данные, а также ротировать скомпрометированные секреты после сбора доказательств.

#ParsedReport #CompletenessHigh
21-10-2026

Operation FlashHole: Lazarus breaks security, defies control

https://securelist.com/lazarus-operation-flashhole/121541/

Report completeness: High

Actors/Campaigns:
Operation_flashhole (motivation: cyber_espionage)
Lazarus (motivation: cyber_espionage)
Operation_synchole
Double_barrel
Dream_job
Cascade_hole

Threats:
Watering_hole_technique
Spear-phishing_technique
Racket_loader
Dll_sideloading_technique
Touchhub
Touchshift
Lpeclient
Cubridge
Cloudburst
Nickelloader
Sideshow
Lightlesscan
Dll_injection_technique
Reflective_dll_injection_technique
Fudmodule_rootkit
Cookieplus
Mistpen
Signbt
Threatneedle
Copperhedge
Gunra
Foresttiger
Dll_hijacking_technique
Trojan.win64.shellcode.gen

Victims:
Software, Construction, Wired communication equipment manufacturing, South korea

Industry:
Government, Financial

Geo:
South korea, South korean

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1001.003, T1007, T1012, T1027, T1055, T1070.006, T1071.001, T1078.004, T1082, T1102.002, have more...

IOCs:
File: 17
Url: 10
Command: 1
Path: 8
Registry: 2
Hash: 7
Domain: 2

Soft:
ws service, Chromium, Active Directory, Google Chrome, Chrome, Microsoft Edge, Dropbox, indows security mi, liblzma

Algorithms:
xor, base64, cbc, des, aes

Win API:
SetFileInformationByHandle, CryptUnprotectData, DATA, VirtualProtect

Languages:
javascript

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция FlashHole, осуществляемая группой Lazarus, была направлена на южнокорейские организации посредством сайтов целевого фишинга, эксплуатирующих уязвимость CrossWeb EX. Цепочка заражения в оперативной памяти использовала внедрение в легитимные процессы, C2-инфраструктуру на базе GitHub, подмену DLL (DLL side-loading), рефлексивную загрузку и обширный профилирование жертв. Набор вредоносного ПО, включающий TechHub, LPEClient, ClientHub и Cubridge, связывает данную кампанию с предыдущими операциями Lazarus, такими как SyncHole и Dream Job.
-----

Операция FlashHole представляет собой кампанию группы Lazarus Group, направленную против южнокорейских организаций в секторах программного обеспечения, строительства и производства проводного коммуникационного оборудования. Данные об активности датируются июлем 2025 года; подтверждено не менее трех жертв. В ходе операции использовались письма с целевым фишингом, содержавшие ссылки на кастомные сайты резюме, портфолио или дизайна интерьера, размещенные на GitHub Pages. Эти сайты загружали внешний JavaScript с вредоносных доменов и, вероятно, инициировали злоупотребление приложением CrossWeb EX — обязательным программным обеспечением для обеспечения финансовой безопасности в Южной Корее. Ранее злоумышленники использовали связанное с ним программное обеспечение Cross EX в ходе операции SyncHole.

Первичное заражение выполнялось полностью в оперативной памяти. Легитимный бинарный файл Windows `fsquirt.exe` был запущен в рамках процесса CrossWeb EX и в него был внедрён шеллкод, содержащий ВПО TechHub. TechHub профилировал хост и использовал репозитории GitHub в качестве инфраструктуры управления, аутентифицируясь с помощью жёстко закодированных или заданных в конфигурации персональных токенов доступа GitHub. Он мог извлекать и рефлексивно загружать дополнительный шеллкод и полезные нагрузки.

Для закрепления (Persistence) TechHub развернул TouchHub и TouchShift с помощью подмены DLL (DLL side-loading), используя вредоносный файл `mscoree.dll`. TouchHub скопировал легитимный бинарный файл, зарегистрировал его как Службу Windows, работающую с привилегиями SYSTEM, и применял манипуляции с метками времени для затруднения криминалистического анализа. TouchShift расшифровывал и загружал в память последующий вариант TechHub. Дополнительные полезны нагрузки включали ClientHub, LPEClient и Cubridge, при этом на диск записывались лишь ограниченные артефакты.

Cubridge выступал в качестве основного фреймворка оркестрации, взаимодействуя с скомпрометированными легитимными веб-сайтами посредством динамически генерируемых URL и зашифрованных RSA/RC6 рукопожатий. Он поддерживал плагины, инструменты и модули, доставляемые через инъекцию DLL, рефлексивную загрузку и инъекцию через отображение секций. ClientHub использовал HTTP(S), Dropbox или скомпрометированные веб-сайты для управления, шифровал конфигурационные данные с помощью шифра SNOW и имитировал трафик браузера Chromium с помощью современных заголовков client-hint.

LPEClient выполнял обширный профилирование жертв, включая сбор информации об операционной системе, аппаратном обеспечении, антивирусе, уровне установки обновлений, средствах защиты от атак и домене. Он обменивался данными с ClientHub через разделяемую память, а не содержал адрес C2. Вредоносное ПО использовало криптографию GOST, AES, Threefish, RSA и ML-KEM-1024, после чего выполняло отражательную загрузку полезных нагрузок размером более 4 КБ. Кроме того, оно отключало инструментирование системных вызовов в пользовательском режиме с помощью исправленного заглушки системного вызова. Последняя полезная нагрузка, идентифицированная в цепочке, — Cubridge. Использование в кампании LPEClient, родословная вредоносного ПО, инфраструктура и методы заражения связывают её с операциями Lazarus, включая SyncHole и Dream Job.

#ParsedReport #CompletenessMedium
21-10-2026

LiteLLM 1.107.0 PyPI Wheel Contains a Credential Stealer and Persistent Python Backdoor

https://opensourcemalware.com/blog/litellm-1-107-0-pypi-wheel-contains-a-credential-stealer-and-persistent-python-backdoor

Report completeness: Medium

Actors/Campaigns:
Teampcp

Threats:
Credential_stealing_technique
Supply_chain_technique
Rclone_tool

Victims:
Litellm users, Python environments, Developer workstations, Ci runners

TTPs:
Tactics: 4
Technics: 0

IOCs:
Hash: 6
File: 11

Soft:
LiteLLM, macOS, Trivy, Chrome, Chromium, Opera, Firefox, Linux, Kubernetes, Docker, have more...

Algorithms:
base64, sha256, aes-256-cbc, aes, gzip

Functions:
exec, setsid

Languages:
python, powershell