CTT Report Hub
#ParsedReport #CompletenessLow 19-10-2026 A Visualizza into Recent IcedID Campaigns: https://www.team-cymru.com/post/a-visualizza-into-recent-icedid-campaigns Report completeness: Low Threats: Icedid Cobalt_strike_tool Quantum_locker Privateloader Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В сентябре 2022 года IcedID широко распространялся через спам, вредоносные документы, архивы, файлы ярлыков, файлы CHM и пиратское программное обеспечение. Его многоуровневая инфраструктура доставляла ВПО и последующие полезную нагрузку, такие как Cobalt Strike или шифровальщик Quantum, с часто меняющимися доменами C2 и короткими кампаниями, нацеленными преимущественно на англоязычных пользователей.
-----
IcedID (BokBot) — банковский троян, который эволюционировал в дроппер, способный загружать дополнительные полезные нагрузки, включая Cobalt Strike и, в некоторых случаях заражения, шифровальщик Quantum. В сентябре 2022 года он распространялся посредством частых спам-кампаний с использованием вредоносных документов Office, ZIP-архивов с паролем, содержащих файлы ISO и LNK, файлов CHM, а также заражений PrivateLoader, которые скрывали ВПО в пиратском или «взломанном» программном обеспечении.
Кампании преимущественно использовали инфраструктуру управления (C2) первого этапа и первого уровня (Tier 1) для первоначальной загрузки IcedID после того, как жертва открывала приманку или выполняла ярлык, в то время как инфраструктура второго уровня (Tier 2) обрабатывала последующие коммуникации. До 22 сентября 2022 года домены C2 первого этапа, как правило, регистрировались через инфраструктуру, связанную с Njalla, примерно за 31 день до использования, что потенциально помогало обходить блокировки недавно зарегистрированных доменов. После этого паттерн изменился: домены стали регистрироваться всего за один-два дня до начала кампаний. Доменам C2 обычно назначался новый IP-адрес в день запуска кампании или непосредственно перед ним, они принимали трафик жертв по HTTP-порту 80 и, как правило, взаимодействовали с инфраструктурой второго уровня в течение примерно шести дней.
Большинство доменных имен и IP-адресов использовались в рамках одной кампании и не перерабатывались. Однако несколько кампаний в середине и конце сентября повторно использовали инфраструктуру, включая ту же комбинацию домена и IP-адреса, а также IP-адрес, общий для двух недавно зарегистрированных доменов. В одной из кампаний фиксировался трафик от жертв, но отсутствовало работоспособное взаимодействие на втором уровне (Tier 2), что указывает на сбой при настройке инфраструктуры. Другая кампания функционировала лишь несколько часов до отключения.
Крупнейшая зафиксированная кампания была направлена на англоязычных пользователей и использовала защищённый паролем ZIP-архив, содержащий файлы ISO и LNK, что привело к появлению приблизительно 115 потенциальных жертв. Кампания с использованием PrivateLoader привела к появлению около 79 потенциальных жертв. Другие кампании привели к появлению от пяти до 29 жертв, в то время как вредоносные приманки в форматах Word, Excel и CHM, как правило, генерировали меньший объём. Большинство трафика жертв приходилось на день запуска кампании или на следующий день, после чего наблюдалось снижение. Кампания, содержавшая очевидную языковую ошибку в приманке XLSM, оказалась менее эффективной, что указывает на то, что реалистичность приманки может влиять на взаимодействие с ней со стороны жертв.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В сентябре 2022 года IcedID широко распространялся через спам, вредоносные документы, архивы, файлы ярлыков, файлы CHM и пиратское программное обеспечение. Его многоуровневая инфраструктура доставляла ВПО и последующие полезную нагрузку, такие как Cobalt Strike или шифровальщик Quantum, с часто меняющимися доменами C2 и короткими кампаниями, нацеленными преимущественно на англоязычных пользователей.
-----
IcedID (BokBot) — банковский троян, который эволюционировал в дроппер, способный загружать дополнительные полезные нагрузки, включая Cobalt Strike и, в некоторых случаях заражения, шифровальщик Quantum. В сентябре 2022 года он распространялся посредством частых спам-кампаний с использованием вредоносных документов Office, ZIP-архивов с паролем, содержащих файлы ISO и LNK, файлов CHM, а также заражений PrivateLoader, которые скрывали ВПО в пиратском или «взломанном» программном обеспечении.
Кампании преимущественно использовали инфраструктуру управления (C2) первого этапа и первого уровня (Tier 1) для первоначальной загрузки IcedID после того, как жертва открывала приманку или выполняла ярлык, в то время как инфраструктура второго уровня (Tier 2) обрабатывала последующие коммуникации. До 22 сентября 2022 года домены C2 первого этапа, как правило, регистрировались через инфраструктуру, связанную с Njalla, примерно за 31 день до использования, что потенциально помогало обходить блокировки недавно зарегистрированных доменов. После этого паттерн изменился: домены стали регистрироваться всего за один-два дня до начала кампаний. Доменам C2 обычно назначался новый IP-адрес в день запуска кампании или непосредственно перед ним, они принимали трафик жертв по HTTP-порту 80 и, как правило, взаимодействовали с инфраструктурой второго уровня в течение примерно шести дней.
Большинство доменных имен и IP-адресов использовались в рамках одной кампании и не перерабатывались. Однако несколько кампаний в середине и конце сентября повторно использовали инфраструктуру, включая ту же комбинацию домена и IP-адреса, а также IP-адрес, общий для двух недавно зарегистрированных доменов. В одной из кампаний фиксировался трафик от жертв, но отсутствовало работоспособное взаимодействие на втором уровне (Tier 2), что указывает на сбой при настройке инфраструктуры. Другая кампания функционировала лишь несколько часов до отключения.
Крупнейшая зафиксированная кампания была направлена на англоязычных пользователей и использовала защищённый паролем ZIP-архив, содержащий файлы ISO и LNK, что привело к появлению приблизительно 115 потенциальных жертв. Кампания с использованием PrivateLoader привела к появлению около 79 потенциальных жертв. Другие кампании привели к появлению от пяти до 29 жертв, в то время как вредоносные приманки в форматах Word, Excel и CHM, как правило, генерировали меньший объём. Большинство трафика жертв приходилось на день запуска кампании или на следующий день, после чего наблюдалось снижение. Кампания, содержавшая очевидную языковую ошибку в приманке XLSM, оказалась менее эффективной, что указывает на то, что реалистичность приманки может влиять на взаимодействие с ней со стороны жертв.
#ParsedReport #CompletenessLow
19-10-2026
Active Exploitation of CVE-2026-110936 in Siemens Software Center
https://productcert.siemens.com/news/2026/10/19/active-exploitation-of-cve-2026-110936-in-siemens-software-center/
Report completeness: Low
Threats:
Dll_sideloading_technique
Romulusloader
Clickfix_technique
Victims:
Siemens software center users
CVEs:
CVE-2026-110936 [Vulners]
CVSS V3.1: 6.7,
Vulners: Exploitation: True
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1053.005, T1203, T1574.002
IOCs:
IP: 2
Domain: 1
File: 3
Hash: 2
Soft:
Task Scheduler
Win API:
DB
Languages:
powershell
19-10-2026
Active Exploitation of CVE-2026-110936 in Siemens Software Center
https://productcert.siemens.com/news/2026/10/19/active-exploitation-of-cve-2026-110936-in-siemens-software-center/
Report completeness: Low
Threats:
Dll_sideloading_technique
Romulusloader
Clickfix_technique
Victims:
Siemens software center users
CVEs:
CVE-2026-110936 [Vulners]
CVSS V3.1: 6.7,
Vulners: Exploitation: True
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1053.005, T1203, T1574.002
IOCs:
IP: 2
Domain: 1
File: 3
Hash: 2
Soft:
Task Scheduler
Win API:
DB
Languages:
powershell
CTT Report Hub
#ParsedReport #CompletenessLow 19-10-2026 Active Exploitation of CVE-2026-110936 in Siemens Software Center https://productcert.siemens.com/news/2026/10/19/active-exploitation-of-cve-2026-110936-in-siemens-software-center/ Report completeness: Low Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Версии Siemens Software Center ранее 4.0.9.8 содержат активно эксплуатируемое уязвимость DLL side-loading, CVE-2026-110936. Злоумышленники могут размещать вредоносные DLL, которые легитимное приложение загружает при запуске, что позволяет выполнять код без изменения исполняемого файла Siemens. Зафиксированная активность включает социальную инженерию, подозрительные файлы и каталоги, закрепление через автозагрузку или запланированные задачи, а также связь с IP-адресом 96.62.218.59.
-----
Siemens подтвердила активное использование уязвимости CVE-2026-110936, представляющей собой уязвимость подмены DLL (DLL side-loading), которая затрагивает версии Siemens Software Center, более ранние, чем 4.0.9.8. Данная уязвимость позволяет злоумышленникам размещать вредоносные файлы DLL в тех местах, где легитимное приложение Siemens будет загружать их при запуске. Сам исполняемый файл Siemens не изменяется; вместо этого уязвимое программное обеспечение загружает DLL, предоставленные злоумышленником, что обеспечивает выполнение вредоносного кода.
Siemens устранила проблему в версии Software Center 4.0.9.8 и опубликовала уведомление SSA-580366 15 октября. Ожидается, что существующие установки будут автоматически обновлены при следующем запуске приложения, однако организациям следует убедиться, что развернутые системы работают на версии 4.0.9.8 или более поздней.
Возможными индикаторами компрометации являются наличие Siemens Software Center в приложениях автозагрузки или Планировщике задач Windows на системах, где он никогда не устанавливался. ВПО может создавать каталог «SM Software Provisioning Service» в локальном пути AppData\Programs. Вблизи файла `SiemensSoftwareCenter.exe` могут появляться подозрительные файлы с именами `activate.bak` или `statinfosta.DB`. Другим задокументированным артефактом является каталог `FTSuite`, содержащий файл `ftc.uml`, в локальном пути AppData\Network. Также следует расследовать системы, устанавливающие связь с IP-адресом `96.62.218.59`.
Зафиксированная активность может включать социальную инженерию, в ходе которой жертвам предписывается выполнять команды через диалоговое окно «Выполнить» в Windows или PowerShell, например, путем злоупотребления поддельным запросом на подтверждение «Я не робот». Пользователи не должны вставлять команды с веб-страниц в эти интерфейсы. Организациям следует обновить Siemens Software Center, проверить записи автозагрузки и запланированные задачи, выполнить поиск перечисленных файлов и каталогов, а также расследовать сетевые соединения с указанным IP-адресом.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Версии Siemens Software Center ранее 4.0.9.8 содержат активно эксплуатируемое уязвимость DLL side-loading, CVE-2026-110936. Злоумышленники могут размещать вредоносные DLL, которые легитимное приложение загружает при запуске, что позволяет выполнять код без изменения исполняемого файла Siemens. Зафиксированная активность включает социальную инженерию, подозрительные файлы и каталоги, закрепление через автозагрузку или запланированные задачи, а также связь с IP-адресом 96.62.218.59.
-----
Siemens подтвердила активное использование уязвимости CVE-2026-110936, представляющей собой уязвимость подмены DLL (DLL side-loading), которая затрагивает версии Siemens Software Center, более ранние, чем 4.0.9.8. Данная уязвимость позволяет злоумышленникам размещать вредоносные файлы DLL в тех местах, где легитимное приложение Siemens будет загружать их при запуске. Сам исполняемый файл Siemens не изменяется; вместо этого уязвимое программное обеспечение загружает DLL, предоставленные злоумышленником, что обеспечивает выполнение вредоносного кода.
Siemens устранила проблему в версии Software Center 4.0.9.8 и опубликовала уведомление SSA-580366 15 октября. Ожидается, что существующие установки будут автоматически обновлены при следующем запуске приложения, однако организациям следует убедиться, что развернутые системы работают на версии 4.0.9.8 или более поздней.
Возможными индикаторами компрометации являются наличие Siemens Software Center в приложениях автозагрузки или Планировщике задач Windows на системах, где он никогда не устанавливался. ВПО может создавать каталог «SM Software Provisioning Service» в локальном пути AppData\Programs. Вблизи файла `SiemensSoftwareCenter.exe` могут появляться подозрительные файлы с именами `activate.bak` или `statinfosta.DB`. Другим задокументированным артефактом является каталог `FTSuite`, содержащий файл `ftc.uml`, в локальном пути AppData\Network. Также следует расследовать системы, устанавливающие связь с IP-адресом `96.62.218.59`.
Зафиксированная активность может включать социальную инженерию, в ходе которой жертвам предписывается выполнять команды через диалоговое окно «Выполнить» в Windows или PowerShell, например, путем злоупотребления поддельным запросом на подтверждение «Я не робот». Пользователи не должны вставлять команды с веб-страниц в эти интерфейсы. Организациям следует обновить Siemens Software Center, проверить записи автозагрузки и запланированные задачи, выполнить поиск перечисленных файлов и каталогов, а также расследовать сетевые соединения с указанным IP-адресом.
#ParsedReport #CompletenessMedium
21-10-2026
Behind the Panels: Validating ShinyHunters Cluster A Infrastructure Through Network Telemetry
https://www.team-cymru.com/post/validating-shinyhunters-cyber-threat-actors-infrastructure
Report completeness: Medium
Actors/Campaigns:
Shinyhunters
Snarky_spider
Cordial_spider
Threats:
Aitm_technique
Victims:
Higher education, Financial services, Asset management, Real estate, Luxury goods, Retail and consumer, Cryptocurrency platforms, Taxation, Telecommunications, Enterprise saas, have more...
Industry:
Retail, Education, Telco
Geo:
Russian, Apac, Indonesian, Australian
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1036.005, T1056.003, T1111, T1557, T1566.004
IOCs:
IP: 2
File: 1
Hash: 8
Soft:
Salesforce, SharePoint, Slack, DocuSign, Cloudflare, Telegram, Okta, Microsoft Entra, Dropbox, Cloudflare Turnstile, have more...
Wallets:
coinbase
Crypto:
binance
Algorithms:
sha256
Win API:
OPENDIR
Languages:
php
Platforms:
cross-platform
21-10-2026
Behind the Panels: Validating ShinyHunters Cluster A Infrastructure Through Network Telemetry
https://www.team-cymru.com/post/validating-shinyhunters-cyber-threat-actors-infrastructure
Report completeness: Medium
Actors/Campaigns:
Shinyhunters
Snarky_spider
Cordial_spider
Threats:
Aitm_technique
Victims:
Higher education, Financial services, Asset management, Real estate, Luxury goods, Retail and consumer, Cryptocurrency platforms, Taxation, Telecommunications, Enterprise saas, have more...
Industry:
Retail, Education, Telco
Geo:
Russian, Apac, Indonesian, Australian
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1036.005, T1056.003, T1111, T1557, T1566.004
IOCs:
IP: 2
File: 1
Hash: 8
Soft:
Salesforce, SharePoint, Slack, DocuSign, Cloudflare, Telegram, Okta, Microsoft Entra, Dropbox, Cloudflare Turnstile, have more...
Wallets:
coinbase
Crypto:
binance
Algorithms:
sha256
Win API:
OPENDIR
Languages:
php
Platforms:
cross-platform
Team-Cymru
Validating ShinyHunters & Cyber Threat Actor Infrastructure
Use network telemetry to validate cyber threat actors' phishing infrastructure. Track ShinyHunters clusters and defend against SaaS data exfiltration.
CTT Report Hub
#ParsedReport #CompletenessMedium 21-10-2026 Behind the Panels: Validating ShinyHunters Cluster A Infrastructure Through Network Telemetry https://www.team-cymru.com/post/validating-shinyhunters-cyber-threat-actors-infrastructure Report completeness: Medium…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В отчете идентифицированы два IP-адреса, на которых размещена фишинговая инфраструктура, связанная с панелью Doko и кластером A Push Security. В инфраструктуре использовались домены, имитирующие бренды, и конечные точки панели управления для поддержки голосового фишинга и атак типа «человек посередине» (adversary-in-the-middle), направленных на получение учетных данных, данных MFA и аутентифицированных сессий. Приписывание активности группе ShinyHunters или одному конкретному оператору пока не подтверждено.
-----
Отчёт подтверждает инфраструктуру, связанную с Cluster A компании Push Security — кластером фишинговой инфраструктуры, связанным с панелью Doko и размещённым на хостинге Mevspace AS201814. С помощью пассивного DNS, телеметрии сертификатов, наблюдений за открытыми службами и анализа паттернов хостинга были идентифицированы два активных IP-адреса: 149.50.97.174 и 149.50.127.228. Оба хостили множество доменов, тематически привязанных к жертвам, с повторяющимися характеристиками именования, регистратора, DNS-серверов и сертификатов, характерными для данного кластера.
Домены имитировали провайдеров идентификации, корпоративные SaaS-платформы, финансовые учреждения, криптовалютные сервисы, розничных продавцов, университеты и австралийские налоговые службы. Среди выявленных тематических направлений были Okta, Microsoft Entra, Google Workspace, Coinbase, Binance, Nexo, NDAX, Koinly, Yale, University of Pennsylvania, Disney, Nike, Verizon и другие. Также присутствовали универсальные домены для верификации, что указывает на использование страниц перехвата учетных данных, работающих на нескольких платформах, помимо фишинговых наборов, нацеленных на конкретные бренды. Инфраструктура соответствует атакам голосового фишинга и adversary-in-the-middle, предназначенным для перехвата учетных данных, данных MFA и, потенциально, аутентифицированных сессий для доступа к корпоративным приложениям и финансовым платформам.
На адресе 149.50.97.174 появился поддомен `cp.myyalemanager.com`, что соответствует конечной точке панели управления оператора. На этом же хосте также был обнаружен сервис FTP на порту 21, использующий самоподписанный сертификат. На адресе 149.50.127.228 доменные имена следовали повторяющемуся формату с числовым токеном и названием бренда, включая Coinbase, Binance, NDAX и имена, связанные с тематикой криптовалют. Тисокуаты Binance включали легитимный бренд в более длинные имена хостов, что потенциально могло использоваться для эксплуатации усечения строки URL. Домены `dokopanel.com` и `admin.dokopanel.com` также резолвились на этот адрес, что могло указывать на возможную инфраструктурную точку перехода, но не являлось доказательством контроля со стороны конкретного лица.
Телеметрия сети зафиксировала трафик через прокси Cloudflare на портах 80 и 443, а также фоновое сканирование интернета. Полученные данные подтверждают инфраструктуру Кластера A, однако не позволяют однозначно приписать всю активность группе ShinyHunters или единственному оператору. Общее происхождение используемых инструментов, пересечения в хостинге и схожесть целей атак следует рассматривать как инфраструктурные ассоциации, а не как неопровержимые доказательства владения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В отчете идентифицированы два IP-адреса, на которых размещена фишинговая инфраструктура, связанная с панелью Doko и кластером A Push Security. В инфраструктуре использовались домены, имитирующие бренды, и конечные точки панели управления для поддержки голосового фишинга и атак типа «человек посередине» (adversary-in-the-middle), направленных на получение учетных данных, данных MFA и аутентифицированных сессий. Приписывание активности группе ShinyHunters или одному конкретному оператору пока не подтверждено.
-----
Отчёт подтверждает инфраструктуру, связанную с Cluster A компании Push Security — кластером фишинговой инфраструктуры, связанным с панелью Doko и размещённым на хостинге Mevspace AS201814. С помощью пассивного DNS, телеметрии сертификатов, наблюдений за открытыми службами и анализа паттернов хостинга были идентифицированы два активных IP-адреса: 149.50.97.174 и 149.50.127.228. Оба хостили множество доменов, тематически привязанных к жертвам, с повторяющимися характеристиками именования, регистратора, DNS-серверов и сертификатов, характерными для данного кластера.
Домены имитировали провайдеров идентификации, корпоративные SaaS-платформы, финансовые учреждения, криптовалютные сервисы, розничных продавцов, университеты и австралийские налоговые службы. Среди выявленных тематических направлений были Okta, Microsoft Entra, Google Workspace, Coinbase, Binance, Nexo, NDAX, Koinly, Yale, University of Pennsylvania, Disney, Nike, Verizon и другие. Также присутствовали универсальные домены для верификации, что указывает на использование страниц перехвата учетных данных, работающих на нескольких платформах, помимо фишинговых наборов, нацеленных на конкретные бренды. Инфраструктура соответствует атакам голосового фишинга и adversary-in-the-middle, предназначенным для перехвата учетных данных, данных MFA и, потенциально, аутентифицированных сессий для доступа к корпоративным приложениям и финансовым платформам.
На адресе 149.50.97.174 появился поддомен `cp.myyalemanager.com`, что соответствует конечной точке панели управления оператора. На этом же хосте также был обнаружен сервис FTP на порту 21, использующий самоподписанный сертификат. На адресе 149.50.127.228 доменные имена следовали повторяющемуся формату с числовым токеном и названием бренда, включая Coinbase, Binance, NDAX и имена, связанные с тематикой криптовалют. Тисокуаты Binance включали легитимный бренд в более длинные имена хостов, что потенциально могло использоваться для эксплуатации усечения строки URL. Домены `dokopanel.com` и `admin.dokopanel.com` также резолвились на этот адрес, что могло указывать на возможную инфраструктурную точку перехода, но не являлось доказательством контроля со стороны конкретного лица.
Телеметрия сети зафиксировала трафик через прокси Cloudflare на портах 80 и 443, а также фоновое сканирование интернета. Полученные данные подтверждают инфраструктуру Кластера A, однако не позволяют однозначно приписать всю активность группе ShinyHunters или единственному оператору. Общее происхождение используемых инструментов, пересечения в хостинге и схожесть целей атак следует рассматривать как инфраструктурные ассоциации, а не как неопровержимые доказательства владения.
#ParsedReport #CompletenessMedium
22-10-2026
skynox7: Proxyjacking Edge Devices Into Residential Proxies
https://www.greynoise.io/blog/proxyjacking-edge-devices-residential-proxies
Report completeness: Medium
Threats:
Residential_proxy_technique
Proxyjacking_technique
Supply_chain_technique
Iproyal_pawns_tool
Victims:
Network edge devices, Digital video recorders, Network video recorders
Industry:
Government
Geo:
Ukraine
CVEs:
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- siemens 6bk1602-0aa12-0tp0_firmware (<2.7.0)
CVE-2024-3273 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)
CVE-2024-3272 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)
CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- sap netweaver (7.50)
ChatGPT TTPs:
T1090, T1090.002, T1496
IOCs:
Hash: 7
IP: 1
Email: 1
Soft:
SAP NetWeaver, Dahua
Algorithms:
sha256
Platforms:
intel
22-10-2026
skynox7: Proxyjacking Edge Devices Into Residential Proxies
https://www.greynoise.io/blog/proxyjacking-edge-devices-residential-proxies
Report completeness: Medium
Threats:
Residential_proxy_technique
Proxyjacking_technique
Supply_chain_technique
Iproyal_pawns_tool
Victims:
Network edge devices, Digital video recorders, Network video recorders
Industry:
Government
Geo:
Ukraine
CVEs:
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- siemens 6bk1602-0aa12-0tp0_firmware (<2.7.0)
CVE-2024-3273 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)
CVE-2024-3272 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)
CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- sap netweaver (7.50)
ChatGPT TTPs:
do not use without manual checkT1090, T1090.002, T1496
IOCs:
Hash: 7
IP: 1
Email: 1
Soft:
SAP NetWeaver, Dahua
Algorithms:
sha256
Platforms:
intel
www.greynoise.io
skynox7: Proxyjacking Edge Devices Into Residential Proxies
How a live GreyNoise product demo turned into an incident response. Inside a proxyjacking campaign that hit 143 devices across 34 countries.
CTT Report Hub
#ParsedReport #CompletenessMedium 22-10-2026 skynox7: Proxyjacking Edge Devices Into Residential Proxies https://www.greynoise.io/blog/proxyjacking-edge-devices-residential-proxies Report completeness: Medium Threats: Residential_proxy_technique Proxy…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атакующие получают несанкционированный доступ к устройствам, ориентированным на Интернет, включая DVR/NVR Hikvision и Dahua, для установки прокси-ПО и скрытного превращения их в узлы резидентных прокси. Эти прокси маскируют вредоносную активность, заставляя трафик выглядеть как исходящий из легитимных потребительских сетей, что позволяет обходить механизмы аутентификации и скрывать инфраструктуру атакующих. Аутентификация нескольких пользователей через один и тот же резидентный IP-адрес может свидетельствовать о злоупотреблении прокси-сервисами.
-----
В отчете описывается использование сетей резидентных прокси для сокрытия вредоносной деятельности и обхода обнаружения на основе репутации IP-адресов, атрибуции хостинг-провайдеров и географических несоответствий. Резидентные прокси направляют интернет-трафик через потребительские устройства, что позволяет вредоносным соединениям выглядеть как исходящие из легитимных домашних или корпоративных сетей. Это может позволить злоумышленникам обходить мониторинг аутентификации, который помечает попытки входа с виртуальных частных серверов, коммерческих VPN или из неожиданных стран.
В статье проводится различие между легитимным прокси-варом и прокси-джекингом. В рамках легитимных прокси-варных схем пользователи осознанно устанавливают программное обеспечение или приложения, которые делят пропускную способность их устройств в обмен на вознаграждение. Разработчики также могут внедрять наборы инструментов для разработки прокси-программного обеспечения в приложения и монетизировать пропускную способность устройств пользователей. Прокси-джекинг происходит, когда злоумышленник скрытно устанавливает такое программное обеспечение на скомпрометированные системы и монетизирует интернет-соединения жертв без их согласия.
По имеющимся данным, в рамках злонамеренной кампании были атакованы устройства сетевого периметра, доступные из интернета, по всему миру, в результате чего на них было установлено прокси-ПО Pawns.app в интересах злоумышленника. Pawns.app ассоциируется с IPRoyal и обеспечивает доступ к коммерческой инфраструктуре резидентных прокси. Кампания, по всей видимости, была направлена на цифровые видеорегистраторы и сетевые видеорегистраторы, в том числе на устройства, произведённые компаниями Hikvision и Dahua. Скомпрометированные устройства периметра могли впоследствии выполнять функции узлов резидентной прокси-сети, что позволяло несвязанным злоумышленникам или другим клиентам прокси-сети направлять трафик через IP-адреса жертв.
В отчете также рассматривается расследование несанкционированного доступа, в ходе которого в журналах входа в систему Entra ID были обнаружены аутентификации с домашних IP-адресов, которые географически соответствовали местоположению легитимных пользователей. Дальнейшее расследование выявило более тревожную картину: несколько пользователей выполняли аутентификацию через один и тот же IP-адрес домашнего прокси, что является маловероятным паттерном для нормальной активности. Организациям следует выявлять адреса домашних прокси в журналах аутентификации и сетевых журналах, а также проводить расследование случаев, когда несколько учетных записей используют один и тот же домашний IP-адрес, особенно если этот адрес одновременно связан со злонамеренным сканированием или иной подозрительной активностью.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Атакующие получают несанкционированный доступ к устройствам, ориентированным на Интернет, включая DVR/NVR Hikvision и Dahua, для установки прокси-ПО и скрытного превращения их в узлы резидентных прокси. Эти прокси маскируют вредоносную активность, заставляя трафик выглядеть как исходящий из легитимных потребительских сетей, что позволяет обходить механизмы аутентификации и скрывать инфраструктуру атакующих. Аутентификация нескольких пользователей через один и тот же резидентный IP-адрес может свидетельствовать о злоупотреблении прокси-сервисами.
-----
В отчете описывается использование сетей резидентных прокси для сокрытия вредоносной деятельности и обхода обнаружения на основе репутации IP-адресов, атрибуции хостинг-провайдеров и географических несоответствий. Резидентные прокси направляют интернет-трафик через потребительские устройства, что позволяет вредоносным соединениям выглядеть как исходящие из легитимных домашних или корпоративных сетей. Это может позволить злоумышленникам обходить мониторинг аутентификации, который помечает попытки входа с виртуальных частных серверов, коммерческих VPN или из неожиданных стран.
В статье проводится различие между легитимным прокси-варом и прокси-джекингом. В рамках легитимных прокси-варных схем пользователи осознанно устанавливают программное обеспечение или приложения, которые делят пропускную способность их устройств в обмен на вознаграждение. Разработчики также могут внедрять наборы инструментов для разработки прокси-программного обеспечения в приложения и монетизировать пропускную способность устройств пользователей. Прокси-джекинг происходит, когда злоумышленник скрытно устанавливает такое программное обеспечение на скомпрометированные системы и монетизирует интернет-соединения жертв без их согласия.
По имеющимся данным, в рамках злонамеренной кампании были атакованы устройства сетевого периметра, доступные из интернета, по всему миру, в результате чего на них было установлено прокси-ПО Pawns.app в интересах злоумышленника. Pawns.app ассоциируется с IPRoyal и обеспечивает доступ к коммерческой инфраструктуре резидентных прокси. Кампания, по всей видимости, была направлена на цифровые видеорегистраторы и сетевые видеорегистраторы, в том числе на устройства, произведённые компаниями Hikvision и Dahua. Скомпрометированные устройства периметра могли впоследствии выполнять функции узлов резидентной прокси-сети, что позволяло несвязанным злоумышленникам или другим клиентам прокси-сети направлять трафик через IP-адреса жертв.
В отчете также рассматривается расследование несанкционированного доступа, в ходе которого в журналах входа в систему Entra ID были обнаружены аутентификации с домашних IP-адресов, которые географически соответствовали местоположению легитимных пользователей. Дальнейшее расследование выявило более тревожную картину: несколько пользователей выполняли аутентификацию через один и тот же IP-адрес домашнего прокси, что является маловероятным паттерном для нормальной активности. Организациям следует выявлять адреса домашних прокси в журналах аутентификации и сетевых журналах, а также проводить расследование случаев, когда несколько учетных записей используют один и тот же домашний IP-адрес, особенно если этот адрес одновременно связан со злонамеренным сканированием или иной подозрительной активностью.
#ParsedReport #CompletenessMedium
21-10-2026
AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
Report completeness: Medium
Actors/Campaigns:
Storm-0940 (motivation: information_theft)
Threats:
Supply_chain_technique
Artex_tool
Screenconnect_tool
Password_spray_technique
Victims:
Aerospace and defense, Automotive, Chemicals, Energy, Financial services, Government, Legal, Manufacturing, Media, Military, have more...
Industry:
Military, Chemical, Semiconductor_industry, Energy, Government, Transport, Aerospace
TTPs:
Tactics: 8
Technics: 2
IOCs:
File: 7
IP: 6
Coin: 1
Soft:
Microsoft Defender, Microsoft Entra, Microsoft 365, Graph API, SharePoint, raph API ac
Functions:
Graph
21-10-2026
AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
Report completeness: Medium
Actors/Campaigns:
Storm-0940 (motivation: information_theft)
Threats:
Supply_chain_technique
Artex_tool
Screenconnect_tool
Password_spray_technique
Victims:
Aerospace and defense, Automotive, Chemicals, Energy, Financial services, Government, Legal, Manufacturing, Media, Military, have more...
Industry:
Military, Chemical, Semiconductor_industry, Energy, Government, Transport, Aerospace
TTPs:
Tactics: 8
Technics: 2
IOCs:
File: 7
IP: 6
Coin: 1
Soft:
Microsoft Defender, Microsoft Entra, Microsoft 365, Graph API, SharePoint, raph API ac
Functions:
Graph
Microsoft News
AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
Storm-0940 used ARTEX agentic AI to accelerate a ConnectWise supply chain compromise, enabling application credential abuse across Microsoft 365 environments.
CTT Report Hub
#ParsedReport #CompletenessMedium 21-10-2026 AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Китайская группировка Storm-0940 использовала фреймворк ARTEX с несколькими агентами на базе LLM для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачных сред и эксфильтрации данных в масштабах сотен организаций. После компрометации облачной платформы резервного копирования ConnectWise актор получил доступ к конечным пользователям (downstream tenants) с использованием OAuth-идентификаторов, провел разведку в Microsoft Graph и предпринял попытки изменения учетных данных приложений, разрешений и привилегий для закрепления в системе.
-----
Storm-0940, злоумышленник, связанный с государством Китая и активный с 2021 года, провел крупномасштабную кампанию против организаций в секторах аэрокосмической отрасли, обороны, финансов, государственного управления, производства, технологий и других. Начиная с сентября 2026 года, злоумышленник использовал ARTEX — открытый фреймворк для многоагентного тестирования на проникновение на базе LLM — для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачной инфраструктуры и процессов эксфильтрации данных. Кампания была направлена на сотни организаций, и в нескольких случаях вторжения привели к получению привилегированного доступа к облачной инфраструктуре менее чем за три часа.
Деятельность была связана с компрометацией многонационального облачного приложения ConnectWise для резервного копирования и последующим доступом к тенантам клиентов. Storm-0940 использовал скомпрометированные идентификаторы OAuth-приложений для аутентификации в средах Microsoft 365 без интерактивного входа пользователя. Затем актор проводил разведку в Microsoft Graph, включая перечисление элементов каталога, разрешений и согласований, а также пытался изменить учетные данные приложений, выданные согласия, владельцев, назначения ролей приложений и привилегии. Эти изменения могли обеспечить закрепление через сервисные субъекты, альтернативные учетные данные и другие облачные идентификаторы. Наличие аутентификации или приложения само по себе не подтверждало доступ к данным или их эксфильтрацию.
В период с 10 по 14 октября инфраструктура, связанная с актором, в том числе IP-адрес 144.172.64.99, проводила распыление пароля в отношении 327 учетных записей в восьми организациях. Microsoft зафиксировала более 151 000 неудачных попыток входа в систему, при этом пиковая активность составила приблизительно 2900 неудачных попыток в минуту. В ходе данной кампании не было зафиксировано успешной аутентификации, выпуска токенов, активности в Microsoft Graph или изменений в каталоге. После компрометации ConnectWise, по сообщениям, ARTEX ускорил попытки получения доступа к более чем 2250 арендаторам (tenants) с аналогичной интенсивностью, что существенно сократило время реакции защитников.
Соответствующие действия соответствуют техникам MITRE ATT&CK, включая Активное сканирование (T1595), Компрометация цепочки поставок (T1195), Изучение облачной инфраструктуры (T1580), а также использование скомпрометированных облачных учетных записей. Организациям следует проверять вход в систему через служебные учетные записи (service principal), разрешения OAuth-приложений, изменения учетных данных и привилегий, активность в Microsoft Graph, необычный доступ к электронной почте или файлам, а также аутентификацию с непредвиденной инфраструктуры. При расследовании необходимо сохранять доказательства из журналов аудита и SIEM, сопоставлять активность с санкционированными административными изменениями, отключать затронутые интеграции, отзывать несанкционированные разрешения и учетные данные, а также ротировать скомпрометированные секреты после сбора доказательств.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Китайская группировка Storm-0940 использовала фреймворк ARTEX с несколькими агентами на базе LLM для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачных сред и эксфильтрации данных в масштабах сотен организаций. После компрометации облачной платформы резервного копирования ConnectWise актор получил доступ к конечным пользователям (downstream tenants) с использованием OAuth-идентификаторов, провел разведку в Microsoft Graph и предпринял попытки изменения учетных данных приложений, разрешений и привилегий для закрепления в системе.
-----
Storm-0940, злоумышленник, связанный с государством Китая и активный с 2021 года, провел крупномасштабную кампанию против организаций в секторах аэрокосмической отрасли, обороны, финансов, государственного управления, производства, технологий и других. Начиная с сентября 2026 года, злоумышленник использовал ARTEX — открытый фреймворк для многоагентного тестирования на проникновение на базе LLM — для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачной инфраструктуры и процессов эксфильтрации данных. Кампания была направлена на сотни организаций, и в нескольких случаях вторжения привели к получению привилегированного доступа к облачной инфраструктуре менее чем за три часа.
Деятельность была связана с компрометацией многонационального облачного приложения ConnectWise для резервного копирования и последующим доступом к тенантам клиентов. Storm-0940 использовал скомпрометированные идентификаторы OAuth-приложений для аутентификации в средах Microsoft 365 без интерактивного входа пользователя. Затем актор проводил разведку в Microsoft Graph, включая перечисление элементов каталога, разрешений и согласований, а также пытался изменить учетные данные приложений, выданные согласия, владельцев, назначения ролей приложений и привилегии. Эти изменения могли обеспечить закрепление через сервисные субъекты, альтернативные учетные данные и другие облачные идентификаторы. Наличие аутентификации или приложения само по себе не подтверждало доступ к данным или их эксфильтрацию.
В период с 10 по 14 октября инфраструктура, связанная с актором, в том числе IP-адрес 144.172.64.99, проводила распыление пароля в отношении 327 учетных записей в восьми организациях. Microsoft зафиксировала более 151 000 неудачных попыток входа в систему, при этом пиковая активность составила приблизительно 2900 неудачных попыток в минуту. В ходе данной кампании не было зафиксировано успешной аутентификации, выпуска токенов, активности в Microsoft Graph или изменений в каталоге. После компрометации ConnectWise, по сообщениям, ARTEX ускорил попытки получения доступа к более чем 2250 арендаторам (tenants) с аналогичной интенсивностью, что существенно сократило время реакции защитников.
Соответствующие действия соответствуют техникам MITRE ATT&CK, включая Активное сканирование (T1595), Компрометация цепочки поставок (T1195), Изучение облачной инфраструктуры (T1580), а также использование скомпрометированных облачных учетных записей. Организациям следует проверять вход в систему через служебные учетные записи (service principal), разрешения OAuth-приложений, изменения учетных данных и привилегий, активность в Microsoft Graph, необычный доступ к электронной почте или файлам, а также аутентификацию с непредвиденной инфраструктуры. При расследовании необходимо сохранять доказательства из журналов аудита и SIEM, сопоставлять активность с санкционированными административными изменениями, отключать затронутые интеграции, отзывать несанкционированные разрешения и учетные данные, а также ротировать скомпрометированные секреты после сбора доказательств.
#ParsedReport #CompletenessHigh
21-10-2026
Operation FlashHole: Lazarus breaks security, defies control
https://securelist.com/lazarus-operation-flashhole/121541/
Report completeness: High
Actors/Campaigns:
Operation_flashhole (motivation: cyber_espionage)
Lazarus (motivation: cyber_espionage)
Operation_synchole
Double_barrel
Dream_job
Cascade_hole
Threats:
Watering_hole_technique
Spear-phishing_technique
Racket_loader
Dll_sideloading_technique
Touchhub
Touchshift
Lpeclient
Cubridge
Cloudburst
Nickelloader
Sideshow
Lightlesscan
Dll_injection_technique
Reflective_dll_injection_technique
Fudmodule_rootkit
Cookieplus
Mistpen
Signbt
Threatneedle
Copperhedge
Gunra
Foresttiger
Dll_hijacking_technique
Trojan.win64.shellcode.gen
Victims:
Software, Construction, Wired communication equipment manufacturing, South korea
Industry:
Government, Financial
Geo:
South korea, South korean
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1001.003, T1007, T1012, T1027, T1055, T1070.006, T1071.001, T1078.004, T1082, T1102.002, have more...
IOCs:
File: 17
Url: 10
Command: 1
Path: 8
Registry: 2
Hash: 7
Domain: 2
Soft:
ws service, Chromium, Active Directory, Google Chrome, Chrome, Microsoft Edge, Dropbox, indows security mi, liblzma
Algorithms:
xor, base64, cbc, des, aes
Win API:
SetFileInformationByHandle, CryptUnprotectData, DATA, VirtualProtect
Languages:
javascript
Platforms:
apple
21-10-2026
Operation FlashHole: Lazarus breaks security, defies control
https://securelist.com/lazarus-operation-flashhole/121541/
Report completeness: High
Actors/Campaigns:
Operation_flashhole (motivation: cyber_espionage)
Lazarus (motivation: cyber_espionage)
Operation_synchole
Double_barrel
Dream_job
Cascade_hole
Threats:
Watering_hole_technique
Spear-phishing_technique
Racket_loader
Dll_sideloading_technique
Touchhub
Touchshift
Lpeclient
Cubridge
Cloudburst
Nickelloader
Sideshow
Lightlesscan
Dll_injection_technique
Reflective_dll_injection_technique
Fudmodule_rootkit
Cookieplus
Mistpen
Signbt
Threatneedle
Copperhedge
Gunra
Foresttiger
Dll_hijacking_technique
Trojan.win64.shellcode.gen
Victims:
Software, Construction, Wired communication equipment manufacturing, South korea
Industry:
Government, Financial
Geo:
South korea, South korean
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1001.003, T1007, T1012, T1027, T1055, T1070.006, T1071.001, T1078.004, T1082, T1102.002, have more...
IOCs:
File: 17
Url: 10
Command: 1
Path: 8
Registry: 2
Hash: 7
Domain: 2
Soft:
ws service, Chromium, Active Directory, Google Chrome, Chrome, Microsoft Edge, Dropbox, indows security mi, liblzma
Algorithms:
xor, base64, cbc, des, aes
Win API:
SetFileInformationByHandle, CryptUnprotectData, DATA, VirtualProtect
Languages:
javascript
Platforms:
apple
CTT Report Hub
#ParsedReport #CompletenessHigh 21-10-2026 Operation FlashHole: Lazarus breaks security, defies control https://securelist.com/lazarus-operation-flashhole/121541/ Report completeness: High Actors/Campaigns: Operation_flashhole (motivation: cyber_espionage)…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция FlashHole, осуществляемая группой Lazarus, была направлена на южнокорейские организации посредством сайтов целевого фишинга, эксплуатирующих уязвимость CrossWeb EX. Цепочка заражения в оперативной памяти использовала внедрение в легитимные процессы, C2-инфраструктуру на базе GitHub, подмену DLL (DLL side-loading), рефлексивную загрузку и обширный профилирование жертв. Набор вредоносного ПО, включающий TechHub, LPEClient, ClientHub и Cubridge, связывает данную кампанию с предыдущими операциями Lazarus, такими как SyncHole и Dream Job.
-----
Операция FlashHole представляет собой кампанию группы Lazarus Group, направленную против южнокорейских организаций в секторах программного обеспечения, строительства и производства проводного коммуникационного оборудования. Данные об активности датируются июлем 2025 года; подтверждено не менее трех жертв. В ходе операции использовались письма с целевым фишингом, содержавшие ссылки на кастомные сайты резюме, портфолио или дизайна интерьера, размещенные на GitHub Pages. Эти сайты загружали внешний JavaScript с вредоносных доменов и, вероятно, инициировали злоупотребление приложением CrossWeb EX — обязательным программным обеспечением для обеспечения финансовой безопасности в Южной Корее. Ранее злоумышленники использовали связанное с ним программное обеспечение Cross EX в ходе операции SyncHole.
Первичное заражение выполнялось полностью в оперативной памяти. Легитимный бинарный файл Windows `fsquirt.exe` был запущен в рамках процесса CrossWeb EX и в него был внедрён шеллкод, содержащий ВПО TechHub. TechHub профилировал хост и использовал репозитории GitHub в качестве инфраструктуры управления, аутентифицируясь с помощью жёстко закодированных или заданных в конфигурации персональных токенов доступа GitHub. Он мог извлекать и рефлексивно загружать дополнительный шеллкод и полезные нагрузки.
Для закрепления (Persistence) TechHub развернул TouchHub и TouchShift с помощью подмены DLL (DLL side-loading), используя вредоносный файл `mscoree.dll`. TouchHub скопировал легитимный бинарный файл, зарегистрировал его как Службу Windows, работающую с привилегиями SYSTEM, и применял манипуляции с метками времени для затруднения криминалистического анализа. TouchShift расшифровывал и загружал в память последующий вариант TechHub. Дополнительные полезны нагрузки включали ClientHub, LPEClient и Cubridge, при этом на диск записывались лишь ограниченные артефакты.
Cubridge выступал в качестве основного фреймворка оркестрации, взаимодействуя с скомпрометированными легитимными веб-сайтами посредством динамически генерируемых URL и зашифрованных RSA/RC6 рукопожатий. Он поддерживал плагины, инструменты и модули, доставляемые через инъекцию DLL, рефлексивную загрузку и инъекцию через отображение секций. ClientHub использовал HTTP(S), Dropbox или скомпрометированные веб-сайты для управления, шифровал конфигурационные данные с помощью шифра SNOW и имитировал трафик браузера Chromium с помощью современных заголовков client-hint.
LPEClient выполнял обширный профилирование жертв, включая сбор информации об операционной системе, аппаратном обеспечении, антивирусе, уровне установки обновлений, средствах защиты от атак и домене. Он обменивался данными с ClientHub через разделяемую память, а не содержал адрес C2. Вредоносное ПО использовало криптографию GOST, AES, Threefish, RSA и ML-KEM-1024, после чего выполняло отражательную загрузку полезных нагрузок размером более 4 КБ. Кроме того, оно отключало инструментирование системных вызовов в пользовательском режиме с помощью исправленного заглушки системного вызова. Последняя полезная нагрузка, идентифицированная в цепочке, — Cubridge. Использование в кампании LPEClient, родословная вредоносного ПО, инфраструктура и методы заражения связывают её с операциями Lazarus, включая SyncHole и Dream Job.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Операция FlashHole, осуществляемая группой Lazarus, была направлена на южнокорейские организации посредством сайтов целевого фишинга, эксплуатирующих уязвимость CrossWeb EX. Цепочка заражения в оперативной памяти использовала внедрение в легитимные процессы, C2-инфраструктуру на базе GitHub, подмену DLL (DLL side-loading), рефлексивную загрузку и обширный профилирование жертв. Набор вредоносного ПО, включающий TechHub, LPEClient, ClientHub и Cubridge, связывает данную кампанию с предыдущими операциями Lazarus, такими как SyncHole и Dream Job.
-----
Операция FlashHole представляет собой кампанию группы Lazarus Group, направленную против южнокорейских организаций в секторах программного обеспечения, строительства и производства проводного коммуникационного оборудования. Данные об активности датируются июлем 2025 года; подтверждено не менее трех жертв. В ходе операции использовались письма с целевым фишингом, содержавшие ссылки на кастомные сайты резюме, портфолио или дизайна интерьера, размещенные на GitHub Pages. Эти сайты загружали внешний JavaScript с вредоносных доменов и, вероятно, инициировали злоупотребление приложением CrossWeb EX — обязательным программным обеспечением для обеспечения финансовой безопасности в Южной Корее. Ранее злоумышленники использовали связанное с ним программное обеспечение Cross EX в ходе операции SyncHole.
Первичное заражение выполнялось полностью в оперативной памяти. Легитимный бинарный файл Windows `fsquirt.exe` был запущен в рамках процесса CrossWeb EX и в него был внедрён шеллкод, содержащий ВПО TechHub. TechHub профилировал хост и использовал репозитории GitHub в качестве инфраструктуры управления, аутентифицируясь с помощью жёстко закодированных или заданных в конфигурации персональных токенов доступа GitHub. Он мог извлекать и рефлексивно загружать дополнительный шеллкод и полезные нагрузки.
Для закрепления (Persistence) TechHub развернул TouchHub и TouchShift с помощью подмены DLL (DLL side-loading), используя вредоносный файл `mscoree.dll`. TouchHub скопировал легитимный бинарный файл, зарегистрировал его как Службу Windows, работающую с привилегиями SYSTEM, и применял манипуляции с метками времени для затруднения криминалистического анализа. TouchShift расшифровывал и загружал в память последующий вариант TechHub. Дополнительные полезны нагрузки включали ClientHub, LPEClient и Cubridge, при этом на диск записывались лишь ограниченные артефакты.
Cubridge выступал в качестве основного фреймворка оркестрации, взаимодействуя с скомпрометированными легитимными веб-сайтами посредством динамически генерируемых URL и зашифрованных RSA/RC6 рукопожатий. Он поддерживал плагины, инструменты и модули, доставляемые через инъекцию DLL, рефлексивную загрузку и инъекцию через отображение секций. ClientHub использовал HTTP(S), Dropbox или скомпрометированные веб-сайты для управления, шифровал конфигурационные данные с помощью шифра SNOW и имитировал трафик браузера Chromium с помощью современных заголовков client-hint.
LPEClient выполнял обширный профилирование жертв, включая сбор информации об операционной системе, аппаратном обеспечении, антивирусе, уровне установки обновлений, средствах защиты от атак и домене. Он обменивался данными с ClientHub через разделяемую память, а не содержал адрес C2. Вредоносное ПО использовало криптографию GOST, AES, Threefish, RSA и ML-KEM-1024, после чего выполняло отражательную загрузку полезных нагрузок размером более 4 КБ. Кроме того, оно отключало инструментирование системных вызовов в пользовательском режиме с помощью исправленного заглушки системного вызова. Последняя полезная нагрузка, идентифицированная в цепочке, — Cubridge. Использование в кампании LPEClient, родословная вредоносного ПО, инфраструктура и методы заражения связывают её с операциями Lazarus, включая SyncHole и Dream Job.
#ParsedReport #CompletenessMedium
21-10-2026
LiteLLM 1.107.0 PyPI Wheel Contains a Credential Stealer and Persistent Python Backdoor
https://opensourcemalware.com/blog/litellm-1-107-0-pypi-wheel-contains-a-credential-stealer-and-persistent-python-backdoor
Report completeness: Medium
Actors/Campaigns:
Teampcp
Threats:
Credential_stealing_technique
Supply_chain_technique
Rclone_tool
Victims:
Litellm users, Python environments, Developer workstations, Ci runners
TTPs:
Tactics: 4
Technics: 0
IOCs:
Hash: 6
File: 11
Soft:
LiteLLM, macOS, Trivy, Chrome, Chromium, Opera, Firefox, Linux, Kubernetes, Docker, have more...
Algorithms:
base64, sha256, aes-256-cbc, aes, gzip
Functions:
exec, setsid
Languages:
python, powershell
21-10-2026
LiteLLM 1.107.0 PyPI Wheel Contains a Credential Stealer and Persistent Python Backdoor
https://opensourcemalware.com/blog/litellm-1-107-0-pypi-wheel-contains-a-credential-stealer-and-persistent-python-backdoor
Report completeness: Medium
Actors/Campaigns:
Teampcp
Threats:
Credential_stealing_technique
Supply_chain_technique
Rclone_tool
Victims:
Litellm users, Python environments, Developer workstations, Ci runners
TTPs:
Tactics: 4
Technics: 0
IOCs:
Hash: 6
File: 11
Soft:
LiteLLM, macOS, Trivy, Chrome, Chromium, Opera, Firefox, Linux, Kubernetes, Docker, have more...
Algorithms:
base64, sha256, aes-256-cbc, aes, gzip
Functions:
exec, setsid
Languages:
python, powershell
Opensourcemalware
OpenSourceMalware.com - Community Threat Intelligence
Community-driven threat intelligence. Human-verified supply chain threats from every major open source ecosystem.
CTT Report Hub
#ParsedReport #CompletenessMedium 21-10-2026 LiteLLM 1.107.0 PyPI Wheel Contains a Credential Stealer and Persistent Python Backdoor https://opensourcemalware.com/blog/litellm-1-107-0-pypi-wheel-contains-a-credential-stealer-and-persistent-python-backdoor…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Колеса PyPI для LiteLLM версии 1.107.0 были скомпрометированы вредоносным ПО, запускаемым при инициализации, вероятно, на этапе сборки или публикации. Полезная нагрузка собирает учетные данные и конфиденциальные данные хоста, шифрует и загружает их на `www.litellm.dev`, а также поддерживает загрузчик удаленного выполнения кода, который периодически извлекает и выполняет код с домена, производного от GitHub.
-----
В выпуске LiteLLM 1.107.0 обнаружен вредоносный пакет цепочки поставок PyPI. Проанализированный wheel для macOS x86-64 с SHA-256 `7598727f209d717041db37f7dca271d3a7d328a279890e0e1d55375729aeb86d` содержит три внедренных файла, хеши которых зафиксированы в манифесте `RECORD` wheel. Полезная нагрузка отсутствует в соответствующем теге исходного кода, что указывает на компрометацию процесса сборки или публикации. По имеющимся данным, все семь wheel-файлов LiteLLM 1.107.0 содержат одни и те же внедренные компоненты.
ВПО устанавливает два пути запуска через Python. Злоумышленный файл `.pth` импортирует `cook.py`, который при каждом запуске Python декодирует и выполняет встроенный в Base64 и zlib сборщик учетных данных, не требуя импорта LiteLLM. Файл `sitecustomize.py` обеспечивает второй механизм автоматического выполнения. Сборщик нацелен на учетные данные браузеров, файлы cookie, историю, ключи SSH, GPG и TLS, учетные данные облачных и CI/CD-систем, токены менеджеров пакетов, файлы `.env`, секреты Kubernetes и Docker, учетные данные инструментов ИИ, переменные окружения, окружение процессов, учетные данные баз данных и метаданные облачных инстансов. Он также собирает информацию о хосте, пользователе, сети, среде выполнения и конфигурации.
Собранные данные сериализуются в JSON, шифруются с помощью AES-256-CBC и защищаются с использованием встроенного открытого ключа RSA. Полученные файлы содержат метаданные шифрования, вектор инициализации, зашифрованные собранные данные и зашифрованный с помощью RSA ключ AES. Архив загружается на `http://www.litellm.dev/healthcheck`, при этом `www.litellm.dev` жёстко задан в качестве получателя. Соответствующие индикаторы компрометации включают заголовки `X-Token` и `X-SHA256`, а также маркерный файл по пути `/tmp/.pc_once_72129118c59f5636c0bb`.
Пакет также запускает постоянный загрузчик удаленного кода. Он создает файл `/tmp/remote_code_loader.lock`, выполняет разделение процесса (fork) и отсоединение, подавляет вывод, извлекает домен из репозитория GitHub `letters9813/pythonclient-test` и каждый час выполняет Python-код, загруженный с `http://{domain}/codepy`. Затронутые среды следует изолировать и пересоздать, при этом все учетные данные, доступные для процессов Python, — включая учетные данные облачных сервисов, систем контроля версий, пакетных менеджеров, CI/CD, баз данных, браузеров и криптографические ключи, — должны быть заменены с доверенных систем.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Колеса PyPI для LiteLLM версии 1.107.0 были скомпрометированы вредоносным ПО, запускаемым при инициализации, вероятно, на этапе сборки или публикации. Полезная нагрузка собирает учетные данные и конфиденциальные данные хоста, шифрует и загружает их на `www.litellm.dev`, а также поддерживает загрузчик удаленного выполнения кода, который периодически извлекает и выполняет код с домена, производного от GitHub.
-----
В выпуске LiteLLM 1.107.0 обнаружен вредоносный пакет цепочки поставок PyPI. Проанализированный wheel для macOS x86-64 с SHA-256 `7598727f209d717041db37f7dca271d3a7d328a279890e0e1d55375729aeb86d` содержит три внедренных файла, хеши которых зафиксированы в манифесте `RECORD` wheel. Полезная нагрузка отсутствует в соответствующем теге исходного кода, что указывает на компрометацию процесса сборки или публикации. По имеющимся данным, все семь wheel-файлов LiteLLM 1.107.0 содержат одни и те же внедренные компоненты.
ВПО устанавливает два пути запуска через Python. Злоумышленный файл `.pth` импортирует `cook.py`, который при каждом запуске Python декодирует и выполняет встроенный в Base64 и zlib сборщик учетных данных, не требуя импорта LiteLLM. Файл `sitecustomize.py` обеспечивает второй механизм автоматического выполнения. Сборщик нацелен на учетные данные браузеров, файлы cookie, историю, ключи SSH, GPG и TLS, учетные данные облачных и CI/CD-систем, токены менеджеров пакетов, файлы `.env`, секреты Kubernetes и Docker, учетные данные инструментов ИИ, переменные окружения, окружение процессов, учетные данные баз данных и метаданные облачных инстансов. Он также собирает информацию о хосте, пользователе, сети, среде выполнения и конфигурации.
Собранные данные сериализуются в JSON, шифруются с помощью AES-256-CBC и защищаются с использованием встроенного открытого ключа RSA. Полученные файлы содержат метаданные шифрования, вектор инициализации, зашифрованные собранные данные и зашифрованный с помощью RSA ключ AES. Архив загружается на `http://www.litellm.dev/healthcheck`, при этом `www.litellm.dev` жёстко задан в качестве получателя. Соответствующие индикаторы компрометации включают заголовки `X-Token` и `X-SHA256`, а также маркерный файл по пути `/tmp/.pc_once_72129118c59f5636c0bb`.
Пакет также запускает постоянный загрузчик удаленного кода. Он создает файл `/tmp/remote_code_loader.lock`, выполняет разделение процесса (fork) и отсоединение, подавляет вывод, извлекает домен из репозитория GitHub `letters9813/pythonclient-test` и каждый час выполняет Python-код, загруженный с `http://{domain}/codepy`. Затронутые среды следует изолировать и пересоздать, при этом все учетные данные, доступные для процессов Python, — включая учетные данные облачных сервисов, систем контроля версий, пакетных менеджеров, CI/CD, баз данных, браузеров и криптографические ключи, — должны быть заменены с доверенных систем.
#ParsedReport #CompletenessMedium
21-10-2026
Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor
Report completeness: Medium
Threats:
Supply_chain_technique
Victims:
Python projects, Software development
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1027, T1027.009, T1059.006, T1071.001, T1102.001, T1105, T1140, T1195.002, T1528, T1546, have more...
IOCs:
Domain: 1
File: 17
Url: 2
IP: 1
Hash: 14
Soft:
LiteLLM, Linux, macOS, Chromium, Firefox, Kubernetes, Jenkins, Claude, Claude Code, Codex, have more...
Algorithms:
base64, rsa-4096, zip, aes-256-cbc, sha256
Functions:
fork, setsid, exec
Languages:
python, powershell
Links:
have more...
21-10-2026
Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor
Report completeness: Medium
Threats:
Supply_chain_technique
Victims:
Python projects, Software development
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1027.009, T1059.006, T1071.001, T1102.001, T1105, T1140, T1195.002, T1528, T1546, have more...
IOCs:
Domain: 1
File: 17
Url: 2
IP: 1
Hash: 14
Soft:
LiteLLM, Linux, macOS, Chromium, Firefox, Kubernetes, Jenkins, Claude, Claude Code, Codex, have more...
Algorithms:
base64, rsa-4096, zip, aes-256-cbc, sha256
Functions:
fork, setsid, exec
Languages:
python, powershell
Links:
https://github.com/BerriAI/litellm/commit/a8113b0dd721804c752a6f1952367fb642205224https://github.com/BerriAI/litellmhave more...
https://github.com/BerriAI/litellm/commit/66c8f5b1a9cefaa7c55b758f86f4ab552f2e859eSafeDep - Real-time Open Source Software Supply Chain Security
Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor
LiteLLM 1.107.0 on PyPI ships a .pth credential stealer and a sitecustomize.py backdoor that run on every Python start. How the implant got in, what it steals, and indicators of compromise.