#ParsedReport #CompletenessLow
19-10-2026

Active Exploitation of CVE-2026-110936 in Siemens Software Center

https://productcert.siemens.com/news/2026/10/19/active-exploitation-of-cve-2026-110936-in-siemens-software-center/

Report completeness: Low

Threats:
Dll_sideloading_technique
Romulusloader
Clickfix_technique

Victims:
Siemens software center users

CVEs:
CVE-2026-110936 [Vulners]
CVSS V3.1: 6.7,
Vulners: Exploitation: True


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1053.005, T1203, T1574.002

IOCs:
IP: 2
Domain: 1
File: 3
Hash: 2

Soft:
Task Scheduler

Win API:
DB

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Версии Siemens Software Center ранее 4.0.9.8 содержат активно эксплуатируемое уязвимость DLL side-loading, CVE-2026-110936. Злоумышленники могут размещать вредоносные DLL, которые легитимное приложение загружает при запуске, что позволяет выполнять код без изменения исполняемого файла Siemens. Зафиксированная активность включает социальную инженерию, подозрительные файлы и каталоги, закрепление через автозагрузку или запланированные задачи, а также связь с IP-адресом 96.62.218.59.
-----

Siemens подтвердила активное использование уязвимости CVE-2026-110936, представляющей собой уязвимость подмены DLL (DLL side-loading), которая затрагивает версии Siemens Software Center, более ранние, чем 4.0.9.8. Данная уязвимость позволяет злоумышленникам размещать вредоносные файлы DLL в тех местах, где легитимное приложение Siemens будет загружать их при запуске. Сам исполняемый файл Siemens не изменяется; вместо этого уязвимое программное обеспечение загружает DLL, предоставленные злоумышленником, что обеспечивает выполнение вредоносного кода.

Siemens устранила проблему в версии Software Center 4.0.9.8 и опубликовала уведомление SSA-580366 15 октября. Ожидается, что существующие установки будут автоматически обновлены при следующем запуске приложения, однако организациям следует убедиться, что развернутые системы работают на версии 4.0.9.8 или более поздней.

Возможными индикаторами компрометации являются наличие Siemens Software Center в приложениях автозагрузки или Планировщике задач Windows на системах, где он никогда не устанавливался. ВПО может создавать каталог «SM Software Provisioning Service» в локальном пути AppData\Programs. Вблизи файла `SiemensSoftwareCenter.exe` могут появляться подозрительные файлы с именами `activate.bak` или `statinfosta.DB`. Другим задокументированным артефактом является каталог `FTSuite`, содержащий файл `ftc.uml`, в локальном пути AppData\Network. Также следует расследовать системы, устанавливающие связь с IP-адресом `96.62.218.59`.

Зафиксированная активность может включать социальную инженерию, в ходе которой жертвам предписывается выполнять команды через диалоговое окно «Выполнить» в Windows или PowerShell, например, путем злоупотребления поддельным запросом на подтверждение «Я не робот». Пользователи не должны вставлять команды с веб-страниц в эти интерфейсы. Организациям следует обновить Siemens Software Center, проверить записи автозагрузки и запланированные задачи, выполнить поиск перечисленных файлов и каталогов, а также расследовать сетевые соединения с указанным IP-адресом.

#ParsedReport #CompletenessMedium
21-10-2026

Behind the Panels: Validating ShinyHunters Cluster A Infrastructure Through Network Telemetry

https://www.team-cymru.com/post/validating-shinyhunters-cyber-threat-actors-infrastructure

Report completeness: Medium

Actors/Campaigns:
Shinyhunters
Snarky_spider
Cordial_spider

Threats:
Aitm_technique

Victims:
Higher education, Financial services, Asset management, Real estate, Luxury goods, Retail and consumer, Cryptocurrency platforms, Taxation, Telecommunications, Enterprise saas, have more...

Industry:
Retail, Education, Telco

Geo:
Russian, Apac, Indonesian, Australian

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036.005, T1056.003, T1111, T1557, T1566.004

IOCs:
IP: 2
File: 1
Hash: 8

Soft:
Salesforce, SharePoint, Slack, DocuSign, Cloudflare, Telegram, Okta, Microsoft Entra, Dropbox, Cloudflare Turnstile, have more...

Wallets:
coinbase

Crypto:
binance

Algorithms:
sha256

Win API:
OPENDIR

Languages:
php

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В отчете идентифицированы два IP-адреса, на которых размещена фишинговая инфраструктура, связанная с панелью Doko и кластером A Push Security. В инфраструктуре использовались домены, имитирующие бренды, и конечные точки панели управления для поддержки голосового фишинга и атак типа «человек посередине» (adversary-in-the-middle), направленных на получение учетных данных, данных MFA и аутентифицированных сессий. Приписывание активности группе ShinyHunters или одному конкретному оператору пока не подтверждено.
-----

Отчёт подтверждает инфраструктуру, связанную с Cluster A компании Push Security — кластером фишинговой инфраструктуры, связанным с панелью Doko и размещённым на хостинге Mevspace AS201814. С помощью пассивного DNS, телеметрии сертификатов, наблюдений за открытыми службами и анализа паттернов хостинга были идентифицированы два активных IP-адреса: 149.50.97.174 и 149.50.127.228. Оба хостили множество доменов, тематически привязанных к жертвам, с повторяющимися характеристиками именования, регистратора, DNS-серверов и сертификатов, характерными для данного кластера.

Домены имитировали провайдеров идентификации, корпоративные SaaS-платформы, финансовые учреждения, криптовалютные сервисы, розничных продавцов, университеты и австралийские налоговые службы. Среди выявленных тематических направлений были Okta, Microsoft Entra, Google Workspace, Coinbase, Binance, Nexo, NDAX, Koinly, Yale, University of Pennsylvania, Disney, Nike, Verizon и другие. Также присутствовали универсальные домены для верификации, что указывает на использование страниц перехвата учетных данных, работающих на нескольких платформах, помимо фишинговых наборов, нацеленных на конкретные бренды. Инфраструктура соответствует атакам голосового фишинга и adversary-in-the-middle, предназначенным для перехвата учетных данных, данных MFA и, потенциально, аутентифицированных сессий для доступа к корпоративным приложениям и финансовым платформам.

На адресе 149.50.97.174 появился поддомен `cp.myyalemanager.com`, что соответствует конечной точке панели управления оператора. На этом же хосте также был обнаружен сервис FTP на порту 21, использующий самоподписанный сертификат. На адресе 149.50.127.228 доменные имена следовали повторяющемуся формату с числовым токеном и названием бренда, включая Coinbase, Binance, NDAX и имена, связанные с тематикой криптовалют. Тисокуаты Binance включали легитимный бренд в более длинные имена хостов, что потенциально могло использоваться для эксплуатации усечения строки URL. Домены `dokopanel.com` и `admin.dokopanel.com` также резолвились на этот адрес, что могло указывать на возможную инфраструктурную точку перехода, но не являлось доказательством контроля со стороны конкретного лица.

Телеметрия сети зафиксировала трафик через прокси Cloudflare на портах 80 и 443, а также фоновое сканирование интернета. Полученные данные подтверждают инфраструктуру Кластера A, однако не позволяют однозначно приписать всю активность группе ShinyHunters или единственному оператору. Общее происхождение используемых инструментов, пересечения в хостинге и схожесть целей атак следует рассматривать как инфраструктурные ассоциации, а не как неопровержимые доказательства владения.

#ParsedReport #CompletenessMedium
22-10-2026

skynox7: Proxyjacking Edge Devices Into Residential Proxies

https://www.greynoise.io/blog/proxyjacking-edge-devices-residential-proxies

Report completeness: Medium

Threats:
Residential_proxy_technique
Proxyjacking_technique
Supply_chain_technique
Iproyal_pawns_tool

Victims:
Network edge devices, Digital video recorders, Network video recorders

Industry:
Government

Geo:
Ukraine

CVEs:
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- siemens 6bk1602-0aa12-0tp0_firmware (<2.7.0)

CVE-2024-3273 [Vulners]
CVSS V3.1: 7.3,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)

CVE-2024-3272 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
Soft:
- dlink dns-320l_firmware (1.01.0702.2013, 1.03.0904.2013, 1.11)

CVE-2025-31324 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
Soft:
- sap netweaver (7.50)


ChatGPT TTPs:
do not use without manual check
T1090, T1090.002, T1496

IOCs:
Hash: 7
IP: 1
Email: 1

Soft:
SAP NetWeaver, Dahua

Algorithms:
sha256

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Атакующие получают несанкционированный доступ к устройствам, ориентированным на Интернет, включая DVR/NVR Hikvision и Dahua, для установки прокси-ПО и скрытного превращения их в узлы резидентных прокси. Эти прокси маскируют вредоносную активность, заставляя трафик выглядеть как исходящий из легитимных потребительских сетей, что позволяет обходить механизмы аутентификации и скрывать инфраструктуру атакующих. Аутентификация нескольких пользователей через один и тот же резидентный IP-адрес может свидетельствовать о злоупотреблении прокси-сервисами.
-----

В отчете описывается использование сетей резидентных прокси для сокрытия вредоносной деятельности и обхода обнаружения на основе репутации IP-адресов, атрибуции хостинг-провайдеров и географических несоответствий. Резидентные прокси направляют интернет-трафик через потребительские устройства, что позволяет вредоносным соединениям выглядеть как исходящие из легитимных домашних или корпоративных сетей. Это может позволить злоумышленникам обходить мониторинг аутентификации, который помечает попытки входа с виртуальных частных серверов, коммерческих VPN или из неожиданных стран.

В статье проводится различие между легитимным прокси-варом и прокси-джекингом. В рамках легитимных прокси-варных схем пользователи осознанно устанавливают программное обеспечение или приложения, которые делят пропускную способность их устройств в обмен на вознаграждение. Разработчики также могут внедрять наборы инструментов для разработки прокси-программного обеспечения в приложения и монетизировать пропускную способность устройств пользователей. Прокси-джекинг происходит, когда злоумышленник скрытно устанавливает такое программное обеспечение на скомпрометированные системы и монетизирует интернет-соединения жертв без их согласия.

По имеющимся данным, в рамках злонамеренной кампании были атакованы устройства сетевого периметра, доступные из интернета, по всему миру, в результате чего на них было установлено прокси-ПО Pawns.app в интересах злоумышленника. Pawns.app ассоциируется с IPRoyal и обеспечивает доступ к коммерческой инфраструктуре резидентных прокси. Кампания, по всей видимости, была направлена на цифровые видеорегистраторы и сетевые видеорегистраторы, в том числе на устройства, произведённые компаниями Hikvision и Dahua. Скомпрометированные устройства периметра могли впоследствии выполнять функции узлов резидентной прокси-сети, что позволяло несвязанным злоумышленникам или другим клиентам прокси-сети направлять трафик через IP-адреса жертв.

В отчете также рассматривается расследование несанкционированного доступа, в ходе которого в журналах входа в систему Entra ID были обнаружены аутентификации с домашних IP-адресов, которые географически соответствовали местоположению легитимных пользователей. Дальнейшее расследование выявило более тревожную картину: несколько пользователей выполняли аутентификацию через один и тот же IP-адрес домашнего прокси, что является маловероятным паттерном для нормальной активности. Организациям следует выявлять адреса домашних прокси в журналах аутентификации и сетевых журналах, а также проводить расследование случаев, когда несколько учетных записей используют один и тот же домашний IP-адрес, особенно если этот адрес одновременно связан со злонамеренным сканированием или иной подозрительной активностью.

#ParsedReport #CompletenessMedium
21-10-2026

AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise

https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/

Report completeness: Medium

Actors/Campaigns:
Storm-0940 (motivation: information_theft)

Threats:
Supply_chain_technique
Artex_tool
Screenconnect_tool
Password_spray_technique

Victims:
Aerospace and defense, Automotive, Chemicals, Energy, Financial services, Government, Legal, Manufacturing, Media, Military, have more...

Industry:
Military, Chemical, Semiconductor_industry, Energy, Government, Transport, Aerospace

TTPs:
Tactics: 8
Technics: 2

IOCs:
File: 7
IP: 6
Coin: 1

Soft:
Microsoft Defender, Microsoft Entra, Microsoft 365, Graph API, SharePoint, raph API ac

Functions:
Graph

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Китайская группировка Storm-0940 использовала фреймворк ARTEX с несколькими агентами на базе LLM для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачных сред и эксфильтрации данных в масштабах сотен организаций. После компрометации облачной платформы резервного копирования ConnectWise актор получил доступ к конечным пользователям (downstream tenants) с использованием OAuth-идентификаторов, провел разведку в Microsoft Graph и предпринял попытки изменения учетных данных приложений, разрешений и привилегий для закрепления в системе.
-----

Storm-0940, злоумышленник, связанный с государством Китая и активный с 2021 года, провел крупномасштабную кампанию против организаций в секторах аэрокосмической отрасли, обороны, финансов, государственного управления, производства, технологий и других. Начиная с сентября 2026 года, злоумышленник использовал ARTEX — открытый фреймворк для многоагентного тестирования на проникновение на базе LLM — для автоматизации разведки, обнаружения уязвимостей, распыления пароля, картирования облачной инфраструктуры и процессов эксфильтрации данных. Кампания была направлена на сотни организаций, и в нескольких случаях вторжения привели к получению привилегированного доступа к облачной инфраструктуре менее чем за три часа.

Деятельность была связана с компрометацией многонационального облачного приложения ConnectWise для резервного копирования и последующим доступом к тенантам клиентов. Storm-0940 использовал скомпрометированные идентификаторы OAuth-приложений для аутентификации в средах Microsoft 365 без интерактивного входа пользователя. Затем актор проводил разведку в Microsoft Graph, включая перечисление элементов каталога, разрешений и согласований, а также пытался изменить учетные данные приложений, выданные согласия, владельцев, назначения ролей приложений и привилегии. Эти изменения могли обеспечить закрепление через сервисные субъекты, альтернативные учетные данные и другие облачные идентификаторы. Наличие аутентификации или приложения само по себе не подтверждало доступ к данным или их эксфильтрацию.

В период с 10 по 14 октября инфраструктура, связанная с актором, в том числе IP-адрес 144.172.64.99, проводила распыление пароля в отношении 327 учетных записей в восьми организациях. Microsoft зафиксировала более 151 000 неудачных попыток входа в систему, при этом пиковая активность составила приблизительно 2900 неудачных попыток в минуту. В ходе данной кампании не было зафиксировано успешной аутентификации, выпуска токенов, активности в Microsoft Graph или изменений в каталоге. После компрометации ConnectWise, по сообщениям, ARTEX ускорил попытки получения доступа к более чем 2250 арендаторам (tenants) с аналогичной интенсивностью, что существенно сократило время реакции защитников.

Соответствующие действия соответствуют техникам MITRE ATT&CK, включая Активное сканирование (T1595), Компрометация цепочки поставок (T1195), Изучение облачной инфраструктуры (T1580), а также использование скомпрометированных облачных учетных записей. Организациям следует проверять вход в систему через служебные учетные записи (service principal), разрешения OAuth-приложений, изменения учетных данных и привилегий, активность в Microsoft Graph, необычный доступ к электронной почте или файлам, а также аутентификацию с непредвиденной инфраструктуры. При расследовании необходимо сохранять доказательства из журналов аудита и SIEM, сопоставлять активность с санкционированными административными изменениями, отключать затронутые интеграции, отзывать несанкционированные разрешения и учетные данные, а также ротировать скомпрометированные секреты после сбора доказательств.

#ParsedReport #CompletenessHigh
21-10-2026

Operation FlashHole: Lazarus breaks security, defies control

https://securelist.com/lazarus-operation-flashhole/121541/

Report completeness: High

Actors/Campaigns:
Operation_flashhole (motivation: cyber_espionage)
Lazarus (motivation: cyber_espionage)
Operation_synchole
Double_barrel
Dream_job
Cascade_hole

Threats:
Watering_hole_technique
Spear-phishing_technique
Racket_loader
Dll_sideloading_technique
Touchhub
Touchshift
Lpeclient
Cubridge
Cloudburst
Nickelloader
Sideshow
Lightlesscan
Dll_injection_technique
Reflective_dll_injection_technique
Fudmodule_rootkit
Cookieplus
Mistpen
Signbt
Threatneedle
Copperhedge
Gunra
Foresttiger
Dll_hijacking_technique
Trojan.win64.shellcode.gen

Victims:
Software, Construction, Wired communication equipment manufacturing, South korea

Industry:
Government, Financial

Geo:
South korea, South korean

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1001.003, T1007, T1012, T1027, T1055, T1070.006, T1071.001, T1078.004, T1082, T1102.002, have more...

IOCs:
File: 17
Url: 10
Command: 1
Path: 8
Registry: 2
Hash: 7
Domain: 2

Soft:
ws service, Chromium, Active Directory, Google Chrome, Chrome, Microsoft Edge, Dropbox, indows security mi, liblzma

Algorithms:
xor, base64, cbc, des, aes

Win API:
SetFileInformationByHandle, CryptUnprotectData, DATA, VirtualProtect

Languages:
javascript

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция FlashHole, осуществляемая группой Lazarus, была направлена на южнокорейские организации посредством сайтов целевого фишинга, эксплуатирующих уязвимость CrossWeb EX. Цепочка заражения в оперативной памяти использовала внедрение в легитимные процессы, C2-инфраструктуру на базе GitHub, подмену DLL (DLL side-loading), рефлексивную загрузку и обширный профилирование жертв. Набор вредоносного ПО, включающий TechHub, LPEClient, ClientHub и Cubridge, связывает данную кампанию с предыдущими операциями Lazarus, такими как SyncHole и Dream Job.
-----

Операция FlashHole представляет собой кампанию группы Lazarus Group, направленную против южнокорейских организаций в секторах программного обеспечения, строительства и производства проводного коммуникационного оборудования. Данные об активности датируются июлем 2025 года; подтверждено не менее трех жертв. В ходе операции использовались письма с целевым фишингом, содержавшие ссылки на кастомные сайты резюме, портфолио или дизайна интерьера, размещенные на GitHub Pages. Эти сайты загружали внешний JavaScript с вредоносных доменов и, вероятно, инициировали злоупотребление приложением CrossWeb EX — обязательным программным обеспечением для обеспечения финансовой безопасности в Южной Корее. Ранее злоумышленники использовали связанное с ним программное обеспечение Cross EX в ходе операции SyncHole.

Первичное заражение выполнялось полностью в оперативной памяти. Легитимный бинарный файл Windows `fsquirt.exe` был запущен в рамках процесса CrossWeb EX и в него был внедрён шеллкод, содержащий ВПО TechHub. TechHub профилировал хост и использовал репозитории GitHub в качестве инфраструктуры управления, аутентифицируясь с помощью жёстко закодированных или заданных в конфигурации персональных токенов доступа GitHub. Он мог извлекать и рефлексивно загружать дополнительный шеллкод и полезные нагрузки.

Для закрепления (Persistence) TechHub развернул TouchHub и TouchShift с помощью подмены DLL (DLL side-loading), используя вредоносный файл `mscoree.dll`. TouchHub скопировал легитимный бинарный файл, зарегистрировал его как Службу Windows, работающую с привилегиями SYSTEM, и применял манипуляции с метками времени для затруднения криминалистического анализа. TouchShift расшифровывал и загружал в память последующий вариант TechHub. Дополнительные полезны нагрузки включали ClientHub, LPEClient и Cubridge, при этом на диск записывались лишь ограниченные артефакты.

Cubridge выступал в качестве основного фреймворка оркестрации, взаимодействуя с скомпрометированными легитимными веб-сайтами посредством динамически генерируемых URL и зашифрованных RSA/RC6 рукопожатий. Он поддерживал плагины, инструменты и модули, доставляемые через инъекцию DLL, рефлексивную загрузку и инъекцию через отображение секций. ClientHub использовал HTTP(S), Dropbox или скомпрометированные веб-сайты для управления, шифровал конфигурационные данные с помощью шифра SNOW и имитировал трафик браузера Chromium с помощью современных заголовков client-hint.

LPEClient выполнял обширный профилирование жертв, включая сбор информации об операционной системе, аппаратном обеспечении, антивирусе, уровне установки обновлений, средствах защиты от атак и домене. Он обменивался данными с ClientHub через разделяемую память, а не содержал адрес C2. Вредоносное ПО использовало криптографию GOST, AES, Threefish, RSA и ML-KEM-1024, после чего выполняло отражательную загрузку полезных нагрузок размером более 4 КБ. Кроме того, оно отключало инструментирование системных вызовов в пользовательском режиме с помощью исправленного заглушки системного вызова. Последняя полезная нагрузка, идентифицированная в цепочке, — Cubridge. Использование в кампании LPEClient, родословная вредоносного ПО, инфраструктура и методы заражения связывают её с операциями Lazarus, включая SyncHole и Dream Job.

#ParsedReport #CompletenessMedium
21-10-2026

LiteLLM 1.107.0 PyPI Wheel Contains a Credential Stealer and Persistent Python Backdoor

https://opensourcemalware.com/blog/litellm-1-107-0-pypi-wheel-contains-a-credential-stealer-and-persistent-python-backdoor

Report completeness: Medium

Actors/Campaigns:
Teampcp

Threats:
Credential_stealing_technique
Supply_chain_technique
Rclone_tool

Victims:
Litellm users, Python environments, Developer workstations, Ci runners

TTPs:
Tactics: 4
Technics: 0

IOCs:
Hash: 6
File: 11

Soft:
LiteLLM, macOS, Trivy, Chrome, Chromium, Opera, Firefox, Linux, Kubernetes, Docker, have more...

Algorithms:
base64, sha256, aes-256-cbc, aes, gzip

Functions:
exec, setsid

Languages:
python, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Колеса PyPI для LiteLLM версии 1.107.0 были скомпрометированы вредоносным ПО, запускаемым при инициализации, вероятно, на этапе сборки или публикации. Полезная нагрузка собирает учетные данные и конфиденциальные данные хоста, шифрует и загружает их на `www.litellm.dev`, а также поддерживает загрузчик удаленного выполнения кода, который периодически извлекает и выполняет код с домена, производного от GitHub.
-----

В выпуске LiteLLM 1.107.0 обнаружен вредоносный пакет цепочки поставок PyPI. Проанализированный wheel для macOS x86-64 с SHA-256 `7598727f209d717041db37f7dca271d3a7d328a279890e0e1d55375729aeb86d` содержит три внедренных файла, хеши которых зафиксированы в манифесте `RECORD` wheel. Полезная нагрузка отсутствует в соответствующем теге исходного кода, что указывает на компрометацию процесса сборки или публикации. По имеющимся данным, все семь wheel-файлов LiteLLM 1.107.0 содержат одни и те же внедренные компоненты.

ВПО устанавливает два пути запуска через Python. Злоумышленный файл `.pth` импортирует `cook.py`, который при каждом запуске Python декодирует и выполняет встроенный в Base64 и zlib сборщик учетных данных, не требуя импорта LiteLLM. Файл `sitecustomize.py` обеспечивает второй механизм автоматического выполнения. Сборщик нацелен на учетные данные браузеров, файлы cookie, историю, ключи SSH, GPG и TLS, учетные данные облачных и CI/CD-систем, токены менеджеров пакетов, файлы `.env`, секреты Kubernetes и Docker, учетные данные инструментов ИИ, переменные окружения, окружение процессов, учетные данные баз данных и метаданные облачных инстансов. Он также собирает информацию о хосте, пользователе, сети, среде выполнения и конфигурации.

Собранные данные сериализуются в JSON, шифруются с помощью AES-256-CBC и защищаются с использованием встроенного открытого ключа RSA. Полученные файлы содержат метаданные шифрования, вектор инициализации, зашифрованные собранные данные и зашифрованный с помощью RSA ключ AES. Архив загружается на `http://www.litellm.dev/healthcheck`, при этом `www.litellm.dev` жёстко задан в качестве получателя. Соответствующие индикаторы компрометации включают заголовки `X-Token` и `X-SHA256`, а также маркерный файл по пути `/tmp/.pc_once_72129118c59f5636c0bb`.

Пакет также запускает постоянный загрузчик удаленного кода. Он создает файл `/tmp/remote_code_loader.lock`, выполняет разделение процесса (fork) и отсоединение, подавляет вывод, извлекает домен из репозитория GitHub `letters9813/pythonclient-test` и каждый час выполняет Python-код, загруженный с `http://{domain}/codepy`. Затронутые среды следует изолировать и пересоздать, при этом все учетные данные, доступные для процессов Python, — включая учетные данные облачных сервисов, систем контроля версий, пакетных менеджеров, CI/CD, баз данных, браузеров и криптографические ключи, — должны быть заменены с доверенных систем.

#ParsedReport #CompletenessMedium
21-10-2026

Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor

https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor

Report completeness: Medium

Threats:
Supply_chain_technique

Victims:
Python projects, Software development

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.009, T1059.006, T1071.001, T1102.001, T1105, T1140, T1195.002, T1528, T1546, have more...

IOCs:
Domain: 1
File: 17
Url: 2
IP: 1
Hash: 14

Soft:
LiteLLM, Linux, macOS, Chromium, Firefox, Kubernetes, Jenkins, Claude, Claude Code, Codex, have more...

Algorithms:
base64, rsa-4096, zip, aes-256-cbc, sha256

Functions:
fork, setsid, exec

Languages:
python, powershell

Links:
https://github.com/BerriAI/litellm/commit/a8113b0dd721804c752a6f1952367fb642205224
https://github.com/BerriAI/litellm
have more...
https://github.com/BerriAI/litellm/commit/66c8f5b1a9cefaa7c55b758f86f4ab552f2e859e

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
LiteLLM 1.107.0 стала жертвой компрометации цепочки поставок, затронувшей все опубликованные колёса. Злоумышленные файлы запуска похищали учетные данные и секреты, обеспечивали закрепление и позволяли выполнять удаленный код Python каждый час на системах, работающих под управлением Python. Полезная нагрузка была внедрена в ходе процесса сборки, выглядевшего легитимно, и распространялась через PyPI.
-----

Выпущенная на PyPI версия LiteLLM 1.107.0 была скомпрометирована стиллером учетных данных и бэкдором для Удаленного Выполнения Кода. Злонамеренный релиз затронул все семь колёс (wheels) для Linux, macOS и Windows и установил три файла в каталог `site-packages` Python: `cook.pth`, `cook.py` и `sitecustomize.py`. Эти файлы отсутствовали в исходном коде на GitHub, после чего PyPI удалил данный релиз.

Файл `cook.pth` содержит `import cook`, что приводит к выполнению `cook.py` при запуске любого Python-процесса на хосте, независимо от того, импортирует ли он LiteLLM. Это включает в себя приложения, менеджеры пакетов, языковые серверы IDE и задачи CI. Стиллер нацелен на ключи SSH, облачные учетные данные, секреты CI/CD, токены инструментов ИИ, пароли браузеров и учетные данные провайдеров LLM, хранящиеся в базах данных прокси LiteLLM. Он шифрует собранные данные и отправляет их на `www.litellm[.\]dev`.

Файл `sitecustomize.py` обеспечивает закрепление и выполнение команд. Он получает эксклюзивную блокировку в `/tmp/remote_code_loader.lock`, разделяет процесс (fork) в отсоединённый фоновый демон, перенаправляет стандартные потоки ввода и вывода в `/dev/null` и изменяет рабочий каталог на `/`. Примерно раз в час он извлекает домен из файла `domain.txt` в репозитории GitHub, связанном с учётной записью `letters9813`, выполняет встроенный стиллер учётных данных, а также загружает и выполняет дополнительный код Python с `http://<domain>/codepy` с помощью `exec()`.

Вредоносные полезные нагрузки были внедрены с использованием сжатого и закодированного в base64 Python-кода. Файлы wheels содержали валидные записи `RECORD`, соответствующие артефактам сборки из легитимного конвейера выпуска, а не файлам, изменённым после упаковки. Метаданные сборки и временные метки указывали на отдельные нативные сборки для macOS, Linux и Windows. Злоумышленник изменил исходный код выпуска, чтобы восстановить версию `1.107.0` и зафиксировать значения сопутствующих пакетов на уровнях кандидатов на выпуск (release-candidate), что делало сравнение зависимостей с `rc2` выглядящим нормальным.

Репозиторий и аккаунт GitHub вернули ошибку 404 примерно через два часа после публикации, что помешало восстановлению адреса сервера. На системах, где демон был выполнен до удаления репозитория, могли быть загружены и запущены второстепенные полезныe нагрузки (second-stage payloads).