#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Операция FlashHole, осуществляемая группой Lazarus, была направлена на южнокорейские организации посредством сайтов целевого фишинга, эксплуатирующих уязвимость CrossWeb EX. Цепочка заражения в оперативной памяти использовала внедрение в легитимные процессы, C2-инфраструктуру на базе GitHub, подмену DLL (DLL side-loading), рефлексивную загрузку и обширный профилирование жертв. Набор вредоносного ПО, включающий TechHub, LPEClient, ClientHub и Cubridge, связывает данную кампанию с предыдущими операциями Lazarus, такими как SyncHole и Dream Job.
-----

Операция FlashHole представляет собой кампанию группы Lazarus Group, направленную против южнокорейских организаций в секторах программного обеспечения, строительства и производства проводного коммуникационного оборудования. Данные об активности датируются июлем 2025 года; подтверждено не менее трех жертв. В ходе операции использовались письма с целевым фишингом, содержавшие ссылки на кастомные сайты резюме, портфолио или дизайна интерьера, размещенные на GitHub Pages. Эти сайты загружали внешний JavaScript с вредоносных доменов и, вероятно, инициировали злоупотребление приложением CrossWeb EX — обязательным программным обеспечением для обеспечения финансовой безопасности в Южной Корее. Ранее злоумышленники использовали связанное с ним программное обеспечение Cross EX в ходе операции SyncHole.

Первичное заражение выполнялось полностью в оперативной памяти. Легитимный бинарный файл Windows `fsquirt.exe` был запущен в рамках процесса CrossWeb EX и в него был внедрён шеллкод, содержащий ВПО TechHub. TechHub профилировал хост и использовал репозитории GitHub в качестве инфраструктуры управления, аутентифицируясь с помощью жёстко закодированных или заданных в конфигурации персональных токенов доступа GitHub. Он мог извлекать и рефлексивно загружать дополнительный шеллкод и полезные нагрузки.

Для закрепления (Persistence) TechHub развернул TouchHub и TouchShift с помощью подмены DLL (DLL side-loading), используя вредоносный файл `mscoree.dll`. TouchHub скопировал легитимный бинарный файл, зарегистрировал его как Службу Windows, работающую с привилегиями SYSTEM, и применял манипуляции с метками времени для затруднения криминалистического анализа. TouchShift расшифровывал и загружал в память последующий вариант TechHub. Дополнительные полезны нагрузки включали ClientHub, LPEClient и Cubridge, при этом на диск записывались лишь ограниченные артефакты.

Cubridge выступал в качестве основного фреймворка оркестрации, взаимодействуя с скомпрометированными легитимными веб-сайтами посредством динамически генерируемых URL и зашифрованных RSA/RC6 рукопожатий. Он поддерживал плагины, инструменты и модули, доставляемые через инъекцию DLL, рефлексивную загрузку и инъекцию через отображение секций. ClientHub использовал HTTP(S), Dropbox или скомпрометированные веб-сайты для управления, шифровал конфигурационные данные с помощью шифра SNOW и имитировал трафик браузера Chromium с помощью современных заголовков client-hint.

LPEClient выполнял обширный профилирование жертв, включая сбор информации об операционной системе, аппаратном обеспечении, антивирусе, уровне установки обновлений, средствах защиты от атак и домене. Он обменивался данными с ClientHub через разделяемую память, а не содержал адрес C2. Вредоносное ПО использовало криптографию GOST, AES, Threefish, RSA и ML-KEM-1024, после чего выполняло отражательную загрузку полезных нагрузок размером более 4 КБ. Кроме того, оно отключало инструментирование системных вызовов в пользовательском режиме с помощью исправленного заглушки системного вызова. Последняя полезная нагрузка, идентифицированная в цепочке, — Cubridge. Использование в кампании LPEClient, родословная вредоносного ПО, инфраструктура и методы заражения связывают её с операциями Lazarus, включая SyncHole и Dream Job.

#ParsedReport #CompletenessMedium
21-10-2026

LiteLLM 1.107.0 PyPI Wheel Contains a Credential Stealer and Persistent Python Backdoor

https://opensourcemalware.com/blog/litellm-1-107-0-pypi-wheel-contains-a-credential-stealer-and-persistent-python-backdoor

Report completeness: Medium

Actors/Campaigns:
Teampcp

Threats:
Credential_stealing_technique
Supply_chain_technique
Rclone_tool

Victims:
Litellm users, Python environments, Developer workstations, Ci runners

TTPs:
Tactics: 4
Technics: 0

IOCs:
Hash: 6
File: 11

Soft:
LiteLLM, macOS, Trivy, Chrome, Chromium, Opera, Firefox, Linux, Kubernetes, Docker, have more...

Algorithms:
base64, sha256, aes-256-cbc, aes, gzip

Functions:
exec, setsid

Languages:
python, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Колеса PyPI для LiteLLM версии 1.107.0 были скомпрометированы вредоносным ПО, запускаемым при инициализации, вероятно, на этапе сборки или публикации. Полезная нагрузка собирает учетные данные и конфиденциальные данные хоста, шифрует и загружает их на `www.litellm.dev`, а также поддерживает загрузчик удаленного выполнения кода, который периодически извлекает и выполняет код с домена, производного от GitHub.
-----

В выпуске LiteLLM 1.107.0 обнаружен вредоносный пакет цепочки поставок PyPI. Проанализированный wheel для macOS x86-64 с SHA-256 `7598727f209d717041db37f7dca271d3a7d328a279890e0e1d55375729aeb86d` содержит три внедренных файла, хеши которых зафиксированы в манифесте `RECORD` wheel. Полезная нагрузка отсутствует в соответствующем теге исходного кода, что указывает на компрометацию процесса сборки или публикации. По имеющимся данным, все семь wheel-файлов LiteLLM 1.107.0 содержат одни и те же внедренные компоненты.

ВПО устанавливает два пути запуска через Python. Злоумышленный файл `.pth` импортирует `cook.py`, который при каждом запуске Python декодирует и выполняет встроенный в Base64 и zlib сборщик учетных данных, не требуя импорта LiteLLM. Файл `sitecustomize.py` обеспечивает второй механизм автоматического выполнения. Сборщик нацелен на учетные данные браузеров, файлы cookie, историю, ключи SSH, GPG и TLS, учетные данные облачных и CI/CD-систем, токены менеджеров пакетов, файлы `.env`, секреты Kubernetes и Docker, учетные данные инструментов ИИ, переменные окружения, окружение процессов, учетные данные баз данных и метаданные облачных инстансов. Он также собирает информацию о хосте, пользователе, сети, среде выполнения и конфигурации.

Собранные данные сериализуются в JSON, шифруются с помощью AES-256-CBC и защищаются с использованием встроенного открытого ключа RSA. Полученные файлы содержат метаданные шифрования, вектор инициализации, зашифрованные собранные данные и зашифрованный с помощью RSA ключ AES. Архив загружается на `http://www.litellm.dev/healthcheck`, при этом `www.litellm.dev` жёстко задан в качестве получателя. Соответствующие индикаторы компрометации включают заголовки `X-Token` и `X-SHA256`, а также маркерный файл по пути `/tmp/.pc_once_72129118c59f5636c0bb`.

Пакет также запускает постоянный загрузчик удаленного кода. Он создает файл `/tmp/remote_code_loader.lock`, выполняет разделение процесса (fork) и отсоединение, подавляет вывод, извлекает домен из репозитория GitHub `letters9813/pythonclient-test` и каждый час выполняет Python-код, загруженный с `http://{domain}/codepy`. Затронутые среды следует изолировать и пересоздать, при этом все учетные данные, доступные для процессов Python, — включая учетные данные облачных сервисов, систем контроля версий, пакетных менеджеров, CI/CD, баз данных, браузеров и криптографические ключи, — должны быть заменены с доверенных систем.

#ParsedReport #CompletenessMedium
21-10-2026

Compromised LiteLLM 1.107.0 on PyPI Installs a Credential Stealer and Backdoor

https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor

Report completeness: Medium

Threats:
Supply_chain_technique

Victims:
Python projects, Software development

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1027.009, T1059.006, T1071.001, T1102.001, T1105, T1140, T1195.002, T1528, T1546, have more...

IOCs:
Domain: 1
File: 17
Url: 2
IP: 1
Hash: 14

Soft:
LiteLLM, Linux, macOS, Chromium, Firefox, Kubernetes, Jenkins, Claude, Claude Code, Codex, have more...

Algorithms:
base64, rsa-4096, zip, aes-256-cbc, sha256

Functions:
fork, setsid, exec

Languages:
python, powershell

Links:
https://github.com/BerriAI/litellm/commit/a8113b0dd721804c752a6f1952367fb642205224
https://github.com/BerriAI/litellm
have more...
https://github.com/BerriAI/litellm/commit/66c8f5b1a9cefaa7c55b758f86f4ab552f2e859e

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
LiteLLM 1.107.0 стала жертвой компрометации цепочки поставок, затронувшей все опубликованные колёса. Злоумышленные файлы запуска похищали учетные данные и секреты, обеспечивали закрепление и позволяли выполнять удаленный код Python каждый час на системах, работающих под управлением Python. Полезная нагрузка была внедрена в ходе процесса сборки, выглядевшего легитимно, и распространялась через PyPI.
-----

Выпущенная на PyPI версия LiteLLM 1.107.0 была скомпрометирована стиллером учетных данных и бэкдором для Удаленного Выполнения Кода. Злонамеренный релиз затронул все семь колёс (wheels) для Linux, macOS и Windows и установил три файла в каталог `site-packages` Python: `cook.pth`, `cook.py` и `sitecustomize.py`. Эти файлы отсутствовали в исходном коде на GitHub, после чего PyPI удалил данный релиз.

Файл `cook.pth` содержит `import cook`, что приводит к выполнению `cook.py` при запуске любого Python-процесса на хосте, независимо от того, импортирует ли он LiteLLM. Это включает в себя приложения, менеджеры пакетов, языковые серверы IDE и задачи CI. Стиллер нацелен на ключи SSH, облачные учетные данные, секреты CI/CD, токены инструментов ИИ, пароли браузеров и учетные данные провайдеров LLM, хранящиеся в базах данных прокси LiteLLM. Он шифрует собранные данные и отправляет их на `www.litellm[.\]dev`.

Файл `sitecustomize.py` обеспечивает закрепление и выполнение команд. Он получает эксклюзивную блокировку в `/tmp/remote_code_loader.lock`, разделяет процесс (fork) в отсоединённый фоновый демон, перенаправляет стандартные потоки ввода и вывода в `/dev/null` и изменяет рабочий каталог на `/`. Примерно раз в час он извлекает домен из файла `domain.txt` в репозитории GitHub, связанном с учётной записью `letters9813`, выполняет встроенный стиллер учётных данных, а также загружает и выполняет дополнительный код Python с `http://<domain>/codepy` с помощью `exec()`.

Вредоносные полезные нагрузки были внедрены с использованием сжатого и закодированного в base64 Python-кода. Файлы wheels содержали валидные записи `RECORD`, соответствующие артефактам сборки из легитимного конвейера выпуска, а не файлам, изменённым после упаковки. Метаданные сборки и временные метки указывали на отдельные нативные сборки для macOS, Linux и Windows. Злоумышленник изменил исходный код выпуска, чтобы восстановить версию `1.107.0` и зафиксировать значения сопутствующих пакетов на уровнях кандидатов на выпуск (release-candidate), что делало сравнение зависимостей с `rc2` выглядящим нормальным.

Репозиторий и аккаунт GitHub вернули ошибку 404 примерно через два часа после публикации, что помешало восстановлению адреса сервера. На системах, где демон был выполнен до удаления репозитория, могли быть загружены и запущены второстепенные полезныe нагрузки (second-stage payloads).

#ParsedReport #CompletenessMedium
21-10-2026

Inside CARLIY0S: How CyberCartel Used Multiple AI Models to Attack 400+ Latin American Banks and Financial Institutions

https://www.straiker.ai/blog/inside-carliy0s-how-cybercartel-used-multiple-ai-models-to-attack-latin-american-banks

Report completeness: Medium

Actors/Campaigns:
Cybercartel (motivation: financially_motivated, cyber_criminal)
Tr4nshack (motivation: financially_motivated, cyber_criminal)

Threats:
Carliy0s_tool
Pentagi_tool
Residential_proxy_technique
Ghost
Nuclei_tool
Sqlmap_tool
Hashcat_tool
Polymorphism_technique

Victims:
Financial institutions, Banks, Payment providers, Fintech payment gateways

Industry:
Financial

Geo:
Latin american, Latin america, Mexico, Mexican

TTPs:
Tactics: 4
Technics: 0

IOCs:
IP: 1
File: 2

Soft:
Claude, Ubuntu, rsync, Anthropic, Fable 5, Chromium, Burp Suite, Opus 5, ChatGPT, Claude Code, have more...

Wallets:
wassabi

Win API:
SetThreadExecutionState

Languages:
javascript, python, groovy, powershell

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CARLIY0S — это система кибератак, управляемая с помощью ИИ, которая, по имеющимся данным, использовалась группировкой CyberCartel для атак на более чем 400 финансовых организаций в Латинской Америке. Система объединяла коммерческие и локальные модели ИИ, PentAGI, прокси-сети, автоматизацию браузера, Burp Suite и инструменты эксплуатации уязвимостей для получения доступа, выполнения кода, перечисления баз данных, кражи учетных данных и горизонтального перемещения. По сообщениям, в ходе операции было выявлено сотни уязвимостей, а также скомпрометированы большие объемы учетных данных, ключей, токенов и бэкдоров.
-----

В отчёте описана CARLIY0S — система наступательных действий, управляемая с помощью ИИ, которая, по имеющимся данным, эксплуатируется группировкой CyberCartel через команду Tr4nsHack Team и фирму-прикрытие Hexagon Security Labs Mexico. По сообщениям, актор атаковал более 400 банков, финтех-компаний и платёжных провайдеров в Латинской Америке. CARLIY0S была построена на основе автономного наступательного фреймворка PentAGI и использовала несколько коммерческих языковых моделей, включая Claude, Kimi и Grok, с распределением специализированных ролей для эксплуатации уязвимостей, разведки, латерального мышления и принятия окончательных решений. Операторы системы использовали промпты, сформулированные как санкционированные red-team или академические активности, чтобы обходить ограничения безопасности моделей. В случае отказа моделей выполнять наступательные запросы оркестратор мог переключиться на предварительно консолидированный код атак, хранящийся локально.

Архитектура включала центральный сервер на базе Ubuntu объёмом 61 терабайт, на порту 8001 которого размещался граф знаний на основе MCP. Две системы операторов синхронизировали код, разведданные и собранные данные посредством операций rsync с интервалом в 15 минут, PowerShell-супервизоров и дифференциальной синхронизации. Сети домашних прокси-серверов, включая IPBurger и Bright Data, маршрутизировали трафик через IP-адреса, соответствующие географическому расположению, для обхода механизмов контроля доступа и межсетевых экранов веб-приложений. CARLIY0S также интегрировал Burp Suite с помощью пользовательских мостов MCP и Jython, что позволяло ИИ-агентам анализировать истории HTTP, заголовки авторизации, токены сессий и ответы API.

Первоначальный доступ был автоматизирован с использованием безголовых браузеров Chromium, управляемых через Playwright и маршрутизируемых через SOCKS5-прокси. Система нацеливалась на административные интерфейсы, включая Magnolia CMS, и использовала аутентифицированные рабочие процессы Vaadin для внедрения обфусцированных скриптов Groovy с целью Удаленного Выполнения Кода. После получения динамических файлов cookie сессии они передавались в инструменты на базе Python requests для более быстрого взаимодействия с бэкендом. Действия после компрометации включали перечисление объектов базы данных Oracle, поиск строк подключения JDBC и ключей SSH, картирование внутренних подсетей, сбор учетных записей и перемещение внутри компании. В отчете также идентифицировано более 200 предполагаемых уязвимостей, включая возможные нулевые дни, а также украденная база данных, содержащая тысячи учетных данных, API-ключей, криптографических ключей, ключей подписи JWT, учетных данных Keycloak, учетных данных облачного хранилища и сервисов электронной почты, строк подключения к базам данных и постоянных бэкдоров. Эти утечки могут позволить злоупотребление платежными системами, подделку токенов, компрометацию провайдера идентификации, фишинг, кражу данных и сохранение доступа после устранения уязвимостей.

#ParsedReport #CompletenessLow
21-10-2026

Recent AI-Assisted Cyber Attacks in Japan: Investigating Attack Infrastructure and Techniques

https://blogs.jpcert.or.jp/en/2026/10/web_api_attacks.html

Report completeness: Low

Threats:
Blutter_tool

Victims:
Japanese organizations, Web services

Geo:
Japan, Japanese

ChatGPT TTPs:
do not use without manual check
T1190, T1505.003, T1592.002, T1595, T1595.002

IOCs:
File: 1
IP: 3

Soft:
Android, Flutter, MySQL, Jenkins

Languages:
javascript, python

Links:
https://github.com/worawit/blutter

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
JPCERT/CC обнаружил, что злоумышленники используют сканирование уязвимостей с поддержкой ИИ и автоматизированные атаки на API против японских организаций. Они выполнили обратную инженерию APK-файлов Android/Flutter, чтобы выявить конечные точки API, учетные данные, ключи и логику подписи запросов, а также протестировали сервисы на наличие уязвимостей, таких как SSRF. Инфраструктура также поддерживала атаки на веб-приложения, базы данных, Jenkins и почтовые системы, а также обход EDR и развертывание веб-шеллов для обеспечения постоянного внутреннего доступа.
-----

JPCERT/CC расследовал серию инцидентов несанкционированного доступа, затронувших организации в Японии, и выявил инфраструктуру атак, связанную с поиском уязвимостей с использованием ИИ и атаками на основе API. По имеющимся данным, злоумышленники использовали ИИ для выявления известных уязвимостей и автоматизации атак на веб-сервисы и другие системы, включая сервисы, предназначенные для пользователей за пределами Японии. Были идентифицированы несколько серверов, связанных с этой деятельностью.

Ключевой техникой являлся анализ пакетов приложений Android (APK) для обнаружения конечных точек API и проверки их на наличие уязвимостей, включая подделку запросов на стороне сервера (SSRF). На одном из серверов атаки содержались APK, извлечённые данные приложений и доказательства тестирования API. На другом сервере находились несколько APK и инструменты, такие как Blutter, позволяющий выполнять обратную инженерию приложений Flutter, скомпилированных заранее (ahead-of-time), и jadx, предназначенный для анализа приложений Android. Наличие каталогов, таких как `apk_extract/`, и файлов, включая `strings_libapp.txt`, указывало на то, что злоумышленники, вероятно, извлекали и изучали строки и содержимое нативных библиотек.

В ходе расследования также была выявлена инфраструктура, содержащая инструменты и файлы, связанные с атаками на веб-приложения, базы данных MySQL, серверы Jenkins и почтовые шлюзы. Обнаружены доказательства попыток обхода систем обнаружения и реагирования на инциденты на конечных точках (EDR), а также веб-шеллы, которые, по имеющимся данным, были развернуты внутри целевых сетей. Эти результаты свидетельствуют о попытках получения или сохранения доступа к внутренним средам после компрометации сервисов, доступных из внешней сети.

Обратный инжиниринг приложений Flutter может привести к раскрытию конечных точек API, встроенных учетных данных, закрытых ключей, механизмов аутентификации и логики подписи запросов. Злоумышленники могут использовать такие инструменты, как Blutter, Frida, LIEF и Capstone, для анализа `libapp.so`, воспроизведения подписей запросов и создания автономных клиентов, способных получать доступ к продуктовым API без использования легитимного приложения. Таким образом, встроенные закрытые ключи или другие секреты аутентификации создают риск несанкционированного доступа к API и его злоупотребления.

#ParsedReport #CompletenessHigh
22-10-2026

New data has revealed the espionage profile of the Insolent Hyena cluster

https://bi.zone/expertise/blog/giena-obernulas-oborotnem-insolent-hyena-pereshla-k-kibershpionazhu/

Report completeness: High

Actors/Campaigns:
Insolent_hyena (motivation: cyber_espionage, financially_motivated, hacktivism)

Threats:
Capdoor
Nightwire
Nightstrike
Cobalt_strike_tool
Adaptixc2_tool
Havoc
Clickfix_technique
Netsupportmanager_rat
Octowave_loader
Chromelevator_tool
Runpe_tool
Putty_tool
Dll_sideloading_technique
Ekko_tool
Pid_spoofing_technique
Hvnc_tool
Process_injection_technique
Process_hollowing_technique

Victims:
Public sector, Industrial organizations, Research institutes associated with the defense industry

TTPs:
Tactics: 11
Technics: 0

IOCs:
File: 29
Path: 6
Command: 9
IP: 7
Registry: 2
Domain: 5
Hash: 22
Url: 13

Soft:
Firefox, Windows service, iscord to, d Signal m, Games, aming servi, il client, and RD, Chrome

Wallets:
electrum, coinomi, wassabi, zcash, jaxx

Crypto:
bitcoin, litecoin, zcash, ethereum, binance

Algorithms:
deflate, xor, zip, gzip, base64

Win API:
ZONE, CreateProcessA, UpdateProcThreadAttribute, CreateToolhelp32Snapshot

Win Services:
SecurityHealthService, yHealthService.exe --rk, MsMpEng, ekrn, mcshield, SavService

Languages:
powershell

Platforms:
x64, amd64, x86

Links:
https://github.com/xaitax/Chrome-App-Bound-Encryption-Decryption

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Insolent Hyena — кластер кибершпионажа, нацеленный на государственные, промышленные и исследовательские организации в сфере обороны посредством фишинга и скомпрометированной инфраструктуры. Кластер развертывает ПО для удаленного доступа и фреймворки, включая NetSupport, Cobalt Strike, AdaptixC2, Havoc, а также собственные RAT NightWire и NightStrike. NightStrike поддерживает регистрацию нажатий клавиш, выполнение команд, C2 через WebSocket, закрепление, обход защитных механизмов и техники, связанные с внедрением кода в процессы.
-----

Мониторинг свидетельствует о том, что кластер Insolent Hyena преимущественно осуществляет кибершпионаж, а не хактивизм. Кластер не связан с деструктивным ВПО, таким как программы-вымогатели или стирающие программы (wipers), и исследователи не обнаружили публичных заявлений о проведённых операциях. Среди целей — организации государственного сектора, промышленные компании и научно-исследовательские институты, связанные с оборонной промышленностью. Первоначальный доступ осуществляется посредством целенаправленного фишинга, включая кампании ClickFix. В некоторых инцидентах группа получала доступ к инфраструктуре, ранее скомпрометированной другими шпионскими кластерами, и развертывала легитимный инструмент удалённого доступа NetSupport Manager.

Кластер использует комбинацию собственных троянов удаленного доступа и фреймворков постэксплуатации. Известный инструментарий включает CapDoor, NightWire, NightStrike, Cobalt Strike, AdaptixC2 и Havoc. В августе 2026 года исследователи выявили NightStrike — троян удаленного доступа (RAT), написанный на C++, который использовался как минимум с июня. Сходства в стиле кодирования указывают на то, что он был разработан тем же автором, что и NightWire. NightStrike поддерживает отладочное логирование, выполнение встроенных файлов, помеченных маркером BIND, регистрацию нажатий клавиш, выполнение команд, а также управление на основе WebSocket с использованием сериализации MessagePack. Он генерирует идентификатор жертвы на основе серийного номера диска C: и имени компьютера и может использовать C2-серверы, заданные в коде, резервные или указанные в командной строке.

NightStrike включает в себя несколько механизмов закрепления и обхода средств защиты. Он может копировать себя в пути, имитирующие легитимные компоненты Windows, завершать существующий процесс SecurityHealthService.exe, устанавливать скрытые и системные атрибуты, удалять альтернативный поток данных Zone.Identifier, выполнять подделку идентификатора родительского процесса для имитации explorer.exe, а также удалять исходный исполняемый файл. Отдельный вариант закрепления копирует ВПО в WindowsUpdate.exe в каталоге данных приложений пользователя и устанавливает закрепление через реестр.

Кластер также использует Octowave Loader для доставки имплантов постэксплуатации. В одной цепочке атаки загрузка DLL-файлов с помощью легитимного исполняемого файла sascanner.exe привела к загрузке вредоносных библиотек, которые расшифровали шеллкод из файла AnalysisService.db и запустили имплант AdaptixC2. В другой цепочке пакет MSI использовал легитимный исполняемый файл HPLicenseManager.exe и вредоносные DLL-файлы для расшифровки шеллкода Octowave Loader из файла desktop.dat и загрузки импланта Havoc Demon из файла WindowCreate.bin. Разнообразие инструментов и методов доставки обеспечивает оперативную гибкость и усложняет обнаружение.

#ParsedReport #CompletenessLow
21-10-2026

Athena StealthRoute: A Phishing Marketplace with Cloaking and AI Tools

https://abnormal.ai/blog/athena-stealthroute-phishing-marketplace-cloaking-ai

Report completeness: Low

Threats:
Cloaking_technique

Victims:
Organizations

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1036, T1204.001, T1566, T1566.001, T1566.002, T1583.001, T1608.005

IOCs:
IP: 1
Domain: 6

Soft:
SendGrid, Telegram

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Athena StealthRoute — это модульная платформа фишинга как услуга, обеспечивающая создание, доставку, маскировку и обход защитных механизмов кампаний, в то время как отдельные сервисы отвечают за кражу учётных данных и кражу токена. Платформа поддерживала около 89 700 сообщений, направленных в 2 280 организаций, используя характерные шаблоны URL, антибот-контроль, обнаружение сканеров, страницы-приманки, а также приманки и вложения, сгенерированные с помощью ИИ.
-----

Athena StealthRoute — это модульная платформа фишинга как услуга, используемая для подготовки, доставки и сокрытия фишинговых кампаний. Она не выполняет кражу учетных данных или токенов непосредственно; вместо этого операторы используют отдельные сервисы нижнего уровня для сбора украденных учетных данных и сессионных токенов. За шестимесячный период, завершившийся 9 октября 2026 года, исследователи выявили около 89 700 сообщений, связанных с характерными паттернами ссылок платформы, в примерно 2 280 организациях в Соединенных Штатах и Европе.

Платформа предоставляет маркетплейс для фишинговых доменов, посадочных страниц и готовых приманочных писем с вложениями. Операторы также могут подключить собственные домены, которые сервис автоматически настраивает с TLS-сертификатами. Среди вариантов ссылок — сокращённые URL и ссылки, созданные для имитации URL отслеживания SendGrid. Варианты платформы размещают параметр `_upn=` в пути URL, а не используют легитимный формат строки запроса, что может служить индикатором обнаружения.

Athena StealthRoute использует шлюз маскировки для оценки посетителей перед их перенаправлением на пункт назначения, выбранный оператором. Посетители, идентифицированные как нежелательные, могут получить ответ 404 или быть перенаправлены на легитимный веб-сайт. Средства защиты от ботов (antibot) способны обнаруживать трафик, связанный с Microsoft Safe Links, Proofpoint и Mimecast, в то время как отдельные правила маскировки могут блокировать или перенаправлять сканеры безопасности, инструменты автоматизации браузера и веб-краулеры. Уведомления в Телеграм информируют операторов при обнаружении сканеров или когда ссылки помечаются как опасные. Платформа также поддерживает страницы-приманки и хостинг файлов.

Её AI Studio добавляет функции автоматической генерации контента. Email Writer создаёт кастомные приманочные сообщения на основе тем, тона, брендов, призывов к действию, QR-кодов и изображений. Subject Lines генерирует альтернативные комбинации тем и прехедеров, а Paraphrase переписывает существующий текст для вариативности формулировок в кампании. Attachment Generator создаёт файлы в форматах HTML, XLSX, CSV, PDF и DOCX, которые могут использоваться в качестве вредоносных или обманных вложений. White Page генерирует структурированный контент, выглядящий безобидно, который может служить приманкой для сканеров и нежелательных посетителей.

Сочетание общей инфраструктуры бэкенда, узнаваемых структур ссылок, поведения маскировки (cloaking), совпадающего кода консоли и изменяемого приманочного контента предоставляет возможности для обнаружения. Однако защитникам необходимо отдельно проверять конечный сервис для кражи учетных данных или токенов, поскольку кража происходит вне самого Athena StealthRoute.

#ParsedReport #CompletenessMedium
22-10-2026

BRONZE SANDCASTLE deploys modified Meterpreter shells

https://www.sophos.com/en-us/blog/bronze-sandcastle-deploys-modified-meterpreter-shells

Report completeness: Medium

Actors/Campaigns:
Bronze_sandcastle
Red_delta
Winnti

Threats:
Meterpreter_tool
Dll_sideloading_technique
Metasploit_tool
Coff_loader
Shadow_copies_delete_technique

Victims:
Organizations in asia and africa

Geo:
Asia, Republic of korea, Philippines, Taiwan, Africa, Afghanistan, China, Namibia

ChatGPT TTPs:
do not use without manual check
T1003.003, T1018, T1027, T1027.007, T1027.013, T1036, T1087, T1102, T1105, T1140, have more...

IOCs:
File: 14
Domain: 6
Url: 1
Hash: 22

Soft:
Chromium, Sysinternals, Active Directory

Algorithms:
ror13, zip, sha256, md5, exhibit, sha1

Languages:
java

Links:
https://github.com/trustedsec/COFFLoader
https://github.com/sophoslabs/IoCs/blob/master/BRONZESANDCASTLE\_Meterpreter\_IOCs.csv