CTT Report Hub
#ParsedReport #CompletenessMedium 18-01-2026 RustyStealer: Your Compiler Is Snitching on You https://blog.synapticsystems.de/rustystealer-your-compiler-is-snitching-on-you/ Report completeness: Medium Actors/Campaigns: Muddywater Threats: Rusty_stealer…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
RustyStealer - это разновидность вредоносного ПО, которая эволюционировала по меньшей мере в четырех версиях, демонстрируя систематические улучшения функциональности и скрытности. Первоначальные версии были легко обнаружены благодаря строкам открытого текста, включая ссылки на программное обеспечение безопасности, но более поздние версии, в частности 1.1 и 2.0, удалили эти идентификаторы и включили передовые методы запутывания, такие как декодирование на основе XOR, для повышения скрытности. В последней версии особое внимание уделяется профилированию жертв и операционной эффективности, что отражает нацеленность разработчиков на адаптацию к мерам обнаружения и совершенствование стратегий скрытых атак.
-----
RustyStealer, вариант вредоносного ПО, проанализированный с точки зрения его разработки и эволюционирования, демонстрирует прохождение через несколько структурированных версий, что указывает на сложный подход к повышению его функциональности и скрытности. Анализ сосредоточен на понимании изменений и улучшений, внесенных его разработчиками, раскрывая историю, состоящую по меньшей мере из четырех важных этапов сборки, от ранней базовой версии (версия 0.9) до более совершенных итераций (вплоть до версии 2.0).
Каждая версия RustyStealer демонстрирует различные методы разработки, что указывает на методическую эволюцию, а не на случайные изменения. Первоначальные версии были легко обнаружены благодаря наличию строк открытого текста, включая конкретные ссылки на Защитник Windows, которые можно было использовать для статического обнаружения. Однако по мере того, как вредоносное ПО прогрессировало до версии 1.1, рефакторинг производительности привел к удалению этих идентифицируемых строк. Разработчики внедрили методы восстановления во время выполнения, используя несколько процедур декодирования на основе XOR с различными ключевыми константами, тем самым повышая скрытность вредоносного ПО и снижая его видимость для средств безопасности.
По версии 2.0, архитектурный сдвиг произошел, консолидирующего предыдущие усилия и расширения оперативной скрытности. Эта версия подчеркивает профилирования жертвы, корреляция кампании, и backend атрибуция, предлагая все большее внимание на эффективность атаки и сбор разведданных о цели. Удаление строк открытого текста не только цели жизни, но также отражает стратегическое направление, направленная на снижение шума, что позволяет более секретных операций.
Подводя итог, можно сказать, что разработка RustyStealer представляет собой непрерывный процесс обучения его разработчиков, с существенным акцентом на усовершенствование механизмов скрытности и повышение способности вредоносного ПО к нацеленным операциям. Наблюдаемые тенденции указывают на зрелость методов разработки вредоносного ПО, проливая свет на эволюционирующую тактику, применяемую хакерскими группировками по мере того, как они адаптируются к мерам обнаружения и стремятся повысить эффективность своих кампаний.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
RustyStealer - это разновидность вредоносного ПО, которая эволюционировала по меньшей мере в четырех версиях, демонстрируя систематические улучшения функциональности и скрытности. Первоначальные версии были легко обнаружены благодаря строкам открытого текста, включая ссылки на программное обеспечение безопасности, но более поздние версии, в частности 1.1 и 2.0, удалили эти идентификаторы и включили передовые методы запутывания, такие как декодирование на основе XOR, для повышения скрытности. В последней версии особое внимание уделяется профилированию жертв и операционной эффективности, что отражает нацеленность разработчиков на адаптацию к мерам обнаружения и совершенствование стратегий скрытых атак.
-----
RustyStealer, вариант вредоносного ПО, проанализированный с точки зрения его разработки и эволюционирования, демонстрирует прохождение через несколько структурированных версий, что указывает на сложный подход к повышению его функциональности и скрытности. Анализ сосредоточен на понимании изменений и улучшений, внесенных его разработчиками, раскрывая историю, состоящую по меньшей мере из четырех важных этапов сборки, от ранней базовой версии (версия 0.9) до более совершенных итераций (вплоть до версии 2.0).
Каждая версия RustyStealer демонстрирует различные методы разработки, что указывает на методическую эволюцию, а не на случайные изменения. Первоначальные версии были легко обнаружены благодаря наличию строк открытого текста, включая конкретные ссылки на Защитник Windows, которые можно было использовать для статического обнаружения. Однако по мере того, как вредоносное ПО прогрессировало до версии 1.1, рефакторинг производительности привел к удалению этих идентифицируемых строк. Разработчики внедрили методы восстановления во время выполнения, используя несколько процедур декодирования на основе XOR с различными ключевыми константами, тем самым повышая скрытность вредоносного ПО и снижая его видимость для средств безопасности.
По версии 2.0, архитектурный сдвиг произошел, консолидирующего предыдущие усилия и расширения оперативной скрытности. Эта версия подчеркивает профилирования жертвы, корреляция кампании, и backend атрибуция, предлагая все большее внимание на эффективность атаки и сбор разведданных о цели. Удаление строк открытого текста не только цели жизни, но также отражает стратегическое направление, направленная на снижение шума, что позволяет более секретных операций.
Подводя итог, можно сказать, что разработка RustyStealer представляет собой непрерывный процесс обучения его разработчиков, с существенным акцентом на усовершенствование механизмов скрытности и повышение способности вредоносного ПО к нацеленным операциям. Наблюдаемые тенденции указывают на зрелость методов разработки вредоносного ПО, проливая свет на эволюционирующую тактику, применяемую хакерскими группировками по мере того, как они адаптируются к мерам обнаружения и стремятся повысить эффективность своих кампаний.
#ParsedReport #CompletenessLow
19-01-2026
New Infostealer Campaign Targets Users via Spoofed Software Installers
https://blog.virustotal.com/2026/01/malicious-infostealer-january-26.html
Report completeness: Low
Threats:
Dll_sideloading_technique
TTPs:
Tactics: 1
Technics: 0
IOCs:
Hash: 40
Algorithms:
sha256, zip
YARA: Found
19-01-2026
New Infostealer Campaign Targets Users via Spoofed Software Installers
https://blog.virustotal.com/2026/01/malicious-infostealer-january-26.html
Report completeness: Low
Threats:
Dll_sideloading_technique
TTPs:
Tactics: 1
Technics: 0
IOCs:
Hash: 40
Algorithms:
sha256, zip
YARA: Found
Virustotal
New Infostealer Campaign Targets Users via Spoofed Software Installers
Introduction As part of our commitment to sharing interesting hunts, we are launching these 'Flash Hunting Findings' to highlight active th...
Forwarded from 赛博安全威胁情报🥸
This media is not supported in your browser
VIEW IN TELEGRAM
泄露 Telegram 真实 IP 1-click 漏洞
通过重设代理暴露真实 IP
• Telegram 在添加代理之前会自动 ping 代理。
• 该请求绕过了所有已配置的代理
• 你的真实 IP 地址会被立即记录
只需点击一下即可显示你的真实 IP 地址。
会影响安卓和iOS版本的Telegram客户端
用户名后隐藏的链接示例：
[ @nickname ]( t.iss.one/proxy?server=1… )
#poc #威胁情报
通过重设代理暴露真实 IP
• Telegram 在添加代理之前会自动 ping 代理。
• 该请求绕过了所有已配置的代理
• 你的真实 IP 地址会被立即记录
只需点击一下即可显示你的真实 IP 地址。
会影响安卓和iOS版本的Telegram客户端
用户名后隐藏的链接示例：
[ @nickname ]( t.iss.one/proxy?server=1… )
#poc #威胁情报
#ParsedReport #CompletenessHigh
20-01-2026
Inside a Multi-Stage Windows Malware Campaign
https://www.fortinet.com/blog/threat-research/inside-a-multi-stage-windows-malware-campaign
Report completeness: High
Threats:
Defendnot_tool
Tsunami_botnet
Hakuna_matata
Clipbanker
Windows_locker
Uac_bypass_technique
Shadow_copies_delete_technique
Victims:
Users in russia
Geo:
Russian, Russia
TTPs:
Tactics: 12
Technics: 26
IOCs:
File: 17
Path: 3
Url: 5
Registry: 3
Command: 1
Hash: 11
Soft:
Telegram, Windows Defender, Windows Security Center, Microsoft Defender, Dropbox, Windows Shell, Microsoft Visual C++, PyInstaller, Chrome, Chromium, have more...
Wallets:
metamask, zcash, jaxx, exodus_wallet, electrum, atomicwallet, guarda_wallet, coinomi
Crypto:
ethereum
Algorithms:
rc4, base64
Languages:
python, powershell
20-01-2026
Inside a Multi-Stage Windows Malware Campaign
https://www.fortinet.com/blog/threat-research/inside-a-multi-stage-windows-malware-campaign
Report completeness: High
Threats:
Defendnot_tool
Tsunami_botnet
Hakuna_matata
Clipbanker
Windows_locker
Uac_bypass_technique
Shadow_copies_delete_technique
Victims:
Users in russia
Geo:
Russian, Russia
TTPs:
Tactics: 12
Technics: 26
IOCs:
File: 17
Path: 3
Url: 5
Registry: 3
Command: 1
Hash: 11
Soft:
Telegram, Windows Defender, Windows Security Center, Microsoft Defender, Dropbox, Windows Shell, Microsoft Visual C++, PyInstaller, Chrome, Chromium, have more...
Wallets:
metamask, zcash, jaxx, exodus_wallet, electrum, atomicwallet, guarda_wallet, coinomi
Crypto:
ethereum
Algorithms:
rc4, base64
Languages:
python, powershell
Fortinet Blog
Inside a Multi-Stage Windows Malware Campaign
FortiGuard Labs analysis of a multi-stage Windows malware campaign that abuses trusted platforms to disable defenses, deploy RATs, and deliver ransomware.…
CTT Report Hub
#ParsedReport #CompletenessHigh 20-01-2026 Inside a Multi-Stage Windows Malware Campaign https://www.fortinet.com/blog/threat-research/inside-a-multi-stage-windows-malware-campaign Report completeness: High Threats: Defendnot_tool Tsunami_botnet Hakuna_matata…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Сложная многоэтапная Вредоносная Кампания, нацеленная на пользователей в России, использует социальную инженерию с помощью документов бизнес-тематики, начиная с вредоносного ярлыка LNK, который запускает фоновые сценарии. Он использует PowerShell и запутанный VBScript, чтобы скрыть вредоносную активность, при этом незаметно отключая Microsoft Defender, что позволяет осуществлять обширный сбор данных через Telegram Bot API. Заключительный этап включает в себя развертывание Amnesia RAT для постоянного контроля, наряду с механизмами программ-вымогателей, для обеспечения шифрования файлов и ограничения взаимодействия с пользователем, демонстрируя продвинутую тактику уклонения без использования традиционных уязвимостей программного обеспечения.
-----
Вредоносная Кампания, выявленная FortiGuard Labs, представляет собой сложную многоэтапную атаку, нацеленную преимущественно на пользователей в России, с использованием приманки социальной инженерии, предоставляемой с помощью документов бизнес-тематики. Кампания начинается с вредоносного ярлыка LNK, который выдает себя за безвредный бизнес-файл, вводя пользователей в заблуждение и незаметно выполняя вредоносные скрипты в фоновом режиме.
На первом этапе используется скрипт PowerShell, kira.ps1, не для доставки окончательной полезной нагрузки, а для выполнения подготовительных действий, которые скрывают вредоносные действия от пользователя. Впоследствии запутанный VBScript с именем SCRRC4ryuk.vbe организует цепочку атак, полностью реконструируя последующие этапы выполнения в памяти, а не выполняя их напрямую. На этом этапе пользователю предоставляется интерфейс-приманка, который поддерживает его активность, пока сценарий переходит в фазу уклонения от обнаружения, систематически отключая Microsoft Defender с помощью инструмента под названием Defendnot. Этот инструмент использует модель доверия Центра безопасности Windows вместо завершения работы компонентов Защитника, повышая скрытность вредоносного ПО.
Как только защита обходится, злоумышленник собирает обширную системную информацию для эксфильтрации через Telegram Bot API. Кроме того, вредоносное ПО делает снимки экрана в цикле до 30 раз, предоставляя злоумышленнику возможность наблюдать за действиями пользователя в режиме реального времени. По мере продвижения атаки вредоносное ПО переходит в фазу полной блокировки, чтобы лишить жертву административного контроля, предотвращая любые попытки восстановления. Он использует манипуляции с реестром для принудительного внесения немедленных изменений в политику, которые ограничивают системные инструменты, и перехватывает ассоциации файлов, чтобы перехватывать попытки выполнения пользователем, эффективно нарушая его использование системы.
На заключительном этапе происходит развертывание множества вредоносных полезных нагрузок. Это включает в себя Amnesia RAT, которая используется для постоянного контроля и эксфильтрации данных, замаскированных под системный файл с обманчивым именем. Кроме того, внедряются механизмы программ-вымогателей, инкапсулированные в полезную нагрузку, которая обеспечивает шифрование файлов жертвы, что в конечном итоге приводит к общесистемной блокировке с помощью механизмов, Resembling A WinLocker, полностью ограничивающих взаимодействие с пользователем.
Кампания является примером современной тактики вредоносного ПО, которая избегает традиционных уязвимостей программного обеспечения, полагаясь вместо этого на социальную инженерию, надежные платформы, такие как GitHub и Dropbox для размещения полезной нагрузки, и манипулирование законными функциональными возможностями ОС. Благодаря структурированному подходу акторы эффективно организуют выполнение, наблюдение и кражу данных, избегая при этом усилий по обнаружению и реагированию, эффективно используя платформу MITRE ATT&CK для оперативного руководства.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Сложная многоэтапная Вредоносная Кампания, нацеленная на пользователей в России, использует социальную инженерию с помощью документов бизнес-тематики, начиная с вредоносного ярлыка LNK, который запускает фоновые сценарии. Он использует PowerShell и запутанный VBScript, чтобы скрыть вредоносную активность, при этом незаметно отключая Microsoft Defender, что позволяет осуществлять обширный сбор данных через Telegram Bot API. Заключительный этап включает в себя развертывание Amnesia RAT для постоянного контроля, наряду с механизмами программ-вымогателей, для обеспечения шифрования файлов и ограничения взаимодействия с пользователем, демонстрируя продвинутую тактику уклонения без использования традиционных уязвимостей программного обеспечения.
-----
Вредоносная Кампания, выявленная FortiGuard Labs, представляет собой сложную многоэтапную атаку, нацеленную преимущественно на пользователей в России, с использованием приманки социальной инженерии, предоставляемой с помощью документов бизнес-тематики. Кампания начинается с вредоносного ярлыка LNK, который выдает себя за безвредный бизнес-файл, вводя пользователей в заблуждение и незаметно выполняя вредоносные скрипты в фоновом режиме.
На первом этапе используется скрипт PowerShell, kira.ps1, не для доставки окончательной полезной нагрузки, а для выполнения подготовительных действий, которые скрывают вредоносные действия от пользователя. Впоследствии запутанный VBScript с именем SCRRC4ryuk.vbe организует цепочку атак, полностью реконструируя последующие этапы выполнения в памяти, а не выполняя их напрямую. На этом этапе пользователю предоставляется интерфейс-приманка, который поддерживает его активность, пока сценарий переходит в фазу уклонения от обнаружения, систематически отключая Microsoft Defender с помощью инструмента под названием Defendnot. Этот инструмент использует модель доверия Центра безопасности Windows вместо завершения работы компонентов Защитника, повышая скрытность вредоносного ПО.
Как только защита обходится, злоумышленник собирает обширную системную информацию для эксфильтрации через Telegram Bot API. Кроме того, вредоносное ПО делает снимки экрана в цикле до 30 раз, предоставляя злоумышленнику возможность наблюдать за действиями пользователя в режиме реального времени. По мере продвижения атаки вредоносное ПО переходит в фазу полной блокировки, чтобы лишить жертву административного контроля, предотвращая любые попытки восстановления. Он использует манипуляции с реестром для принудительного внесения немедленных изменений в политику, которые ограничивают системные инструменты, и перехватывает ассоциации файлов, чтобы перехватывать попытки выполнения пользователем, эффективно нарушая его использование системы.
На заключительном этапе происходит развертывание множества вредоносных полезных нагрузок. Это включает в себя Amnesia RAT, которая используется для постоянного контроля и эксфильтрации данных, замаскированных под системный файл с обманчивым именем. Кроме того, внедряются механизмы программ-вымогателей, инкапсулированные в полезную нагрузку, которая обеспечивает шифрование файлов жертвы, что в конечном итоге приводит к общесистемной блокировке с помощью механизмов, Resembling A WinLocker, полностью ограничивающих взаимодействие с пользователем.
Кампания является примером современной тактики вредоносного ПО, которая избегает традиционных уязвимостей программного обеспечения, полагаясь вместо этого на социальную инженерию, надежные платформы, такие как GitHub и Dropbox для размещения полезной нагрузки, и манипулирование законными функциональными возможностями ОС. Благодаря структурированному подходу акторы эффективно организуют выполнение, наблюдение и кражу данных, избегая при этом усилий по обнаружению и реагированию, эффективно используя платформу MITRE ATT&CK для оперативного руководства.
#ParsedReport #CompletenessLow
20-01-2026
VoidLink: Evidence That the Era of Advanced AI-Generated Malware Has Begun
https://research.checkpoint.com/2026/voidlink-early-ai-generated-malware-framework/
Report completeness: Low
Actors/Campaigns:
Funksec
Threats:
Voidlink
Victims:
Cloud environments, Container environments
Geo:
Chinese
ChatGPT TTPs:
T1014, T1526, T1547.006, T1583.006, T1587.001, T1613
IOCs:
File: 1
20-01-2026
VoidLink: Evidence That the Era of Advanced AI-Generated Malware Has Begun
https://research.checkpoint.com/2026/voidlink-early-ai-generated-malware-framework/
Report completeness: Low
Actors/Campaigns:
Funksec
Threats:
Voidlink
Victims:
Cloud environments, Container environments
Geo:
Chinese
ChatGPT TTPs:
do not use without manual checkT1014, T1526, T1547.006, T1583.006, T1587.001, T1613
IOCs:
File: 1
Check Point Research
VoidLink: Evidence That the Era of Advanced AI-Generated Malware Has Begun - Check Point Research
VoidLink's framework marks the first evidence of fully AI-designed and built advanced malware, beginning a new era of AI-generated malware
CTT Report Hub
#ParsedReport #CompletenessLow 20-01-2026 VoidLink: Evidence That the Era of Advanced AI-Generated Malware Has Begun https://research.checkpoint.com/2026/voidlink-early-ai-generated-malware-framework/ Report completeness: Low Actors/Campaigns: Funksec…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
VoidLink представляет собой первый известный случай продвинутого вредоносного ПО, генерируемого искусственным интеллектом, разработанного главным образом одним человеком с помощью искусственного интеллекта в интегрированной среде разработки. Это вредоносное ПО демонстрирует сложную архитектуру, использующую такие технологии, как руткиты eBPF и LKM, и включает модули для облачного перечисления и использования контейнеров. Процесс его разработки, поддерживаемый разработкой на основе спецификаций и утечкой материалов по планированию, свидетельствует о тревожной легкости тиражирования для злоумышленников-акторов, что потенциально увеличивает сложность и серьезность киберугроз.
-----
VoidLink знаменует собой значительный прогресс в области киберугроз, являясь первым задокументированным случаем вредоносного ПО, созданного продвинутым искусственным интеллектом. Разработанный преимущественно Искусственным интеллектом под руководством одного разработчика, VoidLink демонстрирует скачок в сложности по сравнению с предыдущими примерами вредоносного ПО на основе искусственного интеллекта, которые обычно приписывались неопытным злоумышленникам или производным вариантам существующих инструментов. Операционные сбои в системе безопасности, допущенные разработчиком, выявили материалы, указывающие на то, что разработка VoidLink в основном велась с помощью искусственного интеллекта, а первый функциональный прототип вредоносного ПО был создан менее чем за неделю. Эта возможность подчеркивает, как искусственный интеллект может дать возможность отдельному разработчику создавать очень сложные системы вредоносного ПО, которые ранее требовали скоординированных командных усилий.
Методология разработки, используемая для VoidLink, характеризуется как разработка на основе спецификаций (SDD). Применяя SDD, разработчик сначала изложил спецификации проекта, а затем использовал помощника по искусственному интеллекту, встроенного в интегрированную среду разработки (IDE), ориентированную на искусственный интеллект, под названием TRAE, для создания структурированного, многогранного плана разработки с четкими задачами и конечными результатами. Впоследствии эта документация служила руководством для сквозного выполнения, итерации и тестирования вредоносного ПО.
Функциональные возможности и архитектура VoidLink отличаются своей зрелостью и эффективностью, в них используются такие технологии, как расширенный пакетный фильтр Berkeley (eBPF) и руткиты модуля ядра Linux (LKM). Он также включает модули, предназначенные для облачного перечисления и последующей эксплуатации в контейнерных средах. Эволюцию вредоносного ПО можно проследить с течением времени, пройдя путь от базовой функциональной сборки до комплексной операционной системы, дополненной инфраструктурой управления.
Значительное представление о процессе разработки VoidLink было получено благодаря утечке материалов по планированию, которые включали подробный рабочий план, сохраненный в формате Markdown, раскрывающий структурированные и сложные рекомендации, вероятно, созданные с помощью Large Language Model (LLM). Эта документация не только иллюстрирует подход разработчика, но и подчеркивает потенциальную легкость, с которой другие могли бы воспроизвести такое вредоносное ПО, используя те же инструменты искусственного интеллекта.
Появление VoidLink изменяет ландшафт киберугроз, демонстрируя способности, продвинутый искусственный интеллект, значительно ускорить системные процессы развития, тем самым увеличивая масштаб и тяжесть автоматизации кибератак. Эта тенденция указывает на потенциальное изменение в характере киберугроз, с последствиями для профессионалов в области безопасности, в качестве барьера для производства сложных инструментов была снижена, что позволило менее полноправными субъектами заниматься высокой сложности атаки.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
VoidLink представляет собой первый известный случай продвинутого вредоносного ПО, генерируемого искусственным интеллектом, разработанного главным образом одним человеком с помощью искусственного интеллекта в интегрированной среде разработки. Это вредоносное ПО демонстрирует сложную архитектуру, использующую такие технологии, как руткиты eBPF и LKM, и включает модули для облачного перечисления и использования контейнеров. Процесс его разработки, поддерживаемый разработкой на основе спецификаций и утечкой материалов по планированию, свидетельствует о тревожной легкости тиражирования для злоумышленников-акторов, что потенциально увеличивает сложность и серьезность киберугроз.
-----
VoidLink знаменует собой значительный прогресс в области киберугроз, являясь первым задокументированным случаем вредоносного ПО, созданного продвинутым искусственным интеллектом. Разработанный преимущественно Искусственным интеллектом под руководством одного разработчика, VoidLink демонстрирует скачок в сложности по сравнению с предыдущими примерами вредоносного ПО на основе искусственного интеллекта, которые обычно приписывались неопытным злоумышленникам или производным вариантам существующих инструментов. Операционные сбои в системе безопасности, допущенные разработчиком, выявили материалы, указывающие на то, что разработка VoidLink в основном велась с помощью искусственного интеллекта, а первый функциональный прототип вредоносного ПО был создан менее чем за неделю. Эта возможность подчеркивает, как искусственный интеллект может дать возможность отдельному разработчику создавать очень сложные системы вредоносного ПО, которые ранее требовали скоординированных командных усилий.
Методология разработки, используемая для VoidLink, характеризуется как разработка на основе спецификаций (SDD). Применяя SDD, разработчик сначала изложил спецификации проекта, а затем использовал помощника по искусственному интеллекту, встроенного в интегрированную среду разработки (IDE), ориентированную на искусственный интеллект, под названием TRAE, для создания структурированного, многогранного плана разработки с четкими задачами и конечными результатами. Впоследствии эта документация служила руководством для сквозного выполнения, итерации и тестирования вредоносного ПО.
Функциональные возможности и архитектура VoidLink отличаются своей зрелостью и эффективностью, в них используются такие технологии, как расширенный пакетный фильтр Berkeley (eBPF) и руткиты модуля ядра Linux (LKM). Он также включает модули, предназначенные для облачного перечисления и последующей эксплуатации в контейнерных средах. Эволюцию вредоносного ПО можно проследить с течением времени, пройдя путь от базовой функциональной сборки до комплексной операционной системы, дополненной инфраструктурой управления.
Значительное представление о процессе разработки VoidLink было получено благодаря утечке материалов по планированию, которые включали подробный рабочий план, сохраненный в формате Markdown, раскрывающий структурированные и сложные рекомендации, вероятно, созданные с помощью Large Language Model (LLM). Эта документация не только иллюстрирует подход разработчика, но и подчеркивает потенциальную легкость, с которой другие могли бы воспроизвести такое вредоносное ПО, используя те же инструменты искусственного интеллекта.
Появление VoidLink изменяет ландшафт киберугроз, демонстрируя способности, продвинутый искусственный интеллект, значительно ускорить системные процессы развития, тем самым увеличивая масштаб и тяжесть автоматизации кибератак. Эта тенденция указывает на потенциальное изменение в характере киберугроз, с последствиями для профессионалов в области безопасности, в качестве барьера для производства сложных инструментов была снижена, что позволило менее полноправными субъектами заниматься высокой сложности атаки.
#ParsedReport #CompletenessLow
20-01-2026
ShadowRelay is a unique backdoor in the public sector
https://rt-solar.ru/solar-4rays/blog/6328/
Report completeness: Low
Actors/Campaigns:
Obstinate_mogwai
Webworm
Paper_werewolf
Threats:
Shadowrelay
Deed_rat
Proxyshell_vuln
Antidebugging_technique
Windivert_tool
Shadowpad
Donnect
Process_injection_technique
Victims:
Public sector
Geo:
Asian
CVEs:
CVE-2021-31207 [Vulners]
CVSS V3.1: 6.6,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange_server (2013, 2016, 2019)
CVE-2021-34523 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange_server (2013, 2016, 2019)
CVE-2021-34473 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange_server (2013, 2016, 2019)
TTPs:
ChatGPT TTPs:
T1190
IOCs:
IP: 2
File: 5
Hash: 3
Soft:
Telegram
Algorithms:
sha1, aes, sha256, md5
20-01-2026
ShadowRelay is a unique backdoor in the public sector
https://rt-solar.ru/solar-4rays/blog/6328/
Report completeness: Low
Actors/Campaigns:
Obstinate_mogwai
Webworm
Paper_werewolf
Threats:
Shadowrelay
Deed_rat
Proxyshell_vuln
Antidebugging_technique
Windivert_tool
Shadowpad
Donnect
Process_injection_technique
Victims:
Public sector
Geo:
Asian
CVEs:
CVE-2021-31207 [Vulners]
CVSS V3.1: 6.6,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange_server (2013, 2016, 2019)
CVE-2021-34523 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange_server (2013, 2016, 2019)
CVE-2021-34473 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange_server (2013, 2016, 2019)
TTPs:
ChatGPT TTPs:
do not use without manual checkT1190
IOCs:
IP: 2
File: 5
Hash: 3
Soft:
Telegram
Algorithms:
sha1, aes, sha256, md5
rt-solar.ru
ShadowRelay: новый модульный бэкдор в госсекторе — Анализ Solar 4RAYS
Анализ нового модульного бэкдора ShadowRelay, обнаруженного на скомпрометиро-ванном сервере Exchange. Интеграция с ShadowPad и другими APT-инструментами. Методы противодействия от экспертов Solar 4RAYS
CTT Report Hub
#ParsedReport #CompletenessLow 20-01-2026 ShadowRelay is a unique backdoor in the public sector https://rt-solar.ru/solar-4rays/blog/6328/ Report completeness: Low Actors/Campaigns: Obstinate_mogwai Webworm Paper_werewolf Threats: Shadowrelay Deed_rat…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Бэкдор ShadowRelay, связанный с вариантом Shadowpad Light (Deed RAT), представляет значительную угрозу в государственном секторе, используя уязвимости в серверах Microsoft Exchange через ProxyShell (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207). Модульная конструкция вредоносного ПО позволяет добавлять плагины, отражающие расширенные возможности злоумышленников. Это подчеркивает сохраняющиеся риски, связанные с непатентованными системами, особенно в средах, использующих серверы Exchange, поскольку злоумышленники используют эти уязвимости для сложных операций.
-----
Бэкдор ShadowRelay был идентифицирован как серьезная угроза в государственном секторе, демонстрирующая изощренный метод эксплуатации. Расследования выявили множество зараженных пользовательских систем, связанных с этим вредоносным ПО, в частности вариант Shadowpad Light, широко известный как Deed RAT. Первоначальная точка заражения была прослежена до скомпрометированного сервера Microsoft Exchange, который был использован с помощью серии уязвимостей, известных как ProxyShell. К ним относятся CVE-2021-34473, CVE-2021-34523 и CVE-2021-31207, все из которых по-прежнему активно нацелены на злоумышленников, несмотря на то, что первоначально о них сообщалось в 2021 году.
Эксплуатация этих уязвимостей подчеркивает устойчивый опасность, исходящую от устаревших системах, особенно в серверах Exchange, которые часто служат привлекательным объектом для злоумышленников. Текущие уязвимости является средством многочисленными злоумышленниками для выполнения различных атак, подчеркивая необходимость комплексного управления исправлениями в организационной среде.
В ShadowRelay бэкдор, обнаруженный наряду с другими известными уязвимостями на удаленном сервере Exchange, имеет модульную конструкцию, что позволяет злоумышленникам загрузить различные плагины, которые расширяют его функциональность. Данная модель показывает уровень сложности в возможности злоумышленника, предполагая, что они имеют значительный опыт в вредоносное ПО и развертывания вредоносных программ. Такие передовые технологии позволяют вредоносному ПО адаптироваться к различным операционным требованиям или уклоняться от обнаружения, демонстрируя эволюционирующий характер угроз кибербезопасности, нацеленных на инфраструктуру государственного сектора.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Бэкдор ShadowRelay, связанный с вариантом Shadowpad Light (Deed RAT), представляет значительную угрозу в государственном секторе, используя уязвимости в серверах Microsoft Exchange через ProxyShell (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207). Модульная конструкция вредоносного ПО позволяет добавлять плагины, отражающие расширенные возможности злоумышленников. Это подчеркивает сохраняющиеся риски, связанные с непатентованными системами, особенно в средах, использующих серверы Exchange, поскольку злоумышленники используют эти уязвимости для сложных операций.
-----
Бэкдор ShadowRelay был идентифицирован как серьезная угроза в государственном секторе, демонстрирующая изощренный метод эксплуатации. Расследования выявили множество зараженных пользовательских систем, связанных с этим вредоносным ПО, в частности вариант Shadowpad Light, широко известный как Deed RAT. Первоначальная точка заражения была прослежена до скомпрометированного сервера Microsoft Exchange, который был использован с помощью серии уязвимостей, известных как ProxyShell. К ним относятся CVE-2021-34473, CVE-2021-34523 и CVE-2021-31207, все из которых по-прежнему активно нацелены на злоумышленников, несмотря на то, что первоначально о них сообщалось в 2021 году.
Эксплуатация этих уязвимостей подчеркивает устойчивый опасность, исходящую от устаревших системах, особенно в серверах Exchange, которые часто служат привлекательным объектом для злоумышленников. Текущие уязвимости является средством многочисленными злоумышленниками для выполнения различных атак, подчеркивая необходимость комплексного управления исправлениями в организационной среде.
В ShadowRelay бэкдор, обнаруженный наряду с другими известными уязвимостями на удаленном сервере Exchange, имеет модульную конструкцию, что позволяет злоумышленникам загрузить различные плагины, которые расширяют его функциональность. Данная модель показывает уровень сложности в возможности злоумышленника, предполагая, что они имеют значительный опыт в вредоносное ПО и развертывания вредоносных программ. Такие передовые технологии позволяют вредоносному ПО адаптироваться к различным операционным требованиям или уклоняться от обнаружения, демонстрируя эволюционирующий характер угроз кибербезопасности, нацеленных на инфраструктуру государственного сектора.
#ParsedReport #CompletenessHigh
20-01-2026
Don't Judge a PNG by Its Header: PURELOGS Infostealer Analysis
https://www.swisspost-cybersecurity.ch/news/purelogs-infostealer-analysis-dont-judge-a-png-by-its-header
Report completeness: High
Actors/Campaigns:
Hive0131
Purecoder
Threats:
Purelogs
Polyglot_ransomware
Vmdetectloader
Process_injection_technique
Runpe_tool
Process_hollowing_technique
Dotnet_reactor_tool
Purerat
Blueloader
Purecryptor
Confuserex_tool
Clickfix_technique
Ngrok_tool
Victims:
General users, Browsers, Cryptocurrency wallet users
Industry:
Education, Petroleum, Healthcare
Geo:
American, Portuguese
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027, T1036, T1055.012, T1059.001, T1059.007, T1105, T1140, T1566.001, T1620
IOCs:
File: 3
Url: 3
IP: 2
Hash: 5
Soft:
Windows scripting engine, NET Framework, NET-Reactor, Telegram, NET Reactor, Chromium, Google Chrome, Microsoft Edge, Opera, Firefox, Yandex Browser, have more...
Wallets:
bitcoincore, electrum, exodus_wallet, metamask
Crypto:
monero, binance
Algorithms:
gzip, base64, des, 3des, xor, md5, aes, zip, aes-256-gcm, sha256
Functions:
DownloadString, DownloadFile, CreateDecryptor
Win API:
decompress, CryptUnprotectData
Languages:
powershell, jscript, javascript
20-01-2026
Don't Judge a PNG by Its Header: PURELOGS Infostealer Analysis
https://www.swisspost-cybersecurity.ch/news/purelogs-infostealer-analysis-dont-judge-a-png-by-its-header
Report completeness: High
Actors/Campaigns:
Hive0131
Purecoder
Threats:
Purelogs
Polyglot_ransomware
Vmdetectloader
Process_injection_technique
Runpe_tool
Process_hollowing_technique
Dotnet_reactor_tool
Purerat
Blueloader
Purecryptor
Confuserex_tool
Clickfix_technique
Ngrok_tool
Victims:
General users, Browsers, Cryptocurrency wallet users
Industry:
Education, Petroleum, Healthcare
Geo:
American, Portuguese
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027, T1036, T1055.012, T1059.001, T1059.007, T1105, T1140, T1566.001, T1620
IOCs:
File: 3
Url: 3
IP: 2
Hash: 5
Soft:
Windows scripting engine, NET Framework, NET-Reactor, Telegram, NET Reactor, Chromium, Google Chrome, Microsoft Edge, Opera, Firefox, Yandex Browser, have more...
Wallets:
bitcoincore, electrum, exodus_wallet, metamask
Crypto:
monero, binance
Algorithms:
gzip, base64, des, 3des, xor, md5, aes, zip, aes-256-gcm, sha256
Functions:
DownloadString, DownloadFile, CreateDecryptor
Win API:
decompress, CryptUnprotectData
Languages:
powershell, jscript, javascript
www.swisspost-cybersecurity.ch
Don't Judge a PNG by Its Header: PURELOGS Infostealer Analysis
Swiss Post Cybersecurity traced a suspicious JavaScript file to a stealthy PURELOGS stealer that hides its payload within a PNG file.
CTT Report Hub
#ParsedReport #CompletenessHigh 20-01-2026 Don't Judge a PNG by Its Header: PURELOGS Infostealer Analysis https://www.swisspost-cybersecurity.ch/news/purelogs-infostealer-analysis-dont-judge-a-png-by-its-header Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания стиллера PURELOGS запускается с помощью фишингов электронного письма с файлом JavaScript, замаскированным под счет-фактуру, что позволяет доставлять вредоносное ПО через ZIP-архив. Он использует скрипт PowerShell для загрузки доброкачественного файла PNG с archive.org , использующий загрузчик на базе .NET, VMDetectLoader, с методами Внедрения в пустой процесс для ввода полезной нагрузки. Последний компонент стиллера, который использует устаревшее шифрование 3DES, работает без файлов для сбора конфиденциальных данных из веб-браузеров и криптовалютных кошельков, подчеркивая широкую доступность товарного вредоносного ПО в киберпреступности.
-----
Кампания стиллера PURELOGS - это изощренный вектор атаки, который начинается с фишинга электронного письма, содержащего файл JavaScript, замаскированный под счет-фактуру. Это служит точкой первоначального доступа для вредоносного ПО, которое поставляется в ZIP-архиве. Затем вредоносное ПО использует скрипт PowerShell для загрузки, казалось бы, безобидного изображения в формате PNG, размещенного на авторитетном сайте, archive.org , чтобы избежать обнаружения.
Процесс продолжается с использованием модульного загрузчика на базе .NET, называемого VMDetectLoader. Он отвечает за запуск следующих этапов вредоносного ПО, которые управляются с помощью определенных аргументов на начальном этапе PowerShell. Одним из примечательных аспектов атаки является реализация хорошо известной техники, называемой RunPE, или Внедрение в пустой процесс, которая позволяет загрузчику вводить полезную нагрузку в легитимный процесс.
Вводят полезная нагрузка представляет собой образец .Чистая распаковщика, который предназначен для расшифровки и выполнения окончательной Стиллер программы в памяти. Этот окончательной сборки используются устаревшие тройной DES (3DES, то) алгоритм шифрования, вероятно, чтобы избежать обнаружения с помощью современных средств безопасности, что в первую очередь сосредоточиться на более современных стандартов, таких как АЭС. После полной расшифровки вредоносное ПО работают .Чистая рефлексия на выполнение, достижение модель выполнения fileless.
После ввода в эксплуатацию стиллер PURELOGS способен собирать конфиденциальную информацию, в частности, ориентируясь на различные веб-браузеры и криптовалютные приложения. В нем используется модульный подход со специализированными модулями, предназначенными для извлечения данных из таких браузеров, как Chrome и Edge, а также более 30 различных настольных криптовалютных кошельков. Стиллер систематически проверяет общие каталоги установки и расположения реестра на наличие файлов кошелька, чтобы извлечь ценные данные.
PURELOGS демонстрирует адаптивность товарной вредоносное ПО в текущий ландшафт угроз, используя практические способы уклонения от уплаты на протяжении всей своей многоступенчатой инфекционного процесса. Несмотря на отсутствие инновационных функций, она работает на высокой громкости модели, затрагивающих многочисленными жертвами, а не конкретных высокопоставленных лиц. Эта акция подчеркивает экономический аспект киберпреступности, где успех полностью зависит от огромного числа инфекций, нежели качество каждого отдельного нарушения. При доступной цене примерно $150 в месяц для субъектов опасный, PURELOGS демонстрирует тревожную тенденцию в наличии и эффективность кибер-угроз, созданных для широкого воздействие.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Кампания стиллера PURELOGS запускается с помощью фишингов электронного письма с файлом JavaScript, замаскированным под счет-фактуру, что позволяет доставлять вредоносное ПО через ZIP-архив. Он использует скрипт PowerShell для загрузки доброкачественного файла PNG с archive.org , использующий загрузчик на базе .NET, VMDetectLoader, с методами Внедрения в пустой процесс для ввода полезной нагрузки. Последний компонент стиллера, который использует устаревшее шифрование 3DES, работает без файлов для сбора конфиденциальных данных из веб-браузеров и криптовалютных кошельков, подчеркивая широкую доступность товарного вредоносного ПО в киберпреступности.
-----
Кампания стиллера PURELOGS - это изощренный вектор атаки, который начинается с фишинга электронного письма, содержащего файл JavaScript, замаскированный под счет-фактуру. Это служит точкой первоначального доступа для вредоносного ПО, которое поставляется в ZIP-архиве. Затем вредоносное ПО использует скрипт PowerShell для загрузки, казалось бы, безобидного изображения в формате PNG, размещенного на авторитетном сайте, archive.org , чтобы избежать обнаружения.
Процесс продолжается с использованием модульного загрузчика на базе .NET, называемого VMDetectLoader. Он отвечает за запуск следующих этапов вредоносного ПО, которые управляются с помощью определенных аргументов на начальном этапе PowerShell. Одним из примечательных аспектов атаки является реализация хорошо известной техники, называемой RunPE, или Внедрение в пустой процесс, которая позволяет загрузчику вводить полезную нагрузку в легитимный процесс.
Вводят полезная нагрузка представляет собой образец .Чистая распаковщика, который предназначен для расшифровки и выполнения окончательной Стиллер программы в памяти. Этот окончательной сборки используются устаревшие тройной DES (3DES, то) алгоритм шифрования, вероятно, чтобы избежать обнаружения с помощью современных средств безопасности, что в первую очередь сосредоточиться на более современных стандартов, таких как АЭС. После полной расшифровки вредоносное ПО работают .Чистая рефлексия на выполнение, достижение модель выполнения fileless.
После ввода в эксплуатацию стиллер PURELOGS способен собирать конфиденциальную информацию, в частности, ориентируясь на различные веб-браузеры и криптовалютные приложения. В нем используется модульный подход со специализированными модулями, предназначенными для извлечения данных из таких браузеров, как Chrome и Edge, а также более 30 различных настольных криптовалютных кошельков. Стиллер систематически проверяет общие каталоги установки и расположения реестра на наличие файлов кошелька, чтобы извлечь ценные данные.
PURELOGS демонстрирует адаптивность товарной вредоносное ПО в текущий ландшафт угроз, используя практические способы уклонения от уплаты на протяжении всей своей многоступенчатой инфекционного процесса. Несмотря на отсутствие инновационных функций, она работает на высокой громкости модели, затрагивающих многочисленными жертвами, а не конкретных высокопоставленных лиц. Эта акция подчеркивает экономический аспект киберпреступности, где успех полностью зависит от огромного числа инфекций, нежели качество каждого отдельного нарушения. При доступной цене примерно $150 в месяц для субъектов опасный, PURELOGS демонстрирует тревожную тенденцию в наличии и эффективность кибер-угроз, созданных для широкого воздействие.
#ParsedReport #CompletenessMedium
20-01-2026
Dark Web Profile: APT28
https://socradar.io/blog/dark-web-profile-apt28/
Report completeness: Medium
Actors/Campaigns:
Fancy_bear (motivation: information_theft, cyber_espionage, financially_motivated)
Threats:
Spear-phishing_technique
Password_spray_technique
Lamehug_tool
Credential_harvesting_technique
Authentic_antics
Com_hijacking_technique
Timestomp_technique
Credential_dumping_technique
Eviltwin_technique
Aitm_technique
Passthehash_technique
Victims:
Government, Research, Critical services, Logistics entities, Technology companies, Parliament
Industry:
Transport, Education, Logistic, Energy, Military, Government, Aerospace
Geo:
France, Georgia, Norway, Germany, America, German, Ukraine, Russia, Poland, Ukrainian, Canada, French, United kingdom, Kazakhstan, Asia, Russian
CVEs:
CVE-2017-6742 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco ios (le12.4, le15.6)
- cisco ios_xe (le3.17)
CVE-2023-23397 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft 365_apps (-)
- microsoft office (2019)
- microsoft office_long_term_servicing_channel (2021)
- microsoft outlook (2013, 2016)
TTPs:
Tactics: 14
Technics: 97
Soft:
Component Object Model
Algorithms:
zip
Languages:
powershell
20-01-2026
Dark Web Profile: APT28
https://socradar.io/blog/dark-web-profile-apt28/
Report completeness: Medium
Actors/Campaigns:
Fancy_bear (motivation: information_theft, cyber_espionage, financially_motivated)
Threats:
Spear-phishing_technique
Password_spray_technique
Lamehug_tool
Credential_harvesting_technique
Authentic_antics
Com_hijacking_technique
Timestomp_technique
Credential_dumping_technique
Eviltwin_technique
Aitm_technique
Passthehash_technique
Victims:
Government, Research, Critical services, Logistics entities, Technology companies, Parliament
Industry:
Transport, Education, Logistic, Energy, Military, Government, Aerospace
Geo:
France, Georgia, Norway, Germany, America, German, Ukraine, Russia, Poland, Ukrainian, Canada, French, United kingdom, Kazakhstan, Asia, Russian
CVEs:
CVE-2017-6742 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco ios (le12.4, le15.6)
- cisco ios_xe (le3.17)
CVE-2023-23397 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft 365_apps (-)
- microsoft office (2019)
- microsoft office_long_term_servicing_channel (2021)
- microsoft outlook (2013, 2016)
TTPs:
Tactics: 14
Technics: 97
Soft:
Component Object Model
Algorithms:
zip
Languages:
powershell
SOCRadar® Cyber Intelligence Inc.
Dark Web Profile: APT28
APT28 is one of the most tracked state-linked intrusion sets because its activity often aligns with major geopolitical events and long-running espionage