#ParsedReport #CompletenessMedium
22-03-2026
Government of Iran Cyber Actors Deploy Telegram C2 to Push Malware to Identified Targets
https://www.ic3.gov/CSA/2026/260320.pdf
Report completeness: Medium
Actors/Campaigns:
Handala-hacking-team (motivation: information_theft)
Void_manticore
Victims:
Iranian dissidents, Journalists, Opposition groups, Civil society, Media
Industry:
Government
Geo:
Iran, Iranian, Middle east
TTPs:
Tactics: 4
Technics: 0
IOCs:
File: 5
Hash: 12
Soft:
Telegram, KeePass, Zoom, Windows registry
Algorithms:
md5, zip
Functions:
Zoom
Languages:
python, powershell
22-03-2026
Government of Iran Cyber Actors Deploy Telegram C2 to Push Malware to Identified Targets
https://www.ic3.gov/CSA/2026/260320.pdf
Report completeness: Medium
Actors/Campaigns:
Handala-hacking-team (motivation: information_theft)
Void_manticore
Victims:
Iranian dissidents, Journalists, Opposition groups, Civil society, Media
Industry:
Government
Geo:
Iran, Iranian, Middle east
TTPs:
Tactics: 4
Technics: 0
IOCs:
File: 5
Hash: 12
Soft:
Telegram, KeePass, Zoom, Windows registry
Algorithms:
md5, zip
Functions:
Zoom
Languages:
python, powershell
CTT Report Hub
#ParsedReport #CompletenessMedium 22-03-2026 Government of Iran Cyber Actors Deploy Telegram C2 to Push Malware to Identified Targets https://www.ic3.gov/CSA/2026/260320.pdf Report completeness: Medium Actors/Campaigns: Handala-hacking-team (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Иранские кибер-акторы, связанные с Министерством разведки и безопасности (MOIS), использовали Телеграм в качестве канала управления для развертывания многоэтапного вредоносного ПО, нацеленного на диссидентов и журналистов, причем операции, оцененные ФБР как преднамеренный сбор разведывательных данных. Вредоносное ПО, разработанное для Windows, использует методы социальной инженерии, Маскировки под законные приложения для запроса загрузки, а затем устанавливает удаленный доступ через ботов Телеграм. Эта кампания включает в себя возможности для эксфильтрации данных и проникновения в систему, включая захват видео и аудио с онлайн-собраний, при этом используются методы, позволяющие избежать обнаружения антивирусом и обеспечить постоянный доступ.
-----
Иранские кибер-акторы, связанные с Министерством разведки и безопасности (MOIS), использовали Телеграм в качестве механизма управления (C2) для развертывания вредоносного ПО, нацеленного на лиц, которых иранское правительство считает представляющими угрозу, включая диссидентов и журналистов. Эта вредоносная деятельность была оценена ФБР как преднамеренный сбор разведывательных данных, приводящий к утечке данных и ущербу репутации пострадавших сторон. Начиная с осени 2023 года, многочисленные версии вредоносного ПО, специально разработанного для операционных систем Windows, использовались против целого ряда жертв, демонстрируя стратегическую адаптацию кибертактики в контексте растущей геополитической напряженности.
Вредоносная кампания включает в себя многоэтапную загрузку, где начальный этап маскируется под обычные приложения, такие как Pictory и KeePass, чтобы обмануть жертв. Тактика социальной инженерии используется для того, чтобы побудить цели невольно загрузить и выполнить этот этап, который затем активирует постоянный имплантат, облегчающий удаленный доступ через ботов Телеграм. Этот двухэтапный подход позволяет акторам получать конфиденциальные данные путем эксфильтрации файлов и записи действий на экране из систем компрометации.
В примечательном случае в июле 2025 года организация, известная как Handala Hack, взяла на себя ответственность за операции, которые включали взлом и утечку информации от лиц, выражающих несогласные взгляды на ситуацию в Иране. Эта группа была связана с различными вредоносными действиями, включая фишинг и внедрение вредоносного ПО wiper, что расширяло оперативные возможности кибер-акторов MOIS.
Образцы вредоносного ПО, проанализированные ФБР, были разделены на отдельные фазы: первоначальная Маскировка вредоносного ПО и последующее постоянное внедрение. Вредоносное ПО-Маскировка предназначено для того, чтобы избежать обнаружения и закрепиться на устройстве жертвы с последующей установкой постоянного вредоносного ПО, которое обеспечивает долгосрочный доступ. Эти возможности позволяют злоумышленникам осуществлять обширную эксфильтрацию данных, включая захват видео и аудио с онлайн-собраний и сжатие конфиденциальных файлов для передачи обратно на сервер C2.
Эффективный первоначальный доступ основан на социальной инженерии, позволяющей убедить пользователей запустить Вредоносные файлы, которые тщательно адаптированы к распорядку дня жертвы, чтобы повысить вероятность принятия. Дополнительные проблемы с безопасностью возникают из-за способности вредоносного ПО выполнять обходные маневры, такие как исключение определенных каталогов, чтобы избежать обнаружения антивирусными системами, и внесение изменений в реестр, чтобы гарантировать его запуск при запуске системы.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Иранские кибер-акторы, связанные с Министерством разведки и безопасности (MOIS), использовали Телеграм в качестве канала управления для развертывания многоэтапного вредоносного ПО, нацеленного на диссидентов и журналистов, причем операции, оцененные ФБР как преднамеренный сбор разведывательных данных. Вредоносное ПО, разработанное для Windows, использует методы социальной инженерии, Маскировки под законные приложения для запроса загрузки, а затем устанавливает удаленный доступ через ботов Телеграм. Эта кампания включает в себя возможности для эксфильтрации данных и проникновения в систему, включая захват видео и аудио с онлайн-собраний, при этом используются методы, позволяющие избежать обнаружения антивирусом и обеспечить постоянный доступ.
-----
Иранские кибер-акторы, связанные с Министерством разведки и безопасности (MOIS), использовали Телеграм в качестве механизма управления (C2) для развертывания вредоносного ПО, нацеленного на лиц, которых иранское правительство считает представляющими угрозу, включая диссидентов и журналистов. Эта вредоносная деятельность была оценена ФБР как преднамеренный сбор разведывательных данных, приводящий к утечке данных и ущербу репутации пострадавших сторон. Начиная с осени 2023 года, многочисленные версии вредоносного ПО, специально разработанного для операционных систем Windows, использовались против целого ряда жертв, демонстрируя стратегическую адаптацию кибертактики в контексте растущей геополитической напряженности.
Вредоносная кампания включает в себя многоэтапную загрузку, где начальный этап маскируется под обычные приложения, такие как Pictory и KeePass, чтобы обмануть жертв. Тактика социальной инженерии используется для того, чтобы побудить цели невольно загрузить и выполнить этот этап, который затем активирует постоянный имплантат, облегчающий удаленный доступ через ботов Телеграм. Этот двухэтапный подход позволяет акторам получать конфиденциальные данные путем эксфильтрации файлов и записи действий на экране из систем компрометации.
В примечательном случае в июле 2025 года организация, известная как Handala Hack, взяла на себя ответственность за операции, которые включали взлом и утечку информации от лиц, выражающих несогласные взгляды на ситуацию в Иране. Эта группа была связана с различными вредоносными действиями, включая фишинг и внедрение вредоносного ПО wiper, что расширяло оперативные возможности кибер-акторов MOIS.
Образцы вредоносного ПО, проанализированные ФБР, были разделены на отдельные фазы: первоначальная Маскировка вредоносного ПО и последующее постоянное внедрение. Вредоносное ПО-Маскировка предназначено для того, чтобы избежать обнаружения и закрепиться на устройстве жертвы с последующей установкой постоянного вредоносного ПО, которое обеспечивает долгосрочный доступ. Эти возможности позволяют злоумышленникам осуществлять обширную эксфильтрацию данных, включая захват видео и аудио с онлайн-собраний и сжатие конфиденциальных файлов для передачи обратно на сервер C2.
Эффективный первоначальный доступ основан на социальной инженерии, позволяющей убедить пользователей запустить Вредоносные файлы, которые тщательно адаптированы к распорядку дня жертвы, чтобы повысить вероятность принятия. Дополнительные проблемы с безопасностью возникают из-за способности вредоносного ПО выполнять обходные маневры, такие как исключение определенных каталогов, чтобы избежать обнаружения антивирусными системами, и внесение изменений в реестр, чтобы гарантировать его запуск при запуске системы.
#ParsedReport #CompletenessLow
22-03-2026
Hackers Compromise Trivy Scanner to Inject malicious Scripts and Steal Login Credentials
https://cybersecuritynews.com/malicious-script-injection-in-trivy/
Report completeness: Low
Actors/Campaigns:
Teampcp
Threats:
Supply_chain_technique
Typosquatting_technique
Victims:
Ci cd pipelines, Software development, Cloud services
ChatGPT TTPs:
T1005, T1036, T1041, T1059.004, T1059.006, T1083, T1119, T1195.001, T1548.003, T1552.001, have more...
IOCs:
File: 4
Domain: 1
Soft:
Trivy, sudo, Linux, Docker
Algorithms:
rsa-4096, aes-256-cbc
Languages:
python
22-03-2026
Hackers Compromise Trivy Scanner to Inject malicious Scripts and Steal Login Credentials
https://cybersecuritynews.com/malicious-script-injection-in-trivy/
Report completeness: Low
Actors/Campaigns:
Teampcp
Threats:
Supply_chain_technique
Typosquatting_technique
Victims:
Ci cd pipelines, Software development, Cloud services
ChatGPT TTPs:
do not use without manual checkT1005, T1036, T1041, T1059.004, T1059.006, T1083, T1119, T1195.001, T1548.003, T1552.001, have more...
IOCs:
File: 4
Domain: 1
Soft:
Trivy, sudo, Linux, Docker
Algorithms:
rsa-4096, aes-256-cbc
Languages:
python
Cyber Security News
Hackers Compromise Trivy Scanner to Inject malicious Scripts and Steal Login Credentials
A sophisticated supply chain attack targeting the official Trivy GitHub Action (aquasecurity/trivy-action) has compromised continuous integration and continuous deployment (CI/CD) pipelines globally.
CTT Report Hub
#ParsedReport #CompletenessLow 22-03-2026 Hackers Compromise Trivy Scanner to Inject malicious Scripts and Steal Login Credentials https://cybersecuritynews.com/malicious-script-injection-in-trivy/ Report completeness: Low Actors/Campaigns: Teampcp Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В конце марта 2026 года атака supply chain использовала действие Trivy на GitHub с помощью метода отравления тегов, скомпрометировав 75 тегов версий, чтобы внедрить вредоносный стиллер с именем TeamPCP Cloud. Вредоносное ПО использует трехэтапный процесс для целенаправленного сбора, надежного шифрования и скрытой эксфильтрации конфиденциальных данных, используя sudo без пароля в запущенных системах, размещенных на GitHub, и скрипт на Python в автономных средах. Он собирает критически важную информацию с таких платформ, как GitHub, AWS и Azure, выявляя уязвимости в процессах CI/CD.
-----
В конце марта 2026 года была выявлена серьезная атака на supply chain, нацеленная на официальное действие Trivy на GitHub (aquasecurity/trivy-action), которая имеет критические последствия для процессов непрерывной интеграции и непрерывного развертывания (CI/CD) по всему миру. В атаке участвовали злоумышленники, которые использовали сложную стратегию отравления тегов, успешно принудительно внедрив 75 из 76 тегов версий, чтобы внедрить вредоносный стиллер в конвейеры CI/CD. Учитывая, что более 10 000 файлов рабочего процесса GitHub использовали это действие, вероятность кражи учетных данных была велика.
Компрометация включала создание вредоносных коммитов, имитирующих законные метаданные Git, включая имена авторов и сообщения о фиксации, что скрывало вредоносные изменения в журналах репозитория. Примечательно, что единственная нетронутая версия, @0.35.0, остается защищенным тегом. Внедренный скрипт с именем entrypoint.sh , предназначен для выполнения своей вредоносной полезной нагрузки перед запуском законного простого сканирования, что позволяет ему легко сочетаться с типичными операциями.
Этот стиллер информации работает в три ключевых этапа: целенаправленный сбор, надежное шифрование и скрытая эксфильтрация. На этапе сбора он специально ориентирован на пользователей, размещенных на GitHub, и на самостоятельных пользователей. В средах, размещенных на GitHub, вредоносное ПО использует привилегии sudo без пароля для доступа и извлечения секретов из Runner.Память рабочего процесса. И наоборот, в автономных runners используется подробный скрипт на Python, который сканирует файловую систему на наличие конфиденциальной информации в различных каталогах.
Процесс эксфильтрации осуществляется с помощью POST-запроса HTTPS, направленного на домен с typosquatted (scan.aquasecurtiy.org ), что имеет решающее значение для получения злоумышленниками украденных данных. Вредоносное ПО, идентифицированное как TeamPCP Cloud stealer, признано в ландшафте угроз, основанном на облачных технологиях, как злоумышленник, известный тем, что использует неправильно сконфигурированную инфраструктуру, часто внедряя программы-вымогатели и операции по криптомайнингу.
Примечательно, что целевые данные для извлечения включают конфиденциальную информацию с таких платформ, как GitHub, AWS и Azure, охватывающую ключевые файлы, такие как SSH-ключи (id_rsa, authorized_keys), учетные данные Git (.git-учетные данные), файлы конфигурации, относящиеся к конвейерам CI/CD (terraform.tfstate, .docker/config.json) и файлы окружения (варианты .env). Последствия этого инцидента для безопасности подчеркивают уязвимости в экосистемах CI/CD и настоятельную необходимость усиления мер защиты от таких сложных атак по Цепочке поставок.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В конце марта 2026 года атака supply chain использовала действие Trivy на GitHub с помощью метода отравления тегов, скомпрометировав 75 тегов версий, чтобы внедрить вредоносный стиллер с именем TeamPCP Cloud. Вредоносное ПО использует трехэтапный процесс для целенаправленного сбора, надежного шифрования и скрытой эксфильтрации конфиденциальных данных, используя sudo без пароля в запущенных системах, размещенных на GitHub, и скрипт на Python в автономных средах. Он собирает критически важную информацию с таких платформ, как GitHub, AWS и Azure, выявляя уязвимости в процессах CI/CD.
-----
В конце марта 2026 года была выявлена серьезная атака на supply chain, нацеленная на официальное действие Trivy на GitHub (aquasecurity/trivy-action), которая имеет критические последствия для процессов непрерывной интеграции и непрерывного развертывания (CI/CD) по всему миру. В атаке участвовали злоумышленники, которые использовали сложную стратегию отравления тегов, успешно принудительно внедрив 75 из 76 тегов версий, чтобы внедрить вредоносный стиллер в конвейеры CI/CD. Учитывая, что более 10 000 файлов рабочего процесса GitHub использовали это действие, вероятность кражи учетных данных была велика.
Компрометация включала создание вредоносных коммитов, имитирующих законные метаданные Git, включая имена авторов и сообщения о фиксации, что скрывало вредоносные изменения в журналах репозитория. Примечательно, что единственная нетронутая версия, @0.35.0, остается защищенным тегом. Внедренный скрипт с именем entrypoint.sh , предназначен для выполнения своей вредоносной полезной нагрузки перед запуском законного простого сканирования, что позволяет ему легко сочетаться с типичными операциями.
Этот стиллер информации работает в три ключевых этапа: целенаправленный сбор, надежное шифрование и скрытая эксфильтрация. На этапе сбора он специально ориентирован на пользователей, размещенных на GitHub, и на самостоятельных пользователей. В средах, размещенных на GitHub, вредоносное ПО использует привилегии sudo без пароля для доступа и извлечения секретов из Runner.Память рабочего процесса. И наоборот, в автономных runners используется подробный скрипт на Python, который сканирует файловую систему на наличие конфиденциальной информации в различных каталогах.
Процесс эксфильтрации осуществляется с помощью POST-запроса HTTPS, направленного на домен с typosquatted (scan.aquasecurtiy.org ), что имеет решающее значение для получения злоумышленниками украденных данных. Вредоносное ПО, идентифицированное как TeamPCP Cloud stealer, признано в ландшафте угроз, основанном на облачных технологиях, как злоумышленник, известный тем, что использует неправильно сконфигурированную инфраструктуру, часто внедряя программы-вымогатели и операции по криптомайнингу.
Примечательно, что целевые данные для извлечения включают конфиденциальную информацию с таких платформ, как GitHub, AWS и Azure, охватывающую ключевые файлы, такие как SSH-ключи (id_rsa, authorized_keys), учетные данные Git (.git-учетные данные), файлы конфигурации, относящиеся к конвейерам CI/CD (terraform.tfstate, .docker/config.json) и файлы окружения (варианты .env). Последствия этого инцидента для безопасности подчеркивают уязвимости в экосистемах CI/CD и настоятельную необходимость усиления мер защиты от таких сложных атак по Цепочке поставок.
#ParsedReport #CompletenessLow
21-03-2026
Observed Telegram Bot Naming Patterns in Recent MuddyWater Malware Activity
https://blog.synapticsystems.de/observed-telegram-bot-naming-patterns-in-recent-muddywater-malware-activity/
Report completeness: Low
Actors/Campaigns:
Muddywater
Threats:
Lamporat
ChatGPT TTPs:
T1041, T1059.003, T1071.001, T1102.003
IOCs:
Hash: 1
Soft:
Telegram, Windows shell, curl
Algorithms:
sha256
Platforms:
apple
21-03-2026
Observed Telegram Bot Naming Patterns in Recent MuddyWater Malware Activity
https://blog.synapticsystems.de/observed-telegram-bot-naming-patterns-in-recent-muddywater-malware-activity/
Report completeness: Low
Actors/Campaigns:
Muddywater
Threats:
Lamporat
ChatGPT TTPs:
do not use without manual checkT1041, T1059.003, T1071.001, T1102.003
IOCs:
Hash: 1
Soft:
Telegram, Windows shell, curl
Algorithms:
sha256
Platforms:
apple
Synaptic Security Blog
Observed Telegram Bot Naming Patterns in Recent MuddyWater Malware Activity - Synaptic Security Blog
by Robin Dost I recently took a look at the wave of MuddyWater malware samples from 2026 and came across something interesting I wanted to share. The sample I analyzed (SHA256: “81a6e6416eb7ab6ce6367c6102c031e2ae2730c3c50ab9ce0b8668fec3487848“) turns out…
CTT Report Hub
#ParsedReport #CompletenessLow 21-03-2026 Observed Telegram Bot Naming Patterns in Recent MuddyWater Malware Activity https://blog.synapticsystems.de/observed-telegram-bot-naming-patterns-in-recent-muddywater-malware-activity/ Report completeness: Low …
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние действия, связанные с вредоносным ПО MuddyWater, свидетельствуют об использовании Телеграм в качестве канала управления с помощью Троянской программы для удаленного доступа LampoRAT. Это вредоносное ПО использует API-интерфейс Телеграм-бота для выполнения команд через оболочку Windows и сообщает о результатах злоумышленникам, что делает обмен данными менее обнаруживаемым за счет использования законного HTTPS-трафика. Анализ соглашений об именовании ботов Телеграм, связанных с вредоносным ПО, указывает на систематическую схему отслеживания этих угроз, подчеркивающую инновационный подход к децентрализованной инфраструктуре C2.
-----
Недавние действия, связанные с вредоносным ПО MuddyWater, привлекли внимание к использованию Телеграм в качестве канала управления (C2), в частности, с помощью Троянской программы удаленного доступа (RAT), известной как LampoRAT. Это вредоносное ПО работает, используя API-интерфейс Телеграм-бота для локального выполнения команд через оболочку Windows, с результатами, отправляемыми злоумышленникам через приложение Телеграм. Этот подход использует законный трафик HTTPS, делая вредоносные сообщения менее обнаруживаемыми по сравнению с традиционными инфраструктурами C2.
В ходе анализа различных образцов вредоносного ПО MuddyWater было сделано важное замечание относительно шаблонов соглашений об именовании ботов Телеграм. Исследователи каталогизировали несколько ботов Телеграм, связанных с операцией, отметив, что, хотя идентификаторы ботов обычно последовательно увеличиваются, числовой порядок имен ботов не совпадал с их соответствующими идентификаторами. Это несоответствие говорит о том, что существует систематическая схема присвоения имен, которую можно было бы отслеживать для отслеживания и прогнозирующего анализа этих угроз.
Анализ выявил целый ряд ботов, у каждого из которых были соответствующие идентификаторы в Телеграм и индикаторы статуса, показывающие, были ли они все еще активны. Очевидное отсутствие необходимости в учетной записи Телеграм для работы позволяет злоумышленникам использовать веб-интерфейс сервиса, что еще больше усложняет усилия по обнаружению. Этот метод использования ботов Телеграм для инфраструктуры C2 указывает на переход к более изобретательным и децентрализованным методам коммуникации в рамках операций по борьбе с киберугрозами.
Для принятия мер по обнаружению и предотвращению предлагается отслеживать использование API Телеграм на предмет любых необычных шаблонов, связанных с подозрительными схемами именования ботов. Существует возможность блокировать известную инфраструктуру, наблюдая за типами запросов, генерируемых RAT, тем самым устанавливая превентивные защитные стратегии.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Недавние действия, связанные с вредоносным ПО MuddyWater, свидетельствуют об использовании Телеграм в качестве канала управления с помощью Троянской программы для удаленного доступа LampoRAT. Это вредоносное ПО использует API-интерфейс Телеграм-бота для выполнения команд через оболочку Windows и сообщает о результатах злоумышленникам, что делает обмен данными менее обнаруживаемым за счет использования законного HTTPS-трафика. Анализ соглашений об именовании ботов Телеграм, связанных с вредоносным ПО, указывает на систематическую схему отслеживания этих угроз, подчеркивающую инновационный подход к децентрализованной инфраструктуре C2.
-----
Недавние действия, связанные с вредоносным ПО MuddyWater, привлекли внимание к использованию Телеграм в качестве канала управления (C2), в частности, с помощью Троянской программы удаленного доступа (RAT), известной как LampoRAT. Это вредоносное ПО работает, используя API-интерфейс Телеграм-бота для локального выполнения команд через оболочку Windows, с результатами, отправляемыми злоумышленникам через приложение Телеграм. Этот подход использует законный трафик HTTPS, делая вредоносные сообщения менее обнаруживаемыми по сравнению с традиционными инфраструктурами C2.
В ходе анализа различных образцов вредоносного ПО MuddyWater было сделано важное замечание относительно шаблонов соглашений об именовании ботов Телеграм. Исследователи каталогизировали несколько ботов Телеграм, связанных с операцией, отметив, что, хотя идентификаторы ботов обычно последовательно увеличиваются, числовой порядок имен ботов не совпадал с их соответствующими идентификаторами. Это несоответствие говорит о том, что существует систематическая схема присвоения имен, которую можно было бы отслеживать для отслеживания и прогнозирующего анализа этих угроз.
Анализ выявил целый ряд ботов, у каждого из которых были соответствующие идентификаторы в Телеграм и индикаторы статуса, показывающие, были ли они все еще активны. Очевидное отсутствие необходимости в учетной записи Телеграм для работы позволяет злоумышленникам использовать веб-интерфейс сервиса, что еще больше усложняет усилия по обнаружению. Этот метод использования ботов Телеграм для инфраструктуры C2 указывает на переход к более изобретательным и децентрализованным методам коммуникации в рамках операций по борьбе с киберугрозами.
Для принятия мер по обнаружению и предотвращению предлагается отслеживать использование API Телеграм на предмет любых необычных шаблонов, связанных с подозрительными схемами именования ботов. Существует возможность блокировать известную инфраструктуру, наблюдая за типами запросов, генерируемых RAT, тем самым устанавливая превентивные защитные стратегии.
#ParsedReport #CompletenessMedium
22-03-2026
Oblivion RAT - An Android Spyware Platform With a Built-In APK Factory
https://iverify.io/blog/oblivion-rat-android-spyware-analysis
Report completeness: Medium
Threats:
Oblivion_rat
Victims:
Android users, Banking, Cryptocurrency, Marketplaces, Microfinance, Government
Industry:
Government, E-commerce, Financial
Geo:
Russian
TTPs:
Tactics: 2
Technics: 8
IOCs:
File: 1
IP: 5
Hash: 3
Soft:
Android, Google Play, apktool
Algorithms:
base64, xor, aes, zip, deflate
Languages:
python
22-03-2026
Oblivion RAT - An Android Spyware Platform With a Built-In APK Factory
https://iverify.io/blog/oblivion-rat-android-spyware-analysis
Report completeness: Medium
Threats:
Oblivion_rat
Victims:
Android users, Banking, Cryptocurrency, Marketplaces, Microfinance, Government
Industry:
Government, E-commerce, Financial
Geo:
Russian
TTPs:
Tactics: 2
Technics: 8
IOCs:
File: 1
IP: 5
Hash: 3
Soft:
Android, Google Play, apktool
Algorithms:
base64, xor, aes, zip, deflate
Languages:
python
iverify.io
Oblivion RAT - An Android Spyware Platform With a Built-In APK Factory
Technical analysis of Oblivion RAT Android malware: $300/month MaaS platform with APK builder, AccessibilityService hijacking, and fake ZIP encryption.
CTT Report Hub
#ParsedReport #CompletenessMedium 22-03-2026 Oblivion RAT - An Android Spyware Platform With a Built-In APK Factory https://iverify.io/blog/oblivion-rat-android-spyware-analysis Report completeness: Medium Threats: Oblivion_rat Victims: Android users…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Oblivion RAT - это Троянская программа для удаленного доступа к Android, предлагаемая как вредоносное ПО в качестве сервиса, с такими возможностями, как APK-дроппер, замаскированный под обновление Google Play, позволяющий осуществлять широкий контроль над зараженными устройствами с помощью AccessibilityService. Он использует социальную инженерию для доставки, а после заражения облегчает Захват видеоданных в режиме реального времени, перехват SMS и автоматизированное финансовое профилирование. RAT использует множество методов, включая Маскировку, Регистрацию нажатий клавиш и поддержание закрепления с помощью событий завершения загрузки, усложняя статический анализ с помощью обманчивого ZIP-шифрования.
-----
Oblivion RAT - это сложная Троянская программа для удаленного доступа к Android (RAT), продаваемая как вредоносное ПО как услуга (MaaS) в сетях киберпреступности по цене 300 долларов в месяц. Он включает в себя комплексную работу, включая конструктор APK, дроппер, который создает поддельные страницы обновлений Google Play, и панель управления (C2), которая позволяет управлять зараженными устройствами в режиме реального времени. RAT использует двухэтапную модель заражения: сначала жертв заманивают к загрузке dropper APK с помощью тактики социальной инженерии на платформах обмена сообщениями или в приложениях для знакомств. Этот дроппер содержит сжатый имплантат RAT и HTML-страницы, разработанные для имитации процесса обновления в Google Play.
В dropper APK используется соглашение об именовании, которое обычно начинается с com.darkpurecore*, и содержит точную в пикселях копию экрана настроек службы специальных возможностей Android. Жертвами манипулируют, заставляя включать функции, которые предоставляют имплантату широкий контроль над пользовательским интерфейсом устройства через службу доступности. Примечательно, что RAT использует обманчивый процесс шифрования ZIP, который усложняет статический анализ. Эта манипуляция заставляет обычные инструменты анализа поверить, что образец зашифрован, что затрудняет извлечение.
После успешной установки и подключения к серверу C2, который работает по самоподписанному TLS-соединению, оператор получает ряд вредоносных возможностей. К ним относятся видеозахват в режиме реального времени (VNC), комплексный контроль SMS, позволяющий перехватывать и отправлять сообщения, включая одноразовые пароли (OTP) и токены двухфакторной аутентификации. RAT обеспечивает автоматизированную оценку благосостояния, классифицируя установленные приложения по финансовому и государственному секторам, что помогает операторам выявлять потенциальные цели для мошенничества или кражи.
Технические операции Oblivion RAT демонстрируют несколько методов, сопоставленных с фреймворком MITRE ATT&CK, таких как выдача себя за законные службы (Маскировка - T1655.001), использование кейлоггера на основе AccessibilityService (Перехват вводимых данных - T1417.001) и управление функциями SMS (SMS Control - T1582). Другие методы включают Захват экрана через VNC, злоупотребление Специальными возможностями для получения разрешений и выполнение обнаружения приложений для создания профилей финансового окружения жертв. Цепочка заражения вредоносным ПО использует механизмы закрепления, используя RECEIVE_BOOT_COMPLETED для поддержания своего присутствия на устройстве.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Oblivion RAT - это Троянская программа для удаленного доступа к Android, предлагаемая как вредоносное ПО в качестве сервиса, с такими возможностями, как APK-дроппер, замаскированный под обновление Google Play, позволяющий осуществлять широкий контроль над зараженными устройствами с помощью AccessibilityService. Он использует социальную инженерию для доставки, а после заражения облегчает Захват видеоданных в режиме реального времени, перехват SMS и автоматизированное финансовое профилирование. RAT использует множество методов, включая Маскировку, Регистрацию нажатий клавиш и поддержание закрепления с помощью событий завершения загрузки, усложняя статический анализ с помощью обманчивого ZIP-шифрования.
-----
Oblivion RAT - это сложная Троянская программа для удаленного доступа к Android (RAT), продаваемая как вредоносное ПО как услуга (MaaS) в сетях киберпреступности по цене 300 долларов в месяц. Он включает в себя комплексную работу, включая конструктор APK, дроппер, который создает поддельные страницы обновлений Google Play, и панель управления (C2), которая позволяет управлять зараженными устройствами в режиме реального времени. RAT использует двухэтапную модель заражения: сначала жертв заманивают к загрузке dropper APK с помощью тактики социальной инженерии на платформах обмена сообщениями или в приложениях для знакомств. Этот дроппер содержит сжатый имплантат RAT и HTML-страницы, разработанные для имитации процесса обновления в Google Play.
В dropper APK используется соглашение об именовании, которое обычно начинается с com.darkpurecore*, и содержит точную в пикселях копию экрана настроек службы специальных возможностей Android. Жертвами манипулируют, заставляя включать функции, которые предоставляют имплантату широкий контроль над пользовательским интерфейсом устройства через службу доступности. Примечательно, что RAT использует обманчивый процесс шифрования ZIP, который усложняет статический анализ. Эта манипуляция заставляет обычные инструменты анализа поверить, что образец зашифрован, что затрудняет извлечение.
После успешной установки и подключения к серверу C2, который работает по самоподписанному TLS-соединению, оператор получает ряд вредоносных возможностей. К ним относятся видеозахват в режиме реального времени (VNC), комплексный контроль SMS, позволяющий перехватывать и отправлять сообщения, включая одноразовые пароли (OTP) и токены двухфакторной аутентификации. RAT обеспечивает автоматизированную оценку благосостояния, классифицируя установленные приложения по финансовому и государственному секторам, что помогает операторам выявлять потенциальные цели для мошенничества или кражи.
Технические операции Oblivion RAT демонстрируют несколько методов, сопоставленных с фреймворком MITRE ATT&CK, таких как выдача себя за законные службы (Маскировка - T1655.001), использование кейлоггера на основе AccessibilityService (Перехват вводимых данных - T1417.001) и управление функциями SMS (SMS Control - T1582). Другие методы включают Захват экрана через VNC, злоупотребление Специальными возможностями для получения разрешений и выполнение обнаружения приложений для создания профилей финансового окружения жертв. Цепочка заражения вредоносным ПО использует механизмы закрепления, используя RECEIVE_BOOT_COMPLETED для поддержания своего присутствия на устройстве.
#ParsedReport #CompletenessLow
22-03-2026
Malicious Pyronut Package Backdoors Telegram Bots with Remote Code Execution
https://www.endorlabs.com/learn/malicious-pyronut-package-backdoors-telegram-bots-with-remote-code-execution
Report completeness: Low
Threats:
Pyronut
Typosquatting_technique
Supply_chain_technique
Victims:
Telegram bot developers, Software developers
ChatGPT TTPs:
T1036, T1041, T1059.004, T1059.006, T1102.002
IOCs:
File: 23
Soft:
Telegram
Functions:
init_secret, eval_func, globals
Languages:
python
22-03-2026
Malicious Pyronut Package Backdoors Telegram Bots with Remote Code Execution
https://www.endorlabs.com/learn/malicious-pyronut-package-backdoors-telegram-bots-with-remote-code-execution
Report completeness: Low
Threats:
Pyronut
Typosquatting_technique
Supply_chain_technique
Victims:
Telegram bot developers, Software developers
ChatGPT TTPs:
do not use without manual checkT1036, T1041, T1059.004, T1059.006, T1102.002
IOCs:
File: 23
Soft:
Telegram
Functions:
init_secret, eval_func, globals
Languages:
python
Endorlabs
Malicious 'Pyronut' Package Backdoors Telegram Bots with Remote Code Execution | Blog | Endor Labs
The malicious Python package pyronut copies the entire project description and code of the popular pyrogram Telegram framework to pass itself off as the real thing, while silently installing a runtime backdoor that grants the attacker arbitrary Python and…
CTT Report Hub
#ParsedReport #CompletenessLow 22-03-2026 Malicious Pyronut Package Backdoors Telegram Bots with Remote Code Execution https://www.endorlabs.com/learn/malicious-pyronut-package-backdoors-telegram-bots-with-remote-code-execution Report completeness: Low…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
"pyronut" ("Пиронат") Пакет Python представляет значительную угрозу для разработчиков ботов в Телеграм, поскольку Маскировка под форк легитимного фреймворка "pyrogram". Он включает в себя бэкдор, активируемый во время выполнения, который позволяет злоумышленникам выполнять произвольный код на Python и команды оболочки через скрытые обработчики сообщений, связанные с определенными командами. Эксфильтрация осуществляется через API Телеграм, что делает традиционные методы обнаружения неэффективными и позволяет выполнять бесшумные операции при компрометации системы и данных жертвы.
-----
Пакет Python `pyronut` стал серьезной киберугрозой, предназначенной для разработчиков ботов в Телеграм, путем Маскировки под законный форк популярного фреймворка API "pyrogram". В отличие от типичных сценариев typosquatting, когда вредоносный пакет использует визуально похожее имя, `pyronut" использует прямую копию описания "pyrogram" и имеет недоступный репозиторий GitHub. Вредоносный пакет был опубликован в трех версиях (2.0.184, 2.0.185 и 2.0.186), все они были выпущены и помещены на карантин в один и тот же день в марте 2026 года, что ограничило потенциальное время атаки.
Злоумышленник избежал обычных методов обнаружения, гарантировав, что вредоносное поведение запускалось не при установке, а во время выполнения. В свою кодовую базу "pyronut" встроен бэкдор, который активируется во время инициализации клиента Телеграм. В метод `Client.start()` были внесены изменения, чтобы включить скрытый импорт, заключенный в блок try/except, который подавляет любые ошибки, которые могут возникнуть во время загрузки. Бэкдор устанавливает скрытые обработчики сообщений, которые позволяют злоумышленнику выполнять произвольный код на Python и команды оболочки в системе жертвы, предоставляя им полный контроль как над сеансом Телеграм, так и над базовым компьютером.
Используются два различных обработчика команд: команда `/e`, которая позволяет произвольное выполнение на Python с использованием библиотеки meval, и команда `/shell`, которая обеспечивает неограниченный доступ к оболочке. Обе команды могут быть активированы жестко запрограммированными учетными записями злоумышленника, гарантируя, что только злоумышленник может выполнять эти команды без риска обнаружения с помощью переадресованных сообщений или сторонних триггеров. Эта структура позволяет выполнять бесшумные операции, такие как чтение сообщений или получение учетных данных, не раскрывая действия злоумышленника жертве.
Эксфильтрация данных происходит не традиционными способами, поскольку "pyronut" не взаимодействует с внешним сервером управления. Вместо этого команды злоумышленника и их выходные данные передаются непосредственно через API Телеграм, что затрудняет традиционному мониторингу сети обнаружение необычного поведения. Такой скрытный подход подчеркивает сложность обнаружения бэкдора с помощью существующих протоколов безопасности.
Для обнаружения потенциальных заражений от "pyronut" и реагирования на них организациям рекомендуется проводить тщательный аудит своих файлов зависимостей, системных журналов и выполняемых процессов. Немедленные действия должны включать прекращение активных сеансов Телеграм и замену всех конфиденциальных учетных данных, поскольку злоумышленники могли получить доступ к многочисленным переменным среды и сохраненным секретам. Кроме того, важно удалить вредоносный пакет и перестроить уязвимые среды.
Чтобы предотвратить повторение подобных атак в будущем, организациям следует проводить тщательную проверку зависимостей, использовать файлы блокировок с проверкой хэша и интегрировать инструменты анализа состава программного обеспечения в свои конвейеры CI/CD. Гарантируя, что сторонние скрипты и библиотеки являются легитимными и проверенными, можно значительно снизить риск внедрения вредоносных пакетов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
"pyronut" ("Пиронат") Пакет Python представляет значительную угрозу для разработчиков ботов в Телеграм, поскольку Маскировка под форк легитимного фреймворка "pyrogram". Он включает в себя бэкдор, активируемый во время выполнения, который позволяет злоумышленникам выполнять произвольный код на Python и команды оболочки через скрытые обработчики сообщений, связанные с определенными командами. Эксфильтрация осуществляется через API Телеграм, что делает традиционные методы обнаружения неэффективными и позволяет выполнять бесшумные операции при компрометации системы и данных жертвы.
-----
Пакет Python `pyronut` стал серьезной киберугрозой, предназначенной для разработчиков ботов в Телеграм, путем Маскировки под законный форк популярного фреймворка API "pyrogram". В отличие от типичных сценариев typosquatting, когда вредоносный пакет использует визуально похожее имя, `pyronut" использует прямую копию описания "pyrogram" и имеет недоступный репозиторий GitHub. Вредоносный пакет был опубликован в трех версиях (2.0.184, 2.0.185 и 2.0.186), все они были выпущены и помещены на карантин в один и тот же день в марте 2026 года, что ограничило потенциальное время атаки.
Злоумышленник избежал обычных методов обнаружения, гарантировав, что вредоносное поведение запускалось не при установке, а во время выполнения. В свою кодовую базу "pyronut" встроен бэкдор, который активируется во время инициализации клиента Телеграм. В метод `Client.start()` были внесены изменения, чтобы включить скрытый импорт, заключенный в блок try/except, который подавляет любые ошибки, которые могут возникнуть во время загрузки. Бэкдор устанавливает скрытые обработчики сообщений, которые позволяют злоумышленнику выполнять произвольный код на Python и команды оболочки в системе жертвы, предоставляя им полный контроль как над сеансом Телеграм, так и над базовым компьютером.
Используются два различных обработчика команд: команда `/e`, которая позволяет произвольное выполнение на Python с использованием библиотеки meval, и команда `/shell`, которая обеспечивает неограниченный доступ к оболочке. Обе команды могут быть активированы жестко запрограммированными учетными записями злоумышленника, гарантируя, что только злоумышленник может выполнять эти команды без риска обнаружения с помощью переадресованных сообщений или сторонних триггеров. Эта структура позволяет выполнять бесшумные операции, такие как чтение сообщений или получение учетных данных, не раскрывая действия злоумышленника жертве.
Эксфильтрация данных происходит не традиционными способами, поскольку "pyronut" не взаимодействует с внешним сервером управления. Вместо этого команды злоумышленника и их выходные данные передаются непосредственно через API Телеграм, что затрудняет традиционному мониторингу сети обнаружение необычного поведения. Такой скрытный подход подчеркивает сложность обнаружения бэкдора с помощью существующих протоколов безопасности.
Для обнаружения потенциальных заражений от "pyronut" и реагирования на них организациям рекомендуется проводить тщательный аудит своих файлов зависимостей, системных журналов и выполняемых процессов. Немедленные действия должны включать прекращение активных сеансов Телеграм и замену всех конфиденциальных учетных данных, поскольку злоумышленники могли получить доступ к многочисленным переменным среды и сохраненным секретам. Кроме того, важно удалить вредоносный пакет и перестроить уязвимые среды.
Чтобы предотвратить повторение подобных атак в будущем, организациям следует проводить тщательную проверку зависимостей, использовать файлы блокировок с проверкой хэша и интегрировать инструменты анализа состава программного обеспечения в свои конвейеры CI/CD. Гарантируя, что сторонние скрипты и библиотеки являются легитимными и проверенными, можно значительно снизить риск внедрения вредоносных пакетов.
#ParsedReport #CompletenessMedium
21-03-2026
From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
https://www.crowdstrike.com/en-us/blog/from-scanner-to-stealer-inside-the-trivy-action-supply-chain-compromise/
Report completeness: Medium
Threats:
Supply_chain_technique
Credential_harvesting_technique
Typosquatting_technique
Credential_stealing_technique
Victims:
Aqua security, Github actions runners, Ci cd pipelines
Industry:
Financial
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1003.007, T1003.008, T1036, T1036.005, T1041, T1057, T1059.004, T1059.006, T1070.004, T1071.001, have more...
IOCs:
File: 10
Domain: 1
Url: 1
Hash: 4
Soft:
Linux, Trivy, sudo, Docker, MySQL, PostgreSQL, Redis, Travis, Jenkins, Helm, have more...
Crypto:
bitcoin, ethereum, solana, cardano
Algorithms:
aes-256-cbc, base64, exhibit, sha256
Functions:
count
Languages:
python
Links:
have more...
21-03-2026
From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
https://www.crowdstrike.com/en-us/blog/from-scanner-to-stealer-inside-the-trivy-action-supply-chain-compromise/
Report completeness: Medium
Threats:
Supply_chain_technique
Credential_harvesting_technique
Typosquatting_technique
Credential_stealing_technique
Victims:
Aqua security, Github actions runners, Ci cd pipelines
Industry:
Financial
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1003.007, T1003.008, T1036, T1036.005, T1041, T1057, T1059.004, T1059.006, T1070.004, T1071.001, have more...
IOCs:
File: 10
Domain: 1
Url: 1
Hash: 4
Soft:
Linux, Trivy, sudo, Docker, MySQL, PostgreSQL, Redis, Travis, Jenkins, Helm, have more...
Crypto:
bitcoin, ethereum, solana, cardano
Algorithms:
aes-256-cbc, base64, exhibit, sha256
Functions:
count
Languages:
python
Links:
https://github.com/aquasecurity/trivy/discussions/10425https://github.com/features/actionshave more...
CrowdStrike.com
From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise
CrowdStrike discusses how this activity was discovered, how the attack works, what the payload does, and how to defend.
CTT Report Hub
#ParsedReport #CompletenessMedium 21-03-2026 From Scanner to Stealer: Inside the trivy-action Supply Chain Compromise https://www.crowdstrike.com/en-us/blog/from-scanner-to-stealer-inside-the-trivy-action-supply-chain-compromise/ Report completeness: Medium…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Действие Trivy на GitHub было подвергнуто компрометации с помощью переопределения тегов git, заменив его точку входа полезной нагрузкой, credential-stealing, которая работает вместе с законным сканером. Первые признаки компрометации появились 19 марта 2026 года, когда вредоносные скрипты нацелились на конфиденциальную информацию из GitHub Actions secrets в Linux runners и перенаправили данные в домен с typosquatted. Дополнительная уязвимость была обнаружена в Trivy версии 0.69.4, которая включала скрытый загрузчик, подключенный к устойчивому серверу управления, что позволяло осуществлять постоянную вредоносную активность.
-----
Расследование действия Trivy на GitHub, опубликованное Aqua Security, показало, что 76 из 77 тегов выпуска были подвергнуты компрометации с помощью метода, известного как переназначение тегов git. Этот метод включал замену законной точки входа в действие многоэтапной полезной нагрузкой credential-stealing, которая выполняется параллельно с исходным сканером, позволяя рабочим процессам выглядеть нормальными, когда происходит вредоносная активность.
Первоначальные признаки компрометации были обнаружены 19 марта 2026 года, когда наблюдался необычный всплеск активности, связанный с платформами Linux, в частности, на GitHub Actions runners. Атака использовала различные сценарии запуска Linux для установления соединения с GitHub и выполнения рабочих процессов. Вредоносный код был внедрен в сценарий entrypoint действия, добавив к нему около 105 строк атакующего кода, прежде чем запустить законный Trivy scanner.
Полезная нагрузка содержала вторую ступень, которая была адаптирована для конкретных платформ. На размещенных на GitHub Linux runners он выполнил Python-скрипт в кодировке Base64, специально созданный для извлечения секретов из Runner.Память рабочего процесса. Он нацеливался на конфиденциальную информацию, такую как секреты действий GitHub, в то время как на автономных серверах он сканировал файловую систему на наличие широкого спектра учетных данных, включая SSH-ключи, учетные данные облачных служб, токены доступа к базе данных и конфигурации CI/CD.
Канал эксфильтрации был запросом POST на домен с typosquatted, scan.aquasecurity.org , претендующий на то, чтобы быть официальным доменом Aqua Security. Кроме того, актор продемонстрировал способность к сложной очистке, удалив все временные файлы и заставив скрипт вести себя как функциональная копия реального простого действия, таким образом маскируя свои действия от усилий по мониторингу.
Дальнейший анализ показал, что все теги, кроме последней версии, были подвергнуты компрометации, и дополнительный метод компрометации был идентифицирован в Trivy scanner версии 0.69.4, который также предоставил облегченный загрузчик stage-1 в среду пользователя. Этот загрузчик работал незаметно, непрерывно опрашивая сервер управления, размещенный на блокчейне интернет-компьютера, предназначенный для обеспечения устойчивости к попыткам демонтажа. Он смог незаметно загружать новые полезные файлы для выполнения, продлевая присутствие угрозы в системах компрометации.
Было рекомендовано выявлять потенциальное злоупотребление украденными токенами, используя поведенческие запросы для выявления необычных действий с токенами аутентификации, связанных с новыми сетевыми подсетями. Этот случай высвечивает уязвимости изменяемых ссылок в supply Chains программного обеспечения, раскрывая риски, которые возникают, когда теги выпуска могут указывать на ненадежный код в любой момент времени.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Действие Trivy на GitHub было подвергнуто компрометации с помощью переопределения тегов git, заменив его точку входа полезной нагрузкой, credential-stealing, которая работает вместе с законным сканером. Первые признаки компрометации появились 19 марта 2026 года, когда вредоносные скрипты нацелились на конфиденциальную информацию из GitHub Actions secrets в Linux runners и перенаправили данные в домен с typosquatted. Дополнительная уязвимость была обнаружена в Trivy версии 0.69.4, которая включала скрытый загрузчик, подключенный к устойчивому серверу управления, что позволяло осуществлять постоянную вредоносную активность.
-----
Расследование действия Trivy на GitHub, опубликованное Aqua Security, показало, что 76 из 77 тегов выпуска были подвергнуты компрометации с помощью метода, известного как переназначение тегов git. Этот метод включал замену законной точки входа в действие многоэтапной полезной нагрузкой credential-stealing, которая выполняется параллельно с исходным сканером, позволяя рабочим процессам выглядеть нормальными, когда происходит вредоносная активность.
Первоначальные признаки компрометации были обнаружены 19 марта 2026 года, когда наблюдался необычный всплеск активности, связанный с платформами Linux, в частности, на GitHub Actions runners. Атака использовала различные сценарии запуска Linux для установления соединения с GitHub и выполнения рабочих процессов. Вредоносный код был внедрен в сценарий entrypoint действия, добавив к нему около 105 строк атакующего кода, прежде чем запустить законный Trivy scanner.
Полезная нагрузка содержала вторую ступень, которая была адаптирована для конкретных платформ. На размещенных на GitHub Linux runners он выполнил Python-скрипт в кодировке Base64, специально созданный для извлечения секретов из Runner.Память рабочего процесса. Он нацеливался на конфиденциальную информацию, такую как секреты действий GitHub, в то время как на автономных серверах он сканировал файловую систему на наличие широкого спектра учетных данных, включая SSH-ключи, учетные данные облачных служб, токены доступа к базе данных и конфигурации CI/CD.
Канал эксфильтрации был запросом POST на домен с typosquatted, scan.aquasecurity.org , претендующий на то, чтобы быть официальным доменом Aqua Security. Кроме того, актор продемонстрировал способность к сложной очистке, удалив все временные файлы и заставив скрипт вести себя как функциональная копия реального простого действия, таким образом маскируя свои действия от усилий по мониторингу.
Дальнейший анализ показал, что все теги, кроме последней версии, были подвергнуты компрометации, и дополнительный метод компрометации был идентифицирован в Trivy scanner версии 0.69.4, который также предоставил облегченный загрузчик stage-1 в среду пользователя. Этот загрузчик работал незаметно, непрерывно опрашивая сервер управления, размещенный на блокчейне интернет-компьютера, предназначенный для обеспечения устойчивости к попыткам демонтажа. Он смог незаметно загружать новые полезные файлы для выполнения, продлевая присутствие угрозы в системах компрометации.
Было рекомендовано выявлять потенциальное злоупотребление украденными токенами, используя поведенческие запросы для выявления необычных действий с токенами аутентификации, связанных с новыми сетевыми подсетями. Этот случай высвечивает уязвимости изменяемых ссылок в supply Chains программного обеспечения, раскрывая риски, которые возникают, когда теги выпуска могут указывать на ненадежный код в любой момент времени.
#technique
APT28 / FancyBear Phishing Framework
This directory contains a copy of the phishing and C2 framework from the exposed operation box (203.161.50[.]145:8889). It is for research and documentation only.
https://github.com/ctrlaltint3l/intelligence/tree/main/FancyBear/roundish
APT28 / FancyBear Phishing Framework
This directory contains a copy of the phishing and C2 framework from the exposed operation box (203.161.50[.]145:8889). It is for research and documentation only.
https://github.com/ctrlaltint3l/intelligence/tree/main/FancyBear/roundish
GitHub
intelligence/FancyBear/roundish at main · ctrlaltint3l/intelligence
Malware, tooling, logs, IOCs and intelligence . Contribute to ctrlaltint3l/intelligence development by creating an account on GitHub.
Вообще описание и ссылка была ранее
https://t.iss.one/aptreports/26982
https://t.iss.one/aptreports/26982
Telegram
CTT Report Hub
#ParsedReport #CompletenessHigh
18-03-2026
FancyBear Exposed: Major OPSEC Blunder Inside Russian Espionage Ops
https://ctrlaltintel.com/threat%20research/FancyBear/
Report completeness: High
Actors/Campaigns:
Fancy_bear (motivation: cyber_criminal, cyber_espionage)…
18-03-2026
FancyBear Exposed: Major OPSEC Blunder Inside Russian Espionage Ops
https://ctrlaltintel.com/threat%20research/FancyBear/
Report completeness: High
Actors/Campaigns:
Fancy_bear (motivation: cyber_criminal, cyber_espionage)…
#technique
Sleeping Beauty: Putting Adaptix to Bed with Crystal Palace
Adaptix C2 ships a default agent DLL. Out of the box, it’s a standard PE - it gets loaded into memory with RWX permissions everywhere, no IAT hooking, no sleep obfuscation, nothing fancy. If you’re doing red team work, that’s basically walking into a SOC with a neon sign that reads “PLEASE DETECT ME.”
https://maorsabag.github.io/posts/adaptix-stealthpalace/sleeping-beauty/
Sleeping Beauty: Putting Adaptix to Bed with Crystal Palace
Adaptix C2 ships a default agent DLL. Out of the box, it’s a standard PE - it gets loaded into memory with RWX permissions everywhere, no IAT hooking, no sleep obfuscation, nothing fancy. If you’re doing red team work, that’s basically walking into a SOC with a neon sign that reads “PLEASE DETECT ME.”
https://maorsabag.github.io/posts/adaptix-stealthpalace/sleeping-beauty/
MaorSabag's Blog
Sleeping Beauty: Putting Adaptix to Bed with Crystal Palace
A tale of relocations, ROP chains, and the quest to make an Adaptix beacon sleep gracefully.