#ParsedReport #CompletenessLow
24-03-2026

litellm: Credential Stealer Hidden in PyPI Wheel

https://www.stepsecurity.io/blog/litellm-credential-stealer-hidden-in-pypi-wheel

Report completeness: Low

Threats:
Supply_chain_technique
Credential_harvesting_technique
Credential_stealing_technique

Victims:
Artificial intelligence application stacks, Ci cd pipelines, Production inference services, Kubernetes clusters, Software developers, Engineering environments

TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 15

Soft:
litellm, Kubernetes, OpenAI, Trivy, curl, Docker, travis, openssl, systemd, alpine, have more...

Crypto:
bitcoin, litecoin, dogecoin, ethereum, solana, cardano

Algorithms:
rsa-4096, sha256, aes-256-cbc, aes-256, aes, base64

Functions:
run, GetSecretValue

Languages:
python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
24 марта 2026 года в версиях 1.82.7 и 1.82.8 библиотеки LiteLLM для PyPI был обнаружен Компрометации цепочки поставок, который содержал вредоносное ПО для credential-stealing, использующее трехэтапную атаку. Версия 1.82.8 выполнила свою полезную нагрузку через вредоносный pth-файл, в то время как версия 1.82.7 запустила ее в модуле Python. Вредоносное ПО собирало различные секреты, включая облачные учетные данные, и отправляло данные, зашифрованные с помощью AES-256 и RSA-4096, в домен C2, поддерживая закрепление с помощью бэкдора для перемещения внутри компании в Kubernetes.
-----

24 марта 2026 года в двух выпусках библиотеки LiteLLM (версии 1.82.7 и 1.82.8), распространяемых через PyPI, была обнаружена значительная Компрометация цепочки поставок. Обе версии содержали вредоносную программу credential-stealing, для которой характерна сложная трехэтапная атака: сбор учетных данных, зашифрованная эксфильтрация в домен управления (C2) и развертывание постоянного бэкдора, способного к перемещению внутри компании в кластерах Kubernetes.

Анализ показал, что в обеих версиях использовались различные методы для ввода сложной полезной нагрузки, направленной на сбор учетных записей. В версии 1.82.8 использовался вредоносный файл litellm_init.pth, который автоматически обрабатывается Python во время запуска, позволяя выполнять его полезную нагрузку без взаимодействия с пользователем. Этот метод использует малоизвестную функцию Python, которая выполняет код в pth-файлах при запуске интерпретатора незаметно для большинства сканеров безопасности. И наоборот, версия 1.82.7 включала вредоносную полезную нагрузку непосредственно в litellm/proxy/proxy_server.py файл, запускающий выполнение при импорте прокси-модуля, что делает его немного более целенаправленным.

Сборщик учетных данных систематически собирает различные типы секретов, включая SSH-ключи, учетные данные AWS и GCP, токены Kubernetes, файлы конфигурации Docker и файлы переменных среды. Уникальной особенностью этого вредоносного ПО является его способность выполнять прямые вызовы API к таким сервисам, как AWS Secrets Manager, для прямого извлечения сохраненных секретов в дополнение к чтению их с диска. Собранные данные шифруются с использованием AES-256 и RSA-4096, при этом эксфильтрация происходит посредством POST-запросов к домену, имитирующему законный liteLLM.ai .

Атака также реализовала закрепление за счет установки скрипта бэкдора, sysmon.py , который поддерживает связь с внешним сервером C2. Этот бэкдор предназначен для выполнения произвольных двоичных файлов, предоставляя злоумышленникам постоянный доступ к среде компрометации. Примечательно, что он был способен к перемещению внутри компании Kubernetes за счет использования найденных токенов учетной записи службы, что позволяло ему устанавливать бэкдоры в операционные системы хоста за пределами своего первоначального контейнера.

Инцидент был усугублен спам-комментариями в теме раскрытия информации, которые скрывали серьезность проблемы, - тактика, наблюдавшаяся при предыдущих компрометациях. Пользователям было настоятельно рекомендовано принять немедленные меры, если они установили уязвимые версии LiteLLM, включая замену всех секретных данных и проверку на наличие признаков закрепления или перемещения внутри компании в средах Kubernetes.

Подводя итог, инцидент с LiteLLM подчеркивает критический риск, присущий supply Chains программного обеспечения, особенно в рамках популярных фреймворков разработки, подчеркивая необходимость бдительного мониторинга и быстрого реагирования на угрозы эксфильтрации учетных данных.

#ParsedReport #CompletenessMedium
24-03-2026

OpenClaw Trap: AI-Assisted Lure Factory Targets Developers & Gamers

https://www.netskope.com/blog/openclaw-trap-ai-assisted-lure-factory-targets-developers-gamers

Report completeness: Medium

Actors/Campaigns:
Troyden

Threats:
Prometheus_obfuscator_tool
Credential_stealing_technique
Redline_stealer
Lumma_stealer
Credential_harvesting_technique

Victims:
Software development, Gaming, Roblox, Cryptocurrency, Virtual private network users, General public

Industry:
Healthcare, Telco, Entertainment

ChatGPT TTPs:
do not use without manual check
T1027, T1036, T1041, T1059.003, T1071.001, T1105, T1112, T1113, T1140, T1204.002, have more...

IOCs:
File: 6
IP: 9
Hash: 20
Registry: 1

Soft:
OpenClaw, Roblox, Docker, OpenClaw Docker, Linux, Valorant, Telegram

Algorithms:
zip, sha256, xor

Functions:
Windows

Win API:
SeDebugPrivilege

Languages:
lua

Links:
have more...
https://github.com/AAAbiola/openclaw-docker
https://github.com/coteyn/phone-number-location-tracking-tool
https://github.com/B3RZ3RK/fishing-planet-enhanced-menu

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания Troyden's Lure Factory использует более 300 троянских репозиториев GitHub для доставки пользовательского вредоносного ПО LuaJIT, ориентированного на разработчиков, геймеров и криптоэнтузиастов. Вредоносное ПО, использующее двухкомпонентную архитектуру, уклоняется от обнаружения, выполняя антианалитические проверки, и может делать снимки экрана и извлекать учетные данные. Он использует надежные методы обфускации, в частности Prometheus obfuscator, и включает в себя поведение стиллера информации, указывающее на одного актора, стоящего за несколькими кампаниями, использующими аналогичные инструменты.
-----

Вредоносная кампания, известная как Troyden's Lure Factory, нацелена на разработчиков, геймеров и крипто-энтузиастов, используя троянские репозитории GitHub. В кампании используется более 300 пакетов доставки с вредоносной полезной нагрузкой, которые включают такие инструменты, как OpenClaw, инструменты разработчика искусственного интеллекта и VPN-взломщики, распространяющие полезную нагрузку LuaJIT. Вредоносное ПО содержит пользовательский троян LuaJIT, разработанный для обхода автоматизированных систем обнаружения с помощью двухкомпонентной архитектуры, которая включает в себя упрощенный интерпретатор LuaJIT и зашифрованный Lua-скрипт. Эта архитектура усложняет стандартный анализ в изолированной среде и реализует проверки антианализа, чтобы подтвердить, что он не выполняется в контролируемой среде. После успешной проверки троянец может отключить настройки прокси-сервера, делать снимки экрана рабочего стола и извлекать учетные данные. Кампания использует Prometheus obfuscator для сокрытия своей функциональности и характеризуется поведением стиллера, нацеленного на учетные данные браузера с помощью Windows API. Пользовательская серверная инфраструктура Command and Control (C2) поддерживает эффективный сбор данных и выполнение задач. Образцы вредоносного ПО указывают на то, что один актор или группа может быть ответственна за несколько кампаний из-за использования похожих загрузчиков и идентичных полезных нагрузок в разных репозиториях. Репозитории lure выглядят законными, используя подробные READMEs и манипулируемые истории участников с учетными записями "sock puppet". Количество соглашений об именовании приманок с помощью искусственного интеллекта предполагает оптимизацию для уклонения от обнаружения. Размещенные на GitHub пакеты, представляющие переименованные интерпретаторы и непрозрачные файлы данных, требуют повышенного внимания. Контрмеры включают внедрение индикаторов компрометации (IOCs) в системах обнаружения конечных точек и реагирования на них.

#ParsedReport #CompletenessHigh
24-03-2026

Silver Fox: The Only Tax Audit Where the Fine Print Installs Malware

https://blog.sekoia.io/silver-fox-the-only-tax-audit-where-the-fine-print-installs-malware/

Report completeness: High

Actors/Campaigns:
Silver_fox (motivation: financially_motivated, cyber_espionage)
Ghostemperor
Stone_panda

Threats:
Valleyrat
Winos
Gh0st_rat
Holdinghands
Krbanker
Seo_poisoning_technique
Cleversoar
Nidhogg
Dll_sideloading_technique
Crazyhunter_ransomware
Bec_technique

Victims:
Government, Finance, Private sector, Individuals, South asia

Industry:
Education, Entertainment, Critical_infrastructure, Financial, Military, Government

Geo:
Mongolia, Taiwanese, Indonesia, Chinese, China, India, Singapore, Asia, Malaysia, Taiwan, Thailand, Japanese, Philippines, Asian, Japan

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1014, T1036, T1041, T1056.001, T1105, T1204.001, T1204.002, T1211, T1219, have more...

IOCs:
File: 8
Path: 1
Hash: 24
Url: 5
Domain: 46
IP: 37

Soft:
WhatsApp, Telegram

Algorithms:
zip

Languages:
python

Links:
https://github.com/GkaMei/winos4.0

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Silver Fox, базирующаяся в Китае компания по вторжениям, действующая с 2022 года, перешла от атак с финансовой мотивацией к двойной стратегии, охватывающей операции APT и киберпреступность. Группа использует модульный бэкдор ValleyRAT и использует такие методы, как DLL side-loading и использование инструментов RMM для первоначального доступа. Их атаки были нацелены на различные организации по всей Южной Азии с помощью адаптированных к культурным особенностям кампаний фишинга, иллюстрирующих оппортунистический подход к достижению разнообразных целей атак при сохранении адаптивной инфраструктуры.
-----

Silver Fox, базирующаяся в Китае компания по вторжениям, действующая с начала 2022 года, заметно перешла от атак, мотивированных в первую очередь финансами, к двойной стратегии, включающей как операции с сложными целенаправленными угрозами (APT), так и традиционную киберпреступность. Эта эволюция отражает более широкую тенденцию, наблюдаемую в 2025 году, когда различия между финансируемой киберпреступностью и спонсируемым государством шпионажем становятся все более неоднозначными.

Группа в основном использует модульный бэкдор ValleyRAT, а также HoldingHands, вариант Gh0st RAT, облегчающий как обширную эксфильтрацию данных, так и управление системой. Несмотря на утечку конструктора ValleyRAT в марте 2025 года, Silver Fox продолжила использовать его возможности, включая использование плагина драйвера zero-day и опасного руткита в режиме ядра для сбора разведывательной информации. Такая модульность обеспечивает быструю адаптацию в ответ на обнаружение и интеграцию новых функциональных возможностей, поддерживая постоянный доступ при выполнении различных целей атаки.

В период с 2025 по 2026 год в методологии атак Silver Fox's произошли кардинальные изменения. Первоначально группа нацеливалась на жертв с помощью фишинг-атак на налоговую тематику, которые обманом заставляли их открывать вредоносные PDF-файлы, которые затем развертывали ValleyRAT, используя методы DLL side-loading. Метод заражения эволюционировал, чтобы использовать законные, но неправильно настроенные инструменты удаленного мониторинга и управления (RMM) для первоначального доступа, прежде чем завершиться выпуском программы-похитителя на основе Python, замаскированной под приложение WhatsApp, используемой для сбора конфиденциальных данных и потенциально способствующей компрометации деловой электронной почты.

Silver Fox нацелилась на широкий спектр организаций по всей Южной Азии, используя культурно значимые приманки, которые выдают себя за национальные налоговые органы, чтобы получить первоначальный доступ. Первая волна кампаний была сосредоточена на тайваньских компаниях во время проведения национальной налоговой проверки, в то время как последующие кампании расширились и охватили другие страны, такие как Япония, Малайзия и различные государства Юго-Восточной Азии, демонстрируя оппортунистические тенденции, а не чисто стратегическую направленность.

Базовая инфраструктура, используемая в этих кампаниях, оставалась относительно неизменной, хотя конкретные изменения включали использование именованных инструментов RMM и изменение типа предоставляемой полезной нагрузки. Например, вторая волна включала электронные письма с фишингом, содержащие ссылки на поддельный веб-сайт по сбору налогов, который впоследствии побуждал пользователей загружать законный, но компрометации инструмент RMM. Третья волна представила программу для кражи данных на Python, что указывает на переход к более знакомым инструментам в экосистеме киберпреступности.

#ParsedReport #CompletenessLow
24-03-2026

Brbbot: Full Malware Analysis & Reverse Engineering

https://7amthereaper.github.io/posts/brbbot-full-analysis/

Report completeness: Low

Threats:
Brbbot
Procmon_tool
Process_hacker_tool

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027.007, T1041, T1071.001, T1547.001

IOCs:
Hash: 1
File: 6
Path: 1

Functions:
FindRecource

Win API:
ReadFile, CryptEncrypt, RegOpenKeyExA, RegSetValueExA, GetModuleHandleA, ZwQuerySystemInformation, GetProcAddress

Languages:
php

Links:
https://github.com/7amthereaper

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Brbbot - это универсальное вредоносное ПО, функционирующее как троян и бот, способное создавать бэкдор и поддерживать закрепление в зараженных системах путем создания ключей реестра. Он взаимодействует с сервером управления (C2), извлекая зашифрованные данные, используя при этом Динамическое разрешение API и Windows API для различных команд, включая выполнение файлов и настройку. Конструкция вредоносного ПО позволяет удаленно выполнять команды, демонстрируя расширенные функциональные возможности для закрепления и контроля в средах компрометации.
-----

Brbbot - это универсальное вредоносное ПО, которое работает как троян или бот и может функционировать как бэкдор. Его образец хэша - f9227a44ea25a7ee8148e2d0532b14bb640f6dc52cb5b22a9f4fa7fa037417fa. Первоначальный анализ выявил множество связанных с сетью строк, указывающих на ее рабочее поведение, включая команды, связанные с кодированием, выполнением файла, конфигурацией и закреплением. Наличие функции шифрования предполагает безопасную связь или Манипуляции с данными.

Что касается закрепления, Brbbot демонстрирует поведение, соответствующее обеспечению долговечности зараженных систем, такое как создание разделов реестра. Примечательно, что он генерирует временный файл с именем brbbotconfig.tmp. Анализ трафика, проведенный после запуска образца, показал, что он подключается к серверу управления (C2), расположенному по адресу brb.3dtuts.by , направляя запросы в ads.php файл и извлечение зашифрованных данных.

Дальнейшая проверка структуры кода показала, что Brbbot считывает параметры конфигурации из ранее упомянутого файла tmp, указывая на использование ReadFile API с определенным дескриптором. Анализ также выявил потенциальные команды, которые мог бы выполнять бот, такие как запуск файлов, настройка самого себя или выход по команде. Эти возможности связаны с конкретными ссылками URI, которые относятся к Панели управления C2.

Динамическое разрешение API было примечательным методом, используемым в Brbbot, позволяющим ему управлять такими функциями, как открытие разделов реестра динамически, а не посредством прямых вызовов. Вредоносное ПО использует распространенные Windows API, такие как RegOpenKeyExA и RegSetValueExA, что указывает на его методы поддержания закрепления с помощью раздела реестра Windows CurrentVersion Run.

Чтобы установить контроль над Brbbot и перенаправить его функциональность, была создана виртуализированная среда с использованием сервера Apache для размещения модифицированного ads.php . Это позволяло выполнять команды, указанные в PHP-файле, когда вредоносное ПО добиралось до него. Путем маршрутизации трафика через назначенный DNS вредоносное ПО было успешно перенаправлено на локальный компьютер, выполнив предоставленную команду, которая в данном случае запустила Notepad как дочерний процесс. В целом, Brbbot демонстрирует сложные функциональные возможности, которые позволяют осуществлять постоянное наблюдение и контроль в рамках систем компрометации.

#ParsedReport #CompletenessLow
24-03-2026

Atomic macOS stealer is mimicking an AI agent tool for Mac

https://moonlock.com/chip-ransomware-cal-lock-files-mac

Report completeness: Low

Threats:
Amos_stealer
Junk_code_technique
Supply_chain_technique

Victims:
Mac users, Openclaw users, Artificial intelligence platforms

TTPs:
Tactics: 1
Technics: 4

IOCs:
Domain: 1
File: 1

Soft:
macOS, OpenClaw, Gatekeeper

Algorithms:
xor

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания AMOS stealer нацелена на пользователей macOS, маскируя вредоносное ПО под OpenClaw AI assistant, используя социальную инженерию, чтобы обманом заставить пользователей установить его. Вредоносное ПО, представленное в виде файла .dmg с именем Cleal_AI.dmg, использует множество методов MITRE ATT&CK, таких как Выполнение с участием пользователя, запутывание и Маскировка, чтобы обойти функции безопасности macOS. Он подрывает контроль доверия, снимая флажки карантина, что позволяет ему красть конфиденциальную информацию, включая файлы данных и пароли, оставаясь незамеченным антивирусными программами.
-----

Кампания AMOS stealer, продвинутая форма вредоносного программного обеспечения, в настоящее время нацелена на пользователей macOS, Маскировка под помощника OpenClaw с искусственным интеллектом. Эта кампания использует тактику социальной инженерии, чтобы обманом заставить пользователей устанавливать вредоносное ПО, замаскированное под легальное программное обеспечение, в частности, имитируя знакомую структуру пакетов приложений macOS. Вредоносный файл представлен в виде файла .dmg с именем Cleal_AI.dmg, внутри которого находится пакет приложений с именем Clearly AI.app, предназначенный для того, чтобы вызвать доверие и уменьшить подозрения пользователей в процессе установки.

Технический анализ показывает, что AMOS использует множество методов MITRE ATT&CK для обхода функций безопасности macOS, таких как Gatekeeper. Одним из важных методов является Выполнение с участием пользователя (T1204.002), когда злоумышленники используют поведение пользователя, предлагая ему открыть файл, который считается безопасным. Код вредоносного ПО часто запутывается (T1027), чтобы избежать обнаружения программным обеспечением безопасности, используя зашифрованные двоичные файлы или junk code для маскировки своих истинных намерений. Кроме того, он использует методы Маскировки (T1036.001), чтобы представить себя как доверенное приложение, иногда даже подделывая законные подписи кода, таким образом вводя пользователей в заблуждение, заставляя их поверить, что это вредоносное программное обеспечение.

Важнейшим аспектом этой кампании является ее способность Нарушению работы средств контроля доверия (T1553.002) в macOS. Известно, что злоумышленники используют скрипты, которые снимают флаг карантина с вредоносного ПО после того, как пользователи запускают его, обманом заставляя macOS классифицировать файл как доверенное приложение. Эта стратегия позволяет AMOS свободно действовать внутри системы, похищая конфиденциальную информацию, включая файлы данных, пароли браузера и информацию о криптовалютном кошельке.

Сайт, на котором размещена эта вредоносная активность, clearl.co остается необнаруженным основными антивирусными программами, что подчеркивает необходимость повышения бдительности пользователей. Киберпреступники все чаще используют технологию искусственного интеллекта на стыке с социальным доверием, о чем свидетельствует растущее число вредоносных ресурсов, связанных с OpenClaw. Пользователям рекомендуется соблюдать осторожность при загрузке файлов из неофициальных источников и тщательно проверять законность программного обеспечения перед установкой, поскольку эти атаки основаны на быстром принятии решений и отсутствии должной осмотрительности.

#ParsedReport #CompletenessMedium
24-03-2026

TeamPCP Hijacks LiteLLM's PyPI Package - Credential Stealer Hits 40k-Star Project

https://opensourcemalware.com/blog/teampcp-litellm-pypi-supply-chain-attack

Report completeness: Medium

Actors/Campaigns:
Teampcp
Pcpcat
Canisterworm

Threats:
Supply_chain_technique
Credential_harvesting_technique

Victims:
Litellm, Berriai, Aqua security, Trivy, Ai and llm developer ecosystem, Ci cd runners, Kubernetes clusters, Iranian infrastructure

Geo:
Iranian, Luxembourg

TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 11
IP: 1

Soft:
LiteLLM, Trivy, Kubernetes, Docker, travis, MySQL, PostgreSQL, Redis, systemd, Linux, have more...

Wallets:
zcash

Crypto:
bitcoin, ethereum, solana, cardano, monero, litecoin, dogecoin, ripple

Algorithms:
aes-256-cbc, sha256, rsa-4096, base64

Languages:
python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
TeamPCP выполнила атаку supply chain, нацеленную на пакет LiteLLM PyPI, путем захвата учетной записи сопровождающего для публикации вредоносных обновлений, которые включали полезную нагрузку credential-stealing. Вредоносное ПО, использующее Python .pth-файл, автоматически запускается при запуске и может извлекать конфиденциальные учетные данные из таких сервисов, как AWS и Azure, через вредоносный домен. Кроме того, злоумышленники внедрили тактику закрепления в средах Kubernetes, позволяющую сохранять контроль и уклоняться от него при перезагрузках системы.
-----

TeamPCP осуществил сложную атаку supply chain на пакет LiteLLM PyPI, в частности, версии 1.82.7 и 1.82.8, которые являются частью широко используемого SDK для Python и прокси-сервера AI gateway, имеющего более 40 000 звездочек GitHub. Злоумышленник взломал учетную запись PyPI разработчика, позволив ему публиковать версии вредоносных пакетов, которые развертывают полезную нагрузку credential-stealing. Эта атака связана с более ранними компрометациями, связанными с действиями Trivy на GitHub и дефейсом организации Aquasec-com.

Вредоносные версии включали файл с именем `litellm_init.pth`, который использует механизм работы с файлами .pth в Python. Этот файл выполняется автоматически при запуске Python, влияя на каждый процесс Python без необходимости явного импорта пакета LiteLLM. Этот метод значительно расширяет охват атаки, позволяя осуществлять эксфильтрацию конфиденциальных учетных данных из различных сервисов, включая AWS, GCP и Azure, среди прочих. Целевые учетные данные варьировались от файлов конфигурации AWS до секретов Kubernetes.

Эксфильтрация произошла через домен, зарегистрированный как `models.litellm.cloud`, который использовался в качестве конечной точки для сбора украденных данных. Присутствие TeamPCP было отмечено не только в самом коде, поскольку они испортили организацию BerriAI на GitHub, быстро изменив описания репозиториев, чтобы псевдонимно утверждать контроль.

Временная шкала атаки указывает на то, что атака проводилась в несколько этапов. Первоначально TeamPCP зарегистрировал вредоносный домен, а затем напрямую компрометации учетной записи PyPI, впоследствии опубликовав вредоносные обновления. За этим последовала быстрая дефейс репозиториев GitHub. Во время атаки также было задействовано несколько учетных записей ботов для рассылки спама о проблемах безопасности хранилища, создавая шум, который скрывал законные сообщения об атаке.

Для закрепления злоумышленник использовал различные механизмы, особенно в средах Kubernetes. Они использовали создание привилегированного модуля для выхода в файловую систему хоста, гарантируя, что их сценарий бэкдора может сохраняться при перезапуске. Это включало установку Службы systemd, якобы предназначенной для телеметрии, но предназначенной для поддержания контроля над инфраструктурой.

Далеко идущие последствия этой атаки распространяются на основные облачные инфраструктуры и конвейеры CI/CD, что делает крайне важным для любой организации, которая использовала версии LiteLLM с компрометацией, срочно изменить свои учетные данные и провести аудит на предмет несанкционированного доступа. Затронутые пользователи должны отслеживать PyPI на предмет снятия карантина проекта и должны возвращаться только к проверенным версиям пакета.

#ParsedReport #CompletenessLow
24-03-2026

Inside Pay2Key: Technical Analysis of a Linux Ransomware Variant

https://www.morphisec.com/blog/inside-pay2key-technical-analysis-of-a-linux-ransomware-variant/

Report completeness: Low

Threats:
Pay2key

Victims:
Linux servers, Infrastructure

ChatGPT TTPs:
do not use without manual check
T1053.003, T1083, T1486, T1489, T1562.001

Soft:
Linux, SELinux, AppArmor

Algorithms:
chacha20

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Pay2Key, связанная с Ираном группа программ-вымогателей, разработала вариант Linux, нацеленный на критическую инфраструктуру, что отражает растущую тенденцию к атакам программ-вымогателей на системы Linux. Этот штамм требует доступа root и использует файл конфигурации JSON для определения своих действий, включая отключение служб безопасности и настройку заданий cron для закрепления. Его механизм шифрования использует алгоритм ChaCha20, обеспечивающий полное или частичное шифрование файлов, и, хотя он позволяет вести переговоры о выкупе через портал Clearnet и I2P, ему не хватает функций сетевого командования и контроля.
-----

Pay2Key - это приписываемая Ирану группа программ-вымогателей, которая разработала вариант Linux, отражающий растущую тенденцию программ-вымогателей, нацеленных на системы Linux. Этот конкретный штамм иллюстрирует методы, которые сегодня часто встречаются в различных семействах программ-вымогателей. В отличие от угроз Windows, программы-вымогатели Linux остаются менее документированными, однако риск возрос из-за их воздействия на критически важные серверы и инфраструктуру.

Linux-версия Pay2Key сильно зависит от настроек конфигурации, и для выполнения ее вредоносных действий требуется root-доступ. Первоначально он проверяет, есть ли у него необходимые привилегии root, прежде чем считывать конфигурационный файл JSON, который определяет его цели и рабочее поведение. Чтобы повысить свою эффективность, программа—вымогатель отключает службы безопасности, такие как SELinux и AppArmor, завершает запущенные процессы и настраивает задания cron на закрепление, что позволяет ей быстро выполнять свою полезную нагрузку даже после перезагрузки системы.

Во время своего выполнения Pay2Key проверяет файловую систему, перечисляя подключенные файловые системы, описанные в /proc/mounts. Он различает различные типы монтирования, пропуская файловые системы, доступные только для чтения, и намеренно избегая шифрования двоичных файлов ELF/MZ, а также файлов нулевой длины, чтобы свести к минимуму риск сбоя хост-системы. Механизм шифрования основан на алгоритме ChaCha20, который может работать либо в режиме полного шифрования файла, либо в режиме образца/частичного шифрования, что позволяет операторам балансировать между скоростью шифрования и воздействием на данные в зависимости от конфигурации.

В то время как программа-вымогатель содержит ссылки как на портал Clearnet, так и на резервный вариант I2P для переговоров о выкупе, в ней нет признаков сетевых командно-контрольных циклов (C2) или эксфильтрации данных. Примечательно, что он поддерживает сбор статистики на основе локальных файлов и FIFO.