#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Новообнаруженный кроссплатформенный «Endpoint Botnet» (ботнет конечных точек) провел распределенные атаки методом распыления пароля (Password Spraying) как минимум против 1 311 серверов в более чем 20 странах. Он использует модульную зашифрованную архитектуру, поддерживающую Windows и Linux, с функциями скрытного развертывания, распространения, закрепления (Persistence) и доставки полезной нагрузки, при этом WinRM/WSMan являются одними из основных целей.
-----

Ранее не раскрытый кроссплатформенный ботнет, временно получивший название «Endpoint Botnet», появился в июле 2026 года и был обнаружен в ходе мониторинга инфраструктуры управления (C2) трояна Silver Fox. Вместо получения команд с этих серверов вредоносное ПО атаковало несколько систем C2 Silver Fox, что и выявило его активность. Ботнет проводил распределенные атаки методом распыления пароля (Password Spraying) в отношении как минимум 1311 серверов в более чем 20 странах и регионах. Среди его целей — инфраструктура, размещенная в Tencent Cloud, Alibaba Cloud, AWS, Azure, Hetzner и OVH.

Ботнет использует трехуровневую архитектуру, состоящую из компонентов развертывания, фреймворка загрузчика и атакующих полезных нагрузок. Он поддерживает несколько операционных систем, включая Windows и Linux, и обеспечивает автоматическое распространение, закрепление, скрытность, получение команд, сбор информации и доставку полезных нагрузок. На этапе развертывания образы маскируются под легитимные инструменты, такие как `curl` или клиенты endpoint detection and response (EDR). Внутренние данные шифруются с помощью AES, и для анализа требовалось расшифровать связанные трафик и данные конфигурации атаки. Первоначальные образы для Windows и Linux не были собраны VirusTotal и на момент обнаружения не вызывали срабатываний антивирусных систем.

Ботнет поддерживает распыление пароля по 13 распространённым сетевым протоколам. Основным наблюдаемым объектом атаки в настоящее время является `wsman`, протокол управления веб-сервисами, обычно связанный с Microsoft WinRM и GSSAPI. В ходе анализа также были выявлены кроссплатформенный инструмент развёртывания, ориентированный на Linux, скрипты развёртывания и вредоносные нагрузки для последующих этапов атаки. Инфраструктура, по всей видимости, находится на ранней стадии строительства, но уже обладает обширными возможностями для атак на учётные данные и доставки вредоносных компонентов. Вредоносное ПО было оценено как написанное с помощью ИИ или при участии ИИ, что указывает на использование автоматизированных процессов разработки и атак в рамках быстро расширяющейся операции по распылению учётных данных.