#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Два кластера вторжений из Латинской Америки использовали коммерческие LLM для устранения неполадок в ходе атак, а также для генерации и модификации инструментов. CL-CRI-1131 нацеливался на государственные организации Мексики и Эквадора, применяя скрипты, теневые копии и инфраструктуру SOCKS5 для кражи данных. CL-CRI-1163 нацеливался на финансовый сектор Бразилии, используя фишинг, RAT, туннели SockTz и скрипты, размещенные на скомпрометированных или контролируемых злоумышленниками серверах.
-----

Два отдельных кластера вторжений атаковали организации в Латинской Америке, используя коммерческие большие языковые модели (LLM) для устранения неполадок в ходе операций, а также для генерации и модификации атакующего инструментария. Кластер CL-CRI-1131 нацелился на транспортную организацию, а также на министерства правительства и муниципальные водоканалы в Мексике и Эквадоре. Кластер CL-CRI-1163 нацелился на финансовый сектор Бразилии и включал использование кастомного ВПО, фишинга и прокси-инфраструктуры. Оба кластера использовали инфраструктуру ретрансляции SOCKS5 и имели уязвимые операционные системы, которые раскрыли их инструментарий и рабочие процессы.

В ходе вторжения CL-CRI-1131 в апреле 2026 года операторы применяли техники living-off-the-land и итеративные пакетные скрипты для сбора и эксфильтрации конфиденциальных данных. После многократных неудач при дампировании ветки реестра SAM и базы данных NTDS.dit контроллера домена они создали теневые копии на нескольких дисках и скопировали необходимые файлы. Инфраструктура эксфильтрации включала IP-адрес 62.171.185.97 и динамический домен DNS m-doxa-apodo.duckdns.org. Сводный сертификат, связанный с данной инфраструктурой, раскрыл пять поддоменов, названия которых указывали на операционные функции и предполагаемые цели среди государственных органов Мексики.

Атакующие также разместили экземпляр открытого приложения NextChat на IP-адресе 178.128.87.160, прослушивающем TCP-порт 3000. Этот интерфейс, по всей видимости, использовался в качестве бэкенда с поддержкой LLM для генерации обходных скриптов и решения проблем с выполнением. По имеющимся данным, открытый интерфейс и связанная с ним инфраструктура подготовки раскрыли промпты атак, скрипты и оперативные данные.

CL-CRI-1163, вероятно, получил первоначальный доступ через фишинговое вложение, оформленное под резюме, в феврале 2026 года. Злоумышленники развернули несколько троянов удаленного доступа и пытались установить версии 1–8 SockTz — инструмента туннелирования обратного SOCKS5 на базе Go — с скомпрометированного сайта WordPress. После того как эти попытки провалились, они загрузили версию 9, названную `socktz_v9`, с инфраструктуры, контролируемой злоумышленниками, по адресу 167.148.195.53. На том же сервере хранились сотни скриптов, включая файлы с итеративными именами в формате `_output`, что соответствует генерации скриптов с помощью LLM. Активность также расширила предыдущее нацеливание на уязвимые серверы JBoss. Открытые каталоги, незащищенные развертывания NextChat и метаданные сертификатов обеспечили видимость инфраструктуры и инструментария злоумышленников.