#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа Toy Ghouls (Bearlyfy/Feral Wolf) атаковала российские организации, доставляя кастомные бэкдоры для Windows через WinRM. Два варианта вредоносного ПО используют HiveMQ MQTT или Matrix для C2, закрепляются в системе в виде служб, собирают данные хоста и выполняют инструкции PowerShell или командной оболочки. Конфигурация шифруется с помощью ChaCha20-Poly1305 с использованием MachineGuid хоста и хранится в файлах или в реестре Windows.
-----

Toy Ghouls, также известная как Bearlyfy, Laboo.boo и Feral Wolf, с 2025 года атаковала российские организации. В начале июля 2026 года за группировкой с финансовой мотивацией было зафиксировано развертывание кастомного бэкдора в двух вариантах. Один вариант использует брокер HiveMQ MQTT для управления, тогда как другой взаимодействует через управляемый злоумышленником сервер Element с использованием протокола Matrix.

Бэкдоры доставляются на скомпрометированные системы Windows через Службу удаленного управления Windows (WinRM) с использованием инструментов, включая Evil-WinRM и WinRM-fs. Они могут выполняться в интерактивном режиме или устанавливаться в качестве постоянных служб Windows с помощью опции `--install` или `install`. Файлы конфигурации первоначально ищутся в рабочем каталоге исполняемого файла, а при их отсутствии используются резервные расположения в `%PROGRAMDATA%`: `SynapseAgent\config.toml` для варианта Element и `cplsupport\config.toml` для варианта HiveMQ.

Конфигурационные данные могут храниться в открытом виде или в частично зашифрованном виде. При первом запуске конфигурация в открытом виде шифруется алгоритмом ChaCha20-Poly1305 с использованием ключа, производного от значения `HKLM\Software\Microsoft\Cryptography\MachineGuid` системы, что привязывает её к конкретному хосту. Вариант Element удаляет файл конфигурации после первого запуска и сохраняет запечатанные данные в реестре по пути `HKLM\Software\synapse\Config\SealedConfig`. Он также сохраняет вновь полученный токен доступа Element в поле `blob` конфигурации.

При запуске оба варианта обращаются к `ip-api.com/json` для получения публичного IP-адреса и страны хоста. Версия HiveMQ отправляет данные о состоянии и метриках хоста на пути брокера, контролируемые злоумышленником, периодически извлекает команды и выполняет их через скрытый, неинтерактивный PowerShell. Результаты включают стандартный вывод, стандартный вывод ошибок, код завершения и время выполнения.

Вариант Element отправляет статус и метрики в виде сообщений Matrix в комнате, контролируемой злоумышленником и размещённой на `meet.element.tw`. Он поддерживает изменение интервала с 5 до 3 600 секунд, сохраняя значение в `HKLM\Software\SynapseAgent\metrics_interval`. Команды с префиксом `cmd:` выполняются через Командную оболочку Windows, а вывод возвращается в сообщениях `m.bird.cmd_response`. Операторы использовали учётную запись Matrix `panel-bot`.