Интересные исследования APT и новости ИБ за неделю

🟢Разбор кампании Blinder Tunnel от CL-STA-1178, нацеленной на объекты КИИ Ирака, а также на телеком- и авиационные организации в Израиле и ОАЭ. Выдавая себя за рекрутёров Dubai Airports, атакующие отправили инженеру-программисту тестовое задание с троянизированным проектом Visual Studio. В качестве С2 применялись комментарии на GitHub.

🟢Злоумышленники захватили реестры национальных доменных зон .gh, .sl и .as, изменили DNS-записи и получили HTTPS-сертификаты для доменов Google и других известных брендов. Google заблокировала эти сертификаты в Chrome и добилась их отзыва у выпустивших CA.

🟢Появляются технические детали о серии атак на крупные южнокорейские банки. Атакующий использовал ПО для пентестинга ARTEX, а также DeepSeek, GLM-5.3, Grok и Claude Code. Эта комбинация позволяла находить слабо защищённые компоненты вспомогательной ИТ-инфраструктуры: порталы для брокеров и мобильные приложения для сотрудников.

🔵Анализ целевой фишинговой кампании UAT-11985 против лиц, связанных с тайваньскими исследовательскими организациями. Кампания использует приглашения на реальные политические мероприятия, но содержит вредоносные QR-коды, размещённые на подменённых постерах этих событий. Жертв поджидала атака AitM для похищения учётных данных Google и MFA.

🔵Обзор деятельности Earth Sirrush (пересекающейся с UAC-0099) за 4 года. Группа перешла от PowerShell-скриптов к скомпилированным .NET-имплантам, а в последних кампаниях прячет нагрузки более изощрённо: в картинках PNG и во вредоносном плагине для Notepad++.

🟣Новая атака червя Mini Shai-Hulud. Используя учётную запись администратора репозитория, атакующие внедрили его в npm-пакет tensorlake, имеющий около 106 тыс. загрузок в месяц. ВПО было опубликовано по всем правилам, через собственный workflow проекта, и неотличимо от легитимного релиза. Вредоносная нагрузка крадёт учётные данные, самораспространяется через похищенные токены и может удалить домашний каталог, если украденный GitHub-токен будет отозван.

🟣Подробный обзор платформы Midnight Mimosa, основанной на ВПО для рекламного мошенничества и организации прокси. ВПО было предустановлено в прошивке дешёвых Android-смартфонов более чем в 150 странах, прежде всего в Мексике, Франции и Италии. Тот же код также был обнаружен в 13 приложениях в Google Play.

🟣Анализ кампании FakeGit, основанной на сети из 17610 GitHub-репозиториев, распространяющих загрузчик SmartLoader. Атакующие выстроили инфраструктуру, позволяющую заменой одной ссылки в readme и одной командой push очень быстро обновлять вредоносные нагрузки. Около 700 задействованных аккаунтов, по всей видимости, принадлежат реальным разработчикам.

🔵Исследование ботнета PoeLLM, который эксплуатирует открытые серверы LiteLLM, Ollama, Gotenberg и Gitea, преимущественно в США и Западной Европе, для майнинга криптовалюты и дальнейшего распространения. Адрес C2 вычисляется из ключевых слов в стихотворении на GitHub, поэтому оператор может перенести C2, просто отредактировав текст.

🔵Разбор изощрённой кампании, включающей вредоносную рекламу Google Ads по запросу «claude mac», которая отображает в качестве домена bing[.]com, а затем перенаправляет пользователя через результат поиска Bing и скомпрометированный сайт на поддельную страницу загрузки Claude. Дальше в дело вступает ClickFix — кнопка копирования на этой странице подменяет легитимную команду установки Anthropic на команду, которая запускает вредоносный скрипт zsh.

🟣Технический анализ ClingSTUN — Linux-бэкдора, эксплуатирующего известные уязвимости в IoT-устройствах D-Link, TP-Link, Tenda и других производителей, чтобы превращать их в узлы сети домашних прокси. ВПО использует публичные STUN-серверы, маскируя свой трафик под VoIP и WebRTC.

🟣SonicWall раскрыла информацию о четырёх уязвимостях в устройствах SMA1000, среди которых наиболее критична CVE-2026-102255 (CVSS 10.0 🤯 ). Ханипоты уже зафиксировали попытки эксплуатации, соответствующие этой уязвимости.

🚓 Обзор мошеннических схем вокруг GTA VI. В преддверии ноябрьского релиза расплодились фальшивые сайты с «утечками», продающие «ранние билды» за сумму до $1000, а также поддельные сайты PlayStation Store, собирающие данные банковских карт.

#дайджест #APT @П2Т