CISOCLUB

FBI и Министерство юстиции США изъяли домены управления, которые использовали платформы QScan и QTRouter. По имеющимся данным, они принадлежали поддерживаемой государством КНР группе QTFY и её подрядчику, компании Nanjing Xinjiuwei Network Technology Company. Операция нарушила способность платформ координировать скомпрометированные системы. При этом вредоносное ПО, веб-шеллы и украденные учетные данные не были удалены из ранее скомпрометированных сетей. QScan применялась для разведки в масштабах всего интернета и автоматизированной эксплуатации уязвимых IoT- и edge-устройств. В число таких систем...

Исследователи Socket обнаружили 18 вредоносных расширений для Chrome и одно расширение для Edge, связанных с кампанией, которую отслеживают под именем «Superior». В набор входили инструменты SEO, утилиты для работы с криптовалютами, сервисы отслеживания рекламы и приложения для поиска на экране. Четырнадцать расширений злоумышленники создали самостоятельно, ещё пять приобрели у легитимных разработчиков. Сначала операторы публиковали чистые версии с заявленной функциональностью. После того как пользователи начинали им доверять, в последующих обновлениях появлялось вредоносное поведение. Одно из...

CRPx0 представляет собой операцию по модели «Программа-вымогатель как услуга». Для доставки кроссплатформенного шифровальщика используются методы социальной инженерии ClickFix. Атаки на Windows и macOS маскируются под системные обновления или проверку reCAPTCHA. Вредоносные страницы определяют операционную систему жертвы, незаметно копируют команду в буфер обмена и предлагают вставить ее в окно «Выполнить» Windows или в Terminal macOS. Для Windows применяются команды, запускающие PowerShell и цепочку DLL. В macOS используется конструкция curl|bash, которая загружает портативную версию Python и сам шифровальщик...

PackClient представляет собой модульную троянскую программу (RAT) и фреймворк управления, который продвигают через китайскоязычные каналы в Telegram. Китайскоязычный злоумышленник TA4922 применял это вредоносное ПО в фишинговых кампаниях против организаций в Китае и Индии. Жертвам отправляли ссылки на URL-адреса, контролируемые злоумышленником, а также ZIP-архивы с исполняемыми файлами или образами дисков IMG. Вредоносные нагрузки маскировались под легитимные файлы. В кампаниях против индийских организаций злоумышленники использовали DLL sideloading для запуска Donut Loader, после чего устанавливали PackClient...

TeamPCP появилась в конце 2025 года как оппортунистическая группа, атаковавшая облачные среды. Сначала её автоматизированное сканирование было направлено на открытые API Docker, контрольные плоскости Kubernetes, панели управления Ray и экземпляры Redis. На скомпрометированных хостах группа развертывала контейнеры для майнинга криптовалют, проксирования, кражи данных и дальнейшего сканирования. Такая инфраструктура позволяла атакам самопропагироваться. По имеющимся данным, на одном из этапов TeamPCP зафиксировала 185 компрометаций Docker. В ходе кампании в декабре 2025 года группа заявила о более чем 59 000 скомпрометированных серверов...