CISOCLUB

Medusa представляет собой операцию по модели программа-вымогатель как услуга, Ransomware-as-a-Service, RaaS. Она действует с июня 2021 года, а с начала 2023 года привлекает аффилированных лиц и брокеров первоначального доступа, IAB. Операция целенаправленно атакует организации в сферах здравоохранения, образования, юриспруденции, страхования, технологий и производства. По состоянию на апрель 2026 года от атак Medusa пострадали более 500 жертв. Особенно часто объектами атак становятся организации здравоохранения. Операция применяет двойное вымогательство. Злоумышленники шифруют системы и угрожают опубликовать украденные данные...

Shadow HVNC представляет собой стиллер и скрытый RAT с функциями удалённого виртуального сетевого вычисления, HVNC. Вредоносное ПО написано на Go, его размер составляет около 16 МБ. Операторы получают удалённый доступ к файлам и процессам, терминалу, веб-камере и браузеру жертвы. Shadow HVNC устанавливает постоянное WebSocket-соединение с C2 и передаёт сведения о скомпрометированной системе. Второй WebSocket используется для скрытой потоковой передачи изображения браузера и управления вводом. После успешного рукопожатия основного WebSocket вредоносное ПО применяет HTTP POST-эндпоинты для эксфильтрации данных...

Кампания против пользователей macOS начинается с вредоносной рекламы. Злоумышленники используют рекламный ролик на YouTube и целевую страницу в стиле TradingView, чтобы распространять поддельный нативный установщик .pkg. В дальнейшем вредоносная программа перехватывает пароль администратора, устанавливает механизм закрепления в системе и загружает удалённо управляемый имплант. Установщик запрашивает пароль администратора через стандартный диалог Installer.app. После этого он сохраняет пароль в открытом виде по пути /Users/Shared/.passwd и устанавливает LaunchAgent для маскировки активности. Каталог /Users/Shared доступен для чтения всем пользователям...

IBM X-Force отнесла наблюдаемую активность к ITG27, также известной как Mustang Panda и другим псевдонимам. Группа связана с Китаем и занимается разведывательной деятельностью, нацеленной на правительственные организации и энергетический сектор. В мае 2026 года операторы рассылали целевые фишинговые письма с индийской тематикой. В качестве приманок использовались PDF-файлы, связанные с гидроэнергетикой. Встроенные ссылки Dropbox вели на ZIP-архивы. В них находились легитимные исполняемые файлы, которые загружали вредоносный вариант SolidPDFCreator.dll, известный как Claimloader. Он извлекал и выполнял...