Азия под угрозой!

⏺️ Вирус UAT-8099, связанный с Китаем, атакует серверы IIS в Азии с помощью вредоносного ПО BadIIS SEO.

🧾 Обнаруженная с помощью Cisco Talos активность была направлена ​​на уязвимые серверы Internet Information Services (IIS), расположенные по всей Азии, но с особым акцентом на цели в Таиланде и Вьетнаме. Масштабы кампании в настоящее время неизвестны.

🎇 «UAT-8099 использует веб-оболочки и PowerShell для выполнения скриптов и развертывания инструмента GotoHTTP, предоставляя злоумышленнику удаленный доступ к уязвимым серверам IIS», — заявил исследователь безопасности Джои Чен

⛓️‍💥 Цепочка атак начинается с того, что UAT-8099 получает первоначальный доступ к серверу IIS, как правило, используя уязвимость безопасности или слабые настройки в функции загрузки файлов веб-сервера. Затем злоумышленник инициирует ряд шагов для развертывания вредоносных полезных нагрузок:

➡️ Выполнение команды обнаружения и разведки для сбора информации о системе.
➡️ Разворачивание VPN-инструментов и обеспечение постоянный доступ, создав скрытую учетную запись пользователя с именем "admin$".
➡️ Внедрение новых инструментов, такие как Sharp4RemoveLog (удаление журналов событий Windows), CnCrypt Protect (скрытие вредоносных файлов), OpenArk64 (антируткит с открытым исходным кодом для завершения процессов продуктов безопасности) и GotoHTTP (удаленное управление сервером).
➡️ Разворачивание вредоносного ПО BadIIS, используя только что созданную учетную запись.

🔎 Компания Cisco Talos сообщила об обнаружении трех различных вариантов в кластере BadIIS asdSearchEngine:

➡️ Эксклюзивный вариант с несколькими расширениями, который проверяет путь к файлу в запросе и игнорирует его, если он содержит расширение из списка исключений, которое может быть ресурсоемким или препятствовать отображению веб-сайта.
➡️ Вариант «Загрузка HTML-шаблонов» содержит систему генерации HTML-шаблонов для динамического создания веб-контента путем загрузки шаблонов с диска или использования встроенных резервных вариантов и замены заполнителей случайными данными, датами и содержимым, полученным из URL-адресов.
➡️ Вариант проверки соответствия запрошенного пути динамическому расширению страницы или индексу каталога, который проверяет, соответствует ли запрошенный путь динамическому расширению страницы или индексу каталога.

❗️ На данный момент не зафиксированы случаи атаки в РФ, но будьте внимательны!

#apt #iis #attack

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Противостояние ФБР и ShinyHunters. На прошлой неделе ShinyHunters заявили о взломе взломе FBIJobs.gov — сайта, через который ФБР набирает новых сотрудников.

❗️Группировка похитила порядка 2–3 Тбайт данных — в том числе персональные и медицинские сведения действующих и бывших сотрудников ФБР, соискателей. ShinyHunters передали журналистам образцы данных: издание 404 Media получило около 5000 записей (имена, адреса, телефоны, даты рождения, иногда — данные о супругах), а также BleepingComputer — ещё два образца.

Как произошла атака
➡️Хакеры утверждают, что через 0‑day‑уязвимость в Oracle PeopleSoft. Уязвимость позволила удалённо выполнить произвольный код.

➡️Затем злоумышленники продвинулись по инфраструктуре, получили доступ к серверам бюро в AWS GovCloud и скомпрометировали системы HR, MedLink, Criminal Justice и другие внутренние сервисы

Реакция сторон
1️⃣ФБР подтвердило, что расследует «несанкционированную активность, затронувшую сайт fbijobs.gov», но не сообщило, была ли утечка данных.

2️⃣ShinyHunters заявили, что цель атаки — ответ на отчёт ФБР от 15 мая 2026 года, где группировку обвиняли в преувеличении масштабов атак и других нарушениях.

🕵‍♂️Хакеры дали ФБР неделю на исправление или удаление отчёта.

Продолжение истории⬇
На днях ФБР выступило с видеообращением к участникам ShinyHunters после ареста одного из предполагаемых лидеров группировки — 24‑летнего жителя Амстердама. По данным ИБ‑журналиста Брайана Кребса и сайта DataBreaches, задержанного идентифицировали как Пепейна ван дер Стапа (ник Umbreon).

Помощник директора киберподразделения ФБР Бретт Лезерман предупредил хакеров:

Чем дольше они продолжают активность, тем больше данных о них получают правоохранители. Он призвал выйти на контакт с ведомством первыми.

В ФБР не уточнили, действительно ли им удалось захватить какую-то часть инфраструктуры ShinyHunters, и успел ли кто-то из участников группы воспользоваться предложением сдаться. Однако после ареста ван дер Стапа в ФБР сообщили, что правоохранители изъяли его электронные устройства, изучают новые зацепки и не исключают дальнейших задержаний.

Продолжаем ждать развития событий 🍿

#news #APT #FBI

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером