Zdemaskowano blisko 800 złośliwych pakietów npm dystrybuujących malware RAT i infostealer na Windows, Mac i Linux. Atak wykorzystuje nietypową dystrybucję.
Odkryto kampanię obejmującą blisko 800 złośliwych pakietów w rejestrze npm, które ukierunkowane są na systemy Windows, Mac i Linux, dystrybuując potężne oprogramowanie typu RAT i infostealer. Atak wykorzystuje instrukcje w pliku README do załadowania złośliwego kodu, co prowadzi do wykonania programu WEL1DROPPER, który następnie pobiera odpowiedni ładunek z serwerów Cloudflare Workers lub przez rekordy DNS TXT.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Malware typu stealer na macOS wykorzystuje ataki ClickFix do opróżniania portfeli kryptowalut, kradzieży haseł i danych z Apple Keychain.
Nowy malware typu stealer na macOS, wykorzystujący ataki typu ClickFix, potrafi nie tylko kraść hasła z przeglądarek i danych z Apple Keychain, ale przede wszystkim powoli opróżniać portfele kryptowalut, przenosząc środki na konta kontrolowane przez atakujących. Atak rozpoczyna się od wklejenia komendy ClickFix do Terminala, co uruchamia skrypt pobierający odpowiedni dla architektury procesora payload, który następnie zbiera dane systemowe, hasła i próbuje eskalować uprawnienia, by ostatecznie przekierować środki z portfeli takich kryptowalut jak Bitcoin, Ethereum czy XRP do portfeli atakujących.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Malware typu stealer na macOS wykorzystuje ataki ClickFix do opróżniania portfeli kryptowalut, kradzieży haseł i danych z Apple Keychain.
Nowy malware typu stealer na macOS, wykorzystujący ataki typu ClickFix, potrafi nie tylko kraść hasła z przeglądarek i danych z Apple Keychain, ale przede wszystkim powoli opróżniać portfele kryptowalut, przenosząc środki na konta kontrolowane przez atakujących. Atak rozpoczyna się od wklejenia komendy ClickFix do Terminala, co uruchamia skrypt pobierający odpowiedni dla architektury procesora payload, który następnie zbiera dane systemowe, hasła i próbuje eskalować uprawnienia, by ostatecznie przekierować środki z portfeli takich kryptowalut jak Bitcoin, Ethereum czy XRP do portfeli atakujących.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Nowa metoda ataku pozwala malware na wykorzystanie kluczy Windows Hello for Business do uzyskania trwałego dostępu do Microsoft Entra ID.
Badacz Dirk-jan Mollema z Entra ID zademonstrował, że złośliwe oprogramowanie działające w zalogowanej sesji Windows może potajemnie wykorzystać klucz Windows Hello for Business ofiary do uwierzytelnienia w Microsoft Entra ID, uzyskując tym samym długoterminowy dostęp do chmury i możliwość rejestracji własnych urządzeń bez potrzeby posiadania uprawnień administratora. Technika ta, wykorzystująca mechanizm biletowania w systemie Windows, obchodzi nawet polityki wymagające silnego uwierzytelniania odpornego na phishing, pozwalając atakującemu na rejestrację nowego urządzenia i uzyskanie tokenu odświeżania (PRT), co stanowi znaczące zagrożenie dla bezpieczeństwa danych korporacyjnych.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)
Nowa metoda ataku pozwala malware na wykorzystanie kluczy Windows Hello for Business do uzyskania trwałego dostępu do Microsoft Entra ID.
Badacz Dirk-jan Mollema z Entra ID zademonstrował, że złośliwe oprogramowanie działające w zalogowanej sesji Windows może potajemnie wykorzystać klucz Windows Hello for Business ofiary do uwierzytelnienia w Microsoft Entra ID, uzyskując tym samym długoterminowy dostęp do chmury i możliwość rejestracji własnych urządzeń bez potrzeby posiadania uprawnień administratora. Technika ta, wykorzystująca mechanizm biletowania w systemie Windows, obchodzi nawet polityki wymagające silnego uwierzytelniania odpornego na phishing, pozwalając atakującemu na rejestrację nowego urządzenia i uzyskanie tokenu odświeżania (PRT), co stanowi znaczące zagrożenie dla bezpieczeństwa danych korporacyjnych.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)
Ponad 250 domen ClickFix wykorzystuje fingerprinting przeglądarki do ukrywania macOS malware, kradnąc dane użytkowników. Microsoft ostrzega przed zaciemnionymi poleceniami w Terminalu.
Operacja ClickFix skierowana przeciwko użytkownikom macOS obejmuje ponad 250 domen, które stosują zaawansowane techniki fingerprintingu przeglądarki do identyfikacji odwiedzających i wyświetlania fałszywych pobrań oprogramowania, ukrywając złośliwe działania przed skanerami i piaskownicami. Wykryte złośliwe oprogramowanie, takie jak MacSync i Atomic Stealer (AMOS), wymaga od użytkownika uruchomienia zaciemnionego polecenia w Terminalu, które kradnie dane uwierzytelniające, informacje o przeglądaniu, portfele kryptowalut i wrażliwe pliki, co stanowi znaczące zagrożenie cyberbezpieczeństwa wymagające ostrożności.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Ponad 250 domen ClickFix wykorzystuje fingerprinting przeglądarki do ukrywania macOS malware, kradnąc dane użytkowników. Microsoft ostrzega przed zaciemnionymi poleceniami w Terminalu.
Operacja ClickFix skierowana przeciwko użytkownikom macOS obejmuje ponad 250 domen, które stosują zaawansowane techniki fingerprintingu przeglądarki do identyfikacji odwiedzających i wyświetlania fałszywych pobrań oprogramowania, ukrywając złośliwe działania przed skanerami i piaskownicami. Wykryte złośliwe oprogramowanie, takie jak MacSync i Atomic Stealer (AMOS), wymaga od użytkownika uruchomienia zaciemnionego polecenia w Terminalu, które kradnie dane uwierzytelniające, informacje o przeglądaniu, portfele kryptowalut i wrażliwe pliki, co stanowi znaczące zagrożenie cyberbezpieczeństwa wymagające ostrożności.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Wirus npm Keyv zatruł setki pakietów, kradnąc dane uwierzytelniające i instalując haki. Podano zalecenia dotyczące reagowania na incydent.
Złośliwy wirus npm, który zaczął rozprzestrzeniać się z pakietu [email protected], zainfekował setki innych pakietów na przestrzeni wielu organizacji, instalując skrypty kradnące dane uwierzytelniające, takie jak klucze repozytoriów, npm, chmury i klucze prywatne. Wirus wykorzystuje hakowanie kodu Claude i VS Code do dalszego rozprzestrzeniania, a narażone środowiska należy traktować jako skompromitowane, wymagając odzyskania tokenów i kluczy oraz usunięcia mechanizmów unieważniania.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Wirus npm Keyv zatruł setki pakietów, kradnąc dane uwierzytelniające i instalując haki. Podano zalecenia dotyczące reagowania na incydent.
Złośliwy wirus npm, który zaczął rozprzestrzeniać się z pakietu [email protected], zainfekował setki innych pakietów na przestrzeni wielu organizacji, instalując skrypty kradnące dane uwierzytelniające, takie jak klucze repozytoriów, npm, chmury i klucze prywatne. Wirus wykorzystuje hakowanie kodu Claude i VS Code do dalszego rozprzestrzeniania, a narażone środowiska należy traktować jako skompromitowane, wymagając odzyskania tokenów i kluczy oraz usunięcia mechanizmów unieważniania.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Odkryto nowy loader HollowFrame i backdoor Matryoshka wykorzystywane w atakach phishingowych na kancelarie prawne. Złośliwe oprogramowanie ułatwia zdalną kontrolę i rekonesans.
Badacze bezpieczeństwa odkryli nowy framework typu loader w języku Go, nazwany HollowFrame, oraz rodzinę złośliwego oprogramowania w języku Rust, określaną jako Matryoshka. Atak rozpoczyna się od wiadomości phishingowej zawierającej link do zaszyfrowanego archiwum, które po uruchomieniu wywołuje wieloetapowy łańcuch działań obejmujący eskalację uprawnień, osłabianie zabezpieczeń Microsoft Defender i pobieranie dodatkowych ładunków, co daje atakującemu stały dostęp do zdalnego wykonania poleceń i rekonesansu w sieci.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Odkryto nowy loader HollowFrame i backdoor Matryoshka wykorzystywane w atakach phishingowych na kancelarie prawne. Złośliwe oprogramowanie ułatwia zdalną kontrolę i rekonesans.
Badacze bezpieczeństwa odkryli nowy framework typu loader w języku Go, nazwany HollowFrame, oraz rodzinę złośliwego oprogramowania w języku Rust, określaną jako Matryoshka. Atak rozpoczyna się od wiadomości phishingowej zawierającej link do zaszyfrowanego archiwum, które po uruchomieniu wywołuje wieloetapowy łańcuch działań obejmujący eskalację uprawnień, osłabianie zabezpieczeń Microsoft Defender i pobieranie dodatkowych ładunków, co daje atakującemu stały dostęp do zdalnego wykonania poleceń i rekonesansu w sieci.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Północnokoreańscy hakerzy stoją za kampanią malvertisingową na macOS, która kradnie kryptowaluty za pomocą fałszywych aktualizacji i ClickFix.
Zagrożenia powiązane z Koreą Północną są odpowiedzialne za wyrafinowaną kampanię malvertisingową na macOS, która przekierowuje użytkowników na fałszywe strony internetowe wyświetlające sekwencję aktualizacji w pełnym ekranie. Technika ClickFix polega na skopiowaniu polecenia do schowka i nakłonieniu ofiary do jego wykonania w Terminalu, a do komunikacji z serwerem C2 wykorzystywany jest blockchain i inteligentne kontrakty Ethereum.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Północnokoreańscy hakerzy stoją za kampanią malvertisingową na macOS, która kradnie kryptowaluty za pomocą fałszywych aktualizacji i ClickFix.
Zagrożenia powiązane z Koreą Północną są odpowiedzialne za wyrafinowaną kampanię malvertisingową na macOS, która przekierowuje użytkowników na fałszywe strony internetowe wyświetlające sekwencję aktualizacji w pełnym ekranie. Technika ClickFix polega na skopiowaniu polecenia do schowka i nakłonieniu ofiary do jego wykonania w Terminalu, a do komunikacji z serwerem C2 wykorzystywany jest blockchain i inteligentne kontrakty Ethereum.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Dwa pakiety npm z przestrzeni @joyfill zainfekowane złośliwym RATem. Atak wykorzystuje blockchain do dystrybucji kodu.
Dwie wersje beta pakietów npm z przestrzeni nazw @joyfill zostały zainfekowane złośliwym oprogramowaniem typu RAT (Remote Access Trojan) powiązanym z rodziną malware DEV#POPPER. Złośliwy kod jest ukryty w implantach JavaScript, które po załadowaniu pakietu do Node.js deszyfrują i wykonują dalsze polecenia, korzystając z sieci blockchain (Tron, Aptos, BNB Smart Chain) jako mechanizmu dystrybucji i odporności. Atak ten wiąże się z operacjami północnokoreańskich aktorów zagrożeń i obejmuje takie funkcje jak kradzież danych, przejmowanie kontroli nad systemem czy wstrzykiwanie backdoora.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Dwa pakiety npm z przestrzeni @joyfill zainfekowane złośliwym RATem. Atak wykorzystuje blockchain do dystrybucji kodu.
Dwie wersje beta pakietów npm z przestrzeni nazw @joyfill zostały zainfekowane złośliwym oprogramowaniem typu RAT (Remote Access Trojan) powiązanym z rodziną malware DEV#POPPER. Złośliwy kod jest ukryty w implantach JavaScript, które po załadowaniu pakietu do Node.js deszyfrują i wykonują dalsze polecenia, korzystając z sieci blockchain (Tron, Aptos, BNB Smart Chain) jako mechanizmu dystrybucji i odporności. Atak ten wiąże się z operacjami północnokoreańskich aktorów zagrożeń i obejmuje takie funkcje jak kradzież danych, przejmowanie kontroli nad systemem czy wstrzykiwanie backdoora.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Nowa kampania złośliwego oprogramowania wykorzystuje Telegram do ukrywania komunikacji C2 w atakach na instytucje rządowe Bliskiego Wschodu.
Badacze cyberbezpieczeństwa zidentyfikowali nową kampanię złośliwego oprogramowania, prowadzoną przez grupę powiązaną z Azją Wschodnią, która celuje w instytucje rządowe na Bliskim Wschodzie. Wykorzystując nowe rodziny malware, takie jak TELESHIM, MIXEDKEY i BINDCLOAK, atakujący używają Telegramu do komunikacji Command and Control (C2), aby ukryć swoje działania w normalnym ruchu internetowym, a także stosują zaawansowane techniki zaciemniania kodu i unikania wykrycia przez systemy bezpieczeństwa.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Nowa kampania złośliwego oprogramowania wykorzystuje Telegram do ukrywania komunikacji C2 w atakach na instytucje rządowe Bliskiego Wschodu.
Badacze cyberbezpieczeństwa zidentyfikowali nową kampanię złośliwego oprogramowania, prowadzoną przez grupę powiązaną z Azją Wschodnią, która celuje w instytucje rządowe na Bliskim Wschodzie. Wykorzystując nowe rodziny malware, takie jak TELESHIM, MIXEDKEY i BINDCLOAK, atakujący używają Telegramu do komunikacji Command and Control (C2), aby ukryć swoje działania w normalnym ruchu internetowym, a także stosują zaawansowane techniki zaciemniania kodu i unikania wykrycia przez systemy bezpieczeństwa.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Grupa BlueNoroff wykorzystuje zaawansowane zestawy phishingowe do okradania portfeli kryptowalut, podszywając się pod Zoom i Teams. Odkrycie budzi obawy o bezpieczeństwo cyfrowe.
Północnokoreańska grupa BlueNoroff opracowała zaawansowany zestaw phishingowy, który podszywa się pod popularne platformy komunikacyjne, takie jak Zoom i Microsoft Teams, w celu kradzieży danych i dostarczenia złośliwego oprogramowania. Kampania polega na manipulacji zaufanymi kontaktami, inżynierii społecznej i profilowaniu portfeli kryptowalut ofiar przed właściwym atakiem, co pozwala na selektywne targetowanie wartościowych celów. Zestaw ten jest częścią powtarzalnego procesu akwizycji ofiar, wykorzystującego m.in. skradzione konta Telegram i spreparowane linki spotkań Calendly.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Grupa BlueNoroff wykorzystuje zaawansowane zestawy phishingowe do okradania portfeli kryptowalut, podszywając się pod Zoom i Teams. Odkrycie budzi obawy o bezpieczeństwo cyfrowe.
Północnokoreańska grupa BlueNoroff opracowała zaawansowany zestaw phishingowy, który podszywa się pod popularne platformy komunikacyjne, takie jak Zoom i Microsoft Teams, w celu kradzieży danych i dostarczenia złośliwego oprogramowania. Kampania polega na manipulacji zaufanymi kontaktami, inżynierii społecznej i profilowaniu portfeli kryptowalut ofiar przed właściwym atakiem, co pozwala na selektywne targetowanie wartościowych celów. Zestaw ten jest częścią powtarzalnego procesu akwizycji ofiar, wykorzystującego m.in. skradzione konta Telegram i spreparowane linki spotkań Calendly.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Golden Chickens powraca z nowymi rodzinami malware: TinyEgg, ChonkyChicken i ChromEggscalator. Grupa TAG-195 ewoluuje swoje narzędzia MaaS, stawiając na modularność i unikanie detekcji.
Grupa cyberprzestępcza stojąca za ekosystemem malware-as-a-service (MaaS) Golden Chickens odrodziła się, wprowadzając cztery nowe rodziny złośliwego oprogramowania: TinyEgg, ChonkyChicken (w tym wersję modularną) oraz narzędzie ChromEggscalator do kradzieży danych logowania z przeglądarek. Zmiana ta stanowi ewolucję narzędzi TAG-195, charakteryzującą się wspólnymi mechanizmami C2, metodami utrwalania obecności i zaciemniania kodu, zorientowaną na większą elastyczność i unikanie wykrycia.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Golden Chickens powraca z nowymi rodzinami malware: TinyEgg, ChonkyChicken i ChromEggscalator. Grupa TAG-195 ewoluuje swoje narzędzia MaaS, stawiając na modularność i unikanie detekcji.
Grupa cyberprzestępcza stojąca za ekosystemem malware-as-a-service (MaaS) Golden Chickens odrodziła się, wprowadzając cztery nowe rodziny złośliwego oprogramowania: TinyEgg, ChonkyChicken (w tym wersję modularną) oraz narzędzie ChromEggscalator do kradzieży danych logowania z przeglądarek. Zmiana ta stanowi ewolucję narzędzi TAG-195, charakteryzującą się wspólnymi mechanizmami C2, metodami utrwalania obecności i zaciemniania kodu, zorientowaną na większą elastyczność i unikanie wykrycia.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)
Przegląd najnowszych zagrożeń cybernetycznych: szpiegowski Android, ataki na sterowniki PLC, AI, malware i inne historie z ThreatsDay.
Tygodnik „ThreatsDay” The Hackers News przedstawia przegląd najnowszych zagrożeń cybernetycznych, od szpiegującego oprogramowania na Androida i ataków na sterowniki PLC, po nowe techniki wykorzystujące sztuczną inteligencję i podatności w popularnych platformach deweloperskich. Wiele zagrożeń maskuje się jako użyteczne narzędzia lub funkcje, co utrudnia ich wykrycie i wymaga zwiększonej uwagi użytkowników oraz administratorów.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Przegląd najnowszych zagrożeń cybernetycznych: szpiegowski Android, ataki na sterowniki PLC, AI, malware i inne historie z ThreatsDay.
Tygodnik „ThreatsDay” The Hackers News przedstawia przegląd najnowszych zagrożeń cybernetycznych, od szpiegującego oprogramowania na Androida i ataków na sterowniki PLC, po nowe techniki wykorzystujące sztuczną inteligencję i podatności w popularnych platformach deweloperskich. Wiele zagrożeń maskuje się jako użyteczne narzędzia lub funkcje, co utrudnia ich wykrycie i wymaga zwiększonej uwagi użytkowników oraz administratorów.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Odkryto narzędzia phishingowe wspomagane przez AI w kampanii malware WebDAV. Niezabezpieczony serwer ujawnił pełen zestaw atakującego.
Badacze z Rapid7 odkryli niezabezpieczony serwer zawierający kompletny zestaw narzędzi phishingowych, wspieranych przez sztuczną inteligencję, który był wykorzystywany w kampanii malware przeciwko użytkownikom w Meksyku, dystrybuując infostealera poprzez fałszywą stronę pobierania dokumentów rządowych wykorzystującą protokół WebDAV. Zestaw zawierał szablony, narzędzia do testowania spoofingu nazw plików, notatki deweloperskie oraz fragmenty kampanii, w tym potwierdzoną aktywną kampanię skierowaną przeciwko użytkownikom Windows w Meksyku, wykorzystującą podatność CVE-2025-33053.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Odkryto narzędzia phishingowe wspomagane przez AI w kampanii malware WebDAV. Niezabezpieczony serwer ujawnił pełen zestaw atakującego.
Badacze z Rapid7 odkryli niezabezpieczony serwer zawierający kompletny zestaw narzędzi phishingowych, wspieranych przez sztuczną inteligencję, który był wykorzystywany w kampanii malware przeciwko użytkownikom w Meksyku, dystrybuując infostealera poprzez fałszywą stronę pobierania dokumentów rządowych wykorzystującą protokół WebDAV. Zestaw zawierał szablony, narzędzia do testowania spoofingu nazw plików, notatki deweloperskie oraz fragmenty kampanii, w tym potwierdzoną aktywną kampanię skierowaną przeciwko użytkownikom Windows w Meksyku, wykorzystującą podatność CVE-2025-33053.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Malware HollowGraph ukrywa C2 i skradzione pliki w wydarzeniach Microsoft 365 z datą 2050 roku, wykorzystując API Graph i DNS do komunikacji.
Nowo odkryty implant szpiegowski, nazwany HollowGraph, wykorzystuje przejęty kalendarz Microsoft 365 jako kanał dowodzenia, ukrywając instrukcje operatora i skradzione pliki jako załączniki w wydarzeniach z datą w roku 2050. Malware ten działa poprzez legalny ruch API Microsoft Graph, co utrudnia jego wykrycie, wykorzystując przy tym szyfrowanie RSA i AES-256 oraz alternatywny kanał DNS do odświeżania danych uwierzytelniających Entra ID. Chociaż technika ta nie wykorzystuje luk w oprogramowaniu Microsoft, a jedynie skompromitowane konta, Group-IB wiąże ją z aktorami związanymi z irańskim Ministerstwem Wywiadu i Bezpieczeństwa, wskazując na potrzebę monitorowania nietypowych zmian w kalendarzu i ruchu DNS.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Malware HollowGraph ukrywa C2 i skradzione pliki w wydarzeniach Microsoft 365 z datą 2050 roku, wykorzystując API Graph i DNS do komunikacji.
Nowo odkryty implant szpiegowski, nazwany HollowGraph, wykorzystuje przejęty kalendarz Microsoft 365 jako kanał dowodzenia, ukrywając instrukcje operatora i skradzione pliki jako załączniki w wydarzeniach z datą w roku 2050. Malware ten działa poprzez legalny ruch API Microsoft Graph, co utrudnia jego wykrycie, wykorzystując przy tym szyfrowanie RSA i AES-256 oraz alternatywny kanał DNS do odświeżania danych uwierzytelniających Entra ID. Chociaż technika ta nie wykorzystuje luk w oprogramowaniu Microsoft, a jedynie skompromitowane konta, Group-IB wiąże ją z aktorami związanymi z irańskim Ministerstwem Wywiadu i Bezpieczeństwa, wskazując na potrzebę monitorowania nietypowych zmian w kalendarzu i ruchu DNS.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Aresztowanie na Florydzie mężczyzny oskarżonego o kradzież ponad 200 000 USD w kryptowalutach przy użyciu złośliwego oprogramowania w grach Steam.
21-letni Zyaire Wilkins został aresztowany za rzekomą kradzież co najmniej 220 000 USD w kryptowalutach przy użyciu złośliwego oprogramowania osadzonego w grach na platformie Steam. Wraz ze wspólnikami stworzyli i promowali osiem gier zawierających malware, które zainfekowały około 8 000 urządzeń i pozwoliły na dostęp do 80 portfeli kryptowalutowych, kradnąc prywatne informacje i środki użytkowników.
Źródło: The Verge
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐ (6/10)
Aresztowanie na Florydzie mężczyzny oskarżonego o kradzież ponad 200 000 USD w kryptowalutach przy użyciu złośliwego oprogramowania w grach Steam.
21-letni Zyaire Wilkins został aresztowany za rzekomą kradzież co najmniej 220 000 USD w kryptowalutach przy użyciu złośliwego oprogramowania osadzonego w grach na platformie Steam. Wraz ze wspólnikami stworzyli i promowali osiem gier zawierających malware, które zainfekowały około 8 000 urządzeń i pozwoliły na dostęp do 80 portfeli kryptowalutowych, kradnąc prywatne informacje i środki użytkowników.
Źródło: The Verge
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐ (6/10)
Północnokoreańscy hakerzy wykorzystują fałszywe testy kodowania i obrazy SVG do dostarczania złośliwego oprogramowania OtterCookie, celując w deweloperów.
Północnokoreańscy aktorzy zagrożeń, powiązani z kampanią Contagious Interview, wykorzystują steganografię w plikach SVG do ukrywania złośliwego oprogramowania, stosując fałszywe oferty pracy i wyzwania programistyczne. Użytkownicy uruchamiający projekty napotykają czterostopniowy ładunek zgodny z OtterCookie, który obejmuje kradzież danych uwierzytelniających przeglądarki i portfeli kryptowalut, kradzież plików, trojana zdalnego dostępu (RAT) opartego na Socket.IO oraz kradzież zawartości schowka, co podkreśla ciągłe zagrożenie dla deweloperów.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Północnokoreańscy hakerzy wykorzystują fałszywe testy kodowania i obrazy SVG do dostarczania złośliwego oprogramowania OtterCookie, celując w deweloperów.
Północnokoreańscy aktorzy zagrożeń, powiązani z kampanią Contagious Interview, wykorzystują steganografię w plikach SVG do ukrywania złośliwego oprogramowania, stosując fałszywe oferty pracy i wyzwania programistyczne. Użytkownicy uruchamiający projekty napotykają czterostopniowy ładunek zgodny z OtterCookie, który obejmuje kradzież danych uwierzytelniających przeglądarki i portfeli kryptowalut, kradzież plików, trojana zdalnego dostępu (RAT) opartego na Socket.IO oraz kradzież zawartości schowka, co podkreśla ciągłe zagrożenie dla deweloperów.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Nowe złośliwe oprogramowanie TELEPUZ rozprzestrzenia się przez ClickFix, kradnie dane i wykonuje polecenia. Analiza zagrożenia.
Nowe, modułowe złośliwe oprogramowanie TELEPUZ, rozwijane przez potencjalnie jednego twórcę, rozprzestrzenia się od kwietnia 2026 roku za pośrednictwem stron internetowych zainfekowanych pułapkami ClickFix, które wykorzystują technikę przechwytywania schowka (pastejacking) do nakłonienia użytkowników do ręcznego uruchamiania złośliwych poleceń. Po obejściu zabezpieczeń i analizie środowiska, TELEPUZ może przejmować kontrolę nad systemem, wykradając dane, rejestrując naciśnięcia klawiszy, wykonując polecenia zdalne oraz przejmując ciasteczka z przeglądarek, często działając w modelu malware-as-a-service (MaaS) mimo wczesnego stadium rozwoju.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Nowe złośliwe oprogramowanie TELEPUZ rozprzestrzenia się przez ClickFix, kradnie dane i wykonuje polecenia. Analiza zagrożenia.
Nowe, modułowe złośliwe oprogramowanie TELEPUZ, rozwijane przez potencjalnie jednego twórcę, rozprzestrzenia się od kwietnia 2026 roku za pośrednictwem stron internetowych zainfekowanych pułapkami ClickFix, które wykorzystują technikę przechwytywania schowka (pastejacking) do nakłonienia użytkowników do ręcznego uruchamiania złośliwych poleceń. Po obejściu zabezpieczeń i analizie środowiska, TELEPUZ może przejmować kontrolę nad systemem, wykradając dane, rejestrując naciśnięcia klawiszy, wykonując polecenia zdalne oraz przejmując ciasteczka z przeglądarek, często działając w modelu malware-as-a-service (MaaS) mimo wczesnego stadium rozwoju.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Nowy stealer ClickLock na macOS zmusza użytkowników do podania hasła, zabijając aplikacje. Grupa-IB ostrzega przed nowym zagrożeniem.
Nowy stealer ClickLock na macOS działa w pętli, zabijając aplikacje ofiary co 210 milisekund, dopóki nie zostanie podane hasło logowania. Po otrzymaniu hasła, atakujący przejmuje dane z pęku kluczy, dane uwierzytelniające przeglądarki i portfele kryptowalut. Działanie złośliwego oprogramowania, wykrytego w ponad 100 celach w 33 krajach od maja, polega na tworzeniu fałszywych dialogów systemowych i uruchamianiu mechanizmów blokujących działanie systemu, aż do momentu uzyskania dostępu do wrażliwych danych.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)
Nowy stealer ClickLock na macOS zmusza użytkowników do podania hasła, zabijając aplikacje. Grupa-IB ostrzega przed nowym zagrożeniem.
Nowy stealer ClickLock na macOS działa w pętli, zabijając aplikacje ofiary co 210 milisekund, dopóki nie zostanie podane hasło logowania. Po otrzymaniu hasła, atakujący przejmuje dane z pęku kluczy, dane uwierzytelniające przeglądarki i portfele kryptowalut. Działanie złośliwego oprogramowania, wykrytego w ponad 100 celach w 33 krajach od maja, polega na tworzeniu fałszywych dialogów systemowych i uruchamianiu mechanizmów blokujących działanie systemu, aż do momentu uzyskania dostępu do wrażliwych danych.
Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)