Malware

Badacze cyberbezpieczeństwa ujawnili szczegóły platformy dystrybucji złośliwego oprogramowania o nazwie ROMULUS, która jest wykorzystywana do rozpowszechniania malware, takiego jak LegionLoader. Platforma ta działa jako usługa dostarczania złośliwego oprogramowania, stosując techniki ClickFix na fałszywych stronach docelowych, aby oszukać użytkowników do uruchomienia złośliwych poleceń i zainfekowania ich maszyn. ROMULUS umożliwia pobieranie skryptów PowerShell, które następnie decydują o dalszym ładunku, takim jak trojanizowany instalator MSI lub zaszyfrowany archiwum zawierające LegionLoader, skutecznie ewoluując ClickFix z techniki inżynierii społecznej w punkt wejścia dla malware.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Kopie płatnej wersji pluginu SEO WordPress Rank Math PRO, pobrane między 15 a 16 października, zawierały złośliwe oprogramowanie, które tworzyło samonaprawiającą się tylną furtkę, infekując strony odwiedzane przez użytkowników. Firma Rank Math usunęła zainfekowane pliki i wydała czystą wersję 3.0.124, jednak proces odzyskiwania wymaga dokładnego czyszczenia serwera, zmiany haseł oraz skanowania bezpieczeństwa, a eksponowane mogły zostać wszelkie poufne dane witryny.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Oszustwo podszywające się pod akcelerator Web3 “Apex Accelerator” rozsyła złośliwe oprogramowanie szpiegujące i backdoory na systemy Windows i macOS za pomocą zainfekowanych pakietów npm, udając darmowe kredyty AI dla Anthropic Claude i Google Gemini. Działanie, śledzone jako REF8801, nie tylko infekuje systemy, ale także przekierowuje ruch modeli AI do serwerów kontrolowanych przez atakujących, jednocześnie generując fałszywe raporty bezpieczeństwa w narzędziach audytowych. Kampania, której źródło powiązano z rosyjskojęzycznymi komentarzami, stosuje zaawansowane techniki omijania zabezpieczeń, takie jak łatanie AMSI i ETW oraz wykorzystywanie luk UAC, aby kraść dane wrażliwe, w tym hasła z przeglądarek, informacje o portfelach kryptowalutowych i dane z komunikatorów, które następnie są wysyłane przez Telegram.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Najnowszy biuletyn ThreatsDay analizuje szereg nowych zagrożeń cybernetycznych, od zdrady w grupach ransomware i wykorzystania WhatsApp do dystrybucji malware, po luki w oprogramowaniu deweloperskim i platformach chmurowych, a także nowe metody phishingu i zagrożenia dla urządzeń medycznych w kontekście kryptografii postkwantowej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Ponad 100 stron internetowych zostało zainfekowanych złośliwym JavaScriptem, który dystrybuuje malware kradnący informacje zwane LunexStealer (Psychedelic Stealer). Atakujący wykorzystują fałszywe strony weryfikacyjne Cloudflare i techniki takie jak ClickFix oraz EtherHiding do pobierania pakietów MSI zawierających malware, który może omijać zabezpieczenia systemu Windows i kraść dane.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Złośliwi aktorzy nadużywają funkcji Custom GPT w ChatGPT, maskując je jako legalne oferty, aby kierować ofiary na złośliwe strony używające ClickFix do dystrybucji złośliwego oprogramowania. Campania, obserwowana od końca września 2026 roku, wykorzystuje spreparowane GPT do nakłonienia użytkowników do pobrania i uruchomienia instalatora z RAT-em, który potrafi m.in. przechwytywać dane, nagrywać audio/wideo i uzyskiwać zdalny dostęp. Mechanizm obejmuje także ukrywanie kodu w plikach WAV i omijanie zabezpieczeń systemowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Złośliwe oprogramowanie NeedyMantis, wykryte przez Microsoft, jest wykorzystywane przez hakerów do długoterminowego utrzymywania dostępu w sieciach, które wcześniej zostały zaatakowane. Malware ten był stosowany w ukierunkowanych atakach na organizacje telekomunikacyjne, uniwersytety, organizacje non-profit medyczne, organizacje międzyrządowe oraz kontrahentów rządowych, a jego historia sięga co najmniej października 2025 roku. NeedyMantis działa poprzez techniki takie jak DLL sideloading, wykorzystując skompromitowane pliki programów, takich jak Poedit czy Vim, do uruchomienia swojego głównego komponentu, który komunikuje się z serwerami C2.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nowa wersja złośliwego oprogramowania PamStealer dla systemu macOS wprowadza zaawansowane techniki deszyfracji ładunku głównego, wymagające interakcji z serwerem C2, oraz rozbudowane mechanizmy zapewniające stałą obecność na zainfekowanym urządzeniu. Atak wykorzystuje fałszywą stronę internetową promującą nieistniejący portfel kryptowalutowy do dystrybucji infekcji, która następnie pobiera specjalne narzędzie deszyfrujące i przeprowadza wymianę kluczy z serwerem, co utrudnia analizę statyczną i zwiększa zależność od infrastruktury atakującego.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Tydzień przyniósł nowe zagrożenia wykorzystujące zaufane ścieżki, stare luki w nowej odsłonie oraz narzędzia AI wyciekające dane, co pokazuje, że powierzchowne oszustwa i błędy w konfiguracji wystarczą do skutecznych ataków. Od trojanów bankowych ABAI po wycieki kodu przez narzędzia programistyczne, od ataków phishingowych podszywających się pod Google po masowe kampanie dezinformacyjne zatruwające wyniki wyszukiwania AI i luki pozwalające na wykonanie kodu jednym kliknięciem, artykuł omawia szerokie spektrum nowych zagrożeń cyfrowych, podkreślając stałe słabości związane z zaufaniem, dostępem, przestarzałym oprogramowaniem i błędami konfiguracyjnymi, które napędzają te ataki.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Domena “third-party[.]com”, wcześniej powszechnie używana jako placeholder w dokumentacji, obecnie serwuje złośliwe treści, w tym atak typu ClickFix skierowany na użytkowników Windows. Atak polega na wyświetlaniu fałszywych komunikatów o błędach, które nakłaniają użytkowników do skopiowania i wykonania złośliwego polecenia w celu “naprawienia” problemu, często poprzez przejęcie schowka. Domena, pierwotnie używana jako przykład, nie była zastrzeżona przez IANA, co pozwoliło na jej rejestrację przez atakujących i wykorzystanie do dystrybucji złośliwego oprogramowania i oszustw, stanowiąc zagrożenie dla setek tysięcy repozytoriów i projektów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nowy raport CTM360 ujawnia, jak technika ClickFix, wykorzystująca inżynierię społeczną i manipulację schowkiem, stała się wiodącą metodą włamań do sieci korporacyjnych, omijając tradycyjne zabezpieczenia. Złośliwe skrypty, ukryte w infrastrukturze blockchain i rozsyłane przez strony takie jak WordPress, wykorzystują autoryzowanych użytkowników do wykonywania komend, co czyni standardowe blokowanie domen nieskutecznym.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Nowe złośliwe oprogramowanie dla systemu Windows o nazwie CLOSEDQUORUM wykorzystuje do czterech modeli sztucznej inteligencji do głosowania i podejmowania decyzji o kolejnych działaniach, zamiast opierać się na serwerach atakującego. Talos odkrył tę próbę przeniesienia decyzji z atakującego na SI, powiązaną z działalnością na forach internetowych dotyczącą oszustw kartowych, choć publiczna wersja malware jest obecnie nie w pełni funkcjonalna. Po raz pierwszy publicznie udokumentowano przypadek, w którym Windows implant przekazuje decyzje dotyczące Command and Control (C2) modelom SI, wykorzystując do tego celu API komercyjnych usług AI.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Iranští kybernetičtí aktéři, operující pod identitou Handala Hack, byli spojeni s malwarem HEAVYGRAM, které funguje jako backdoor na platformě Telegram, umožňující vzdálené spouštění příkazů, exfiltraci dat, screenshoty a krádež hesel. Tento sofistikovaný nástroj, který se maskuje za legitimní aplikace a využívá techniky obcházení obrany, je součástí vícefázového řetězce infekce zaměřeného na disidenty a opoziční skupiny, jak upozornily americké a britské bezpečnostní agentury.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze bezpieczeństwa wykryli nową operację brazylijskiego złośliwego oprogramowania bankowego o nazwie KREMLIN, która aktywnie działa od maja 2025 roku, infekując przeglądarki Chrome i Edge za pomocą złośliwych rozszerzeń. Malware wykorzystuje wieloetapowe ładowacze JavaScript, niestandardowe instalatory C++ oraz inteligentnie obchodzi mechanizmy integralności Chromium, manipulując plikami preferencji przeglądarki. Kluczową cechą KREMLIN jest wykorzystanie blockchain i kontraktów smart na Ethereum do ukrywania infrastruktury C2, co utrudnia jej zakłócenie. Złośliwe oprogramowanie kradnie dane uwierzytelniające, tokeny sesji i inne wrażliwe dane, a większość wykrytych infekcji (ponad 98%) zlokalizowana jest w Brazylii.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Agencje wywiadowcze USA, Wielkiej Brytanii i Holandii ostrzegają przed złośliwym oprogramowaniem dla systemu Windows, używanym przez irańską służbę wywiadowczą do inwigilacji dysydentów, dziennikarzy i aktywistów na całym świecie. Malware, znane jako HEAVYGRAM lub CHOSEN BRICK, jest sterowane przez komunikator Telegram, umożliwiając kradzież danych, tworzenie zrzutów ekranu i nagrywanie dźwięku, a jego głównym celem jest tłumienie opozycji i przeciwników reżimu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto nową rodzinę złośliwego oprogramowania o nazwie BambooToken, która od co najmniej lutego 2023 roku aktywnie atakuje organizacje w Azji i Ameryce Południowej, wykorzystując protokół MQTT do zdalnego sterowania systemami Windows i Linux. Ataki, polegające m.in. na wykorzystaniu podatności w oprogramowaniu Tendyron ‘OnKey’ do infekowania maszyn, wydają się być prowadzone przez zaawansowanego aktora z Chin, który skutecznie unikał wykrycia do 2026 roku.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nowe złośliwe oprogramowanie powiązane z incydentami bezpieczeństwa w urządzeniach F5 BIG-IP Access Policy Manager wykorzystuje zaawansowaną technikę wstrzykiwania PHP web shell bezpośrednio do pamięci operacyjnej, zamiast przechowywać go na dysku. Mechanizm ten polega na modyfikowaniu pamięci podręcznej Apache podczas ładowania własnych skryptów PHP urządzenia, co sprawia, że tradycyjne metody detekcji oparte na skanowaniu plików są nieskuteczne. Oprogramowanie wykorzystuje lukę CVE-2025-53521, która została przeklasyfikowana z problemu DoS na zdalne wykonanie kodu, i pozwala na interaktywną egzekucję poleceń przez lokalne gniazdo, omijając otwieranie portów sieciowych, co stanowi poważne zagrożenie dla bezpieczeństwa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Badacze bezpieczeństwa odkryli PEEP, zaawansowany zestaw narzędzi do eskalacji po przejęciu, który maskuje się jako rozszerzenie do zakładek w przeglądarkach Chrome i Edge. Narzędzie to, wykorzystujące luki w mechanizmach bezpieczeństwa przeglądarek, pozwala na wykonanie komend systemowych i zarządzanie plikami na zainfekowanym komputerze, działając jako trwała tylna furtka dla atakującego. PEEP bazuje na frameworku RedExt, rozszerzając jego możliwości o zaawansowane procedury instalacji i komunikacji z serwerem C2, choć sam nie posiada wektora początkowego dostępu, wymagając wcześniejszego przełamania zabezpieczeń systemu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto nowy malware o nazwie JSCeal, który wykorzystuje zaawansowane techniki zaciemniania kodu JavaScript w celu kradzieży danych uwierzytelniających, monitorowania użytkowników i przechwytywania ruchu sieciowego. Wykorzystując skradzione ciasteczka sesji, jest w stanie omijać mechanizmy uwierzytelniania, w tym weryfikację kont Google, a także modyfikować ruch internetowy na potrzeby platform kryptowalutowych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto cztery nowe programy związane z REVSTEALER, złośliwym oprogramowaniem kradnącym dane, które pozostają aktywne po usunięciu samego stealer’a. Jeden z tych modułów, LockAppHost, dezaktywuje usługę Windows Update i Microsoft Defender, a następnie uruchamia koparkę kryptowalut, wykorzystując luki w zabezpieczeniach systemu. Pozostałe moduły, ProManager, WinUpdate i SoftManager, również mają na celu kradzież danych finansowych i poufnych informacji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Eksperci ds. cyberbezpieczeństwa ujawnili szczegóły zaawansowanego frameworka malware dla systemu Windows, napisanego w Pythonie, o nazwie BraZetsu, który zasila podziemny rynek komercjalizujący dostęp do zainfekowanych hostów. Ten kompleksowy zestaw narzędzi umożliwia brokerom pierwszego dostępu (IAB) przekształcanie skompromitowanych systemów w cenne zasoby, wykorzystując między innymi techniki maskowania, generatywną sztuczną inteligencję do analizy danych oraz modułową architekturę do przeprowadzania ukierunkowanych ataków, głównie na cele w Ameryce Łacińskiej i na Półwyspie Iberyjskim.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Aktywna kampania malware wykorzystuje fałszywe strony pobierania oprogramowania, podszywając się pod zaufanych dostawców i dystrybuując złośliwe instalatory, które osłabiają zabezpieczenia systemu Windows, wyłączają aktualizacje i umożliwiają komunikację z infrastrukturą kontrolowaną przez atakujących. Kampania, która dotknęła wiele sektorów, jest powiązana z chińską grupą zagrożeń Silver Fox (Yinhu) i dystrybuuje m.in. Gh0st RAT i ValleyRAT, podszywając się pod popularne aplikacje. Złośliwe oprogramowanie konfiguruje wykluczenia w Defenderze, usuwa kopie woluminów i modyfikuje uprawnienia, a także blokuje Windows Update poprzez zatrzymywanie usług i modyfikację plików systemowych, a następnie nawiązuje komunikację C2 na niestandardowych portach. Atakujący wykorzystują znaną aplikację adware do ukrywania backdoorów, co utrudnia wykrycie, a celem są organizacje na całym świecie, motywowane szpiegostwem i zyskiem finansowym.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Grupa cyberprzestępcza “Gambling Goblin” wykorzystuje zainfekowane serwery Apache należące do brazylijskich instytucji rządowych i edukacyjnych do przekierowywania użytkowników na strony promujące hazard online i zakłady sportowe. Kampania ta, trwająca od połowy 2025 roku, polega na odwracaniu ruchu z legalnych domen i wyświetlaniu fałszywych stron przypominających sklepy z aplikacjami, w celu manipulacji wynikami wyszukiwania i zwiększenia zasięgu stron hazardowych. Zidentyfikowano również inne grupy, takie jak “GhostRedirector”, które stosują podobne techniki, infekując serwery IIS.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze cyberbezpieczeństwa ostrzegają przed nowym trojanem bankowym na Androida o nazwie StreamRat, który był dystrybuowany za pomocą fałszywej kampanii streamingowej na platformach Meta, skierowanej do użytkowników hiszpańskojęzycznych. Malware po uzyskaniu odpowiednich uprawnień, w tym dostępu do usług ułatwień dostępu, może uzyskać niemal pełną kontrolę nad zainfekowanym urządzeniem, umożliwiając przechwytywanie danych logowania, zdalne sterowanie i śledzenie aktywności użytkownika. Kampania wykorzystywała atrakcyjne reklamy promujące fałszywe aplikacje do streamingu, które po zainstalowaniu wymagały od użytkowników nadania szeregu podejrzanych zgód.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Złośliwe oprogramowanie GoCaracal, opracowane w języku Go, wykorzystuje innowacyjny mechanizm z kontraktem smart na blockchainie Ethereum do pobierania zastępczego adresu serwera dowodzenia i kontroli (C2) w przypadku awarii głównego. Złośliwe oprogramowanie, powiązane z grupą Dark Caracal, oferuje zdalny dostęp do powłoki, kradzież danych przeglądarki, keylogging i inne funkcje, stanowiąc nowe zagrożenie w cyberprzestrzeni.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Odkryto nowy, nieznany wcześniej backdoor dla systemu Windows, nazwany SLEEPWALKER, który pozostaje nieaktywny w pamięci do momentu otrzymania spreparowanego pakietu sieciowego, a następnie wykonuje polecenia napisane w jego własnym, 23-instrukcyjnym języku. Ten podpisany DLL jest ładowany do procesu ESET Management Agent, podszywając się pod bibliotekę dpapi.dll, i komunikuje się poprzez niestandardowe protokoły, w tym VMCI, co utrudnia jego wykrycie przez typowe narzędzia monitorujące ruch sieciowy. Brak zewnętrznych połączeń i fakt, że wymaga on już posiadania praw administratora, sugerują, że jest to zaawansowane narzędzie wykorzystywane w ukierunkowanych operacjach po uzyskaniu dostępu do systemu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Badacze ds. cyberbezpieczeństwa odkryli, że złośliwe oprogramowanie Weedhack nadal jest aktywnie dystrybuowane do graczy za pośrednictwem fałszywych stron imitujących legalne klienty i modyfikacje gry Minecraft. Strony te, często tworzone przy użyciu łatwo dostępnych narzędzi AI, wykorzystują techniki zatruwania SEO i popularne platformy dystrybucji, takie jak Discord, do przekierowywania użytkowników na zainfekowane domeny, które następnie kradną dane systemowe i ustawiają wykluczenia w oprogramowaniu antywirusowym. Zaleca się ostrożność, weryfikację źródeł oraz aktualizację systemów w celu ochrony przed tym zagrożeniem.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Nowa rodzina złośliwego oprogramowania celuje w systemy informacyjno-rozrywkowe samochodów z Androidem, wykorzystując ich wbudowane mechanizmy aktualizacji do oszustw reklamowych i tworzenia botnetów proxy. Odkryte przez Kaspersky, oprogramowanie infekuje jednostki multimedialne firmowane przez DoFun, wykorzystując lukę w legalnej funkcji aktualizacji systemu do dystrybucji droppera JarService, a następnie ładowania dalszych etapów złośliwego kodu, mającego na celu m.in. wyświetlanie niechcianych reklam i przechwytywanie danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Złośliwe oprogramowanie ToxicPanda 2.0 przeszło znaczące ulepszenia, rozszerzając zasięg globalny i dodając 167 zdalnych komend, zagrażając ponad 140 aplikacjom bankowym i kryptowalutowym poprzez wyłudzanie danych PIN i blokad ekranu. Jednocześnie nowa kampania GoldDigger, przypisywana grupie GoldFactory, kieruje się głównie przeciwko użytkownikom w RPA i Wielkiej Brytanii, wykorzystując zaawansowane techniki maskowania i oszustwa na urządzeniu w celu dokonywania nieautoryzowanych transakcji.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Ukraińskie CERT-UA ujawniło, że powiązana z rosyjskim wywiadem grupa hakerów UAC-0145 (część Sandworm) wykorzystuje kampanię inżynierii społecznej, podszywając się pod rekruterów IT, by nakłonić specjalistów do instalacji złośliwego oprogramowania. Ofiary są zapraszane na fałszywe rozmowy kwalifikacyjne, po których otrzymują instrukcje dotyczące konfiguracji VPN i link do pobrania niestandardowej wersji WireGuard, która umożliwia zdalne wykonywanie poleceń na zainfekowanych komputerach.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto kampanię obejmującą blisko 800 złośliwych pakietów w rejestrze npm, które ukierunkowane są na systemy Windows, Mac i Linux, dystrybuując potężne oprogramowanie typu RAT i infostealer. Atak wykorzystuje instrukcje w pliku README do załadowania złośliwego kodu, co prowadzi do wykonania programu WEL1DROPPER, który następnie pobiera odpowiedni ładunek z serwerów Cloudflare Workers lub przez rekordy DNS TXT.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nowy malware typu stealer na macOS, wykorzystujący ataki typu ClickFix, potrafi nie tylko kraść hasła z przeglądarek i danych z Apple Keychain, ale przede wszystkim powoli opróżniać portfele kryptowalut, przenosząc środki na konta kontrolowane przez atakujących. Atak rozpoczyna się od wklejenia komendy ClickFix do Terminala, co uruchamia skrypt pobierający odpowiedni dla architektury procesora payload, który następnie zbiera dane systemowe, hasła i próbuje eskalować uprawnienia, by ostatecznie przekierować środki z portfeli takich kryptowalut jak Bitcoin, Ethereum czy XRP do portfeli atakujących.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacz Dirk-jan Mollema z Entra ID zademonstrował, że złośliwe oprogramowanie działające w zalogowanej sesji Windows może potajemnie wykorzystać klucz Windows Hello for Business ofiary do uwierzytelnienia w Microsoft Entra ID, uzyskując tym samym długoterminowy dostęp do chmury i możliwość rejestracji własnych urządzeń bez potrzeby posiadania uprawnień administratora. Technika ta, wykorzystująca mechanizm biletowania w systemie Windows, obchodzi nawet polityki wymagające silnego uwierzytelniania odpornego na phishing, pozwalając atakującemu na rejestrację nowego urządzenia i uzyskanie tokenu odświeżania (PRT), co stanowi znaczące zagrożenie dla bezpieczeństwa danych korporacyjnych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Operacja ClickFix skierowana przeciwko użytkownikom macOS obejmuje ponad 250 domen, które stosują zaawansowane techniki fingerprintingu przeglądarki do identyfikacji odwiedzających i wyświetlania fałszywych pobrań oprogramowania, ukrywając złośliwe działania przed skanerami i piaskownicami. Wykryte złośliwe oprogramowanie, takie jak MacSync i Atomic Stealer (AMOS), wymaga od użytkownika uruchomienia zaciemnionego polecenia w Terminalu, które kradnie dane uwierzytelniające, informacje o przeglądaniu, portfele kryptowalut i wrażliwe pliki, co stanowi znaczące zagrożenie cyberbezpieczeństwa wymagające ostrożności.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Złośliwy wirus npm, który zaczął rozprzestrzeniać się z pakietu [email protected], zainfekował setki innych pakietów na przestrzeni wielu organizacji, instalując skrypty kradnące dane uwierzytelniające, takie jak klucze repozytoriów, npm, chmury i klucze prywatne. Wirus wykorzystuje hakowanie kodu Claude i VS Code do dalszego rozprzestrzeniania, a narażone środowiska należy traktować jako skompromitowane, wymagając odzyskania tokenów i kluczy oraz usunięcia mechanizmów unieważniania.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)