#ParsedReport #ChatGPT #Translated Autotext: (TI Report Analyser + ChatGPT + Auto Translate) ------ NGC5081 атаковал системы Unix/Linux через открытые веб-сервисы, включая эксплуатацию уязвимостей FreePBX, после чего использовал украденные учетные данные, повышение привилегий, веб-шеллы и ReverseSSH для перемещения внутри компании и закрепления. С сентября 2025 года группа модифицировала легитимные утилиты автозагрузки для развертывания IDFKA — скрытного модульного бэкдора на языке Rust. IDFKA поддерживает выполнение в памяти, скрытые сетевые каналы, сокрытие на уровне ядра, перехват ввода, плагины и закрепление через cron. ----- NGC5081 — злоумышленник, специализирующийся на скрытности, который нацелен на инфраструктуру Unix и Linux. Группа первоначально получила доступ к организации в период с января по март 2024 года, эксплуатируя общедоступные Веб-сервисы, разворачивая PHP веб-шеллы, а затем перемещаясь по внутренним системам. Вероятной точкой входа являлась небезопасная функция загрузки файлов в модуле FreePBX soundlang, используемом с Asterisk, которая позволяла аутентифицированным пользователям загружать PHP-файлы и осуществлять Удаленное Выполнение Кода. Данная уязвимость впоследствии была зарегистрирована как CVE-2026-54675. Злоумышленники также использовали CVE-2021-4034, маскируя эксплойт для повышения привилегий под MP3-файл. Группа использовала скомпрометированные учетные записи, уязвимые внутренние сервисы, легитимные утилиты, ReverseShell, ReverseSSH и более простые бэкдоры для перемещения внутри компании и закрепления. Задача cron поддерживала соединение ReverseSSH с инфраструктурой злоумышленников. Начиная с сентября 2025 года злоумышленники заменяли легитимные утилиты автозагрузки на модифицированные версии, содержащие внедренный код, который загружал и выполнял IDFKA. Эта техника «IDFKA Dropper» обеспечивала закрепление, сохраняя при этом видимость легитимных процессов. Группа также использовала имена процессов и файлов, адаптированные под целевую систему, доменные имена C2, имитирующие жертву, удаляла файлы ВПО после выполнения и пыталась удалить индикаторы из журналов веб-сервера. IDFKA — это модульный бэкдор для Linux, написанный на языке Rust, который, как правило, работает из оперативной памяти. В обновленной версии набор команд был расширен с 24 до 40 операций, а сетевые режимы — с 11 до 15. Среди новых возможностей: построение TCP-соединений в пользовательском режиме, формирование пользовательских пакетов Ethernet/IPv4/UDP, коммуникация на основе ICMP, разведка с фильтрацией исходящего трафика, односторонняя доставка команд через DNS, обновления на основе memfd и явная поддержка внедрения в процессы. DNS-резервный механизм кодирует команды в ответах IPv4 и может нацеливаться на отдельные хосты с использованием DNS-меток, производных от имени хоста. ВПО также получила поддержку управления модулем ядра, аналогичным Diamorphine, включая сокрытие процессов, закрепление, загрузку и выгрузку. Поддерживаются перехват ввода на основе ptrace и eBPF, плагины в виде разделяемых объектов, файлы аварийных команд и закрепление на основе cron. В последнем образце исправлена сигнатура конфигурации с «idfka» на «idkfa», а узнаваемые аргументы запуска заменены на хэшированные значения. Не было установлено подтверждённой атрибуции к известной группе или региону. Диагностические строки содержат повторяющиеся ошибки испанского или романского языка, что указывает на то, что, по крайней мере, один разработчик может иметь соответствующий лингвистический бэкграунд.

#ParsedReport #GeneratedSchema Generated with GPT-4

#ParsedReport #ExtractedSchema Classified images: schema: 2, chart: 1