Оператор атаковал LLM-шлюзы и исследовал военную инфраструктуру

Два открытых каталога на хосте 69.48.228.86, размещённом провайдером BL Networks (AS399629) в Сингапуре, раскрыли инструменты и данные, связывающие как минимум шесть операций с одним оператором. В одной из кампаний он атаковал около 2 500 доступных из интернета шлюзов реселлеров New API LLM. Более 330 систем приняли поддельные события вебхука, а на двух учётных записях подтвердили мошенническое увеличение квоты примерно на 50 миллионов и 365 миллионов единиц.

Общие артефакты и шлюзы LLM

В инфраструктуре использовались общий SSH-ключ, проксирование через SOCKS5 и туннель Chisel для Windows, взаимодействовавший с 69.48.228.86:443. В операциях повторялся псевдоним «Miku». Оператор также повторно применил действующий API-ключ, украденный из скомпрометированного шлюза LLM, как серверную часть LLM для другой деятельности.

Скрипт эксплуатации шлюзов New API LLM определял доступные конечные точки входа, тестировал пути вебхуков Stripe и отправлял поддельные события checkout.session.completed. Для их подписи применялся HMAC, сгенерированный из пустого секрета. Более 330 систем приняли зонд вебхука. На двух учётных записях подтвердили мошенническое увеличение квоты примерно на 50 миллионов и 365 миллионов единиц соответственно.

Разведка и атаки на цели в Азии

Оператор проводил разведку инфраструктуры, связанной со следующими категориями целей:

• государственные органы;
• военные организации;
• полиция;
• оборонная промышленность;
• здравоохранение;
• компания Viettel во Вьетнаме.

Экспортированные данные об активах в стиле FOFA обрабатывались с применением классификации по ключевым словам и LLM, совместимого с OpenAI. Обработка использовалась для идентификации учреждений, иерархии и структуры собственности.

В отношении целей, связанных с Пакистаном, оператор предпринял попытку распыления пароля в системе Moodle. Для Национального оборонного университета применялись 108 пар учётных данных, при этом успешные входы не были подтверждены. В отношении доменов ВМС Пакистана и органов морской безопасности проводилось масштабное перечисление поддоменов с использованием OneForAll и massdns.

На пакистанском портале электронного обучения по вопросам контртерроризма по цифровым отпечаткам идентифицировали развертывание WordPress, BuddyBoss и LearnDash. Его тестировали с помощью sqlmap. Аутентифицированное сканирование системы управления персоналом образовательного учреждения Fauji выявило устаревшую версию Laravel.

Эксплуатация уязвимостей и постэксплуатационная активность

В Мексике SQL-инъекция на основе UNION против бизнес-приложения, размещённого в Azure, позволила извлечь учётные данные из четырёх баз данных. Последующие скрипты исследовали Tomcat Manager, проверяли восстановленные учётные данные, контролировали состояние Windows Defender и собирали системную и сетевую информацию. Исследователи связывают эти действия с подтверждённой постэксплуатационной активностью и использованием веб-шеллов.

Оператор тестировал параметр NICKNAME китайского сервиса uu-chatroom.com с помощью sqlmap и nuclei. Он также сканировал диапазоны IP-адресов, не связанные с целевым хостинг-провайдером, на предмет открытых сервисов, и использовал локальный SOCKS5-прокси для перечисления сети 10.0.0.0/24.

Использование инструментов и комментариев на китайском языке указывает на то, что оператор говорит на китайском языке.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.