Оператор, связанный с KeyHunter, крал учётные данные
Операцию KeyHunter с высокой степенью уверенности связывают с оператором, использовавшим аккаунт GitHub leepsmarts и аккаунт Telegram @leepsmartsx. Его деятельность включала кражу учётных данных, академическое и финансовое мошенничество. Оператор координировал ИИ-агентов через ботов Telegram: Hermes Agent применялся для мониторинга разведданных и оперативного управления, а OpenClaw для регистрации учётных записей.
Поиск секретов и раскрытие инфраструктуры
Конвейер кражи учётных данных запрашивал в сервисах FOFA и Shodan сведения об уязвимой инфраструктуре разработчиков, а затем искал секреты в файлах конфигурации и репозиториях. Среди целей были Vercel, Netlify, Railway, Render, Replit и Cloudflare Pages. Инструменты оператора зафиксировали 2233 собранных API-ключа, 12 из них отметили как действительные. В их числе были учётные данные, связанные с Anthropic, OpenAI, Google и DeepSeek.
Оператор также составил каталог из 247 открытых шлюзов LLM. По имеющимся данным, 223 из них отвечали как доступные для использования. Среди открытых файлов сервера находились скрипты, журналы и токены ботов Telegram. Эти данные позволили следователям проследить инфраструктуру и активность оператора.
Инфраструктура и инструменты оператора раскрылись после перечисления каталогов на сервере. Расследователи связали узлы и домены по общему сертификату TLS, корреляции доменов и токенам ботов Telegram.
Академическое мошенничество и попытка эксплуатации
Кампания академического мошенничества затронула 20 учебных заведений, 19 из которых находятся в США. Оператор создал учётные записи в нескольких университетах, а в других сгенерировал ссылки для оплаты заявок. При массовой регистрации адресов электронной почты он применял автоматизацию браузера и методы противодействия обнаружению.
Оператор обработал 195 записей выпускников Гарвардского университета из набора данных, распространявшегося через торренты и связанного с инцидентом ShinyHunters в ноябре 2025 года. Проверка не выявила свидетельств несанкционированного доступа к системам Гарвардского университета.
Для атак на университеты подготовили скрипт обхода аутентификации в cPanel & WHM, нацеленный на уязвимость CVE-2026-41940 с оценкой CVSS 9.8. Журналы событий свидетельствуют о незавершённой попытке и не подтверждают успешную эксплуатацию.
Финансовое мошенничество и оценка оператора
В рамках отдельной деятельности по финансовому мошенничеству применялся дрэйнер Harmony ONE, перехватывавший сид-фразы и связанные с ними данные соединений. Другие скрипты использовали украденные секретные ключи Stripe для проверки платёжных карт. В операционной истории оператора также обнаружили сид-фразы жертв и данные платёжных карт.
По оценке авторов отчёта, оператор говорит на китайском языке и, вероятно, активен в часовом поясе UTC+8. Эти признаки не позволяют установить его конкретное местоположение.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
