المدونات والمقالات

CloudSEK uncovered NEBULA, a malicious npm supply-chain campaign involving seven fake AI SDK packages distributed through four attacker-controlled accounts. Disguised as legitimate developer tools, these packages deploy a modified KNTRAT Windows trojan capable of stealthy remote access, camera and microphone surveillance, and persistence. The investigation reveals advanced syscall-based evasion techniques, active threats, and actionable indicators for security teams.

A Russian-speaking Gentlemen ransomware affiliate called Azazel robbed two dozen victims across six countries, then double-crossed his own gang by publishing the loot on a private leak site and pocketing every dollar. CloudSEK traced 50TB of exposed infrastructure and a live AI-driven attack chain. Read how "Caught in 4K" cracked the operation.

CloudSEK uncovered MALFEX, a long-running npm supply-chain campaign linked to a single operator, using malicious packages to deploy RATs and credential stealers. Two packages remain installable, including one malicious postinstall that evaded advisories for 14 months.

CloudSEK found an attacker's control panel targeting vast.ai, a GPU rental marketplace. It rents containers beside victims to scan their networks. It reached one unprotected notebook and planted no miners. The panel exposed its own source code.

CloudSEK found 85 malicious npm packages, published in three minutes, likely named to surface in search when developers mistype popular libraries. They give attackers remote command access. The same server hosts a GPU-hijacking panel. No victims confirmed.

كشف باحثو CloudSEK عن GHAPPIER، وهي عملية تحميل برمجيات خبيثة لم يتم الإبلاغ عنها سابقاً، امتدت لتشمل ما لا يقل عن 65 مستودعاً عاماً، و73 ملفاً مصاباً، و22 حساباً. بدأ التحقيق بحزمة npm شرعية تم اختراقها، حيث حمل إصدارها الخبيث مصدراً موثوقاً من خلال النشر المعتمد. يحدد التقرير البنية التحتية الأوسع للعملية، ويربط أجزاءً من هذا النشاط بحملة PolinRider، كما يفصل المؤشرات، ومسار الهجوم، والإجراءات الدفاعية.

كشف باحثو CloudSEK عن BigBear 2.0، وهي عملية عالمية لخدمة التصيد الاحتيالي كخدمة (PhaaS) تستهدف Microsoft 365، وتطال مئات المؤسسات في أكثر من 40 دولة. كشف التحقيق عن لوحة تحكم المهاجم، وشبكة الشركات التابعة، وبنية التصيد التحتية، وآلاف بيانات الاعتماد وملفات تعريف ارتباط الجلسة المسروقة، مما يوضح كيف يمكن لهجمات AiTM الحديثة اختطاف الجلسات الموثقة حتى بعد تجاوز المصادقة متعددة العوامل (MFA).

The first in CloudSEK's "Caught in 4K" series, where we pull ransomware operations out of the shadows and show exactly how they work. A misconfigured server opened a window straight into an Aurora ransomware operator's playbook: attacker tools, AI-assisted planning, and a look inside the actual negotiation panel where a victims and the operator settled on payment. In partnership with TRM Labs, we traced that payment on-chain, into a wider laundering network moving money across multiple victims. This is what ransomware looks like from the inside.

يكشف تحقيق BRIDGEHEAD من CloudSEK عن حملة تضليل في حزم npm تضم 40 حزمة، تستغل نظام WSL للوصول إلى أجهزة Windows ونشر برنامج سرقة مستند إلى لغة Rust. يستهدف البرنامج الضار محافظ العملات المشفرة، وبيانات اعتماد المتصفح، وملفات تعريف الارتباط، وجلسات Telegram، بينما يعمل بشكل أساسي في الذاكرة ويستخدم بنية تحتية عامة للاستطلاع وتسريب البيانات، مما يجعل اكتشافه وإيقافه أكثر صعوبة بشكل ملحوظ.