تحديثات CloudSek

كشف باحثو CloudSEK عن GHAPPIER، وهي عملية تحميل برمجيات خبيثة لم يتم الإبلاغ عنها سابقاً، امتدت لتشمل ما لا يقل عن 65 مستودعاً عاماً، و73 ملفاً مصاباً، و22 حساباً. بدأ التحقيق بحزمة npm شرعية تم اختراقها، حيث حمل إصدارها الخبيث مصدراً موثوقاً من خلال النشر المعتمد. يحدد التقرير البنية التحتية الأوسع للعملية، ويربط أجزاءً من هذا النشاط بحملة PolinRider، كما يفصل المؤشرات، ومسار الهجوم، والإجراءات الدفاعية.

كشف باحثو CloudSEK عن BigBear 2.0، وهي عملية عالمية لخدمة التصيد الاحتيالي كخدمة (PhaaS) تستهدف Microsoft 365، وتطال مئات المؤسسات في أكثر من 40 دولة. كشف التحقيق عن لوحة تحكم المهاجم، وشبكة الشركات التابعة، وبنية التصيد التحتية، وآلاف بيانات الاعتماد وملفات تعريف ارتباط الجلسة المسروقة، مما يوضح كيف يمكن لهجمات AiTM الحديثة اختطاف الجلسات الموثقة حتى بعد تجاوز المصادقة متعددة العوامل (MFA).

The first in CloudSEK's "Caught in 4K" series, where we pull ransomware operations out of the shadows and show exactly how they work. A misconfigured server opened a window straight into an Aurora ransomware operator's playbook: attacker tools, AI-assisted planning, and a look inside the actual negotiation panel where a victims and the operator settled on payment. In partnership with TRM Labs, we traced that payment on-chain, into a wider laundering network moving money across multiple victims. This is what ransomware looks like from the inside.

يكشف تحقيق BRIDGEHEAD من CloudSEK عن حملة تضليل في حزم npm تضم 40 حزمة، تستغل نظام WSL للوصول إلى أجهزة Windows ونشر برنامج سرقة مستند إلى لغة Rust. يستهدف البرنامج الضار محافظ العملات المشفرة، وبيانات اعتماد المتصفح، وملفات تعريف الارتباط، وجلسات Telegram، بينما يعمل بشكل أساسي في الذاكرة ويستخدم بنية تحتية عامة للاستطلاع وتسريب البيانات، مما يجعل اكتشافه وإيقافه أكثر صعوبة بشكل ملحوظ.

كشفت CloudSEK عن جهة تهديد ناطقة بالصينية تستخدم وكلاء برمجة يعملون بالذكاء الاصطناعي المستقل لتوسيع نطاق الهجمات السيبرانية، بما في ذلك اختراق مواقع ووردبريس على نطاق واسع، وسرقة محافظ العملات المشفرة، وجمع بيانات الاعتماد، وتعدين العملات المشفرة غير المشروع. كما كشفت البنية التحتية المكشوفة عن نظام قيادة وتحكم قيد التطوير يعتمد على تقنية البلوكشين، ومصمم لجعل العمليات المستقبلية أكثر مقاومة لعمليات الإغلاق.

A Dependency Confusion Campaign Against Tinkoff Bank's Private Package Namespace

كشف بحث CloudSEK حول هجوم سلسلة توريد LiteLLM، وهو أكبر اختراق لسلسلة توريد الذكاء الاصطناعي في عام 2026، عن المؤسسات المحتمل تعرضها للخطر: أكثر من 2,500 شركة و434,000 خط أنابيب CI/CD حول العالم. بدأ اختراق LiteLLM بـ Trivy build مخترق، وتسلل عبر PyPI إلى خطوط أنابيب CI/CD المؤتمتة، مما عرض بيانات اعتماد السحابة، ومستودعات الكود المصدري، وبيئات Kubernetes، وبنية الذكاء الاصطناعي التحتية للخطر. تحقق مما إذا كان نطاقك يظهر في مجموعة بيانات التعرض.

CloudSEK researchers uncovered an exposed server linked to a Russian-speaking initial access broker, revealing months of operations targeting internet-facing infrastructure across multiple sectors. The investigation connects credential theft, Active Directory compromise, and access sales to ransomware groups, while also uncovering surveillance activity targeting Ukrainian defence and aerospace organizations.

A tax-season malware campaign is impersonating the Income Tax Department, sending fake penalty notices over WhatsApp. Victims who tap "Download Documents" install malware capable of harvesting OTPs and banking credentials. The advisory also covers a wider ecosystem of refund SMS fraud, cloned e-Filing portals, and fake e-PAN emails targeting Indian taxpayers this season.