Злом LiteLLM спричиняє один з найбільших збоїв у ланцюгу поставок AI у 2026 році

SOC Prime Team

Стежити

Злом LiteLLM спричиняє один з найбільших збоїв у ланцюгу поставок AI у 2026 році

Detection stack

AIDR
Alert
ETL
Query

Звіт про загрози
Потік атаки
Виявлення
Симуляції

Резюме

PasteSwitch – це широко масштабована, скоординована кампанія з використанням шкідливої реклами, яка використала перевірений акаунт Reddit для розповсюдження шкідливих навантажень через соціальну інженерію ClickFix. Операція використовує оманливі термінальні команди, щоб переконати користувачів виконувати код, який встановлює стілери macOS, завантажувачі Windows і криптовалютні кліпери. Її інфраструктура є дуже стійкою, покладаючись на ротацію C2 на основі блокчейну та підробку TLS SNI, щоб уникнути виявлення.

Розслідування

Дослідники з Hudson Rock та ADAMnetworks ідентифікували цю кампанію після того, як користувач повідомив про підозрілі реклами HBO Max на Reddit. Розслідування виявило складну систему доставки з окремими гілками, специфічними для платформи, націленими на macOS та Windows. Аналітики також ідентифікували ротаційні домени та смарт-контракти на Binance Smart Chain, які використовуються для управління інфраструктурою командування і контролю.

Послаблення

Організації повинні забезпечувати суворі контролі навколо виконання термінальних команд і стежити за підозрілою поведінкою з копіювання-вставки соціальної інженерії. Команди безпеки повинні виявляти несанкціоноване створення запланованих завдань і виконання shellcode в пам’яті. Моніторинг невідповідностей TLS SNI і незвичайних вихідних з’єднань на прямі IP-адреси також може покращити виявлення.

Відповідь

Якщо виявлено шкідливу активність, постраждалі кінцеві точки слід відразу ізолювати, а облікові дані для акаунтів, через які заходили з компрометованого пристрою, слід скинути. Респонденти повинні виконати судову експертизу пам’яті, щоб ідентифікувати ін’єкції навантажень, таких як Amatera. Також слід переглянути активність у блокчейні та телеметрію мережі на предмет зв’язків з відомою інфраструктурою C2 PasteSwitch.

Потік атаки

15 вересня 2026 року

Виявлення шкідливої активності за допомогою команд MSHTA та PowerShell [Windows Powershell]

Правила AI від SOC Prime

15 вересня 2026 року

Виконання симуляції

Опис атаки та команди: Зловмисник отримав початковий доступ через фішингове посилання. Щоб обійти основне підписне виявлення, він використовує mshta.exe для виконання шкідливого скрипту HTA, розміщеного в локальному тимчасовому каталозі. Потрапивши всередину, зловмисник використовує закодовану команду PowerShell, щоб завантажити навантаження другого етапу, намагаючись приховати намір скрипту. Нарешті, щоб забезпечити собі доступ навіть після перезавантаження, вони створюють заплановане завдання, яке виконує скрипт PowerShell щоразу, коли система запускається.

Скрипт регресійного тестування:

# 1. Симуляція виконання MSHTA (T1218.005)
# Створення фіктивного файлу HTA
$htaContent = "<html><body><script>alert('Шкідливий HTA');</script></body></html>"
$htaPath = "$env:TEMPmalicious.hta"
$htaContent | Out-File -FilePath $htaPath -Encoding ascii

# Виклик MSHTA (Це повинно викликати правило)
Start-Process "mshta.exe" -ArgumentList "`"$htaPath`""

# 2. Симуляція закодованого PowerShell (T1027.017)
# Нижче наводиться кодована версія 'Write-Host "Malicious Payload Executed"'
$encodedCommand = "V3JpdGUtSG9zdCAiTWFsaWNpb3VzIFBheWxvYWQgRXhlY3V0ZWQi"

# Виконання PowerShell з EncodedCommand (Це повинно викликати правило)
powershell.exe -NoProfile -EncodedCommand $encodedCommand

# 3. Симуляція постійності через заплановане завдання (T1053)
# Створення запланованого завдання, яке виконує команду PowerShell
$taskName = "WindowsUpdateCheck"
$action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-ExecutionPolicy Bypass -WindowStyle Hidden -Command 'Write-Host Malicious Task'"
Register-ScheduledTask -Action $action -Trigger (New-ScheduledTaskTrigger -AtLogOn) -TaskName $taskName -Description "Simulated Persistence"

Команди очистки:

# Видалення фіктивного файлу HTA
Remove-Item -Path "$env:TEMPmalicious.hta" -Force

# Видалення запланованого завдання
Unregister-ScheduledTask -TaskName "WindowsUpdateCheck" -Confirm:$false

Приєднуйтесь до платформи Detection as Code від SOC Prime щоб покращити видимість загроз, найбільш актуальних для вашого бізнесу. Щоб допомогти вам розпочати та отримати негайну цінність, забронюйте зустріч зараз з експертами SOC Prime.

Зв’язатися з відділом продажів