Оператор на зловреден код остави сървъра си за доставка напълно отворен и Rapid7 изтегли целия комплект от инструменти: 1048 файла, обхващащи шаблони за примамки, тестове за подправяне на имена на файлове, експерименти за изпълнение, дропъри, бележки на разработчика и две вериги от кампании. Едната вече е била активна срещу потребители на Windows в Мексико, доставяйки софтуер за кражба на информация (infostealer) чрез фалшив правителствен сайт за търсене на лични документи през WebDAV.

Това, което прави откритието нещо повече от обикновено изхвърляне на зловреден код, е фактът, че операцията е уловена в процес на изграждане. Бележки за тестване, неуспешни експерименти, документация и регистрационни файлове за доставка на живо са се намирали на едно място – вид пълна следа от разработката, която защитниците рядко успяват да видят.

Rapid7 разчита артефактите, чак до твърдо кодиран път, сочещ към инструмент за програмиране с изкуствен интелект с отворен код, като доказателство за злонамерен субект, използващ генеративен ИИ за бързо създаване, тестване и документиране на фишинг атаки.

Най-развитият набор от тестове е фокусиран върху CVE-2025-33053 (CVSS 8.8, сега в каталога KEV на CISA) – отвличането на работната директория на WebDAV, което Check Point документира миналата година в своя доклад за Stealth Falcon.

Изглежда, че атакуващият е възпроизвеждал тази техника. Тя злоупотребява с пряк път от тип .url, за да стартира легитимен подписан двоичен файл на Windows, като същевременно насочва работната му директория към контролиран от атакуващия WebDAV споделен ресурс. В оригиналната атака прекият път стартира iediagcmd.exe (инструмент за диагностика на Internet Explorer), който стартира помощни програми като route.exe само по име на файл; при работна директория, насочена към отдалечения споделен ресурс, Windows зарежда контролирания от атакуващия route.exe от WebDAV вместо истинския в System32.

Собственият файл README на атакуващия твърди, че това се изпълнява без предупреждение от SmartScreen или Mark-of-the-Web: „БЕЗ никакви предупреждения за сигурност. Нула известия!“. Microsoft коригира уязвимостта през юни 2025 г.

Бележките отразяват анализа на Check Point толкова отблизо, че едно възстановено README запазва точния примерен път summerartcamp[.]net@ssl@443\DavWWWRoot\OSYxaOjr от първоначалния доклад. След това атакуващият е разширил тестването.

Един „всеобхватен тестов комплект“ разширява единичната техника до 59 .url файла, насочени към други подписани двоични файлове: .NET инструменти като InstallUtil и RegAsm, LOLBAS записи и дори кандидати за заобикаляне на UAC, всеки с писмена теория защо отвличането трябва да работи и поетапен ред на тестване.

Бележките третират тези файлове като кандидати за изследване един по един, а не като потвърдени отвличания, и атакуващият е изградил комплекта по конкретна причина: оригиналният трик не работи на Windows 11 24H2, където Internet Explorer (и съответно iediagcmd.exe) липсва. Директорията съдържа също и по-малки тестови комплекти за други две уязвимости при работа с файлове – заобикалянето на MSHTML (CVE-2026-21513) и изтичането на NTLM (CVE-2025-24054), но отвличането на WebDAV е било основното събитие.

Следата е в документацията. Rapid7 твърди, че файловете README, ръководствата за генериране на примамки, тестовите доклади под формата на матрици и файлът _MAPPING.csv, свързващ всеки тестов файл с неговия целево двоичен файл, носят шаблонизирано форматиране, многословие и структура, богата на емоджита, което се свързва с изходни данни от големи езикови модели (LLM).

По същия начин се разчита и кодът на JavaScript на фишинг сайта, пълен с емоджита. Руските коментари и имена на папки, една от които се казва testik (умалително от „тест“), поставят киберпрестъпника в рускоговорящ контекст, но не го идентифицират. Rapid7 приписва операцията на работен процес, подпомаган от LLM, вероятно изграден с помощта на Coderrr (изписван като "CodeRRR").

Медията The Hacker News потвърди, че хранилището е публично от 20 юли 2026 г.: общоцелеви AI агент за кодиране с отворен код, вдъхновен от Claude Code, GitHub Copilot CLI и Cursor, а не специализиран инструмент за атаки. Заключението на Rapid7 е кратко: „атакуващият е използвал LLM, за да работи по-скоро като модерен екип за разработка на софтуер“.

Злонамереният субект дори е оставил панела за доставка – администраторски инструмент, наречен Simba Service, да работи на същия сървър с непроменени порт и идентификационни данни по подразбиране.

Активна кампания, насочена към мексикански потребители

Предупреждението за MDR проследява връзката обратно до gobf[.]mx – правописен дубликат (typosquat) на правителствения сайт за справки на националния идентификационен номер CURP, който е предоставял на жертвите фалшива страница за извличане на записи, чийто бутон за изтегляне е стартирал заявка search-ms:. Това е отваряло споделения WebDAV ресурс на атакуващия като търсене в Windows Explorer, филтрирано за .scr файлове.

Най-често доставяната примамка е изглеждала като PDF отчет за CURP, но е била .scr изпълним файл, чието име е било обърнато с контролен символ от дясно на ляво (right-to-left override), за да се чете като PDF. То е представлявало инсталатор на Inno Setup, който разопакова товарач и стартира .NET софтуер за кражба на информация изцяло в паметта, инжектиран в подписан процес на Qihoo 360.

Софтуерът за кражба е събирал криптовалутни портфейли, идентификационни данни от браузъри, бисквитки за сесии и сесии на Telegram. Втора директория на кампанията, DlrtyGames, е поела по друг път – странично зареждане (sideloading) на троянизирана DLL библиотека чрез подписан двоичен файл на Ubisoft за внедряване на модулен .NET RAT (троянски кон за отдалечен достъп).

За около 5,5 дни (20 до 26 юни 2026 г. UTC) панелът за доставка е регистрирал 77 098 заявки от 3892 уникални IP адреса от 101 държави, като само Мексико е генерирало 82,5% от трафика и 96,9% от активността по стартиране. Една единствена CURP примамка е отговорна за 2384 от 2441 събития на стартиране, около 97,7%.

Това число измерва обхвата на доставката, а не инфекциите: Rapid7 отчита „събитие на стартиране“, когато панелът види клиентска заявка или отвори изпълним файл.