Hermes Malware-as-a-Service: доставка через ланцюг постачання PyMapper
Комерційну платформу для викрадення облікових даних і віддаленого доступу до Windows — «Hermes», яку продають на російськомовних форумах, — поширюють через троянізовані Python-пакети на GitHub, замасковані під скрейпери, інструменти безпеки та криптоутиліти. Два ланцюги доставки сходяться на одному завантажувачі — LOLD. Команда AmonSul Threat Intelligence вилучила й нормалізувала індикатори в безкоштовний STIX 2.1-пакет, який можна завантажити у ваші системи вже сьогодні.
- STIX-індикаторів
- 165
- IP C2 та інфраструктури
- 32
- Хешів файлів
- 119
- Технік ATT&CK
- 44
Ланцюг доставки
- Троянізований репозиторій на GitHub (скрейпер, інструмент безпеки чи криптоутиліта) імпортує обфускований завантажувач ще до запуску заявленого коду.
- Довгий маршрут: Python-мапер → закодований пакет для Windows → нативний дешифрувальний завантажувач → завантажувач LOLD.
- Короткий маршрут: LOLD вбудований безпосередньо в Python-пакет.
- LOLD отримує клієнт Hermes із сервера під контролем оператора; ключ конфігурації можна відновити для кожного носія.
- Hermes закріплюється в системі, збирає облікові дані й надає оператору інтерактивний віддалений доступ через вебпанель.
Покриття MITRE ATT&CK (вибірково)
- T1105 Ingress Tool Transfer
- T1059.001/.003/.006 Command & Scripting
- T1547.001 Run Key Persistence
- T1055 Process Injection
- T1555.003 Browser Credentials
- T1620 Reflective Code Loading
- T1071.001 Web Protocol C2
Репрезентативні індикатори
# C2 / ендпоінти звітів
194.102.104.223:8093
194.102.104.223:8700
109.238.87.128:8700
85.121.179.7:8000
# поширення
github.com/unknown-person00lie/KawaiiGPT.git
t.me/Hermes_Greece
# закріплення (м’ютекс)
Local\Lold_<8-digit-id>
# реєстр
HKCU\...\CurrentVersion\Run
HKCU\Software\DesktopStreamClient\*
Повний набір — 165 індикаторів: IP-адреси, домени, URL та хеші файлів — у STIX-пакеті. Індикатори з позначкою not-for-blocking — лише контекст: не блокуйте їх.
Рекомендовані дії
- Заблокуйте IP-адреси та домени C2 на проксі й міжмережевому екрані — після власної перевірки.
- Шукайте на кінцевих точках м’ютекс
Local\Lold_<id>та зазначені ключі реєстру. - Перевірте CI/CD-ранери та машини розробників на нещодавно завантажені з GitHub Python-пакети з таким профілем.
- Завантажте повний STIX-пакет у SIEM, EDR і TIP (MISP / OpenCTI) та налаштуйте сповіщення на збіги.
Примітка щодо доказів. Індикатори взято з дослідження «Vivisection of Hermes» (Carter Perez / AngelaMos, 2026-10-24); їх вилучила й нормалізувала команда AmonSul Threat Intelligence. Рівень довіри — помірний (60/100) до вашої власної повторної перевірки. CVE-2026-41940, згадану в джерелі, незалежно не підтверджено.
Hermes уже у вашій мережі?
Наші аналітики MDR і реагування на інциденти щодня шукають ці індикатори. Замовте оцінку загроз — і ми перевіримо вашу вразливість, зокрема кінцеві точки розробників і CI/CD.