Operation Roundish: Uncovering an APT28 Roundcube Toolkit Used Against Ukrainian Government Targets
Key Takeaways
• The open directory on 203.161.50[.]145 exposed a full operational toolkit, including C2 components, payloads, and operator artifacts.
• The toolkit targets Roundcube webmail and supports credential harvesting, persistent mail forwarding, bulk email exfiltration, address book theft, and 2FA secret extraction.
• We identified 14 TTP overlaps with Operation RoundPress, including several uncommon techniques that strongly suggest shared development lineage.
• Roundish introduces additional components not previously documented in APT28 webmail activity, including a CSS-based side-channel module and browser credential theft capabilities.
• Infrastructure and operator history confirm active targeting of http://mail.dmsu.gov.ua/, the Ukrainian State Migration Service.
• A Go-based Linux implant (httd) found in a compromised environment provides persistence via cron, systemd, and SELinux.
Operation Roundish - по данным http://Hunt.io/, это toolkit для эксплуатации Roundcube, который с medium-high confidence связывается с APT28 на основании пересечений с Operation RoundPress. В январе 2026 года исследователи обнаружили открытый каталог на 203.161.50[.]145 с полным operational-набором: XSS-пейлоады, Flask-based C2, CSS-injection tooling, bash history оператора и Go-имплант httd.
В отчёте указано, что toolkit поддерживает кражу credentials, установку Sieve mail forwarding, массовую эксфильтрацию писем, кражу адресной книги и извлечение TOTP/2FA-секретов. http://Hunt.io/ отмечают 14 пересечений по TTP с RoundPress, включая скрытые autofill-поля, Sieve-forwarding, извлечение TOTP, выгрузку почты через Roundcube viewsource API, кражу адресной книги и модульную загрузку через eval(). Дополнительно задокументированы CSS side-channel для извлечения CSRF-token, browser credential theft для Chrome/Firefox и Linux persistence через httd.
В качестве primary target в отчёте указана mail.dmsu.gov.ua - Roundcube-инстанс Государственной миграционной службы Украины. На сервере также были доступны Roundcube, Flask/Werkzeug, Ligolo-ng и открытый Python SimpleHTTP-каталог с 61 файлом в 36 директориях. Основной домен инфраструктуры - zhblz[.]com, отдельный a.zhblz[.]com использовался для CSS side-channel-атаки. Технические детали и разбор - в оригинальном отчёте.
Открытый каталог и bash history дали http://Hunt.io/ прямую видимость toolkit и действия оператора, а пересечения с Operation RoundPress уже позволили с medium-high confidence связывать активность с APT28, ранее описанной Eset.
Почитать тык🔗 https://hunt.io/blog/operation-roundish-apt28-roundcube-exploitation
Вот такие вот ошибки OPSEC получается 😃
![[🛡] MTProxyBoy Profile](/_next/image?url=https%3A%2F%2Fcdn.tgdio.com%2Fchannels%2F2025%2F10%2Fmtproxyboy.webp&w=256&q=75)
