🚨Новая симуляция атаки APT из Северной Кореи🚨

Эта симуляция представляет атаку группы APT (Labyrinth Chollima), нацеленную на жертв, работающих в энергетической компании и аэрокосмической промышленности. Кампания была активна до июня 2024 года. Цепочка атаки начинается с использования легитимного контента описания вакансий, чтобы атаковать жертв, работающих в критически важной инфраструктуре США. Описание вакансии доставляется жертве в защищённом паролем архиве ZIP, содержащем зашифрованный PDF-файл и модифицированную версию открытого PDF-просмотрщика. Я опирался на данные Mandiant для детализации этой симуляции.

Репозиторий на Github: https://github.com/S3N4T0R-0X0/APT-Attack-Simulation/tree/main/North%20Koreans%20APT/Labyrinth%20Chollima

Это имитация атаки группировки Cozy Bear (APT-29), нацеленной на дипломатические миссии. Кампания началась с безобидного и легитимного события. В середине апреля 2023 года дипломат из Министерства иностранных дел Польши отправил своё настоящее объявление по электронной почте в различные посольства, рекламируя продажу подержанного седана BMW 5-й серии, находящегося в Киеве. Файл был назван "BMW 5 for sale in Kyiv - 2023.docx". Я полагался на исследование Palo Alto Networks Unit 42 для выяснения деталей и создания этой имитации.

Репозиторий на GitHub: https://github.com/S3N4T0R-0X0/APT-Attack-Simulation/tree/main/Russian%20APT%2FAPT29-Adversary-Simulation

Симуляция атаки APT28 Fancy Bear

Это симуляция атаки группы Fancy Bear (APT28), нацеленной на высокопоставленных государственных чиновников Западной Азии и Восточной Европы. Кампания атаки была активна с октября по ноябрь 2021 года. Цепочка атаки начинается с выполнения Excel-загрузчика, отправленного жертве по электронной почте, который эксплуатирует уязвимость удаленного выполнения кода MSHTML (CVE-2021-40444) для запуска вредоносного исполняемого файла в памяти.

Репозиторий на GitHub: https://github.com/S3N4T0R-0X0/APT-Attack-Simulation/tree/main/Russian%20APT/APT28-Adversary-Simulation