#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что китайская группа по борьбе с киберугрозами APT, известная как Operation Diplomatic Spectre, проводит целенаправленную кампанию, направленную на политические образования на Ближнем Востоке, в Африке и Азии. Эта группа использует сложные методы, бэкдоры и эксплойты для осуществления шпионской деятельности, основной целью которой является сбор разведданных, связанных с геополитическими вопросами. Злоумышленник продемонстрировал способность избегать обнаружения и сохранять доступ в уязвимых средах. В тексте подчеркивается важность усиления мер кибербезопасности для противодействия растущим киберугрозам, создаваемым продвинутыми участниками угроз, связанными с государственными интересами, в частности китайскими APT-группами.
-----

Участник угрозы идентифицирован как китайская компания APT, проводящая операцию "Diplomatic Specter", направленную против политических образований на Ближнем Востоке, в Африке и Азии с конца 2022 года.

Использование сложных методов эксфильтрации электронной почты и пользовательских бэкдоров TunnelSpecter и SweetSpecter для шпионской деятельности.

Основная цель - сбор разведывательной информации с акцентом на мониторинг геополитических событий и проникновение на почтовые серверы.

Для первоначального доступа используются эксплойты сервера Exchange, такие как ProxyLogon CVE-2021-26855 и ProxyShell CVE-2021-34473.

Высокая адаптивность, позволяющая избежать обнаружения, и устойчивость в скомпрометированных средах благодаря новым видам вредоносных программ.

Специально разработанные бэкдоры семейства Specter обеспечивают скрытый доступ, фильтрацию данных, выполнение команд и развертывание дополнительных вредоносных программ.

Связи с другими китайскими группами APT с общей операционной инфраструктурой и инструментами.

Особое внимание уделяется усилению мер кибербезопасности, включая сетевую безопасность, защиту от эксплойтов и облачную безопасность.

Наблюдения за постоянными изменениями в режиме рабочего времени и использованием инструментов и вредоносных программ, связанных с китайскими злоумышленниками.

Операция "Diplomatic Specter" представляет собой серьезную киберугрозу, требующую надежных методов обеспечения кибербезопасности и упреждающих мер защиты.

#ParsedReport #CompletenessLow
23-05-2024

SEO poisoning: review of the Watch Wolf attack on accountants

https://bi.zone/expertise/blog/seo-poisoning-obzor-ataki-watch-wolf-na-bukhgalterov

Report completeness: Low

Actors/Campaigns:
Watch_wolf

Threats:
Seo_poisoning_technique
Darkwatchman
Shadow_copies_delete_technique
Buhtrap

Industry:
Financial

Geo:
Russian

IOCs:
File: 1

Soft:
Microsoft Excel, Discord

Algorithms:
base64, crc-32

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в новой тактике кибератак, применяемой злоумышленниками Watch Wolf, в частности, в использовании SEO-отравления для атаки на российских бухгалтеров с помощью вредоносного программного обеспечения, такого как бэкдор DarkWatchman. Бэкдор позволяет злоумышленникам собирать конфиденциальную информацию, сохранять контроль над скомпрометированными системами и облегчать доставку дополнительных вредоносных программ, таких как троян Buhtrap. Рекомендуется использовать такие инструменты, как BI.ZONE Secure DNS и BI.ZONE TDR для защиты от таких сложных угроз.
-----

Киберпреступники Watch Wolf усовершенствовали свою тактику, занимаясь SEO-продвижением мошеннических сайтов, нацеленных на бухгалтеров российских компаний. Вместо традиционных фишинговых электронных писем злоумышленники теперь используют SEO-отравление для распространения вредоносного ПО и установки бэкдоров на рабочие станции бухгалтеров. Эта новая кампания началась в ноябре 2022 года и включает в себя создание поддельных веб-сайтов с ресурсами для бухгалтеров, которые появляются в топовых результатах поиска по определенным запросам, соблазняя жертв загружать вредоносные файлы, замаскированные под законные документы.

Перейдя по ссылкам на этих мошеннических сайтах, жертвы неосознанно загружают архив SFX, содержащий бэкдор DarkWatchman. Эта вредоносная программа представляет собой JavaScript-скрипт, установленный в локальной папке системы и запускаемый с помощью процесса wscript.exe. Чтобы сохранить постоянство, вредоносная программа создает задачу в планировщике Windows и удаляет теневые копии, если ей предоставлены необходимые разрешения. Бэкдор хранит информацию о конфигурации в разделе реестра HKEY_CURRENT_USER\Software\Microsoft\Windows\DWM и включает кейлоггер, закодированный в Base64.

Бэкдор DarkWatchman может собирать системную информацию, данные пользователя, данные антивирусного программного обеспечения и отправлять эту информацию на сервер управления (C2). Злоумышленники могут удаленно запускать исполняемые файлы, загружать библиотеки, запускать скрипты, скачивать файлы и обновлять коды бэкдора и кейлоггера через взломанную систему. Бэкдор динамически генерирует адреса управляющих серверов на основе времени и порядковых номеров, что затрудняет защитникам эффективную идентификацию и блокировку этих серверов.

В ходе расследования атак Watch Wolf было установлено, что DarkWatchman использовался для распространения троянской программы Buhtrap и других модулей, таких как VNC, предоставляющих злоумышленникам удаленный доступ к скомпрометированным системам. Buhtrap, работающий с 2014 года, известен тем, что проводит целенаправленные атаки на бухгалтеров в различных отраслях. В то время как повышение осведомленности сотрудников эффективно в борьбе с фишингом, оно может оказаться не столь эффективным в борьбе с SEO-атаками. BI.ZONE Secure DNS, которая использует аналитику угроз, анализирует запросы пользователей во внешние сети, блокируя подозрительные запросы на основе черных и белых списков.

В статье также рекомендуется использовать центр мониторинга кибербезопасности, такой как BI.Для обнаружения и блокирования несанкционированных запросов в зоне TDR. Сочетая превентивные меры с защитой DNS и активным мониторингом, организации могут лучше защищаться от сложных киберугроз, таких как атаки Watch Wolf. Авторами текста являются Олег Скулкин, начальник отдела киберразведки, и Алина Суханова, старший специалист по компьютерной экспертизе, по состоянию на 10 апреля 2023 года.

#ParsedReport #CompletenessHigh
23-05-2024

Transparent Tribe Targets Indian Government, Defense, and Aerospace Sectors Leveraging Cross-Platform Programming Languages

https://blogs.blackberry.com/en/2024/05/transparent-tribe-targets-indian-government-defense-and-aerospace-sectors

Report completeness: High

Actors/Campaigns:
Transparenttribe (motivation: cyber_espionage)
Tejas

Threats:
Spear-phishing_technique
Poseidon
Go-stealer
Credential_stealing_technique
Httrack_tool
Mythic_c2
Globshell_tool
Pyshellfox_tool
Upx_tool
Discord-c2
Smuggling_technique
Sliver_c2_tool
Hackbrowserdata

Victims:
Indian government, Indian defense forces, State-run defense contractors, Largest aerospace and defense companies in asia, Indian state-owned aerospace and defence electronics company, Asia's second-largest manufacturer of earth moving equipment

Industry:
Education, Military, Government, Aerospace

Geo:
Indian, Pakistan, Asia, India, Pakistani, China, Asia-pacific, Kashmir

TTPs:
Tactics: 8
Technics: 17

IOCs:
File: 25
Url: 20
Domain: 25
Hash: 86
IP: 37

Soft:
Telegram, Discord, Slack, macOS, whatsapp, Ubuntu, Windows file system, Mozilla Firefox, curl, Unix, have more...

Algorithms:
sha256, zip, md5, base64

Win API:
decompress, gethostname

Languages:
python, swift, golang, rust

Platforms:
x64, cross-platform

Links:
https://github.com/bmdyy/discord-c2/blob/main/client.go
https://github.com/Nuitka/Nuitka

#ParsedReport #ExtractedSchema

Classified images:
chart: 1, schema: 5, windows: 1, table: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в кибершпионской деятельности базирующейся в Пакистане группы передовых угроз Transparent Tribe (APT36), нацеленной на правительственный, оборонный и аэрокосмический секторы Индии. Группа постоянно совершенствует свои технологии, используя кроссплатформенные языки программирования и популярные веб-сервисы для стратегического таргетинга на критически важные отрасли. Исследование BlackBerry показывает адаптивность группы, ее изощренность и соответствие интересам Пакистана в условиях геополитической напряженности, подчеркивая постоянную угрозу, исходящую от продвинутых игроков в Азиатско-Тихоокеанском регионе.
-----

В ходе продолжительной разведки BlackBerry в Азиатско-Тихоокеанском регионе была обнаружена базирующаяся в Пакистане группировка Transparent Tribe (APT36), которая с конца 2023 по апрель 2024 года атаковала правительственный, оборонный и аэрокосмический секторы Индии.

Компания Transparent Tribe известна тем, что адаптирует и развивает свой инструментарий, используя кроссплатформенные языки программирования, такие как Python, Golang и Rust, и использует популярные веб-сервисы, такие как Telegram, Discord, Slack и Google Drive.

Группировка нанесла стратегический удар по важнейшим секторам, жизненно важным для национальной безопасности Индии, продемонстрировав потенциальную согласованность с интересами Пакистана в условиях эскалации напряженности.

Transparent Tribe использует фишинговые электронные письма для доставки вредоносных программ, таких как Poseidon, загрузчики Python и скомпилированные Golang шпионские инструменты, позволяющие избежать обнаружения.

Группа внедрила новые средства атаки, в том числе скомпилированные Golang инструменты и вводящие в заблуждение ISO-изображения, нацеленные на индийские силы обороны, уделяя особое внимание военно-воздушным силам Индии.

Предпочтение Transparent Tribe кросс-платформенным языкам программирования и разнообразным веб-сервисам для управления операциями демонстрирует их передовые возможности в области кибершпионажа.

Данные BlackBerry указывают на то, что деятельность Transparent Tribe происходит из Пакистана, что подтверждается такими показателями, как использование пакистанского стандартного времени в сценариях и связь с пакистанским оператором мобильной передачи данных.

Деятельность Transparency Tribe в области кибершпионажа подчеркивает сохраняющуюся угрозу, исходящую от продвинутых участников persistent threat в Азиатско-Тихоокеанском регионе, что подчеркивает необходимость повышенной бдительности и активных мер кибербезопасности.

#ParsedReport #CompletenessLow
23-05-2024

Beware of the new zombie Goldoon: a zero-detection rate zombie family with the widest instruction set coverage

https://mp-weixin-qq-com.translate.goog/s/Yqcnw3uUGNYQBCfZrzpJZg?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp

Report completeness: Low

Actors/Campaigns:
Black_bird

Threats:
Goldoon
Mirai
Bashlite

Industry:
Iot

Geo:
China, Austria, Germany, Netherlands, Iran

CVEs:
CVE-2017-17215 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- huawei hg532 firmware (-)


ChatGPT TTPs:
do not use without manual check
T1027, T1067, T1060, T1043, T1071, T1566, T1105, T1496, T1548

IOCs:
File: 5
IP: 2
Hash: 13

Soft:
WeChat, curl, wolfSSL

Functions:
SetInjectMethod

Languages:
powershell

Platforms:
riscv64, arm, x64, x86, mips, m68k

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, schema: 1, code: 20, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что Goldoon - это недавно появившаяся, очень сложная и легко адаптируемая киберугроза, отличающаяся скрытными возможностями, модульной конструкцией и вредоносным поведением, встроенным в файлы ELF с нулевым уровнем защиты от вирусов. Он работает на нескольких процессорных архитектурах, обладает адаптивными функциями и управляется контроллером с международным охватом операций. Угроза сосредоточена на постоянном расширении и целенаправленных атаках как на традиционные ПК, так и на устройства Интернета вещей, что представляет значительный риск из-за ее быстрой эволюции, тактики уклонения и потенциальной возможности проведения сложных атак.
-----

Зомби-угроза Goldoon, обнаруженная 8 апреля 2024 года, является скрытой и встроена в файлы ELF, защищенные от нулевого вируса.

Программное обеспечение безопасности почти две недели пыталось обнаружить Goldoon из-за своей модульной и поэтапной работы.

Для повышения эффективности работы Goldoon использует такие функции, как сканирование вторжений, удаленная доставка и ожидание зомби.

Возможность адаптации к более чем 18 процессорным архитектурам, включая специализированные, такие как alpha и hppa.

Полностью переработан и развит, что усложняет работу по сравнению с существующими ботнетами.

Контроллер, стоящий за Goldoon, наблюдал за использованием серверов C2 в Австрии и Германии, что указывает на международные операции.

Goldoon был связан с мелкомасштабными тестовыми мероприятиями, такими как DDoS-атаки, демонстрирующие разрушительные возможности.

Было идентифицировано около 50 образцов Goldoon на платформе Linux, лишенных символов, чтобы избежать обнаружения.

Goldoon демонстрирует быстрые этапы эволюции, направленные на тестирование функций и защиту от вирусов.

Обнаружено несколько файлов скриптов с различными форматами кода, которые выполняют схожие функции в качестве векторов доставки для Goldoon.

Компонент загрузчика в Goldoon загружает вредоносные модули-дропперы с механизмами, позволяющими избежать обнаружения.

Заслуживающие внимания функции в Goldoon сосредоточены на постоянстве работы, мерах защиты от отладки и эксклюзивности устройства.

Интеграция библиотеки шифрования wolfSSL в Goldoon указывает на будущие улучшения в области анонимности трафика.

Goldoon проявляется на платформе Windows с помощью сценариев PowerShell с относительно низкой частотой обнаружения.

Стратегический подход Goldoon к расширению ботнетов подчеркивается акцентом на специализированные архитектуры наборов команд и адаптацию атак к устройствам с уязвимостями в системе безопасности.

#ParsedReport #CompletenessLow
23-05-2024

Loader + stealer + RAT: dissecting DarkGate

https://bi.zone/expertise/blog/zagruzchik-stiler-rat-prepariruem-darkgate

Report completeness: Low

Threats:
Darkgate
Qakbot
Pikabot
Dll_hijacking_technique
Emotet

Victims:
Russian companies

Geo:
Russian

ChatGPT TTPs:
do not use without manual check
T1566, T1547, T1055, T1574, T1027, T1555, T1056, T1219, T1496, T1486, have more...

IOCs:
File: 2
Path: 2
Registry: 1

Algorithms:
salsa20, rc4, md5, base64, xor, aes

Functions:
GetAgentInformation

Languages:
autoit, delphi, python, pascal

Links:
https://github.com/nazywam/AutoIt-Ripper?roistat\_visit=974450
https://github.com/crypto2011/IDR?roistat\_visit=974450

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, code: 6, dump: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в появлении и развитии возможностей вредоносного ПО DarkGate, его сходстве с QakBot и PikaBot, методах распространения, использования в кибератаках и сложных методах, используемых для уклонения и шифрования.
-----

DarkGate - это универсальная вредоносная программа, которая завоевала популярность в атаках на российские компании, несмотря на попытки разработчика запретить ее использование. DarkGate - это сложный инструментарий, сочетающий в себе функции загрузчика, stealer и RAT (троян удаленного доступа). Эта вредоносная программа способна красть различную информацию, удаленно управлять зараженными хостами и даже проводить операции по добыче криптовалют.

Хотя разработчик изначально позиционировал DarkGate как загрузчик, на самом деле он предлагает широкий спектр инструментов для заражения систем, повышения привилегий, кражи учетных данных и функционирования в качестве полноценного трояна для удаленного доступа. Такая гибкость позволяет использовать DarkGate в различных незаконных действиях, включая распространение программ-вымогателей и кибершпионаж.

Рост популярности DarkGate совпал с закрытием ФБР инфраструктуры QakBot, что привело к тому, что исследователи заметили всплеск числа заражений, связанных с DarkGate и PikaBot. Считается, что после сбоя в работе QakBot пользователи этого вредоносного ПО стали искать замену, что привело к появлению DarkGate, чтобы заполнить пустоту. Фишинг остается основным методом распространения DarkGate, унаследованным от QakBot.

Хотя прямой связи между DarkGate, QakBot и PikaBot нет, количество вредоносных электронных писем, распространяемых DarkGate, значительно увеличилось. Кроме того, были случаи, когда на подпольных форумах рекламировались DarkGate для аренды, подчеркивая их эксклюзивность, ограничивая их доступность для избранного круга клиентов.

После анализа специалистами по анализу угроз DarkGate выявил интригующие детали в процессе обратного проектирования. Вредоносная программа использует ряд методов, таких как перехват библиотек DLL, пользовательские методы шифрования и использует язык программирования Delphi для своей разработки. Шифрование, используемое для связи с сервером управления (C2), может некоторых удивить, поскольку DarkGate использует кодировку Base64 в качестве метода шифрования данных, демонстрируя адаптивность субъектов киберугроз к использованию нетрадиционных методов.

Анализ также проливает свет на тактику идентификации и обхода DarkGate, поскольку она активно проверяет наличие антивирусного программного обеспечения в зараженных системах и использует стратегические меры, чтобы избежать обнаружения и удаления. Использование вредоносной программой пользовательского хеширования MD5 для генерации ключей на основе различных системных параметров усложняет ее работу, затрудняя защитникам обнаружение и предотвращение ее действий.

#ParsedReport #CompletenessHigh
23-05-2024

Deep Dive Into Unfading Sea Haze: A New Threat Actor in the South China Sea. Attribution

https://www.bitdefender.com/blog/businessinsights/deep-dive-into-unfading-sea-haze-a-new-threat-actor-in-the-south-china-sea

Report completeness: High

Actors/Campaigns:
Unfading_sea_haze (motivation: cyber_espionage)
Winnti

Threats:
Gh0st_rat
Sharpjshandler
Funnyswitch_backdoor
Spear-phishing_technique
Serialpktdoor
Dll_sideloading_technique
Silentgh0st
Translucentgh0st
Ps2dllloader
Fluffygh0st
Insidiousgh0st
Etherealgh0st
Stubbedoor
Sharpzulip
Dustyexfiltool_tool

Victims:
Military organizations, Government organizations

Industry:
Government, Military

Geo:
China, Chinese

TTPs:
Tactics: 4
Technics: 0

IOCs:
File: 17
Hash: 85
Command: 1
Path: 66
Url: 3
Registry: 1
Domain: 31
IP: 13

Soft:
curl, Microsoft Defender, Visual Studio, SMB server, Event Tracing for Windows, ASP.NET, Google Chrome, Microsoft Edge, Internet Explorer, Chrome, have more...

Algorithms:
zip, md5, base64, aes

Win Services:
ekrn, Eventlog

Languages:
powershell, jscript, javascript

#ParsedReport #ExtractedSchema

Classified images:
code: 2, schema: 4

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в подробном расследовании, проведенном Bitdefender Labs в отношении сложного агента по борьбе с угрозами под названием "Unfading Sea Haze", нацеленного на высокопоставленные организации в странах Южно-Китайского моря. Расследование выявило настойчивость группы, соответствие интересам Китая, эволюцию тактики с течением времени, использование различных инструментов и вредоносных программ, невидимость на протяжении более пяти лет и акцент на надежных методах кибербезопасности для снижения усилий по шпионажу. Исследование дает представление о деятельности Unfading Sea Haze, проблемах с установлением авторства и используемых методах, подчеркивая способность группы к адаптации и оперативность при проведении кибератак.
-----

Bitdefender Labs провела аналитическое расследование киберугроз, выявив изощренного исполнителя угроз под названием "Unfading Sea Haze", нацеленного на высокопоставленные организации в странах Южно-Китайского моря, которые, вероятно, связаны с интересами Китая.

Настойчивость "Неувядающей морской дымки", сосредоточенность на регионе и соответствие китайским интересам наводят на мысль о связях с китайской кибердеятельностью.

Расследование продолжалось с 2018 года и выявило по меньшей мере восемь жертв неувядающего морского тумана, продемонстрировав эволюцию их тактики, методов и процедур с течением времени.

В Unfading Sea Haze использовались инструменты нескольких поколений, включая варианты фреймворка Gh0st RAT и полезные приложения .NET, что свидетельствует о высоком уровне сложности.

Длительная невидимость группы на протяжении более пяти лет вызывала опасения по поводу их необнаруженной деятельности в качестве вероятного субъекта национального государства с искусной тактикой уклонения.

Операции Unfading Sea Haze включали в себя отправку фишинговых электронных писем, распространение вредоносных программ через вредоносные архивы и методы обхода защиты, такие как встраивание комментариев в файлы LNK.

Группа использовала различные вредоносные программы, включая бэкдоры, такие как SerialPktdoor, кейлоггеры, средства для кражи данных в браузерах и средства мониторинга портативных устройств.

Участники поделились подробной информацией о тактике и арсенале вредоносных программ Unfading Sea Haze, чтобы помочь сообществу безопасности эффективно обнаруживать и пресекать их деятельность.

Расследование выявило проблемы с установлением авторства, но предположило о потенциальных связях между "Неувядающей морской дымкой" и китайской киберэкосистемой, основанной на атаках на правительственные и военные организации в регионе Южно-Китайского моря.

Компания Unfading Sea Haze постоянно совершенствовала свои процессы эксфильтрации, перейдя в 2022 году на использование таких инструментов, как DustyExfilTool и утилита curl с протоколом FTP, для повышения безопасности передачи данных и предотвращения обнаружения.