#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в подробном описании сложной вредоносной кампании с использованием IDATLOADER, которая использует сложные цепочки заражения, методы обфускации и использование легитимных двоичных файлов, таких как mshta.exe. Вредоносное ПО создает проблемы для традиционных методов обнаружения, основанных на сигнатурах, и требует более совершенных инструментов поведенческого анализа. Администраторы предупреждаются о злонамеренном использовании mshta.exe и получают рекомендации по стратегиям комплексной защиты для эффективной борьбы с такими угрозами.
-----

Описанный инцидент был связан с обнаружением подозрительной вредоносной программы, которая демонстрировала необычное поведение при загрузке. В ходе расследования было установлено, что вредоносная программа использовала сложную цепочку заражения с несколькими уровнями обфускации для доставки IDATLOADER. Для выполнения вредоносного кода злоумышленник использовал программное обеспечение Microsoft mshta.exe, спрятанное в файле, выдающем себя за секретный ключ PGP. Вредоносная программа использовала новые способы защиты от взлома и сложную маскировку, чтобы избежать обнаружения, что привело к очень низкому коэффициенту обнаружения в VirusTotal.

Первоначально предполагалось, что это связано с дополнительной загрузкой DLL, но на самом деле инцидент был связан с дополнительной загрузкой BPL с использованием файла библиотеки пакетов Borland (VCL120.BPL). Было обнаружено, что этот файл позволяет получить доступ к зашифрованному файлу данных, содержащему вредоносный код IDATLOADER. Дальнейшее тестирование показало, что цепочка заражения началась с поддельного файла ключа PGP, в котором был установлен LUMMASTEALER, и неустановленного универсального похитителя паролей.

В кампании IDATLOADER используется сложная цепочка заражения с несколькими уровнями обфускации, что затрудняет выявление вредоносного ПО традиционными технологиями обнаружения на основе сигнатур. Инструменты, которые анализируют поведение, с большей вероятностью обнаружат угрозы такого типа. Реализация стратегии глубокой защиты имеет решающее значение, поскольку сложные и сильно запутанные файлы могут ускользать от сканирования по периметру, но все равно могут быть обнаружены решениями для обнаружения конечных точек и реагирования на них (EDR) или аналогичными технологиями.

Отмечается, что злоумышленники используют законный двоичный код mshta.exe в цепочках атак, что видно как в этом инциденте, так и в предыдущих, связанных с вредоносным ПО TODDLERSHARK. Аномальное поведение, демонстрируемое mshta.exe, служит убедительным показателем вредоносной активности. Системным администраторам рекомендуется рассмотреть возможность блокировки выполнения mshta.exe или полного его удаления из-за его связи со старыми версиями Internet Explorer.

#ParsedReport #CompletenessMedium
30-06-2024

Examining Water Sigbin's Infection Routine Leading to an XMRig Cryptominer. Conclusion

https://www.trendmicro.com/en_us/research/24/f/water-sigbin-xmrig.html

Report completeness: Medium

Actors/Campaigns:
8220_gang

Threats:
Xmrig_miner
Purecryptor
Process_injection_technique
Dll_injection_technique
Process_hollowing_technique

CVEs:
CVE-2023-21839 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- oracle weblogic server (12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0)

CVE-2017-3506 [Vulners]
CVSS V3.1: 7.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- oracle weblogic server (10.3.6.0.0, 12.1.3.0.0, 12.2.1.0.0, 12.2.1.1.0, 12.2.1.2.0)


TTPs:
Tactics: 6
Technics: 18

IOCs:
File: 4
Hash: 6
Path: 4
IP: 4
Command: 1
Url: 2

Soft:
Oracle WebLogic server, WireGuard, Windows Defender

Algorithms:
base64, gzip, md5, aes

Win API:
CreateRemoteThread

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
windows: 26, schema: 3, code: 22

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что злоумышленник Water Sigbin, также известный как 8220 Gang, демонстрирует передовую тактику с помощью сложной многоступенчатой технологии загрузки для доставки криптомайнера XMRIG, используя уязвимости в серверах Oracle WebLogic. Кампания подчеркивает важность надежных мер безопасности и постоянного мониторинга возникающих угроз для предотвращения обнаружения и компрометации систем.
-----

Water Sigbin, также известный как 8220 Gang, является разработчиком угроз, демонстрирующим сложные многоступенчатые методы загрузки для обеспечения работы криптомайнера XMRIG. Используя уязвимости в Oracle WebLogic server, внедряя майнеры криптовалюты и реализуя меры по предотвращению отладки, такие как обфускация кода и защита .Net Reactor, Water Sigbin демонстрирует передовую тактику, позволяющую избежать обнаружения и компрометации систем. Эта кампания подчеркивает важность надежных мер безопасности и постоянного мониторинга возникающих угроз.

Злоумышленник использует CVE-2017-3506 и CVE-2023-21839 для развертывания майнеров криптовалюты с помощью сценариев PowerShell, используя методы безфайлового выполнения, такие как отражение библиотек DLL и внедрение процессов, для запуска вредоносного кода исключительно в памяти, минуя обнаружение на диске. Water Sigbin использует технологию многоступенчатой загрузки для доставки загрузчика PureCrypter и крипто-майнера XMRig. Все полезные данные в этой кампании защищены с помощью .Net Reactor для предотвращения обратного проектирования, включая методы защиты от отладки для дополнительной защиты.

После успешной эксплуатации CVE-2017-3506 Water Sigbin запускает сценарий PowerShell на скомпрометированных системах для декодирования полезной нагрузки в кодировке Base64, удаляя загрузчик начальной стадии с именем wireguard2-3.exe во временном каталоге. Этот загрузчик маскируется под законное VPN-приложение, чтобы обмануть пользователей и антивирусные системы. wireguard2-3.exe Файл действует как троянский загрузчик, который расшифровывает и выполняет в памяти полезную нагрузку второго этапа, расширяя возможности обхода за счет внедрения отражающей библиотеки DLL для выполнения в памяти.

Полезная нагрузка второго этапа, троянский загрузчик DLL, извлекает и выполняет другой двоичный файл из указанного ресурса, расшифровывая его с помощью шифрования AES и распаковывая с помощью GZip. Конфигурация расшифрованной полезной нагрузки включает в себя сведения о создании нового процесса и загрузке полезной нагрузки следующего этапа в зашифрованном формате. Water Sigbin использует внедрение процесса для загрузки полезной нагрузки следующего этапа, что приводит к развертыванию загрузчика PureCrypter версии V6.0.7D. Этот загрузчик регистрирует жертв на сервере управления (C&C) и загружает конечную полезную нагрузку, содержащую криптомайнер XMRig.

Чтобы обеспечить постоянство, вредоносная программа использует различные методы, такие как создание запланированных задач, репликация в виде скрытого файла, добавление исключений в Защитник Windows и создание уникальных идентификаторов жертв, зашифрованных с помощью MD5, на основе информации об оборудовании. Подключаясь к серверу C&C, Water Sigbin получает подробную информацию о конфигурации XMRig, загружает зашифрованные файлы, расшифровывает и распаковывает ответы, а также загружает полезную нагрузку XMRig посредством внедрения процесса для майнинга криптовалюты с использованием указанного адреса кошелька.

Кроме того, Trend Micro предоставляет механизмы защиты для защиты клиентов от обсуждаемой атаки, включая правила обнаружения уязвимостей Oracle WebLogic CVE-2017-3506 и CVE-2023-21839. Программа заражения Water Sigbin, ведущая к созданию XMRig cryptominer, включает в себя серию троянских загрузчиков и URL-адресов для доставки полезной нагрузки.

#ParsedReport #CompletenessMedium
30-06-2024

Search. This ELF is not your buddy

https://blog.strikeready.com/blog/this-elf-is-not-your-buddy

Report completeness: Medium

Threats:
Upx_tool
Zenity_tool

Victims:
Indian government

Industry:
Government

Geo:
Indian

ChatGPT TTPs:
do not use without manual check
T1204.002, T1036.006

IOCs:
Hash: 54
Email: 1
Url: 30
File: 6
Domain: 2

Soft:
Discord

Algorithms:
bzip, zip, base64

Links:
https://github.com/StrikeReady-Inc/research/tree/main/2024-06-27%20Gotta%20be%20ELFing%20kidding
https://github.com/bwmarrin/discordgo
https://github.com/StrikeReady-Inc/samples/tree/main/2024-06-27%20Unk%20ELF%20actor

#ParsedReport #ExtractedSchema

Classified images:
table: 1, windows: 2, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что бэкдоры Linux редко используются для первоначальной компрометации из-за низкой доли рынка настольных компьютеров, о чем свидетельствует недавний инцидент, связанный со взломанной учетной записью правительства Индии, отправившей вредоносное электронное письмо с необычной комбинацией форматов файлов. Это вызывает опасения по поводу потенциальных угроз безопасности и вызывает споры о внедрении Linux и последствиях для безопасности.
-----

В тексте подчеркивается редкость использования бэкдоров Linux для первоначальной компрометации, главным образом из-за того, что на долю Linux приходится всего 5% настольных компьютеров. Это говорит о том, что пользователи обычно не заражаются вложениями файлов .elf по электронной почте, как это было показано в недавнем инциденте, связанном со взломанной учетной записью правительства Индии, отправляющей вредоносное электронное письмо на другой государственный домен Индии. Электронное письмо содержало ZIP-вложение с файлами pdf, docx и ELF. Такое необычное сочетание форматов файлов указывает на потенциальную угрозу безопасности. Упоминание Linux на настольных компьютерах и постоянные шутки о его будущей актуальности привлекают внимание к продолжающимся дебатам о внедрении Linux и последствиях для безопасности.

#ParsedReport #CompletenessHigh
30-06-2024

Threat Analysis Insight: RisePro Information Stealer

https://blogs.blackberry.com/en/2024/06/threat-analysis-insight-risepro-information-stealer

Report completeness: High

Threats:
Riseprostealer
Privateloader
Redline_stealer
Vidar_stealer
Raccoon_stealer
Hvnc_tool
Credential_dumping_technique

Industry:
Financial, Critical_infrastructure

Geo:
Russian

TTPs:
Tactics: 7
Technics: 28

IOCs:
Path: 2
Command: 2
File: 4
Hash: 25
IP: 10
Url: 5

Soft:
Windows Defender, Telegram, Discord

Algorithms:
xor, zip, base64

YARA: Found

#ParsedReport #ExtractedSchema

Classified images:
table: 1, schema: 3, code: 1, windows: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в многофункциональном средстве для кражи информации под названием RisePro, которое в основном распространяется по модели "Вредоносное ПО как услуга" (MaaS) на подпольных форумах. Вредоносная программа, впервые обнаруженная в конце 2022 года, проявила значительную активность в конце 2023-го и начале 2024 года, что привело к ее включению в раздел "Основные угрозы критической инфраструктуре" отчета Global Threat Intelligence. У RisePro нет конкретного источника заражения, но он часто распространяется с помощью вредоносных ссылок и тактики обмана. Вредоносное ПО работает по модели подписки, что позволяет операторам настраивать его для своих целей, уделяя особое внимание краже и утечке информации. Организациям рекомендуется использовать проактивные стратегии защиты от таких угроз.
-----

RisePro - это многофункциональная программа для кражи информации, распространяемая по модели "Вредоносное ПО как услуга" на подпольных форумах.

В конце 2023 и начале 2024 года BlackBerry отметила значительный рост активности RisePro, что привело к включению его в раздел "Основные угрозы критической инфраструктуре" отчета Global Threat Intelligence.

RisePro имеет сходство с PrivateLoader, используемым злоумышленниками для распространения вредоносных программ.

Русскоязычное происхождение, о котором свидетельствуют особенности дизайна и деятельности RisePro.

Модель, основанная на подписке, при которой операторы настраивают вредоносное ПО под свои цели после уплаты лицензионного сбора.

RisePro взаимодействует с сервером C2 для получения команд для снятия отпечатков пальцев с систем, кражи данных и передачи в инфраструктуру субъекта угроз.

Настраиваемая тактика развертывания обеспечивает постоянство выполнения запланированных задач.

Обновления включают переход на пользовательский протокол TCP, методы обфускации и согласованную структуру в разных версиях.

Основная цель - кража и эксфильтрация информации, при этом операторы настраивают методы передачи данных.

Постоянно развивающиеся функции, рекламируемые на подпольных форумах, подчеркивают необходимость принятия эффективных контрмер.

Рекомендуемые стратегии защиты включают обучение сотрудников, мониторинг, решения для обеспечения безопасности конечных точек и программы анализа угроз.

BlackBerry предлагает защиту от RisePro с помощью CylanceENDPOINT на базе Cylance AI для обнаружения угроз и их устранения.

#ParsedReport #CompletenessLow
30-06-2024

Sombres Influences: Russian and Iranian Influence Networks Target French Elections

https://go.recordedfuture.com/hubfs/reports/TA-2024-0628.pdf

Report completeness: Low

Actors/Campaigns:
Copycop
Iuvm
Doppelgnger

Victims:
French elections

Industry:
Military, Education, Government

Geo:
Of legitimate french, Us and french, France for, Copycop french, Russian, Uses french, From legitimate french, Networks target french, Plagiarized from french, Websites impersonating french, And french, Targets french, France, Copycop uses french, Promises french, Russia, From mainstream french, 100 to french, During french, Two french, Ukraine, Of prominent french, French, Mainstream french, Undermine the french, Iran, The us, Surge during french, Of the french, The french, France military, Impersonating french, France because, Inauthentic french, Two new french, France en, For french, France military aid, France far-right story, Legitimate french, France such, Iranian, France supporting israel, France for its, Upcoming french, New french, Claiming that french, The 2024 french, 2024 impersonating french, France as result, The upcoming french, France military support, Jordan, Instruction for french, Website promises french, Doppelgnger impersonating french, France because of, To working-class french, To the french, France and, France unprecedented, Are impersonating french, France far-right, That french, France and promoting, Doppelgnger targets french, And weaponizing french, Erode french, Of copycop french, Into french, Articles impersonating french, Copycop new french, France domestic political, France en colere, Israel, Translated into french, Impersonating the french, France unprecedented economic, Prominent french, To erode french, Working-class french, France domestic, France such as, From french, Weaponizing french, Target french, 2024 french, France supporting, Impersonates two french, Targeting the french, To french, Article from french, France as

ChatGPT TTPs:
do not use without manual check
T1566.002, T1568

IOCs:
Domain: 26
Email: 2

Soft:
outlook

Algorithms:
des

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В тексте освещаются операции России и Ирана по оказанию вредоносного влияния на предстоящие выборы во Франции, направленные на создание поддельных веб-сайтов и распространение дезинформации. В нем также упоминается о серьезной угрозе, которую представляют эти операции, и подчеркивается важность скоординированных усилий по противодействию им. Кроме того, в тексте рассказывается о Recorded Future, компании по анализу угроз, которая предоставляет комплексные разведывательные услуги для расширения возможностей клиентов по усилению их защиты от кибербезопасности.
-----

В тексте обсуждаются операции иностранного вредоносного влияния на предстоящие выборы во Франции, проводимые преимущественно Россией и Ираном. Эти операции включают создание недостоверных веб-сайтов, выдающих себя за французские СМИ, создание порталов с поддельными новостями и широкое распространение в социальных сетях. Сеть CopyCop, связанная с Россией, известна тем, что создает контент, выгодный России, с целью дискредитации президента Макрона и подрыва европейской поддержки Украины. Группа использует множество поддельных веб-сайтов на французском языке для распространения дезинформации и видео-подделок.

Иранские онлайн-ресурсы, связанные с IUVM, также участвуют в оказании влияния на выборы во Франции из-за поддержки Францией Израиля. Их деятельность включает в себя тайные кампании влияния, направленные на то, чтобы оспорить позицию Франции по различным вопросам. Сеть "Двойник", известная пропагандой пророссийских, евроскептических и популистских взглядов, фокусируется на критике правительства Макрона и поддержке альтернативных политических групп, таких как партия национального единства.

В тексте подчеркивается значительная угроза, исходящая от этих операций по оказанию иностранного влияния, подчеркивается важность сохранения бдительности и принятия скоординированных усилий по противодействию этим действиям и защите целостности избирательного процесса во Франции. В связи с быстрым приближением выборов правозащитники сталкиваются с еще большими трудностями, в то время как субъектам, представляющим угрозу, становится все труднее оказывать серьезное влияние. В тексте также упоминаются различные тактики, применяемые этими сетями влияния, такие как использование автоматизированных аккаунтов для продвижения в социальных сетях, распространение поддельного контента и ложной информации, нацеленной на избирателей.

Recorded Future, ведущая компания по анализу угроз, предоставляет комплексные разведывательные услуги, охватывающие противников, инфраструктуру и цели, с помощью своего облака Intelligence Cloud. Возможности компании включают мониторинг Интернета из различных источников, таких как открытый Веб, темный веб и технические каналы, для получения информации о меняющемся ландшафте угроз в режиме реального времени. Это позволяет клиентам быстро принимать обоснованные решения, минимизировать риски и повышать уровень своей кибербезопасности.

Компания Recorded Future со штаб-квартирой в Бостоне работает по всему миру, ее офисы и персонал распределены по всему миру. Компания сотрудничает с более чем 1800 предприятиями и государственными структурами в 75 странах, предоставляя объективную и действенную информацию для эффективного укрепления их систем кибербезопасности. Широкий охват Recorded Future и тщательный подход к анализу угроз делают ее ключевым игроком в секторе кибербезопасности, позволяя клиентам активно решать проблемы безопасности и защищать свои цифровые активы.

#ParsedReport #CompletenessLow
30-06-2024

Alert regarding Operation Blotless attack campaign

https://www.jpcert.or.jp/at/2024/at240013.html

Report completeness: Low

Actors/Campaigns:
Blotlesss (motivation: cyber_espionage)
Volt_typhoon (motivation: cyber_espionage)

Threats:
Kv-botnet
Lolbin_technique

Industry:
Government, Critical_infrastructure

Geo:
Japanese, Chinese

CVEs:
CVE-2023-3519 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- citrix netscaler application delivery controller (<12.1-55.297, <13.0-91.13, <13.1-37.159, <13.1-49.13, 11.1-65.22)
- citrix netscaler gateway (<13.0-91.13, <13.1-49.13)


ChatGPT TTPs:
do not use without manual check
T1572, T1190

IOCs:
File: 3
Email: 1

Soft:
Active Directory

Languages:
javascript

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, table: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что растет обеспокоенность в связи с кибератаками на критически важную инфраструктуру с использованием тактики "Living off the land", при этом особое внимание уделяется недавним атакам, таким как "Volt Typhoon" и "Operation Blotless". Множество организаций, включая JPCERT/CC и другие источники, такие как Microsoft и SecureWorks, отслеживают и предупреждают об этих злоумышленниках с расширенными возможностями защиты от постоянных угроз (APT), которые используют существующие инструменты и системы для проведения длительных, периодически повторяющихся кампаний атак. Несмотря на усилия по сбору информации об этих методах атак, остаются проблемы в выявлении таких киберугроз и эффективном реагировании на них, что подчеркивает необходимость постоянной бдительности и сотрудничества между организациями для устранения возникающих рисков для критически важной инфраструктуры и национальной безопасности.
-----

JPCERT/CC опубликовал предупреждение о кибератаках на критически важную инфраструктуру с использованием тактики "Living off the land".

Повышенная бдительность в отношении участников APT, использующих этот метод, после атаки "Тайфуна Вольт" в мае 2023 года.

JPCERT/CC отслеживает аналогичную кампанию атак под названием "Операция Blotless", направленную против японских организаций.

Организации сталкиваются с трудностями при обнаружении атак и противодействии им с использованием тактики "Жить вне земли".

Трудно приписать атакующие действия исключительно Volt Typhoon или другим субъектам угрозы, использующим аналогичную тактику.

JPCERT/CC предупреждает об уязвимости удаленного выполнения кода (CVE-2023-3519), которая используется при некоторых атаках.

Постоянное уделение особого внимания мониторингу и сотрудничеству в борьбе с развивающимися киберугрозами, нацеленными на критически важную инфраструктуру.