CTT Report Hub
#ParsedReport #CompletenessMedium 01-07-2024 CapraTube Remix \| Transparent Tribe s Android Spyware Targeting Gamers, Weapons Enthusiasts https://www.sentinelone.com/labs/capratube-remix-transparent-tribes-android-spyware-targeting-gamers-weapons-enthusiasts…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении новых APK-файлов CapraRAT, связанных с Transparent Tribe, предполагаемой государственной организацией в Пакистане, нацеленной на мобильных геймеров, любителей оружия и пользователей TikTok с помощью шпионского ПО, встроенного в приложения для просмотра видео. Эти APK-файлы демонстрируют неизменную функциональность шпионских программ с улучшенным кодом для современных устройств Android, подчеркивая тактику социальной инженерии группы и постоянное нацеливание на индийское правительство и военные структуры посредством разработки стратегий и обновлений совместимости. Подчеркивается важность тщательного изучения разрешений для приложений и использования эффективных методов обнаружения угроз для защиты от таких угроз.
-----
SentinelLabs обнаружила новые APK-файлы CapraRAT, связанные с Transparent Tribe, предположительно связанной с государством организацией в Пакистане, нацеленной на мобильных геймеров, любителей оружия и пользователей TikTok.
Transparent Tribe, также известная как APT 36, работает с 2016 года, специализируясь на атаках социальной инженерии на индийские правительственные и военные объекты с использованием шпионских программ для Windows и Android.
Последние версии CapraRAT используют WebView для перенаправления пользователей на YouTube или CrazyGames.com, скрывая URL-адреса в коде.
Приложения CapraRAT больше не запрашивают навязчивые разрешения, что указывает на переход к функциональности, ориентированной на наблюдение.
Обновленная совместимость с Android Oreo (8.0) означает стратегический сдвиг в сторону более новых устройств.
Существует постоянная проблема, поскольку шпионское ПО может работать, даже если пользователи отклоняют запросы на получение разрешений.
APK-файлы CapraRAT имеют общий сервер C2 и идентификатор версии, а также небольшие обновления кода, направленные на повышение надежности.
Соответствующие стратегии смягчения последствий включают тщательную проверку разрешений для приложений и мониторинг сетевых индикаторов, таких как порт 18582, для обнаружения CapraRAT и аналогичных угроз и реагирования на них.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении новых APK-файлов CapraRAT, связанных с Transparent Tribe, предполагаемой государственной организацией в Пакистане, нацеленной на мобильных геймеров, любителей оружия и пользователей TikTok с помощью шпионского ПО, встроенного в приложения для просмотра видео. Эти APK-файлы демонстрируют неизменную функциональность шпионских программ с улучшенным кодом для современных устройств Android, подчеркивая тактику социальной инженерии группы и постоянное нацеливание на индийское правительство и военные структуры посредством разработки стратегий и обновлений совместимости. Подчеркивается важность тщательного изучения разрешений для приложений и использования эффективных методов обнаружения угроз для защиты от таких угроз.
-----
SentinelLabs обнаружила новые APK-файлы CapraRAT, связанные с Transparent Tribe, предположительно связанной с государством организацией в Пакистане, нацеленной на мобильных геймеров, любителей оружия и пользователей TikTok.
Transparent Tribe, также известная как APT 36, работает с 2016 года, специализируясь на атаках социальной инженерии на индийские правительственные и военные объекты с использованием шпионских программ для Windows и Android.
Последние версии CapraRAT используют WebView для перенаправления пользователей на YouTube или CrazyGames.com, скрывая URL-адреса в коде.
Приложения CapraRAT больше не запрашивают навязчивые разрешения, что указывает на переход к функциональности, ориентированной на наблюдение.
Обновленная совместимость с Android Oreo (8.0) означает стратегический сдвиг в сторону более новых устройств.
Существует постоянная проблема, поскольку шпионское ПО может работать, даже если пользователи отклоняют запросы на получение разрешений.
APK-файлы CapraRAT имеют общий сервер C2 и идентификатор версии, а также небольшие обновления кода, направленные на повышение надежности.
Соответствующие стратегии смягчения последствий включают тщательную проверку разрешений для приложений и мониторинг сетевых индикаторов, таких как порт 18582, для обнаружения CapraRAT и аналогичных угроз и реагирования на них.
#ParsedReport #CompletenessLow
01-07-2024
Unfurling Hemlock: New threat group uses cluster bomb campaign to distribute malware
https://outpost24.com/blog/unfurling-hemlock-cluster-bomb-campaign
Report completeness: Low
Actors/Campaigns:
Unfurling_hemlock (motivation: information_theft, financially_motivated, cyber_criminal)
Threats:
Hector
Amadey
Redline_stealer
Mystic_stealer
Riseprostealer
Smokeloader
Enigma
Wextract
Crackedcantil
Victims:
Western institutions
Geo:
Czechia, China, Germany, India, Russian, Canada, Korea, Turkey, The us, Spain, Russia, Asian
ChatGPT TTPs:
T1566.001, T1105, T1090, T1059.001
IOCs:
File: 5
Hash: 18
Url: 12
IP: 10
Soft:
Windows Defender, Telegram
Algorithms:
exhibit
Languages:
php
Platforms:
intel
01-07-2024
Unfurling Hemlock: New threat group uses cluster bomb campaign to distribute malware
https://outpost24.com/blog/unfurling-hemlock-cluster-bomb-campaign
Report completeness: Low
Actors/Campaigns:
Unfurling_hemlock (motivation: information_theft, financially_motivated, cyber_criminal)
Threats:
Hector
Amadey
Redline_stealer
Mystic_stealer
Riseprostealer
Smokeloader
Enigma
Wextract
Crackedcantil
Victims:
Western institutions
Geo:
Czechia, China, Germany, India, Russian, Canada, Korea, Turkey, The us, Spain, Russia, Asian
ChatGPT TTPs:
do not use without manual checkT1566.001, T1105, T1090, T1059.001
IOCs:
File: 5
Hash: 18
Url: 12
IP: 10
Soft:
Windows Defender, Telegram
Algorithms:
exhibit
Languages:
php
Platforms:
intel
Outpost24
Unfurling Hemlock: New threat group uses cluster bomb campaign to distribute malware
Read Outpost24’s Threat Intelligence team’s deep analysis of a suspected new cybercrime group and how they operate.
CTT Report Hub
#ParsedReport #CompletenessLow 01-07-2024 Unfurling Hemlock: New threat group uses cluster bomb campaign to distribute malware https://outpost24.com/blog/unfurling-hemlock-cluster-bomb-campaign Report completeness: Low Actors/Campaigns: Unfurling_hemlock…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея:.
В тексте обсуждается углубленный анализ киберугроз, проведенный командой KrakenLabs, который выявил сложную и широко распространенную вредоносную кампанию, организованную восточноевропейской группой по борьбе с угрозами Unfurling Hemlock. Кампания включала распространение нескольких образцов вредоносных программ со сложными уровнями вложенности, целью которых было заражение жертв различными типами вредоносных программ с целью получения финансовой выгоды. Проведенный анализ подчеркивает необходимость принятия надежных мер безопасности и роль специалистов по анализу угроз в защите организаций от развивающихся киберугроз.
-----
KrakenLabs провела углубленное расследование сложной и широко распространенной вредоносной кампании, проводимой группой разработчиков Hemlock threat actor group.
Кампания включала распространение образцов вредоносного ПО с помощью сжатых файлов под названием "WEXTRACT.EXE .MUI", что привело к развертыванию различных типов вредоносного ПО, включая Redline, RisePro, Mystic Stealer, Amadey и SmokeLoader.
Десятки тысяч образцов вредоносного ПО были распространены по всему миру, в первую очередь в странах Восточной Европы, с целью заражения западных учреждений.
Вредоносная кампания демонстрировала сложные уровни вложенности, что позволяло одновременно запускать несколько образцов вредоносного ПО на зараженных системах.
Связь командования и контроля (C2) осуществлялась по нескольким адресам, что указывает на высокую координацию и организованность в группе исполнителей угроз.
Основной мотивацией кампании, по-видимому, была финансовая выгода, а стратегия была направлена на максимизацию воздействия и потенциальных выгод для участников угрозы.
Анализ показал важность надежных мер безопасности, передовых решений по защите от вредоносных программ и предостережения от загрузки подозрительных файлов для снижения рисков, связанных с такими масштабными кампаниями по борьбе с вредоносными программами.
Гектор, видный деятель индустрии кибербезопасности, подробно описанный в тексте, перешел от этического хакерства к анализу угроз, подчеркнув важнейшую роль таких профессионалов, как он, в защите организаций от киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея:.
В тексте обсуждается углубленный анализ киберугроз, проведенный командой KrakenLabs, который выявил сложную и широко распространенную вредоносную кампанию, организованную восточноевропейской группой по борьбе с угрозами Unfurling Hemlock. Кампания включала распространение нескольких образцов вредоносных программ со сложными уровнями вложенности, целью которых было заражение жертв различными типами вредоносных программ с целью получения финансовой выгоды. Проведенный анализ подчеркивает необходимость принятия надежных мер безопасности и роль специалистов по анализу угроз в защите организаций от развивающихся киберугроз.
-----
KrakenLabs провела углубленное расследование сложной и широко распространенной вредоносной кампании, проводимой группой разработчиков Hemlock threat actor group.
Кампания включала распространение образцов вредоносного ПО с помощью сжатых файлов под названием "WEXTRACT.EXE .MUI", что привело к развертыванию различных типов вредоносного ПО, включая Redline, RisePro, Mystic Stealer, Amadey и SmokeLoader.
Десятки тысяч образцов вредоносного ПО были распространены по всему миру, в первую очередь в странах Восточной Европы, с целью заражения западных учреждений.
Вредоносная кампания демонстрировала сложные уровни вложенности, что позволяло одновременно запускать несколько образцов вредоносного ПО на зараженных системах.
Связь командования и контроля (C2) осуществлялась по нескольким адресам, что указывает на высокую координацию и организованность в группе исполнителей угроз.
Основной мотивацией кампании, по-видимому, была финансовая выгода, а стратегия была направлена на максимизацию воздействия и потенциальных выгод для участников угрозы.
Анализ показал важность надежных мер безопасности, передовых решений по защите от вредоносных программ и предостережения от загрузки подозрительных файлов для снижения рисков, связанных с такими масштабными кампаниями по борьбе с вредоносными программами.
Гектор, видный деятель индустрии кибербезопасности, подробно описанный в тексте, перешел от этического хакерства к анализу угроз, подчеркнув важнейшую роль таких профессионалов, как он, в защите организаций от киберугроз.
#ParsedReport #CompletenessHigh
01-07-2024
Supply Chain Compromise Leads to Trojanized Installers for Notezilla, RecentX, Copywhiz
https://www.rapid7.com/blog/post/2024/06/27/supply-chain-compromise-leads-to-trojanized-installers-for-notezilla-recentx-copywhiz
Report completeness: High
Threats:
Supply_chain_technique
Dllfake
Uniextract2_tool
Victims:
Notezilla, Recentx, Copywhiz, Windows users
Geo:
India
TTPs:
Tactics: 8
Technics: 13
IOCs:
Domain: 1
Path: 3
File: 12
IP: 11
Hash: 19
Soft:
Notezilla, RecentX, Copywhiz, curl, Google Chrome, Mozilla Firefox, PyInstaller
Wallets:
exodus_wallet, jaxx, guarda_wallet, electrum, coinomi
Algorithms:
zip, 7zip
Functions:
WINAPI
Win API:
ShellExecuteA, CreateProcessA
Languages:
python
Links:
01-07-2024
Supply Chain Compromise Leads to Trojanized Installers for Notezilla, RecentX, Copywhiz
https://www.rapid7.com/blog/post/2024/06/27/supply-chain-compromise-leads-to-trojanized-installers-for-notezilla-recentx-copywhiz
Report completeness: High
Threats:
Supply_chain_technique
Dllfake
Uniextract2_tool
Victims:
Notezilla, Recentx, Copywhiz, Windows users
Geo:
India
TTPs:
Tactics: 8
Technics: 13
IOCs:
Domain: 1
Path: 3
File: 12
IP: 11
Hash: 19
Soft:
Notezilla, RecentX, Copywhiz, curl, Google Chrome, Mozilla Firefox, PyInstaller
Wallets:
exodus_wallet, jaxx, guarda_wallet, electrum, coinomi
Algorithms:
zip, 7zip
Functions:
WINAPI
Win API:
ShellExecuteA, CreateProcessA
Languages:
python
Links:
https://github.com/Bioruebe/UniExtract2https://github.com/extremecoders-re/pyinstxtractorhttps://github.com/pyinstaller/pyinstallerRapid7
Supply Chain Compromise Leads to Trojanized Installers | Rapid7 Blog
Rapid7 investigated suspicious behavior emanating from the installation of Notezilla, RecentX, & Copywhiz. These installers are distributed by Conceptworld.
CTT Report Hub
#ParsedReport #CompletenessHigh 01-07-2024 Supply Chain Compromise Leads to Trojanized Installers for Notezilla, RecentX, Copywhiz https://www.rapid7.com/blog/post/2024/06/27/supply-chain-compromise-leads-to-trojanized-installers-for-notezilla-recentx-copywhiz…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Rapid7 обнаружила троянские программы установки для программных продуктов, предлагаемых Conceptworld, содержащих вредоносные программы для кражи информации. Уязвимое программное обеспечение включает в себя Notezilla, RecentX и Copywhiz, и вредоносная программа была разработана для кражи различных типов конфиденциальной информации из зараженных систем. Расследование, проведенное Rapid7, подтвердило наличие вредоносного ПО в установщиках, которые распространялись с начала июня 2024 года, и Conceptworld незамедлительно приняла меры по замене вредоносных установщиков проверенными копиями. Пользователям рекомендуется проверять законность загрузки программного обеспечения и проверять наличие признаков компрометации, если они выполнили установку уязвимого программного обеспечения.
-----
В тексте обсуждается инцидент, когда Rapid7 обнаружил троянские программы установки для программных продуктов, предлагаемых индийской компанией Conceptworld. Уязвимое программное обеспечение включает в себя Notezilla, RecentX и Copywhiz, которые распространяются на официальном веб-сайте Conceptworld. Было обнаружено, что вредоносные программы-инсталляторы содержат вредоносное ПО для кражи информации, способное загружать и выполнять дополнительную полезную нагрузку. Вредоносное ПО было разработано для кражи учетных данных браузера, информации о криптовалютном кошельке, регистрации нажатий клавиш и содержимого буфера обмена, а также для сохранения в зараженных системах.
Rapid7 начала расследование подозрительных действий, вызванных установкой этих троянских пакетов в среде клиента. Проанализировав установочные пакеты, Rapid7 подтвердила наличие вредоносного ПО наряду с законными установщиками программного обеспечения. Вредоносные копии установщиков распространялись с начала июня 2024 года, причем вредоносные программы относились к семейству вредоносных программ под названием dllFake. Conceptworld незамедлительно приняла меры после обнаружения, удалив вредоносные установщики и заменив их проверенными копиями в течение 12 часов.
Дальнейший анализ вредоносного ПО выявил механизмы, с помощью которых оно работает. Вредоносное ПО продолжает действовать, выполняя запланированную задачу каждые три часа, воруя данные из браузеров и криптокошельков, регистрируя нажатия клавиш и содержимое буфера обмена, а также загружая дополнительную полезную нагрузку с сервера управления. Вредоносная программа использует различные инструменты и методы, такие как создание скрытых запланированных задач, загрузка украденных данных на удаленный сервер и создание зашифрованных ZIP-архивов, содержащих полезную информацию, предназначенную для кражи конфиденциальной информации.
Rapid7 рекомендует пользователям проверять законность загрузки программного обеспечения, проверяя целостность файлов, хэши, подписи и размеры файлов, чтобы убедиться, что они соответствуют тем, которые предоставляются официальными дистрибьюторами. Пользователям, которые в течение последнего месяца запускали установщики для Notezilla, RecentX или Copywhiz, рекомендуется проверить наличие признаков взлома, таких как наличие скрытых запланированных задач и экземпляров CMD, выполняющих исходящие сетевые подключения. При обнаружении признаков взлома Rapid7 предлагает повторно создать образ уязвимой системы, чтобы устранить любые изменения, внесенные вредоносной программой.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Rapid7 обнаружила троянские программы установки для программных продуктов, предлагаемых Conceptworld, содержащих вредоносные программы для кражи информации. Уязвимое программное обеспечение включает в себя Notezilla, RecentX и Copywhiz, и вредоносная программа была разработана для кражи различных типов конфиденциальной информации из зараженных систем. Расследование, проведенное Rapid7, подтвердило наличие вредоносного ПО в установщиках, которые распространялись с начала июня 2024 года, и Conceptworld незамедлительно приняла меры по замене вредоносных установщиков проверенными копиями. Пользователям рекомендуется проверять законность загрузки программного обеспечения и проверять наличие признаков компрометации, если они выполнили установку уязвимого программного обеспечения.
-----
В тексте обсуждается инцидент, когда Rapid7 обнаружил троянские программы установки для программных продуктов, предлагаемых индийской компанией Conceptworld. Уязвимое программное обеспечение включает в себя Notezilla, RecentX и Copywhiz, которые распространяются на официальном веб-сайте Conceptworld. Было обнаружено, что вредоносные программы-инсталляторы содержат вредоносное ПО для кражи информации, способное загружать и выполнять дополнительную полезную нагрузку. Вредоносное ПО было разработано для кражи учетных данных браузера, информации о криптовалютном кошельке, регистрации нажатий клавиш и содержимого буфера обмена, а также для сохранения в зараженных системах.
Rapid7 начала расследование подозрительных действий, вызванных установкой этих троянских пакетов в среде клиента. Проанализировав установочные пакеты, Rapid7 подтвердила наличие вредоносного ПО наряду с законными установщиками программного обеспечения. Вредоносные копии установщиков распространялись с начала июня 2024 года, причем вредоносные программы относились к семейству вредоносных программ под названием dllFake. Conceptworld незамедлительно приняла меры после обнаружения, удалив вредоносные установщики и заменив их проверенными копиями в течение 12 часов.
Дальнейший анализ вредоносного ПО выявил механизмы, с помощью которых оно работает. Вредоносное ПО продолжает действовать, выполняя запланированную задачу каждые три часа, воруя данные из браузеров и криптокошельков, регистрируя нажатия клавиш и содержимое буфера обмена, а также загружая дополнительную полезную нагрузку с сервера управления. Вредоносная программа использует различные инструменты и методы, такие как создание скрытых запланированных задач, загрузка украденных данных на удаленный сервер и создание зашифрованных ZIP-архивов, содержащих полезную информацию, предназначенную для кражи конфиденциальной информации.
Rapid7 рекомендует пользователям проверять законность загрузки программного обеспечения, проверяя целостность файлов, хэши, подписи и размеры файлов, чтобы убедиться, что они соответствуют тем, которые предоставляются официальными дистрибьюторами. Пользователям, которые в течение последнего месяца запускали установщики для Notezilla, RecentX или Copywhiz, рекомендуется проверить наличие признаков взлома, таких как наличие скрытых запланированных задач и экземпляров CMD, выполняющих исходящие сетевые подключения. При обнаружении признаков взлома Rapid7 предлагает повторно создать образ уязвимой системы, чтобы устранить любые изменения, внесенные вредоносной программой.
#ParsedReport #CompletenessLow
01-07-2024
Unmasking Rafel RAT: Understanding the Threat
https://www.zimperium.com/blog/understanding-the-rafel-rat-threat
Report completeness: Low
Threats:
Rafel_rat
Victims:
Individuals, Organizations
Industry:
Education, Government, Financial
ChatGPT TTPs:
T1204, T1071, T1056, T1123
Soft:
Android
01-07-2024
Unmasking Rafel RAT: Understanding the Threat
https://www.zimperium.com/blog/understanding-the-rafel-rat-threat
Report completeness: Low
Threats:
Rafel_rat
Victims:
Individuals, Organizations
Industry:
Education, Government, Financial
ChatGPT TTPs:
do not use without manual checkT1204, T1071, T1056, T1123
Soft:
Android
Zimperium
Unmasking Rafel RAT: Android Infiltration Campaign - Zimperium
Application sideloading opens the door to significant security vulnerabilities increasing the attack surface users are exposed to.
CTT Report Hub
#ParsedReport #CompletenessLow 01-07-2024 Unmasking Rafel RAT: Understanding the Threat https://www.zimperium.com/blog/understanding-the-rafel-rat-threat Report completeness: Low Threats: Rafel_rat Victims: Individuals, Organizations Industry: Education…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в угрозе, исходящей от Rafel RAT, троянца удаленного доступа, нацеленного на устройства Android, и важности надежных решений для обеспечения безопасности мобильных устройств для защиты от подобных киберугроз.
-----
Rafel RAT (троян удаленного доступа) - это вредоносный инструмент, представляющий значительную угрозу для устройств Android, позволяющий киберпреступникам получать несанкционированный доступ для различных вредоносных действий. Созданный в Даркнете и доступный для продажи на подпольных форумах, Rafel RAT относится к категории вредоносных программ-троянов для удаленного доступа. Его разработка была обусловлена растущим спросом на эффективные и доступные хакерские инструменты. Примечательно, что Rafel RAT выделяется своими удобными интерфейсами и подробной документацией, что делает его доступным даже для начинающих хакеров.
Эта вредоносная программа нацелена на устройства Android, используя уязвимости для получения скрытого доступа. Методы проникновения включают фишинговые электронные письма, вредоносные вложения и взломанные приложения в сторонних магазинах приложений, часто с использованием тактики социальной инженерии. После установки Rafel RAT устанавливает соединение с командным сервером злоумышленника для удаленного доступа. Он может выполнять вредоносные действия, такие как утечка данных (кража конфиденциальной информации, такой как контакты и учетные данные), удаленный доступ (манипулирование устройством и установка дополнительного вредоносного ПО), наблюдение (активация камеры и микрофона для слежки) и кража учетных данных (захват учетных данных для входа в систему с помощью нажатий клавиш и скриншотов).
Появление угроз, подобных Rafel RAT, подчеркивает важность надежных решений для обеспечения безопасности мобильных устройств. Мобильные устройства являются привлекательной мишенью для киберпреступников, что требует комплексного подхода к защите. Рекомендации включают внедрение комплексных решений для обеспечения безопасности мобильных устройств, таких как Zimperium Mobile Threat Defense (MTD), для защиты в режиме реального времени, информирование пользователей о рисках, связанных с ненадежными источниками и вложениями электронной почты, и обеспечение регулярного обновления устройств и приложений исправлениями безопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в угрозе, исходящей от Rafel RAT, троянца удаленного доступа, нацеленного на устройства Android, и важности надежных решений для обеспечения безопасности мобильных устройств для защиты от подобных киберугроз.
-----
Rafel RAT (троян удаленного доступа) - это вредоносный инструмент, представляющий значительную угрозу для устройств Android, позволяющий киберпреступникам получать несанкционированный доступ для различных вредоносных действий. Созданный в Даркнете и доступный для продажи на подпольных форумах, Rafel RAT относится к категории вредоносных программ-троянов для удаленного доступа. Его разработка была обусловлена растущим спросом на эффективные и доступные хакерские инструменты. Примечательно, что Rafel RAT выделяется своими удобными интерфейсами и подробной документацией, что делает его доступным даже для начинающих хакеров.
Эта вредоносная программа нацелена на устройства Android, используя уязвимости для получения скрытого доступа. Методы проникновения включают фишинговые электронные письма, вредоносные вложения и взломанные приложения в сторонних магазинах приложений, часто с использованием тактики социальной инженерии. После установки Rafel RAT устанавливает соединение с командным сервером злоумышленника для удаленного доступа. Он может выполнять вредоносные действия, такие как утечка данных (кража конфиденциальной информации, такой как контакты и учетные данные), удаленный доступ (манипулирование устройством и установка дополнительного вредоносного ПО), наблюдение (активация камеры и микрофона для слежки) и кража учетных данных (захват учетных данных для входа в систему с помощью нажатий клавиш и скриншотов).
Появление угроз, подобных Rafel RAT, подчеркивает важность надежных решений для обеспечения безопасности мобильных устройств. Мобильные устройства являются привлекательной мишенью для киберпреступников, что требует комплексного подхода к защите. Рекомендации включают внедрение комплексных решений для обеспечения безопасности мобильных устройств, таких как Zimperium Mobile Threat Defense (MTD), для защиты в режиме реального времени, информирование пользователей о рисках, связанных с ненадежными источниками и вложениями электронной почты, и обеспечение регулярного обновления устройств и приложений исправлениями безопасности.
#ParsedReport #CompletenessMedium
03-07-2024
Halcyon Identifies New Ransomware Operator Volcano Demon Serving Up LukaLocker
https://www.halcyon.ai/blog/halcyon-identifies-new-ransomware-operator-volcano-demon-serving-up-lukalocker
Report completeness: Medium
Actors/Campaigns:
Volcano_demon (motivation: financially_motivated)
Threats:
Lukalocker
Api_obfuscation_technique
Conti
Teamviewer_tool
Industry:
Financial
ChatGPT TTPs:
T1486, T1078, T1041, T1489
IOCs:
File: 2
Hash: 3
Soft:
Windows Defender, Microsoft SQL Server, MySQL, Microsoft Exchange, Chrome, Microsoft Office
Algorithms:
chacha20, curve25519, ecdh
Win Services:
DB2, Eventlog, UI0Detect, WinVNC4
Platforms:
x64
03-07-2024
Halcyon Identifies New Ransomware Operator Volcano Demon Serving Up LukaLocker
https://www.halcyon.ai/blog/halcyon-identifies-new-ransomware-operator-volcano-demon-serving-up-lukalocker
Report completeness: Medium
Actors/Campaigns:
Volcano_demon (motivation: financially_motivated)
Threats:
Lukalocker
Api_obfuscation_technique
Conti
Teamviewer_tool
Industry:
Financial
ChatGPT TTPs:
do not use without manual checkT1486, T1078, T1041, T1489
IOCs:
File: 2
Hash: 3
Soft:
Windows Defender, Microsoft SQL Server, MySQL, Microsoft Exchange, Chrome, Microsoft Office
Algorithms:
chacha20, curve25519, ecdh
Win Services:
DB2, Eventlog, UI0Detect, WinVNC4
Platforms:
x64
www.halcyon.ai
Halcyon Identifies New Ransomware Operator Volcano Demon Serving Up LukaLocker
CTT Report Hub
#ParsedReport #CompletenessMedium 03-07-2024 Halcyon Identifies New Ransomware Operator Volcano Demon Serving Up LukaLocker https://www.halcyon.ai/blog/halcyon-identifies-new-ransomware-operator-volcano-demon-serving-up-lukalocker Report completeness: Medium…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - введение и обзор Halcyon, новой адаптивной платформы безопасности, предназначенной для предотвращения атак программ-вымогателей, с акцентом на конкретную группу программ-вымогателей Volcano Demon и связанный с ней образец программы-вымогателя LukaLocker. В тексте также подчеркиваются возможности платформы Halcyon в эффективной борьбе с программами-вымогателями.
-----
Halcyon - это новая адаптивная платформа безопасности, предназначенная для предотвращения атак программ-вымогателей. Она включает в себя легкий агент, который сочетает в себе запатентованные передовые механизмы предотвращения и модели искусственного интеллекта, специально разработанные для борьбы с программами-вымогателями. Платформа столкнулась с новой группой программ-вымогателей, идентифицированных как Volcano Demon, которые за последние две недели провели несколько атак. Было обнаружено, что один из образцов программы-вымогателя под названием LukaLocker шифровал файлы жертвы с расширением ".nba". Кроме того, были обнаружены различные средства атаки, а индикаторы компрометации (IOCs) приведены в таблице. В сети жертвы также была обнаружена Linux-версия LukaLocker.
Volcano Demon успешно заблокировал обе рабочие станции и серверы Windows, используя общие учетные данные администратора, полученные из сети. Перед атакой программы-вымогателя данные были переданы в службы управления (C2) для использования тактики двойного вымогательства. Злоумышленник, стоящий за Volcano Demon, не занимается утечкой информации, а вместо этого ведет телефонные переговоры с руководством и ИТ-специалистами с целью вымогательства и согласования платежей. Эти звонки, совершаемые с неустановленных номеров вызывающих абонентов, могут быть пугающими и требовательными.
Образец программы-вымогателя LukaLocker, проанализированный в отчете, был обнаружен 15 июня 2024 года. Это двоичный файл x64 PE, разработанный с использованием C++, использующий обфускацию API и динамическое разрешение API, чтобы скрыть свое вредоносное поведение и избежать обнаружения, анализа и обратного проектирования. Программа-вымогатель включает в себя параметры командной строки, но некоторые из них не работают, поскольку автор не реализовал соответствующий код. При запуске, если не указана опция "--sd-killer-off", LukaLocker завершает работу определенных служб и процессов, что напоминает действия, наблюдаемые в программе-вымогателе Conti.
LukaLocker предоставляет возможность полностью шифровать файлы или поддерживать частичное шифрование с различным процентным соотношением (100%, 50%, 20%, или 10%). Он включает в себя специальный нижний колонтитул, используемый в процессе шифрования. Безмятежный.ai известна как ведущая компания по борьбе с программами-вымогателями, и многие предприятия Global 2000 полагаются на ее платформу для эффективной борьбы с программами-вымогателями с минимальными сбоями в работе. Платформа Halcyon предлагает такие функции, как защита от обхода и уклонения от использования, захват ключевых материалов, автоматическое дешифрование и предотвращение утечки и вымогательства данных. Halcyon также выпускает ежеквартальное руководство по программам-вымогателям как услуге (RaaS) и группам вымогателей и ведет веб-сайт, посвященный последним атакам программ-вымогателей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - введение и обзор Halcyon, новой адаптивной платформы безопасности, предназначенной для предотвращения атак программ-вымогателей, с акцентом на конкретную группу программ-вымогателей Volcano Demon и связанный с ней образец программы-вымогателя LukaLocker. В тексте также подчеркиваются возможности платформы Halcyon в эффективной борьбе с программами-вымогателями.
-----
Halcyon - это новая адаптивная платформа безопасности, предназначенная для предотвращения атак программ-вымогателей. Она включает в себя легкий агент, который сочетает в себе запатентованные передовые механизмы предотвращения и модели искусственного интеллекта, специально разработанные для борьбы с программами-вымогателями. Платформа столкнулась с новой группой программ-вымогателей, идентифицированных как Volcano Demon, которые за последние две недели провели несколько атак. Было обнаружено, что один из образцов программы-вымогателя под названием LukaLocker шифровал файлы жертвы с расширением ".nba". Кроме того, были обнаружены различные средства атаки, а индикаторы компрометации (IOCs) приведены в таблице. В сети жертвы также была обнаружена Linux-версия LukaLocker.
Volcano Demon успешно заблокировал обе рабочие станции и серверы Windows, используя общие учетные данные администратора, полученные из сети. Перед атакой программы-вымогателя данные были переданы в службы управления (C2) для использования тактики двойного вымогательства. Злоумышленник, стоящий за Volcano Demon, не занимается утечкой информации, а вместо этого ведет телефонные переговоры с руководством и ИТ-специалистами с целью вымогательства и согласования платежей. Эти звонки, совершаемые с неустановленных номеров вызывающих абонентов, могут быть пугающими и требовательными.
Образец программы-вымогателя LukaLocker, проанализированный в отчете, был обнаружен 15 июня 2024 года. Это двоичный файл x64 PE, разработанный с использованием C++, использующий обфускацию API и динамическое разрешение API, чтобы скрыть свое вредоносное поведение и избежать обнаружения, анализа и обратного проектирования. Программа-вымогатель включает в себя параметры командной строки, но некоторые из них не работают, поскольку автор не реализовал соответствующий код. При запуске, если не указана опция "--sd-killer-off", LukaLocker завершает работу определенных служб и процессов, что напоминает действия, наблюдаемые в программе-вымогателе Conti.
LukaLocker предоставляет возможность полностью шифровать файлы или поддерживать частичное шифрование с различным процентным соотношением (100%, 50%, 20%, или 10%). Он включает в себя специальный нижний колонтитул, используемый в процессе шифрования. Безмятежный.ai известна как ведущая компания по борьбе с программами-вымогателями, и многие предприятия Global 2000 полагаются на ее платформу для эффективной борьбы с программами-вымогателями с минимальными сбоями в работе. Платформа Halcyon предлагает такие функции, как защита от обхода и уклонения от использования, захват ключевых материалов, автоматическое дешифрование и предотвращение утечки и вымогательства данных. Halcyon также выпускает ежеквартальное руководство по программам-вымогателям как услуге (RaaS) и группам вымогателей и ведет веб-сайт, посвященный последним атакам программ-вымогателей.
#ParsedReport #CompletenessLow
03-07-2024
Protocol Tunneling: Tools and Techniques
https://www.reliaquest.com/blog/protocol-tunneling-tools-and-techniques
Report completeness: Low
Actors/Campaigns:
0ktapus
Threats:
Plink_tool
Putty_tool
Netcat_tool
Xworm_rat
Geo:
Russian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1071, T1090, T1219, T1573, T1071.004, T1572, T1219
IOCs:
File: 1
Soft:
Visual Studio Code, Active Directory
03-07-2024
Protocol Tunneling: Tools and Techniques
https://www.reliaquest.com/blog/protocol-tunneling-tools-and-techniques
Report completeness: Low
Actors/Campaigns:
0ktapus
Threats:
Plink_tool
Putty_tool
Netcat_tool
Xworm_rat
Geo:
Russian
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1071, T1090, T1219, T1573, T1071.004, T1572, T1219
IOCs:
File: 1
Soft:
Visual Studio Code, Active Directory
ReliaQuest
Protocol Tunneling: Tools and Techniques
Protocol tunneling can bypass defenses by hiding malicious traffic within allowed protocols like HTTP, DNS, and SSH. Block proxy domains and use EDR tools to prevent abuse.
CTT Report Hub
#ParsedReport #CompletenessLow 03-07-2024 Protocol Tunneling: Tools and Techniques https://www.reliaquest.com/blog/protocol-tunneling-tools-and-techniques Report completeness: Low Actors/Campaigns: 0ktapus Threats: Plink_tool Putty_tool Netcat_tool Xworm_rat…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что туннелирование протоколов - это метод, часто используемый злоумышленниками для обхода мер сетевой безопасности путем инкапсуляции вредоносного трафика в рамках общепринятых протоколов. Это позволяет злоумышленникам смешиваться с законным сетевым трафиком, что затрудняет обнаружение их действий защитниками. Различные инструменты, такие как Plink, ngrok и Visual Studio Code Remote Tunnels, используются киберпреступниками для создания скрытых каналов связи, обеспечения доступа к скомпрометированным системам и утечки конфиденциальных данных. Организациям рекомендуется принимать такие меры, как блокировка прокси-доменов, применение политик ограничения использования программного обеспечения и мониторинг подозрительных действий по туннелированию, для защиты от этих скрытых киберугроз.
-----
Туннелирование протоколов - это метод, часто используемый злоумышленниками для обхода мер сетевой безопасности путем инкапсуляции вредоносного трафика в рамках общепринятых протоколов, таких как HTTP, DNS и SSH. Этот метод особенно привлекателен для операций командования и контроля, поскольку позволяет злоумышленникам сливаться с законным сетевым трафиком, затрудняя защитникам обнаружение их действий. Ключевые инструменты, используемые для туннелирования протоколов, включают Plink для SSH, ngrok для HTTP/HTTPS и удаленные туннели Visual Studio Code, позволяющие злоумышленникам маскироваться под обычные административные действия. Киберпреступники используют эти инструменты для создания скрытых каналов связи, поддержания постоянного доступа и утечки конфиденциальных данных.
Злоумышленники используют туннелирование протоколов для обхода контроля безопасности, смешивания вредоносного трафика с законными сообщениями и обеспечения непрерывного доступа к скомпрометированным системам. Обходя политики безопасности и механизмы проверки содержимого, злоумышленники могут обходить брандмауэры, сетевые фильтры и системы глубокой проверки пакетов. Благодаря использованию шифрования и туннелирования по общепринятым протоколам вредоносный трафик может выглядеть безобидным и не поддаваться обнаружению. Кроме того, туннелирование трафика через общедоступные облачные сервисы, такие как ngrok Edge и Microsoft, еще больше усложняет задачу защитников по выявлению вредоносных действий.
Злоумышленники злоупотребляют законными инструментами, такими как Plink, ngrok и VS Code, для облегчения вредоносных действий посредством туннелирования протоколов. Например, Plink используется для создания зашифрованных туннелей SSH и переадресации портов в обход средств контроля безопасности. Аналогичным образом, ngrok используется для создания защищенных туннелей от общедоступной конечной точки к локальной службе, позволяя злоумышленникам устанавливать скрытые каналы связи и поддерживать постоянный доступ. Удаленные туннели VS Code, несмотря на то, что они в первую очередь предназначены для законных целей удаленной разработки, могут быть использованы злоумышленниками для создания скрытых каналов связи и получения несанкционированного доступа к системам.
Чтобы предотвратить злоупотребление туннелированием протоколов, организациям рекомендуется блокировать прокси-домены, используемые средствами туннелирования, применять политики ограничения использования программного обеспечения и настраивать средства обнаружения конечных точек и реагирования на них для блокирования вредоносных действий. Профилактические меры включают создание сетевых политик для ограничения исходящего трафика SSH, внедрение объектов групповой политики для политик ограничения программного обеспечения в Active Directory и мониторинг подозрительных действий по туннелированию. Понимая тактику и инструменты, используемые злоумышленниками для туннелирования протоколов, организации могут повысить уровень своей безопасности и лучше защищаться от скрытых киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что туннелирование протоколов - это метод, часто используемый злоумышленниками для обхода мер сетевой безопасности путем инкапсуляции вредоносного трафика в рамках общепринятых протоколов. Это позволяет злоумышленникам смешиваться с законным сетевым трафиком, что затрудняет обнаружение их действий защитниками. Различные инструменты, такие как Plink, ngrok и Visual Studio Code Remote Tunnels, используются киберпреступниками для создания скрытых каналов связи, обеспечения доступа к скомпрометированным системам и утечки конфиденциальных данных. Организациям рекомендуется принимать такие меры, как блокировка прокси-доменов, применение политик ограничения использования программного обеспечения и мониторинг подозрительных действий по туннелированию, для защиты от этих скрытых киберугроз.
-----
Туннелирование протоколов - это метод, часто используемый злоумышленниками для обхода мер сетевой безопасности путем инкапсуляции вредоносного трафика в рамках общепринятых протоколов, таких как HTTP, DNS и SSH. Этот метод особенно привлекателен для операций командования и контроля, поскольку позволяет злоумышленникам сливаться с законным сетевым трафиком, затрудняя защитникам обнаружение их действий. Ключевые инструменты, используемые для туннелирования протоколов, включают Plink для SSH, ngrok для HTTP/HTTPS и удаленные туннели Visual Studio Code, позволяющие злоумышленникам маскироваться под обычные административные действия. Киберпреступники используют эти инструменты для создания скрытых каналов связи, поддержания постоянного доступа и утечки конфиденциальных данных.
Злоумышленники используют туннелирование протоколов для обхода контроля безопасности, смешивания вредоносного трафика с законными сообщениями и обеспечения непрерывного доступа к скомпрометированным системам. Обходя политики безопасности и механизмы проверки содержимого, злоумышленники могут обходить брандмауэры, сетевые фильтры и системы глубокой проверки пакетов. Благодаря использованию шифрования и туннелирования по общепринятым протоколам вредоносный трафик может выглядеть безобидным и не поддаваться обнаружению. Кроме того, туннелирование трафика через общедоступные облачные сервисы, такие как ngrok Edge и Microsoft, еще больше усложняет задачу защитников по выявлению вредоносных действий.
Злоумышленники злоупотребляют законными инструментами, такими как Plink, ngrok и VS Code, для облегчения вредоносных действий посредством туннелирования протоколов. Например, Plink используется для создания зашифрованных туннелей SSH и переадресации портов в обход средств контроля безопасности. Аналогичным образом, ngrok используется для создания защищенных туннелей от общедоступной конечной точки к локальной службе, позволяя злоумышленникам устанавливать скрытые каналы связи и поддерживать постоянный доступ. Удаленные туннели VS Code, несмотря на то, что они в первую очередь предназначены для законных целей удаленной разработки, могут быть использованы злоумышленниками для создания скрытых каналов связи и получения несанкционированного доступа к системам.
Чтобы предотвратить злоупотребление туннелированием протоколов, организациям рекомендуется блокировать прокси-домены, используемые средствами туннелирования, применять политики ограничения использования программного обеспечения и настраивать средства обнаружения конечных точек и реагирования на них для блокирования вредоносных действий. Профилактические меры включают создание сетевых политик для ограничения исходящего трафика SSH, внедрение объектов групповой политики для политик ограничения программного обеспечения в Active Directory и мониторинг подозрительных действий по туннелированию. Понимая тактику и инструменты, используемые злоумышленниками для туннелирования протоколов, организации могут повысить уровень своей безопасности и лучше защищаться от скрытых киберугроз.
#ParsedReport #CompletenessLow
03-07-2024
China-Nexus Threat Group Velvet Ant Exploits Cisco Zero-Day (CVE-2024-20399) to Compromise Nexus Switch Devices - Advisory for Mitigation and Response
https://www.sygnia.co/threat-reports-and-advisories/china-nexus-threat-group-velvet-ant-exploits-cisco-0-day
Report completeness: Low
Actors/Campaigns:
Velvet_ant (motivation: cyber_espionage)
Geo:
China
CVEs:
CVE-2024-20399 [Vulners]
CVSS V3.1: 6.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
ChatGPT TTPs:
T1059, T1105
Algorithms:
exhibit
03-07-2024
China-Nexus Threat Group Velvet Ant Exploits Cisco Zero-Day (CVE-2024-20399) to Compromise Nexus Switch Devices - Advisory for Mitigation and Response
https://www.sygnia.co/threat-reports-and-advisories/china-nexus-threat-group-velvet-ant-exploits-cisco-0-day
Report completeness: Low
Actors/Campaigns:
Velvet_ant (motivation: cyber_espionage)
Geo:
China
CVEs:
CVE-2024-20399 [Vulners]
CVSS V3.1: 6.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
ChatGPT TTPs:
do not use without manual checkT1059, T1105
Algorithms:
exhibit
Sygnia
China-Nexus Threat Group ‘Velvet Ant’ Exploits Cisco Zero-Day (CVE-2024-20399) to Compromise Nexus Switch Devices – Advisory for…
Learn about the forensic investigation by Sygnia, the cyber espionage operation by Velvet Ant, and best practices for safeguarding your network against sophisticated threats.
CTT Report Hub
#ParsedReport #CompletenessLow 03-07-2024 China-Nexus Threat Group Velvet Ant Exploits Cisco Zero-Day (CVE-2024-20399) to Compromise Nexus Switch Devices - Advisory for Mitigation and Response https://www.sygnia.co/threat-reports-and-advisories/china-nexus…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - инцидент с киберугрозой, связанный с недавно обнаруженной уязвимостью CVE-2024-20399, связанной с внедрением команд, в командной строке программного обеспечения Cisco NX-OS, которая была использована злоумышленником, известным как Velvet Ant, в ходе операции по кибершпионажу. Ключевые моменты включают обнаружение уязвимости Sygnia, выполнение вредоносного кода на коммутаторах Cisco Nexus, проблемы с обнаружением таких действий из-за отсутствия мониторинга и рекомендуемые стратегии устранения, такие как управление привилегированным доступом, централизованная аутентификация и регулярное внесение исправлений.
-----
В тексте представлен подробный обзор инцидента с киберугрозой, связанного с недавно обнаруженной уязвимостью CVE-2024-20399, связанной с внедрением команд, в командной строке программного обеспечения Cisco NX-OS, затрагивающей ряд устройств Cisco Nexus. Уязвимость была выявлена в ходе судебного расследования Sygnia операции по кибершпионажу между Китаем и nexus, проведенной злоумышленником, известным как Velvet Ant. Velvet Ant успешно воспользовался уязвимостью для выполнения вредоносного кода в операционной системе Linux коммутаторов Cisco Nexus.
Ключевые моменты из текста:.
Sygnia обнаружила CVE-2024-20399 и сообщила об этом Cisco в рамках более широкого расследования операции Velvet Ant по кибершпионажу.
Velvet Ant использовал уязвимость для выполнения команд в операционной системе Linux устройств Cisco Nexus и развертывания пользовательского вредоносного ПО для удаленного доступа.
Отсутствие контроля за сетевыми устройствами, в частности коммутаторами, создает проблемы при обнаружении и расследовании вредоносных действий.
Этот инцидент подчеркивает важность соблюдения передовых методов обеспечения безопасности для защиты от сложных угроз, таких как атаки, спонсируемые государством.
Рекомендуемые стратегии смягчения последствий включают внедрение управления привилегированным доступом (PAM), централизованную аутентификацию, строгую политику использования паролей и регулярное внесение исправлений.
Повышение видимости за счет ведения журнала и мониторинга сетевых устройств, настройки оповещений, интеграции с системами SIEM и проведения поиска угроз имеет решающее значение для обнаружения попыток эксплуатации.
Sygnia предлагает услуги по поиску угроз и реагированию на инциденты для устранения уязвимостей, таких как CVE-2024-20399.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - инцидент с киберугрозой, связанный с недавно обнаруженной уязвимостью CVE-2024-20399, связанной с внедрением команд, в командной строке программного обеспечения Cisco NX-OS, которая была использована злоумышленником, известным как Velvet Ant, в ходе операции по кибершпионажу. Ключевые моменты включают обнаружение уязвимости Sygnia, выполнение вредоносного кода на коммутаторах Cisco Nexus, проблемы с обнаружением таких действий из-за отсутствия мониторинга и рекомендуемые стратегии устранения, такие как управление привилегированным доступом, централизованная аутентификация и регулярное внесение исправлений.
-----
В тексте представлен подробный обзор инцидента с киберугрозой, связанного с недавно обнаруженной уязвимостью CVE-2024-20399, связанной с внедрением команд, в командной строке программного обеспечения Cisco NX-OS, затрагивающей ряд устройств Cisco Nexus. Уязвимость была выявлена в ходе судебного расследования Sygnia операции по кибершпионажу между Китаем и nexus, проведенной злоумышленником, известным как Velvet Ant. Velvet Ant успешно воспользовался уязвимостью для выполнения вредоносного кода в операционной системе Linux коммутаторов Cisco Nexus.
Ключевые моменты из текста:.
Sygnia обнаружила CVE-2024-20399 и сообщила об этом Cisco в рамках более широкого расследования операции Velvet Ant по кибершпионажу.
Velvet Ant использовал уязвимость для выполнения команд в операционной системе Linux устройств Cisco Nexus и развертывания пользовательского вредоносного ПО для удаленного доступа.
Отсутствие контроля за сетевыми устройствами, в частности коммутаторами, создает проблемы при обнаружении и расследовании вредоносных действий.
Этот инцидент подчеркивает важность соблюдения передовых методов обеспечения безопасности для защиты от сложных угроз, таких как атаки, спонсируемые государством.
Рекомендуемые стратегии смягчения последствий включают внедрение управления привилегированным доступом (PAM), централизованную аутентификацию, строгую политику использования паролей и регулярное внесение исправлений.
Повышение видимости за счет ведения журнала и мониторинга сетевых устройств, настройки оповещений, интеграции с системами SIEM и проведения поиска угроз имеет решающее значение для обнаружения попыток эксплуатации.
Sygnia предлагает услуги по поиску угроз и реагированию на инциденты для устранения уязвимостей, таких как CVE-2024-20399.
#ParsedReport #CompletenessMedium
03-07-2024
Medusa Attack Analysis
https://www.reliaquest.com/blog/medusa-attack-analysis
Report completeness: Medium
Threats:
Medusalocker
Credential_dumping_technique
Lolbin_technique
Netscan_tool
Anydesk_tool
Simplehelp_tool
Industry:
Healthcare, Education
Geo:
America, The us, Russian
TTPs:
Tactics: 5
Technics: 0
IOCs:
IP: 1
File: 7
Command: 1
Path: 1
Soft:
Active Directory
Languages:
powershell
Platforms:
x86
03-07-2024
Medusa Attack Analysis
https://www.reliaquest.com/blog/medusa-attack-analysis
Report completeness: Medium
Threats:
Medusalocker
Credential_dumping_technique
Lolbin_technique
Netscan_tool
Anydesk_tool
Simplehelp_tool
Industry:
Healthcare, Education
Geo:
America, The us, Russian
TTPs:
Tactics: 5
Technics: 0
IOCs:
IP: 1
File: 7
Command: 1
Path: 1
Soft:
Active Directory
Languages:
powershell
Platforms:
x86
ReliaQuest
Medusa Attack Analysis
In June 2024, ReliaQuest thwarted a Medusa ransomware attack using EDR tools. Medusa, active since 2022, exploits unpatched vulnerabilities. Learn about their tactics and defenses.