#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 4, code: 2, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в выявлении активной киберкампании, использующей уязвимость Microsoft SmartScreen (CVE-2024-21412) для распространения вредоносных программ с помощью спам-рассылок по электронной почте, нацеленной на несколько регионов и использующей сложные методы для взлома систем жертв и сбора конфиденциальной информации. В тексте также подчеркивается растущая сложность киберугроз, постоянное использование уязвимостей злоумышленниками даже после выпуска исправлений и важность принятия организациями упреждающих мер безопасности для защиты от этих развивающихся угроз.
-----

Cyble Research and Intelligence Labs (CRIL) недавно выявила активную киберкампанию, использующую уязвимость Microsoft SmartScreen (CVE-2024-21412) для распространения вредоносных программ с помощью спам-рассылок. Эта кампания нацелена на несколько регионов, включая Испанию, США и Австралию, и использует приманки, связанные со схемами медицинского страхования, транспортными уведомлениями и налоговыми сообщениями, чтобы обманом заставить жертв загружать вредоносные программы. Атака начинается со спам-рассылки, содержащей ссылку, которая перенаправляет пользователей на общий ресурс WebDAV по поисковому протоколу, заставляя их выполнить вредоносный файл быстрого доступа к Интернету, использующий выявленную уязвимость.

Злоумышленники, стоящие за этой кампанией, используют стратегию многоступенчатой атаки с использованием законных инструментов, таких как forfiles.exe, PowerShell, mshta и другие надежные файлы, для обхода мер безопасности. Цепочка атак включает в себя дополнительную загрузку DLL и IDATLoader для внедрения конечных полезных программ, Lumma и Meduza Stealer, в explorer.exe. Этот сложный подход направлен на компрометацию систем жертвы для сбора конфиденциальной информации.

В ходе отдельного инцидента инициатива "Нулевой день" (ZDI) в январе 2024 года раскрыла кампанию DarkGate, которая использовала ту же уязвимость SmartScreen с помощью поддельных установщиков программного обеспечения. Позднее, в феврале 2024 года, Microsoft исправила эту уязвимость; однако группа APT Water Hydra продолжала использовать CVE-2024-21412 для целенаправленных атак на трейдеров финансового рынка, используя троян удаленного доступа DarkMe (RAT). Недавно CRIL обнаружила еще одну активную кампанию, использующую интернет-ярлыки для обхода SmartScreen и доставки полезных данных в системы жертв. Эта кампания проводится по аналогичной схеме: пользователи заманиваются с помощью ложных электронных писем и запускают вредоносные файлы, использующие указанную уязвимость.

Методы, используемые в этих кампаниях, такие как использование PowerShell и JavaScript для обеспечения максимальной эффективности, демонстрируют растущую сложность киберугроз. Злоумышленники нацелены на широкий круг лиц и организаций в разных секторах и регионах, адаптируя свои атаки с учетом специфики каждой целевой группы. Используя различные скрипты и инструменты, злоумышленникам удается проводить сложные многоэтапные атаки, в конечном итоге используя вредоносные программы, такие как Lumma и Meduza Stealer, для кражи данных.

Рост числа пользователей CVE-2024-21412 в сочетании с внедрением передовых тактик, таких как дополнительная загрузка DLL и IDATLoader, подчеркивает динамичный и опасный характер современных киберугроз. Эта тенденция может быть вызвана появлением предложений "Вредоносное ПО как услуга" (MaaS), которые делают сложные инструменты более доступными для участников угроз. Для эффективной борьбы с этими развивающимися угрозами организации должны принимать упреждающие меры безопасности, постоянно адаптировать свои средства защиты и сохранять бдительность при защите своей цифровой среды.

#ParsedReport #CompletenessMedium
06-07-2024

Turla: A Masters Art of Evasion. Introduction

https://www.gdatasoftware.com/blog/2024/07/37977-turla-evasion-lnk-files

Report completeness: Medium

Actors/Campaigns:
Turla

Threats:
Winrm_tool
Amsi_bypass_technique

Victims:
Philippine daily inquirer, Philippine statistic authority

Geo:
Philippine, Philippines

TTPs:

IOCs:
File: 6
Hash: 4
Url: 2

Soft:
Event Tracing for Windows

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
chart: 1, schema: 1, windows: 1, code: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в кампании по борьбе с киберугрозами, обнаруженной аналитиками GDATA 9 мая 2024 года, которая заключалась в использовании вредоносного файла быстрого доступа для внедрения в системы бэкдора без файлов. В кампании, которую приписывают исполнителю угроз Turla или Uroburos, используются различные передовые методы, такие как исправление памяти, обход AMSI и отключение функций ведения журнала событий, чтобы избежать обнаружения и взлома системной защиты. Вредоносная программа использует новые методы, такие как использование файлов LNK и MSBuild для запуска бэкдоров, что представляет значительный риск для систем. Для защиты систем от таких вредоносных угроз предлагаются стратегии смягчения последствий и превентивные меры.
-----

9 мая 2024 года аналитики GDATA обнаружили потенциальную кампанию по борьбе с киберугрозами, в которой использовался вредоносный файл быстрого доступа для внедрения в системы бэкдора без файлов, используя преимущества платформы Microsoft для создания приложений. Вредоносная операция включает внесение исправлений в память, обход AMSI и отключение функций ведения журнала событий, чтобы повысить свою способность избегать обнаружения и ослабить защиту системы. Известный как Turla или Uroburos, злоумышленник, стоящий за этой кампанией, в прошлом был связан с подобными вредоносными программами.

Вредоносное ПО, выявленное в ходе этой кампании, имеет некоторые общие черты с предыдущими вредоносными программами семейства Turla APT, включая использование скомпрометированных веб-сайтов в качестве серверов управления, методы обхода AMSI и использование сценариев PowerShell для загрузки вредоносного кода в память, что помогает в тактике обхода.

Новые методы, обнаруженные в этом варианте вредоносного ПО, включают использование файлов LNK, использование MSBuild для запуска бэкдоров без файлов и отключение функций, связанных с событиями, путем исправления системных компонентов в памяти. Эти новые методы повышают способность вредоносного ПО сохраняться и выполнять вредоносные операции, которые нелегко обнаружить.

Чтобы снизить риск заражения систем такими вредоносными программами, рекомендуется принять несколько превентивных мер. К ним относятся настройка политик выполнения PowerShell, позволяющих использовать только подписанные скрипты, отключение или ограничение службы WinRM для предотвращения удаленного выполнения PowerShell, оценка необходимости MSBuild и ее удаление, если в этом нет необходимости, а также использование управления приложениями для блокировки выполнения MSBuild, если это не требуется.

Вредоносный файл-ярлык размещен на взломанном веб-сайте, принадлежащем известному новостному изданию на Филиппинах. В фишинговых электронных письмах может содержаться ссылка на вредоносный пакет, что побуждает ничего не подозревающих пользователей запускать файл и запускать бэкдор без файлов. Вредоносная программа маскируется под PDF-файл-ярлык, связанный с публичным рекомендательным письмом от Статистического управления Филиппин, используя различные тактики для сохранения постоянства и уклонения от обнаружения.

Бэкдор, установленный вредоносной программой, включает в себя функции для отключения отслеживания событий в Windows, выполнения исправления памяти в системных компонентах, обхода AMSI и установления соединений с сервером управления с помощью предопределенных URL-адресов. Вредоносная программа взаимодействует с сервером, получая команды, выполняя сценарии PowerShell и сообщая о состоянии системы, используя методы обфускации и защиты от отладки, чтобы избежать обнаружения.

#ParsedReport #CompletenessMedium
06-07-2024

Turning Jenkins Into a Cryptomining Machine From an Attacker's Perspective. Technical details

https://www.trendmicro.com/en_us/research/24/g/turning-jenkins-into-a-cryptomining-machine-from-an-attackers-pe.html

Report completeness: Medium

Threats:
Malxmr_miner

Industry:
Software_development

TTPs:
Tactics: 6
Technics: 10

IOCs:
Url: 3
Hash: 3

Soft:
Jenkins, OpenSSL, crontab, systemd

Algorithms:
aes-256, base64, sha256

Functions:
svalid

Win API:
decompress

Languages:
groovy

#ParsedReport #ExtractedSchema

Classified images:
windows: 22, schema: 1, code: 8

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: В тексте освещаются потенциальные угрозы, связанные с неправильно настроенной консолью сценариев Jenkins, с акцентом на то, как злоумышленники могут использовать такие неправильные настройки для майнинга криптовалют. В нем подчеркивается важность правильной настройки, строгой аутентификации и регулярных проверок безопасности для снижения риска взлома серверов Jenkins злоумышленниками. Кроме того, в нем рассматриваются различные тактические приемы, которые злоумышленники могут использовать для выполнения вредоносных сценариев и осуществления киберпреступной деятельности с использованием уязвимостей Jenkins.
-----

В записи блога подчеркивается потенциальная угроза, исходящая от неправильно настроенной консоли скриптов Jenkins, которая может быть использована злоумышленниками для криптомайнинга. Консоль скриптов Jenkins позволяет администраторам и авторизованным пользователям запускать скрипты Groovy с повышенными правами доступа непосредственно на сервере Jenkins. Хотя по умолчанию консоль доступна только прошедшим проверку подлинности пользователям с правами администратора, любые неправильные настройки могут привести к появлению уязвимостей.

Был приведен пример, когда злоумышленник воспользовался неправильной конфигурацией плагина Jenkins Groovy для запуска вредоносного скрипта в кодировке Base64 для майнинга криптовалюты. Этот вредоносный скрипт обладал возможностями для завершения процессов, использующих чрезмерные ресурсы процессора, загрузки и обслуживания майнера криптовалют и обеспечения одновременной работы только одного экземпляра майнера. Скрипт также сохранил записи задания cron в переменной, включая необходимые параметры, такие как адреса пула и кошелька, и добавил их в crontab для постоянного выполнения.

В тексте также подчеркивается, что Jenkins, известная своими мощными возможностями разработки программного обеспечения, может стать палкой о двух концах, если ее не исправить или неправильно настроить. В записи в блоге подчеркивается важность правильной настройки, строгой проверки подлинности и авторизации, регулярных проверок безопасности и ограничения доступа в Интернет к серверам Jenkins для снижения риска их использования злоумышленниками для осуществления вредоносных действий.

Кроме того, злоумышленники могут использовать консоль Jenkins Script Console для выполнения вредоносных скриптов Groovy, что позволяет им осуществлять киберпреступные действия, такие как развертывание майнеров криптовалюты. Неправильно настроенные механизмы аутентификации могут предоставлять доступ к конечным точкам, что потенциально может привести к удаленному выполнению кода и неправильному использованию злоумышленниками. Злоумышленники могут использовать уязвимости Jenkins для загрузки и выполнения двоичных файлов майнеров, поддерживать постоянство с помощью заданий cron и утилит systemd, а также использовать бэкдоры для несанкционированного доступа и утечки данных.

В случае сбоя первоначальных методов выполнения у злоумышленника есть дополнительные средства запуска майнера, такие как запись в файл для присвоения идентификатора установки, установка ловушек для игнорирования сигналов, которые могут преждевременно завершить работу скрипта, выполнение вложенных команд для применения мер по очистке и, в конечном счете, запуск майнера с помощью команды exec.

#ParsedReport #CompletenessLow
06-07-2024

Not just a black industry? Analysis of the attack activities of the "Silver Fox" group suspected of planning APT attacks

https://paper.seebug.org/3192

Report completeness: Low

Actors/Campaigns:
Silver_fox

Threats:
Winos

Victims:
Tax personnel, Finance personnel, National units, Security vendors, Key positions in finance, Key positions in accounting, Key positions in sales

Industry:
Financial

Geo:
China

ChatGPT TTPs:
do not use without manual check
T1027.002, T1059.001, T1112

IOCs:
Registry: 1
File: 2
Path: 1
Hash: 4
Domain: 3

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что команда Knowsec 404 Advanced Threat Intelligence обнаружила фишинговый веб-сайт, связанный с бандой Silver Fox, которая традиционно была известна тем, что нападала на сотрудников налоговой службы, но теперь сосредоточилась на национальных подразделениях и поставщиках систем безопасности. Это изменение их целей вызывает вопросы об их истинных мотивах и о том, могут ли они быть связаны с организацией APT. Группа Silver Fox использует сложные инструменты, такие как специальная команда для обфускации данных с открытым кодом Charonlycommand, и продемонстрировала эволюционирующий и целенаправленный подход к своей вредоносной деятельности. Бдительность в отношении фишинговых веб-сайтов подчеркивается как важнейшее условие безопасности, при этом особое внимание уделяется проверке легитимности веб-сайтов и привлечению сотрудников службы безопасности в случае неуверенности.
-----

Команда Knowsec 404 Advanced Threat Intelligence недавно обнаружила фишинговый веб-сайт, который выдавал себя за системы сотрудников важных национальных подразделений и поставщиков средств сетевой безопасности. При дальнейшем расследовании они подтвердили, что образцы, связанные с этим веб-сайтом, предположительно были образцами дистанционного управления Winos, которые обычно использовались бандой Silver Fox. В отличие от предыдущих разоблачений, в этих образцах использовались оболочки VMP для защиты кода и изменен стиль их олицетворения. Банда Silver Fox, известная в прошлом нападениями на сотрудников налоговой службы, в ходе этой атаки сосредоточила свое внимание на национальных подразделениях и поставщиках систем безопасности, что вызвало вопросы об истинных мотивах их деятельности - являются ли они просто командой из черной индустрии или атакующей организацией APT, скрывающейся в черной индустрии.

Дальнейший анализ показал, что группа использовала инструмент обфускации PowerShell под названием Out-EncodedSpecialCharOnlyCommand и ранее нераскрытый троян-загрузчик. Группа компаний Silver Fox, действующая с 2022 года, в основном использует электронную почту, фишинговые веб-сайты и программное обеспечение для обмена мгновенными сообщениями для распространения троянских вирусов, уделяя особое внимание ключевым позициям в сфере финансов, бухгалтерского учета и продаж в организациях с целью незаконного получения прибыли. Поставщики систем безопасности классифицируют их как организации, занимающиеся нелегальной деятельностью.

Обнаружение этой атаки Silver Fox было вызвано отслеживанием фишингового веб-сайта, выдававшего себя за национальное подразделение, и системы сотрудников поставщика услуг кибербезопасности. Вредоносные файлы, связанные с этим веб-сайтом, включали троян Winos, загрузчик UpdateDll и специальный инструмент Charonlycommand с открытым кодом. Образцы Winos, обнаруженные в ходе этого инцидента, использовали VMP для защиты кода и сохраняли свой шелл-код в определенном разделе реестра.

Специальный инструмент Charonlycommand с открытым кодом используется для преобразования кода скрипта PowerShell в символьный код для улучшения маскировки вредоносных программ. Атакующая группа, стоящая за этими действиями, продемонстрировала приверженность анализу и контрмерам, что говорит об активном расширении их тактики. Хотя в Китае Winos обычно связывают с группой "Серебряная лиса", смещение целей атак в сторону национальных подразделений и поставщиков систем безопасности указывает на потенциальную причастность организации APT к злонамеренным намерениям.

Команда Knowsec 404 Advanced Threat Intelligence подчеркивает важность бдительности в отношении фишинговых веб-сайтов и советует пользователям проверять легитимность веб-сайтов перед проведением конфиденциальных операций. Они предостерегают от перехода по ссылкам или электронным письмам из неизвестных источников и рекомендуют привлекать сотрудников службы безопасности в случае возникновения сомнений для обеспечения безопасности.

#ParsedReport #CompletenessLow
07-07-2024

Malicious code created by Konni, a North Korean hacking group impersonating the National Tax Service - Information on VAT corrections (Value-Added Tax Processing Regulations).hwp (2024.6.27).lnk

https://wezard4u.tistory.com/429221

Report completeness: Low

Actors/Campaigns:
Scarcruft
Kimsuky

Threats:
Konni_rat
Trojan/lnk.powershell.s2453
Powecod
Malware.lnk/dldr.agent

Victims:
Government agencies, Organizations

Industry:
Government

Geo:
Russia, Korea, Middle east, North korean, North korea, Asia

ChatGPT TTPs:
do not use without manual check
T1566.001, T1204.002, T1036.005, T1112, T1059.003, T1070.004

IOCs:
File: 7
Hash: 3
Registry: 1
Path: 3
Url: 1

Algorithms:
sha256, sha1, md5, zip

Functions:
Powershell, Downloads, Documents, Desktop

Languages:
powershell, php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что северокорейская хакерская группа Konni, связанная с Thallium и APT 37, разработала сложную вредоносную программу под названием Value-Value Tax Amendment Report Guide, предназначенную для правительственных учреждений и организаций в Южной Корее и Соединенных Штатах. Вредоносная программа, замаскированная под руководство по исправлению налоговых деклараций, распространяется с помощью фишинговых электронных писем и использует методы обфускации, чтобы избежать обнаружения. Она включает в себя скрипт VBS с различными функциональными возможностями, такими как сохранение работоспособности в зараженных системах и выполнение различных действий в зависимости от наличия или отсутствия файла.
-----

Вредоносный код под названием Value-Added Tax Amendment Report Guide (Правила уплаты налога на добавленную стоимость) был создан северокорейской хакерской группой Konni, которая связана с Thallium и APT 37. Известно, что эта группа атаковала правительственные учреждения и организации в Южной Корее и Соединенных Штатах. Трояны удаленного доступа Konni (RATs) обычно распространяются с помощью фишинговых сообщений или электронной почты для сбора конфиденциальной информации, создания скриншотов и установки удаленных интерактивных оболочек в целевых системах.

Вредоносная программа, замаскированная под руководство по корректировке деклараций по налогу на добавленную стоимость, поставляется в виде файла большого размера (62,8 МБ), чтобы избежать обнаружения антивирусным программным обеспечением. Она также может использовать методы обфускации, предполагающие наличие фиктивного файла, чтобы запутать меры безопасности. Вредоносный контент распространяется по ссылкам электронной почты, замаскированным под файлы HWP. С зараженным файлом связаны следующие конкретные значения хэша: MD5: 6eee6fa92a270b1f32390eec50512eea, SHA-1: e8b471c3d383fd44e53029676df3370f0504555f и SHA-256: 183fb85fc915017104cd473f8f3ad515a54603e38fd4463214adcbf84b421183.

Созданный вредоносным ПО скрипт VBS обладает различными функциональными возможностями. Он представляет собой пакетный скрипт для Windows, который проверяет наличие определенных файлов и выполняет различные действия в зависимости от наличия или отсутствия этих файлов. Сначала скрипт изменяет текущий рабочий каталог на тот, в котором он хранится. Затем он выполняет условные инструкции, такие как проверка существования определенных пакетных файлов и добавление разделов реестра для сохранения работоспособности зараженной системы.

Если определенный файл (61203333.bat) существует, скрипт добавляет раздел реестра, который гарантирует, что определенный файл VBS запускается каждый раз, когда зараженный пользователь перезагружает свое устройство. Это облегчает текущее заражение и позволяет создателю вредоносной программы сохранять контроль. Скрипт также вызывает другие пакетные файлы, такие как 38808439.bat, и выполняет такие действия, как удаление файлов и разрыв скриптов.

В сценариях, где определенные файлы не существуют, скрипт продолжает выполнять различные действия, включая вызов других пакетных файлов и ожидание определенного периода времени перед выполнением дополнительных операций. Скрипт использует метки и циклы для управления процессом выполнения, повторяя определенные действия в зависимости от наличия или отсутствия файла. В конечном счете, если определенный файл существует, сценарий завершает работу удалением файла и выполнением сценария explosion.

За JWT и дырки в нем.

#ParsedReport #CompletenessHigh
08-07-2024

CloudSorcerer - A new APT targeting Russian government entities

https://securelist.com/cloudsorcerer-new-apt-cloud-actor/113056

Report completeness: High

Actors/Campaigns:
Cloudsorcerer (motivation: cyber_espionage)
Groundbait

Threats:
Cloudwizard_tool
Commonmagic_tool

Victims:
Russian government entities

Industry:
Financial, Government

Geo:
Ukrainian, Russian, Russian federation

TTPs:
Tactics: 7
Technics: 17

IOCs:
File: 3
Url: 3
Hash: 1

Soft:
Microsoft COM, Windows service, Windows registry

Algorithms:
sha1, md5, sha256

Win API:
GetModuleFileNameA, ShellExecuteExW, NetUserSetInfo, InternetCrackUrlA, InternetSetOptionA, InternetOpenA, InternetConnectA, HttpOpenRequestA, HttpSendRequestA, InternetReadFile, have more...

Platforms:
x64, intel

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4