#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея:.
Аналитическая информация о киберугрозах освещает деятельность атакующей группы Kimsuky, которая нацелена на японские организации, используя различные вредоносные тактики, включая сокрытие расширений файлов и использование возможностей кейлоггинга. Участие группы в атаках на южнокорейские организации свидетельствует о более широком региональном влиянии, а появление новых тактик, таких как вредоносное ПО в формате CHM, указывает на постоянную угрозу. Бдительность имеет решающее значение для защиты от кибератак Kimsuky.
-----

Группа хакеров Kimsuky была идентифицирована JPCERT/CC как нацеленная на японские организации в марте 2024 года. Методы атаки включают скрытие расширений файлов с большими пробелами для выполнения вредоносных действий. Изначально цель запускает исполняемый файл, что приводит к заражению вредоносным ПО. Впоследствии файл VBS загружает PowerShell из внешнего источника и запускает функцию PokDoc. Эта программа PowerShell предназначена для сбора информации об устройстве и служит в качестве кейлоггера. Тактика Кимсуки также наблюдалась при нападениях на южнокорейские организации, что указывает на их причастность к японским атакам.

Несмотря на ограниченное количество сообщений о том, что Kimsuky нацелен на японские компании, вероятность активных атак остается высокой. Недавние данные свидетельствуют об использовании вредоносного ПО формата CHM для реализации возможностей кейлоггинга. Бдительность в отношении подобных атак в будущем имеет решающее значение для защиты от киберугроз, исходящих от Kimsuky.

#ParsedReport #CompletenessHigh
09-07-2024

Coyote Banking Trojan Targets LATAM with a Focus on Brazilian Financial Institutions

https://blogs.blackberry.com/en/2024/07/coyote-banking-trojan-targets-latam-with-a-focus-on-brazilian-financial-institutions

Report completeness: High

Threats:
Coyote
Dll_sideloading_technique
Nim_loader

Victims:
Government organizations, Financial institutions, Binance

Industry:
Government, Financial, Education

Geo:
Portuguese, Brazilian, Brazil, Latam, Latin american

TTPs:
Tactics: 8
Technics: 16

IOCs:
File: 12
Registry: 2
Path: 1
Hash: 49
Domain: 23

Soft:
Outlook, Chromium, Google Chrome, Chrome

Crypto:
binance

Algorithms:
sha256, zip, aes

Languages:
javascript, python

YARA: Found

Links:
https://github.com/Squirrel/Squirrel.Windows
https://github.com/dotnet/WatsonTcp

#ParsedReport #ExtractedSchema

Classified images:
dump: 1, code: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что латиноамериканский регион, в частности Бразилия, стал мишенью для киберпреступников, особенно для финансовых учреждений. Coyote.Троянская программа NET banking выделяется как серьезная угроза в регионе из-за своей сложной цепочки выполнения и стратегий нацеливания. Эффективное противодействие этой угрозе требует активных мер безопасности, осведомленности пользователей и передовых технологий защиты.
-----

Регион Латинской Америки (LATAM) стал привлекательной мишенью для киберпреступников из-за расширения мировой торговли и роста рынка, о чем сообщил Всемирный экономический форум в январе 2024 года. В Латаме большое количество "организаций с недостаточной киберустойчивостью", основными мишенями которых являются государственные и финансовые учреждения. Заметной угрозой в этом регионе является Coyote.Троянская программа NET banking, которая в первую очередь нацелена на бразильские финансовые учреждения. Coyote выделяется своей четкой цепочкой выполнения, которая включает в себя использование легального программного обеспечения, такого как Squirrel, для развертывания троянской программы и постоянного сбора финансовых данных пользователя.

Способ доставки Coyote обычно включает фишинг, когда пользователей заставляют переходить по вредоносным ссылкам из-за большого размера файла трояна (+170 МБ), что делает его непрактичным в качестве вложения в электронную почту. Имена файлов, использованные при атаках, написаны на бразильском португальском языке, что указывает на бразильских жертв в качестве основных целей. Выполнение Coyote включает в себя внедрение скомпрометированных библиотек DLL в законные файлы, что в конечном итоге приводит к загрузке банковского трояна Coyote, который может выполнять различные команды и функции, такие как ведение кейлогга, создание скриншотов и развертывание поддельных банковских приложений.

Для связи Coyote использует библиотеку WatsonTCP и подключается к серверам управления (C2). Троянец нацелен на бразильские финансовые учреждения и глобальную криптовалютную биржу Binance, с целью компрометации крупных финансовых организаций. Угроза, исходящая от Coyote, подчеркивает меняющийся ландшафт кибербезопасности в LATAM, подчеркивая необходимость усиления мер безопасности и обучения пользователей для борьбы с подобными сложными вредоносными программами.

В блоге подчеркивается важность упреждающих мер безопасности, информированности пользователей и передовых технологий защиты для снижения рисков, связанных с такими угрозами, как Coyote. Борьба с этим банковским трояном требует многоуровневого подхода, объединяющего современные решения в области кибербезопасности и всестороннюю подготовку пользователей. К счастью, решения BlackBerry для защиты конечных точек, такие как CylanceENDPOINT, могут помочь защитить от индикаторов компрометации Coyote (IOCs), используя продвинутый искусственный интеллект для обнаружения и предотвращения угроз и минимизации потенциального ущерба от кибератак.

#ParsedReport #CompletenessMedium
09-07-2024

APT40 Advisory

https://www.cyber.gov.au/about-us/view-all-content/alerts-and-advisories/apt40-advisory-prc-mss-tradecraft-in-action

Report completeness: Medium

Actors/Campaigns:
Leviathan

Threats:
Log4shell_vuln
Kerberoasting_technique
Nmap_tool
Spear-phishing_technique
Dllsearchorder_hijacking_technique
Dll_sideloading_technique
Process_injection_technique
Process_hollowing_technique
Steganography_technique
Timestomp_technique
Credential_dumping_technique
Dcsync_technique
Dead_drop_technique

Industry:
Government

Geo:
Australia, Korea, New zealand, Australian, Canadian, China, United kingdom, Japan, German

CVEs:
CVE-2021-34473 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)

CVE-2021-31207 [Vulners]
CVSS V3.1: 6.6,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)

CVE-2021-34523 [Vulners]
CVSS V3.1: 9.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)


TTPs:
Tactics: 14
Technics: 163

IOCs:
Hash: 10
File: 3
Path: 5

Soft:
Confluence, Microsoft Exchange, Active Directory, Unix, Remote desktop services, Microsoft Office, Windows Service

Languages:
java, python, visual_basic, javascript, jscript, powershell

Platforms:
apple, intel

Links:
http://www.github.com/Australiancybersecuritycentre/windows\_event\_logging
https://gist.github.com/mattifestation/5f9de750470c9e0e1f9c9c33f0ec3e56

#ParsedReport #ExtractedSchema

Classified images:
schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста - это рекомендации, подробно описывающие методы и тактику спонсируемой государством кибергруппы APT40, также известной как "Криптонитовая панда" или "Левиафан", связанной с Министерством государственной безопасности Китайской Народной Республики (МГБ). Группа демонстрирует высокий уровень изощренности, нацеливаясь на организации по всему миру и используя уязвимости в широко используемом программном обеспечении. В рекомендациях освещается тактика APT40, включая разведку, первоначальный доступ с помощью эксплойтов, использование веб-оболочек для обеспечения сохранности и компрометацию сетевых устройств в целях командования и контроля. В нем также подчеркивается важность того, чтобы организации защищались от подобной тактики, расширяли возможности ведения журнала и проявляли бдительность в отношении известных уязвимостей, связанных с APT40.
-----

APT40, спонсируемая государством кибергруппа из Китая, работает на Министерство государственной безопасности КНР (МГБ) и нацелена на организации в Австралии, Соединенных Штатах и других странах.

APT40 обладает высоким уровнем сложности, быстро развивается для использования новых уязвимостей и использует тактику, распространенную среди субъектов, спонсируемых государством КНР, по всему миру.

Они уделяют приоритетное внимание использованию общедоступной инфраструктуры и получению действительных учетных данных для сохранения и дальнейшей деятельности.

APT40 успешно использовала уязвимости в широко используемом программном обеспечении, таком как Log4J, Atlassian Confluence и Microsoft Exchange, вскоре после их раскрытия.

Они используют веб-оболочки для обеспечения устойчивости на ранних стадиях взломов и предпочитают скомпрометированные устройства, такие как бытовая техника для небольших офисов, в качестве операционной инфраструктуры.

Группа эволюционировала, чтобы использовать скомпрометированные устройства в целях командования и контроля, что усложняет отслеживание их действий.

APT40 был вовлечен в компрометацию сетей, проведение подсчета узлов, использование веб-оболочки и эксфильтрацию конфиденциальных данных.

Они используют Kerberoasting для получения сетевых учетных данных и эксфильтрации данных по каналам C2, что свидетельствует о системном подходе к компрометации сети.

Рекомендации включают усиление возможностей ведения журнала, сохранение исторических данных и предупреждение об известных уязвимостях, связанных с APT40.

#ParsedReport #CompletenessLow
09-07-2024

And telegrams will fly: a backdoor Trojan controlled via Telegram attacks servers running Linux OS

https://news.drweb.ru/show/?lng=ru&i=14877&c=5

Report completeness: Low

Threats:
Tgrat

Victims:
Hosting services company

ChatGPT TTPs:
do not use without manual check
T1048, T1059.004, T1204.002, T1573.002

IOCs:
File: 1

Soft:
Telegram, macOS, Android

Links:
https://github.com/DoctorWebLtd/malware-iocs/tree/master/Linux.BackDoor.TgRat.2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: Linux-версия троянца TgRat, управляемая с помощью Telegram-бота, представляет собой троянскую программу удаленного доступа, которая позволяет злоумышленникам незаметно контролировать скомпрометированные компьютеры для целенаправленных атак.
-----

Специалистами "Доктор Веб" была выявлена Linux-версия троянца TgRat, который обычно используется для целенаправленных атак на компьютеры. Одной из отличительных особенностей этого троянца является то, что он управляется с помощью Telegram-бота, что делает его трояном удаленного доступа (RAT). Эта вредоносная программа разработана таким образом, чтобы быть незаметной и позволять злоумышленникам управлять скомпрометированными компьютерами без ведома пользователей.

Изначально созданный для Windows, троянец TgRat был адаптирован для работы в Linux в 2022 году. Троянец нацелен на определенные компьютеры, проверяя хэш имени компьютера, и завершает свою работу, если значения не совпадают. После успешного запуска троянец устанавливает соединение с управляющим сервером через Telegram-бота, позволяя злоумышленникам отдавать различные команды, такие как загрузка файлов, снятие скриншотов, выполнение команд и многое другое.

Уникальность этого троянца заключается в том, что для шифрования своего кода он использует шифр RSA, а для выполнения команд используется интерпретатор bash, позволяющий выполнять целые сценарии в рамках одного сообщения. Каждому экземпляру трояна присваивается свой собственный идентификатор, позволяющий злоумышленникам отправлять команды нескольким ботам и подключать их всех к одному чату.

Использование Telegram в качестве канала управления помогает замаскировать вредоносное ПО в рамках законного сетевого трафика, поскольку мессенджер широко используется многими компаниями для общения. Однако такую схему взаимодействия можно обнаружить при тщательном анализе сетевого трафика, поскольку связь с серверами Telegram может быть нетипичной для сервера локальной сети.

Для предотвращения заражения рекомендуется установить антивирусное программное обеспечение на все узлы сети. Компания "Доктор Веб" предлагает антивирусные решения для серверов и рабочих станций на базе различных операционных систем, включая Windows, macOS, Android, Linux и FreeBSD. Кроме того, устройства NGFW и IDS могут использоваться по периметру сети для сканирования сетевого трафика с минимальной задержкой, что повышает общую безопасность сети.

#ParsedReport #CompletenessLow
09-07-2024

Analysis of the Suspected APT Attack Activities by Silver Fox. Analysis of the Suspected APT Attack Activities by "Silver Fox"

https://paper.seebug.org/3193

Report completeness: Low

Actors/Campaigns:
Silver_fox

Threats:
Winos

Victims:
Employees, Tax and finance personnel

Industry:
Financial

Geo:
Chinese, China

ChatGPT TTPs:
do not use without manual check
T1566.002, T1027, T1059.001, T1060

IOCs:
Hash: 4
Registry: 1
Path: 1
File: 2

Soft:
chrome

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что группа Silver Fox, ранее известная своей киберпреступной деятельностью, направленной против налогового и финансового персонала, переключила свое внимание на выдачу себя за сотрудников национальных учреждений и компаний, занимающихся кибербезопасностью. Это изменение тактики, наряду с использованием передовых методов обфускации и новых средств защиты от вредоносных программ, вызывает подозрения в том, что группа, возможно, переходит к более изощренной тактике Advanced Persistent Threat (APT). Это открытие служит предупреждением о необходимости повышения бдительности в отношении фишинговых веб-сайтов и подчеркивает важность осведомленности о кибербезопасности для смягчения потенциальных киберугроз.
-----

Команда Advanced Threat Intelligence, известная как Security 404, недавно обнаружила фишинговый веб-сайт, на котором выдавали себя за сотрудников важных национальных учреждений и компаний, занимающихся кибербезопасностью. Образцы, полученные с этого веб-сайта, были связаны с Silver Fox group, в частности с их образцами дистанционного управления Winos. В отличие от предыдущих примеров, в этих примерах использовалась защита VMP для маскировки кода и были нацелены на различные организации, переключив внимание с налогового и финансового персонала на национальные учреждения и охранные компании. Это изменение заставляет пересмотреть мотивы группы, задавшись вопросом, являются ли они исключительно преступной организацией или же в их основе лежит стратегия атаки APT.

Дальнейший анализ показал, что группа использовала инструмент обфускации PowerShell, некодированную специальную команду Charonlycommand и ранее неизвестного троянца-загрузчика. Silver Fox, действующая с 2022 года, распространяет троянские программы по различным каналам, таким как электронная почта и фишинговые веб-сайты, в первую очередь нацеливаясь на ключевые должности на предприятиях с целью получения финансовой выгоды. Хотя их традиционно относят к киберпреступникам, недавняя смена целей вызывает подозрения в потенциальной причастности APT.

Обнаружение атаки было связано с отслеживанием фишингового веб-сайта, имитирующего критически важные национальные учреждения и систему сотрудников компании по кибербезопасности. Вредоносные файлы, связанные с этим веб-сайтом, включали троян Winos, загрузчик UpdateDll и специальный инструмент Charonlycommand с незашифрованным кодом, пик атаки пришелся на июнь. Образцы "Алкашей" демонстрируют усовершенствованные методы обфускации, что указывает на эволюционирующую тактику группировки, направленную на то, чтобы избежать обнаружения и расширить свои возможности.

Хотя Winos была связана с группой Silver Fox в Китае, расхождение в целях предполагает стратегический сдвиг в сторону сочетания тактики APT с деятельностью по борьбе с киберпреступностью. Команда Knownsec 404 Advanced Threat Intelligence уделяет особое внимание борьбе с фишинговыми веб-сайтами, советуя пользователям проходить аутентификацию на веб-сайтах, прежде чем совершать конфиденциальные действия, и воздерживаться от перехода по неизвестным ссылкам или электронным письмам. Образцы Winos использовали защиту VMP и сохраняли шелл-код в записи реестра "HKCU\Console\huorongniubi"..

Специальная команда Charonlycommand используется для преобразования кода скрипта PowerShell в код символов для улучшения маскировки вредоносной полезной нагрузки. Преобразуя код PowerShell в непонятные символы, злоумышленники могут затруднить анализ своей полезной нагрузки. Команда обязуется внимательно следить за подобными действиями и призывает интернет-пользователей проявлять осторожность в Интернете, чтобы смягчить киберугрозы.

#ParsedReport #CompletenessLow
09-07-2024

ChamelGang's Cyberespionage: Ransomware, Healthcare, and Government Attacks

https://www.secureblink.com/threat-research/chamel-gang-s-cyberespionage-ransomware-healthcare-and-government-attacks

Report completeness: Low

Actors/Campaigns:
Chamelgang (motivation: cyber_espionage, financially_motivated, cyber_criminal)

Threats:
Catb_ransomware
Bestcrypt
Beaconloader

Victims:
All india institute of medical sciences, Presidency of brazil, Government organization, Aviation organization, 37 organizations

Industry:
Critical_infrastructure, Aerospace, Financial, Education, Government, Healthcare

Geo:
Taiwan, Russia, India, Brazil, Asia, Japan, North korean, America, The us, Chinese, Indian

ChatGPT TTPs:
do not use without manual check
T1486, T1105

Soft:
BitLocker

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в появлении ChamelGang, предполагаемой китайской APT-группы, занимающейся кибершпионажем, путем внедрения программ-вымогателей, нацеленных на секторы здравоохранения, правительства и критически важной инфраструктуры по всему миру. Такое сочетание тактик киберпреступности и шпионажа создает проблемы с установлением виновных и подчеркивает важность обмена информацией и сотрудничества между соответствующими структурами для эффективного противодействия киберугрозам.
-----

ChamelGang, предполагаемая китайская APT-группа, применяет тактику кибершпионажа, используя программы-вымогатели, нацеленные на здравоохранение и государственный сектор, что стирает границы между традиционной киберпреступностью и шпионажем. Эта тенденция использования программ-вымогателей в операциях кибершпионажа преследует различные цели, включая получение финансовой выгоды, сбой в работе, отвлечение внимания, неправильное распределение и удаление цифровых доказательств.

Деятельность Хамельганга, которая не была публично раскрыта, была замечена в таких организациях, как Всеиндийский институт медицинских наук (AIIMS), Президентство Бразилии, правительственная организация в Восточной Азии и такие важные секторы инфраструктуры, как авиационная организация на Индийском субконтиненте. Группа также участвовала во вторичной серии вторжений с использованием таких инструментов шифрования, как BestCrypt и BitLocker, которые затронули различные отрасли промышленности в Северной Америке, Южной Америке и Европе, уделяя особое внимание производственному сектору США.

Recorded Future и SentinelLabs отследили два различных кластера активности в период с 2021 по 2023 год, один из которых связан с ChamelGang, а другой имеет сходство с китайскими и северокорейскими группами APT. Эти кластеры в основном используют программы-вымогатели или инструменты для шифрования данных и нацелены на государственные органы и критически важные инфраструктурные сектора по всему миру.

Тактика, методы и процедуры ChamelGang (TTP) включают в себя использование общедоступных инструментов и пользовательских вредоносных программ, таких как BeaconLoader. Виктимология группы охватывает различные регионы, включая воздействие на важнейшие отрасли в России, а также на государственные и частные организации в Соединенных Штатах, Тайване и Японии. Компания ChamelGang была связана с атаками на Президентство Бразилии и AIIMS с использованием программы-вымогателя CatB, и признаки, указывающие на их причастность, основаны на сходстве кода и артефактов вредоносного ПО.

В дополнение к деятельности ChamelGang, были зафиксированы случаи злоупотребления инструментами шифрования, такими как Jetico BestCrypt и Microsoft BitLocker, в целях вымогательства. Эти вредоносные программы затронули 37 организаций, преимущественно в Северной Америке, при этом производственный сектор США испытал значительные последствия.

Стратегическое внедрение программ-вымогателей такими субъектами кибершпионажа, как ChamelGang, создает проблемы с проведением различия между киберпреступностью и шпионской деятельностью, что приводит к размытию границ и потенциальному неправильному распределению. Отсутствие обмена информацией между местными правоохранительными органами и разведывательными службами может препятствовать оценке рисков и информированности о ситуации, что подчеркивает важность постоянного обмена данными и сотрудничества между организациями, занимающимися инцидентами, связанными с киберпреступностью и кибершпионажем.

#ParsedReport #CompletenessMedium
09-07-2024

Regional Transport Office Phishing Scam Targets Android Users In India

https://cyble.com/blog/regional-transport-office-phishing-scam-targets-android-users-in-india

Report completeness: Medium

Actors/Campaigns:
Elvia_infotech

Victims:
Android users, Banking users

Industry:
Government, Petroleum, Financial

Geo:
Indian, India

TTPs:
Tactics: 6
Technics: 8

IOCs:
Url: 4
File: 1
Domain: 2
Hash: 2

Soft:
Android, WhatsApp, Telegram

Algorithms:
sha256, sha1, md5

#ParsedReport #GeneratedSchema
Generated with GPT-4