CTT Report Hub
#ParsedReport #CompletenessMedium 12-07-2024 Blogs. Info Stealing Campaign Uses DLL Sideloading Through Legitimate Cisco Webex s Binaries for Initial Execution and Defense Evasion https://www.trellix.com/blogs/research/how-attackers-repackaged-a-threat-into…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что исследователи обнаружили сложную кампанию кибератак, нацеленную на клиентов в Латинской Америке и Азиатско-Тихоокеанском регионе. Злоумышленники обманом заставили пользователей загрузить троянские версии приложения Cisco Webex Meetings, что привело к развертыванию вредоносной программы Vidar Stealer для извлечения конфиденциальных данных. Исследовательская группа проанализировала атаку с использованием платформы Mitre ATT&CK, определила возможности обнаружения и выделила тактику, методы и процедуры злоумышленников (TTP). Злоумышленники использовали различные методы для маскировки вредоносных файлов, уклонения от обнаружения, повышения привилегий и утечки данных, что подчеркивает необходимость усиления защиты от подобных угроз.
-----
В марте 2024 года исследователи из Центра перспективных исследований Trellix обнаружили сложную кампанию атак, нацеленную на клиентов в Латинской Америке и Азиатско-Тихоокеанском регионе. Злоумышленники использовали метод обмана пользователей для загрузки защищенных паролем архивных файлов, содержащих троянские версии приложения Cisco Webex Meetings. Как только пользователи запускали вредоносный файл, скрытый загрузчик вредоносных программ, известный как HijackLoader, способствовал развертыванию программы Vidar Stealer, предназначенной для извлечения конфиденциальных данных и отправки их обратно злоумышленникам.
Используя платформу Mitre ATT&CK, исследовательская группа проанализировала тактику, методы и процедуры (TTP), использованные при атаке. Они определили возможности обнаружения для усиления защиты от подобных угроз. Кампания включала в себя этапы от первоначального доступа к учетным данным до кражи учетных данных посредством связи с сервером управления.
Злоумышленники замаскировали вредоносные файлы под бесплатные или пиратские копии коммерческого программного обеспечения, используя защищенные паролем архивы с паролем, указанным в имени файла. В ходе атаки использовалась дополнительная загрузка библиотеки DLL через законное приложение Cisco Webex Meetings для незаметного запуска вредоносного загрузчика.
Программа HijackLoader, внедренная в двоичный файл Windows, инициировала загрузку и выполнение двоичного файла AutoIt3, который осуществлял доступ к учетным данным и поддерживал сетевое подключение к серверу C2. Двоичный файл AutoIt3 загрузил дополнительные PE-файлы и создал сетевые подключения к указанному серверу C2, что указывает на возможную утечку данных.
Чтобы повысить привилегии и избежать обнаружения, вредоносная программа обошла систему контроля учетных записей пользователей (UAC), используя известную технологию, и добавила себя в список исключений Защитника Windows. Она также внедрялась в законные процессы, такие как MSBuild.exe для установления сетевых подключений к подозрительным IP-адресам.
Дальнейшее выполнение сценариев PowerShell привело к созданию и запуску вредоносного PE-файла, который содержал законную копию файлов VMware VMwareHostOpen.exe и нескольких библиотек DLL. В этом процессе использовались вредоносные библиотеки DLL, созданные с использованием методов сторонней загрузки DLL.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что исследователи обнаружили сложную кампанию кибератак, нацеленную на клиентов в Латинской Америке и Азиатско-Тихоокеанском регионе. Злоумышленники обманом заставили пользователей загрузить троянские версии приложения Cisco Webex Meetings, что привело к развертыванию вредоносной программы Vidar Stealer для извлечения конфиденциальных данных. Исследовательская группа проанализировала атаку с использованием платформы Mitre ATT&CK, определила возможности обнаружения и выделила тактику, методы и процедуры злоумышленников (TTP). Злоумышленники использовали различные методы для маскировки вредоносных файлов, уклонения от обнаружения, повышения привилегий и утечки данных, что подчеркивает необходимость усиления защиты от подобных угроз.
-----
В марте 2024 года исследователи из Центра перспективных исследований Trellix обнаружили сложную кампанию атак, нацеленную на клиентов в Латинской Америке и Азиатско-Тихоокеанском регионе. Злоумышленники использовали метод обмана пользователей для загрузки защищенных паролем архивных файлов, содержащих троянские версии приложения Cisco Webex Meetings. Как только пользователи запускали вредоносный файл, скрытый загрузчик вредоносных программ, известный как HijackLoader, способствовал развертыванию программы Vidar Stealer, предназначенной для извлечения конфиденциальных данных и отправки их обратно злоумышленникам.
Используя платформу Mitre ATT&CK, исследовательская группа проанализировала тактику, методы и процедуры (TTP), использованные при атаке. Они определили возможности обнаружения для усиления защиты от подобных угроз. Кампания включала в себя этапы от первоначального доступа к учетным данным до кражи учетных данных посредством связи с сервером управления.
Злоумышленники замаскировали вредоносные файлы под бесплатные или пиратские копии коммерческого программного обеспечения, используя защищенные паролем архивы с паролем, указанным в имени файла. В ходе атаки использовалась дополнительная загрузка библиотеки DLL через законное приложение Cisco Webex Meetings для незаметного запуска вредоносного загрузчика.
Программа HijackLoader, внедренная в двоичный файл Windows, инициировала загрузку и выполнение двоичного файла AutoIt3, который осуществлял доступ к учетным данным и поддерживал сетевое подключение к серверу C2. Двоичный файл AutoIt3 загрузил дополнительные PE-файлы и создал сетевые подключения к указанному серверу C2, что указывает на возможную утечку данных.
Чтобы повысить привилегии и избежать обнаружения, вредоносная программа обошла систему контроля учетных записей пользователей (UAC), используя известную технологию, и добавила себя в список исключений Защитника Windows. Она также внедрялась в законные процессы, такие как MSBuild.exe для установления сетевых подключений к подозрительным IP-адресам.
Дальнейшее выполнение сценариев PowerShell привело к созданию и запуску вредоносного PE-файла, который содержал законную копию файлов VMware VMwareHostOpen.exe и нескольких библиотек DLL. В этом процессе использовались вредоносные библиотеки DLL, созданные с использованием методов сторонней загрузки DLL.
#ParsedReport #CompletenessLow
12-07-2024
Smishing Triad Is Targeting India To Steal Personal and Payment Data at Scale
https://www.resecurity.com/blog/article/smishing-triad-is-targeting-india-to-steal-personal-and-payment-data-at-scale
Report completeness: Low
Actors/Campaigns:
Smishing_triad (motivation: information_theft, cyber_espionage, cyber_criminal)
Industry:
Petroleum, Government, Energy, Financial
Geo:
Indian, Emirates, Czech, Pakistan, France, Singapore, Latvia, Malaysia, Chinese, India
ChatGPT TTPs:
T1078, T1566.002, T1589.002, T1071.004, T1036.005
IOCs:
Domain: 278
IP: 2
Url: 1
Email: 4
Soft:
iMessage, Android, iMessages
Platforms:
apple
12-07-2024
Smishing Triad Is Targeting India To Steal Personal and Payment Data at Scale
https://www.resecurity.com/blog/article/smishing-triad-is-targeting-india-to-steal-personal-and-payment-data-at-scale
Report completeness: Low
Actors/Campaigns:
Smishing_triad (motivation: information_theft, cyber_espionage, cyber_criminal)
Industry:
Petroleum, Government, Energy, Financial
Geo:
Indian, Emirates, Czech, Pakistan, France, Singapore, Latvia, Malaysia, Chinese, India
ChatGPT TTPs:
do not use without manual checkT1078, T1566.002, T1589.002, T1071.004, T1036.005
IOCs:
Domain: 278
IP: 2
Url: 1
Email: 4
Soft:
iMessage, Android, iMessages
Platforms:
apple
CTT Report Hub
#ParsedReport #CompletenessLow 12-07-2024 Smishing Triad Is Targeting India To Steal Personal and Payment Data at Scale https://www.resecurity.com/blog/article/smishing-triad-is-targeting-india-to-steal-personal-and-payment-data-at-scale Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в растущей угрозе мошеннических действий со смишингом, совершаемых триадой смишинговых рассылок, которые нацелены на отдельных лиц в Индии, выдавая себя за India Post и другие авторитетные бренды, с целью кражи личной идентифицируемой информации (PII) и платежных данных. В тексте рассказывается об изменяющейся тактике этих киберпреступников, предупреждениях властей и важности бдительности и осторожности для отдельных лиц для снижения рисков, связанных с такими атаками.
-----
В Индии зафиксирован всплеск мошеннической активности по рассылке SMS-сообщений под видом India Post.
Бюро информации для прессы (PIB) выпустило предупреждения, призывающие граждан проявлять бдительность в отношении подозрительных сообщений.
Киберпреступники нацеливаются на огромное население Индии и растущую базу пользователей смартфонов с помощью смишинговых кампаний.
Мошенническая триада, выявленная Resecurity, активно проводит кампании по краже персональных данных и платежной информации.
Выявлена новая кампания от Smishing Triad, нацеленная на личную информацию и платежные данные в Индии.
Криминальная триада, использующая такие тактики, как географическая фильтрация и выдача себя за India Post, чтобы обмануть жертв.
Известный домен "indiapostyt.vip" связан с Tencent, на котором размещено более 200 мошеннических доменов.
Мошенники нацеливаются на жертв, выдавая себя за государственные учреждения и запрашивая личную и платежную информацию.
PIB предупреждает пользователей не переходить по вредоносным ссылкам и разъясняет, что India Post не запрашивает обновления адресов в сообщениях.
Пользователям необходимо быть информированными и осторожными при работе с сообщениями, чтобы снизить риски, связанные с такими киберугрозами, как триада Smishing.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в растущей угрозе мошеннических действий со смишингом, совершаемых триадой смишинговых рассылок, которые нацелены на отдельных лиц в Индии, выдавая себя за India Post и другие авторитетные бренды, с целью кражи личной идентифицируемой информации (PII) и платежных данных. В тексте рассказывается об изменяющейся тактике этих киберпреступников, предупреждениях властей и важности бдительности и осторожности для отдельных лиц для снижения рисков, связанных с такими атаками.
-----
В Индии зафиксирован всплеск мошеннической активности по рассылке SMS-сообщений под видом India Post.
Бюро информации для прессы (PIB) выпустило предупреждения, призывающие граждан проявлять бдительность в отношении подозрительных сообщений.
Киберпреступники нацеливаются на огромное население Индии и растущую базу пользователей смартфонов с помощью смишинговых кампаний.
Мошенническая триада, выявленная Resecurity, активно проводит кампании по краже персональных данных и платежной информации.
Выявлена новая кампания от Smishing Triad, нацеленная на личную информацию и платежные данные в Индии.
Криминальная триада, использующая такие тактики, как географическая фильтрация и выдача себя за India Post, чтобы обмануть жертв.
Известный домен "indiapostyt.vip" связан с Tencent, на котором размещено более 200 мошеннических доменов.
Мошенники нацеливаются на жертв, выдавая себя за государственные учреждения и запрашивая личную и платежную информацию.
PIB предупреждает пользователей не переходить по вредоносным ссылкам и разъясняет, что India Post не запрашивает обновления адресов в сообщениях.
Пользователям необходимо быть информированными и осторожными при работе с сообщениями, чтобы снизить риски, связанные с такими киберугрозами, как триада Smishing.
#ParsedReport #CompletenessMedium
12-07-2024
Malicious NuGet campaign uses homoglyphs and IL weaving to fool devs
https://www.reversinglabs.com/blog/malicious-nuget-campaign-uses-homoglyphs-and-il-weaving-to-fool-devs
Report completeness: Medium
Actors/Campaigns:
Doppelgnger
Threats:
Seroxen_rat
Typosquatting_technique
Homoglyph_technique
Supply_chain_technique
Rms_tool
ChatGPT TTPs:
T1036.004, T1070.004
IOCs:
File: 5
Hash: 295
Soft:
NuGet, NuGet package manager, Redis, Whatsapp
Wallets:
harmony_wallet
Crypto:
binance, litecoin, solana
Functions:
Initialize
Languages:
dotnet, powershell
YARA: Found
Links:
12-07-2024
Malicious NuGet campaign uses homoglyphs and IL weaving to fool devs
https://www.reversinglabs.com/blog/malicious-nuget-campaign-uses-homoglyphs-and-il-weaving-to-fool-devs
Report completeness: Medium
Actors/Campaigns:
Doppelgnger
Threats:
Seroxen_rat
Typosquatting_technique
Homoglyph_technique
Supply_chain_technique
Rms_tool
ChatGPT TTPs:
do not use without manual checkT1036.004, T1070.004
IOCs:
File: 5
Hash: 295
Soft:
NuGet, NuGet package manager, Redis, Whatsapp
Wallets:
harmony_wallet
Crypto:
binance, litecoin, solana
Functions:
Initialize
Languages:
dotnet, powershell
YARA: Found
Links:
https://github.com/Fody/Fodyhttps://github.com/dotnet/runtime/blob/main/docs/design/specs/Ecma-335-Augments.md#module-initializerhttps://github.com/VirusTotal/yara/blob/4fc1ff822c11988ef616882a1a32e787359fdef4/libyara/modules/dotnet/dotnet.c#L1528ReversingLabs
Malicious NuGet campaign uses homoglyphs and IL weaving to fool devs
Malware authors upped their game, using homoglyphs to impersonate a protected NuGet prefix and IL weaving to inject malicious code, RL researchers found.
CTT Report Hub
#ParsedReport #CompletenessMedium 12-07-2024 Malicious NuGet campaign uses homoglyphs and IL weaving to fool devs https://www.reversinglabs.com/blog/malicious-nuget-campaign-uses-homoglyphs-and-il-weaving-to-fool-devs Report completeness: Medium Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Авторы вредоносных программ используют продвинутые тактики, такие как homoglyphs и IL weaving, для внедрения вредоносного кода в пакеты NuGet, совершенствуя свои атаки с августа 2023 года. Используя такие методы, как поиск опечаток и добавление инициализаторов модулей, злоумышленники создают обманчивые пакеты, позволяющие избежать обнаружения. Защитники должны адаптировать и использовать передовые эвристические методы поиска угроз для эффективной борьбы с этими развивающимися киберугрозами. Организациям рекомендуется повысить уровень кибербезопасности в условиях постоянно меняющейся ситуации с угрозами в цепочке поставок программного обеспечения. Gartner подчеркивает необходимость надежной защиты и передовых решений для защиты от сложных кибератак и критически важных активов.
-----
Авторы вредоносных программ используют гомоглифы для имитации защищенного префикса NuGet и IL-переплетения для внедрения вредоносного кода, совершенствуя тактику с августа 2023 года.
Злоумышленники действуют уже более шести месяцев, демонстрируя высокое мастерство в проведении специализированных атак для проектов .NET.
Вредоносные пакеты используют IL-кодирование для добавления функций в подлинные .Двоичные файлы NET, в которые вводятся инициализаторы модулей.
Злоумышленники используют поиск опечаток для создания обманчиво похожих пакетов, которые легко обнаружить, используя поддержку гомоглифов в NuGet.
Наличие инициализаторов модулей в псевдоклассах создает проблемы для традиционных методов обнаружения, таких как YARA.
Исследователи RL выявили около 60 пакетов и 290 версий, связанных с продолжающейся вредоносной кампанией, и удалили их с платформы NuGet.
Организациям настоятельно рекомендуется повышать уровень своей кибербезопасности, применять комплексный бинарный анализ, быть в курсе новых тенденций в области безопасности и использовать передовые решения для обеспечения комплексной безопасности цепочки поставок программного обеспечения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Авторы вредоносных программ используют продвинутые тактики, такие как homoglyphs и IL weaving, для внедрения вредоносного кода в пакеты NuGet, совершенствуя свои атаки с августа 2023 года. Используя такие методы, как поиск опечаток и добавление инициализаторов модулей, злоумышленники создают обманчивые пакеты, позволяющие избежать обнаружения. Защитники должны адаптировать и использовать передовые эвристические методы поиска угроз для эффективной борьбы с этими развивающимися киберугрозами. Организациям рекомендуется повысить уровень кибербезопасности в условиях постоянно меняющейся ситуации с угрозами в цепочке поставок программного обеспечения. Gartner подчеркивает необходимость надежной защиты и передовых решений для защиты от сложных кибератак и критически важных активов.
-----
Авторы вредоносных программ используют гомоглифы для имитации защищенного префикса NuGet и IL-переплетения для внедрения вредоносного кода, совершенствуя тактику с августа 2023 года.
Злоумышленники действуют уже более шести месяцев, демонстрируя высокое мастерство в проведении специализированных атак для проектов .NET.
Вредоносные пакеты используют IL-кодирование для добавления функций в подлинные .Двоичные файлы NET, в которые вводятся инициализаторы модулей.
Злоумышленники используют поиск опечаток для создания обманчиво похожих пакетов, которые легко обнаружить, используя поддержку гомоглифов в NuGet.
Наличие инициализаторов модулей в псевдоклассах создает проблемы для традиционных методов обнаружения, таких как YARA.
Исследователи RL выявили около 60 пакетов и 290 версий, связанных с продолжающейся вредоносной кампанией, и удалили их с платформы NuGet.
Организациям настоятельно рекомендуется повышать уровень своей кибербезопасности, применять комплексный бинарный анализ, быть в курсе новых тенденций в области безопасности и использовать передовые решения для обеспечения комплексной безопасности цепочки поставок программного обеспечения.
#ParsedReport #CompletenessHigh
12-07-2024
DarkGate: Dancing the Samba With Alluring Excel Files
https://unit42.paloaltonetworks.com/darkgate-malware-uses-excel-files
Report completeness: High
Threats:
Darkgate
Dll_sideloading_technique
Qakbot
Hvnc_tool
Rastafareye_actor
Junk_code_technique
Iobit_tool
Process_hacker_tool
Industry:
Government
Geo:
Asia, Japanese, America
ChatGPT TTPs:
T1204.002, T1566.001, T1059.001, T1027, T1518.001, T1057, T1497.001, T1071.001, T1027.001
IOCs:
File: 53
Path: 11
IP: 1
Hash: 19
Url: 10
Soft:
Microsoft Excel, AutoHotkey, Windows Defender, winlogon
Algorithms:
xor, zip, base64, exhibit, sha256
Win Services:
VGAuthService, MsMpEng
Languages:
powershell, autoit, javascript
Platforms:
x86
12-07-2024
DarkGate: Dancing the Samba With Alluring Excel Files
https://unit42.paloaltonetworks.com/darkgate-malware-uses-excel-files
Report completeness: High
Threats:
Darkgate
Dll_sideloading_technique
Qakbot
Hvnc_tool
Rastafareye_actor
Junk_code_technique
Iobit_tool
Process_hacker_tool
Industry:
Government
Geo:
Asia, Japanese, America
ChatGPT TTPs:
do not use without manual checkT1204.002, T1566.001, T1059.001, T1027, T1518.001, T1057, T1497.001, T1071.001, T1027.001
IOCs:
File: 53
Path: 11
IP: 1
Hash: 19
Url: 10
Soft:
Microsoft Excel, AutoHotkey, Windows Defender, winlogon
Algorithms:
xor, zip, base64, exhibit, sha256
Win Services:
VGAuthService, MsMpEng
Languages:
powershell, autoit, javascript
Platforms:
x86
Unit 42
DarkGate: Dancing the Samba With Alluring Excel Files
We perform an in-depth study of a DarkGate malware campaign exploiting Excel files from early this year, assessing its functionality and its C2 traffic.
CTT Report Hub
#ParsedReport #CompletenessHigh 12-07-2024 DarkGate: Dancing the Samba With Alluring Excel Files https://unit42.paloaltonetworks.com/darkgate-malware-uses-excel-files Report completeness: High Threats: Darkgate Dll_sideloading_technique Qakbot Hvnc_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - обсуждение вредоносной кампании DarkGate, ее эволюции в предложение вредоносного ПО как услуги, ее возможностей, методов уклонения, методов распространения и воздействия на жертв в разных регионах. Это также подчеркивает важность адаптации средств защиты от кибербезопасности для противодействия эволюционирующему и постоянному характеру угроз, таких как DarkGate.
-----
В статье рассказывается о вредоносной кампании DarkGate, которая проводилась в период с марта по апрель 2024 года, и о ее эволюции в предложение "вредоносное ПО как услуга" (MaaS). Изначально DarkGate использовал файлы Microsoft Excel для загрузки вредоносного программного обеспечения с общедоступных файловых ресурсов SMB. Всплеск активности DarkGate последовал за сбоем в работе инфраструктуры Qakbot в августе 2023 года. Palo Alto Networks обеспечивает защиту от DarkGate и других семейств вредоносных программ с помощью таких служб безопасности, как Advanced WildFire, фильтрация URL-адресов и предотвращение угроз.
Возможности DarkGate расширились, включив в себя скрытые вычисления в виртуальной сети, удаленное выполнение кода, криптодобычу и функции обратной оболочки. Вредоносная кампания активизировалась в сентябре 2023 года, нацелившись на жертв в Северной Америке, Европе и некоторых частях Азии с использованием таких тактик, как скрипты AutoIt или AutoHotkey. В январе 2024 года DarkGate выпустила свою шестую основную версию (версия 6.1.6) со способами распространения, включающими вложения в электронную почту, PDF-файлы и HTML-файлы.
Кампания DarkGate в марте 2024 года включала в себя использование файлов Microsoft Excel для поиска жертв в Северной Америке, Европе и некоторых частях Азии. Значительный всплеск активности наблюдался 9 апреля 2024 года, когда за один день было обнаружено около 2000 образцов. Вредоносная программа использовала методы обхода, такие как ссылка на Microsoft Azure, чтобы придать URL-адресам видимость легитимности, и использовала файлы, такие как EXCEL_OPEN_DOCUMENT.vbs и 11042024_1545_EXCEL_DOCUMENT_OPEN.js, для выполнения сценариев PowerShell.
DarkGate использует методы антианализа, такие как идентификация центрального процессора целевой системы, сканирование на наличие вредоносных программ и проверка запущенных процессов хоста. Обнаруживая виртуальные среды, отключая антивирусное программное обеспечение и избегая индикаторов анализа, DarkGate препятствует обнаружению и анализу. Вредоносная программа включает собранную информацию в свою программу дешифрования для адаптации конфигурации, используя исключающие ключи для обфускации данных.
Различные образцы DarkGate с одним и тем же идентификатором кампании могут иметь разные ключи исключения, что, возможно, затрудняет анализ. Трафик DarkGate command and control (C2) использует незашифрованные HTTP-запросы с текстом, закодированным в Base64, для обфускации. Инфраструктура C2 вредоносного ПО была связана с деятельностью программ-вымогателей, что еще раз подчеркивает его угрозу в экосистеме киберпреступности.
Поскольку DarkGate постоянно развивается и демонстрирует передовые методы заражения, средства защиты от кибербезопасности должны адаптироваться, чтобы противостоять его постоянному и сложному характеру. Эволюция вредоносного ПО в полноценное предложение MaaS и его многогранные векторы атак подчеркивают важность упреждающих мер кибербезопасности против развивающихся угроз, таких как DarkGate.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - обсуждение вредоносной кампании DarkGate, ее эволюции в предложение вредоносного ПО как услуги, ее возможностей, методов уклонения, методов распространения и воздействия на жертв в разных регионах. Это также подчеркивает важность адаптации средств защиты от кибербезопасности для противодействия эволюционирующему и постоянному характеру угроз, таких как DarkGate.
-----
В статье рассказывается о вредоносной кампании DarkGate, которая проводилась в период с марта по апрель 2024 года, и о ее эволюции в предложение "вредоносное ПО как услуга" (MaaS). Изначально DarkGate использовал файлы Microsoft Excel для загрузки вредоносного программного обеспечения с общедоступных файловых ресурсов SMB. Всплеск активности DarkGate последовал за сбоем в работе инфраструктуры Qakbot в августе 2023 года. Palo Alto Networks обеспечивает защиту от DarkGate и других семейств вредоносных программ с помощью таких служб безопасности, как Advanced WildFire, фильтрация URL-адресов и предотвращение угроз.
Возможности DarkGate расширились, включив в себя скрытые вычисления в виртуальной сети, удаленное выполнение кода, криптодобычу и функции обратной оболочки. Вредоносная кампания активизировалась в сентябре 2023 года, нацелившись на жертв в Северной Америке, Европе и некоторых частях Азии с использованием таких тактик, как скрипты AutoIt или AutoHotkey. В январе 2024 года DarkGate выпустила свою шестую основную версию (версия 6.1.6) со способами распространения, включающими вложения в электронную почту, PDF-файлы и HTML-файлы.
Кампания DarkGate в марте 2024 года включала в себя использование файлов Microsoft Excel для поиска жертв в Северной Америке, Европе и некоторых частях Азии. Значительный всплеск активности наблюдался 9 апреля 2024 года, когда за один день было обнаружено около 2000 образцов. Вредоносная программа использовала методы обхода, такие как ссылка на Microsoft Azure, чтобы придать URL-адресам видимость легитимности, и использовала файлы, такие как EXCEL_OPEN_DOCUMENT.vbs и 11042024_1545_EXCEL_DOCUMENT_OPEN.js, для выполнения сценариев PowerShell.
DarkGate использует методы антианализа, такие как идентификация центрального процессора целевой системы, сканирование на наличие вредоносных программ и проверка запущенных процессов хоста. Обнаруживая виртуальные среды, отключая антивирусное программное обеспечение и избегая индикаторов анализа, DarkGate препятствует обнаружению и анализу. Вредоносная программа включает собранную информацию в свою программу дешифрования для адаптации конфигурации, используя исключающие ключи для обфускации данных.
Различные образцы DarkGate с одним и тем же идентификатором кампании могут иметь разные ключи исключения, что, возможно, затрудняет анализ. Трафик DarkGate command and control (C2) использует незашифрованные HTTP-запросы с текстом, закодированным в Base64, для обфускации. Инфраструктура C2 вредоносного ПО была связана с деятельностью программ-вымогателей, что еще раз подчеркивает его угрозу в экосистеме киберпреступности.
Поскольку DarkGate постоянно развивается и демонстрирует передовые методы заражения, средства защиты от кибербезопасности должны адаптироваться, чтобы противостоять его постоянному и сложному характеру. Эволюция вредоносного ПО в полноценное предложение MaaS и его многогранные векторы атак подчеркивают важность упреждающих мер кибербезопасности против развивающихся угроз, таких как DarkGate.
#ParsedReport #CompletenessHigh
12-07-2024
Blogs. Cactus Ransomware: New strain in the market. Cactus Ransomware: New strain in the market. Cactus Ransomware: New strain in the market
https://www.trellix.com/blogs/research/cactus-ransomware-new-strain-in-the-market
Report completeness: High
Threats:
Cactus_ransomware
Supply_chain_technique
Psnmap_tool
Anydesk_tool
Splashtop_tool
Credential_harvesting_technique
Credential_dumping_technique
Cobalt_strike
Chisel_tool
Shadow_copies_delete_technique
Industry:
Entertainment
CVEs:
CVE-2023-38035 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti mobileiron sentry (le9.18.0)
TTPs:
IOCs:
File: 12
Hash: 6
IP: 1
Soft:
OpenSSL, SoftPerfect network scanner, msexchange
Algorithms:
aes, aes-256-cbc, rsa-4096
Win Services:
gxcimgr, sqlagent, sqlwriter, mydesktopservice
Languages:
powershell
12-07-2024
Blogs. Cactus Ransomware: New strain in the market. Cactus Ransomware: New strain in the market. Cactus Ransomware: New strain in the market
https://www.trellix.com/blogs/research/cactus-ransomware-new-strain-in-the-market
Report completeness: High
Threats:
Cactus_ransomware
Supply_chain_technique
Psnmap_tool
Anydesk_tool
Splashtop_tool
Credential_harvesting_technique
Credential_dumping_technique
Cobalt_strike
Chisel_tool
Shadow_copies_delete_technique
Industry:
Entertainment
CVEs:
CVE-2023-38035 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti mobileiron sentry (le9.18.0)
TTPs:
IOCs:
File: 12
Hash: 6
IP: 1
Soft:
OpenSSL, SoftPerfect network scanner, msexchange
Algorithms:
aes, aes-256-cbc, rsa-4096
Win Services:
gxcimgr, sqlagent, sqlwriter, mydesktopservice
Languages:
powershell
Trellix
Cactus Ransomware: New strain in the market
Cactus is another variant in the ransomware family. It exploits VPN vulnerability(CVE-2023-38035) to enter into an internal organization network and deploys varies payloads for persistence(Scheduled Task/Job), C2 connection via RMM tools(Anydesk.exe) and…
CTT Report Hub
#ParsedReport #CompletenessHigh 12-07-2024 Blogs. Cactus Ransomware: New strain in the market. Cactus Ransomware: New strain in the market. Cactus Ransomware: New strain in the market https://www.trellix.com/blogs/research/cactus-ransomware-new-strain-in…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - подробное описание программы-вымогателя Cactus, известного варианта, который использует тактику двойного вымогательства, использует уязвимости в системах VPN, использует инструменты сканирования сети для расширения охвата, использует методы сбора учетных данных, избегает обнаружения и использует библиотеки шифрования для шифрования файлов.
-----
Вредоносная программа-вымогатель, постоянная угроза, которая продолжает доминировать в заголовках газет, является лучшим выбором для кибермогателей в различных отраслях промышленности и масштабах организаций. Эта цифровая форма похищения людей блокирует файлы, требуя выкуп за их освобождение, используя уязвимости в программном обеспечении и человеческие ошибки, особенно с помощью фишинговых электронных писем. Известная программа-вымогатель Cactus, появившаяся в марте 2023 года, была нацелена на многочисленные коммерческие организации и высокопоставленных жертв, а к апрелю 2024 года, согласно статистике Darkfeed, пострадало более 100 организаций.
Программа-вымогатель Cactus использует двойную тактику вымогательства, не только шифруя файлы и требуя выкуп, но и угрожая утечкой личных данных жертв, если выкуп не будет выплачен. Его первоначальная точка входа часто связана с использованием уязвимостей в системах виртуальной частной сети (VPN), таких как уязвимость CVE-2023-38035 в VPN-сетях Fortinet. Злоумышленники используют эту уязвимость, чтобы проникнуть в сети и закрепиться там, используя такие методы, как создание SSH-бэкдора с запланированными задачами для сохранения.
Чтобы расширить свой охват в скомпрометированных сетях, злоумышленники используют инструменты сетевого сканирования, такие как SoftPerfect и PSNmap, для сбора IP-адресов и списков пользователей, что позволяет заразить несколько компьютеров. Они используют инструменты удаленного мониторинга и управления (RMM), такие как AnyDesk и Splashtop, для постоянного доступа и доставки полезной информации. Методы сбора учетных данных, такие как сброс учетных данных LSASS, позволяют извлекать учетные данные для входа в систему, в то время как такие инструменты, как Chisel, облегчают дальнейшую связь с серверами управления (C2), такими как Cobalt Strike, по защищенным каналам.
Чтобы сохранить свой доступ, злоумышленники предпринимают шаги, позволяющие избежать обнаружения, в том числе автоматически удаляют распространенное антивирусное программное обеспечение и создают новые учетные записи пользователей с правами администратора. Они также используют такие методы, как фильтрация в облачное хранилище с использованием таких инструментов, как RClone, и выполнение сценариев PowerShell, таких как TotalExec.ps1, для развертывания полезных программ-вымогателей по сети.
При распаковке программы-вымогателя Cactus обнаруживаются многочисленные артефакты заражения, при этом программа-вымогатель инициирует процессы шифрования на основе определенных аргументов, передаваемых во время выполнения. Программа-вымогатель создает самокопирующиеся и запланированные задачи для сохранения в системе, гарантируя, что она выполняется из определенных папок с определенными аргументами для сохранения контроля над зараженными компьютерами. Кроме того, программа-вымогатель Cactus использует библиотеки шифрования, такие как OPEN_SLL, для шифрования файлов, а также действия по удалению теневых копий и отключению служб резервного копирования, чтобы ограничить возможности восстановления для жертв.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - подробное описание программы-вымогателя Cactus, известного варианта, который использует тактику двойного вымогательства, использует уязвимости в системах VPN, использует инструменты сканирования сети для расширения охвата, использует методы сбора учетных данных, избегает обнаружения и использует библиотеки шифрования для шифрования файлов.
-----
Вредоносная программа-вымогатель, постоянная угроза, которая продолжает доминировать в заголовках газет, является лучшим выбором для кибермогателей в различных отраслях промышленности и масштабах организаций. Эта цифровая форма похищения людей блокирует файлы, требуя выкуп за их освобождение, используя уязвимости в программном обеспечении и человеческие ошибки, особенно с помощью фишинговых электронных писем. Известная программа-вымогатель Cactus, появившаяся в марте 2023 года, была нацелена на многочисленные коммерческие организации и высокопоставленных жертв, а к апрелю 2024 года, согласно статистике Darkfeed, пострадало более 100 организаций.
Программа-вымогатель Cactus использует двойную тактику вымогательства, не только шифруя файлы и требуя выкуп, но и угрожая утечкой личных данных жертв, если выкуп не будет выплачен. Его первоначальная точка входа часто связана с использованием уязвимостей в системах виртуальной частной сети (VPN), таких как уязвимость CVE-2023-38035 в VPN-сетях Fortinet. Злоумышленники используют эту уязвимость, чтобы проникнуть в сети и закрепиться там, используя такие методы, как создание SSH-бэкдора с запланированными задачами для сохранения.
Чтобы расширить свой охват в скомпрометированных сетях, злоумышленники используют инструменты сетевого сканирования, такие как SoftPerfect и PSNmap, для сбора IP-адресов и списков пользователей, что позволяет заразить несколько компьютеров. Они используют инструменты удаленного мониторинга и управления (RMM), такие как AnyDesk и Splashtop, для постоянного доступа и доставки полезной информации. Методы сбора учетных данных, такие как сброс учетных данных LSASS, позволяют извлекать учетные данные для входа в систему, в то время как такие инструменты, как Chisel, облегчают дальнейшую связь с серверами управления (C2), такими как Cobalt Strike, по защищенным каналам.
Чтобы сохранить свой доступ, злоумышленники предпринимают шаги, позволяющие избежать обнаружения, в том числе автоматически удаляют распространенное антивирусное программное обеспечение и создают новые учетные записи пользователей с правами администратора. Они также используют такие методы, как фильтрация в облачное хранилище с использованием таких инструментов, как RClone, и выполнение сценариев PowerShell, таких как TotalExec.ps1, для развертывания полезных программ-вымогателей по сети.
При распаковке программы-вымогателя Cactus обнаруживаются многочисленные артефакты заражения, при этом программа-вымогатель инициирует процессы шифрования на основе определенных аргументов, передаваемых во время выполнения. Программа-вымогатель создает самокопирующиеся и запланированные задачи для сохранения в системе, гарантируя, что она выполняется из определенных папок с определенными аргументами для сохранения контроля над зараженными компьютерами. Кроме того, программа-вымогатель Cactus использует библиотеки шифрования, такие как OPEN_SLL, для шифрования файлов, а также действия по удалению теневых копий и отключению служб резервного копирования, чтобы ограничить возможности восстановления для жертв.
#ParsedReport #CompletenessHigh
12-07-2024
Blogs. The Mechanics of ViperSoftX: Exploiting AutoIt and CLR for Stealthy PowerShell Execution
https://www.trellix.com/blogs/research/the-mechanics-of-vipersofts-exploiting-autoit-and-clr-for-stealthy-powershell-execution
Report completeness: High
Threats:
Vipersoftx
Industry:
Entertainment
TTPs:
Tactics: 7
Technics: 23
IOCs:
File: 7
Path: 1
Domain: 1
Hash: 25
Url: 2
Soft:
Windows Task Scheduler, AutoHotKey
Wallets:
metamask, ronin_wallet
Algorithms:
aes, base64
Functions:
_PatchAMSI, _RUN_PSHOST_SCRIPT
Win API:
AmsiScanBuffer, VirtualProtect
Languages:
autoit, powershell
12-07-2024
Blogs. The Mechanics of ViperSoftX: Exploiting AutoIt and CLR for Stealthy PowerShell Execution
https://www.trellix.com/blogs/research/the-mechanics-of-vipersofts-exploiting-autoit-and-clr-for-stealthy-powershell-execution
Report completeness: High
Threats:
Vipersoftx
Industry:
Entertainment
TTPs:
Tactics: 7
Technics: 23
IOCs:
File: 7
Path: 1
Domain: 1
Hash: 25
Url: 2
Soft:
Windows Task Scheduler, AutoHotKey
Wallets:
metamask, ronin_wallet
Algorithms:
aes, base64
Functions:
_PatchAMSI, _RUN_PSHOST_SCRIPT
Win API:
AmsiScanBuffer, VirtualProtect
Languages:
autoit, powershell
Trellix
The Mechanics of ViperSoftX: Exploiting AutoIt and CLR for Stealthy PowerShell Execution
ViperSoftX uses CLR to embed and execute PowerShell commands within AutoIt, seamlessly integrating malicious functions while evading detection with an AMSI bypass.
CTT Report Hub
#ParsedReport #CompletenessHigh 12-07-2024 Blogs. The Mechanics of ViperSoftX: Exploiting AutoIt and CLR for Stealthy PowerShell Execution https://www.trellix.com/blogs/research/the-mechanics-of-vipersofts-exploiting-autoit-and-clr-for-stealthy-powershell…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что ViperSoftX - это очень сложная вредоносная программа, которая со временем эволюционировала, приобретая все большую сложность и расширенные возможности. Она распространяется с помощью различных средств обмана, таких как взломанное программное обеспечение, торрент-сайты и маскируется под электронные книги. Вредоносная программа использует такие методы, как Common Language Runtime (CLR), для скрытого выполнения команд PowerShell, маскирует свои действия с помощью сценариев автоматической загрузки и использует шифрование, чтобы избежать обнаружения. Понимание тактики ViperSoftX необходимо организациям для повышения их защищенности от таких сложных киберугроз.
-----
ViperSoftX - это очень сложная вредоносная программа, которая эволюционировала с момента своего первоначального обнаружения в 2020 году, с каждой итерацией демонстрируя все большую сложность и расширенные возможности. Первоначально она распространялась через взломанное программное обеспечение и торрент-сайты, а теперь распространяется в виде электронных книг через торренты. Одной из его примечательных особенностей является использование Common Language Runtime (CLR) для загрузки и выполнения команд PowerShell, что создает среду PowerShell в AutoIt для выполнения операций. Используя существующие агрессивные сценарии безопасности и модифицируя их, разработчики ViperSoftX ускоряют разработку, одновременно совершенствуя тактику уклонения, что делает его грозной киберугрозой.
В случае атаки пользователи неосознанно загружают вредоносный RAR-файл, замаскированный под электронную книгу, по ссылке на торрент, содержащей скрытые угрозы, такие как скрытая папка, вводящий в заблуждение файл быстрого доступа, выдаваемый за безвредный PDF, сценарий PowerShell, AutoIt.exe и сценарий автоматической загрузки, маскирующийся под JPG-файлы. Запуск файла быстрого доступа запускает последовательность действий, которая автоматизирует выполнение команд, скрытых в файле "zz1Cover4.jpg", позволяя вредоносному ПО выполнять вредоносные действия без вмешательства пользователя. Код PowerShell в файле LNK настраивает планировщик задач Windows, копирует файлы в системные каталоги и манипулирует системными настройками, чтобы избежать обнаружения.
ViperSoftX использует скрипты AutoIt для маскировки своих действий и взаимодействует с .NET CLR framework для скрытого выполнения команд PowerShell. Вредоносная программа нейтрализует интерфейс сканирования вредоносных программ (AMSI), чтобы избежать обнаружения, путем исправления своего поведения. Используя шифрование base64 и AES, ViperSoftX скрывает свои вредоносные скрипты PowerShell, собирая системную информацию, сканируя криптовалютные кошельки, обмениваясь данными со своим сервером управления и обходя продукты безопасности с помощью обманной сетевой активности.
Адаптируя существующие вредоносные сценарии безопасности и используя среду CLR для беспрепятственной интеграции операций PowerShell, ViperSoftX демонстрирует передовые методы обхода и многогранные возможности, включая механизмы эксфильтрации данных и самоудаления. Понимание тактики, используемой ViperSoftX, имеет решающее значение для организаций при разработке эффективных средств защиты от таких сложных угроз, включая стратегии обнаружения, предотвращения и реагирования для защиты цифровых активов и целостности сети.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что ViperSoftX - это очень сложная вредоносная программа, которая со временем эволюционировала, приобретая все большую сложность и расширенные возможности. Она распространяется с помощью различных средств обмана, таких как взломанное программное обеспечение, торрент-сайты и маскируется под электронные книги. Вредоносная программа использует такие методы, как Common Language Runtime (CLR), для скрытого выполнения команд PowerShell, маскирует свои действия с помощью сценариев автоматической загрузки и использует шифрование, чтобы избежать обнаружения. Понимание тактики ViperSoftX необходимо организациям для повышения их защищенности от таких сложных киберугроз.
-----
ViperSoftX - это очень сложная вредоносная программа, которая эволюционировала с момента своего первоначального обнаружения в 2020 году, с каждой итерацией демонстрируя все большую сложность и расширенные возможности. Первоначально она распространялась через взломанное программное обеспечение и торрент-сайты, а теперь распространяется в виде электронных книг через торренты. Одной из его примечательных особенностей является использование Common Language Runtime (CLR) для загрузки и выполнения команд PowerShell, что создает среду PowerShell в AutoIt для выполнения операций. Используя существующие агрессивные сценарии безопасности и модифицируя их, разработчики ViperSoftX ускоряют разработку, одновременно совершенствуя тактику уклонения, что делает его грозной киберугрозой.
В случае атаки пользователи неосознанно загружают вредоносный RAR-файл, замаскированный под электронную книгу, по ссылке на торрент, содержащей скрытые угрозы, такие как скрытая папка, вводящий в заблуждение файл быстрого доступа, выдаваемый за безвредный PDF, сценарий PowerShell, AutoIt.exe и сценарий автоматической загрузки, маскирующийся под JPG-файлы. Запуск файла быстрого доступа запускает последовательность действий, которая автоматизирует выполнение команд, скрытых в файле "zz1Cover4.jpg", позволяя вредоносному ПО выполнять вредоносные действия без вмешательства пользователя. Код PowerShell в файле LNK настраивает планировщик задач Windows, копирует файлы в системные каталоги и манипулирует системными настройками, чтобы избежать обнаружения.
ViperSoftX использует скрипты AutoIt для маскировки своих действий и взаимодействует с .NET CLR framework для скрытого выполнения команд PowerShell. Вредоносная программа нейтрализует интерфейс сканирования вредоносных программ (AMSI), чтобы избежать обнаружения, путем исправления своего поведения. Используя шифрование base64 и AES, ViperSoftX скрывает свои вредоносные скрипты PowerShell, собирая системную информацию, сканируя криптовалютные кошельки, обмениваясь данными со своим сервером управления и обходя продукты безопасности с помощью обманной сетевой активности.
Адаптируя существующие вредоносные сценарии безопасности и используя среду CLR для беспрепятственной интеграции операций PowerShell, ViperSoftX демонстрирует передовые методы обхода и многогранные возможности, включая механизмы эксфильтрации данных и самоудаления. Понимание тактики, используемой ViperSoftX, имеет решающее значение для организаций при разработке эффективных средств защиты от таких сложных угроз, включая стратегии обнаружения, предотвращения и реагирования для защиты цифровых активов и целостности сети.