#ParsedReport #CompletenessMedium
16-07-2024

NullBulge \| Threat Actor Masquerades as Hacktivist Group Rebelling Against AI

https://www.sentinelone.com/labs/nullbulge-threat-actor-masquerades-as-hacktivist-group-rebelling-against-ai

Report completeness: Medium

Actors/Campaigns:
Nullbulge (motivation: financially_motivated, hacktivism, cyber_criminal)

Threats:
Supply_chain_technique
Asyncrat
Lockbit
Xworm_rat

Victims:
Disney

Industry:
Petroleum, Financial, Entertainment

ChatGPT TTPs:
do not use without manual check
T1059.001, T1078, T1071, T1608.003, T1027, T1486, T1070.004

IOCs:
File: 4
Domain: 7
Hash: 28
IP: 1
Coin: 1

Soft:
Slack, Hugging Face, discord, BeamNG, Chrome, HuggingFace, PhotoShop

Crypto:
monero

Algorithms:
zip, sha1, base64

Languages:
powershell, lua, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что недавно выявленная группа киберугроз под названием NullBulge нацелена на объекты, ориентированные на искусственный интеллект и игры, с помощью различных тактик, таких как внедрение вредоносного кода в легальные платформы, такие как GitHub и Hugging Face. Группа использует такие инструменты, как Async RAT и Xworm, перед внедрением программ-вымогателей LockBit, демонстрируя изменения в среде программ-вымогателей, когда злоумышленники сочетают хактивистские мотивы с финансовой выгодой.
-----

Краткое содержание:.

SentinelLabs выявила новую группу киберугроз под названием NullBulge, которая нацелена на компании, ориентированные на искусственный интеллект и игры. NullBulge использует различные тактики, включая использование кода в публичных репозиториях на таких платформах, как GitHub и Hugging Face, для распространения вредоносных библиотек и пакетов модов, используемых в программном обеспечении для игр и моделирования. Группа использует такие инструменты, как Async RAT и Xworm, перед развертыванием полезной нагрузки LockBit, созданной с использованием просочившегося конструктора LockBit Black. Это демонстрирует изменение в среде программ-вымогателей, где злоумышленники используют хакерские методы для получения финансовой выгоды.

В период с апреля по июнь 2024 года NullBulge начал проводить кампании, ориентированные на приложения, ориентированные на искусственный интеллект, и игровые сообщества. Несмотря на то, что NullBulge создает имидж активиста, заявляя о защите художников и продвижении идей, направленных против искусственного интеллекта, а не на получение прибыли, другие мероприятия предполагают финансовую мотивацию. Группа использует такие методы, как "расплата с помощью приманки и вредоносных модов", нацеленных на расширения и модификации широко используемых приложений и игр, связанных с искусственным интеллектом, для доставки различных полезных вредоносных программ.

Атаки NullBulge подрывают цепочку поставок программного обеспечения, внедряя вредоносный код в законные методы распространения, используя такие платформы, как GitHub, Reddit и Hugging Face. Группа использует индивидуальные версии программ-вымогателей LockBit для максимального повышения эффективности атак, а также предоставляет подробную информацию о технических аспектах их полезной нагрузки на LockBit. Они используют несколько активных сайтов для утечки информации и претендуют на контроль над определенными хранилищами, что вызывает вопросы об их личности и потенциальных связях с персоной AppleBotzz.

NullBulge также нацелился на пользователей BeamNG, распространяя вредоносные файлы модов, содержащие запутанный PowerShell, который загружает и выполняет такие угрозы, как Async RAT и Xworm, что приводит к развертыванию программы-вымогателя LockBit. Группа распространяет вредоносное ПО через закодированные ссылки, профили в социальных сетях и различные платформы в сообществе BeamNG. NullBulge создает полезные приложения для LockBit, используя конструктор LockBit 3.0 и настраиваемый конфигурационный файл, демонстрируя нацеленность на доставку программ-вымогателей.

#ParsedReport #CompletenessHigh
16-07-2024

JPCERT/CC Eyes

https://blogs.jpcert.or.jp/en/2024/07/mirrorface-attack-against-japanese-organisations.html

Report completeness: High

Actors/Campaigns:
Mirrorface

Threats:
Noopdoor
Noopldr
Lodeinfo
Spear-phishing_technique
Dll_sideloading_technique
Trojan:win32/lsassdump
Vssadmin_tool
Bitsadmin_tool
Netstat_tool
Wevtutil_tool
Tinyshell
Process_injection_technique
Timestomp_technique
Credential_dumping_technique

Victims:
Media, Political organisations, Think tanks, Universities, Manufacturers, Research institutions

Industry:
Education

Geo:
Usa, Japanese

TTPs:
Tactics: 12
Technics: 21

IOCs:
File: 11
Registry: 4
Command: 2
Path: 3
IP: 12
Hash: 10

Soft:
Microsoft Defender, Windows Defender, Windows Service

Algorithms:
cbc, aes

Functions:
Windows, ReadData, ReadEA, ReadAttributes

Languages:
javascript, python

Platforms:
intel, x86

Links:
https://github.com/JPCERTCC/aa-tools/blob/master/Deob\_NOOPLDR.py
https://github.com/ginuerzh/gost

#ParsedReport #ExtractedSchema

Classified images:
schema: 4, windows: 2, dump: 1, chart: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В тексте освещается деятельность группы MirrorFace, в частности, их использование вариантов вредоносных программ LODEINFO и NOOPDOOR, их смещение акцента в сторону производителей и исследовательских институтов, а также их эволюционирующая тактика, включая использование уязвимостей во внешних ресурсах. В нем подробно описываются технические аспекты вредоносной программы NOOPDOOR, ее функциональные возможности, такие как манипулирование файлами и извлечение учетных данных, а также методы передвижения злоумышленников по сети и разведывательные действия. Подчеркивается важность обмена информацией, поддержания бдительности и сотрудничества в борьбе с киберугрозами, а также роль JPCERT/CC в мониторинге таких вредоносных действий и предоставлении рекомендаций в отношении них.
-----

Группа MirrorFace переключила свой целевой выбор на производителей и исследовательские учреждения из средств массовой информации, политических организаций, аналитических центров и университетов.

MirrorFace использует уязвимости во внешних ресурсах в дополнение к использованию фишинговых электронных писем для проникновения в сеть.

Вредоносная программа NOOPDOOR работает как шеллкод, внедряющийся в приложения через XML- или DLL-файлы, с двумя потоками выполнения и запутыванием с использованием сглаживания потока управления.

NOOPDOOR взаимодействует через порт 443, получает команды через TCP-порт 47000 и выполняет такие задачи, как манипулирование файлами и извлечение учетных данных.

Злоумышленники используют привилегии сетевого администратора и осуществляют боковые перемещения через SMB.

Такие инструменты, как GO Simple Tunnel (GOST), используются для фильтрации информации с помощью MirrorFace.

Важность обмена информацией между поставщиками систем безопасности для раннего обнаружения киберугроз и реагирования на них.

Рекомендации по поддержанию бдительности, активным мерам кибербезопасности и сотрудничеству в рамках сообщества кибербезопасности в борьбе с развивающимися киберугрозами.

#ParsedReport #CompletenessLow
16-07-2024

OracleIV - A Dockerised DDoS Botnet

https://www.cadosecurity.com/blog/oracleiv-a-dockerised-ddos-botnet

Report completeness: Low

Threats:
Oracleiv
Xmrig_miner
Udpflood_technique
Synflood_technique
Supply_chain_technique
Solarmarker

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1105, T1098, T1043, T1071, T1496

IOCs:
File: 2
IP: 1
Hash: 3

Soft:
Dockerhub, Midjourney, Docker, Mysql, FiveM, Redis

Languages:
cython, python

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что исследователи Cado Security Labs обнаружили кампанию, направленную на неправильно настроенные экземпляры API Docker Engine, в ходе которой злоумышленники развертывают вредоносный контейнер Docker, содержащий вредоносное ПО для DDoS-атак под названием "oracleiv_latest". Вредоносная программа используется в качестве бот-агента для DDoS-атак, и кампания подчеркивает тенденцию использования злоумышленниками уязвимостей API Docker Engine для различных вредоносных действий. В тексте также подчеркивается важность регулярной оценки изображений, извлеченных из Dockerhub, внедрения средств сетевой защиты и мониторинга потенциального доступа к вредоносному контенту.
-----

Исследователи Cado Security Labs обнаружили новую кампанию, нацеленную на общедоступные экземпляры API Docker Engine. Злоумышленники используют эту неправильную конфигурацию для развертывания вредоносного контейнера Docker, содержащего вредоносное ПО на Python, скомпилированное в виде исполняемого файла ELF с именем "oracleiv_latest". Вредоносная программа функционирует как бот-агент распределенного типа "Отказ в обслуживании" (DDoS), способный выполнять различные типы DoS-атак.

Это не первый случай, когда злоумышленники используют API Docker Engine для первоначального доступа - тактика, которая становится все более популярной в последние годы и обычно используется для распространения вредоносных программ для взлома криптовалют. Непреднамеренное использование API Docker Engine происходит достаточно часто, поэтому было замечено, что несколько не связанных между собой кампаний ищут его.

Простота доступа к действительной конечной точке и запуска с нее вредоносного контейнера, особенно с использованием Dockerhub в качестве хранилища, способствовала распространению таких атак. В образе "oracleiv_latest" используются скрипты для извлечения вредоносной полезной нагрузки с именем "oracle.sh" и дополнительных компонентов, таких как XMRig, майнер криптовалюты и файлы конфигурации.

Хотя входящий в комплект XMRig не активирован, его наличие указывает на потенциальную возможность майнинга. Основное внимание уделяется анализу встроенного исполняемого файла "oracle.sh", который представляет собой 64-разрядный ELF с сохраненной отладочной информацией и доказательствами того, что код на Python скомпилирован с помощью Cython.

DDoS-бот подключается к серверу управления по адресу 46.166.185.231 через TCP-порт 40320, используя жестко заданный пароль для аутентификации. После подключения сервер C2 непрерывно отправляет сообщения "обычный ping, приветствую Oracle IV". Было замечено, что ботнет проводит различные DDoS-атаки, включая UDP-флуды и SSL-флуды, с возможностями для различных типов атак, таких как UDP-флуд, SSL-атаки, SYN-флуд, атаки в стиле slowloris и флуды, зависящие от протокола.

Кампания OracleIV подчеркивает тенденцию к тому, что злоумышленники используют неправильно настроенные экземпляры API Docker Engine для запуска различных кампаний. Переносимость контейнеризации позволяет выполнять вредоносные программы последовательно на всех хостах Docker независимо от конфигурации хоста. Хотя OracleIV не относится к категории атак на цепочку поставок, наличие вредоносных изображений контейнеров в Dockerhub вызывает опасения у пользователей. Исследователи Cado уведомили Docker о злоумышленнике, связанном с OracleIV, в надежде, что изображение будет удалено.

Пользователям Dockerhub рекомендуется регулярно проверять изображения, которые они извлекают из реестра, чтобы предотвратить потенциальное попадание вредоносного контента. Пользователям таких сервисов, как Jupyter и Redis, которые подвержены атакам из-за неправильной настройки, рекомендуется периодически проверять их уязвимость и внедрять соответствующие средства защиты сети.

#ParsedReport #CompletenessLow
15-07-2024

Hacktivist Groups "People s Cyber Army" And "HackNeT" Launch Trial DDoS Attacks on French Websites; prior to the Onslaught during Paris Olympics

https://cyble.com/blog/hacktivist-groups-peoples-cyber-army-and-hacknet-launch-trial-ddos-attacks-on-french-websites-prior-to-the-onslaught-during-paris-olympics

Report completeness: Low

Actors/Campaigns:
Peoples_cyber_army (motivation: politically_motivated, hacktivism)
Hacknet (motivation: politically_motivated, hacktivism)
Dev-0960
Sandworm
Cyberarmyofrussia
Usersec_collective (motivation: politically_motivated)
Noname057 (motivation: politically_motivated)
Cyberdragon (motivation: politically_motivated)
Xaknet

Victims:
French websites, Festival la rochelle cinma, Grand palais

Industry:
Military

Geo:
The french, On multiple french, Ukraine, Multiple french, France, Of the french, On french, Attacks on french, Russia, Several french, On several french, Attack on french, Russian

ChatGPT TTPs:
do not use without manual check
T1498, T1090.002

IOCs:
Hash: 3

Soft:
Telegram

Algorithms:
sha1, md5, sha256

Languages:
python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группы хактивистов, связанные с Россией, проводят пробные распределенные атаки типа "Отказ в обслуживании" (DDoS) на французские веб-сайты в преддверии Олимпийских игр в Париже, что потенциально указывает на более серьезную угрозу в будущем. Деятельность таких групп, как People's Cyber Army и HackNeT, известных своей нацеленностью на стратегические интересы, подчеркивает необходимость усиления расследований и мер безопасности для снижения рисков во время глобальных событий.
-----

Аналитики Cyber threat intelligence из Cyble Research & Intelligence Labs (CRIL) раскрыли информацию о действиях групп хактивистов, нацеленных на французские веб-сайты в рамках подготовки к потенциально более масштабным атакам во время Олимпийских игр в Париже. 23 июня 2024 года российская группа хактивистов, известная как "Народная кибер-армия" (она же Cyber), совместно со своими союзниками HackNeT объявила о распределенных атаках типа "Отказ в обслуживании" (DDoS) на несколько французских веб-сайтов, назвав это "учебной DDoS-атакой". Это первая задокументированная атака на французские веб-сайты, совершенная российскими хакерами, аффилированными с государством, в преддверии Олимпийских игр в Париже. Народная кибер-армия связана с APT441, также известным как Песчаный червь, ЗАМОРОЖЕННЫЕ РОДИТЕЛИ и Морская буря, что указывает на потенциально серьезную угрозу.

В своих Telegram-каналах People's Cyber Army и HackNeT публиковали объявления и информацию о своей деятельности, а также скриншоты, демонстрирующие успешные DDoS-атаки на французские веб-сайты, и данные мониторинга простоев, подтверждающие их заявления. Скоординированные усилия начались с того, что Народная кибер-армия атаковала веб-сайт, связанный с фестивалем La Rochelle Cinema, а затем к кампании присоединилась HackNeT, начав атаки на веб-сайт Grand Palais в Париже. Эти действия демонстрируют совместные усилия групп хактивистов по нарушению присутствия французов в Интернете.

Народная кибер-армия, хорошо известная хактивистская группировка из России, имеет опыт участия в громких кибератаках, включая атаку на украинское ядерное агентство. У группы много подписчиков в Telegram, в настоящее время она работает под названием CyberArmyofRussia_Reborn и насчитывает 51 000 подписчиков. Они часто сотрудничают с другими пророссийскими хакерами, такими как NoName057(16), CyberDragon и UserSec Collective. Используемый в этих атаках инструмент DDoS, предположительно написанный на Python, использует передовые методы для выполнения атак уровня 4 и уровня 7, а также многопоточность, многопроцессорность и поддержку прокси-сервера для повышения эффективности атаки и сокрытия личности злоумышленника.

С другой стороны, HackNeT - это еще одна пророссийская группировка, возникшая в феврале 2023 года, в отличие от группы Xaknet. Хакнет ассоциируется с политически мотивированными атаками, часто сотрудничая с другими хакерскими группами, которые нацелены на такие организации, как Украина, члены НАТО и различные другие стратегические интересы. Деятельность группы предполагает скоординированные усилия по нарушению работы онлайн-сервисов и инфраструктуры для достижения своих целей.

Сроки проведения этих пробных DDoS-атак на французские веб-сайты в преддверии Олимпийских игр в Париже вызывают опасения по поводу возможности более масштабных кибератак во время проведения мероприятия. Учитывая связи с APT441 и продемонстрированные возможности задействованных групп хакеров, существует повышенная потребность во всестороннем расследовании и активных мерах безопасности для снижения рисков, создаваемых этими участниками угроз. По мере развития ситуации с угрозами стратегии мониторинга и реагирования должны адаптироваться для защиты критически важных систем и предотвращения разрушительных киберинцидентов во время глобальных мероприятий, таких как Олимпийские игры.

#ParsedReport #CompletenessLow
16-07-2024

Beware of BadPack: One Weird Trick Being Used Against Android Devices

https://unit42.paloaltonetworks.com/apk-badpack-malware-tampered-headers

Report completeness: Low

Actors/Campaigns:
Bianlian

Threats:
Badpack
Cerberus
Anatsa

Industry:
Financial

Geo:
Apac, Japan, Emea, America

ChatGPT TTPs:
do not use without manual check
T1027.009, T1036.005

IOCs:
File: 2
Hash: 4

Soft:
Android, Apktool

Algorithms:
zip, sha256, exhibit

Win API:
decompress

Languages:
java

Links:
https://github.com/skylot/jadx#jadx
https://github.com/erev0s/apkInspector/blob/main/apkInspector/extract.py#L51-L55
https://github.com/fornwall/apksigner
https://github.com/skylot/jadx
https://github.com/erev0s/apkInspector

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что вредоносная программа BadPack для Android создает проблемы для анализа вредоносных программ из-за ее измененных заголовков и требует передовых методов и сотрудничества между заинтересованными сторонами отрасли для эффективной борьбы с ее угрозами.
-----

В статье рассматривается вредоносная программа BadPack для Android, основное внимание уделяется тому, как ее измененные заголовки могут препятствовать анализу вредоносных программ и эффективности инструментов для анализа APK-файлов BadPack. BadPack - это APK-файл, намеренно упакованный вредоносным образом, обычно включающий изменения в заголовках сжатых APK-файлов. Этот метод создает проблемы для инструментов обратного проектирования, особенно для банковских троянов на базе Android, таких как BianLian, Cerberus и TeaBot, которые используют BadPack.

Клиентам Palo Alto Networks предлагается защита от образцов APK-файлов BadPack с помощью брандмауэра нового поколения с облачными службами безопасности, включая такие функции, как Advanced WildFire, защита DNS и фильтрация URL-адресов. Результаты, касающиеся этих образцов вредоносного ПО, были переданы в Google, и Google Play Protect автоматически защитил пользователей Android от известных версий вредоносного ПО.

В статье подчеркивается важность понимания роли AndroidManifest.xml в APK-файлах, особенно для анализа вредоносных программ. В ней подробно описывается, как BadPack манипулирует заголовками ZIP-структуры, вызывая проблемы при извлечении и затрудняя работу инструментов статического анализа, таких как Apktool и Jadx. Авторы вредоносных программ изменяют поля заголовка, чтобы помешать аналитикам извлекать контент и включить APK-файл для работы на устройствах Android.

Для борьбы с вредоносным ПО BadPack рекомендуется отменить изменения заголовка, чтобы восстановить исходные значения структуры ZIP-файла, прежде чем использовать инструменты анализа. В статье рассматриваются конкретные методы и приемчики, используемые BadPack, и демонстрируется, как они функционируют в качестве механизма защиты от анализа. В нем освещаются проблемы, с которыми сталкиваются популярные инструменты реверс-инжиниринга, такие как Apktool и Jadx, при анализе образцов BadPack.

Несмотря на растущую сложность вредоносных программ APK, для выявления и устранения таких угроз необходимо постоянное совершенствование инновационных методов и инструментов. Растущее число устройств на базе Android представляет серьезную проблему в борьбе с вредоносными атаками, что свидетельствует о необходимости усиления мер безопасности. Компания Palo Alto Networks поделилась своими выводами с Альянсом по борьбе с киберугрозами (CTA), чтобы способствовать быстрому внедрению средств защиты и пресечению вредоносной кибердеятельности.

Таким образом, вредоносное ПО BadPack для Android представляет собой заметную угрозу в сфере кибербезопасности, демонстрируя важность передовых методов анализа и сотрудничества между заинтересованными сторонами отрасли для эффективной борьбы с меняющимися тенденциями в области вредоносного ПО.

#ParsedReport #CompletenessHigh
15-07-2024

Investigating the New Jellyfish Loader

https://cyble.com/blog/investigating-the-new-jellyfish-loader

Report completeness: High

Threats:
Jellyfish
Costura_tool
Olympic_destroyer
Hades
Empire_loader

Geo:
Russian, Poland, Korea

TTPs:
Tactics: 5
Technics: 6

IOCs:
Url: 2
Domain: 1
File: 2
Hash: 3

Algorithms:
rc4, md5, sha256, base64, sha1, zip

Functions:
SendPostRequest

Languages:
powershell, javascript

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что Cyble Research and Intelligence Labs (CRIL) разработала новый сложный загрузчик шеллкодов под названием Jellyfish Loader, который использует различные методы для безопасной передачи команд и контроля, сбора системной информации и выполнения шеллкодов. В загрузчике отсутствует обфускация, и он предназначен для безопасной связи с помощью SSL-проверки, что может быть связано с методами группы Hades, использованными при атаке на разрушитель Olympic. Окончательное отнесение загрузчика Jellyfish к этой группе является сложной задачей, требующей дальнейших исследований и совместной работы.
-----

Cyble Research and Intelligence Labs (CRIL) определила и проанализировала новый сложный загрузчик шелл-кода под названием Jellyfish Loader. Этот загрузчик, основанный на .NET, использует различные методы для выполнения кода и установления защищенной связи между командами и контролем (C&C). Он использует такие инструменты, как Fody и Costura, для встраивания зависимостей в исполняемый файл, отправки системной информации при заражении и проверки SSL-сертификатов перед передачей данных по C&C. Загрузчик способен загружать и выполнять шелл-код для вредоносных действий на компьютере жертвы.

Исследователи CRIL обнаружили Jellyfish Loader в ZIP-файле, первоначально загруженном из Польши, содержащем файл быстрого доступа к Windows (.lnk). При запуске файла .lnk открывается чистый PDF-файл, после чего начинается загрузка и выполнение Jellyfish Loader. Примечательно, что в этом новом загрузчике отсутствует запутывание и он предназначен для безопасной связи с помощью проверки SSL. Он создает полезные файлы в формате JSON, асинхронно отправляет запросы HTTP POST и обрабатывает шеллкод.

Загрузчик пытается подключиться к определенному URL-адресу для загрузки шеллкода, хотя во время тестирования доставка шеллкода не удалась. Используемый домен связан с вредоносными документами, похожими на те, которые использовались в ходе операции "Олимпийский разрушитель" в 2018 году российским агентом Hades. Эта атака была нацелена на зимние Олимпийские игры 2018 года в Южной Корее, в результате чего мероприятие было сорвано с помощью вредоносного сетевого червя.

В другом случае использовался ZIP-файл, содержащий lnk-файл с именем Lisa.pdf.lnk, настроенный для выполнения JavaScript-файла с использованием `mstha.exe`. Этот JavaScript-код, размещенный на удаленном URL-адресе, загружает чистый PDF-файл lure и исполняемый файл Jellyfish Loader.

Подробный анализ исполняемого файла Jellyfish Loader показывает, что он использует Fody для манипулирования сборкой и Costura для внедрения зависимостей. Загрузчик извлекает системную информацию, отправляет зашифрованные данные на C&C-сервер с помощью HTTP POST-запросов и предназначен для выполнения шелл-кода, полученного с C&C-сервера.

Неспособность сервера C&C доставить шеллкод помешала дальнейшему расследованию, хотя загрузчик содержит функциональные возможности для обработки и выполнения шеллкода. Кроме того, с 2016 года домен C&C был зарегистрирован под различными именами ASN, причем с 2019 года злоумышленник в основном использует ASN 16509 (AMAZON-02) для регистрации домена.

Хотя имеющиеся данные свидетельствуют о потенциальном сходстве с методами, использованными группой "Гадес" при нападении на эсминец "Олимпик", однозначно отнести грузчика-медузу к этой группе сложно. Необходимы дальнейшие исследования и сотрудничество для подтверждения этих выводов и изучения возможных ассоциаций.

Таким образом, Jellyfish Loader представляет собой серьезную угрозу из-за его расширенных возможностей по сбору системной информации, безопасной связи и выполнению шеллкода. Несмотря на то, что существуют сходства с известными методами борьбы с угрозами, конкретная атрибуция требует дополнительного изучения и совместной работы.

#ParsedReport #CompletenessMedium
16-07-2024

Kimsuky APT: TrollAgent stealer analysis

https://www.ctfiot.com/193885.html

Report completeness: Medium

Actors/Campaigns:
Kimsuky (motivation: cyber_espionage)

Threats:
Trollagent
Watering_hole_technique
Spear-phishing_technique
Vmprotect_tool

Industry:
Government, Energy, Healthcare, Education

Geo:
Korea, Korean, North korea, Japan

ChatGPT TTPs:
do not use without manual check
T1071.001, T1059.003, T1027, T1105, T1036.005, T1081

IOCs:
File: 4
Hash: 1
Url: 2

Soft:
chrome, chromium, WeChat

Languages:
golang

#ParsedReport #GeneratedSchema
Generated with GPT-4