#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в растущей активности RA World ransomware group, ее стратегии множественного вымогательства, нацеленной на здравоохранение и производственный сектор, использовании специальной версии программы-вымогателя Babuk и рекомендуемых средствах защиты от этой угрозы, предлагаемых Palo Alto Networks. В нем также рассказывается о деятельности группы, включая ее связь с китайской террористической группой BRONZE STARLIGHT, последние события и усилия по пресечению вредоносной кибердеятельности посредством обмена информацией с такими организациями, как Cyber Threat Alliance.
-----

Всемирная группа программ-вымогателей RA, ранее известная как RA Group, проявила повышенную активность с марта 2024 года, и за этот период на их сайте dark web появилось около 37% сообщений об утечке данных. RA World использует стратегию множественного вымогательства, при которой они извлекают конфиденциальные данные у жертв перед их шифрованием, используя эти данные в качестве рычага для принуждения к выплате выкупа. Было замечено, что они нацелены в первую очередь на организации в секторе здравоохранения и обрабатывающей промышленности, с заметным сдвигом в сторону обрабатывающей промышленности к середине 2024 года, что, возможно, вызвано желанием нацелиться на организации, способные платить более высокие выкупы. Наиболее пострадавшей страной являются Соединенные Штаты, за которыми следуют Европа и Юго-Восточная Азия.

Palo Alto Networks предлагает защиту от программ-вымогателей RA World с помощью таких продуктов, как модуль защиты от программ-вымогателей Cortex XDR и Prisma Cloud Defender, которые обеспечивают защиту от образцов программ-вымогателей, связанных с RA World. RA World управляет сайтом утечек, куда они загружают украденные данные, чтобы заставить жертв заплатить выкуп, обновляя дизайн сайта для улучшения эстетики. Они используют настроенную версию программы-вымогателя Babuk, внося в нее такие изменения, как изменение расширения зашифрованного файла на .RAWLD и изменение содержимого записки с требованием выкупа.

Этапы атаки на RA World были сопоставлены с использованием платформы MITRE ATT&CK, что указывает на предпочтение использования неправильно сконфигурированных или уязвимых интернет-серверов, а не фишинга для получения первоначального доступа. Группа по борьбе с угрозами использует различные инструменты и методы для горизонтального перемещения в скомпрометированных сетях, такие как Impacket для выполнения команд на удаленных конечных точках. RA World также была предварительно связана с китайской террористической группировкой BRONZE STARLIGHT из-за данных судебной экспертизы и сходства в TTP, включая использование программы-вымогателя на базе Babuk.

Недавние изменения в деятельности RA World включают в себя ребрендинг RA Group, изменение дизайна места утечки и обновление операционных инструментов для обеспечения полезной нагрузки на базе Babuk. Группа продолжает активно работать, уделяя особое внимание влиянию на производственный сектор на основе общедоступных данных о месте утечки. Palo Alto Networks рекомендует внедрять свои продукты для усиления защиты от тактик RA World и вредоносных программ.

Этими знаниями мы поделились с Альянсом по борьбе с киберугрозами (CTA), чтобы обеспечить быстрое внедрение средств защиты и пресечение вредоносных действий в киберпространстве. Другие источники, такие как Trend Micro, Security Affairs и различные платформы для анализа угроз, внесли свой вклад в понимание деятельности и тактики RA World.

What is it?
EvilVideo is a vulnerability in the Telegram for Android app that allows attackers to send malicious payloads that appear as video files in unpatched versions of the app. The vulnerability can only be exploited in versions 10.14.4 and older. ESET researchers discovered a zero-day exploit that targets this vulnerability and appeared for sale in an underground forum in June 2024.

Is a threat?
"EvilVideo" is indeed a threat. It is a vulnerability in the Telegram for Android application that allows attackers to send malicious payloads disguised as video files. The vulnerability was discovered by ESET researchers on June 26th, 2024, and they reported it to Telegram. Although Telegram initially did not respond, they eventually fixed the issue in version 10.14.5 on July 11th, 2024. The exploit specifically targets Android Telegram versions 10.14.4 and

#ParsedReport #CompletenessLow
22-07-2024

A Simple Approach to Discovering Oyster Backdoor Infrastructure

https://hunt.io/blog/a-simple-approach-to-discovering-oyster-backdoor-infrastructure

Report completeness: Low

Threats:
Oyster

Victims:
Users seeking antivirus software

ChatGPT TTPs:
do not use without manual check
T1071.001, T1133

IOCs:
File: 2
Domain: 7
IP: 7
Hash: 1

Soft:
Microsoft Teams

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста - о бэкдоре Oyster, вредоносном ПО, связанном с рекламными кампаниями, которые обманывают пользователей, маскируясь под легальное программное обеспечение. Бэкдор собирает информацию о жертвах и взаимодействует с доменом C2. Исследователи кибербезопасности могут проанализировать инфраструктуру бэкдора и использовать различные методы, такие как проверка сертификатов TLS и разработка запросов обнаружения, для обнаружения дополнительных серверов C2. В тексте также подчеркивается важность расследования вредоносных доменов, использования таких инструментов, как VirusTotal, и стратегического анализа для выявления и устранения киберугроз.
-----

Бэкдор Oyster, также известный как Broomstick (IBM) и CleanUpLoader (RussianPanda-X), был связан с вредоносными кампаниями, имитирующими популярное программное обеспечение, чтобы обмануть ничего не подозревающих пользователей. Злоумышленник замаскировал бэкдор под программу установки Microsoft Teams для поиска жертв. Вредоносное программное обеспечение собирает информацию о жертвах и отправляет ее в жестко запрограммированный домен C2 с помощью HTTP POST-запроса. Администраторы вредоносных серверов часто оставляют идентифицируемые подсказки в настройках своей инфраструктуры, которые могут помочь защитникам и исследователям обнаружить ранее не зарегистрированные IP-адреса и домены.

Rapid7 идентифицировал три домена, с которыми вредоносные библиотеки DLL, CleanUp30.dll и CleanUp.dll, пытались установить связь. Исследователи могут проанализировать эти IP-адреса и домены на предмет аномалий, чтобы разработать запросы для поиска дополнительных серверов C2. Изучая инфраструктуру бэкдоров Oyster, уделяя особое внимание заголовкам HTML, хэшам тела и сертификатам TLS, аналитики могут получить представление о вредоносной активности.

Изучая историю TLS, аналитики могут получить дополнительную информацию о вредоносных доменах. Общее имя сертификата TLS, соответствующее заявленному вредоносному домену, а также хэш-код JARM могут помочь в разработке запросов на обнаружение. Разработка эффективных методов выявления бэкдоров имеет важное значение в работе по анализу угроз.

Был представлен пример запроса в псевдокоде для идентификации дополнительных серверов Oyster, в котором указан метод поиска конкретных отпечатков пальцев. Правило обнаружения для определения местоположения инфраструктуры Oyster отметило несколько IP-адресов, включая те, которые упоминались в отчете Rapid7. Ограниченное количество результатов в сочетании с подтвержденными показателями предметной области позволяет предположить эффективность запроса в выявлении потенциальных угроз.

Чтобы подтвердить выводы, связанные с бэкдором Oyster, аналитики могут проанализировать домены, используя такие платформы, как VirusTotal. Примечательно, что CleanUp.dll содержит прямые ссылки на бэкдор Oyster, а дополнительные файлы, по-видимому, выдают себя за Microsoft Defender, что потенциально нацелено на пользователей, которым требуется антивирусное программное обеспечение. Изучая конкретные файлы, такие как CleanUp.dll, аналитики могут обнаружить черный ход Oyster и отследить пути получения информации о жертвах.

Выявление вредоносной инфраструктуры иногда требует тщательного анализа и принятия стратегических мер. Хотя процесс выявления таких угроз может быть сложным, в ходе тематического исследования была продемонстрирована эффективность относительно простого запроса для обнаружения инфраструктуры Oyster backdoor. Использование таких инструментов, как Hunt, может помочь выявить вредоносную инфраструктуру до того, как она будет использована в качестве оружия.

#ParsedReport #CompletenessLow
22-07-2024

Cursed tapes: Exploiting the EvilVideo vulnerability on Telegram for Android

https://www.welivesecurity.com/en/eset-research/cursed-tapes-exploiting-evilvideo-vulnerability-telegram-android

Report completeness: Low

Threats:
Evilvideo_vuln
Spymax

Industry:
Transport

Geo:
Ukraine

TTPs:
Tactics: 3
Technics: 2

IOCs:
File: 1
Domain: 1
IP: 1

Soft:
Telegram, Android, Android Telegram, Android/

Links:
https://github.com/eset/malware-ioc/tree/master/evilvideo

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Исследователи ESET обнаружили эксплойт нулевого дня, предназначенный для Telegram для Android, известный как EvilVideo, позволяющий злоумышленникам распространять вредоносные программы, замаскированные под видеофайлы. Эксплойт затронул более старые версии Telegram для Android, что привело к быстрым действиям и выпуску исправления Telegram 11 июля 2024 года.
-----

Исследователи ESET обнаружили эксплойт нулевого дня, нацеленный на Telegram для Android, известный как EvilVideo, который продавался на подпольном форуме с 6 июня 2024 года. Этот эксплойт позволял злоумышленникам распространять вредоносные программы для Android, замаскированные под видеофайлы, через каналы, группы и чаты Telegram, выдавая их за безвредный мультимедийный контент. В частности, уязвимость затрагивала Android Telegram версии 10.14.4 и старше.

Эксплойт использовал возможность создания полезной нагрузки, которая маскирует приложения Android под мультимедийные превью, а не под бинарные вложения. При обмене информацией в разговоре вредоносная нагрузка, замаскированная под 30-секундное видео, автоматически загружалась для пользователей с включенными настройками загрузки мультимедиа по умолчанию. Даже если бы требовалась загрузка вручную, нажатие кнопки загрузки все равно могло бы инициировать передачу вредоносной полезной нагрузки.

При попытке воспроизвести "видео" пользователи столкнутся с законным предупреждением от Telegram, указывающим на невозможность воспроизведения файла и предлагающим использовать внешний проигрыватель. Однако нажатие кнопки "Открыть" в предупреждении побудило бы пользователей установить приложение, маскирующееся под внешний проигрыватель, но на самом деле являющееся замаскированной вредоносной полезной нагрузкой. Для этого потребуется разрешить установку из неизвестных источников, что приведет к установке вредоносного приложения, несмотря на то, что оно будет выглядеть как видеофайл с расширением .apk. Исходное вредоносное приложение сохранило свою природу и не было изменено таким образом, чтобы имитировать внешний вид видео.

После обнаружения эксплойта EvilVideo 26 июня 2024 года исследователи ESET сообщили об этом в Telegram в соответствии с согласованной политикой раскрытия информации. Несмотря на то, что первоначально ответа не последовало, Telegram признал и начал расследование проблемы после последующего сообщения от 4 июля. Команда Telegram оперативно устранила уязвимость, выпустив 11 июля версию 10.14.5 для исправления эксплойта. Сообщение об устранении уязвимости поступило от Telegram по электронной почте.

Таким образом, эксплойт Telegram нулевого дня для Android способствовал распространению вредоносной информации, замаскированной под видеофайлы, через чат Telegram в старых версиях Android. Обнаружение эксплойта и последующее ответственное раскрытие информации Telegram потребовали принятия оперативных мер, что привело к выпуску 11 июля 2024 года исправления, эффективно устраняющего угрозу, исходящую от уязвимости EvilVideo.

#ParsedReport #CompletenessLow
22-07-2024

CrowdStrike Global Outage - Threat Actor Activity and Risk Mitigation Strategies

https://www.sentinelone.com/blog/crowdstrike-global-outage-threat-actor-activity-and-risk-mitigation-strategies

Report completeness: Low

Threats:
Typosquatting_technique

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1589.002, T1588.006, T1071.001

IOCs:
Domain: 64
Coin: 1
File: 6
Hash: 3

Soft:
Bitlocker

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: Серьезный киберинцидент, связанный с неисправным файлом канала, повлиял на системы Windows, работающие под управлением Falcon sensor от CrowdStrike, что привело к широкомасштабному отключению ИТ-систем, затронувшему миллионы устройств по всему миру. Киберпреступники воспользовались ситуацией, включив тематику CrowdStrike в вредоносные кампании, зарегистрировав вредоносные домены для обмана жертв с помощью фишинговых атак и вымогательства. Злоумышленники используют электронные письма с угрозами и поддельные исправления для вымогательства биткоинов у потенциальных жертв, пользуясь хаосом, вызванным отключением ИТ.
-----

19 июля 2024 года произошел серьезный киберинцидент, в результате которого в системах Windows 7 и выше, работающих под управлением Falcon sensor от CrowdStrike, был обнаружен неисправный файл канала с именем Channel File 291 (C-00000291-*.sys), что привело к нестабильности ядра и запуску цикла "Синий экран смерти" (BSOD). Это привело к крупнейшему в истории глобальному сбою в работе ИТ-систем, затронувшему, по оценкам, 8,5 миллионов устройств Windows по всему миру. Исправление проблемных устройств включает загрузку в безопасном режиме для удаления неисправного файла или использование сценариев исправления Microsoft, при этом для зашифрованных устройств с использованием Bitlocker требуются дополнительные действия.

Каскадные последствия этого события привели к массовым сбоям в работе различных отраслей, включая производство, авиаперевозки и здравоохранение. После инцидента киберпреступники быстро воспользовались ситуацией, включив в свои вредоносные кампании компоненты, связанные с CrowdStrike, чтобы использовать уязвимость и нацелиться на уязвимых системных администраторов и пользователей. Эти действия киберпреступников включали регистрацию потенциально вредоносных доменов и присвоение файлам имен в соответствии с темами CrowdStrike по исправлению ситуации, чтобы извлечь выгоду из хаоса, вызванного отключением ИТ.

В ответ на проблему с CrowdStrike злоумышленники, стремящиеся использовать в своих интересах жертв, зарегистрировали тысячи доменов, содержащих опечатки. Эти вредоносные домены используются для вовлечения жертв в схемы вымогательства и мошенничества, такие как фишинговые атаки и распространение поддельных исправлений проблемы. Злоумышленники используют электронные письма с угрозами и вредоносные веб-сайты для вымогательства биткоинов (BTC) у потенциальных жертв, причем в некоторых случаях используются прямые запросы на оплату в обмен на предполагаемое устранение проблемы.

Одним из ярких примеров является домен fix-crowdstrike-apocalypse.com , когда злоумышленники пытаются обмануть жертв, предлагая автономный двоичный файл Windows или исходный код для исправления в обмен на крупные суммы денег, в частности, 500 000 и 1 000 000 евро соответственно (BTC: 0x1AEAe8c6F600d85b3b676ac49bb3816A4eB4455b). Кроме того, злоумышленники распространяют поддельные исправления, чтобы обманом заставить пользователей загружать вредоносное ПО или предоставлять конфиденциальную информацию, еще больше используя хаос, вызванный перебоями в работе ИТ.

#llm

Vulnerabilities in LangChain Gen AI

https://unit42.paloaltonetworks.com/langchain-vulnerabilities/

#ParsedReport #CompletenessLow
23-07-2024

TransparentTribe spear-phishing email attacks targeting Indian government departments

https://www.ctfiot.com/195318.html

Report completeness: Low

Actors/Campaigns:
Transparenttribe

Threats:
Spear-phishing_technique
Crimson_rat

Victims:
Indian government departments

Industry:
Military, Government

Geo:
India, Indian, Afghanistan, Pakistan, Kazakhstan

ChatGPT TTPs:
do not use without manual check
T1566.001, T1059.005, T1005, T1071.001, T1140, T1497

IOCs:
File: 6
IP: 5
Hash: 3

Soft:
WeChat

Win API:
decompress

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в недавней фишинговой атаке на электронную почту, проведенной APT-группой TransparentTribe и нацеленной на правительственные ведомства Индии. В ходе атаки был использован вредоносный документ под названием "Рекомендация к награждению президента s.docm", который содержал VBA-скрипт, использующий программу удаленного управления CrimsonRAT, известную своими возможностями кражи данных. Стратегия злоумышленника заключается в использовании плагиата из официальных документов для создания целевого контента-приманки, а процесс атаки включает в себя выполнение вредоносных скриптов, извлечение и запуск конечной полезной нагрузки, а также выполнение различных вредоносных действий. Лаборатория NSFOCUS Fuying Lab приписала атаку TransparentTribe, основываясь на таких ключевых факторах, как постоянное использование CrimsonRAT и соответствие общим целям группы.
-----

Исследовательская лаборатория NSFOCUS обнаружила фишинговую атаку на электронную почту со стороны APT group TransparentTribe, направленную против правительственных ведомств Индии.

В ходе атаки использовался вредоносный документ под названием "Рекомендация к награждению президента s.docm" для развертывания скрипта VBA и программы удаленного управления CrimsonRAT.

Компания TransparentTribe была основана в Пакистане и с 2012 года нацелена на такие страны, как Индия, Казахстан и Афганистан, используя вредоносные документы docm и xlam.

Стратегия злоумышленника заключается в плагиате официальных правительственных документов с целью создания специфического контента-приманки для целенаправленных атак.

Процесс атаки включает в себя выполнение вредоносных скриптов VBA, развертывание полезной нагрузки CrimsonRAT и выполнение различных вредоносных действий, таких как сбор системной информации и кража конфиденциальных данных.

Fuying Lab приписала атаку TransparentTribe, основываясь на последовательном использовании CrimsonRAT, характеристиках атаки и общих целях.

#ParsedReport #CompletenessLow
23-07-2024

Find Threats Exploiting CrowdStrike Outage with TI Lookup

https://any.run/cybersecurity-blog/crowdstrike-outage-abuse

Report completeness: Low

Threats:
Remcos_rat
Hijackloader

Victims:
Crowdstrike

ChatGPT TTPs:
do not use without manual check
T1105, T1070.004, T1192, T1059.005, T1204.002

IOCs:
Domain: 70
File: 3
IP: 3
Hash: 18

Soft:
Telegram, curl

Algorithms:
zip

Languages:
visual_basic

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавний киберинцидент с использованием средства очистки данных привел к росту числа фишинговых атак и вредоносного ПО, при этом вредоносные домены и вредоносное ПО, выдающее себя за обновления программного обеспечения, были определены в качестве основных источников угроз. Аналитики разработали правила обнаружения для борьбы с попытками фишинга и вредоносным ПО, включая случаи, когда вредоносное ПО распространялось в виде законных обновлений программного обеспечения. Кроме того, злоумышленники использовали сложные тактики, такие как распространение вредоносного ПО через фишинговые электронные письма и скрипты VBS, для компрометации систем. ANY.RUN, платформа, поддерживающая специалистов по кибербезопасности по всему миру, предлагает инструменты для анализа и идентификации угроз для более быстрого реагирования на инциденты, помогая расширить возможности обнаружения угроз.
-----

Недавний киберинцидент с использованием средства очистки данных побудил киберпреступников воспользоваться ситуацией, запустив фишинговые атаки и вредоносное ПО, замаскированное под обновления или исправления ошибок. Команда ANY.RUN активно отслеживает последствия сбоя и выявила два основных источника угроз: вредоносные домены и вредоносное ПО, замаскированное под законные обновления программного обеспечения.

После отключения были созданы многочисленные вредоносные веб-сайты с доменными именами, напоминающими официальный домен CrowdStrike. Хотя некоторые из этих сайтов были безобидными, другие использовались для фишинговых атак, направленных на ничего не подозревающих пользователей. Чтобы бороться с этим, аналитики разработали правило Suricata для обнаружения доменов, потенциально содержащих попытки фишинга или вредоносное программное обеспечение.

После инцидента наблюдался всплеск вредоносных кампаний, выдававших себя за обновления или исправления ошибок. В одном из таких случаев был распространен архив вредоносных программ, замаскированный под исправление CrowdStrike, который на самом деле содержал вредоносную программу Hijackloader. Вредоносный файл под названием "crowdstrike-исправление" был распространен с, казалось бы, законного домена. После запуска вредоносная программа Remcos была установлена на взломанную систему.

В ходе одной особенно изощренной атаки киберпреступники распространили средство очистки данных с помощью фишингового электронного письма на тему CrowdStrike и вложения в формате PDF, которое вело к ссылке для загрузки ZIP-файла. После активации wiper злонамеренно перезаписал файлы нулевыми байтами, а затем уведомил злоумышленников через Telegram.

Злоумышленники также использовали вредоносную тактику, используя скрипты VBS, чтобы обманом заставить пользователей запускать вредоносное ПО. Например, вредоносный файл .docm при открытии запускал ряд инструментов на зараженном компьютере. Кроме того, эта вредоносная программа загружала и запускала вредоносное ПО для кражи данных с помощью инструмента curl.

ANY.RUN, платформа, помогающая более чем 400 000 специалистам в области кибербезопасности по всему миру, предлагает интерактивную "песочницу" для анализа вредоносных программ, нацеленных как на системы Windows, так и на Linux. Инструменты анализа угроз, в том числе TI Lookup, Yara Search и Feeds, помогают идентифицировать IOCS и файлы, связанные с угрозами, что позволяет быстрее реагировать на инциденты. ANY.RUN также предоставляет бесплатные ресурсы для исследования вредоносных программ для специалистов по кибербезопасности, которые расширяют их возможности по обнаружению и анализу угроз.

#ParsedReport #CompletenessMedium
23-07-2024

Analysis of the FaCai gang's domestic attack activities using APT technology

https://www-ctfiot-com.translate.goog/195180.html?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp

Report completeness: Medium

Actors/Campaigns:
Facai
Kimsuky

Threats:
Grimresource_technique
Gh0st_rat
Winos

Industry:
Education

Geo:
North korean

ChatGPT TTPs:
do not use without manual check
T1204.002, T1203, T1105, T1204.001, T1059, T1036.005

IOCs:
File: 14
IP: 3
Path: 1

Soft:
Bandzip, AutoHotkey, Chrome, WeChat

Algorithms:
base64

Win API:
decompress

Languages:
javascript, python

#ParsedReport #ExtractedSchema

Classified images:
schema: 1