#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Исследователи ESET обнаружили эксплойт нулевого дня, предназначенный для Telegram для Android, известный как EvilVideo, позволяющий злоумышленникам распространять вредоносные программы, замаскированные под видеофайлы. Эксплойт затронул более старые версии Telegram для Android, что привело к быстрым действиям и выпуску исправления Telegram 11 июля 2024 года.
-----

Исследователи ESET обнаружили эксплойт нулевого дня, нацеленный на Telegram для Android, известный как EvilVideo, который продавался на подпольном форуме с 6 июня 2024 года. Этот эксплойт позволял злоумышленникам распространять вредоносные программы для Android, замаскированные под видеофайлы, через каналы, группы и чаты Telegram, выдавая их за безвредный мультимедийный контент. В частности, уязвимость затрагивала Android Telegram версии 10.14.4 и старше.

Эксплойт использовал возможность создания полезной нагрузки, которая маскирует приложения Android под мультимедийные превью, а не под бинарные вложения. При обмене информацией в разговоре вредоносная нагрузка, замаскированная под 30-секундное видео, автоматически загружалась для пользователей с включенными настройками загрузки мультимедиа по умолчанию. Даже если бы требовалась загрузка вручную, нажатие кнопки загрузки все равно могло бы инициировать передачу вредоносной полезной нагрузки.

При попытке воспроизвести "видео" пользователи столкнутся с законным предупреждением от Telegram, указывающим на невозможность воспроизведения файла и предлагающим использовать внешний проигрыватель. Однако нажатие кнопки "Открыть" в предупреждении побудило бы пользователей установить приложение, маскирующееся под внешний проигрыватель, но на самом деле являющееся замаскированной вредоносной полезной нагрузкой. Для этого потребуется разрешить установку из неизвестных источников, что приведет к установке вредоносного приложения, несмотря на то, что оно будет выглядеть как видеофайл с расширением .apk. Исходное вредоносное приложение сохранило свою природу и не было изменено таким образом, чтобы имитировать внешний вид видео.

После обнаружения эксплойта EvilVideo 26 июня 2024 года исследователи ESET сообщили об этом в Telegram в соответствии с согласованной политикой раскрытия информации. Несмотря на то, что первоначально ответа не последовало, Telegram признал и начал расследование проблемы после последующего сообщения от 4 июля. Команда Telegram оперативно устранила уязвимость, выпустив 11 июля версию 10.14.5 для исправления эксплойта. Сообщение об устранении уязвимости поступило от Telegram по электронной почте.

Таким образом, эксплойт Telegram нулевого дня для Android способствовал распространению вредоносной информации, замаскированной под видеофайлы, через чат Telegram в старых версиях Android. Обнаружение эксплойта и последующее ответственное раскрытие информации Telegram потребовали принятия оперативных мер, что привело к выпуску 11 июля 2024 года исправления, эффективно устраняющего угрозу, исходящую от уязвимости EvilVideo.

#ParsedReport #CompletenessLow
22-07-2024

CrowdStrike Global Outage - Threat Actor Activity and Risk Mitigation Strategies

https://www.sentinelone.com/blog/crowdstrike-global-outage-threat-actor-activity-and-risk-mitigation-strategies

Report completeness: Low

Threats:
Typosquatting_technique

Industry:
Financial

ChatGPT TTPs:
do not use without manual check
T1589.002, T1588.006, T1071.001

IOCs:
Domain: 64
Coin: 1
File: 6
Hash: 3

Soft:
Bitlocker

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: Серьезный киберинцидент, связанный с неисправным файлом канала, повлиял на системы Windows, работающие под управлением Falcon sensor от CrowdStrike, что привело к широкомасштабному отключению ИТ-систем, затронувшему миллионы устройств по всему миру. Киберпреступники воспользовались ситуацией, включив тематику CrowdStrike в вредоносные кампании, зарегистрировав вредоносные домены для обмана жертв с помощью фишинговых атак и вымогательства. Злоумышленники используют электронные письма с угрозами и поддельные исправления для вымогательства биткоинов у потенциальных жертв, пользуясь хаосом, вызванным отключением ИТ.
-----

19 июля 2024 года произошел серьезный киберинцидент, в результате которого в системах Windows 7 и выше, работающих под управлением Falcon sensor от CrowdStrike, был обнаружен неисправный файл канала с именем Channel File 291 (C-00000291-*.sys), что привело к нестабильности ядра и запуску цикла "Синий экран смерти" (BSOD). Это привело к крупнейшему в истории глобальному сбою в работе ИТ-систем, затронувшему, по оценкам, 8,5 миллионов устройств Windows по всему миру. Исправление проблемных устройств включает загрузку в безопасном режиме для удаления неисправного файла или использование сценариев исправления Microsoft, при этом для зашифрованных устройств с использованием Bitlocker требуются дополнительные действия.

Каскадные последствия этого события привели к массовым сбоям в работе различных отраслей, включая производство, авиаперевозки и здравоохранение. После инцидента киберпреступники быстро воспользовались ситуацией, включив в свои вредоносные кампании компоненты, связанные с CrowdStrike, чтобы использовать уязвимость и нацелиться на уязвимых системных администраторов и пользователей. Эти действия киберпреступников включали регистрацию потенциально вредоносных доменов и присвоение файлам имен в соответствии с темами CrowdStrike по исправлению ситуации, чтобы извлечь выгоду из хаоса, вызванного отключением ИТ.

В ответ на проблему с CrowdStrike злоумышленники, стремящиеся использовать в своих интересах жертв, зарегистрировали тысячи доменов, содержащих опечатки. Эти вредоносные домены используются для вовлечения жертв в схемы вымогательства и мошенничества, такие как фишинговые атаки и распространение поддельных исправлений проблемы. Злоумышленники используют электронные письма с угрозами и вредоносные веб-сайты для вымогательства биткоинов (BTC) у потенциальных жертв, причем в некоторых случаях используются прямые запросы на оплату в обмен на предполагаемое устранение проблемы.

Одним из ярких примеров является домен fix-crowdstrike-apocalypse.com , когда злоумышленники пытаются обмануть жертв, предлагая автономный двоичный файл Windows или исходный код для исправления в обмен на крупные суммы денег, в частности, 500 000 и 1 000 000 евро соответственно (BTC: 0x1AEAe8c6F600d85b3b676ac49bb3816A4eB4455b). Кроме того, злоумышленники распространяют поддельные исправления, чтобы обманом заставить пользователей загружать вредоносное ПО или предоставлять конфиденциальную информацию, еще больше используя хаос, вызванный перебоями в работе ИТ.

#llm

Vulnerabilities in LangChain Gen AI

https://unit42.paloaltonetworks.com/langchain-vulnerabilities/

#ParsedReport #CompletenessLow
23-07-2024

TransparentTribe spear-phishing email attacks targeting Indian government departments

https://www.ctfiot.com/195318.html

Report completeness: Low

Actors/Campaigns:
Transparenttribe

Threats:
Spear-phishing_technique
Crimson_rat

Victims:
Indian government departments

Industry:
Military, Government

Geo:
India, Indian, Afghanistan, Pakistan, Kazakhstan

ChatGPT TTPs:
do not use without manual check
T1566.001, T1059.005, T1005, T1071.001, T1140, T1497

IOCs:
File: 6
IP: 5
Hash: 3

Soft:
WeChat

Win API:
decompress

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в недавней фишинговой атаке на электронную почту, проведенной APT-группой TransparentTribe и нацеленной на правительственные ведомства Индии. В ходе атаки был использован вредоносный документ под названием "Рекомендация к награждению президента s.docm", который содержал VBA-скрипт, использующий программу удаленного управления CrimsonRAT, известную своими возможностями кражи данных. Стратегия злоумышленника заключается в использовании плагиата из официальных документов для создания целевого контента-приманки, а процесс атаки включает в себя выполнение вредоносных скриптов, извлечение и запуск конечной полезной нагрузки, а также выполнение различных вредоносных действий. Лаборатория NSFOCUS Fuying Lab приписала атаку TransparentTribe, основываясь на таких ключевых факторах, как постоянное использование CrimsonRAT и соответствие общим целям группы.
-----

Исследовательская лаборатория NSFOCUS обнаружила фишинговую атаку на электронную почту со стороны APT group TransparentTribe, направленную против правительственных ведомств Индии.

В ходе атаки использовался вредоносный документ под названием "Рекомендация к награждению президента s.docm" для развертывания скрипта VBA и программы удаленного управления CrimsonRAT.

Компания TransparentTribe была основана в Пакистане и с 2012 года нацелена на такие страны, как Индия, Казахстан и Афганистан, используя вредоносные документы docm и xlam.

Стратегия злоумышленника заключается в плагиате официальных правительственных документов с целью создания специфического контента-приманки для целенаправленных атак.

Процесс атаки включает в себя выполнение вредоносных скриптов VBA, развертывание полезной нагрузки CrimsonRAT и выполнение различных вредоносных действий, таких как сбор системной информации и кража конфиденциальных данных.

Fuying Lab приписала атаку TransparentTribe, основываясь на последовательном использовании CrimsonRAT, характеристиках атаки и общих целях.

#ParsedReport #CompletenessLow
23-07-2024

Find Threats Exploiting CrowdStrike Outage with TI Lookup

https://any.run/cybersecurity-blog/crowdstrike-outage-abuse

Report completeness: Low

Threats:
Remcos_rat
Hijackloader

Victims:
Crowdstrike

ChatGPT TTPs:
do not use without manual check
T1105, T1070.004, T1192, T1059.005, T1204.002

IOCs:
Domain: 70
File: 3
IP: 3
Hash: 18

Soft:
Telegram, curl

Algorithms:
zip

Languages:
visual_basic

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Недавний киберинцидент с использованием средства очистки данных привел к росту числа фишинговых атак и вредоносного ПО, при этом вредоносные домены и вредоносное ПО, выдающее себя за обновления программного обеспечения, были определены в качестве основных источников угроз. Аналитики разработали правила обнаружения для борьбы с попытками фишинга и вредоносным ПО, включая случаи, когда вредоносное ПО распространялось в виде законных обновлений программного обеспечения. Кроме того, злоумышленники использовали сложные тактики, такие как распространение вредоносного ПО через фишинговые электронные письма и скрипты VBS, для компрометации систем. ANY.RUN, платформа, поддерживающая специалистов по кибербезопасности по всему миру, предлагает инструменты для анализа и идентификации угроз для более быстрого реагирования на инциденты, помогая расширить возможности обнаружения угроз.
-----

Недавний киберинцидент с использованием средства очистки данных побудил киберпреступников воспользоваться ситуацией, запустив фишинговые атаки и вредоносное ПО, замаскированное под обновления или исправления ошибок. Команда ANY.RUN активно отслеживает последствия сбоя и выявила два основных источника угроз: вредоносные домены и вредоносное ПО, замаскированное под законные обновления программного обеспечения.

После отключения были созданы многочисленные вредоносные веб-сайты с доменными именами, напоминающими официальный домен CrowdStrike. Хотя некоторые из этих сайтов были безобидными, другие использовались для фишинговых атак, направленных на ничего не подозревающих пользователей. Чтобы бороться с этим, аналитики разработали правило Suricata для обнаружения доменов, потенциально содержащих попытки фишинга или вредоносное программное обеспечение.

После инцидента наблюдался всплеск вредоносных кампаний, выдававших себя за обновления или исправления ошибок. В одном из таких случаев был распространен архив вредоносных программ, замаскированный под исправление CrowdStrike, который на самом деле содержал вредоносную программу Hijackloader. Вредоносный файл под названием "crowdstrike-исправление" был распространен с, казалось бы, законного домена. После запуска вредоносная программа Remcos была установлена на взломанную систему.

В ходе одной особенно изощренной атаки киберпреступники распространили средство очистки данных с помощью фишингового электронного письма на тему CrowdStrike и вложения в формате PDF, которое вело к ссылке для загрузки ZIP-файла. После активации wiper злонамеренно перезаписал файлы нулевыми байтами, а затем уведомил злоумышленников через Telegram.

Злоумышленники также использовали вредоносную тактику, используя скрипты VBS, чтобы обманом заставить пользователей запускать вредоносное ПО. Например, вредоносный файл .docm при открытии запускал ряд инструментов на зараженном компьютере. Кроме того, эта вредоносная программа загружала и запускала вредоносное ПО для кражи данных с помощью инструмента curl.

ANY.RUN, платформа, помогающая более чем 400 000 специалистам в области кибербезопасности по всему миру, предлагает интерактивную "песочницу" для анализа вредоносных программ, нацеленных как на системы Windows, так и на Linux. Инструменты анализа угроз, в том числе TI Lookup, Yara Search и Feeds, помогают идентифицировать IOCS и файлы, связанные с угрозами, что позволяет быстрее реагировать на инциденты. ANY.RUN также предоставляет бесплатные ресурсы для исследования вредоносных программ для специалистов по кибербезопасности, которые расширяют их возможности по обнаружению и анализу угроз.

#ParsedReport #CompletenessMedium
23-07-2024

Analysis of the FaCai gang's domestic attack activities using APT technology

https://www-ctfiot-com.translate.goog/195180.html?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp

Report completeness: Medium

Actors/Campaigns:
Facai
Kimsuky

Threats:
Grimresource_technique
Gh0st_rat
Winos

Industry:
Education

Geo:
North korean

ChatGPT TTPs:
do not use without manual check
T1204.002, T1203, T1105, T1204.001, T1059, T1036.005

IOCs:
File: 14
IP: 3
Path: 1

Soft:
Bandzip, AutoHotkey, Chrome, WeChat

Algorithms:
base64

Win API:
decompress

Languages:
javascript, python

#ParsedReport #ExtractedSchema

Classified images:
schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в изменении тактики борьбы с киберугрозами после того, как Microsoft отключила макросы Office, что привело к тому, что злоумышленники начали использовать альтернативные вредоносные программы, такие как файлы MSC, и ярким примером этого является группа FaCai. Для проведения своих атак банда FaCai использует модифицированные троянские программы дистанционного управления Gh0st и сложные методы обфускации в сочетании с файлами MSC. В тексте также представлена облачная "песочница" Ahnheng как инструмент, помогающий оценить потенциальные риски, связанные с вредоносными файлами, и подчеркивается важность постоянной бдительности и передовых мер обнаружения угроз для защиты от киберугроз.
-----

В тексте обсуждается изменение тактики борьбы с киберугрозами после того, как Microsoft по умолчанию отключила макросы Office в документах из Интернета. В результате злоумышленники все чаще используют другие типы вредоносных программ, такие как JavaScript, файлы MSI, объекты LNK и ISO-файлы, чтобы избежать обнаружения антивирусным программным обеспечением. В одном из известных случаев северокорейский злоумышленник Кимсуки использовал файлы MSC в своих недавних действиях. Эти MSC-файлы используют уязвимости в apds.библиотека dll позволяет выполнять произвольный код и запускать многоэтапные программы для атак с удаленным управлением. Использование MSC-файлов злоумышленниками было выявлено в ходе атак, нацеленных на отечественных пользователей, причем образцы были связаны с группой черного рынка "FaCai".

Группа FaCai, о которой стало известно в апреле 2024 года, в основном использует в своих операциях модифицированные троянские программы удаленного управления Gh0st. Их коммуникационный трафик имеет отличительный строковый код "6666.6", и они часто используют файлы MSC для доставки вредоносной полезной нагрузки. Проанализированные вредоносные файлы MSC демонстрируют сложные методы обфускации, позволяющие скрыть их истинные намерения. Эти файлы используют различные инструменты и зависимости, такие как Bandzip, Python и AutoHotkey, для выполнения своей полезной нагрузки, в конечном итоге загружая троянскую программу Gh0st для удаленного управления.

Дальнейший анализ выявил последовательный порядок действий среди захваченных файлов MSC, приписываемых банде FaCai. Ключевые сходства включают в себя участие AutoHotkey.exe и Python в цепочке атак, использование модифицированных троянских программ Gh0st в качестве конечной полезной нагрузки и повторяющиеся шаблоны в коммуникационном трафике, указывающие на присутствие группы. В вредоносных сообщениях идентифицируются заметные домены и строки, связанные с действиями FaCai.

Чтобы помочь аналитикам угроз и пользователям оценить потенциальные риски, связанные с такими файлами, в тексте представлена облачная среда безопасности Ahnheng. Эта платформа объединяет множество аналитических данных об угрозах и функций, позволяющих пользователям проводить тщательный анализ подозрительных файлов. Используя облачную изолированную среду, пользователи могут получать подробные аналитические отчеты и безопасно просматривать неизвестные файлы в виртуальной среде, чтобы снизить риски заражения вредоносными программами или взлома хостинга. В целом, меняющаяся тактика участников угроз подчеркивает важность постоянной бдительности и передовых мер по обнаружению угроз для защиты от киберугроз.

#ParsedReport #CompletenessMedium
23-07-2024

Daggerfly: Espionage Group Makes Major Update to Toolset

https://symantec-enterprise-blogs.security.com/threat-intelligence/daggerfly-espionage-updated-toolset

Report completeness: Medium

Actors/Campaigns:
Daggerfly (motivation: cyber_espionage)

Threats:
Mgbot
Macma
Watering_hole_technique
Nightdoor
Suzafk
Netstat_tool
Kagent

Victims:
Organizations, U.s. ngo, Telecoms operator, Users of macos devices

Industry:
Telco, Ngo

Geo:
Taiwan, Africa, Hong kong, China

CVEs:
CVE-2021-30869 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apple ipados (<14.4)
- apple iphone os (<12.5.5, <14.4)
- apple mac os x (le10.14.6, le10.15.6, 10.15.7)
- apple macos (<11.2)


ChatGPT TTPs:
do not use without manual check
T1190, T1548.001, T1071, T1090, T1059

IOCs:
Hash: 17
File: 6
IP: 4
Path: 1
Coin: 1

Soft:
macos, android, Solaris OS

Algorithms:
xor, sha256, exhibit

Functions:
sendto

Links:
https://github.com/Old-Man-Programmer/tree

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что шпионская группа Daggerfly недавно обновила свой набор вредоносных инструментов, включив в него новые версии вредоносных программ, что указывает на их причастность к шпионской деятельности, направленной против организаций на Тайване и в США. Они представили новые варианты вредоносных программ, в том числе бэкдор для macOS под названием Macma и бэкдор для Windows под названием Trojan.Suzafk, демонстрируя свою способность воздействовать на различные операционные системы. Кроме того, имеющиеся данные свидетельствуют о едином наборе инструментов, используемых на разных платформах, и постоянном совершенствовании возможностей вредоносного ПО.
-----

Шпионская группа Daggerfly, также известная как Evasive Panda и Bronze Highland, недавно обновила свой набор инструментов, представив новые версии своего вредоносного ПО, вероятно, в ответ на распространение более старых версий. Эти обновления использовались при атаках на организации на Тайване и американскую неправительственную организацию, базирующуюся в Китае, что указывает на причастность группы как к внешнему, так и к внутреннему шпионажу. В ходе одной атаки группа использовала уязвимость в HTTP-сервере Apache для доставки своего вредоносного ПО MgBot.

Среди недавних дополнений в арсенале Daggerfly - новое семейство вредоносных программ, основанное на модульной платформе MgBot malware framework, и обновленная версия бэкдора Macma для macOS. Хотя ранее авторство Macma не было установлено, теперь данные указывают на то, что Daggerfly разработал эту угрозу. Macma, бэкдор для macOS, используется как минимум с 2019 года и распространяется в результате хакерских атак с использованием скомпрометированных веб-сайтов в Гонконге. Последние версии Macma демонстрируют постоянное развитие, включая различные основные модули и постепенные обновления существующих функциональных возможностей.

Команда Symantec Threat Hunter обнаружила связи между Macma и Daggerfly toolkit, причем два варианта Macma подключены к серверу управления, который также используется дроппером MgBot. Кроме того, Macma и другие известные вредоносные программы Daggerfly используют общий код из общей библиотеки или фреймворка, что указывает на единый набор инструментов, используемых на разных платформах, таких как Windows, macOS, Linux и Android.

Новым дополнением к инструментарию Daggerfly стал бэкдор для Windows под названием Trojan.Suzafk, также известный как Nightdoor, был обнаружен вместе с MgBot. Suzafk был разработан с использованием той же общей библиотеки, что и в MgBot и Macma, что подчеркивает универсальные возможности группы в работе с различными операционными системами. Этот многоэтапный бэкдор может использовать TCP или OneDrive для целей управления, при этом конфигурации, связанные с подключением к OneDrive, постоянно совершенствуются.

Обновленный набор инструментов Daggerfly демонстрирует его способность быстро адаптироваться и работать с различными операционными системами, включая возможности троянизации Android APKS, перехвата SMS-сообщений, манипулирования DNS-запросами и нацеливания на Solaris OS. Оперативность, с которой группа обновляет свои инструменты в ответ на разоблачение, подчеркивает ее приверженность поддержанию шпионской деятельности с минимальными сбоями.

#ParsedReport #CompletenessMedium
23-07-2024

Solving the 7777 Botnet enigma: A cybersecurity quest

https://blog.sekoia.io/solving-the-7777-botnet-enigma-a-cybersecurity-quest

Report completeness: Medium

Threats:
Quad7
Password_spray_technique
Bec_technique
Dropbear_tool
Gobrat
Microsocks_tool

Industry:
Iot

Geo:
The us, France, Bulgaria, France one mobile, The uk, France to, Chinese, Ukraine, France to access, North korean, Russia, France one

IOCs:
File: 2
Hash: 5
IP: 4

Soft:
Chrome

Languages:
powershell, python

Platforms:
x64

Links:
https://github.com/bhhbazinga/socks5

#ParsedReport #ExtractedSchema

Classified images:
chart: 1, schema: 2, code: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4