CTT Report Hub
#ParsedReport #CompletenessLow 25-07-2024 Rafel RAT: A Pest Invading Droid Systems https://www.bitdefender.com/blog/businessinsights/rafel-rat-a-pest-invading-droid-systems Report completeness: Low Threats: Rafel_rat Victims: Android systems ChatGPT…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея: Система мобильной безопасности Android сталкивается со значительными угрозами, связанными с распространением вредоносных программ для Android, поскольку злоумышленники используют уязвимости в операционной системе для совершения киберпреступлений, в частности, с помощью вредоносных программ, таких как Rafel RAT. Пользователям настоятельно рекомендуется сохранять бдительность, обновлять устройства и понимать тактику таких угроз, чтобы усилить защиту мобильных устройств.
-----
Безопасность мобильных устройств Android находится под серьезной угрозой из-за распространения вредоносных программ для Android, поскольку злоумышленники используют уязвимости в популярной операционной системе для совершения киберпреступлений. Огромный размер базы пользователей Android, предоставляющий выгодные возможности для крупномасштабных атак, делает его привлекательной мишенью по сравнению с iOS. Широкие возможности настройки Android, хотя и выгодны для пользователей, также создают риски для безопасности из-за непреднамеренных пробелов, таких как непроверенные функции и неактивные механизмы проверки.
Одной из известных вредоносных программ для Android является Rafel RAT, которая часто маскируется под легальное приложение, такое как BlackMart Alpha, для заражения устройств. Эта вредоносная программа специально нацелена на устаревшие операционные системы Android, используя устройства с отложенными или пропущенными обновлениями безопасности. Вредоносная программа потенциально может получить доступ к конфиденциальным данным и функциональным возможностям устройства, создавая серьезные риски для конфиденциальности и безопасности пользователей.
Rafel RAT использует многоэтапный процесс заражения системы жертвы, который часто инициируется с помощью фишинговых кампаний. После установки программа запрашивает разрешения на доступ к различным службам Android, таким как система и хранилище, камера и микрофон, Контакты, звонки и сообщения. Обладая такими повышенными правами доступа, злоумышленник может украсть информацию, получить контроль над устройством и потенциально внедрить программу-вымогатель или перехватить данные.
Несмотря на то, что Rafel RAT не использует методы упаковки или обфускации, он обладает свойствами обнаружения эмуляции, которые препятствуют анализу, нарушая работу вредоносных процессов, обнаруженных в тестовых средах. Это затрудняет анализ и понимание исследователями всех возможностей вредоносного ПО.
Для пользователей крайне важно сохранять бдительность и обновлять свои Android-устройства с помощью последних исправлений безопасности, чтобы снизить риск стать жертвой вредоносных программ для Android, таких как Rafel RAT. Понимание тактики и методов, используемых такими вредоносными программами, может помочь улучшить защиту и повысить общую безопасность мобильных устройств перед лицом развивающихся киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея: Система мобильной безопасности Android сталкивается со значительными угрозами, связанными с распространением вредоносных программ для Android, поскольку злоумышленники используют уязвимости в операционной системе для совершения киберпреступлений, в частности, с помощью вредоносных программ, таких как Rafel RAT. Пользователям настоятельно рекомендуется сохранять бдительность, обновлять устройства и понимать тактику таких угроз, чтобы усилить защиту мобильных устройств.
-----
Безопасность мобильных устройств Android находится под серьезной угрозой из-за распространения вредоносных программ для Android, поскольку злоумышленники используют уязвимости в популярной операционной системе для совершения киберпреступлений. Огромный размер базы пользователей Android, предоставляющий выгодные возможности для крупномасштабных атак, делает его привлекательной мишенью по сравнению с iOS. Широкие возможности настройки Android, хотя и выгодны для пользователей, также создают риски для безопасности из-за непреднамеренных пробелов, таких как непроверенные функции и неактивные механизмы проверки.
Одной из известных вредоносных программ для Android является Rafel RAT, которая часто маскируется под легальное приложение, такое как BlackMart Alpha, для заражения устройств. Эта вредоносная программа специально нацелена на устаревшие операционные системы Android, используя устройства с отложенными или пропущенными обновлениями безопасности. Вредоносная программа потенциально может получить доступ к конфиденциальным данным и функциональным возможностям устройства, создавая серьезные риски для конфиденциальности и безопасности пользователей.
Rafel RAT использует многоэтапный процесс заражения системы жертвы, который часто инициируется с помощью фишинговых кампаний. После установки программа запрашивает разрешения на доступ к различным службам Android, таким как система и хранилище, камера и микрофон, Контакты, звонки и сообщения. Обладая такими повышенными правами доступа, злоумышленник может украсть информацию, получить контроль над устройством и потенциально внедрить программу-вымогатель или перехватить данные.
Несмотря на то, что Rafel RAT не использует методы упаковки или обфускации, он обладает свойствами обнаружения эмуляции, которые препятствуют анализу, нарушая работу вредоносных процессов, обнаруженных в тестовых средах. Это затрудняет анализ и понимание исследователями всех возможностей вредоносного ПО.
Для пользователей крайне важно сохранять бдительность и обновлять свои Android-устройства с помощью последних исправлений безопасности, чтобы снизить риск стать жертвой вредоносных программ для Android, таких как Rafel RAT. Понимание тактики и методов, используемых такими вредоносными программами, может помочь улучшить защиту и повысить общую безопасность мобильных устройств перед лицом развивающихся киберугроз.
#ParsedReport #CompletenessHigh
24-07-2024
The tap-estry of threats targeting Hamster Kombat players
https://www.welivesecurity.com/en/eset-research/tap-estry-threats-targeting-hamster-kombat-players
Report completeness: High
Threats:
Ratel
Lumma_stealer
Mirai
Ragnarok
Process_hollowing_technique
Process_injection_technique
Victims:
Hamster kombat players
Industry:
Financial, Healthcare, Government
Geo:
Ukraine, Russia
TTPs:
Tactics: 7
Technics: 12
IOCs:
IP: 29
File: 56
Domain: 1
Path: 1
Hash: 1
Soft:
Hamster Kombat, Android, whatsapp, telegram, instagram.android, truecaller, viber, discord, android.chrome, instagram, have more...
Algorithms:
zip, aes-gcm, rc4
Win API:
rectangle
Languages:
python
Links:
24-07-2024
The tap-estry of threats targeting Hamster Kombat players
https://www.welivesecurity.com/en/eset-research/tap-estry-threats-targeting-hamster-kombat-players
Report completeness: High
Threats:
Ratel
Lumma_stealer
Mirai
Ragnarok
Process_hollowing_technique
Process_injection_technique
Victims:
Hamster kombat players
Industry:
Financial, Healthcare, Government
Geo:
Ukraine, Russia
TTPs:
Tactics: 7
Technics: 12
IOCs:
IP: 29
File: 56
Domain: 1
Path: 1
Hash: 1
Soft:
Hamster Kombat, Android, whatsapp, telegram, instagram.android, truecaller, viber, discord, android.chrome, instagram, have more...
Algorithms:
zip, aes-gcm, rc4
Win API:
rectangle
Languages:
python
Links:
https://github.com/BelodedAleksey/go\_libpeconvhttps://github.com/eset/malware-ioc/tree/master/hamkombatWelivesecurity
The tap-estry of threats targeting Hamster Kombat players
ESET research reveals how the success of Hamster Kombats has attracted malicious actors trying to abuse interest in the game for monetary gain.
CTT Report Hub
#ParsedReport #CompletenessHigh 24-07-2024 The tap-estry of threats targeting Hamster Kombat players https://www.welivesecurity.com/en/eset-research/tap-estry-threats-targeting-hamster-kombat-players Report completeness: High Threats: Ratel Lumma_stealer…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что киберпреступники используют популярность игры-кликера Hamster Kombat для распространения различных вредоносных угроз, нацеленных как на пользователей Android, так и на Windows. Игроков привлекает потенциал игры для заработка криптовалюты, но они подвергаются риску из-за поддельных версий игры, содержащих вредоносные программы, такие как шпионское ПО Ratel и infostealer Lumma Stealer. Пользователям рекомендуется соблюдать осторожность при загрузке неофициальных версий или связанного с ними программного обеспечения, чтобы защитить себя от этих киберугроз.
-----
Исследователи ESET обнаружили рост числа киберугроз, связанных с популярностью игры-кликера Hamster Kombat, которая в последние месяцы приобрела значительную популярность среди энтузиастов криптовалютных игр. Игроков привлекает возможность игры зарабатывать криптовалюту в процессе игрового процесса и обещанный запуск новой криптовалюты, привязанной к игре. Этот успех привел к распространению версий-подражателей, которые нацелены на получение прибыли от рекламы в приложении, хотя изначально не были задуманы как вредоносные.
Однако злоумышленники также начали пользоваться славой Hamster Kombat, распространяя угрозы по неофициальным каналам, таким как неофициальный Telegram-канал, распространяющий вредоносное ПО для Android, поддельные магазины приложений, предоставляющие нежелательную рекламу, и репозитории GitHub, распространяющие шифровальщики Lumma Stealer, маскируясь под инструменты автоматизации игр. В частности, пользователи Android подвергаются атаке программы-шпиона Ratel, выдающей себя за Hamster Kombat, в то время как пользователи Windows могут столкнуться с репозиториями, предлагающими ботов-фермеров и автоматические кликеры, которые содержат шифровальщики Lumma Stealer.
Основной игровой процесс Hamster Kombat заключается в том, что игроки нажимают на свои экраны, чтобы заработать игровые очки и вымышленную валюту. Привлекательность игры заключается в плане ее разработки, который включает в себя создание нового токена cryptocoin, который будет распространяться среди игроков посредством airdrops на основе определенных критериев, следуя успешной модели другой игры Telegram, Notcoin.
Исследователи ESET выявили и проанализировали угрозы, нацеленные на пользователей Android, в том числе шпионское ПО Ratel, выдающее себя за Hamster Kombat, и поддельные веб-сайты, которые якобы предлагают игру для скачивания, но перенаправляют пользователей на навязчивую рекламу. Для пользователей Windows репозитории на GitHub, которые якобы предлагают средства автоматизации игр, на самом деле содержат криптографические средства Lumma Stealer. Lumma Stealer - это хорошо известный инфокрад, предназначенный для сбора конфиденциальной информации, включая криптовалютные кошельки и учетные данные пользователей.
Были обнаружены различные версии шифровальщиков Lumma Stealer, встроенных в приложения, распространяемые через репозитории GitHub, в каждом из которых используются различные методы шифрования, чтобы скрыть присутствие вредоносного ПО. Вредоносная программа может выполнять различные вредоносные действия, такие как перехват SMS-сообщений, скрытие уведомлений от определенных приложений и мониторинг банковских операций.
Поскольку популярность Hamster Kombat продолжает расти, она остается мишенью для киберпреступников, стремящихся использовать пользователей для получения финансовой выгоды. Хотя в самой оригинальной игре не было обнаружено каких-либо вредоносных действий, игрокам следует проявлять осторожность при загрузке неофициальных версий или связанного с ними программного обеспечения. Распространенность таких угроз, как шпионское ПО Ratel, поддельные магазины приложений и шифровальщики Lumma Stealer, подчеркивает необходимость бдительности и осведомленности пользователей, заинтересованных в игре.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что киберпреступники используют популярность игры-кликера Hamster Kombat для распространения различных вредоносных угроз, нацеленных как на пользователей Android, так и на Windows. Игроков привлекает потенциал игры для заработка криптовалюты, но они подвергаются риску из-за поддельных версий игры, содержащих вредоносные программы, такие как шпионское ПО Ratel и infostealer Lumma Stealer. Пользователям рекомендуется соблюдать осторожность при загрузке неофициальных версий или связанного с ними программного обеспечения, чтобы защитить себя от этих киберугроз.
-----
Исследователи ESET обнаружили рост числа киберугроз, связанных с популярностью игры-кликера Hamster Kombat, которая в последние месяцы приобрела значительную популярность среди энтузиастов криптовалютных игр. Игроков привлекает возможность игры зарабатывать криптовалюту в процессе игрового процесса и обещанный запуск новой криптовалюты, привязанной к игре. Этот успех привел к распространению версий-подражателей, которые нацелены на получение прибыли от рекламы в приложении, хотя изначально не были задуманы как вредоносные.
Однако злоумышленники также начали пользоваться славой Hamster Kombat, распространяя угрозы по неофициальным каналам, таким как неофициальный Telegram-канал, распространяющий вредоносное ПО для Android, поддельные магазины приложений, предоставляющие нежелательную рекламу, и репозитории GitHub, распространяющие шифровальщики Lumma Stealer, маскируясь под инструменты автоматизации игр. В частности, пользователи Android подвергаются атаке программы-шпиона Ratel, выдающей себя за Hamster Kombat, в то время как пользователи Windows могут столкнуться с репозиториями, предлагающими ботов-фермеров и автоматические кликеры, которые содержат шифровальщики Lumma Stealer.
Основной игровой процесс Hamster Kombat заключается в том, что игроки нажимают на свои экраны, чтобы заработать игровые очки и вымышленную валюту. Привлекательность игры заключается в плане ее разработки, который включает в себя создание нового токена cryptocoin, который будет распространяться среди игроков посредством airdrops на основе определенных критериев, следуя успешной модели другой игры Telegram, Notcoin.
Исследователи ESET выявили и проанализировали угрозы, нацеленные на пользователей Android, в том числе шпионское ПО Ratel, выдающее себя за Hamster Kombat, и поддельные веб-сайты, которые якобы предлагают игру для скачивания, но перенаправляют пользователей на навязчивую рекламу. Для пользователей Windows репозитории на GitHub, которые якобы предлагают средства автоматизации игр, на самом деле содержат криптографические средства Lumma Stealer. Lumma Stealer - это хорошо известный инфокрад, предназначенный для сбора конфиденциальной информации, включая криптовалютные кошельки и учетные данные пользователей.
Были обнаружены различные версии шифровальщиков Lumma Stealer, встроенных в приложения, распространяемые через репозитории GitHub, в каждом из которых используются различные методы шифрования, чтобы скрыть присутствие вредоносного ПО. Вредоносная программа может выполнять различные вредоносные действия, такие как перехват SMS-сообщений, скрытие уведомлений от определенных приложений и мониторинг банковских операций.
Поскольку популярность Hamster Kombat продолжает расти, она остается мишенью для киберпреступников, стремящихся использовать пользователей для получения финансовой выгоды. Хотя в самой оригинальной игре не было обнаружено каких-либо вредоносных действий, игрокам следует проявлять осторожность при загрузке неофициальных версий или связанного с ними программного обеспечения. Распространенность таких угроз, как шпионское ПО Ratel, поддельные магазины приложений и шифровальщики Lumma Stealer, подчеркивает необходимость бдительности и осведомленности пользователей, заинтересованных в игре.
#ParsedReport #CompletenessLow
25-07-2024
Growing Number of Threats Leveraging AI
https://symantec-enterprise-blogs.security.com/threat-intelligence/malware-ai-llm
Report completeness: Low
Threats:
Rhadamanthys
Netsupportmanager_rat
Oyster
Dbatloader
Lokibot_stealer
Houdini_rat
ChatGPT TTPs:
T1204, T1059.001, T1059.007, T1566.001, T1091
IOCs:
Hash: 37
Soft:
ChatGPT
Algorithms:
zip
Languages:
powershell, javascript
25-07-2024
Growing Number of Threats Leveraging AI
https://symantec-enterprise-blogs.security.com/threat-intelligence/malware-ai-llm
Report completeness: Low
Threats:
Rhadamanthys
Netsupportmanager_rat
Oyster
Dbatloader
Lokibot_stealer
Houdini_rat
ChatGPT TTPs:
do not use without manual checkT1204, T1059.001, T1059.007, T1566.001, T1091
IOCs:
Hash: 37
Soft:
ChatGPT
Algorithms:
zip
Languages:
powershell, javascript
Security
Growing Number of Threats Leveraging AI
Threat actors utilizing Large Language Model (LLM) AIs to generate code used in malware campaigns.
CTT Report Hub
#ParsedReport #CompletenessLow 25-07-2024 Growing Number of Threats Leveraging AI https://symantec-enterprise-blogs.security.com/threat-intelligence/malware-ai-llm Report completeness: Low Threats: Rhadamanthys Netsupportmanager_rat Oyster Dbatloader Lokibot_stealer…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея: В кибератаках все чаще используются большие языковые модели (LLM) для генерации вредоносного кода для доставки различных полезных данных, а фишинговые электронные письма служат основным механизмом доставки. Анализ показывает, что эти атаки становятся все более изощренными, поскольку для эффективного создания убедительных фишинговых электронных писем и вредоносного кода используются инструменты на базе искусственного интеллекта. Эта тенденция подчеркивает растущие возможности участников угроз, что требует усовершенствованных механизмов обнаружения и упреждающего мониторинга со стороны экспертов по кибербезопасности для противодействия угрозам, генерируемым искусственным интеллектом. Symantec находится на переднем крае разработки надежной защиты от подобных угроз, а такие эксперты, как Хоанг Джианг, активно участвуют в борьбе с киберугрозами.
-----
В кибератаках все чаще используются большие языковые модели (LLM) для генерации вредоносного кода для загрузки различных полезных данных.
В недавних вредоносных кампаниях использовались фишинговые электронные письма для доставки полезных данных, таких как Rhadamanthys, NetSupport, CleanUpLoader, ModiLoader, LokiBot и Dunihi.
Анализ показывает, что LLM, скорее всего, используются для создания сценариев для этих атак.
В некоторых кампаниях используются фишинговые электронные письма с вредоносными программами.файлы lnk запускают созданные LLM сценарии PowerShell для развертывания вредоносных программ, таких как Rhadamanthys и CleanUpLoader.
Сгенерированный LLM-кодом код облегчает как фишинговые атаки, так и доставку полезной информации в ходе атак.
Злоумышленники используют инструменты на базе искусственного интеллекта для создания убедительных фишинговых электронных писем и эффективной генерации сложного вредоносного кода, что позволяет проводить изощренные атаки.
Symantec активно борется с угрозами, создаваемыми искусственным интеллектом, используя передовые механизмы обнаружения и опыт поиска угроз.
Хоанг Джианг (Hoang Giang) из отдела разработки угроз Symantec играет важную роль в анализе угроз и разработке стратегий защиты от киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея: В кибератаках все чаще используются большие языковые модели (LLM) для генерации вредоносного кода для доставки различных полезных данных, а фишинговые электронные письма служат основным механизмом доставки. Анализ показывает, что эти атаки становятся все более изощренными, поскольку для эффективного создания убедительных фишинговых электронных писем и вредоносного кода используются инструменты на базе искусственного интеллекта. Эта тенденция подчеркивает растущие возможности участников угроз, что требует усовершенствованных механизмов обнаружения и упреждающего мониторинга со стороны экспертов по кибербезопасности для противодействия угрозам, генерируемым искусственным интеллектом. Symantec находится на переднем крае разработки надежной защиты от подобных угроз, а такие эксперты, как Хоанг Джианг, активно участвуют в борьбе с киберугрозами.
-----
В кибератаках все чаще используются большие языковые модели (LLM) для генерации вредоносного кода для загрузки различных полезных данных.
В недавних вредоносных кампаниях использовались фишинговые электронные письма для доставки полезных данных, таких как Rhadamanthys, NetSupport, CleanUpLoader, ModiLoader, LokiBot и Dunihi.
Анализ показывает, что LLM, скорее всего, используются для создания сценариев для этих атак.
В некоторых кампаниях используются фишинговые электронные письма с вредоносными программами.файлы lnk запускают созданные LLM сценарии PowerShell для развертывания вредоносных программ, таких как Rhadamanthys и CleanUpLoader.
Сгенерированный LLM-кодом код облегчает как фишинговые атаки, так и доставку полезной информации в ходе атак.
Злоумышленники используют инструменты на базе искусственного интеллекта для создания убедительных фишинговых электронных писем и эффективной генерации сложного вредоносного кода, что позволяет проводить изощренные атаки.
Symantec активно борется с угрозами, создаваемыми искусственным интеллектом, используя передовые механизмы обнаружения и опыт поиска угроз.
Хоанг Джианг (Hoang Giang) из отдела разработки угроз Symantec играет важную роль в анализе угроз и разработке стратегий защиты от киберугроз.
#ParsedReport #CompletenessMedium
25-07-2024
Mid-year Doppelgnger information operations in Europe and the US
https://harfanglab.io/en/insidethelab/doppelganger-operations-europe-us
Report completeness: Medium
Actors/Campaigns:
Doppelgnger (motivation: disinformation)
Copycop (motivation: disinformation)
Threats:
Qilin_ransomware
Blackseo_technique
Blnwx
Victims:
News websites, Social media platforms
Industry:
Military, Energy, Government, Entertainment
Geo:
German, France emerges, Taiwan, Of the french, France we, Moscow, During the french, France, Israel, Swc9ws targeting french, Ukraine, Polish, Switzerland, Targeting french, Hungary, France prompting, Poland, France prompting closer, France is, Russian, France unexpected, Germany, French, France we were, Russia, English french, Ukrainian, France is critiqued, France unexpected june, Language english french, By legitimate french, The french, Legitimate french, France and germany, France and, France emerges as, The us
ChatGPT TTPs:
T1071.001, T1036.005, T1027, T1087.003, T1568.002, T1074.001
IOCs:
Domain: 39
File: 3
IP: 16
Email: 1
Soft:
OpenSSH, discord, WordPress, Telegram
Algorithms:
base64
Languages:
php, javascript
Links:
25-07-2024
Mid-year Doppelgnger information operations in Europe and the US
https://harfanglab.io/en/insidethelab/doppelganger-operations-europe-us
Report completeness: Medium
Actors/Campaigns:
Doppelgnger (motivation: disinformation)
Copycop (motivation: disinformation)
Threats:
Qilin_ransomware
Blackseo_technique
Blnwx
Victims:
News websites, Social media platforms
Industry:
Military, Energy, Government, Entertainment
Geo:
German, France emerges, Taiwan, Of the french, France we, Moscow, During the french, France, Israel, Swc9ws targeting french, Ukraine, Polish, Switzerland, Targeting french, Hungary, France prompting, Poland, France prompting closer, France is, Russian, France unexpected, Germany, French, France we were, Russia, English french, Ukrainian, France is critiqued, France unexpected june, Language english french, By legitimate french, The french, Legitimate french, France and germany, France and, France emerges as, The us
ChatGPT TTPs:
do not use without manual checkT1071.001, T1036.005, T1027, T1087.003, T1568.002, T1074.001
IOCs:
Domain: 39
File: 3
IP: 16
Email: 1
Soft:
OpenSSH, discord, WordPress, Telegram
Algorithms:
base64
Languages:
php, javascript
Links:
https://github.com/HarfangLab/iocs/tree/main/TRR240701https://github.com/nicxlau/hunter-php-javascript-obfuscator
CTT Report Hub
#ParsedReport #CompletenessMedium 25-07-2024 Mid-year Doppelgnger information operations in Europe and the US https://harfanglab.io/en/insidethelab/doppelganger-operations-europe-us Report completeness: Medium Actors/Campaigns: Doppelgnger (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в углубленном анализе информационных операций-двойников, проводимых российскими субъектами, включая их тактику выдавать себя за популярные новостные сайты с целью распространения дезинформации, манипулирования общественным мнением в пользу российских интересов и дестабилизации западных демократий. В отчете подчеркивается сложность операций "двойников", использование ими различных методов для сокрытия своей инфраструктуры, целевых стран и пропаганды консервативных и националистических взглядов. В нем также обсуждается взаимосвязь между Doppelgänger и другими кампаниями по дезинформации, такими как CopyCop, и подчеркивается необходимость принятия эффективных контрмер и международного сотрудничества для противодействия этим угрозам.
-----
Российские агенты проводили информационные операции-двойники во время досрочных всеобщих выборов во Франции в 2024 году, выдавая себя за новостные сайты для распространения дезинформации в интересах России.
Тактика включает использование социальных сетей и цифровых МЕДИА для распространения сфабрикованной, поддельной или законной информации на нескольких языках.
Сложность инфраструктуры затрудняет обнаружение в режиме реального времени, включая запутанные цепочки перенаправлений, запутанный код Javascript, веб-серверы со специфическими сервисами и серверы отслеживания за обратным прокси-сервером Cloudflare.
Публикации-двойники демонстрируют склонность к консервативной экономической политике и социально ограничительным взглядам, направленным на дестабилизацию целевых стран с помощью искусственного дискурса.
Спам-сети используются для повышения узнаваемости в Интернете с акцентом на повышение рейтинга веб-сайта PageRank с помощью поддельных комментариев.
Российские актеры стремятся продвигать иностранный нарратив в Европе и США, ориентируясь на такие страны, как Украина, Франция, Германия и США, с акцентом на консервативные и националистические взгляды.
Операции "двойников" адаптируются и, вероятно, используют арендованную или совместно используемую инфраструктуру для борьбы с киберпреступностью, активизируя усилия, в том числе по распространению контента, созданного с помощью искусственного интеллекта, для повышения вирусности.
Существует взаимосвязь между кампаниями по дезинформации, такими как Doppelgänger и CopyCop, когда Doppelgänger дополняет контент других операций.
CopyCop, еще одна поддерживаемая Россией операция, использует технологию искусственного интеллекта для создания самоуверенного и поддельного новостного контента, поддерживающего официальную российскую версию событий.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в углубленном анализе информационных операций-двойников, проводимых российскими субъектами, включая их тактику выдавать себя за популярные новостные сайты с целью распространения дезинформации, манипулирования общественным мнением в пользу российских интересов и дестабилизации западных демократий. В отчете подчеркивается сложность операций "двойников", использование ими различных методов для сокрытия своей инфраструктуры, целевых стран и пропаганды консервативных и националистических взглядов. В нем также обсуждается взаимосвязь между Doppelgänger и другими кампаниями по дезинформации, такими как CopyCop, и подчеркивается необходимость принятия эффективных контрмер и международного сотрудничества для противодействия этим угрозам.
-----
Российские агенты проводили информационные операции-двойники во время досрочных всеобщих выборов во Франции в 2024 году, выдавая себя за новостные сайты для распространения дезинформации в интересах России.
Тактика включает использование социальных сетей и цифровых МЕДИА для распространения сфабрикованной, поддельной или законной информации на нескольких языках.
Сложность инфраструктуры затрудняет обнаружение в режиме реального времени, включая запутанные цепочки перенаправлений, запутанный код Javascript, веб-серверы со специфическими сервисами и серверы отслеживания за обратным прокси-сервером Cloudflare.
Публикации-двойники демонстрируют склонность к консервативной экономической политике и социально ограничительным взглядам, направленным на дестабилизацию целевых стран с помощью искусственного дискурса.
Спам-сети используются для повышения узнаваемости в Интернете с акцентом на повышение рейтинга веб-сайта PageRank с помощью поддельных комментариев.
Российские актеры стремятся продвигать иностранный нарратив в Европе и США, ориентируясь на такие страны, как Украина, Франция, Германия и США, с акцентом на консервативные и националистические взгляды.
Операции "двойников" адаптируются и, вероятно, используют арендованную или совместно используемую инфраструктуру для борьбы с киберпреступностью, активизируя усилия, в том числе по распространению контента, созданного с помощью искусственного интеллекта, для повышения вирусности.
Существует взаимосвязь между кампаниями по дезинформации, такими как Doppelgänger и CopyCop, когда Doppelgänger дополняет контент других операций.
CopyCop, еще одна поддерживаемая Россией операция, использует технологию искусственного интеллекта для создания самоуверенного и поддельного новостного контента, поддерживающего официальную российскую версию событий.
#ParsedReport #CompletenessLow
25-07-2024
Search. Russia-nexus actor targets Ukraine
https://blog.strikeready.com/blog/russia-nexus-actor-targets-ukraine
Report completeness: Low
Victims:
Ukr.net sender
Industry:
Government
Geo:
Ukrainian, Ukraine, Russia
ChatGPT TTPs:
T1071.001, T1566.002
IOCs:
File: 18
IP: 1
Domain: 6
Hash: 9
Algorithms:
zip
Languages:
php
Links:
25-07-2024
Search. Russia-nexus actor targets Ukraine
https://blog.strikeready.com/blog/russia-nexus-actor-targets-ukraine
Report completeness: Low
Victims:
Ukr.net sender
Industry:
Government
Geo:
Ukrainian, Ukraine, Russia
ChatGPT TTPs:
do not use without manual checkT1071.001, T1566.002
IOCs:
File: 18
IP: 1
Domain: 6
Hash: 9
Algorithms:
zip
Languages:
php
Links:
https://github.com/StrikeReady-Inc/research/tree/main/2024-07-23%20RU%20APT%20with%20tiny%20htmlStrikeready
Russia-nexus Actor Targets Ukraine - Phishing Campaign
Learn how Russian attackers bypass detection with small email attachments. This blog examines a phishing campaign targeting Ukraine’s economy with key IOCs
CTT Report Hub
#ParsedReport #CompletenessLow 25-07-2024 Search. Russia-nexus actor targets Ukraine https://blog.strikeready.com/blog/russia-nexus-actor-targets-ukraine Report completeness: Low Victims: Ukr.net sender Industry: Government Geo: Ukrainian, Ukraine, Russia…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в анализе фишинговой кампании, нацеленной на государственную организацию, связанную с экономикой Украины, которая включала поддельное электронное письмо от ukr.net и фишинговую страницу, имитирующую интерфейс входа в систему ukr.net. Анализ фокусируется на выявлении уникальных элементов на фишинговой странице, таких как наличие "head lang="uk"" в HTML-коде, для создания сигнатур для обнаружения подобных угроз. Дальнейшее расследование фишинговой кампании включает в себя изучение того, как украденные учетные данные отправляются с помощью PHP-скрипта, и анализ макета фишинговой страницы для выявления закономерностей, которые могут помочь специалистам по кибербезопасности защитить организации от подобных вредоносных действий.
-----
В переадресованном электронном письме на Virustotal был указан поддельный отправитель из ukr.net представляясь "Главным полицейским управлением". Целью была правительственная организация, связанная с украинской экономикой. Электронное письмо содержало фишинговую страницу, созданную для имитации ukr.net интерфейс входа в систему. ukr.net это украинский почтовый сервис, который часто становится мишенью злоумышленников, связанных с Россией.
Фишинговая страница с именем doc.html содержит идентифицируемые элементы, которые могут быть использованы в качестве сигнатур для обнаружения подобных фишинговых кампаний. Одним из примечательных артефактов является наличие "head lang="uk"" в HTML-коде. В теге head редко можно найти атрибут lang, поскольку обычно он находится в теге html. Эта уникальная характеристика в сочетании с другими показателями может создать надежную сигнатуру для выявления подобных угроз.
При ближайшем рассмотрении целевых страниц, на которые даны ссылки в электронном письме, становится очевидным, что украденные учетные данные были отправлены с помощью POST-запроса в PHP-скрипт, а затем перенаправлены. Затем PHP-скрипт перенаправляет учетные данные на страницу-приманку, которая может представлять интерес для украинской целевой аудитории. Аналитики часто размышляют о содержимом связанных файлов, когда сталкиваются с такими названиями, как "dl8.php , "побуждающий к дальнейшему расследованию таких файлов, как "dl1.php ," "dl2.php ," и так далее.
Анализ структуры фишинговой страницы и ее отличия от законной инфраструктуры может выявить закономерности, которые приводят к обнаружению аналогичных фишинговых кампаний. Распознавая эти закономерности и отклонения от законной практики, специалисты по кибербезопасности могут лучше защитить организации от подобных вредоносных действий.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в анализе фишинговой кампании, нацеленной на государственную организацию, связанную с экономикой Украины, которая включала поддельное электронное письмо от ukr.net и фишинговую страницу, имитирующую интерфейс входа в систему ukr.net. Анализ фокусируется на выявлении уникальных элементов на фишинговой странице, таких как наличие "head lang="uk"" в HTML-коде, для создания сигнатур для обнаружения подобных угроз. Дальнейшее расследование фишинговой кампании включает в себя изучение того, как украденные учетные данные отправляются с помощью PHP-скрипта, и анализ макета фишинговой страницы для выявления закономерностей, которые могут помочь специалистам по кибербезопасности защитить организации от подобных вредоносных действий.
-----
В переадресованном электронном письме на Virustotal был указан поддельный отправитель из ukr.net представляясь "Главным полицейским управлением". Целью была правительственная организация, связанная с украинской экономикой. Электронное письмо содержало фишинговую страницу, созданную для имитации ukr.net интерфейс входа в систему. ukr.net это украинский почтовый сервис, который часто становится мишенью злоумышленников, связанных с Россией.
Фишинговая страница с именем doc.html содержит идентифицируемые элементы, которые могут быть использованы в качестве сигнатур для обнаружения подобных фишинговых кампаний. Одним из примечательных артефактов является наличие "head lang="uk"" в HTML-коде. В теге head редко можно найти атрибут lang, поскольку обычно он находится в теге html. Эта уникальная характеристика в сочетании с другими показателями может создать надежную сигнатуру для выявления подобных угроз.
При ближайшем рассмотрении целевых страниц, на которые даны ссылки в электронном письме, становится очевидным, что украденные учетные данные были отправлены с помощью POST-запроса в PHP-скрипт, а затем перенаправлены. Затем PHP-скрипт перенаправляет учетные данные на страницу-приманку, которая может представлять интерес для украинской целевой аудитории. Аналитики часто размышляют о содержимом связанных файлов, когда сталкиваются с такими названиями, как "dl8.php , "побуждающий к дальнейшему расследованию таких файлов, как "dl1.php ," "dl2.php ," и так далее.
Анализ структуры фишинговой страницы и ее отличия от законной инфраструктуры может выявить закономерности, которые приводят к обнаружению аналогичных фишинговых кампаний. Распознавая эти закономерности и отклонения от законной практики, специалисты по кибербезопасности могут лучше защитить организации от подобных вредоносных действий.
#ParsedReport #CompletenessLow
25-07-2024
GXC Team Unmasked: The cybercriminal group targeting Spanish bank users with AI-powered phishing tools and android malware
https://www.group-ib.com/blog/gxc-team-unmasked
Report completeness: Low
Actors/Campaigns:
Gxc_team (motivation: cyber_criminal)
Threats:
Typosquatting_technique
Sms_stealer
Victims:
Bank users, Governmental bodies
Industry:
Financial, E-commerce
Geo:
Brazil, Spanish, United kingdom, Spain, Slovakia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1204.001, T1056.001, T1105, T1071.003, T1094, T1189
IOCs:
Hash: 10
Soft:
android, Telegram
Algorithms:
sha256
25-07-2024
GXC Team Unmasked: The cybercriminal group targeting Spanish bank users with AI-powered phishing tools and android malware
https://www.group-ib.com/blog/gxc-team-unmasked
Report completeness: Low
Actors/Campaigns:
Gxc_team (motivation: cyber_criminal)
Threats:
Typosquatting_technique
Sms_stealer
Victims:
Bank users, Governmental bodies
Industry:
Financial, E-commerce
Geo:
Brazil, Spanish, United kingdom, Spain, Slovakia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1204.001, T1056.001, T1105, T1071.003, T1094, T1189
IOCs:
Hash: 10
Soft:
android, Telegram
Algorithms:
sha256
Group-IB
GXC Team Unmasked | Group-IB Blog
Specializing in AI-powered phishing-as-a-service and Android malware capable of intercepting OTP codes, the GXC Team targets Spanish bank users and 30 institutions worldwide
CTT Report Hub
#ParsedReport #CompletenessLow 25-07-2024 GXC Team Unmasked: The cybercriminal group targeting Spanish bank users with AI-powered phishing tools and android malware https://www.group-ib.com/blog/gxc-team-unmasked Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Команда GXC - это испаноязычная преступная группировка, специализирующаяся на фишинге с использованием искусственного интеллекта и вредоносных программах для Android, нацеленных на пользователей испанских банков и учреждений по всему миру. Они предлагают наборы для фишинга и вредоносное ПО для Android, которые перехватывают OTP-коды, крадут банковские учетные данные и совершают мошеннические операции с помощью сложного сценария атаки. Их инновационный подход сочетает методы фишинга с вредоносным ПО и функциями искусственного интеллекта, создавая серьезную угрозу банковской безопасности во всем мире.
-----
Команда GXC, испаноязычная преступная группировка, впервые выявленная в январе 2023 года, специализируется на фишинге с использованием искусственного интеллекта и вредоносных программах для Android, нацеленных на пользователей испанских банков и 30 учреждений по всему миру. Они работают через Telegram и Exploit.in, предлагая наборы для фишинга и вредоносное ПО для Android в комплекте с такими функциями, как перехват OTP-кодов. Их услуги включают кражу банковских учетных данных, пользовательское кодирование и опции "вредоносное ПО как услуга", адаптированные для банковских доменов. Злоумышленники внедрили более 250 фишинговых доменов и 9 разновидностей вредоносного ПО для Android.
Инновационный подход команды GXC сочетает фишинговые наборы с вредоносной программой для Android, которая крадет OTP-коды. Вредоносная программа для Android маскируется под банковское приложение и тайно пересылает SMS-сообщения боту Telegram, контролируемому группой. Кроме того, команда GXC включает функцию искусственного интеллекта в свой набор для фишинга, чтобы генерировать убедительные голосовые вызовы для жертв, повышая доверие к сценарию мошенничества.
Сценарий их атаки заключается в отправке фишинговых сообщений по SMS, которые приводят жертву на мошеннический веб-сайт для ввода учетных данных и личной информации. Злоумышленники динамически манипулируют фишинговым набором, запрашивая различные данные, включая документы, удостоверяющие личность, номера телефонов и OTP-коды. Вредоносная программа для Android, установленная через фишинговую страницу, крадет OTP-коды, позволяя злоумышленникам проводить несанкционированные транзакции с использованием учетных записей жертв.
Вредоносная программа для Android, разработанная командой GXC, представляет подлинную веб-страницу банка через WebView, запрашивая ее установку в качестве SMS-приложения по умолчанию для перехвата OTP-сообщений. Затем вредоносное приложение пересылает эти сообщения в Telegram-чат, контролируемый злоумышленниками, что позволяет им проводить мошеннические операции.
Сочетая методы фишинга с вредоносным ПО для Android и функциями, улучшенными с помощью искусственного интеллекта, команда GXC представляет серьезную угрозу банковской безопасности в Испании и во всем мире. Их универсальные инструменты и развивающиеся стратегии атак демонстрируют потенциальные риски не только для отдельных пользователей, но и для финансовых учреждений, которые должны защищаться от подобных киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Команда GXC - это испаноязычная преступная группировка, специализирующаяся на фишинге с использованием искусственного интеллекта и вредоносных программах для Android, нацеленных на пользователей испанских банков и учреждений по всему миру. Они предлагают наборы для фишинга и вредоносное ПО для Android, которые перехватывают OTP-коды, крадут банковские учетные данные и совершают мошеннические операции с помощью сложного сценария атаки. Их инновационный подход сочетает методы фишинга с вредоносным ПО и функциями искусственного интеллекта, создавая серьезную угрозу банковской безопасности во всем мире.
-----
Команда GXC, испаноязычная преступная группировка, впервые выявленная в январе 2023 года, специализируется на фишинге с использованием искусственного интеллекта и вредоносных программах для Android, нацеленных на пользователей испанских банков и 30 учреждений по всему миру. Они работают через Telegram и Exploit.in, предлагая наборы для фишинга и вредоносное ПО для Android в комплекте с такими функциями, как перехват OTP-кодов. Их услуги включают кражу банковских учетных данных, пользовательское кодирование и опции "вредоносное ПО как услуга", адаптированные для банковских доменов. Злоумышленники внедрили более 250 фишинговых доменов и 9 разновидностей вредоносного ПО для Android.
Инновационный подход команды GXC сочетает фишинговые наборы с вредоносной программой для Android, которая крадет OTP-коды. Вредоносная программа для Android маскируется под банковское приложение и тайно пересылает SMS-сообщения боту Telegram, контролируемому группой. Кроме того, команда GXC включает функцию искусственного интеллекта в свой набор для фишинга, чтобы генерировать убедительные голосовые вызовы для жертв, повышая доверие к сценарию мошенничества.
Сценарий их атаки заключается в отправке фишинговых сообщений по SMS, которые приводят жертву на мошеннический веб-сайт для ввода учетных данных и личной информации. Злоумышленники динамически манипулируют фишинговым набором, запрашивая различные данные, включая документы, удостоверяющие личность, номера телефонов и OTP-коды. Вредоносная программа для Android, установленная через фишинговую страницу, крадет OTP-коды, позволяя злоумышленникам проводить несанкционированные транзакции с использованием учетных записей жертв.
Вредоносная программа для Android, разработанная командой GXC, представляет подлинную веб-страницу банка через WebView, запрашивая ее установку в качестве SMS-приложения по умолчанию для перехвата OTP-сообщений. Затем вредоносное приложение пересылает эти сообщения в Telegram-чат, контролируемый злоумышленниками, что позволяет им проводить мошеннические операции.
Сочетая методы фишинга с вредоносным ПО для Android и функциями, улучшенными с помощью искусственного интеллекта, команда GXC представляет серьезную угрозу банковской безопасности в Испании и во всем мире. Их универсальные инструменты и развивающиеся стратегии атак демонстрируют потенциальные риски не только для отдельных пользователей, но и для финансовых учреждений, которые должны защищаться от подобных киберугроз.
#ParsedReport #CompletenessHigh
25-07-2024
Secret message: TA558 steganography tricks in cyber attacks on enterprises in Russia and Belarus
https://www.facct.ru/blog/ta558
Report completeness: High
Actors/Campaigns:
Ta558 (motivation: cyber_criminal)
Threats:
Steganography_technique
Spear-phishing_technique
Remcos_rat
Agent_tesla
Njrat
Victims:
Financial institutions, Government organizations, Companies in the tourism industry, Enterprises, Government agencies, Banks, Industrial enterprises
Industry:
Financial, Government
Geo:
Turkish, Russia, Russian, Belarus, Latin america, Romanian, Russian federation, Usa, Italian
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)
TTPs:
Tactics: 7
Technics: 31
IOCs:
Email: 4
Domain: 30
IP: 19
File: 11
Command: 1
Hash: 67
Path: 1
Soft:
Microsoft Office, Windows PowerShell, Telegram, Viber, WhatsApp
Algorithms:
sha1, sha256, md5, base64
Languages:
powershell, swift, visual_basic
25-07-2024
Secret message: TA558 steganography tricks in cyber attacks on enterprises in Russia and Belarus
https://www.facct.ru/blog/ta558
Report completeness: High
Actors/Campaigns:
Ta558 (motivation: cyber_criminal)
Threats:
Steganography_technique
Spear-phishing_technique
Remcos_rat
Agent_tesla
Njrat
Victims:
Financial institutions, Government organizations, Companies in the tourism industry, Enterprises, Government agencies, Banks, Industrial enterprises
Industry:
Financial, Government
Geo:
Turkish, Russia, Russian, Belarus, Latin america, Romanian, Russian federation, Usa, Italian
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)
TTPs:
Tactics: 7
Technics: 31
IOCs:
Email: 4
Domain: 30
IP: 19
File: 11
Command: 1
Hash: 67
Path: 1
Soft:
Microsoft Office, Windows PowerShell, Telegram, Viber, WhatsApp
Algorithms:
sha1, sha256, md5, base64
Languages:
powershell, swift, visual_basic