#ParsedReport #ExtractedSchema

Classified images:
schema: 3, chats: 2, code: 4, chart: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в обнаружении масштабной кампании по перехвату SMS-сообщений, нацеленной на Android, в которой задействовано более 107 000 образцов вредоносного ПО. Злоумышленники используют обманную тактику, чтобы обманом заставить жертв загрузить вредоносные приложения, которые крадут OTP-адреса и конфиденциальные данные из SMS-сообщений, уделяя особое внимание краже OTP-адресов для онлайн-верификации учетной записи. Кампания нацелена на пользователей по всему миру, в первую очередь в России и Индии, которые связаны с финансовыми мотивами и сетью серверов управления и ботов Telegram. В тексте подчеркивается необходимость надежных решений для обеспечения безопасности мобильных устройств и многоуровневого подхода к борьбе с подобными вредоносными кампаниями.
-----

В тексте рассказывается о масштабной кампании по краже SMS-сообщений, нацеленной на Android, обнаруженной zLabs в феврале 2022 года, в которой было задействовано более 107 000 образцов вредоносного ПО. Злоумышленники используют тактику обмана, чтобы заставить жертв загружать вредоносные приложения, которые крадут OTP-адреса и конфиденциальные данные из SMS-сообщений. Вредоносная программа действует поэтапно, от установки приложения до сбора данных OTP, с целью кражи OTP-адресов для онлайн-верификации аккаунта. Для проведения кампании злоумышленники используют такие методы, как вредоносная реклама, Telegram-боты и C&C-серверы.

Вредоносная кампания нацелена на пользователей по всему миру, в результате чего пострадали более 60 ведущих мировых брендов в 113 странах, в первую очередь в России и Индии. Злоумышленники действуют через 13 серверов C&C и сеть, состоящую примерно из 2600 ботов Telegram. Кампания основана на финансовых мотивах, о чем свидетельствуют подключения к веб-сайтам, принимающим различные способы оплаты, включая криптовалюту, которые обычно используются киберпреступниками для обеспечения анонимности.

В тексте подчеркивается важность надежных решений для обеспечения безопасности мобильных устройств для снижения угрозы, создаваемой такими вредоносными кампаниями. В нем подчеркивается необходимость многоуровневого подхода, включающего передовые технологии обнаружения, обучение пользователей и повышение осведомленности для борьбы с мошенническими действиями, такими как фишинг и социальная инженерия. Предприятиям рекомендуется внедрять комплексные решения для защиты от мобильных угроз, чтобы защититься от появляющихся вредоносных программ, таких как SMS stealer, о которых шла речь.

#ParsedReport #CompletenessHigh
29-07-2024

UNC4393 Goes Gently into the SILENTNIGHT

https://cloud.google.com/blog/topics/threat-intelligence/unc4393-goes-gently-into-silentnight

Report completeness: High

Actors/Campaigns:
Unc4393 (motivation: financially_motivated, information_theft)
Unc2633 (motivation: information_theft)
Unc2500 (motivation: information_theft)
Unc3973
Unc5155
22-053
23-053 (motivation: information_theft)
24-018 (motivation: financially_motivated, information_theft)

Threats:
Z_loader
Qakbot
Beacon
Blackbasta
Smuggling_technique
Shadow_copies_delete_technique
Systembc
Danabot
Smokeloader
Gozi
Knotwrap
Tedy
Dawncry
Daveshell
Casdet
Jalapeno
Darkgate
Lolbin_technique
Malleable_c2_tool
Cobalt_strike
Bloodhound_tool
Adfind_tool
Psnmap_tool
Anydesk_tool
Atera_tool
Splashtop_tool
Screenconnect_tool
Supremo_tool
Netsupportmanager_rat
Trickbot
Conti
Powersploit
Powerview
Havoc
Oyster
Emotet
Crypmod
Fragtor
Delshad

Industry:
Healthcare

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1566, T1071, T1047, T1219, T1105, T1078, T1021, T1567

IOCs:
File: 2
Path: 7
Registry: 3
IP: 66
Domain: 33
Hash: 14

Soft:
Windows Registry, PsExec, ESXi

Algorithms:
chacha20, xchacha20, zip

Functions:
GetOnlineComputers

Languages:
swift

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что Mandiant выявил и отследил группу злоумышленников под названием UNC4393, известную в первую очередь тем, что использовала программу-вымогатель BASTA для вымогательства. UNC4393 демонстрирует сложную и постоянно развивающуюся тактику в своих кибероперациях, ориентируясь на получение финансовой выгоды за счет требований выкупа и утечки данных. Организациям настоятельно рекомендуется усилить свои меры безопасности для защиты от растущих угроз, создаваемых UNC4393 и аналогичными группами угроз.
-----

В середине 2022 года в Mandiant обнаружили многочисленные вторжения с участием QAKBOT, что привело к развертыванию BEACON наряду с другими индикаторами, указывающими на наличие программ-вымогателей. Это ознаменовало первоначальную идентификацию компанией Mandiant UNC4393, основного пользователя программы-вымогателя BASTA. Компания Mandiant отреагировала на более чем 40 отдельных вторжений UNC4393 в 20 различных отраслях промышленности. Несмотря на финансовую мотивацию UNC4393, его основной целью является использование программы-вымогателя BASTA для вымогательства, при этом скорость работы очевидна: среднее время получения выкупа составляет примерно 42 часа. UNC4393 в основном получает первоначальный доступ через заражение ботнетом QAKBOT и демонстрирует эволюцию в направлении разработки пользовательских вредоносных программ.

Было замечено, что UNC4393 использует различные кластеры распространения для первоначального доступа, включая заражение DARKGATE и SILENTNIGHT. Для осуществления вредоносных действий группа также использует методы "жизни вне земли" и пользовательские вредоносные программы, такие как BEACON, DAWNCRY, DAVESHELL и PORTYARD. Было отмечено, что в UNC4393 используются инструменты с открытым исходным кодом, такие как BLOODHOUND, ADFIND и COGSCAN, для картографирования сети и перечисления систем.

Кроме того, UNC4393 демонстрирует предпочтение SMB BEACON и RDP для горизонтального перемещения в уязвимых средах. Группа также использует различное программное обеспечение RMM, такое как ANYDESK и SCREENCONNECT, для обеспечения устойчивости, хотя в последнее время эти инструменты утратили популярность. UNC4393 уделяет приоритетное внимание утечке данных с помощью таких инструментов, как RCLONE, и занимается вымогательством с помощью требований выкупа, переходя от ручного развертывания к использованию пользовательских утилит, таких как KNOTROCK, для оптимизации операций.

Mandiant активно отслеживает кампании UNC4393, связанные с внедрением программ-вымогателей BASTA, с 2022 года, отмечая совпадения с операторами, связанными с историческими экосистемами угроз, такими как TRICKBOT и CONTI. Кластер продемонстрировал адаптивность и переход к различным источникам начального доступа, что было видно на примере заражения DARKGATE. Недавние операции, связанные с кражей данных, внедрением программ-вымогателей и перемещением в другие страны, отражают настойчивость и эволюцию тактики UNC4393 в отношении сетей жертв.

Таким образом, UNC4393, руководствуясь финансовыми мотивами, продемонстрировала сложный и адаптируемый подход к своим кибероперациям, подчеркнув необходимость усиления мер безопасности для защиты от развивающихся угроз, создаваемых кластерами угроз, подобными UNC4393. Понимание тонкостей функционирования UNC4393 имеет решающее значение для организаций, стремящихся снизить риски, связанные с киберугрозами.

#ParsedReport #CompletenessLow
30-07-2024

SnakeKeylogger malware distributed via email

https://asec.ahnlab.com/ko/81806

Report completeness: Low

Threats:
Snake_keylogger
Trojan/win.autoit.xg85

Geo:
Chinese

ChatGPT TTPs:
do not use without manual check
T1204.002, T1055.012, T1140, T1027

IOCs:
File: 3
Path: 3
Hash: 5
Url: 1

Soft:
Telegram, Amigo, Kometa, Nichrome, Chrome, CocCoc, Orbitum, Slimjet, Vivaldi, Chromium, have more...

Algorithms:
md5

Win API:
VirtualAlloc

Languages:
autoit

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста - подробный анализ вредоносной программы SnakeKeylogger, включая методы ее распространения, функциональность, методы обфускации, возможности кражи данных и возможности настройки для злоумышленников.
-----

Недавно ASEC подтвердила факт распространения вредоносного ПО SnakeKeylogger по электронной почте. Это вредоносное ПО, написанное на языке .NET, относится к категории infostealer и известно своими методами утечки данных с использованием электронной почты, FTP, SMTP или Telegram. Вредоносный исполняемый файл BankTarn.exe скомпилирован с помощью скрипта AutoIt, который при извлечении обнаруживает три файла: один скрипт AutoIt и два двоичных файла. Процесс внедрения SnakeKeylogger в легитимный процесс из скрипта AutoIt включает в себя серьезную путаницу с расшифрованными строками, указывающими на намерение выделить пространство с помощью VirtualAlloc и запустить там вредоносный код, в частности шелл-код, созданный в каталоге %Temp%.

Шелл-код, ответственный за внедрение вредоносного ПО SnakeKeylogger в обычные процессы, шифрует вредоносное ПО в файле, находящемся в том же каталоге %Temp%. Внедренное вредоносное ПО нацелено на определенные процессы, выбранные злоумышленником в зависимости от системной среды. Расшифровка зашифрованного файла происходит с помощью шелл-кода, который затем сопоставляет ntdll.dll и активирует вредоносный код SnakeKeylogger во вновь созданном процессе. Несмотря на название, предполагающее возможности кейлоггинга, функция кейлоггера в коде вредоносной программы не работает во время анализа, что указывает на настраиваемый аспект в процессе создания вредоносной программы. Таким образом, злоумышленник может адаптировать и создать вредоносную программу SnakeKeylogger с определенными функциональными возможностями, причем текущая версия ориентирована исключительно на кражу информации.

Украденные данные, включая информацию об учетной записи из таких сервисов, как электронная почта, браузеры, FTP и сайты социальных сетей, затем передаются злоумышленнику по протоколу SMTP. Хотя украденная информация в данном случае отправляется по протоколу SMTP, остатки кода предполагают альтернативные методы, такие как использование Telegram или отправка данных по протоколу HTTP, которые были нефункциональными. Это подчеркивает потенциал настройки вредоносного ПО SnakeKeylogger, о котором говорилось ранее, и указывает злоумышленникам на возможность изменять методы связи в зависимости от своих предпочтений или операционных требований.

House of Pain
A practical approach for an x86-64 ELF virus.

https://hckng.org/~isra/articles/house-of-pain.html

#ParsedReport #CompletenessLow
30-07-2024

EchoSpoofing A Massive Phishing Campaign Exploiting Proofpoints Email Protection to Dispatch Millions of Perfectly Spoofed Emails.

https://labs.guard.io/echospoofing-a-massive-phishing-campaign-exploiting-proofpoints-email-protection-to-dispatch-3dd6b5417db6

Report completeness: Low

Threats:
Echospoofing_technique

Victims:
Disney, Ibm, Nike, Best buy, Coca-cola

ChatGPT TTPs:
do not use without manual check
T1566.002, T1566.001, T1558.004, T1078.001

IOCs:
File: 2
Email: 1
IP: 42

Soft:
Office365, Gmail, Outlook, Office 365, PowerMTA, Microsoft Exchange

#ParsedReport #ExtractedSchema

Classified images:
schema: 8, windows: 4, chart: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в выявлении и устранении распространенного сложного эксплойта под названием "EchoSpoofing", нацеленного на службу защиты электронной почты Proofpoint, который привел к масштабным фишинговым кампаниям, затрагивающим известные компании и частных лиц. Этот инцидент подчеркивает сохраняющиеся уязвимости в протоколах электронной почты и важность постоянной бдительности, сотрудничества и совершенствования мер кибербезопасности для борьбы с появляющимися угрозами.
-----

Серьезный эксплойт под названием "EchoSpoofing" был нацелен на службу защиты электронной почты Proofpoint, что повлияло на такие крупные компании, как Disney, IBM, Nike, Best Buy и Coca-Cola.

Злоумышленники использовали инфраструктуру Proofpoint для отправки миллионов поддельных фишинговых электронных писем с использованием аутентифицированных подписей SPF и DKIM.

Злоумышленники использовали учетные записи Microsoft Office365 для отправки электронных писем через Proofpoint, обманом заставляя получателей предоставлять конфиденциальную информацию.

Guardio Labs сотрудничала с Proofpoint для оперативного решения и смягчения последствий этой проблемы, подчеркивая важность постоянной бдительности и сотрудничества в области кибербезопасности.

Несмотря на достижения в области протоколов защиты электронной почты, злоумышленники успешно проводили крупномасштабные фишинговые кампании, используя такие способы передачи электронной почты, как pphosted.com.

Злоумышленники использовали PowerMTA для массовой рассылки электронных писем, возможно, с привлечением частных лиц, предлагающих взломанные версии инструмента для незаконной деятельности.

Proofpoint предложила стратегию смягчения последствий, включающую уникальный заголовок для конкретного поставщика, X-OriginatorOrg, для проверки источника исходящих электронных писем и блокировки злоумышленников.

Решение проблем безопасности, таких как "эхо-перехват", требует улучшения устаревших протоколов, таких как SMTP, и интеграции мер безопасности с устаревшими платформами, такими как Microsoft Exchange.

#ParsedReport #CompletenessHigh
30-07-2024

Operation Giant: Financial turmoil under the circuit breaker order

https://mp-weixin-qq-com.translate.goog/s/ASEs8NYHIyGhXUVsaACe2A?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp

Report completeness: High

Actors/Campaigns:
Earth_berberoka
Drbcontrol
Tag-33
Winnti
Blacktech

Threats:
Dns_tunneling_technique
Goldeneye
Harpoon_technique
Medialoader
Servantshell
Plugx_rat
Clmpsuz
Themida_tool
Radmin_tool
Cobalt_strike
Zxshell
Plink_tool

Victims:
Financial institutions, Hospitals, Medical care, Gaming industry, Law firms, Government, Enterprise terminals

Industry:
Government, Healthcare, Financial, Entertainment

Geo:
China, Asian

CVEs:
CVE-2020-6287 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sap netweaver application server java (7.30, 7.31, 7.40, 7.50)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1071.004, T1095, T1568.002

IOCs:
File: 4
Hash: 5

Soft:
WeChat, Nessus, AWVS, QingScan

Algorithms:
md5

Languages:
golang, python

#ParsedReport #ExtractedSchema

Classified images:
code: 6, schema: 2, chart: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что организация BerBeroka занимает лидирующие позиции в сфере киберугроз, проводит изощренные атаки, нацеленные на различные сектора в Китае, использует передовые тактические приемы с привлечением квалифицированных внешних злоумышленников и инновационные методы удаленного управления, а также внедряет полезные программы второго этапа и специализированные инструменты для атак на другие объекты. важнейшие секторы, такие как больницы, финансы и государственные учреждения.
-----

Начиная с 2022 года, организация BerBeroka добилась значительных успехов в борьбе с киберугрозами, о чем постоянно сообщается в ежегодных отчетах Центра анализа угроз QiAnXin Threat Intelligence Center. Первоначально созданная Trend Micro, компания BerBeroka с тех пор объединила внутренние группы и расширила свою деятельность, поделившись опытом с DRBControl, TAG33 и другими организациями. Известная своими изощренными атаками, BerBeroka нацелилась на различные секторы в Китае, включая финансовую, больничную, медицинскую и игровую индустрии, нанеся ущерб, превосходящий ранее раскрытые угрозы, такие как APT-Q-29 и BlackTech.

В отличие от типичных киберугроз, атаки BerBeroka отличаются по своей природе, в них задействованы квалифицированные внешние злоумышленники с обширным опытом проникновения внутри страны и за рубежом. Эти злоумышленники демонстрируют повышенное стремление к финансовой выгоде, превосходя традиционные зарубежные организации APT по интенсивности и амбициозности. Принцип работы организации включает в себя развертывание в своей инфраструктуре таких сканеров, как Nessus, AWVS и QingScan, для поддержки крупномасштабных операций сканирования. BerBeroka использует уязвимости, такие как Nday и самостоятельно разработанные уязвимости 0day, для взлома целевых серверов, а также использует такие тактические приемы, как использование электронных писем harpoon для атаки на персональные терминалы.

Одна из примечательных стратегий BerBeroka заключается в снижении нагрузки на втором этапе путем взлома веб-сайтов отечественных юридических фирм и использования методов загрузки памяти, таких как Servantshell, с использованием отличительного Medialoader. Со временем Medialoader эволюционировал, включив в себя многоуровневые процессы загрузки памяти и используя функции, встроенные в 7z.dll, чтобы внедрить бэкдоры, такие как PlugX. К 2023 году BerBeroka начала заменять PlugX и Servantshell специализированными инструментами на контроллерах домена, такими как CLMPSUZ на базе golang, который использует туннелирование DNS для бокового перемещения при атаках на больницы.

В последние годы компания BerBeroka внедрила инновационные методы дистанционного управления, перейдя от традиционных инструментов, таких как MSF, к модифицированным версиям, таким как Ghost. Организация использует такие инструменты, как lcx, разработанные themida, для переадресации портов в интрасетях, а также такие сервисы, как MicroControl, для улучшения контроля над серверами Exchange во время боковых перемещений. В отличие от некоторых злоумышленников, которые используют троянские программы для утечки данных, BerBeroka предпочитает выполнять инструкции SQL вручную, используя такие инструменты, как osql.exe для извлечения и передачи целевых данных по FTP на свой сервер C2.

Эволюция тактики BerBeroka свидетельствует о тенденции к более целенаправленным атакам на критически важные секторы, такие как больницы, финансы и государственные учреждения. Основное внимание в этих атаках уделяется использованию данных с целью получения прибыли, поэтому они демонстрируют различные методы и процессы, адаптированные для получения максимальной выгоды от каждой целевой отрасли. Сложность и постоянство операций BerBeroka подчеркивают постоянную проблему, которую представляют собой продвинутые субъекты, представляющие угрозы в сфере кибербезопасности.

#ParsedReport #CompletenessLow
30-07-2024

APT group Donot used the theme of "The 7th COMAC International Science and Technology Innovation Week" to carry out phishing attacks. I. Introduction

https://www-ctfiot-com.translate.goog/196353.html?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp

Report completeness: Low

Actors/Campaigns:
Donot (motivation: cyber_espionage)

Victims:
Commercial aircraft corporation of china, ltd.

Industry:
Government, Military

Geo:
Pakistan, Asian, China, Sri lanka

ChatGPT TTPs:
do not use without manual check
T1566, T1204.002, T1059.001, T1140, T1027

IOCs:
Url: 2
Hash: 3
File: 1

Soft:
WeChat

Algorithms:
base64

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в изощренной фишинговой атаке, проведенной APT-группой Donot, известной своими связями с правительством Южной Азии, целью которой были жертвы, используя тему "7-й Международной недели инноваций в области науки и техники COMAC". В ходе атаки была использована сложная полезная нагрузка, замаскированная под файл быстрого доступа, и применялись передовые тактические приемы, такие как методы обфускации и выполнение шеллкода для осуществления вредоносных действий, что подчеркивает передовые возможности группы в области кибершпионажа.
-----

В ходе анализа была выявлена изощренная фишинговая атака, целью которой было использование темы "7-й Международной недели инноваций в области науки и техники COMAC". Злоумышленник, стоявший за атакой, был идентифицирован как группа APT Donot, известная своими связями с правительством одной из стран Южной Азии. Донот специализируется на кибершпионаже, направленном против правительственных учреждений, министерства обороны и военных ведомств, а также влиятельных фигур в деловом секторе, особенно в таких странах, как Китай, Пакистан и Шри-Ланка.

Кампания атаки была инициирована с помощью вредоносной полезной нагрузки, замаскированной под файл быстрого доступа с именем "COMAC_Technology_Innovation". Этот файл быстрого доступа послужил отправной точкой для установки основной полезной нагрузки, которая была выполнена с помощью команд PowerShell. Вредоносная полезная нагрузка использовала продвинутые тактические приемы, такие как загрузка дополнительных файлов, выполнение команд и создание запланированных задач для поддержания постоянства и выполнения запланированных вредоносных действий.

При дальнейшем анализе образца было обнаружено, что полезная нагрузка содержит сложную технологию обфускации. Первоначально полезная нагрузка выполняла процедуры инициализации символов и среды, сопровождаемые мерами по предотвращению отладки. Массив символов с надписью "aAm2uiegdx3lrye" в образце содержал значительный фрагмент зашифрованного текста в кодировке base64. Этот зашифрованный текст прошел несколько этапов декодирования и дешифрования для извлечения полезной нагрузки в виде открытого текста. Впоследствии полезная нагрузка в виде открытого текста включала вызов функций ядра, загрузку шеллкода в память и выполнение расшифрованного шеллкода посредством асинхронного вызова процесса.

Полезная нагрузка шелл-кода размером 0x5EA80 выполняла различные вредоносные функции, подробно описанные в анализе. Очевидно, что злоумышленники приложили значительные усилия, чтобы скрыть свою деятельность и избежать обнаружения, что подчеркивает сложный характер угрозы, исходящей от группы Donot. Углубленный технический анализ выборки проливает свет на изощренную тактику, используемую злоумышленниками для проникновения в системы и проведения операций кибершпионажа.