#ParsedReport #CompletenessLow
31-07-2024
Beware the RAT: Android Remote Access malware strikes in Malaysia
https://www.group-ib.com/blog/craxs-rat-malaysia
Report completeness: Low
Threats:
Craxsrat
Victims:
Financial organization
Industry:
Foodtech, Financial, Logistic, Retail
Geo:
Malaysia, Asia-pacific, Singapore
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1056.001, T1071.001, T1027, T1505.003
IOCs:
IP: 2
Hash: 213
Soft:
Android
Platforms:
apple
31-07-2024
Beware the RAT: Android Remote Access malware strikes in Malaysia
https://www.group-ib.com/blog/craxs-rat-malaysia
Report completeness: Low
Threats:
Craxsrat
Victims:
Financial organization
Industry:
Foodtech, Financial, Logistic, Retail
Geo:
Malaysia, Asia-pacific, Singapore
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1056.001, T1071.001, T1027, T1505.003
IOCs:
IP: 2
Hash: 213
Soft:
Android
Platforms:
apple
Group-IB
Android Remote Access malware strikes in Malaysia | Group-IB Blog
Group-IB's investigation on a malware sample targeting a Malaysia-based financial organization's clients in the Asia-Pacific region.
CTT Report Hub
#ParsedReport #CompletenessLow 31-07-2024 Beware the RAT: Android Remote Access malware strikes in Malaysia https://www.group-ib.com/blog/craxs-rat-malaysia Report completeness: Low Threats: Craxsrat Victims: Financial organization Industry: Foodtech…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что CraxsRAT, хорошо известное семейство вредоносных программ для Android, представляет серьезную угрозу для пользователей, особенно в банковском секторе, из-за своих продвинутых шпионских возможностей, которые позволяют красть учетные данные и несанкционированно выводить средства. Превентивные меры, такие как безопасная загрузка приложений, повышение осведомленности о безопасности и надежные механизмы обнаружения, имеют решающее значение для снижения рисков, связанных с этим сложным семейством вредоносных программ.
-----
CraxsRAT - это хорошо известное семейство вредоносных программ для Android, специализирующееся на средствах удаленного администрирования (RAT) с расширенными шпионскими функциями.
В недавнем отчете Group-IB об инцидентах подробно описывается атака на финансовую организацию, базирующуюся в Малайзии, в ходе которой жертвы были перенаправлены на фишинговый веб-сайт, выдававший себя за местный продуктовый бренд, для загрузки вредоносного приложения, ведущего к несанкционированному снятию средств с банковского счета.
Вредоносная программа в первую очередь нацелена на банковские организации в Малайзии, где было обнаружено более 190 образцов, использующих общую схему именования пакетов и имитирующих различные местные бренды.
Команда Group-IB по защите от мошенничества использует специализированные мероприятия и правила для обнаружения и предотвращения мошенничества, уделяя особое внимание доступу в режиме реального времени, использованию сервисов доступности, модифицированным SMS-приложениям и обнаружению наложений.
Конечным пользователям рекомендуется загружать мобильные приложения только из авторизованных магазинов, чтобы избежать поддельных приложений, содержащих вредоносное ПО.
Банковским организациям настоятельно рекомендуется обучать клиентов передовым методам обеспечения безопасности, внедрять многофакторную аутентификацию, системы обнаружения мошенничества в режиме реального времени и обеспечивать своевременное оповещение об угрозах.
Вредоносная программа CraxsRAT предоставляет злоумышленникам удаленный доступ для кражи учетных данных, что приводит к финансовым потерям, что требует многоуровневого подхода к обнаружению для эффективного предотвращения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что CraxsRAT, хорошо известное семейство вредоносных программ для Android, представляет серьезную угрозу для пользователей, особенно в банковском секторе, из-за своих продвинутых шпионских возможностей, которые позволяют красть учетные данные и несанкционированно выводить средства. Превентивные меры, такие как безопасная загрузка приложений, повышение осведомленности о безопасности и надежные механизмы обнаружения, имеют решающее значение для снижения рисков, связанных с этим сложным семейством вредоносных программ.
-----
CraxsRAT - это хорошо известное семейство вредоносных программ для Android, специализирующееся на средствах удаленного администрирования (RAT) с расширенными шпионскими функциями.
В недавнем отчете Group-IB об инцидентах подробно описывается атака на финансовую организацию, базирующуюся в Малайзии, в ходе которой жертвы были перенаправлены на фишинговый веб-сайт, выдававший себя за местный продуктовый бренд, для загрузки вредоносного приложения, ведущего к несанкционированному снятию средств с банковского счета.
Вредоносная программа в первую очередь нацелена на банковские организации в Малайзии, где было обнаружено более 190 образцов, использующих общую схему именования пакетов и имитирующих различные местные бренды.
Команда Group-IB по защите от мошенничества использует специализированные мероприятия и правила для обнаружения и предотвращения мошенничества, уделяя особое внимание доступу в режиме реального времени, использованию сервисов доступности, модифицированным SMS-приложениям и обнаружению наложений.
Конечным пользователям рекомендуется загружать мобильные приложения только из авторизованных магазинов, чтобы избежать поддельных приложений, содержащих вредоносное ПО.
Банковским организациям настоятельно рекомендуется обучать клиентов передовым методам обеспечения безопасности, внедрять многофакторную аутентификацию, системы обнаружения мошенничества в режиме реального времени и обеспечивать своевременное оповещение об угрозах.
Вредоносная программа CraxsRAT предоставляет злоумышленникам удаленный доступ для кражи учетных данных, что приводит к финансовым потерям, что требует многоуровневого подхода к обнаружению для эффективного предотвращения.
#ParsedReport #CompletenessMedium
31-07-2024
Dark Web Profile: APT40
https://socradar.io/dark-web-profile-apt40
Report completeness: Medium
Actors/Campaigns:
Leviathan (motivation: cyber_espionage)
Threats:
Spear-phishing_technique
Log4shell_vuln
Credential_harvesting_technique
Badflick
Chinachopper
Cobalt_strike
Derusbi
Gh0st_rat
Greenrat
Murkytop
Nanhaishu
Airbreak
Empire_loader
Powersploit
Steganography_technique
Typosquatting_technique
Industry:
Military, Government, Maritime, Transport, Logistic, Healthcare, Aerospace, Biotechnology, Education, Critical_infrastructure
Geo:
China, Chinese, Australian
CVEs:
CVE-2021-34473 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)
CVE-2021-34523 [Vulners]
CVSS V3.1: 9.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)
CVE-2021-26084 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- atlassian confluence data center (<6.13.23, <7.4.11, <7.11.6, <7.12.5)
- atlassian confluence server (<6.13.23, <7.4.11, <7.11.6, <7.12.5)
CVE-2021-31207 [Vulners]
CVSS V3.1: 6.6,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)
TTPs:
Tactics: 13
Technics: 29
IOCs:
File: 2
Soft:
Confluence, Microsoft Exchange
Languages:
powershell
Platforms:
arm
31-07-2024
Dark Web Profile: APT40
https://socradar.io/dark-web-profile-apt40
Report completeness: Medium
Actors/Campaigns:
Leviathan (motivation: cyber_espionage)
Threats:
Spear-phishing_technique
Log4shell_vuln
Credential_harvesting_technique
Badflick
Chinachopper
Cobalt_strike
Derusbi
Gh0st_rat
Greenrat
Murkytop
Nanhaishu
Airbreak
Empire_loader
Powersploit
Steganography_technique
Typosquatting_technique
Industry:
Military, Government, Maritime, Transport, Logistic, Healthcare, Aerospace, Biotechnology, Education, Critical_infrastructure
Geo:
China, Chinese, Australian
CVEs:
CVE-2021-34473 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)
CVE-2021-34523 [Vulners]
CVSS V3.1: 9.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)
CVE-2021-26084 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- atlassian confluence data center (<6.13.23, <7.4.11, <7.11.6, <7.12.5)
- atlassian confluence server (<6.13.23, <7.4.11, <7.11.6, <7.12.5)
CVE-2021-31207 [Vulners]
CVSS V3.1: 6.6,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)
TTPs:
Tactics: 13
Technics: 29
IOCs:
File: 2
Soft:
Confluence, Microsoft Exchange
Languages:
powershell
Platforms:
arm
SOCRadar® Cyber Intelligence Inc.
Dark Web Profile: APT40
APT40, also known as TEMP.Periscope, Leviathan, and many other aliases, is a Chinese cyber-espionage group attributed to the Chinese Ministry of State
CTT Report Hub
#ParsedReport #CompletenessMedium 31-07-2024 Dark Web Profile: APT40 https://socradar.io/dark-web-profile-apt40 Report completeness: Medium Actors/Campaigns: Leviathan (motivation: cyber_espionage) Threats: Spear-phishing_technique Log4shell_vuln Cre…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что APT40 - это китайская группа кибершпионажа, связанная с Министерством государственной безопасности Китая (МГБ), которая проводит кампании кибершпионажа как минимум с 2009 года, уделяя особое внимание таким секторам, как морской, оборонный, авиационный и технологический. Деятельность группы согласуется со стратегическими целями Китая по военной модернизации и расширению влияния на море, и они используют различные тактики, методы и процедуры (ТТП), согласующиеся с китайскими субъектами, спонсируемыми государством. APT40 создает значительные угрозы национальной безопасности и экономической стабильности, поскольку собирает конфиденциальную информацию, и стратегии смягчения последствий, такие как обновление программного обеспечения, фильтрация электронной почты и обучение сотрудников, необходимы для защиты от кибершпионажа.
-----
APT40 - это китайская группа кибершпионажа, связанная с Министерством государственной безопасности Китая и действующая по меньшей мере с 2009 года.
Группа фокусируется на таких секторах, как судоходство, оборона, авиация и технологии, чтобы поддержать военную модернизацию Китая и достижение целей влияния на море.
Деятельность APT40 была подтверждена агентствами по кибербезопасности и согласована с TTP, характерными для китайских компаний, спонсируемых государством.
Недавние обвинительные заключения Министерства юстиции США свидетельствуют о сотрудничестве APT40 с сотрудниками китайской разведки с целью кражи коммерческих секретов по всему миру.
APT40 использует фишинговые рассылки по электронной почте, использует уязвимости в программном обеспечении и отлично справляется с быстрой адаптацией эксплойтов к новым уязвимостям.
Методы работы группы включают использование уязвимостей публичной инфраструктуры, постоянную эксплуатацию, сбор учетных данных и использование скомпрометированных устройств.
Стратегии защиты от APT40 включают обновление программного обеспечения, сегментацию сети, обучение сотрудников и обнаружение конечных точек.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что APT40 - это китайская группа кибершпионажа, связанная с Министерством государственной безопасности Китая (МГБ), которая проводит кампании кибершпионажа как минимум с 2009 года, уделяя особое внимание таким секторам, как морской, оборонный, авиационный и технологический. Деятельность группы согласуется со стратегическими целями Китая по военной модернизации и расширению влияния на море, и они используют различные тактики, методы и процедуры (ТТП), согласующиеся с китайскими субъектами, спонсируемыми государством. APT40 создает значительные угрозы национальной безопасности и экономической стабильности, поскольку собирает конфиденциальную информацию, и стратегии смягчения последствий, такие как обновление программного обеспечения, фильтрация электронной почты и обучение сотрудников, необходимы для защиты от кибершпионажа.
-----
APT40 - это китайская группа кибершпионажа, связанная с Министерством государственной безопасности Китая и действующая по меньшей мере с 2009 года.
Группа фокусируется на таких секторах, как судоходство, оборона, авиация и технологии, чтобы поддержать военную модернизацию Китая и достижение целей влияния на море.
Деятельность APT40 была подтверждена агентствами по кибербезопасности и согласована с TTP, характерными для китайских компаний, спонсируемых государством.
Недавние обвинительные заключения Министерства юстиции США свидетельствуют о сотрудничестве APT40 с сотрудниками китайской разведки с целью кражи коммерческих секретов по всему миру.
APT40 использует фишинговые рассылки по электронной почте, использует уязвимости в программном обеспечении и отлично справляется с быстрой адаптацией эксплойтов к новым уязвимостям.
Методы работы группы включают использование уязвимостей публичной инфраструктуры, постоянную эксплуатацию, сбор учетных данных и использование скомпрометированных устройств.
Стратегии защиты от APT40 включают обновление программного обеспечения, сегментацию сети, обучение сотрудников и обнаружение конечных точек.
#ParsedReport #CompletenessMedium
31-07-2024
Threat Actors Exploit Sora AI-themed Branding to Spread Malware
https://cyble.com/blog/threat-actors-exploit-sora-ai-themed-branding-to-spread-malware
Report completeness: Medium
Threats:
Xmrig_miner
Lolminer
Pyarmor_tool
TTPs:
Tactics: 5
Technics: 11
IOCs:
Url: 20
Domain: 3
Hash: 18
Soft:
OpenAI, Chrome, Firefox, Opera, Chromium, Telegram, Microsoft Edge, Google Chrome, CocCoc, PyInstaller, have more...
Algorithms:
lzma, base64, zip, sha256, gzip
Languages:
powershell, python
Links:
31-07-2024
Threat Actors Exploit Sora AI-themed Branding to Spread Malware
https://cyble.com/blog/threat-actors-exploit-sora-ai-themed-branding-to-spread-malware
Report completeness: Medium
Threats:
Xmrig_miner
Lolminer
Pyarmor_tool
TTPs:
Tactics: 5
Technics: 11
IOCs:
Url: 20
Domain: 3
Hash: 18
Soft:
OpenAI, Chrome, Firefox, Opera, Chromium, Telegram, Microsoft Edge, Google Chrome, CocCoc, PyInstaller, have more...
Algorithms:
lzma, base64, zip, sha256, gzip
Languages:
powershell, python
Links:
https://github.com/Lolliedieb/lolMiner-releaseshttps://github.com/xmrigCyble
Threat Actors Use Sora AI Branding To Spread Malware
Cybercriminals exploit the hype around Sora Generative AI, creating phishing sites to deliver malware. Stay vigilant against these sophisticated threats!
CTT Report Hub
#ParsedReport #CompletenessMedium 31-07-2024 Threat Actors Exploit Sora AI-themed Branding to Spread Malware https://cyble.com/blog/threat-actors-exploit-sora-ai-themed-branding-to-spread-malware Report completeness: Medium Threats: Xmrig_miner Lolminer…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в выявлении субъектов киберугроз, использующих новую технологию Sora Generative AI для заражения пользователей вредоносным ПО. Эти субъекты используют фишинговые сайты и взломанные аккаунты в социальных сетях для обмана пользователей и развертывания сложного вредоносного ПО, предназначенного для обхода традиционных антивирусных решений. Эти кампании свидетельствуют о проактивном и финансово мотивированном подходе, подчеркивающем необходимость принятия передовых мер безопасности для эффективного противодействия таким угрозам.
-----
Компания по кибербезопасности CRIL выявила участников киберугроз, использующих шумиху вокруг новой технологии Sora Generative AI для нацеливания вредоносных программ на пользователей.
Злоумышленники используют бренд Sora для создания убедительных фишинговых сайтов, демонстрируя тактический подход к обману пользователей с помощью популярных технологий.
Эти субъекты нацелены на неизданное приложение Sora, что свидетельствует о их активном отношении к использованию новых технологий.
Вредоносные кампании являются изощренными и используют множество направлений, включая фишинговые сайты и скомпрометированные аккаунты в социальных сетях.
Злоумышленники стремятся повысить доверие к своим фишинговым схемам с помощью скомпрометированных аккаунтов в социальных сетях.
Вредоносное ПО, используемое в этих кампаниях, предназначено для обхода традиционных антивирусных решений и требует повышенных мер безопасности.
Злоумышленники используют программное обеспечение для майнинга с открытым исходным кодом, такое как XMRig и lolMiner, для кражи данных и добычи криптовалют.
Несмотря на то, что Sora так и не была выпущена, киберпреступники используют ее с помощью фишинговых сайтов и вредоносных программ, что затрудняет обнаружение антивирусом.
Эти кампании демонстрируют адаптивность и изобретательность участников угроз, использующих стратегии обмана и изощренные методы уклонения для достижения максимального эффекта.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в выявлении субъектов киберугроз, использующих новую технологию Sora Generative AI для заражения пользователей вредоносным ПО. Эти субъекты используют фишинговые сайты и взломанные аккаунты в социальных сетях для обмана пользователей и развертывания сложного вредоносного ПО, предназначенного для обхода традиционных антивирусных решений. Эти кампании свидетельствуют о проактивном и финансово мотивированном подходе, подчеркивающем необходимость принятия передовых мер безопасности для эффективного противодействия таким угрозам.
-----
Компания по кибербезопасности CRIL выявила участников киберугроз, использующих шумиху вокруг новой технологии Sora Generative AI для нацеливания вредоносных программ на пользователей.
Злоумышленники используют бренд Sora для создания убедительных фишинговых сайтов, демонстрируя тактический подход к обману пользователей с помощью популярных технологий.
Эти субъекты нацелены на неизданное приложение Sora, что свидетельствует о их активном отношении к использованию новых технологий.
Вредоносные кампании являются изощренными и используют множество направлений, включая фишинговые сайты и скомпрометированные аккаунты в социальных сетях.
Злоумышленники стремятся повысить доверие к своим фишинговым схемам с помощью скомпрометированных аккаунтов в социальных сетях.
Вредоносное ПО, используемое в этих кампаниях, предназначено для обхода традиционных антивирусных решений и требует повышенных мер безопасности.
Злоумышленники используют программное обеспечение для майнинга с открытым исходным кодом, такое как XMRig и lolMiner, для кражи данных и добычи криптовалют.
Несмотря на то, что Sora так и не была выпущена, киберпреступники используют ее с помощью фишинговых сайтов и вредоносных программ, что затрудняет обнаружение антивирусом.
Эти кампании демонстрируют адаптивность и изобретательность участников угроз, использующих стратегии обмана и изощренные методы уклонения для достижения максимального эффекта.
#ParsedReport #CompletenessLow
31-07-2024
Phishing targeting Polish SMBs continues via ModiLoader
https://www.welivesecurity.com/en/eset-research/phishing-targeting-polish-smbs-continues-modiloader
Report completeness: Low
Threats:
Dbatloader
Remcos_rat
Acecryptor
Agent_tesla
Formbook
Typosquatting_technique
Spear-phishing_technique
Geo:
German, Polish, Italy, Romania, Poland, Hungarian, Ukraine
TTPs:
Tactics: 6
Technics: 9
IOCs:
File: 10
Soft:
Microsoft OneDrive
Algorithms:
base64
Languages:
delphi
Links:
31-07-2024
Phishing targeting Polish SMBs continues via ModiLoader
https://www.welivesecurity.com/en/eset-research/phishing-targeting-polish-smbs-continues-modiloader
Report completeness: Low
Threats:
Dbatloader
Remcos_rat
Acecryptor
Agent_tesla
Formbook
Typosquatting_technique
Spear-phishing_technique
Geo:
German, Polish, Italy, Romania, Poland, Hungarian, Ukraine
TTPs:
Tactics: 6
Technics: 9
IOCs:
File: 10
Soft:
Microsoft OneDrive
Algorithms:
base64
Languages:
delphi
Links:
https://github.com/eset/malware-ioc/tree/master/modiloaderWelivesecurity
Phishing targeting Polish SMBs continues via ModiLoader
ESET researchers detect multiple, widespread phishing campaigns that target SMBs in Poland during May 2024 with various malware families.
CTT Report Hub
#ParsedReport #CompletenessLow 31-07-2024 Phishing targeting Polish SMBs continues via ModiLoader https://www.welivesecurity.com/en/eset-research/phishing-targeting-polish-smbs-continues-modiloader Report completeness: Low Threats: Dbatloader Remcos_rat…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в серии широко распространенных фишинговых кампаний, нацеленных на малый и средний бизнес в Польше, с использованием различных семейств вредоносных программ, таких как Rescoms, Agent Tesla и Formbook. Злоумышленники изменили механизмы доставки, используя ModiLoader вместо AceCryptor для распространения вредоносного ПО. Кампании включают в себя выдачу себя за существующие компании и сотрудников с помощью вредоносных электронных писем с вложениями, что приводит к развертыванию конечных полезных программ для кражи информации и доступа к сети. Злоумышленники адаптируют свою тактику, используя различные семейства вредоносных программ и методы эксфильтрации, чтобы избежать обнаружения и добиться максимального успеха в своих кампаниях. Несмотря на продолжающиеся усилия по смягчению последствий, фишинговые кампании по-прежнему широко распространены в Центральной и Восточной Европе в первой половине 2024 года.
-----
Исследователи ESET выявили серию широко распространенных фишинговых кампаний, нацеленных на малый и средний бизнес (МСБ) в Польше в мае 2024 года. Эти кампании были связаны с распространением различных семейств вредоносных программ, включая Rescoms, Agent Tesla и Formbook. Ранее, во второй половине 2023 года, аналогичные фишинговые кампании проводились по всей Центральной и Восточной Европе, и основной угрозой было вредоносное ПО Rescoms, защищенное AceCryptor. Однако в ходе недавних фишинговых кампаний были отмечены изменения в механизмах доставки: злоумышленники теперь используют ModiLoader вместо AceCryptor для распространения вредоносного ПО.
В течение мая 2024 года ESET обнаружила девять заметных фишинговых кампаний ModiLoader в Польше, Румынии и Италии, нацеленных на малый и средний бизнес. Злоумышленники использовали взломанные учетные записи электронной почты и серверы компании для распространения вредоносных писем, размещения вредоносных программ и сбора украденных данных. Только в Польше продукты ESET защитили более 21 000 пользователей, что свидетельствует о масштабах угрозы в регионе.
Фишинговые электронные письма в рамках этих кампаний часто выдавались за существующие компании и сотрудников, чтобы увеличить шансы на успех. Электронные письма содержали вредоносные вложения, такие как ISO-файлы или архивы, которые побуждали получателей открывать их. При открытии этих вложений запускался исполняемый файл ModiLoader, что приводило к развертыванию конечных полезных приложений, таких как Formbook, Agent Tesla и Rescoms RAT, для кражи информации и доступа к сети.
ModiLoader, который был идентифицирован как загрузчик Delphi, использовался во всех кампаниях для загрузки и запуска вредоносного ПО. Исследователи заметили изменение в выборе механизма доставки: ModiLoader загружал вредоносное ПО следующего уровня со взломанных серверов или облачных хранилищ. Обращает на себя внимание утечка украденной информации различными методами, включая SMTP, на домен, аналогичный домену законной компании, или на взломанный веб-сервер в Румынии.
Злоумышленники адаптируют свою тактику, используя различные семейства вредоносных программ и методы эксфильтрации, чтобы избежать обнаружения и добиться максимального успеха в своих кампаниях. Несмотря на продолжающиеся усилия по устранению этих угроз, фишинговые кампании по-прежнему широко распространены в Центральной и Восточной Европе в первой половине 2024 года. Злоумышленники используют ранее скомпрометированные учетные записи и компьютеры для расширения своего охвата и продолжают совершенствовать свои стратегии для будущих атак.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в серии широко распространенных фишинговых кампаний, нацеленных на малый и средний бизнес в Польше, с использованием различных семейств вредоносных программ, таких как Rescoms, Agent Tesla и Formbook. Злоумышленники изменили механизмы доставки, используя ModiLoader вместо AceCryptor для распространения вредоносного ПО. Кампании включают в себя выдачу себя за существующие компании и сотрудников с помощью вредоносных электронных писем с вложениями, что приводит к развертыванию конечных полезных программ для кражи информации и доступа к сети. Злоумышленники адаптируют свою тактику, используя различные семейства вредоносных программ и методы эксфильтрации, чтобы избежать обнаружения и добиться максимального успеха в своих кампаниях. Несмотря на продолжающиеся усилия по смягчению последствий, фишинговые кампании по-прежнему широко распространены в Центральной и Восточной Европе в первой половине 2024 года.
-----
Исследователи ESET выявили серию широко распространенных фишинговых кампаний, нацеленных на малый и средний бизнес (МСБ) в Польше в мае 2024 года. Эти кампании были связаны с распространением различных семейств вредоносных программ, включая Rescoms, Agent Tesla и Formbook. Ранее, во второй половине 2023 года, аналогичные фишинговые кампании проводились по всей Центральной и Восточной Европе, и основной угрозой было вредоносное ПО Rescoms, защищенное AceCryptor. Однако в ходе недавних фишинговых кампаний были отмечены изменения в механизмах доставки: злоумышленники теперь используют ModiLoader вместо AceCryptor для распространения вредоносного ПО.
В течение мая 2024 года ESET обнаружила девять заметных фишинговых кампаний ModiLoader в Польше, Румынии и Италии, нацеленных на малый и средний бизнес. Злоумышленники использовали взломанные учетные записи электронной почты и серверы компании для распространения вредоносных писем, размещения вредоносных программ и сбора украденных данных. Только в Польше продукты ESET защитили более 21 000 пользователей, что свидетельствует о масштабах угрозы в регионе.
Фишинговые электронные письма в рамках этих кампаний часто выдавались за существующие компании и сотрудников, чтобы увеличить шансы на успех. Электронные письма содержали вредоносные вложения, такие как ISO-файлы или архивы, которые побуждали получателей открывать их. При открытии этих вложений запускался исполняемый файл ModiLoader, что приводило к развертыванию конечных полезных приложений, таких как Formbook, Agent Tesla и Rescoms RAT, для кражи информации и доступа к сети.
ModiLoader, который был идентифицирован как загрузчик Delphi, использовался во всех кампаниях для загрузки и запуска вредоносного ПО. Исследователи заметили изменение в выборе механизма доставки: ModiLoader загружал вредоносное ПО следующего уровня со взломанных серверов или облачных хранилищ. Обращает на себя внимание утечка украденной информации различными методами, включая SMTP, на домен, аналогичный домену законной компании, или на взломанный веб-сервер в Румынии.
Злоумышленники адаптируют свою тактику, используя различные семейства вредоносных программ и методы эксфильтрации, чтобы избежать обнаружения и добиться максимального успеха в своих кампаниях. Несмотря на продолжающиеся усилия по устранению этих угроз, фишинговые кампании по-прежнему широко распространены в Центральной и Восточной Европе в первой половине 2024 года. Злоумышленники используют ранее скомпрометированные учетные записи и компьютеры для расширения своего охвата и продолжают совершенствовать свои стратегии для будущих атак.
#ParsedReport #CompletenessLow
31-07-2024
CYBER THREAT ANALYSIS
https://go.recordedfuture.com/hubfs/reports/CTA-2024-0731.pdf
Report completeness: Low
Actors/Campaigns:
Eriakos_scam
Industry:
E-commerce, Government, Military, Retail, Financial
Geo:
Hong kong, Chinese, China
ChatGPT TTPs:
T1588.001, T1210
IOCs:
Domain: 620
IP: 2
Soft:
outlook
31-07-2024
CYBER THREAT ANALYSIS
https://go.recordedfuture.com/hubfs/reports/CTA-2024-0731.pdf
Report completeness: Low
Actors/Campaigns:
Eriakos_scam
Industry:
E-commerce, Government, Military, Retail, Financial
Geo:
Hong kong, Chinese, China
ChatGPT TTPs:
do not use without manual checkT1588.001, T1210
IOCs:
Domain: 620
IP: 2
Soft:
outlook
CTT Report Hub
#ParsedReport #CompletenessLow 31-07-2024 CYBER THREAT ANALYSIS https://go.recordedfuture.com/hubfs/reports/CTA-2024-0731.pdf Report completeness: Low Actors/Campaigns: Eriakos_scam Industry: E-commerce, Government, Military, Retail, Financial Geo: Hong…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В тексте обсуждаются различные мошеннические кампании электронной коммерции, нацеленные на крупные платформы, включая Facebook, и нацеленные на обман жертв с помощью поддельных веб-сайтов и рекламы. Кампании включают использование популярных брендов для кражи финансовых и личных данных, с акцентом на мобильных пользователей, чтобы избежать обнаружения. Ключевыми показателями для выявления таких мошеннических действий являются CDN, регистраторы доменов, конкретные IP-адреса и неправильные настройки домена. Insikt Group из Recorded Future предоставляет аналитические данные об угрозах, чтобы помочь клиентам снизить риски и повысить уровень их безопасности в постоянно меняющейся среде кибербезопасности.
-----
В мошеннической кампании электронной коммерции на Facebook было задействовано несколько доменов, связанных с мошеннической рекламой, причем одним из ключевых доменов был aisicheh.com с 15 по 21 апреля 2024 года было показано 220 рекламных объявлений.
Короткий срок службы мошеннических доменов свидетельствует о преднамеренной стратегии быстрого обмана жертв, несмотря на периодические блокировки со стороны Facebook.
В кампании участвовало более 100 одновременно активных объявлений для одного домена, и, вероятно, использовались поддельные комментарии пользователей для привлечения жертв по всему миру.
Операторы скоординировали усилия по продвижению мошеннических веб-сайтов с помощью тактики социальных сетей, нацеленной на мобильных пользователей, чтобы избежать обнаружения.
Сеть из 608 мошеннических сайтов электронной коммерции, связанных с кампанией "ERIAKOS", была направлена на кражу финансовых и персональных данных путем выдачи себя за бренды и использования вредоносной рекламы.
Мошеннические кампании стратегически нацелены на мобильных пользователей с помощью рекламы на Facebook, используя предложения с ограниченным сроком действия для повышения актуальности и увеличения числа успешных мошенничеств.
Ключевыми показателями для выявления мошеннических веб-сайтов были CDN, регистраторы доменов, конкретные IP-адреса и неправильные настройки домена.
В результате сотрудничества с финансовыми институтами были выявлены связанные данные торгового счета, указывающие на использование китайских поставщиков платежных услуг для обработки транзакций жертв.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В тексте обсуждаются различные мошеннические кампании электронной коммерции, нацеленные на крупные платформы, включая Facebook, и нацеленные на обман жертв с помощью поддельных веб-сайтов и рекламы. Кампании включают использование популярных брендов для кражи финансовых и личных данных, с акцентом на мобильных пользователей, чтобы избежать обнаружения. Ключевыми показателями для выявления таких мошеннических действий являются CDN, регистраторы доменов, конкретные IP-адреса и неправильные настройки домена. Insikt Group из Recorded Future предоставляет аналитические данные об угрозах, чтобы помочь клиентам снизить риски и повысить уровень их безопасности в постоянно меняющейся среде кибербезопасности.
-----
В мошеннической кампании электронной коммерции на Facebook было задействовано несколько доменов, связанных с мошеннической рекламой, причем одним из ключевых доменов был aisicheh.com с 15 по 21 апреля 2024 года было показано 220 рекламных объявлений.
Короткий срок службы мошеннических доменов свидетельствует о преднамеренной стратегии быстрого обмана жертв, несмотря на периодические блокировки со стороны Facebook.
В кампании участвовало более 100 одновременно активных объявлений для одного домена, и, вероятно, использовались поддельные комментарии пользователей для привлечения жертв по всему миру.
Операторы скоординировали усилия по продвижению мошеннических веб-сайтов с помощью тактики социальных сетей, нацеленной на мобильных пользователей, чтобы избежать обнаружения.
Сеть из 608 мошеннических сайтов электронной коммерции, связанных с кампанией "ERIAKOS", была направлена на кражу финансовых и персональных данных путем выдачи себя за бренды и использования вредоносной рекламы.
Мошеннические кампании стратегически нацелены на мобильных пользователей с помощью рекламы на Facebook, используя предложения с ограниченным сроком действия для повышения актуальности и увеличения числа успешных мошенничеств.
Ключевыми показателями для выявления мошеннических веб-сайтов были CDN, регистраторы доменов, конкретные IP-адреса и неправильные настройки домена.
В результате сотрудничества с финансовыми институтами были выявлены связанные данные торгового счета, указывающие на использование китайских поставщиков платежных услуг для обработки транзакций жертв.
#ParsedReport #CompletenessLow
31-07-2024
Malicious Packages Hidden in PyPI
https://www.fortinet.com/blog/threat-research/malicious-packages-hidden-in-pypl
Report completeness: Low
Victims:
Individuals, Institutions
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1071, T1555, T1005, T1081, T1070
IOCs:
Hash: 4
Soft:
PyInstaller, Discord, Chrome, Opera, Google Chrome, Microsoft Edge
Languages:
python
31-07-2024
Malicious Packages Hidden in PyPI
https://www.fortinet.com/blog/threat-research/malicious-packages-hidden-in-pypl
Report completeness: Low
Victims:
Individuals, Institutions
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1071, T1555, T1005, T1081, T1070
IOCs:
Hash: 4
Soft:
PyInstaller, Discord, Chrome, Opera, Google Chrome, Microsoft Edge
Languages:
python
Fortinet Blog
Malicious Packages Hidden in PyPI
The FortiGuard Labs team has identified a malicious PyPI package affecting all platforms where PyPI packages can be installed. This report discusses its potential impacts and emphasizes the importa…
CTT Report Hub
#ParsedReport #CompletenessLow 31-07-2024 Malicious Packages Hidden in PyPI https://www.fortinet.com/blog/threat-research/malicious-packages-hidden-in-pypl Report completeness: Low Victims: Individuals, Institutions TTPs: Tactics: 2 Technics: 0 ChatGPT…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что команда FortiGuard Labs обнаружила серьезную угрозу, связанную с вредоносным пакетом PyPI под названием zlibxjson версии 8.2, который представляет значительный риск для отдельных лиц и учреждений из-за потенциальной утечки конфиденциальной информации и учетных данных. Вредоносный пакет нацелен на сохраненные пароли веб-браузеров, расшифровывая и отправляя их на внешние серверы, что подчеркивает важность надежных методов обеспечения безопасности и использования эффективных систем обнаружения для устранения таких угроз.
-----
Команда FortiGuard Labs обнаружила серьезную угрозу, связанную с вредоносным пакетом PyPI, который затрагивает все платформы, на которые могут быть установлены пакеты PyPI. Этот вредоносный пакет, названный zlibxjson версии 8.2 и опубликованный 29 июня 2024 года, представляет значительный риск для любых лиц или учреждений, которые его установили, поскольку он может привести к утечке конфиденциальной информации и учетных данных.
3 июля система обнаружения вредоносных программ OSS, управляемая искусственным интеллектом, Fortinet обнаружила вредоносный пакет, который содержал URL-адрес, инициирующий загрузку различных файлов, включая исполняемый файл (.exe), упакованный с помощью PyInstaller. После распаковки этого файла были извлечены файлы .pyc и декомпилированы в файлы Python (.py). Среди множества обнаруженных файлов Python и DLL-библиотек три были особенно проблемными.
Предоставленный код в составе вредоносного пакета предназначен для кражи конфиденциальной информации у пользователей Discord и передачи ее на внешний сервер, контролируемый злоумышленником. Это включает в себя такие действия, как кража файлов cookie, расшифровка сохраненных данных и эксфильтрация данных, с акцентом на получение сохраненных паролей из веб-браузеров, таких как Chrome, Firefox, Brave, Opera и других.
В частности, вредоносный код нацелен на сохраненные пароли веб-браузеров, расшифровывая их для несанкционированного доступа. Такие функции, как "get_passwords_edge()" и "main()", используют базы данных Chrome и Edge для извлечения и расшифровки зашифрованных паролей, сохраняя эту конфиденциальную информацию в словаре, который может быть отправлен злоумышленнику. Вредоносные элементы включают несанкционированный доступ к каталогам данных браузера, расшифровку конфиденциальных данных и потенциальную передачу собранных паролей на внешние серверы.
Эти действия выявленных вредоносных пакетов PyPI представляют собой явную угрозу конфиденциальности и безопасности пользователей, демонстрируя важность надежных методов обеспечения безопасности при управлении зависимостями программного обеспечения. Для эффективной борьбы с такими угрозами постоянная бдительность и использование систем обнаружения, таких как операционные системы OSS, управляемые искусственным интеллектом, имеют решающее значение для защиты от потенциальных взломов и краж данных.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что команда FortiGuard Labs обнаружила серьезную угрозу, связанную с вредоносным пакетом PyPI под названием zlibxjson версии 8.2, который представляет значительный риск для отдельных лиц и учреждений из-за потенциальной утечки конфиденциальной информации и учетных данных. Вредоносный пакет нацелен на сохраненные пароли веб-браузеров, расшифровывая и отправляя их на внешние серверы, что подчеркивает важность надежных методов обеспечения безопасности и использования эффективных систем обнаружения для устранения таких угроз.
-----
Команда FortiGuard Labs обнаружила серьезную угрозу, связанную с вредоносным пакетом PyPI, который затрагивает все платформы, на которые могут быть установлены пакеты PyPI. Этот вредоносный пакет, названный zlibxjson версии 8.2 и опубликованный 29 июня 2024 года, представляет значительный риск для любых лиц или учреждений, которые его установили, поскольку он может привести к утечке конфиденциальной информации и учетных данных.
3 июля система обнаружения вредоносных программ OSS, управляемая искусственным интеллектом, Fortinet обнаружила вредоносный пакет, который содержал URL-адрес, инициирующий загрузку различных файлов, включая исполняемый файл (.exe), упакованный с помощью PyInstaller. После распаковки этого файла были извлечены файлы .pyc и декомпилированы в файлы Python (.py). Среди множества обнаруженных файлов Python и DLL-библиотек три были особенно проблемными.
Предоставленный код в составе вредоносного пакета предназначен для кражи конфиденциальной информации у пользователей Discord и передачи ее на внешний сервер, контролируемый злоумышленником. Это включает в себя такие действия, как кража файлов cookie, расшифровка сохраненных данных и эксфильтрация данных, с акцентом на получение сохраненных паролей из веб-браузеров, таких как Chrome, Firefox, Brave, Opera и других.
В частности, вредоносный код нацелен на сохраненные пароли веб-браузеров, расшифровывая их для несанкционированного доступа. Такие функции, как "get_passwords_edge()" и "main()", используют базы данных Chrome и Edge для извлечения и расшифровки зашифрованных паролей, сохраняя эту конфиденциальную информацию в словаре, который может быть отправлен злоумышленнику. Вредоносные элементы включают несанкционированный доступ к каталогам данных браузера, расшифровку конфиденциальных данных и потенциальную передачу собранных паролей на внешние серверы.
Эти действия выявленных вредоносных пакетов PyPI представляют собой явную угрозу конфиденциальности и безопасности пользователей, демонстрируя важность надежных методов обеспечения безопасности при управлении зависимостями программного обеспечения. Для эффективной борьбы с такими угрозами постоянная бдительность и использование систем обнаружения, таких как операционные системы OSS, управляемые искусственным интеллектом, имеют решающее значение для защиты от потенциальных взломов и краж данных.