#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: Подразделение 42 выявило кампанию, приписываемую злоумышленникам из КНДР, нацеленную на тех, кто ищет работу в сфере технологий, используя поддельные данные рекрутеров для распространения вредоносных программ, включая загрузчик BeaverTail и бэкдор InvisibleFerret. Кампания включает в себя тактику социальной инженерии, постоянные обновления кода и расширение целей, демонстрируя эволюционирующий характер вредоносной активности. Злоумышленники стремятся сохранить контроль над зараженными компьютерами для получения потенциальной финансовой выгоды, подчеркивая необходимость бдительности и анализа угроз в отношении таких сложных киберугроз.
-----

Подразделение 42 выявило кампанию, известную как CL-STA-240 Contagious Interview, которую приписывают злоумышленникам, связанным с Корейской Народно-Демократической Республикой (КНДР). В этой кампании злоумышленники, выдающие себя за рекрутеров, нацелены на соискателей работы в сфере высоких технологий с целью установки вредоносного ПО на их устройства. Впервые о кампании стало известно в ноябре 2023 года, и с тех пор подразделение 42 наблюдало за текущей онлайн-активностью этих фальшивых рекрутеров, а также за обновлениями двух компонентов вредоносного ПО: загрузчика BeaverTail и бэкдора InvisibleFerret.

Вредоносная программа BeaverTail, связанная с этой кампанией, была скомпилирована с использованием платформы Qt framework еще в июле 2024 года, и ее варианты были обнаружены как для платформ macOS, так и для Windows. Были отмечены постоянные обновления кода для бэкдора InvisibleFerret, который поставляется загрузчиком BeaverTail. Эти обновления указывают на эволюционный характер вредоносного ПО, используемого в этой кампании.

Злоумышленники, стоящие за CL-STA-0240, обычно связываются с разработчиками программного обеспечения через платформы для поиска работы под видом потенциальных работодателей. Они проводят онлайн-собеседования с жертвами, где убеждают их загрузить и установить вредоносное ПО. Недавние сообщения и активность в социальных сетях показали, что эта вредоносная деятельность продолжается. Один из примеров связан с использованием поддельного онлайн-технического опроса, в ходе которого жертва выполняла вредоносный код, который подключался к командному серверу злоумышленника.

BeaverTail, который в этой кампании выполняет функции загрузчика и похитителя информации, доставляется с помощью файлов, замаскированных под законные приложения. Вредоносное ПО, которое теперь кодируется с помощью Qt, нацелено на системы Windows и macOS одновременно. После установки на компьютер жертвы он извлекает данные и выполняет дополнительную полезную нагрузку, и все это время незаметно работает в фоновом режиме. Примечательно, что новая версия BeaverTail расширила свои цели, включив в нее 13 различных браузерных расширений для криптовалютных кошельков, демонстрирующих финансовые интересы участников угроз.

В дополнение к BeaverTail, кампания включает в себя внедрение бэкдора InvisibleFerret на Python, способного снимать отпечатки пальцев с конечных точек, осуществлять удаленное управление, вести кейлоггинг, фильтрацию данных и красть учетные данные браузера. Постоянные изменения кода в InvisibleFerret свидетельствуют о постоянных усилиях авторов вредоносной программы по расширению ее возможностей и уклонению от обнаружения.

Цепочка заражения в этой кампании начинается с установки BeaverTail и завершается развертыванием кроссплатформенного бэкдора InvisibleFerret. Злоумышленники стремятся сохранить контроль над зараженными компьютерами и получить доступ к конфиденциальным данным для получения потенциальной финансовой выгоды. Сообществу настоятельно рекомендуется проявлять бдительность в отношении таких сложных кампаний социальной инженерии и использовать информацию об угрозах для усиления защиты от развивающихся киберугроз.

#cyberthreattech

Интегрировали проект https://lolrmm.io, т.ч. теперь в фиде у нас есть тег rmm. Но т.к. это ПО "двойного назначения", score "мусорного уровня" и равен 20.

#ParsedReport #CompletenessHigh
09-10-2024

Wreaking havoc in cyberspace: threat actors experiment with pentest tools

https://bi.zone/eng/expertise/blog/khaos-v-kiberprostranstve-gruppirovki-eksperimentiruyut-s-instrumentami

Report completeness: High

Actors/Campaigns:
Mysterious_werewolf

Threats:
Havoc
Cobalt_strike
Metasploit_tool
Sliver_c2_tool
Mythic_c2
Spear-phishing_technique
Smuggling_technique

Industry:
Government, Education, Healthcare

CVEs:
CVE-2024-7965 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<128.0.6613.84)


TTPs:
Tactics: 5
Technics: 0

IOCs:
File: 10
IP: 5
Path: 2
Domain: 1
Hash: 21
Url: 4

Soft:
cURL, Microsoft OneDrive

Algorithms:
xor, sha256, md5, sha1, base64

Win API:
VirtualAllocExNuma, VirtualProtect, CreateThread

Languages:
powershell, javascript

Platforms:
x64, x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что киберпреступники все чаще используют постэксплуатационную платформу Havoc, особенно при фишинговых атаках, чтобы избежать обнаружения системами безопасности. Использование менее известных инструментов, таких как Havoc, расширяет возможности злоумышленников обходить меры безопасности и инициировать кибератаки, при этом фишинговые электронные письма остаются распространенным методом из-за их эффективности в обмане пользователей. Анализ конкретных случаев выявляет тактику обмана, применяемую злоумышленниками, например, маскировку вредоносной полезной нагрузки под законные документы и использование файлов-приманок.
-----

Киберпреступники все чаще используют систему постэксплуатации Havoc, чтобы избежать обнаружения системами кибербезопасности.

Фишинговые электронные письма остаются распространенным методом инициирования кибератак, при этом злоумышленники часто маскируются под авторитетные организации, чтобы обманом заставить пользователей открыть вредоносные вложения.

Конкретное фишинговое электронное письмо в августе привело к активации Demon-импланта платформы Havoc framework с помощью вводящего в заблуждение исполняемого файла с именем "Dokumenty_FSB.exe.".

Злоумышленники использовали различные методы, такие как создание ложных документов и использование шифрования, для сокрытия и доставки своей вредоносной полезной нагрузки.

#ParsedReport #CompletenessHigh
10-10-2024

Core Werewolf hones its arsenal against Russia s government organizations

https://bi.zone/eng/expertise/blog/ne-budi-likho-core-werewolf-sovershenstvuet-ataki-na-rossiyskie-gosorganizatsii

Report completeness: High

Actors/Campaigns:
Core_werewolf

Industry:
Government, Critical_infrastructure

Geo:
Russia

CVEs:
CVE-2024-7965 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<128.0.6613.84)


TTPs:
Tactics: 4
Technics: 0

IOCs:
IP: 5
Url: 2
File: 6
Hash: 44
Domain: 4

Soft:
Telegram, AutoHotKey

Algorithms:
sha256, 7zip, md5, sha1

Languages:
autoit

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Хакерская группа Core Werewolf нацелена на российскую оборонную промышленность и критически важную инфраструктуру, используя новые инструменты и методы доставки вредоносного ПО, включая использование языка сценариев AutoIt и доставку вредоносных файлов через Telegram. Они используют конкретные шаги для сбора информации, поддержания постоянства и уклонения от обнаружения, демонстрируя готовность исследовать различные пути эффективного достижения своих целей. Понимание современных методов атак и использование ресурсов анализа угроз, таких как BI.ZONE может помочь организациям укрепить свою позицию в области кибербезопасности и защититься от возникающих угроз.
-----

Было замечено, что Core Werewolf, хакерская группировка, нацеленная на российскую оборонную промышленность и критически важную инфраструктуру с 2021 года, экспериментирует с новыми инструментами и методами доставки вредоносного ПО. В ходе недавних кампаний Core Werewolf использовал новый загрузчик, написанный на AutoIt, и начал рассылать вредоносные файлы не только по электронной почте, но и через Telegram. Это демонстрирует готовность злоумышленников использовать различные способы для более эффективного достижения своих целей.

В операциях Core Werewolf по-прежнему широко используется AutoIt, популярный язык сценариев, который позволяет злоумышленникам создавать свои собственные вредоносные программы. Группа использует архивы RAR, содержащие самораспаковывающиеся исполняемые файлы, созданные с помощью 7Zip, для доставки вредоносной полезной нагрузки. Эти архивы могут быть защищены паролем для дополнительной безопасности. После запуска вредоносный скрипт собирает информацию о взломанной системе, такую как имя компьютера, логин, версия операционной системы и файлы в папке рабочего стола.

Затем скрипт создает файл в каталоге %TEMP%, шифрует и переименовывает файл-приманку и перемещает его в папку %USERPROFILE%\Downloads. Затем он отправляет HTTP POST-запрос на сервер управления (C2), передавая информацию о взломанной системе. Данные отправляются с использованием заголовков POST-запроса на определенный URL-адрес, после чего они отправляются на сервер C2.

С помощью ряда шагов, включая загрузку дополнительных сценариев AutoIt с сервера C2, Core Werewolf сохраняет устойчивость и продолжает свою вредоносную деятельность. Группа уделяет внимание деталям, поскольку названия файлов-приманок, используемых в их кампаниях, отражают их содержание, что усложняет обнаружение.

В тексте также подчеркивается важность понимания современных методов и инструментов атак для эффективной борьбы с киберугрозами. BI.ZONE Threat Intelligence предлагает специализированный портал с самой актуальной информацией о кампаниях атак, субъектах угроз и их тактике. Использование этого ресурса может помочь организациям опережать возникающие угрозы, расширить возможности реагирования на инциденты и укрепить общую систему кибербезопасности.

Оставаясь в курсе меняющихся тенденций в области атак и используя ресурсы анализа угроз, такие как BI.ZONE, организации могут активно защищаться от сложных угроз и снижать потенциальные риски для своей инфраструктуры и конфиденциальных данных.

#ParsedReport #CompletenessMedium
10-10-2024

Influence and Cyber Operations: An Update

https://cdn.openai.com/threat-intelligence-reports/influence-and-cyber-operations-an-update_October-2024.pdf

Report completeness: Medium

Actors/Campaigns:
Cyberav3nger
Storm-0817
Stop_news
A2z
Storm-2035
Bet_bot
Corrupt_comment
Tort_report
Bad_grammar
Irgc

Threats:
Sweetspecter
Spear-phishing_technique
Sugargh0st_rat
Log4shell_vuln
Sqlmap_tool
Process_hollowing_technique
Mimikatz_tool
Pwdump_tool

Industry:
Ics, Energy, Military, Entertainment, Government, Education

Geo:
Pakistani, Asia, Azerbaijan, Arab emirates, England, Turkish, Rwanda, Venezuela, Jordan, Pakistan, Vietnamese, Italian, California, Spanish, Turkey, Italy, India, China, United arab emirates, Kazakhstan, Russian, Israel, French, United kingdom, France, German, Iran, Africa, Georgia, Belarus, Middle east, Russia, Iranian, Slovakia, Polish, Ukraine, Azerbaijani, Ireland

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1071, T1070, T1553, T1140, T1036

IOCs:
File: 4
Domain: 6

Soft:
OpenAI, ChatGPT, Instagram, Telegram, Android, WhatsApp, WAMP, MySQL, Selenium, macos, have more...

Algorithms:
zip

Languages:
perl, python, php

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в важности создания надежной защиты от кибератак, связанных с государством, и операций тайного влияния во время глобальных выборов, демонстрируя, как OpenAI пресекает различные вредоносные действия, осуществляемые злоумышленниками с использованием технологий искусственного интеллекта.
-----

В тексте обсуждается важность создания надежной защиты от связанных с государством киберпреступников и тайных операций по влиянию во время глобальных выборов. В этом году OpenAI сорвал более 20 операций по всему миру, включая те, которые включали отладку вредоносного ПО, создание контента для веб-сайтов и размещение на платформах социальных сетей поддельных персон. В отчет включены тематические исследования, демонстрирующие нарушенные действия, такие как иранская тайная операция по влиянию, сосредоточенная на выборах в США и различных темах, таких как конфликт в секторе Газа и политика Венесуэлы. Несмотря на усилия по сопротивлению таким операциям, не было значительного вирусного взаимодействия с кампаниями влияния, связанными с выборами, с использованием моделей OpenAI.

Субъекты угроз часто используют модели OpenAI на промежуточном этапе, после базовых, таких как доступ в Интернет и учетные записи в социальных сетях, но до развертывания готовых продуктов, таких как сообщения или вредоносное ПО. Известные субъекты включают «STORM-0817», использующий модели для поддержки кодирования при разработке вредоносного ПО для Android, и «A2Z», создающий биографии учетных записей в социальных сетях. SweetSpecter, предполагаемый противник из Китая, пытался провести фишинг против сотрудников OpenAI с использованием вредоносных вложений ChatGPT. Другая группа, CyberAv3ngers, связанная с иранским КСИР, использовала модели OpenAI для исследования программируемых логических контроллеров и проведения киберактивностей в США и Израиле.

Расследования привели к сбоям в различных видах деятельности, включая сеть в России, которая генерировала комментарии и статьи с использованием моделей OpenAI на разных языках. Кроме того, были обнаружены незарегистрированные субъекты угроз, занимающиеся политическими комментариями на нескольких языках на разных платформах, причем одна операция была сосредоточена на восхвалении Азербайджана. Также были сообщения о действиях, связанных с искусственным интеллектом, финансовыми рынками и региональной политикой в ​​Европе и США.

В тексте подчеркивается сотрудничество с отраслевыми партнерами для выявления и пресечения киберугроз, подчеркивая важность обмена разведданными об угрозах для противодействия изощренным противникам, использующим ИИ. В тематических исследованиях демонстрируются различные применения моделей OpenAI субъектами угроз, такие как отладка вредоносного ПО, создание контента для платформ социальных сетей и проведение фишинговых атак. Мониторинг и нарушения, проводимые OpenAI, выявили вредоносные действия, направленные на выборы, платформы социальных сетей и критически важные инфраструктурные системы, демонстрируя меняющийся ландшафт киберугроз в цифровую эпоху.

Выявленные субъекты угроз происходят из разных регионов и организаций, занимаясь различными видами кибердеятельности, такими как распространение дезинформации, проведение фишинговых атак и создание вредоносного контента. Реагирование на эти угрозы включает в себя упреждающий мониторинг, расследование и сотрудничество с заинтересованными сторонами отрасли для снижения рисков и усиления мер кибербезопасности. Оценка нарушенных действий показывает различные уровни воздействия и сложности, от сетей спама в комментариях до скоординированных операций, нацеленных на конкретные политические организации и социальные проблемы. В целом, текст подчеркивает продолжающиеся усилия по укреплению защиты от киберугроз с использованием технологий ИИ и важность совместных подходов в защите от развивающихся киберугроз.

#ParsedReport #CompletenessLow
09-10-2024

Google Search user interface: A/B testing shows security concerns remain

https://www.malwarebytes.com/blog/cybercrime/2024/10/google-search-user-interface-a-b-testing-shows-security-concerns-remain

Report completeness: Low

Geo:
Hong kong

ChatGPT TTPs:
do not use without manual check
T1078, T1189

IOCs:
File: 1
Domain: 1
Hash: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В тексте рассматривается киберугроза, связанная с вредоносной рекламой, когда злоумышленники используют скомпрометированные учетные записи проверенных рекламодателей для распространения вредоносного ПО с помощью вредоносной рекламы. В нем подчеркивается изощренность этих злоумышленников и предлагаются такие меры, как проверка прав собственности рекламодателей и добавление показателей доверия для борьбы с такими угрозами. Кроме того, это подчеркивает важность внедрения надежных мер безопасности, мониторинга рекламного контента и обучения пользователей, чтобы смягчить последствия вредоносных рекламных кампаний.
-----

В тексте обсуждается киберугроза, связанная с вредоносной рекламой, когда злоумышленники используют взломанную учетную запись проверенного рекламодателя из Гонконга. Ранее эта учетная запись была связана с четырьмя случаями вредоносной рекламы, о которых сообщалось в Google. Злоумышленники могут размещать свою собственную вредоносную рекламу в этом аккаунте всякий раз, когда они запускают новую вредоносную кампанию. После нажатия на объявление и перехода в "Мой рекламный центр" жертвам предлагается загрузить вредоносный файл под названием ClockifySetup.exe, который размещен в учетной записи GitHub, о которой недавно сообщалось о подобных действиях.

Для борьбы с подобными угрозами в тексте предлагается принять такие меры, как присвоение официальных логотипов и URL-адресов только подлинным компаниям, которые могут подтвердить право собственности на название бренда или принадлежность к нему. Кроме того, предлагается добавить дополнительный флажок в рекламу для легальных компаний, связанных с брендом, и включить индикатор "недоверия" в рекламу, в которой используются товарные знаки или авторские права без надлежащей проверки правообладателя.

Проблема подчеркивает изощренность злоумышленников, которые используют скомпрометированные аккаунты законных рекламодателей для распространения вредоносных программ с помощью вредоносной рекламы. Взломав эти аккаунты, злоумышленники могут обойти механизмы обнаружения и нацелиться на ничего не подозревающих пользователей, которые взаимодействуют с этими объявлениями. Вредоносный файл ClockifySetup.exe служит средством доставки вредоносного ПО, потенциально причиняя вред пользователям, которые неосознанно загружают и запускают его.

Предлагаемые меры направлены на повышение прозрачности и достоверности онлайн-рекламы, чтобы помочь пользователям отличать законный контент от потенциально опасного. Проверяя права собственности и легитимность рекламодателей, связанных с брендом, платформы могут снизить риск недобросовестной рекламы и защитить пользователей от подобных атак. Концепция использования показателей доверия, таких как дополнительные галочки для проверенных компаний, может повысить доверие пользователей к рекламе, с которой они сталкиваются в Интернете.

Для платформ и рекламных сетей крайне важно внедрить надежные меры безопасности для предотвращения несанкционированного доступа к аккаунтам рекламодателей и обеспечения того, чтобы пользователям предлагался только законный контент. Регулярный мониторинг и аудит рекламного контента могут помочь обнаружить и удалить вредоносную рекламу до того, как она достигнет более широкой аудитории. Информирование пользователей о рисках, связанных с использованием онлайн-рекламы, и повышение осведомленности о кибербезопасности также могут способствовать смягчению последствий вредоносных рекламных кампаний.

#ParsedReport #CompletenessLow
12-10-2024

Weekly Phishing Email Distribution Cases (2024/09/29\~2024/10/05)

https://asec.ahnlab.com/ko/83768

Report completeness: Low

Industry:
Healthcare, Transport

Geo:
Berlin

IOCs:
File: 42
Hash: 5
Url: 5

Algorithms:
md5, zip

#ParsedReport #CompletenessLow
10-10-2024

What NISTs latest password standards mean, and why the old ones werent working. What NIST s latest password standards mean, and why the old ones weren t working. What NIST s latest password standards mean, and why the old ones weren t working

https://blog.talosintelligence.com/threat-source-newsletter-oct-10-2024

Report completeness: Low

Actors/Campaigns:
Ghostemperor
Volt_typhoon
Seaborgium

Threats:
Akira_ransomware

Industry:
Critical_infrastructure, Military, Government, Healthcare, Ngo, Telco

Geo:
Ukraine, Russian, Qatar, Monaco, Americans, Germany, Russia, Chinese

CVEs:
CVE-2024-43572 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1809 (<10.0.17763.6414)

CVE-2024-43573 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 22h2 (<10.0.19045.5011)


IOCs:
Hash: 10
File: 5

Algorithms:
md5

#ParsedReport #CompletenessMedium
12-10-2024

Malware by the (Bit)Bucket: Unveiling AsyncRAT

https://www.gdatasoftware.com/blog/2024/10/38043-asyncrat-bitbucket

Report completeness: Medium

Threats:
Asyncrat
Process_injection_technique
Credential_dumping_technique
Predator_stealer
Azorult

Industry:
Software_development

TTPs:
Tactics: 8
Technics: 14

IOCs:
Command: 1
Url: 3
Registry: 1
File: 3
Hash: 5

Soft:
VirtualBox

Algorithms:
base64

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в изощренной кампании кибератак, которая использует Bitbucket в качестве хранилища вредоносных программ для распространения трояна удаленного доступа (RAT), известного как AsyncRAT. Несмотря на попытки запутать код и избежать обнаружения, исследователи смогли выявить ключевые индикаторы компрометации (IOCs) при анализе атаки. Кроме того, в тексте обсуждается использование различных векторов атак, методы выполнения в памяти и возможности AsyncRAT, подчеркивается эволюционирующий характер киберугроз и необходимость упреждающего анализа угроз и стратегий смягчения последствий.
-----

В тексте рассказывается о сложной кампании атаки, в ходе которой Bitbucket использовался в качестве хранилища вредоносных программ для доставки AsyncRAT, троянской программы для удаленного доступа (RAT). Используя несколько уровней кодировки base64 для маскировки кода, злоумышленники смогли скрыть свои вредоносные действия и избежать обнаружения. Несмотря на попытки скрыть полезную нагрузку, исследователи смогли выявить ключевые индикаторы компрометации (IOCs) при анализе развертывания AsyncRAT.

Bitbucket, популярная платформа для размещения кода, все чаще становится мишенью злоумышленников для размещения вредоносных программ, таких как Predator stealer, Azorult stealer и STOP ransomware. Решение использовать Bitbucket дает злоумышленникам ряд преимуществ, в том числе видимость легитимности из-за его связи с разработкой программного обеспечения и совместной работой. Кроме того, доступность общедоступных репозиториев Bitbucket позволяет злоумышленникам легко делиться и распространять свои вредоносные программы среди широкой аудитории.

Кампания по атакам с участием AsyncRAT использует различные векторы атаки, включая фишинговые электронные письма с вредоносными вложениями, загрузку с взломанных веб-сайтов и наборы эксплойтов, нацеленных на уязвимости в программном обеспечении. Вредоносный скрипт, развернутый злоумышленниками, использует такие методы, как манипулирование строками, кодирование Base64 и выполнение PowerShell для обфускации и выполнения команд. Скрипт обнаруживает переменную "QpWJ", закодированную в Base64, которая затем декодируется для выполнения команды PowerShell, загружающей файл с именем dllhope.txt из репозитория Bitbucket.

Одним из примечательных аспектов атаки является использование методов выполнения в памяти, в частности, отраженная загрузка ClassLibrary3.dll через system.AppDomain::CurrentDomain.Load. Этот метод позволяет атаке обойти традиционные механизмы безопасности, которые основаны на сканировании файлов. ClassLibrary3.dll AsyncRAT играет решающую роль в обеспечении устойчивости зараженной системы и выполнении загруженной полезной нагрузки. Наличие параметра flag, UmZbL, определяет действия, выполняемые кодом.

Если параметр flag содержит "1", код пытается установить постоянство с помощью ключа запуска реестра и механизмов быстрого доступа к папке автозагрузки. Скрипты с именами "xx1.ps1" и "xx2.vbs" используются для создания записей реестра и ярлыков в папке автозагрузки, гарантируя выполнение полезной нагрузки даже после перезагрузки системы. Этот дополнительный уровень надежности повышает контроль злоумышленников над взломанной системой.

AsyncRAT, RAT с открытым исходным кодом, написанный на C#, предоставляет киберпреступникам широкий контроль над зараженными компьютерами, позволяя им осуществлять различные вредоносные действия. Изначально AsyncRAT был представлен как инструмент удаленного администрирования и завоевал популярность среди участников угроз благодаря своим мощным возможностям и простоте использования. Непрерывная эволюция и адаптация вредоносных программ, таких как AsyncRAT, создают серьезные угрозы для кибербезопасности, что подчеркивает важность упреждающего анализа угроз и стратегий их устранения.

#ParsedReport #CompletenessMedium
11-10-2024

Expanding the Investigation: Deep Dive into Latest TrickMo Samples

https://www.zimperium.com/blog/expanding-the-investigation-deep-dive-into-latest-trickmo-samples

Report completeness: Medium

Threats:
Trickmo
Jsonpacker_tool

Industry:
Financial

Geo:
United arab emirates, Turkey, Arab emirates, Canada, Germany

TTPs:
Tactics: 9
Technics: 28

Soft:
Android

Algorithms:
zip

Languages:
php

Links:
https://github.com/Zimperium/IOC/tree/master/2024-10-TrickMo

#ParsedReport #GeneratedSchema
Generated with GPT-4