#ParsedReport #CompletenessHigh
10-10-2024

Core Werewolf hones its arsenal against Russia s government organizations

https://bi.zone/eng/expertise/blog/ne-budi-likho-core-werewolf-sovershenstvuet-ataki-na-rossiyskie-gosorganizatsii

Report completeness: High

Actors/Campaigns:
Core_werewolf

Industry:
Government, Critical_infrastructure

Geo:
Russia

CVEs:
CVE-2024-7965 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- google chrome (<128.0.6613.84)


TTPs:
Tactics: 4
Technics: 0

IOCs:
IP: 5
Url: 2
File: 6
Hash: 44
Domain: 4

Soft:
Telegram, AutoHotKey

Algorithms:
sha256, 7zip, md5, sha1

Languages:
autoit

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Хакерская группа Core Werewolf нацелена на российскую оборонную промышленность и критически важную инфраструктуру, используя новые инструменты и методы доставки вредоносного ПО, включая использование языка сценариев AutoIt и доставку вредоносных файлов через Telegram. Они используют конкретные шаги для сбора информации, поддержания постоянства и уклонения от обнаружения, демонстрируя готовность исследовать различные пути эффективного достижения своих целей. Понимание современных методов атак и использование ресурсов анализа угроз, таких как BI.ZONE может помочь организациям укрепить свою позицию в области кибербезопасности и защититься от возникающих угроз.
-----

Было замечено, что Core Werewolf, хакерская группировка, нацеленная на российскую оборонную промышленность и критически важную инфраструктуру с 2021 года, экспериментирует с новыми инструментами и методами доставки вредоносного ПО. В ходе недавних кампаний Core Werewolf использовал новый загрузчик, написанный на AutoIt, и начал рассылать вредоносные файлы не только по электронной почте, но и через Telegram. Это демонстрирует готовность злоумышленников использовать различные способы для более эффективного достижения своих целей.

В операциях Core Werewolf по-прежнему широко используется AutoIt, популярный язык сценариев, который позволяет злоумышленникам создавать свои собственные вредоносные программы. Группа использует архивы RAR, содержащие самораспаковывающиеся исполняемые файлы, созданные с помощью 7Zip, для доставки вредоносной полезной нагрузки. Эти архивы могут быть защищены паролем для дополнительной безопасности. После запуска вредоносный скрипт собирает информацию о взломанной системе, такую как имя компьютера, логин, версия операционной системы и файлы в папке рабочего стола.

Затем скрипт создает файл в каталоге %TEMP%, шифрует и переименовывает файл-приманку и перемещает его в папку %USERPROFILE%\Downloads. Затем он отправляет HTTP POST-запрос на сервер управления (C2), передавая информацию о взломанной системе. Данные отправляются с использованием заголовков POST-запроса на определенный URL-адрес, после чего они отправляются на сервер C2.

С помощью ряда шагов, включая загрузку дополнительных сценариев AutoIt с сервера C2, Core Werewolf сохраняет устойчивость и продолжает свою вредоносную деятельность. Группа уделяет внимание деталям, поскольку названия файлов-приманок, используемых в их кампаниях, отражают их содержание, что усложняет обнаружение.

В тексте также подчеркивается важность понимания современных методов и инструментов атак для эффективной борьбы с киберугрозами. BI.ZONE Threat Intelligence предлагает специализированный портал с самой актуальной информацией о кампаниях атак, субъектах угроз и их тактике. Использование этого ресурса может помочь организациям опережать возникающие угрозы, расширить возможности реагирования на инциденты и укрепить общую систему кибербезопасности.

Оставаясь в курсе меняющихся тенденций в области атак и используя ресурсы анализа угроз, такие как BI.ZONE, организации могут активно защищаться от сложных угроз и снижать потенциальные риски для своей инфраструктуры и конфиденциальных данных.

#ParsedReport #CompletenessMedium
10-10-2024

Influence and Cyber Operations: An Update

https://cdn.openai.com/threat-intelligence-reports/influence-and-cyber-operations-an-update_October-2024.pdf

Report completeness: Medium

Actors/Campaigns:
Cyberav3nger
Storm-0817
Stop_news
A2z
Storm-2035
Bet_bot
Corrupt_comment
Tort_report
Bad_grammar
Irgc

Threats:
Sweetspecter
Spear-phishing_technique
Sugargh0st_rat
Log4shell_vuln
Sqlmap_tool
Process_hollowing_technique
Mimikatz_tool
Pwdump_tool

Industry:
Ics, Energy, Military, Entertainment, Government, Education

Geo:
Pakistani, Asia, Azerbaijan, Arab emirates, England, Turkish, Rwanda, Venezuela, Jordan, Pakistan, Vietnamese, Italian, California, Spanish, Turkey, Italy, India, China, United arab emirates, Kazakhstan, Russian, Israel, French, United kingdom, France, German, Iran, Africa, Georgia, Belarus, Middle east, Russia, Iranian, Slovakia, Polish, Ukraine, Azerbaijani, Ireland

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1071, T1070, T1553, T1140, T1036

IOCs:
File: 4
Domain: 6

Soft:
OpenAI, ChatGPT, Instagram, Telegram, Android, WhatsApp, WAMP, MySQL, Selenium, macos, have more...

Algorithms:
zip

Languages:
perl, python, php

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в важности создания надежной защиты от кибератак, связанных с государством, и операций тайного влияния во время глобальных выборов, демонстрируя, как OpenAI пресекает различные вредоносные действия, осуществляемые злоумышленниками с использованием технологий искусственного интеллекта.
-----

В тексте обсуждается важность создания надежной защиты от связанных с государством киберпреступников и тайных операций по влиянию во время глобальных выборов. В этом году OpenAI сорвал более 20 операций по всему миру, включая те, которые включали отладку вредоносного ПО, создание контента для веб-сайтов и размещение на платформах социальных сетей поддельных персон. В отчет включены тематические исследования, демонстрирующие нарушенные действия, такие как иранская тайная операция по влиянию, сосредоточенная на выборах в США и различных темах, таких как конфликт в секторе Газа и политика Венесуэлы. Несмотря на усилия по сопротивлению таким операциям, не было значительного вирусного взаимодействия с кампаниями влияния, связанными с выборами, с использованием моделей OpenAI.

Субъекты угроз часто используют модели OpenAI на промежуточном этапе, после базовых, таких как доступ в Интернет и учетные записи в социальных сетях, но до развертывания готовых продуктов, таких как сообщения или вредоносное ПО. Известные субъекты включают «STORM-0817», использующий модели для поддержки кодирования при разработке вредоносного ПО для Android, и «A2Z», создающий биографии учетных записей в социальных сетях. SweetSpecter, предполагаемый противник из Китая, пытался провести фишинг против сотрудников OpenAI с использованием вредоносных вложений ChatGPT. Другая группа, CyberAv3ngers, связанная с иранским КСИР, использовала модели OpenAI для исследования программируемых логических контроллеров и проведения киберактивностей в США и Израиле.

Расследования привели к сбоям в различных видах деятельности, включая сеть в России, которая генерировала комментарии и статьи с использованием моделей OpenAI на разных языках. Кроме того, были обнаружены незарегистрированные субъекты угроз, занимающиеся политическими комментариями на нескольких языках на разных платформах, причем одна операция была сосредоточена на восхвалении Азербайджана. Также были сообщения о действиях, связанных с искусственным интеллектом, финансовыми рынками и региональной политикой в ​​Европе и США.

В тексте подчеркивается сотрудничество с отраслевыми партнерами для выявления и пресечения киберугроз, подчеркивая важность обмена разведданными об угрозах для противодействия изощренным противникам, использующим ИИ. В тематических исследованиях демонстрируются различные применения моделей OpenAI субъектами угроз, такие как отладка вредоносного ПО, создание контента для платформ социальных сетей и проведение фишинговых атак. Мониторинг и нарушения, проводимые OpenAI, выявили вредоносные действия, направленные на выборы, платформы социальных сетей и критически важные инфраструктурные системы, демонстрируя меняющийся ландшафт киберугроз в цифровую эпоху.

Выявленные субъекты угроз происходят из разных регионов и организаций, занимаясь различными видами кибердеятельности, такими как распространение дезинформации, проведение фишинговых атак и создание вредоносного контента. Реагирование на эти угрозы включает в себя упреждающий мониторинг, расследование и сотрудничество с заинтересованными сторонами отрасли для снижения рисков и усиления мер кибербезопасности. Оценка нарушенных действий показывает различные уровни воздействия и сложности, от сетей спама в комментариях до скоординированных операций, нацеленных на конкретные политические организации и социальные проблемы. В целом, текст подчеркивает продолжающиеся усилия по укреплению защиты от киберугроз с использованием технологий ИИ и важность совместных подходов в защите от развивающихся киберугроз.

#ParsedReport #CompletenessLow
09-10-2024

Google Search user interface: A/B testing shows security concerns remain

https://www.malwarebytes.com/blog/cybercrime/2024/10/google-search-user-interface-a-b-testing-shows-security-concerns-remain

Report completeness: Low

Geo:
Hong kong

ChatGPT TTPs:
do not use without manual check
T1078, T1189

IOCs:
File: 1
Domain: 1
Hash: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В тексте рассматривается киберугроза, связанная с вредоносной рекламой, когда злоумышленники используют скомпрометированные учетные записи проверенных рекламодателей для распространения вредоносного ПО с помощью вредоносной рекламы. В нем подчеркивается изощренность этих злоумышленников и предлагаются такие меры, как проверка прав собственности рекламодателей и добавление показателей доверия для борьбы с такими угрозами. Кроме того, это подчеркивает важность внедрения надежных мер безопасности, мониторинга рекламного контента и обучения пользователей, чтобы смягчить последствия вредоносных рекламных кампаний.
-----

В тексте обсуждается киберугроза, связанная с вредоносной рекламой, когда злоумышленники используют взломанную учетную запись проверенного рекламодателя из Гонконга. Ранее эта учетная запись была связана с четырьмя случаями вредоносной рекламы, о которых сообщалось в Google. Злоумышленники могут размещать свою собственную вредоносную рекламу в этом аккаунте всякий раз, когда они запускают новую вредоносную кампанию. После нажатия на объявление и перехода в "Мой рекламный центр" жертвам предлагается загрузить вредоносный файл под названием ClockifySetup.exe, который размещен в учетной записи GitHub, о которой недавно сообщалось о подобных действиях.

Для борьбы с подобными угрозами в тексте предлагается принять такие меры, как присвоение официальных логотипов и URL-адресов только подлинным компаниям, которые могут подтвердить право собственности на название бренда или принадлежность к нему. Кроме того, предлагается добавить дополнительный флажок в рекламу для легальных компаний, связанных с брендом, и включить индикатор "недоверия" в рекламу, в которой используются товарные знаки или авторские права без надлежащей проверки правообладателя.

Проблема подчеркивает изощренность злоумышленников, которые используют скомпрометированные аккаунты законных рекламодателей для распространения вредоносных программ с помощью вредоносной рекламы. Взломав эти аккаунты, злоумышленники могут обойти механизмы обнаружения и нацелиться на ничего не подозревающих пользователей, которые взаимодействуют с этими объявлениями. Вредоносный файл ClockifySetup.exe служит средством доставки вредоносного ПО, потенциально причиняя вред пользователям, которые неосознанно загружают и запускают его.

Предлагаемые меры направлены на повышение прозрачности и достоверности онлайн-рекламы, чтобы помочь пользователям отличать законный контент от потенциально опасного. Проверяя права собственности и легитимность рекламодателей, связанных с брендом, платформы могут снизить риск недобросовестной рекламы и защитить пользователей от подобных атак. Концепция использования показателей доверия, таких как дополнительные галочки для проверенных компаний, может повысить доверие пользователей к рекламе, с которой они сталкиваются в Интернете.

Для платформ и рекламных сетей крайне важно внедрить надежные меры безопасности для предотвращения несанкционированного доступа к аккаунтам рекламодателей и обеспечения того, чтобы пользователям предлагался только законный контент. Регулярный мониторинг и аудит рекламного контента могут помочь обнаружить и удалить вредоносную рекламу до того, как она достигнет более широкой аудитории. Информирование пользователей о рисках, связанных с использованием онлайн-рекламы, и повышение осведомленности о кибербезопасности также могут способствовать смягчению последствий вредоносных рекламных кампаний.

#ParsedReport #CompletenessLow
12-10-2024

Weekly Phishing Email Distribution Cases (2024/09/29\~2024/10/05)

https://asec.ahnlab.com/ko/83768

Report completeness: Low

Industry:
Healthcare, Transport

Geo:
Berlin

IOCs:
File: 42
Hash: 5
Url: 5

Algorithms:
md5, zip

#ParsedReport #CompletenessLow
10-10-2024

What NISTs latest password standards mean, and why the old ones werent working. What NIST s latest password standards mean, and why the old ones weren t working. What NIST s latest password standards mean, and why the old ones weren t working

https://blog.talosintelligence.com/threat-source-newsletter-oct-10-2024

Report completeness: Low

Actors/Campaigns:
Ghostemperor
Volt_typhoon
Seaborgium

Threats:
Akira_ransomware

Industry:
Critical_infrastructure, Military, Government, Healthcare, Ngo, Telco

Geo:
Ukraine, Russian, Qatar, Monaco, Americans, Germany, Russia, Chinese

CVEs:
CVE-2024-43572 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1809 (<10.0.17763.6414)

CVE-2024-43573 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 22h2 (<10.0.19045.5011)


IOCs:
Hash: 10
File: 5

Algorithms:
md5

#ParsedReport #CompletenessMedium
12-10-2024

Malware by the (Bit)Bucket: Unveiling AsyncRAT

https://www.gdatasoftware.com/blog/2024/10/38043-asyncrat-bitbucket

Report completeness: Medium

Threats:
Asyncrat
Process_injection_technique
Credential_dumping_technique
Predator_stealer
Azorult

Industry:
Software_development

TTPs:
Tactics: 8
Technics: 14

IOCs:
Command: 1
Url: 3
Registry: 1
File: 3
Hash: 5

Soft:
VirtualBox

Algorithms:
base64

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в изощренной кампании кибератак, которая использует Bitbucket в качестве хранилища вредоносных программ для распространения трояна удаленного доступа (RAT), известного как AsyncRAT. Несмотря на попытки запутать код и избежать обнаружения, исследователи смогли выявить ключевые индикаторы компрометации (IOCs) при анализе атаки. Кроме того, в тексте обсуждается использование различных векторов атак, методы выполнения в памяти и возможности AsyncRAT, подчеркивается эволюционирующий характер киберугроз и необходимость упреждающего анализа угроз и стратегий смягчения последствий.
-----

В тексте рассказывается о сложной кампании атаки, в ходе которой Bitbucket использовался в качестве хранилища вредоносных программ для доставки AsyncRAT, троянской программы для удаленного доступа (RAT). Используя несколько уровней кодировки base64 для маскировки кода, злоумышленники смогли скрыть свои вредоносные действия и избежать обнаружения. Несмотря на попытки скрыть полезную нагрузку, исследователи смогли выявить ключевые индикаторы компрометации (IOCs) при анализе развертывания AsyncRAT.

Bitbucket, популярная платформа для размещения кода, все чаще становится мишенью злоумышленников для размещения вредоносных программ, таких как Predator stealer, Azorult stealer и STOP ransomware. Решение использовать Bitbucket дает злоумышленникам ряд преимуществ, в том числе видимость легитимности из-за его связи с разработкой программного обеспечения и совместной работой. Кроме того, доступность общедоступных репозиториев Bitbucket позволяет злоумышленникам легко делиться и распространять свои вредоносные программы среди широкой аудитории.

Кампания по атакам с участием AsyncRAT использует различные векторы атаки, включая фишинговые электронные письма с вредоносными вложениями, загрузку с взломанных веб-сайтов и наборы эксплойтов, нацеленных на уязвимости в программном обеспечении. Вредоносный скрипт, развернутый злоумышленниками, использует такие методы, как манипулирование строками, кодирование Base64 и выполнение PowerShell для обфускации и выполнения команд. Скрипт обнаруживает переменную "QpWJ", закодированную в Base64, которая затем декодируется для выполнения команды PowerShell, загружающей файл с именем dllhope.txt из репозитория Bitbucket.

Одним из примечательных аспектов атаки является использование методов выполнения в памяти, в частности, отраженная загрузка ClassLibrary3.dll через system.AppDomain::CurrentDomain.Load. Этот метод позволяет атаке обойти традиционные механизмы безопасности, которые основаны на сканировании файлов. ClassLibrary3.dll AsyncRAT играет решающую роль в обеспечении устойчивости зараженной системы и выполнении загруженной полезной нагрузки. Наличие параметра flag, UmZbL, определяет действия, выполняемые кодом.

Если параметр flag содержит "1", код пытается установить постоянство с помощью ключа запуска реестра и механизмов быстрого доступа к папке автозагрузки. Скрипты с именами "xx1.ps1" и "xx2.vbs" используются для создания записей реестра и ярлыков в папке автозагрузки, гарантируя выполнение полезной нагрузки даже после перезагрузки системы. Этот дополнительный уровень надежности повышает контроль злоумышленников над взломанной системой.

AsyncRAT, RAT с открытым исходным кодом, написанный на C#, предоставляет киберпреступникам широкий контроль над зараженными компьютерами, позволяя им осуществлять различные вредоносные действия. Изначально AsyncRAT был представлен как инструмент удаленного администрирования и завоевал популярность среди участников угроз благодаря своим мощным возможностям и простоте использования. Непрерывная эволюция и адаптация вредоносных программ, таких как AsyncRAT, создают серьезные угрозы для кибербезопасности, что подчеркивает важность упреждающего анализа угроз и стратегий их устранения.

#ParsedReport #CompletenessMedium
11-10-2024

Expanding the Investigation: Deep Dive into Latest TrickMo Samples

https://www.zimperium.com/blog/expanding-the-investigation-deep-dive-into-latest-trickmo-samples

Report completeness: Medium

Threats:
Trickmo
Jsonpacker_tool

Industry:
Financial

Geo:
United arab emirates, Turkey, Arab emirates, Canada, Germany

TTPs:
Tactics: 9
Technics: 28

Soft:
Android

Algorithms:
zip

Languages:
php

Links:
https://github.com/Zimperium/IOC/tree/master/2024-10-TrickMo

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в раскрытии нового варианта банковского трояна TrickMo от Cleafy, который использует передовые технологии, позволяющие избежать обнаружения. Вредоносная программа способна красть шаблоны разблокировки или PIN-коды, получать доступ к конфиденциальным данным на устройствах и передавать учетные данные на серверы C2. Подчеркивается необходимость принятия упреждающих мер защиты для предотвращения потери данных и финансовых потерь, и Zimperium предлагает в качестве решений средства защиты от мобильных угроз и пакет защиты мобильных приложений. Механизм обнаружения вредоносных программ Zimperium оказался эффективным в борьбе с вредоносными программами, что подчеркивает важность осведомленности всей отрасли о киберугрозах.
-----

10 сентября Cleafy публично раскрыла новый вариант банковского трояна TrickMo, который использует инновационные методы, такие как манипулирование zip-файлами и обфускация, чтобы избежать обнаружения и анализа. Хотя Cleafy не предоставил индикаторов компрометации (IOCs), дальнейшие исследования выявили 40 последних вариантов этой угрозы, включая 16 дропперов и 22 активных сервера управления (C2) с дополнительными функциональными возможностями. Эти возможности предоставляли вредоносному ПО доступ к различной информации, хранящейся на устройствах, что потенциально могло привести к несанкционированному доступу к банковским счетам и финансовым транзакциям, что приводило к значительным финансовым потерям для жертв.

Новая функция, обнаруженная в некоторых образцах, позволяла злоумышленникам красть шаблон разблокировки устройства или PIN-код, что позволяло злоумышленникам работать с заблокированными устройствами. Вредоносное ПО имело обманчивый пользовательский интерфейс, напоминающий реальный экран разблокировки, размещенный на внешнем веб-сайте, и перехватывало информацию о разблокировке, введенную пользователями. Захваченный PIN-код или информация о шаблоне, а также идентификатор Android были переданы в PHP-скрипт, который привязал украденные учетные данные к устройствам конкретных жертв.

В результате успешного анализа был получен доступ к многочисленным серверам C2, в результате чего были обнаружены файлы с примерно 13 000 уникальными IP-адресами жертв. При определении геолокации было установлено, что вредоносное ПО в основном нацелено на определенные регионы. Хотя изначально на этих серверах C2 не наблюдалось проблем с утечкой данных, регулярно обновляемые списки IP-адресов указывали на продолжающуюся утечку учетных данных. Миллионы записей в этих файлах указывали на масштабную компрометацию устройств и доступ к конфиденциальным данным, включая банковскую информацию и корпоративные ресурсы, такие как VPN и внутренние веб-сайты, что подчеркивает необходимость защиты мобильных устройств как основных точек атаки.

Учитывая расширенные возможности вредоносного ПО и контроль за зараженными устройствами, превентивные и надежные меры защиты имеют решающее значение для предотвращения потери данных и финансовых потерь. Zimperium предлагает средства защиты от мобильных угроз (MTD) и Mobile App Protection Suite (MAPS), которые помогают предприятиям и разработчикам приложений защищаться от возникающих угроз с помощью механизма динамического обнаружения на устройстве, используя машинное обучение, поведенческий анализ и детерминированное обнаружение для обеспечения комплексной защиты от угроз при сохранении удобства работы пользователей и сроков разработки.

Механизм обнаружения Zimperium оказался эффективным в нейтрализации всех рассмотренных образцов вредоносного ПО и вредоносных URL-адресов, продемонстрировав свою эффективность в борьбе с возникающими киберугрозами. Составленная Zimperium таблица, содержащая тактику и приемы MITRE, служит справочным материалом для понимания воздействия этого вредоносного ПО и повышения осведомленности всей отрасли о киберугрозах.

#ParsedReport #CompletenessLow
11-10-2024

Buhtrap Attacks Russian Financiers and Lawyers Again

https://www.facct.ru/blog/buhtrap-attacks-again

Report completeness: Low

Threats:
Buhtrap

Geo:
Russian

ChatGPT TTPs:
do not use without manual check
T1105, T1204, T1189, T1027, T1055

IOCs:
Hash: 2
Path: 2
Registry: 2
File: 13
Url: 2

Soft:
Wordpad, Telegram, Viber, WhatsApp

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что была обнаружена новая кампания по борьбе с киберпреступностью с использованием вредоносного ПО Buhtrap, демонстрирующая эволюционирующие методы и тактику злоумышленников по распространению и продвижению своих вредоносных ресурсов. Это подчеркивает важность того, чтобы организации сохраняли бдительность, адаптировали средства защиты и уделяли приоритетное внимание осведомленности о кибербезопасности для снижения рисков, создаваемых постоянными киберпреступными группами.
-----

Спустя год после периода относительного бездействия были обнаружены новые кампании по борьбе с киберпреступностью, в которых использовалось вредоносное ПО Buhtrap. Центр кибербезопасности компании F.A.C.C.T. начал расследование после обнаружения вредоносного объекта, загруженного на устройство клиента. В ходе анализа эксперты обнаружили, что вредоносная программа, идентифицированная как Buhtrap RAT, распространялась с помощью дроппера второго этапа, распакованного из исполняемого файла. Этот дроппер запустил процесс Wordpad.exe с пустым документом, отложив следующий этап до тех пор, пока пользователь не закроет окно Wordpad, чтобы избежать обнаружения в изолированной среде.

Затем Buhtrap RAT был сохранен на диск и зарегистрирован при запуске системы, используя случайно сгенерированное имя каталога и файла латинскими символами. В отличие от предыдущей кампании в 2023 году, где Buhtrap RAT представлял собой dll-файл, в данном случае это был исполняемый exe-файл с именем Pakuqa.exe. Исследователи подтвердили вредоносный характер объекта и убедились, что Buhtrap RAT не был активно запущен на устройстве клиента.

Дальнейшее расследование показало, что вредоносный архив, содержащий вредоносную программу Buhtrap, был загружен пользователем через веб-браузер после поиска шаблона документа в поисковой системе Yandex. Исследователи восстановили хронологию инцидента на основе данных устройства, выделив цепочку событий, приведших к загрузке вредоносного архива. Также было обнаружено, что другой веб-ресурс, "законноерешение . рф", связанный с злоумышленниками, но напрямую не использовавшийся в этой кампании, продвигал вредоносное ПО с помощью методов приманки для увеличения трафика и скачиваний.

Вредоносная программа Buhtrap известна своими циклическими "волнами активности" с непостоянными показателями успешности краж. Злоумышленники, стоящие за Buhtrap, постоянно совершенствуют свои методы. Например, в 2018 году они использовали метод "автоматического заполнения" для несанкционированных платежных транзакций сразу после взлома компьютера жертвы. В 2020 году злоумышленники вернулись к методам кражи вручную, демонстрируя готовность адаптировать свою тактику в зависимости от оперативных потребностей.

В ответ на инцидент команда информационной безопасности клиента была проинформирована об обнаружении Buhtrap, и был инициирован анализ ресурсов распространения, связанных с вредоносным ПО. Стратегия злоумышленников по продвижению своих вредоносных ресурсов посредством манипулирования результатами поиска подчеркивает их намерение нацелиться на определенную аудиторию и стимулировать загрузку своего вредоносного ПО. Использование приманок и вредоносных скриптов, таких как dl.js, еще раз подчеркивает усилия злоумышленников по обеспечению высокой посещаемости своих сайтов для успешного распространения вредоносного ПО.

Эта кампания служит напоминанием об изменяющемся ландшафте угроз, создаваемых постоянно действующими киберпреступными группами, такими как те, которые используют вредоносное ПО Buhtrap. Организациям необходимо сохранять бдительность, постоянно адаптировать свои средства защиты и уделять приоритетное внимание кибербезопасности, чтобы снизить риски, создаваемые такими злоумышленниками.

#ParsedReport #CompletenessHigh
12-10-2024

Burning Zero Days: Suspected Nation-State Adversary Targets Ivanti CSA

https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa

Report completeness: High

Threats:
Reversesocks_tool
Landesk_tool
Dns_tunneling_technique

Victims:
Fgir customer

CVEs:
CVE-2024-8190 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti cloud services appliance (4.6)

CVE-2024-8963 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (4.6)

CVE-2024-29824 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager (<2022)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1059, T1003, T1078, T1105, T1566, T1219, T1090, T1552, T1505, have more...

IOCs:
IP: 14
File: 24
Domain: 8
Url: 3
Path: 2
Hash: 4

Soft:
Ivanti, sudo

Algorithms:
base64

Languages:
python, powershell, php