#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В тексте рассматривается киберугроза, связанная с вредоносной рекламой, когда злоумышленники используют скомпрометированные учетные записи проверенных рекламодателей для распространения вредоносного ПО с помощью вредоносной рекламы. В нем подчеркивается изощренность этих злоумышленников и предлагаются такие меры, как проверка прав собственности рекламодателей и добавление показателей доверия для борьбы с такими угрозами. Кроме того, это подчеркивает важность внедрения надежных мер безопасности, мониторинга рекламного контента и обучения пользователей, чтобы смягчить последствия вредоносных рекламных кампаний.
-----

В тексте обсуждается киберугроза, связанная с вредоносной рекламой, когда злоумышленники используют взломанную учетную запись проверенного рекламодателя из Гонконга. Ранее эта учетная запись была связана с четырьмя случаями вредоносной рекламы, о которых сообщалось в Google. Злоумышленники могут размещать свою собственную вредоносную рекламу в этом аккаунте всякий раз, когда они запускают новую вредоносную кампанию. После нажатия на объявление и перехода в "Мой рекламный центр" жертвам предлагается загрузить вредоносный файл под названием ClockifySetup.exe, который размещен в учетной записи GitHub, о которой недавно сообщалось о подобных действиях.

Для борьбы с подобными угрозами в тексте предлагается принять такие меры, как присвоение официальных логотипов и URL-адресов только подлинным компаниям, которые могут подтвердить право собственности на название бренда или принадлежность к нему. Кроме того, предлагается добавить дополнительный флажок в рекламу для легальных компаний, связанных с брендом, и включить индикатор "недоверия" в рекламу, в которой используются товарные знаки или авторские права без надлежащей проверки правообладателя.

Проблема подчеркивает изощренность злоумышленников, которые используют скомпрометированные аккаунты законных рекламодателей для распространения вредоносных программ с помощью вредоносной рекламы. Взломав эти аккаунты, злоумышленники могут обойти механизмы обнаружения и нацелиться на ничего не подозревающих пользователей, которые взаимодействуют с этими объявлениями. Вредоносный файл ClockifySetup.exe служит средством доставки вредоносного ПО, потенциально причиняя вред пользователям, которые неосознанно загружают и запускают его.

Предлагаемые меры направлены на повышение прозрачности и достоверности онлайн-рекламы, чтобы помочь пользователям отличать законный контент от потенциально опасного. Проверяя права собственности и легитимность рекламодателей, связанных с брендом, платформы могут снизить риск недобросовестной рекламы и защитить пользователей от подобных атак. Концепция использования показателей доверия, таких как дополнительные галочки для проверенных компаний, может повысить доверие пользователей к рекламе, с которой они сталкиваются в Интернете.

Для платформ и рекламных сетей крайне важно внедрить надежные меры безопасности для предотвращения несанкционированного доступа к аккаунтам рекламодателей и обеспечения того, чтобы пользователям предлагался только законный контент. Регулярный мониторинг и аудит рекламного контента могут помочь обнаружить и удалить вредоносную рекламу до того, как она достигнет более широкой аудитории. Информирование пользователей о рисках, связанных с использованием онлайн-рекламы, и повышение осведомленности о кибербезопасности также могут способствовать смягчению последствий вредоносных рекламных кампаний.

#ParsedReport #CompletenessLow
12-10-2024

Weekly Phishing Email Distribution Cases (2024/09/29\~2024/10/05)

https://asec.ahnlab.com/ko/83768

Report completeness: Low

Industry:
Healthcare, Transport

Geo:
Berlin

IOCs:
File: 42
Hash: 5
Url: 5

Algorithms:
md5, zip

#ParsedReport #CompletenessLow
10-10-2024

What NISTs latest password standards mean, and why the old ones werent working. What NIST s latest password standards mean, and why the old ones weren t working. What NIST s latest password standards mean, and why the old ones weren t working

https://blog.talosintelligence.com/threat-source-newsletter-oct-10-2024

Report completeness: Low

Actors/Campaigns:
Ghostemperor
Volt_typhoon
Seaborgium

Threats:
Akira_ransomware

Industry:
Critical_infrastructure, Military, Government, Healthcare, Ngo, Telco

Geo:
Ukraine, Russian, Qatar, Monaco, Americans, Germany, Russia, Chinese

CVEs:
CVE-2024-43572 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1809 (<10.0.17763.6414)

CVE-2024-43573 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 22h2 (<10.0.19045.5011)


IOCs:
Hash: 10
File: 5

Algorithms:
md5

#ParsedReport #CompletenessMedium
12-10-2024

Malware by the (Bit)Bucket: Unveiling AsyncRAT

https://www.gdatasoftware.com/blog/2024/10/38043-asyncrat-bitbucket

Report completeness: Medium

Threats:
Asyncrat
Process_injection_technique
Credential_dumping_technique
Predator_stealer
Azorult

Industry:
Software_development

TTPs:
Tactics: 8
Technics: 14

IOCs:
Command: 1
Url: 3
Registry: 1
File: 3
Hash: 5

Soft:
VirtualBox

Algorithms:
base64

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в изощренной кампании кибератак, которая использует Bitbucket в качестве хранилища вредоносных программ для распространения трояна удаленного доступа (RAT), известного как AsyncRAT. Несмотря на попытки запутать код и избежать обнаружения, исследователи смогли выявить ключевые индикаторы компрометации (IOCs) при анализе атаки. Кроме того, в тексте обсуждается использование различных векторов атак, методы выполнения в памяти и возможности AsyncRAT, подчеркивается эволюционирующий характер киберугроз и необходимость упреждающего анализа угроз и стратегий смягчения последствий.
-----

В тексте рассказывается о сложной кампании атаки, в ходе которой Bitbucket использовался в качестве хранилища вредоносных программ для доставки AsyncRAT, троянской программы для удаленного доступа (RAT). Используя несколько уровней кодировки base64 для маскировки кода, злоумышленники смогли скрыть свои вредоносные действия и избежать обнаружения. Несмотря на попытки скрыть полезную нагрузку, исследователи смогли выявить ключевые индикаторы компрометации (IOCs) при анализе развертывания AsyncRAT.

Bitbucket, популярная платформа для размещения кода, все чаще становится мишенью злоумышленников для размещения вредоносных программ, таких как Predator stealer, Azorult stealer и STOP ransomware. Решение использовать Bitbucket дает злоумышленникам ряд преимуществ, в том числе видимость легитимности из-за его связи с разработкой программного обеспечения и совместной работой. Кроме того, доступность общедоступных репозиториев Bitbucket позволяет злоумышленникам легко делиться и распространять свои вредоносные программы среди широкой аудитории.

Кампания по атакам с участием AsyncRAT использует различные векторы атаки, включая фишинговые электронные письма с вредоносными вложениями, загрузку с взломанных веб-сайтов и наборы эксплойтов, нацеленных на уязвимости в программном обеспечении. Вредоносный скрипт, развернутый злоумышленниками, использует такие методы, как манипулирование строками, кодирование Base64 и выполнение PowerShell для обфускации и выполнения команд. Скрипт обнаруживает переменную "QpWJ", закодированную в Base64, которая затем декодируется для выполнения команды PowerShell, загружающей файл с именем dllhope.txt из репозитория Bitbucket.

Одним из примечательных аспектов атаки является использование методов выполнения в памяти, в частности, отраженная загрузка ClassLibrary3.dll через system.AppDomain::CurrentDomain.Load. Этот метод позволяет атаке обойти традиционные механизмы безопасности, которые основаны на сканировании файлов. ClassLibrary3.dll AsyncRAT играет решающую роль в обеспечении устойчивости зараженной системы и выполнении загруженной полезной нагрузки. Наличие параметра flag, UmZbL, определяет действия, выполняемые кодом.

Если параметр flag содержит "1", код пытается установить постоянство с помощью ключа запуска реестра и механизмов быстрого доступа к папке автозагрузки. Скрипты с именами "xx1.ps1" и "xx2.vbs" используются для создания записей реестра и ярлыков в папке автозагрузки, гарантируя выполнение полезной нагрузки даже после перезагрузки системы. Этот дополнительный уровень надежности повышает контроль злоумышленников над взломанной системой.

AsyncRAT, RAT с открытым исходным кодом, написанный на C#, предоставляет киберпреступникам широкий контроль над зараженными компьютерами, позволяя им осуществлять различные вредоносные действия. Изначально AsyncRAT был представлен как инструмент удаленного администрирования и завоевал популярность среди участников угроз благодаря своим мощным возможностям и простоте использования. Непрерывная эволюция и адаптация вредоносных программ, таких как AsyncRAT, создают серьезные угрозы для кибербезопасности, что подчеркивает важность упреждающего анализа угроз и стратегий их устранения.

#ParsedReport #CompletenessMedium
11-10-2024

Expanding the Investigation: Deep Dive into Latest TrickMo Samples

https://www.zimperium.com/blog/expanding-the-investigation-deep-dive-into-latest-trickmo-samples

Report completeness: Medium

Threats:
Trickmo
Jsonpacker_tool

Industry:
Financial

Geo:
United arab emirates, Turkey, Arab emirates, Canada, Germany

TTPs:
Tactics: 9
Technics: 28

Soft:
Android

Algorithms:
zip

Languages:
php

Links:
https://github.com/Zimperium/IOC/tree/master/2024-10-TrickMo

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в раскрытии нового варианта банковского трояна TrickMo от Cleafy, который использует передовые технологии, позволяющие избежать обнаружения. Вредоносная программа способна красть шаблоны разблокировки или PIN-коды, получать доступ к конфиденциальным данным на устройствах и передавать учетные данные на серверы C2. Подчеркивается необходимость принятия упреждающих мер защиты для предотвращения потери данных и финансовых потерь, и Zimperium предлагает в качестве решений средства защиты от мобильных угроз и пакет защиты мобильных приложений. Механизм обнаружения вредоносных программ Zimperium оказался эффективным в борьбе с вредоносными программами, что подчеркивает важность осведомленности всей отрасли о киберугрозах.
-----

10 сентября Cleafy публично раскрыла новый вариант банковского трояна TrickMo, который использует инновационные методы, такие как манипулирование zip-файлами и обфускация, чтобы избежать обнаружения и анализа. Хотя Cleafy не предоставил индикаторов компрометации (IOCs), дальнейшие исследования выявили 40 последних вариантов этой угрозы, включая 16 дропперов и 22 активных сервера управления (C2) с дополнительными функциональными возможностями. Эти возможности предоставляли вредоносному ПО доступ к различной информации, хранящейся на устройствах, что потенциально могло привести к несанкционированному доступу к банковским счетам и финансовым транзакциям, что приводило к значительным финансовым потерям для жертв.

Новая функция, обнаруженная в некоторых образцах, позволяла злоумышленникам красть шаблон разблокировки устройства или PIN-код, что позволяло злоумышленникам работать с заблокированными устройствами. Вредоносное ПО имело обманчивый пользовательский интерфейс, напоминающий реальный экран разблокировки, размещенный на внешнем веб-сайте, и перехватывало информацию о разблокировке, введенную пользователями. Захваченный PIN-код или информация о шаблоне, а также идентификатор Android были переданы в PHP-скрипт, который привязал украденные учетные данные к устройствам конкретных жертв.

В результате успешного анализа был получен доступ к многочисленным серверам C2, в результате чего были обнаружены файлы с примерно 13 000 уникальными IP-адресами жертв. При определении геолокации было установлено, что вредоносное ПО в основном нацелено на определенные регионы. Хотя изначально на этих серверах C2 не наблюдалось проблем с утечкой данных, регулярно обновляемые списки IP-адресов указывали на продолжающуюся утечку учетных данных. Миллионы записей в этих файлах указывали на масштабную компрометацию устройств и доступ к конфиденциальным данным, включая банковскую информацию и корпоративные ресурсы, такие как VPN и внутренние веб-сайты, что подчеркивает необходимость защиты мобильных устройств как основных точек атаки.

Учитывая расширенные возможности вредоносного ПО и контроль за зараженными устройствами, превентивные и надежные меры защиты имеют решающее значение для предотвращения потери данных и финансовых потерь. Zimperium предлагает средства защиты от мобильных угроз (MTD) и Mobile App Protection Suite (MAPS), которые помогают предприятиям и разработчикам приложений защищаться от возникающих угроз с помощью механизма динамического обнаружения на устройстве, используя машинное обучение, поведенческий анализ и детерминированное обнаружение для обеспечения комплексной защиты от угроз при сохранении удобства работы пользователей и сроков разработки.

Механизм обнаружения Zimperium оказался эффективным в нейтрализации всех рассмотренных образцов вредоносного ПО и вредоносных URL-адресов, продемонстрировав свою эффективность в борьбе с возникающими киберугрозами. Составленная Zimperium таблица, содержащая тактику и приемы MITRE, служит справочным материалом для понимания воздействия этого вредоносного ПО и повышения осведомленности всей отрасли о киберугрозах.

#ParsedReport #CompletenessLow
11-10-2024

Buhtrap Attacks Russian Financiers and Lawyers Again

https://www.facct.ru/blog/buhtrap-attacks-again

Report completeness: Low

Threats:
Buhtrap

Geo:
Russian

ChatGPT TTPs:
do not use without manual check
T1105, T1204, T1189, T1027, T1055

IOCs:
Hash: 2
Path: 2
Registry: 2
File: 13
Url: 2

Soft:
Wordpad, Telegram, Viber, WhatsApp

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что была обнаружена новая кампания по борьбе с киберпреступностью с использованием вредоносного ПО Buhtrap, демонстрирующая эволюционирующие методы и тактику злоумышленников по распространению и продвижению своих вредоносных ресурсов. Это подчеркивает важность того, чтобы организации сохраняли бдительность, адаптировали средства защиты и уделяли приоритетное внимание осведомленности о кибербезопасности для снижения рисков, создаваемых постоянными киберпреступными группами.
-----

Спустя год после периода относительного бездействия были обнаружены новые кампании по борьбе с киберпреступностью, в которых использовалось вредоносное ПО Buhtrap. Центр кибербезопасности компании F.A.C.C.T. начал расследование после обнаружения вредоносного объекта, загруженного на устройство клиента. В ходе анализа эксперты обнаружили, что вредоносная программа, идентифицированная как Buhtrap RAT, распространялась с помощью дроппера второго этапа, распакованного из исполняемого файла. Этот дроппер запустил процесс Wordpad.exe с пустым документом, отложив следующий этап до тех пор, пока пользователь не закроет окно Wordpad, чтобы избежать обнаружения в изолированной среде.

Затем Buhtrap RAT был сохранен на диск и зарегистрирован при запуске системы, используя случайно сгенерированное имя каталога и файла латинскими символами. В отличие от предыдущей кампании в 2023 году, где Buhtrap RAT представлял собой dll-файл, в данном случае это был исполняемый exe-файл с именем Pakuqa.exe. Исследователи подтвердили вредоносный характер объекта и убедились, что Buhtrap RAT не был активно запущен на устройстве клиента.

Дальнейшее расследование показало, что вредоносный архив, содержащий вредоносную программу Buhtrap, был загружен пользователем через веб-браузер после поиска шаблона документа в поисковой системе Yandex. Исследователи восстановили хронологию инцидента на основе данных устройства, выделив цепочку событий, приведших к загрузке вредоносного архива. Также было обнаружено, что другой веб-ресурс, "законноерешение . рф", связанный с злоумышленниками, но напрямую не использовавшийся в этой кампании, продвигал вредоносное ПО с помощью методов приманки для увеличения трафика и скачиваний.

Вредоносная программа Buhtrap известна своими циклическими "волнами активности" с непостоянными показателями успешности краж. Злоумышленники, стоящие за Buhtrap, постоянно совершенствуют свои методы. Например, в 2018 году они использовали метод "автоматического заполнения" для несанкционированных платежных транзакций сразу после взлома компьютера жертвы. В 2020 году злоумышленники вернулись к методам кражи вручную, демонстрируя готовность адаптировать свою тактику в зависимости от оперативных потребностей.

В ответ на инцидент команда информационной безопасности клиента была проинформирована об обнаружении Buhtrap, и был инициирован анализ ресурсов распространения, связанных с вредоносным ПО. Стратегия злоумышленников по продвижению своих вредоносных ресурсов посредством манипулирования результатами поиска подчеркивает их намерение нацелиться на определенную аудиторию и стимулировать загрузку своего вредоносного ПО. Использование приманок и вредоносных скриптов, таких как dl.js, еще раз подчеркивает усилия злоумышленников по обеспечению высокой посещаемости своих сайтов для успешного распространения вредоносного ПО.

Эта кампания служит напоминанием об изменяющемся ландшафте угроз, создаваемых постоянно действующими киберпреступными группами, такими как те, которые используют вредоносное ПО Buhtrap. Организациям необходимо сохранять бдительность, постоянно адаптировать свои средства защиты и уделять приоритетное внимание кибербезопасности, чтобы снизить риски, создаваемые такими злоумышленниками.

#ParsedReport #CompletenessHigh
12-10-2024

Burning Zero Days: Suspected Nation-State Adversary Targets Ivanti CSA

https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa

Report completeness: High

Threats:
Reversesocks_tool
Landesk_tool
Dns_tunneling_technique

Victims:
Fgir customer

CVEs:
CVE-2024-8190 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti cloud services appliance (4.6)

CVE-2024-8963 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (4.6)

CVE-2024-29824 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager (<2022)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1059, T1003, T1078, T1105, T1566, T1219, T1090, T1552, T1505, have more...

IOCs:
IP: 14
File: 24
Domain: 8
Url: 3
Path: 2
Hash: 4

Soft:
Ivanti, sudo

Algorithms:
base64

Languages:
python, powershell, php

#ParsedReport #ExtractedSchema

Classified images:
windows: 3, code: 13, schema: 1, table: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что FortiGuard Incident Response (FGIR) расследовала случай, когда злоумышленник использовал уязвимости в устройстве Ivanti CSA, что привело к несанкционированному доступу, краже данных и другим вредоносным действиям. Этот инцидент подчеркивает необходимость принятия упреждающих мер кибербезопасности и постоянного мониторинга для эффективной борьбы с киберугрозами.
-----

Компания FortiGuard Incident Response (FGIR) получила задание от клиента расследовать подозрительную сетевую активность и обнаружила злоумышленника, использующего уязвимости в устройстве Ivanti CSA. Злоумышленник использовал CVE-2024-8190, а также две неизвестные уязвимости во внешнем интерфейсе PHP. Клиент впервые заметил аномальную связь 9 сентября 2024 года, и FGIR была подключена на следующий день.

Первой неизвестной уязвимостью была ошибка обхода пути на ресурсе /client/index.php, позволяющая получить несанкционированный доступ к другим ресурсам, таким как users.php и reports.php. Второй неизвестной уязвимостью была ошибка ввода команд в reports.php. Позже Ivanti выпустила исправление для ошибки обхода пути.

10 сентября 2024 года компания Ivanti опубликовала рекомендации по безопасности для CVE-2024-8190. Используя эту уязвимость в сочетании с проблемой обхода пути, злоумышленник получил доступ к конфиденциальным ресурсам и попытался создать пользователей-изгоев и получить дальнейший доступ. Злоумышленник создал вредоносный почтовый запрос для извлечения конфиденциальной информации, включая пароли и секретные ключи.

Получив учетные данные пользователя и секретные ключи, злоумышленник воспользовался другой уязвимостью, связанной с внедрением команд в reports.php. Злоумышленникам удалось создать веб-оболочку и выполнить вредоносные команды с повышенными привилегиями. Хотя 10 сентября был выпущен патч CVE-2024-8190, злоумышленник исправил уязвимости, чтобы предотвратить дальнейшую эксплуатацию.

Позже злоумышленник атаковал сервер базы данных SQL, используя уязвимость, связанную с внедрением SQL-кода. Они провели разведку и попытались провести эксфильтрацию данных с помощью туннелирования DNS. Кроме того, были обнаружены веб-оболочки, и злоумышленник предпринял атаку методом перебора аутентификации на внутренние ресурсы.

Анализ памяти выявил использование прокси-сервера для сканирования и атак методом перебора во внутренней сети. Также была обнаружена попытка внедрения руткита на устройстве CSA, что указывает на изощренную тактику злоумышленника. Вредоносный руткит был нацелен на сохранение системы путем модификации системных файлов.

В ходе расследования FGIR столкнулась с различными формами вредоносной деятельности, продемонстрировав расширенные возможности и настойчивость злоумышленников. Полученные результаты подчеркивают важность упреждающих мер кибербезопасности и постоянного мониторинга для эффективного обнаружения и устранения киберугроз.

#ParsedReport #CompletenessMedium
12-10-2024

Analysis of APT-C-20 (APT28) attack activities using complex attack tactics. 1. Analysis of Attack Activities. Analysis of APT-C-20 (APT28) attack activities using complex attack tactics

https://www.ctfiot.com/208832.html

Report completeness: Medium

Actors/Campaigns:
Fancy_bear (motivation: information_theft)

Threats:
Watering_hole_technique
Spear-phishing_technique
Headlace
Masepie_tool
Double_kill_vuln
Double_star_vuln
Nightmare_formula_vuln
Dll_hijacking_technique
Steelhook
Oceanmap

Industry:
Education, Government, Military, Energy

Geo:
Ukraine

ChatGPT TTPs:
do not use without manual check
T1071, T1070.004, T1574.001, T1190, T1078, T1187

IOCs:
File: 2

Soft:
WeChat, Microsoft Edge

Algorithms:
aes

Languages:
powershell, javascript, python

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: APT28, изощренная хакерская группа, также известная как Fancy Bear, уже более десяти лет активно действует в различных секторах по всему миру, используя передовые методы атак, включая фишинговые электронные письма и бэкдоры для проникновения в целевые системы и контроля над ними. Тактика группировки направлена на сокрытие своей деятельности, и они распространили свои атаки за пределы Европы и Кавказа, что свидетельствует о большом интересе к сбору разведывательной информации. Для защиты от APT28 и подобных угроз организациям рекомендуется регулярно проводить тренинги по кибербезопасности и внедрять комплексные меры безопасности.
-----

APT-C-20, также известный как APT28 или Fancy Bear, уже более десяти лет активно борется с киберугрозами, нацеливаясь на различные сектора по всему миру, включая правительство, вооруженные силы, средства массовой информации и энергетику. Известная своей изощренной тактикой, APT28 использует различные методы атак, такие как фишинговые рассылки по электронной почте, атаки с использованием подпольных источников и уязвимости нулевого дня. Группа использует ряд технических средств, таких как вредоносное ПО, средства удаленного управления и зашифрованные сообщения, для проникновения в целевые системы и контроля над ними. APT28 делает упор на сокрытие своей деятельности с помощью прокси-серверов и подделки атрибутов файлов, что затрудняет установление авторства. Институт перспективных исследований угроз 360 внимательно следит за деятельностью APT28 и выявил использование организацией передовых методов атаки.

APT28 распространила свои атаки за пределы Европы и Кавказа, а в последнее время их целью стали другие регионы. В своих атаках группа постоянно использует методы фишинга и использует скомпрометированные маршрутизаторы Ubiquiti Edge для сбора учетных данных пользователей. Масштаб и интенсивность атак APT28 указывают на сильную заинтересованность в получении доступа к сетевым ресурсам и разведывательной информации. Тактика и методы проникновения группы подробно проанализированы, чтобы понять их стратегические намерения.

Один из методов атаки APT28 заключается в рассылке пользователям фишинговых электронных писем, содержащих вредоносные ссылки. Эти ссылки ведут к сжатому файлу, содержащему программу Headlace Dropper, которая при запуске запускает бэкдор Headlace для установления связи с сервером злоумышленника. Этот бэкдор позволяет красть конфиденциальную информацию и дистанционно управлять системой жертвы.

В рамках другого метода атаки APT28 использует фишинговые электронные письма, чтобы заставить пользователей переходить по вредоносным ссылкам, которые перенаправляют на страницу-приманку, что в конечном итоге приводит к запуску бэкдора MASEPIE. Этот бэкдор позволяет злоумышленникам установить удаленный контроль над системой жертвы и выполнять произвольные команды по мере необходимости.

Фишинговые атаки APT28 включают тщательно обработанные электронные письма и сжатые файлы, содержащие обманчивые документы PDF или HTML. Жертвы вводят учетные данные на поддельных страницах входа в систему, что позволяет злоумышленникам украсть конфиденциальную информацию для дальнейшего проникновения и сбора разведданных. Было замечено, что эти атаки были нацелены на конкретные регионы, такие как Украина, и использовали различные тактики для сбора учетных данных пользователей.

Для защиты от APT28 и аналогичных угроз организациям рекомендуется проводить регулярные тренинги по кибербезопасности, ограничивать привилегии пользователей и проводить всестороннюю оценку безопасности. Понимая тактику APT28 и применяя соответствующие меры защиты, организации могут повысить уровень своей кибербезопасности и снизить риски, связанные с APT. Постоянные исследования и повышение осведомленности необходимы для борьбы с меняющимся ландшафтом киберугроз.

#ParsedReport #CompletenessLow
12-10-2024

CoreWarrior Spreader Malware Surge

https://blog.sonicwall.com/en-us/2024/10/corewarrior-spreader-malware-surge

Report completeness: Low

Threats:
Upx_tool
Antidebugging_technique

ChatGPT TTPs:
do not use without manual check
T1036, T1105, T1497, T1089

IOCs:
IP: 1
Hash: 2

Soft:
curl