#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в изощренной кампании кибератак, которая использует Bitbucket в качестве хранилища вредоносных программ для распространения трояна удаленного доступа (RAT), известного как AsyncRAT. Несмотря на попытки запутать код и избежать обнаружения, исследователи смогли выявить ключевые индикаторы компрометации (IOCs) при анализе атаки. Кроме того, в тексте обсуждается использование различных векторов атак, методы выполнения в памяти и возможности AsyncRAT, подчеркивается эволюционирующий характер киберугроз и необходимость упреждающего анализа угроз и стратегий смягчения последствий.
-----

В тексте рассказывается о сложной кампании атаки, в ходе которой Bitbucket использовался в качестве хранилища вредоносных программ для доставки AsyncRAT, троянской программы для удаленного доступа (RAT). Используя несколько уровней кодировки base64 для маскировки кода, злоумышленники смогли скрыть свои вредоносные действия и избежать обнаружения. Несмотря на попытки скрыть полезную нагрузку, исследователи смогли выявить ключевые индикаторы компрометации (IOCs) при анализе развертывания AsyncRAT.

Bitbucket, популярная платформа для размещения кода, все чаще становится мишенью злоумышленников для размещения вредоносных программ, таких как Predator stealer, Azorult stealer и STOP ransomware. Решение использовать Bitbucket дает злоумышленникам ряд преимуществ, в том числе видимость легитимности из-за его связи с разработкой программного обеспечения и совместной работой. Кроме того, доступность общедоступных репозиториев Bitbucket позволяет злоумышленникам легко делиться и распространять свои вредоносные программы среди широкой аудитории.

Кампания по атакам с участием AsyncRAT использует различные векторы атаки, включая фишинговые электронные письма с вредоносными вложениями, загрузку с взломанных веб-сайтов и наборы эксплойтов, нацеленных на уязвимости в программном обеспечении. Вредоносный скрипт, развернутый злоумышленниками, использует такие методы, как манипулирование строками, кодирование Base64 и выполнение PowerShell для обфускации и выполнения команд. Скрипт обнаруживает переменную "QpWJ", закодированную в Base64, которая затем декодируется для выполнения команды PowerShell, загружающей файл с именем dllhope.txt из репозитория Bitbucket.

Одним из примечательных аспектов атаки является использование методов выполнения в памяти, в частности, отраженная загрузка ClassLibrary3.dll через system.AppDomain::CurrentDomain.Load. Этот метод позволяет атаке обойти традиционные механизмы безопасности, которые основаны на сканировании файлов. ClassLibrary3.dll AsyncRAT играет решающую роль в обеспечении устойчивости зараженной системы и выполнении загруженной полезной нагрузки. Наличие параметра flag, UmZbL, определяет действия, выполняемые кодом.

Если параметр flag содержит "1", код пытается установить постоянство с помощью ключа запуска реестра и механизмов быстрого доступа к папке автозагрузки. Скрипты с именами "xx1.ps1" и "xx2.vbs" используются для создания записей реестра и ярлыков в папке автозагрузки, гарантируя выполнение полезной нагрузки даже после перезагрузки системы. Этот дополнительный уровень надежности повышает контроль злоумышленников над взломанной системой.

AsyncRAT, RAT с открытым исходным кодом, написанный на C#, предоставляет киберпреступникам широкий контроль над зараженными компьютерами, позволяя им осуществлять различные вредоносные действия. Изначально AsyncRAT был представлен как инструмент удаленного администрирования и завоевал популярность среди участников угроз благодаря своим мощным возможностям и простоте использования. Непрерывная эволюция и адаптация вредоносных программ, таких как AsyncRAT, создают серьезные угрозы для кибербезопасности, что подчеркивает важность упреждающего анализа угроз и стратегий их устранения.

#ParsedReport #CompletenessMedium
11-10-2024

Expanding the Investigation: Deep Dive into Latest TrickMo Samples

https://www.zimperium.com/blog/expanding-the-investigation-deep-dive-into-latest-trickmo-samples

Report completeness: Medium

Threats:
Trickmo
Jsonpacker_tool

Industry:
Financial

Geo:
United arab emirates, Turkey, Arab emirates, Canada, Germany

TTPs:
Tactics: 9
Technics: 28

Soft:
Android

Algorithms:
zip

Languages:
php

Links:
https://github.com/Zimperium/IOC/tree/master/2024-10-TrickMo

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в раскрытии нового варианта банковского трояна TrickMo от Cleafy, который использует передовые технологии, позволяющие избежать обнаружения. Вредоносная программа способна красть шаблоны разблокировки или PIN-коды, получать доступ к конфиденциальным данным на устройствах и передавать учетные данные на серверы C2. Подчеркивается необходимость принятия упреждающих мер защиты для предотвращения потери данных и финансовых потерь, и Zimperium предлагает в качестве решений средства защиты от мобильных угроз и пакет защиты мобильных приложений. Механизм обнаружения вредоносных программ Zimperium оказался эффективным в борьбе с вредоносными программами, что подчеркивает важность осведомленности всей отрасли о киберугрозах.
-----

10 сентября Cleafy публично раскрыла новый вариант банковского трояна TrickMo, который использует инновационные методы, такие как манипулирование zip-файлами и обфускация, чтобы избежать обнаружения и анализа. Хотя Cleafy не предоставил индикаторов компрометации (IOCs), дальнейшие исследования выявили 40 последних вариантов этой угрозы, включая 16 дропперов и 22 активных сервера управления (C2) с дополнительными функциональными возможностями. Эти возможности предоставляли вредоносному ПО доступ к различной информации, хранящейся на устройствах, что потенциально могло привести к несанкционированному доступу к банковским счетам и финансовым транзакциям, что приводило к значительным финансовым потерям для жертв.

Новая функция, обнаруженная в некоторых образцах, позволяла злоумышленникам красть шаблон разблокировки устройства или PIN-код, что позволяло злоумышленникам работать с заблокированными устройствами. Вредоносное ПО имело обманчивый пользовательский интерфейс, напоминающий реальный экран разблокировки, размещенный на внешнем веб-сайте, и перехватывало информацию о разблокировке, введенную пользователями. Захваченный PIN-код или информация о шаблоне, а также идентификатор Android были переданы в PHP-скрипт, который привязал украденные учетные данные к устройствам конкретных жертв.

В результате успешного анализа был получен доступ к многочисленным серверам C2, в результате чего были обнаружены файлы с примерно 13 000 уникальными IP-адресами жертв. При определении геолокации было установлено, что вредоносное ПО в основном нацелено на определенные регионы. Хотя изначально на этих серверах C2 не наблюдалось проблем с утечкой данных, регулярно обновляемые списки IP-адресов указывали на продолжающуюся утечку учетных данных. Миллионы записей в этих файлах указывали на масштабную компрометацию устройств и доступ к конфиденциальным данным, включая банковскую информацию и корпоративные ресурсы, такие как VPN и внутренние веб-сайты, что подчеркивает необходимость защиты мобильных устройств как основных точек атаки.

Учитывая расширенные возможности вредоносного ПО и контроль за зараженными устройствами, превентивные и надежные меры защиты имеют решающее значение для предотвращения потери данных и финансовых потерь. Zimperium предлагает средства защиты от мобильных угроз (MTD) и Mobile App Protection Suite (MAPS), которые помогают предприятиям и разработчикам приложений защищаться от возникающих угроз с помощью механизма динамического обнаружения на устройстве, используя машинное обучение, поведенческий анализ и детерминированное обнаружение для обеспечения комплексной защиты от угроз при сохранении удобства работы пользователей и сроков разработки.

Механизм обнаружения Zimperium оказался эффективным в нейтрализации всех рассмотренных образцов вредоносного ПО и вредоносных URL-адресов, продемонстрировав свою эффективность в борьбе с возникающими киберугрозами. Составленная Zimperium таблица, содержащая тактику и приемы MITRE, служит справочным материалом для понимания воздействия этого вредоносного ПО и повышения осведомленности всей отрасли о киберугрозах.

#ParsedReport #CompletenessLow
11-10-2024

Buhtrap Attacks Russian Financiers and Lawyers Again

https://www.facct.ru/blog/buhtrap-attacks-again

Report completeness: Low

Threats:
Buhtrap

Geo:
Russian

ChatGPT TTPs:
do not use without manual check
T1105, T1204, T1189, T1027, T1055

IOCs:
Hash: 2
Path: 2
Registry: 2
File: 13
Url: 2

Soft:
Wordpad, Telegram, Viber, WhatsApp

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что была обнаружена новая кампания по борьбе с киберпреступностью с использованием вредоносного ПО Buhtrap, демонстрирующая эволюционирующие методы и тактику злоумышленников по распространению и продвижению своих вредоносных ресурсов. Это подчеркивает важность того, чтобы организации сохраняли бдительность, адаптировали средства защиты и уделяли приоритетное внимание осведомленности о кибербезопасности для снижения рисков, создаваемых постоянными киберпреступными группами.
-----

Спустя год после периода относительного бездействия были обнаружены новые кампании по борьбе с киберпреступностью, в которых использовалось вредоносное ПО Buhtrap. Центр кибербезопасности компании F.A.C.C.T. начал расследование после обнаружения вредоносного объекта, загруженного на устройство клиента. В ходе анализа эксперты обнаружили, что вредоносная программа, идентифицированная как Buhtrap RAT, распространялась с помощью дроппера второго этапа, распакованного из исполняемого файла. Этот дроппер запустил процесс Wordpad.exe с пустым документом, отложив следующий этап до тех пор, пока пользователь не закроет окно Wordpad, чтобы избежать обнаружения в изолированной среде.

Затем Buhtrap RAT был сохранен на диск и зарегистрирован при запуске системы, используя случайно сгенерированное имя каталога и файла латинскими символами. В отличие от предыдущей кампании в 2023 году, где Buhtrap RAT представлял собой dll-файл, в данном случае это был исполняемый exe-файл с именем Pakuqa.exe. Исследователи подтвердили вредоносный характер объекта и убедились, что Buhtrap RAT не был активно запущен на устройстве клиента.

Дальнейшее расследование показало, что вредоносный архив, содержащий вредоносную программу Buhtrap, был загружен пользователем через веб-браузер после поиска шаблона документа в поисковой системе Yandex. Исследователи восстановили хронологию инцидента на основе данных устройства, выделив цепочку событий, приведших к загрузке вредоносного архива. Также было обнаружено, что другой веб-ресурс, "законноерешение . рф", связанный с злоумышленниками, но напрямую не использовавшийся в этой кампании, продвигал вредоносное ПО с помощью методов приманки для увеличения трафика и скачиваний.

Вредоносная программа Buhtrap известна своими циклическими "волнами активности" с непостоянными показателями успешности краж. Злоумышленники, стоящие за Buhtrap, постоянно совершенствуют свои методы. Например, в 2018 году они использовали метод "автоматического заполнения" для несанкционированных платежных транзакций сразу после взлома компьютера жертвы. В 2020 году злоумышленники вернулись к методам кражи вручную, демонстрируя готовность адаптировать свою тактику в зависимости от оперативных потребностей.

В ответ на инцидент команда информационной безопасности клиента была проинформирована об обнаружении Buhtrap, и был инициирован анализ ресурсов распространения, связанных с вредоносным ПО. Стратегия злоумышленников по продвижению своих вредоносных ресурсов посредством манипулирования результатами поиска подчеркивает их намерение нацелиться на определенную аудиторию и стимулировать загрузку своего вредоносного ПО. Использование приманок и вредоносных скриптов, таких как dl.js, еще раз подчеркивает усилия злоумышленников по обеспечению высокой посещаемости своих сайтов для успешного распространения вредоносного ПО.

Эта кампания служит напоминанием об изменяющемся ландшафте угроз, создаваемых постоянно действующими киберпреступными группами, такими как те, которые используют вредоносное ПО Buhtrap. Организациям необходимо сохранять бдительность, постоянно адаптировать свои средства защиты и уделять приоритетное внимание кибербезопасности, чтобы снизить риски, создаваемые такими злоумышленниками.

#ParsedReport #CompletenessHigh
12-10-2024

Burning Zero Days: Suspected Nation-State Adversary Targets Ivanti CSA

https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa

Report completeness: High

Threats:
Reversesocks_tool
Landesk_tool
Dns_tunneling_technique

Victims:
Fgir customer

CVEs:
CVE-2024-8190 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti cloud services appliance (4.6)

CVE-2024-8963 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (4.6)

CVE-2024-29824 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager (<2022)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1059, T1003, T1078, T1105, T1566, T1219, T1090, T1552, T1505, have more...

IOCs:
IP: 14
File: 24
Domain: 8
Url: 3
Path: 2
Hash: 4

Soft:
Ivanti, sudo

Algorithms:
base64

Languages:
python, powershell, php

#ParsedReport #ExtractedSchema

Classified images:
windows: 3, code: 13, schema: 1, table: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что FortiGuard Incident Response (FGIR) расследовала случай, когда злоумышленник использовал уязвимости в устройстве Ivanti CSA, что привело к несанкционированному доступу, краже данных и другим вредоносным действиям. Этот инцидент подчеркивает необходимость принятия упреждающих мер кибербезопасности и постоянного мониторинга для эффективной борьбы с киберугрозами.
-----

Компания FortiGuard Incident Response (FGIR) получила задание от клиента расследовать подозрительную сетевую активность и обнаружила злоумышленника, использующего уязвимости в устройстве Ivanti CSA. Злоумышленник использовал CVE-2024-8190, а также две неизвестные уязвимости во внешнем интерфейсе PHP. Клиент впервые заметил аномальную связь 9 сентября 2024 года, и FGIR была подключена на следующий день.

Первой неизвестной уязвимостью была ошибка обхода пути на ресурсе /client/index.php, позволяющая получить несанкционированный доступ к другим ресурсам, таким как users.php и reports.php. Второй неизвестной уязвимостью была ошибка ввода команд в reports.php. Позже Ivanti выпустила исправление для ошибки обхода пути.

10 сентября 2024 года компания Ivanti опубликовала рекомендации по безопасности для CVE-2024-8190. Используя эту уязвимость в сочетании с проблемой обхода пути, злоумышленник получил доступ к конфиденциальным ресурсам и попытался создать пользователей-изгоев и получить дальнейший доступ. Злоумышленник создал вредоносный почтовый запрос для извлечения конфиденциальной информации, включая пароли и секретные ключи.

Получив учетные данные пользователя и секретные ключи, злоумышленник воспользовался другой уязвимостью, связанной с внедрением команд в reports.php. Злоумышленникам удалось создать веб-оболочку и выполнить вредоносные команды с повышенными привилегиями. Хотя 10 сентября был выпущен патч CVE-2024-8190, злоумышленник исправил уязвимости, чтобы предотвратить дальнейшую эксплуатацию.

Позже злоумышленник атаковал сервер базы данных SQL, используя уязвимость, связанную с внедрением SQL-кода. Они провели разведку и попытались провести эксфильтрацию данных с помощью туннелирования DNS. Кроме того, были обнаружены веб-оболочки, и злоумышленник предпринял атаку методом перебора аутентификации на внутренние ресурсы.

Анализ памяти выявил использование прокси-сервера для сканирования и атак методом перебора во внутренней сети. Также была обнаружена попытка внедрения руткита на устройстве CSA, что указывает на изощренную тактику злоумышленника. Вредоносный руткит был нацелен на сохранение системы путем модификации системных файлов.

В ходе расследования FGIR столкнулась с различными формами вредоносной деятельности, продемонстрировав расширенные возможности и настойчивость злоумышленников. Полученные результаты подчеркивают важность упреждающих мер кибербезопасности и постоянного мониторинга для эффективного обнаружения и устранения киберугроз.

#ParsedReport #CompletenessMedium
12-10-2024

Analysis of APT-C-20 (APT28) attack activities using complex attack tactics. 1. Analysis of Attack Activities. Analysis of APT-C-20 (APT28) attack activities using complex attack tactics

https://www.ctfiot.com/208832.html

Report completeness: Medium

Actors/Campaigns:
Fancy_bear (motivation: information_theft)

Threats:
Watering_hole_technique
Spear-phishing_technique
Headlace
Masepie_tool
Double_kill_vuln
Double_star_vuln
Nightmare_formula_vuln
Dll_hijacking_technique
Steelhook
Oceanmap

Industry:
Education, Government, Military, Energy

Geo:
Ukraine

ChatGPT TTPs:
do not use without manual check
T1071, T1070.004, T1574.001, T1190, T1078, T1187

IOCs:
File: 2

Soft:
WeChat, Microsoft Edge

Algorithms:
aes

Languages:
powershell, javascript, python

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: APT28, изощренная хакерская группа, также известная как Fancy Bear, уже более десяти лет активно действует в различных секторах по всему миру, используя передовые методы атак, включая фишинговые электронные письма и бэкдоры для проникновения в целевые системы и контроля над ними. Тактика группировки направлена на сокрытие своей деятельности, и они распространили свои атаки за пределы Европы и Кавказа, что свидетельствует о большом интересе к сбору разведывательной информации. Для защиты от APT28 и подобных угроз организациям рекомендуется регулярно проводить тренинги по кибербезопасности и внедрять комплексные меры безопасности.
-----

APT-C-20, также известный как APT28 или Fancy Bear, уже более десяти лет активно борется с киберугрозами, нацеливаясь на различные сектора по всему миру, включая правительство, вооруженные силы, средства массовой информации и энергетику. Известная своей изощренной тактикой, APT28 использует различные методы атак, такие как фишинговые рассылки по электронной почте, атаки с использованием подпольных источников и уязвимости нулевого дня. Группа использует ряд технических средств, таких как вредоносное ПО, средства удаленного управления и зашифрованные сообщения, для проникновения в целевые системы и контроля над ними. APT28 делает упор на сокрытие своей деятельности с помощью прокси-серверов и подделки атрибутов файлов, что затрудняет установление авторства. Институт перспективных исследований угроз 360 внимательно следит за деятельностью APT28 и выявил использование организацией передовых методов атаки.

APT28 распространила свои атаки за пределы Европы и Кавказа, а в последнее время их целью стали другие регионы. В своих атаках группа постоянно использует методы фишинга и использует скомпрометированные маршрутизаторы Ubiquiti Edge для сбора учетных данных пользователей. Масштаб и интенсивность атак APT28 указывают на сильную заинтересованность в получении доступа к сетевым ресурсам и разведывательной информации. Тактика и методы проникновения группы подробно проанализированы, чтобы понять их стратегические намерения.

Один из методов атаки APT28 заключается в рассылке пользователям фишинговых электронных писем, содержащих вредоносные ссылки. Эти ссылки ведут к сжатому файлу, содержащему программу Headlace Dropper, которая при запуске запускает бэкдор Headlace для установления связи с сервером злоумышленника. Этот бэкдор позволяет красть конфиденциальную информацию и дистанционно управлять системой жертвы.

В рамках другого метода атаки APT28 использует фишинговые электронные письма, чтобы заставить пользователей переходить по вредоносным ссылкам, которые перенаправляют на страницу-приманку, что в конечном итоге приводит к запуску бэкдора MASEPIE. Этот бэкдор позволяет злоумышленникам установить удаленный контроль над системой жертвы и выполнять произвольные команды по мере необходимости.

Фишинговые атаки APT28 включают тщательно обработанные электронные письма и сжатые файлы, содержащие обманчивые документы PDF или HTML. Жертвы вводят учетные данные на поддельных страницах входа в систему, что позволяет злоумышленникам украсть конфиденциальную информацию для дальнейшего проникновения и сбора разведданных. Было замечено, что эти атаки были нацелены на конкретные регионы, такие как Украина, и использовали различные тактики для сбора учетных данных пользователей.

Для защиты от APT28 и аналогичных угроз организациям рекомендуется проводить регулярные тренинги по кибербезопасности, ограничивать привилегии пользователей и проводить всестороннюю оценку безопасности. Понимая тактику APT28 и применяя соответствующие меры защиты, организации могут повысить уровень своей кибербезопасности и снизить риски, связанные с APT. Постоянные исследования и повышение осведомленности необходимы для борьбы с меняющимся ландшафтом киберугроз.

#ParsedReport #CompletenessLow
12-10-2024

CoreWarrior Spreader Malware Surge

https://blog.sonicwall.com/en-us/2024/10/corewarrior-spreader-malware-surge

Report completeness: Low

Threats:
Upx_tool
Antidebugging_technique

ChatGPT TTPs:
do not use without manual check
T1036, T1105, T1497, T1089

IOCs:
IP: 1
Hash: 2

Soft:
curl

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что команда исследователей угроз SonicWall Capture Labs проанализировала вредоносное ПО CoreWarrior, выделив его характеристики, функциональные возможности, тактику уклонения и средства защиты от анализа. Кроме того, чтобы защитить клиентов SonicWall, команда разработала и выпустила специальные сигнатуры для защиты от потенциальных эксплойтов вредоносного ПО CoreWarrior.
-----

Команда исследователей угроз SonicWall Capture Labs недавно занялась анализом вредоносного ПО CoreWarrior, которое характеризуется как стойкий троян, который быстро распространяется, создавая множество собственных копий и взаимодействуя с несколькими IP-адресами. Эта вредоносная программа также устанавливает множество сокетов для доступа через черный ход и манипулирует элементами пользовательского интерфейса Windows в целях мониторинга. Вредоносная программа CoreWarrior представляет собой исполняемый файл, упакованный в UPX, который был изменен вручную, чтобы не поддаваться стандартным процедурам распаковки для UPX. Основной процесс вредоносной программы собирает данные на системных дисках и настраивает перехват для отслеживания изменений в окне командной строки. В вредоносную программу встроено несколько функций защиты от анализа, таких как функция защиты от отладки, которая использует rdtsc для отслеживания времени отладки и завершает работу программы при превышении установленного срока. Кроме того, вредоносное ПО использует тактику обхода с помощью рандомизированного таймера ожидания, который настраивается в зависимости от количества попыток подключения, успешных попыток и сбоев. Кроме того, вредоносное ПО оснащено механизмами обнаружения сред виртуальных машин (ВМ), в которых запрограммированы специальные строки для идентификации контейнеров HyperV.

Чтобы обеспечить клиентов SonicWall необходимой защитой от потенциальных эксплойтов, исходящих от вредоносного ПО CoreWarrior, исследовательская группа разработала и выпустила специальные сигнатуры.

#ParsedReport #CompletenessMedium
12-10-2024

Earth Simnavaz (aka APT34) Levies Advanced Cyberattacks Against UAE and Gulf Regions

https://www.trendmicro.com/en_us/research/24/j/earth-simnavaz-cyberattacks-uae-gulf-regions.html

Report completeness: Medium

Actors/Campaigns:
Earth_simnavaz (motivation: cyber_espionage)
Oilrig (motivation: cyber_espionage)
Fox_kitten

Threats:
Ngrok_tool
Supply_chain_technique
Credential_harvesting_technique
Stealhook_tool
Karkoff
Trojan.ps1.dulldrop.i624
Trojan.win64.dulload.i
Dullwshell
Dullscan_tool
Trojan.ps1.dulldrop.i

Industry:
Critical_infrastructure, Petroleum, Energy, Government

Geo:
United arab emirates, Middle east, Arab emirates, Iranian

CVEs:
CVE-2024-30088 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20680)
- microsoft windows 10 1607 (<10.0.14393.7070)
- microsoft windows 10 1809 (<10.0.17763.5936)
- microsoft windows 10 21h2 (<10.0.19044.4529)
- microsoft windows 10 22h2 (<10.0.19045.4529)
have more...

ChatGPT TTPs:
do not use without manual check
T1190, T1071, T1059, T1105, T1078, T1083, T1017, T1574

IOCs:
Path: 4
File: 2
Registry: 1
Hash: 17
Coin: 1

Soft:
Microsoft Exchange, Windows Kernel, Local Security Authority, active directory, PSEXEC

Algorithms:
exhibit, aes, base64

Functions:
GetUserPassFromData, GetSendData

Languages:
powershell

Links:
have more...
https://github.com/tykawaii98/CVE-2024-30088
https://github.com/aaaddress1/RunPE-In-Memory

#ParsedReport #ExtractedSchema

Classified images:
windows: 11, schema: 2, code: 8

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в развитии тактики и непосредственных угрозах, которые представляет группа APT Earth Simnavaz (APT34/OilRig) для критически важных секторов в ОАЭ и регионе Персидского залива в целом. Группа активно атакует правительственные организации, используя сложные методы, такие как использование уязвимостей, использование серверов Microsoft Exchange и проведение атак на цепочки поставок. Их цель - создать устойчивые базы данных в скомпрометированных организациях, особенно в энергетическом секторе, для шпионажа и кражи конфиденциальной правительственной информации. В тексте также подчеркивается постоянная адаптация группы путем внедрения новых бэкдоров и интеграции таких инструментов, как ngrok, подчеркивая необходимость в надежных защитных мерах и стратегиях реагирования на инциденты, основанных на разведданных, для эффективного противодействия этим сложным угрозам.
-----

APT group Earth Simnavaz, также известная как APT34 и OilRig, активно атакует правительственные организации в ОАЭ и других странах Персидского залива, используя сложные методы, включая бэкдоры на серверах Microsoft Exchange и такие уязвимости, как CVE-2024-30088.

Earth Simnavaz стремится использовать уязвимости в критически важной инфраструктуре в геополитически чувствительных регионах для создания постоянных плацдармов для нанесения ударов по дополнительным целям, уделяя особое внимание правительственным структурам в энергетическом секторе, связанным с нефтью и газом.

Группа внедрила новый бэкдор для утечки учетных данных через серверы Microsoft Exchange, продемонстрировав их постоянную адаптацию за счет использования новых уязвимостей для повышения скрытности и эффективности атак.

Первоначальные точки доступа включают веб-оболочки, загружаемые на уязвимые серверы, что позволяет выполнять код PowerShell и облегчает перемещение в разные стороны для доступа к контроллерам домена. Используя CVE-2024-30088 для повышения привилегий, группа собирает учетные данные и осуществляет эксфильтрацию данных для поддержания контроля над уязвимыми средами.

Earth Simnavaz проводит атаки на цепочки поставок через скомпрометированные организации, опасаясь, что украденные учетные записи могут быть использованы для фишинговых атак на другие цели. Факты указывают на связь между Earth Simnavaz и другой группой APT, FOX Kitten, причем обе группы участвуют в кибератаках на государственные учреждения.

Злоумышленники используют такие инструменты, как ngrok, для создания защищенных туннелей, обхода средств контроля безопасности и перенаправления отфильтрованных данных через правительственные серверы обмена, что подчеркивает изощренность и постоянство их тактики.

Иранские группировки APT, включая Earth Simnavaz, все активнее атакуют правительственные сектора на Ближнем Востоке, особенно в регионе Персидского залива, уделяя особое внимание шпионажу и краже конфиденциальной правительственной информации в условиях геополитической напряженности. Организациям настоятельно рекомендуется внедрять стратегии реагирования на инциденты, основанные на разведданных, архитектуру нулевого доверия и передовые меры безопасности для эффективного противодействия таким сложным угрозам.