#ParsedReport #CompletenessLow
12-10-2024

CoreWarrior Spreader Malware Surge

https://blog.sonicwall.com/en-us/2024/10/corewarrior-spreader-malware-surge

Report completeness: Low

Threats:
Upx_tool
Antidebugging_technique

ChatGPT TTPs:
do not use without manual check
T1036, T1105, T1497, T1089

IOCs:
IP: 1
Hash: 2

Soft:
curl

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что команда исследователей угроз SonicWall Capture Labs проанализировала вредоносное ПО CoreWarrior, выделив его характеристики, функциональные возможности, тактику уклонения и средства защиты от анализа. Кроме того, чтобы защитить клиентов SonicWall, команда разработала и выпустила специальные сигнатуры для защиты от потенциальных эксплойтов вредоносного ПО CoreWarrior.
-----

Команда исследователей угроз SonicWall Capture Labs недавно занялась анализом вредоносного ПО CoreWarrior, которое характеризуется как стойкий троян, который быстро распространяется, создавая множество собственных копий и взаимодействуя с несколькими IP-адресами. Эта вредоносная программа также устанавливает множество сокетов для доступа через черный ход и манипулирует элементами пользовательского интерфейса Windows в целях мониторинга. Вредоносная программа CoreWarrior представляет собой исполняемый файл, упакованный в UPX, который был изменен вручную, чтобы не поддаваться стандартным процедурам распаковки для UPX. Основной процесс вредоносной программы собирает данные на системных дисках и настраивает перехват для отслеживания изменений в окне командной строки. В вредоносную программу встроено несколько функций защиты от анализа, таких как функция защиты от отладки, которая использует rdtsc для отслеживания времени отладки и завершает работу программы при превышении установленного срока. Кроме того, вредоносное ПО использует тактику обхода с помощью рандомизированного таймера ожидания, который настраивается в зависимости от количества попыток подключения, успешных попыток и сбоев. Кроме того, вредоносное ПО оснащено механизмами обнаружения сред виртуальных машин (ВМ), в которых запрограммированы специальные строки для идентификации контейнеров HyperV.

Чтобы обеспечить клиентов SonicWall необходимой защитой от потенциальных эксплойтов, исходящих от вредоносного ПО CoreWarrior, исследовательская группа разработала и выпустила специальные сигнатуры.

#ParsedReport #CompletenessMedium
12-10-2024

Earth Simnavaz (aka APT34) Levies Advanced Cyberattacks Against UAE and Gulf Regions

https://www.trendmicro.com/en_us/research/24/j/earth-simnavaz-cyberattacks-uae-gulf-regions.html

Report completeness: Medium

Actors/Campaigns:
Earth_simnavaz (motivation: cyber_espionage)
Oilrig (motivation: cyber_espionage)
Fox_kitten

Threats:
Ngrok_tool
Supply_chain_technique
Credential_harvesting_technique
Stealhook_tool
Karkoff
Trojan.ps1.dulldrop.i624
Trojan.win64.dulload.i
Dullwshell
Dullscan_tool
Trojan.ps1.dulldrop.i

Industry:
Critical_infrastructure, Petroleum, Energy, Government

Geo:
United arab emirates, Middle east, Arab emirates, Iranian

CVEs:
CVE-2024-30088 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.20680)
- microsoft windows 10 1607 (<10.0.14393.7070)
- microsoft windows 10 1809 (<10.0.17763.5936)
- microsoft windows 10 21h2 (<10.0.19044.4529)
- microsoft windows 10 22h2 (<10.0.19045.4529)
have more...

ChatGPT TTPs:
do not use without manual check
T1190, T1071, T1059, T1105, T1078, T1083, T1017, T1574

IOCs:
Path: 4
File: 2
Registry: 1
Hash: 17
Coin: 1

Soft:
Microsoft Exchange, Windows Kernel, Local Security Authority, active directory, PSEXEC

Algorithms:
exhibit, aes, base64

Functions:
GetUserPassFromData, GetSendData

Languages:
powershell

Links:
have more...
https://github.com/tykawaii98/CVE-2024-30088
https://github.com/aaaddress1/RunPE-In-Memory

#ParsedReport #ExtractedSchema

Classified images:
windows: 11, schema: 2, code: 8

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в развитии тактики и непосредственных угрозах, которые представляет группа APT Earth Simnavaz (APT34/OilRig) для критически важных секторов в ОАЭ и регионе Персидского залива в целом. Группа активно атакует правительственные организации, используя сложные методы, такие как использование уязвимостей, использование серверов Microsoft Exchange и проведение атак на цепочки поставок. Их цель - создать устойчивые базы данных в скомпрометированных организациях, особенно в энергетическом секторе, для шпионажа и кражи конфиденциальной правительственной информации. В тексте также подчеркивается постоянная адаптация группы путем внедрения новых бэкдоров и интеграции таких инструментов, как ngrok, подчеркивая необходимость в надежных защитных мерах и стратегиях реагирования на инциденты, основанных на разведданных, для эффективного противодействия этим сложным угрозам.
-----

APT group Earth Simnavaz, также известная как APT34 и OilRig, активно атакует правительственные организации в ОАЭ и других странах Персидского залива, используя сложные методы, включая бэкдоры на серверах Microsoft Exchange и такие уязвимости, как CVE-2024-30088.

Earth Simnavaz стремится использовать уязвимости в критически важной инфраструктуре в геополитически чувствительных регионах для создания постоянных плацдармов для нанесения ударов по дополнительным целям, уделяя особое внимание правительственным структурам в энергетическом секторе, связанным с нефтью и газом.

Группа внедрила новый бэкдор для утечки учетных данных через серверы Microsoft Exchange, продемонстрировав их постоянную адаптацию за счет использования новых уязвимостей для повышения скрытности и эффективности атак.

Первоначальные точки доступа включают веб-оболочки, загружаемые на уязвимые серверы, что позволяет выполнять код PowerShell и облегчает перемещение в разные стороны для доступа к контроллерам домена. Используя CVE-2024-30088 для повышения привилегий, группа собирает учетные данные и осуществляет эксфильтрацию данных для поддержания контроля над уязвимыми средами.

Earth Simnavaz проводит атаки на цепочки поставок через скомпрометированные организации, опасаясь, что украденные учетные записи могут быть использованы для фишинговых атак на другие цели. Факты указывают на связь между Earth Simnavaz и другой группой APT, FOX Kitten, причем обе группы участвуют в кибератаках на государственные учреждения.

Злоумышленники используют такие инструменты, как ngrok, для создания защищенных туннелей, обхода средств контроля безопасности и перенаправления отфильтрованных данных через правительственные серверы обмена, что подчеркивает изощренность и постоянство их тактики.

Иранские группировки APT, включая Earth Simnavaz, все активнее атакуют правительственные сектора на Ближнем Востоке, особенно в регионе Персидского залива, уделяя особое внимание шпионажу и краже конфиденциальной правительственной информации в условиях геополитической напряженности. Организациям настоятельно рекомендуется внедрять стратегии реагирования на инциденты, основанные на разведданных, архитектуру нулевого доверия и передовые меры безопасности для эффективного противодействия таким сложным угрозам.

#ParsedReport #CompletenessMedium
12-10-2024

Telekopye transitions to targeting tourists via hotel booking scam

https://www.welivesecurity.com/en/eset-research/telekopye-hits-new-hunting-ground-hotel-booking-scams

Report completeness: Medium

Threats:
Telekopye
Spear-phishing_technique

Victims:
Mammoths

Industry:
Education, E-commerce, Financial

Geo:
Ukrainian, Asia, Ukraine, Russian, America, Russia, Czech

TTPs:
Tactics: 4
Technics: 9

IOCs:
Domain: 14
Hash: 7

Soft:
Telegram

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что исследование ESET выявило новые данные о Telekopye, сложном наборе инструментов для мошенничества, используемом различными мошенническими группами для обмана физических лиц на онлайн-рынках и платформах бронирования жилья. Мошенническая сеть работает как Telegram-бот, нацеленный на ничего не подозревающих жертв с целью кражи информации о платежных картах, и расширила свою деятельность, нацелившись на пользователей популярных онлайн-платформ. В тексте рассказывается о способах действия мошенников, их распространении на целевые платформы бронирования жилья, росте числа мошенничеств, нацеленных на пользователей Booking.com и Airbnb, а также о расширенных функциях, внедренных некоторыми группами Telegram для упрощения процесса мошенничества. Кроме того, в нем рассказывается о недавних арестах киберпреступников, связанных с Telekopye, и их методах вербовки, что проливает свет на внутреннюю работу этих группировок.
-----

Telekopye - это мошеннический инструментарий, используемый для обмана частных лиц на онлайн-площадках и в настоящее время распространяющийся на пользователей популярных платформ бронирования жилья.

Он использовался как Telegram-бот мошенническими группами, известными как "неандертальцы", которые украли миллионы долларов по всему миру как минимум с 2016 года.

Мошенничество включает в себя создание фишинговых электронных писем, SMS-сообщений и веб-страниц, чтобы обманом заставить жертв поделиться платежной информацией.

Инструментарий расширил свою ориентацию на платформы бронирования жилья, такие как Booking.com и Airbnb, используя скомпрометированные учетные записи законных поставщиков.

Пик мошенничества пришелся на сезон летних отпусков в 2024 году, что свидетельствует о способности мошенников использовать сезонные возможности.

В течение 2024 года наблюдался всплеск мошеннических действий с использованием Telekopye, нацеленных на пользователей Booking.com и Airbnb, которые превзошли традиционные мошеннические действия на рынке.

Некоторые группы Telegram внедрили в Telekopye расширенные функции для улучшения процессов мошенничества и защиты фишинговых веб-сайтов.

Большинство фишинговых веб-сайтов защищены Cloudflare, а некоторые из них имеют защиту от DDoS-атак конкурирующих мошеннических группировок.

Чешские и украинские власти арестовали киберпреступников, связанных с Telekopye, в конце 2023 года, разоблачив внутреннюю работу и методы вербовки в этих группах.

#ParsedReport #CompletenessHigh
10-10-2024

Technical Analysis of DarkVision RAT

https://www.zscaler.com/blogs/security-research/technical-analysis-darkvision-rat

Report completeness: High

Threats:
Darkvisionrat
Process_injection_technique
Purecryptor
Dll_hijacking_technique
Donut
Hvnc_tool
Minidump_tool

TTPs:
Tactics: 1
Technics: 17

IOCs:
Command: 3
Path: 2
File: 2
Registry: 1
Domain: 1
Hash: 4

Soft:
windows defender, windows registry, Task Scheduler

Algorithms:
xor, 3des, cbc, md5, lznt1, sha256, salsa20, aes, base64, chaskey

Win API:
VirtualAlloc, VirtualProtect, GetProcAddress, LoadLibrary, NtMapViewOfSection, NtCreateSection, MessageBox

Win Services:
bits

Languages:
powershell

Platforms:
x86

Links:
https://github.com/TheWover/donut
https://github.com/volexity/donut-decryptor

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, code: 2, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что DarkVision RAT - это троян для удаленного доступа, который завоевал популярность среди киберпреступников благодаря своей доступности и широкому спектру вредоносных функций. Было обнаружено, что он распространялся в рамках кампании вредоносного ПО в июле 2024 года с использованием методов уклонения и персистентности, чтобы избежать обнаружения. Сотрудничество DarkVision RAT с PureCrypter демонстрирует изощренный подход злоумышленников, подчеркивая постоянную потребность служб безопасности в анализе подобных киберугроз и защите от них.
-----

DarkVision RAT - это троян для удаленного доступа (RAT), появившийся в 2020 году, который можно приобрести на таких платформах, как хакерские форумы и их собственный веб-сайт, всего за 60 долларов. Программа DarkVision RAT, написанная на C/C++ и ассемблере, стала популярной благодаря своей экономичности и надежному набору функций, которые доступны даже менее опытным киберпреступникам. Его функциональные возможности включают в себя ведение кейлогга, захват скриншотов, манипулирование файлами, внедрение процессов, удаленное выполнение кода и кражу паролей.

В июле 2024 года Zscaler ThreatLabZ обнаружил вредоносную кампанию, распространяющую DarkVision RAT, использующую PureCrypter в качестве загрузчика для развертывания. DarkVision RAT взаимодействует со своим сервером управления (C2) по пользовательскому сетевому протоколу через сокеты, используя методы уклонения и повышения привилегий, такие как перехват библиотеки DLL и внедрение процессов. Он предоставляет множество команд и плагинов для расширенных возможностей, таких как ведение кейлогга, удаленный доступ, кража паролей, аудиозапись и снимки экрана.

Цепочка атак для развертывания DarkVision RAT включает в себя 10-секундную задержку, за которой следует расшифровка шеллкода второго этапа с использованием стандарта тройного шифрования данных (3DES). Расшифрованный шеллкод содержит загрузчик Donut с открытым исходным кодом для загрузки .СЕТЕВЫЕ сборки в память. Третий этап включает в себя сборку .NET под названием PureCrypter, которая помогает избежать использования DarkVision RAT и обеспечить его постоянство с помощью таких действий, как добавление исключений из защитника Windows и создание разделов реестра для автоматического запуска.

DarkVision RAT обеспечивает сохраняемость с помощью трех методов: папки автозагрузки, ключей автозапуска и планировщика задач с настраиваемыми параметрами для злоумышленников. Он использует внедрение процессов с использованием API-интерфейсов NtCreateSection и NtMapViewOfSection для выполнения различных функций в рамках удаленных процессов. Для связи C2 с сервером используется пользовательский двоичный протокол и используются отпечатки пальцев устройства и сбор системной информации RAT. Команды, поддерживаемые DarkVision RAT, управляются с помощью плагинов, хранящихся в виде зашифрованных данных на диске и в реестре.

Этот RAT представляет значительную угрозу из-за его разнообразных вредоносных возможностей и доступности для киберпреступников разного уровня квалификации. Сотрудничество DarkVision RAT с PureCrypter в недавних кампаниях демонстрирует тактику злоумышленников, позволяющую обходить меры безопасности. Анализируя работу DarkVision RAT, специалисты по безопасности могут усилить свою защиту от новых киберугроз. Zscaler ThreatLabZ продолжает отслеживать и анализировать PureCrypter и DarkVision RAT, чтобы своевременно предоставлять обновления сообществу по кибербезопасности.

#ParsedReport #CompletenessMedium
12-10-2024

Lynx Ransomware: A Rebranding of INC Ransomware

https://unit42.paloaltonetworks.com/inc-ransomware-rebrand-to-lynx

Report completeness: Medium

Threats:
Inc_ransomware
Lynx
Shadow_copies_delete_technique
Bibi-wiper
Conti
Cactus_ransomware

Victims:
Organizations

Industry:
Retail, Government

ChatGPT TTPs:
do not use without manual check
T1486, T1027, T1490, T1573

IOCs:
Url: 18
File: 1
Hash: 26
Email: 1
Domain: 1

Soft:
Microsoft OneNote, OneNote, BinDiff

Algorithms:
sha256, curve25519, aes-128, base64

Links:
https://github.com/google/bindiff

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что программы-вымогатели, в частности программа-вымогатель Lynx, представляют собой значительную и эволюционирующую угрозу в сфере кибербезопасности, при этом злоумышленники используют передовые тактики для нападения на организации и частных лиц. Программа-вымогатель Lynx является преемницей программы-вымогателя INC, использующей модель "программа-вымогатель как услуга" с тактикой двойного вымогательства, алгоритмами шифрования и функциями, направленными на вымогательство выкупных платежей. Исследователи обнаружили значительное совпадение кода между программами-вымогателями Lynx и INC, что позволяет предположить повторное использование кода киберпреступниками для ускорения разработки атак. Это подчеркивает важность внедрения надежных мер кибербезопасности для защиты от атак программ-вымогателей и снижения киберрисков.
-----

Программы-вымогатели по-прежнему представляют серьезную угрозу в сфере кибербезопасности, поскольку злоумышленники используют новые тактики и методы для нападения на организации и частных лиц. В июле 2024 года исследователи Palo Alto Networks обнаружили программу-вымогателя Lynx, преемницу программы-вымогателя INC, активно атакующую организации в различных секторах в США и Великобритании. Программа-вымогатель Lynx использует значительную часть своего исходного кода совместно с программой-вымогателем INC и работает по модели "программа-вымогатель как услуга". Хакерская группа, стоящая за программой-вымогателем Lynx, известна своей изощренной тактикой двойного вымогательства, при которой они извлекают данные жертвы перед их шифрованием, что дает им возможность требовать выплаты выкупа. Группа придерживается строгой политики не нападать на государственные учреждения, больницы или некоммерческие организации.

В образцах программ-вымогателей Lynx, проанализированных исследователями, использовались алгоритмы шифрования AES-128 в режиме CTR и Curve25519 Donna, шифрующие файлы с расширением .lynx на платформе Windows. Программа-вымогатель написана на языке программирования C++ и обладает такими функциями, как удаление теневых копий и резервных копий дисков с разделами, сканирование и шифрование всех дисков, а также использование API Restart Manager для поиска файлов, используемых приложениями. Как и другие программы-вымогатели, программа-вымогатель Lynx пытается распечатать отчет о выкупе через Microsoft OneNote и отправляет запрос о выкупе в виде файла README.txt.

Исследователи сравнили программу-вымогатель Lynx с программой-вымогателем INC, используя инструмент BinDiff, и обнаружили высокий процент совпадающих функций между двумя образцами, что указывает на значительное перекрытие кода и совместное использование функциональных возможностей. Это говорит о том, что разработчики Lynx ransomware перепрофилировали значительную часть кодовой базы INC ransomware для создания своего вредоносного программного обеспечения. Киберпреступники обычно повторно используют код из существующих семейств программ-вымогателей, чтобы сэкономить время и ресурсы при разработке своих атак, что приводит к более успешным и широкомасштабным кампаниям.

Palo Alto Networks активно отслеживает эволюцию программ-вымогателей Lynx и других подобных угроз, используя различные статические и динамические методы обнаружения для защиты клиентов от этих развивающихся атак. Организациям крайне важно внедрять надежные меры кибербезопасности для противодействия атакам программ-вымогателей и предотвращения потенциальных утечек данных и финансовых потерь. Ситуация с угрозами продолжает оставаться сложной, и для снижения киберрисков важно быть в курсе возникающих угроз и принимать упреждающие меры безопасности.

#ParsedReport #CompletenessLow
12-10-2024

PureLogs: The Low-Cost Infostealer with a High-Impact Threat

https://flashpoint.io/blog/purelogs-low-cost-infostealer-high-impact-threat

Report completeness: Low

Threats:
Purelogs
Lumma_stealer
Vidar_stealer
Meduza
Seidr

Industry:
E-commerce

TTPs:

Soft:
Chrome, Telegram, Opera

Algorithms:
base64, aes, cbc

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В тексте обсуждается PureLogs, 64-разрядная вредоносная программа-похититель информации, написанная на C# и представляющая серьезную угрозу в киберпространстве. Он использует многоступенчатые сборки, упакованные с помощью .NET Reactor packer, отлично справляется с извлечением конфиденциальных данных из браузера Chrome и использует методы защиты от "песочницы", чтобы избежать обнаружения. PureLogs, доступный для продажи на нелегальных рынках, предлагает дополнительные продукты, такие как майнер криптовалют и ботнет с возможностями DDoS-атак. Ожидается, что благодаря сложной многоэтапной архитектуре и регулярным обновлениям PureLogs будет становиться все более популярным среди участников угроз, подчеркивая необходимость сохранения бдительности организаций и использования эффективных решений для анализа угроз для противодействия возникающим киберугрозам.
-----

PureLogs - это 64-разрядная вредоносная программа-похититель информации, написанная на C#, которая стала серьезной угрозой в киберпространстве. В ней используются многоступенчатые сборки, упаковываемые с помощью .NET Reactor packer, что затрудняет ее обнаружение. Одной из отличительных особенностей PureLogs является его способность собирать конфиденциальные данные из браузера Chrome, которой обладают лишь несколько других вредоносных программ, таких как Lumma, Vidar и Meduza.

Вредоносная программа впервые появилась в продаже на нелегальных рынках в 2022 году и с тех пор продвигалась на различных подпольных форумах, а также в clearnet со специальной торговой площадкой. Цены на него относительно низкие, а варианты варьируются от 99 долларов США на один месяц до 499 долларов США за пожизненный доступ. В дополнение к самому infostealer, создатель предлагает дополнительные "продукты" для продажи, включая майнер криптовалют, инструменты для замены буфера обмена, ботнет с возможностями DDoS и скрытый клиент для виртуальных сетевых вычислений.

Чтобы избежать обнаружения, PureLogs на втором этапе сборки использует средства защиты от "песочницы". Программа проверяет различные аспекты системной среды, такие как загруженные библиотеки DLL, идентификаторы процессов, информацию об оборудовании и имена пользователей, связанные с "песочницей", чтобы определить, работает ли она в "песочнице" или в виртуализированной среде. Если проверка среды проходит успешно, вредоносная программа устанавливает соединение с сервером управления (C2) и может направлять трафик через Tor для дополнительной анонимности.

Сборка PureLogs третьего этапа содержит основные функциональные возможности infostealer, позволяющие ему собирать широкий спектр данных из зараженной системы. Это включает в себя возможность получать доступ к определенным папкам, файлам по расширению или названию, загружать и выполнять дополнительную полезную нагрузку с удаленных URL-адресов и даже отправлять отфильтрованные данные в указанную учетную запись Telegram. Сообщения Telegram, отправляемые с панели PureLogs, содержат подробную информацию о жертве, количестве украденных предметов, сделанные скриншоты и полный файл журнала, доступный для скачивания.

Ожидается, что благодаря своим изощренным методам обхода и регулярным обновлениям PureLogs наберет популярность среди злоумышленников, которые хотят использовать его возможности в вредоносных целях. Коммерческий программный пакет на C# и многоступенчатая архитектура вредоносного ПО делают его мощным инструментом в руках киберпреступников. Организациям необходимо быть в курсе возникающих угроз, таких как PureLogs, и использовать комплексные решения для анализа угроз, такие как Flashpoint, для эффективной защиты от возникающих киберугроз.

#ParsedReport #CompletenessHigh
10-10-2024

Technical Analysis of a Novel IMEEX Framework

https://intezer.com/blog/research/technical-analysis-of-a-novel-imeex-framework

Report completeness: High

Threats:
Imeex_tool
Shadowpad

Industry:
Logistic, Maritime, Military, Transport

Geo:
Africa, Afghanistan, Hong kong, Indian, Chinese, African, France, Japan, China, Afghan, Djibouti, Israel, Asia

TTPs:
Tactics: 3
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1016, T1071, T1043, T1140

IOCs:
File: 11
Hash: 6
Domain: 5
IP: 5
Registry: 1

Soft:
Windows Registry

Algorithms:
aes-256-ctr, sha256, aes-256-ecb, aes-256-cbc, xor

Functions:
main

Win API:
GetACP, GetDriveTypeW, GetVolumeInformationW, WriteFile, SeDebugPrivilege, TerminateProcess, GetOEMCP, WideCharToMultiByte, GetTempFileNameW, MoveFileExW, have more...

Languages:
python

YARA: Found