CTT Report Hub
#ParsedReport #CompletenessMedium 25-10-2024 It s About The Journey: Fake Cloudflare Authenticator https://blog.kandji.io/fake-cloudflare-authenticator Report completeness: Medium Threats: Vshell Sliver_c2_tool Geo: China, Chinese TTPs: Tactics: 1 Technics:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении и анализе подозрительного файла под названием "Cloudflare Security Authenticator", загруженного из Китая, характеристики которого позволяют предположить, что это образец вредоносного ПО, нацеленного на пользователей Cloudflare. Файл был проанализирован на различных этапах, содержал различные двоичные файлы на разных языках, и в конечном итоге был идентифицирован как VShell, инструмент для моделирования противостояния безопасности и red team. Вредоносная программа демонстрировала запутанные символы и кодировку XOR, выдавая себя за законное приложение TOTP для Cloudflare, цель которого оставалась неясной.
-----
Команда по анализу угроз в Kandji EDR проводит поиск угроз в различных источниках данных, чтобы обеспечить всесторонний охват. 15 октября 2024 года в VirusTotal был обнаружен подозрительный файл под названием "Cloudflare Security Authenticator/cloudflare-auth-tauri", загруженный из Китая в тот же день. Файл, помеченный как dropper, был неподписан и не был обнаружен в VirusTotal. Этот файл также был упомянут в Twitter /X пользователем AzakaSekai_ с хэштегом #vshell.
Файл представлял собой DMG-файл, содержащий текст на китайском языке, в котором пользователю предлагается запустить значок аутентификатора. Значок был необычным, поскольку это был не пакет приложений, а файл Mach-O. Включение "Tauri" в название позволило предположить, что это был образец, скомпилированный в Rust, что подтвердилось в ходе анализа. В приложении Rust указывалось на необходимость поиска функции lang_start, чтобы понять, с чего начинается выполнение.
В ходе анализа были рассмотрены методы ввода-вывода (I/O), при этом метод new() использовался для создания команды для запуска программы по указанному пути. Извлечение встроенного файла из stage 1 Mach-O было выполнено с использованием двоичного кода Ninja с помощью команды Python. Двоичные файлы Stage 2 и stage 3 также были скомпилированы в Rust, что требовало аналогичных методов анализа.
Двоичный файл stage 3 представлял собой скомпилированный на C двоичный файл, который, как оказалось, передавал IP-адрес сервера управления (C2) таким функциям, как gethostbyname() и inet_addr(). Связь с сервером C2 включала отправку запроса GET для другого двоичного файла Mach-O, который был закодирован в формате XOR. Был создан скрипт для декодирования загруженного файла, чтобы приступить к анализу последующих файлов.
Заключительный этап цепочки заражения был написан на языке Golang, в кодировке XOR, с использованием запутанных символов. Эта полезная нагрузка была идентифицирована как VShell, инструмент для моделирования противостояния безопасности и red team. Постоянство было достигнуто с помощью задания cron для выполнения двоичного файла этапа 4 при перезапуске системы. Анализ включал идентификацию имен пакетов Golang и строк, таких как 'LD_PARAMS=%s' и 'DYLD_INSERT_LIBRARIES=%s', которые связывали файл stage 4 с семейством VShell.
Цепочка заражения включала Mach-Os на разных языках, кодировку XOR и запутанные символы, которые отображались как законное приложение TOTP для Cloudflare. Назначение вредоносного ПО остается неясным, но наличие китайских иероглифов в DMG может указывать на потенциальную целевую область для этого вредоносного ПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении и анализе подозрительного файла под названием "Cloudflare Security Authenticator", загруженного из Китая, характеристики которого позволяют предположить, что это образец вредоносного ПО, нацеленного на пользователей Cloudflare. Файл был проанализирован на различных этапах, содержал различные двоичные файлы на разных языках, и в конечном итоге был идентифицирован как VShell, инструмент для моделирования противостояния безопасности и red team. Вредоносная программа демонстрировала запутанные символы и кодировку XOR, выдавая себя за законное приложение TOTP для Cloudflare, цель которого оставалась неясной.
-----
Команда по анализу угроз в Kandji EDR проводит поиск угроз в различных источниках данных, чтобы обеспечить всесторонний охват. 15 октября 2024 года в VirusTotal был обнаружен подозрительный файл под названием "Cloudflare Security Authenticator/cloudflare-auth-tauri", загруженный из Китая в тот же день. Файл, помеченный как dropper, был неподписан и не был обнаружен в VirusTotal. Этот файл также был упомянут в Twitter /X пользователем AzakaSekai_ с хэштегом #vshell.
Файл представлял собой DMG-файл, содержащий текст на китайском языке, в котором пользователю предлагается запустить значок аутентификатора. Значок был необычным, поскольку это был не пакет приложений, а файл Mach-O. Включение "Tauri" в название позволило предположить, что это был образец, скомпилированный в Rust, что подтвердилось в ходе анализа. В приложении Rust указывалось на необходимость поиска функции lang_start, чтобы понять, с чего начинается выполнение.
В ходе анализа были рассмотрены методы ввода-вывода (I/O), при этом метод new() использовался для создания команды для запуска программы по указанному пути. Извлечение встроенного файла из stage 1 Mach-O было выполнено с использованием двоичного кода Ninja с помощью команды Python. Двоичные файлы Stage 2 и stage 3 также были скомпилированы в Rust, что требовало аналогичных методов анализа.
Двоичный файл stage 3 представлял собой скомпилированный на C двоичный файл, который, как оказалось, передавал IP-адрес сервера управления (C2) таким функциям, как gethostbyname() и inet_addr(). Связь с сервером C2 включала отправку запроса GET для другого двоичного файла Mach-O, который был закодирован в формате XOR. Был создан скрипт для декодирования загруженного файла, чтобы приступить к анализу последующих файлов.
Заключительный этап цепочки заражения был написан на языке Golang, в кодировке XOR, с использованием запутанных символов. Эта полезная нагрузка была идентифицирована как VShell, инструмент для моделирования противостояния безопасности и red team. Постоянство было достигнуто с помощью задания cron для выполнения двоичного файла этапа 4 при перезапуске системы. Анализ включал идентификацию имен пакетов Golang и строк, таких как 'LD_PARAMS=%s' и 'DYLD_INSERT_LIBRARIES=%s', которые связывали файл stage 4 с семейством VShell.
Цепочка заражения включала Mach-Os на разных языках, кодировку XOR и запутанные символы, которые отображались как законное приложение TOTP для Cloudflare. Назначение вредоносного ПО остается неясным, но наличие китайских иероглифов в DMG может указывать на потенциальную целевую область для этого вредоносного ПО.
#ParsedReport #CompletenessHigh
25-10-2024
Arctic Wolf Labs Observes Increased Fog and Akira Ransomware Activity Linked to SonicWall SSL VPN
https://arcticwolf.com/resources/blog-uk/arctic-wolf-labs-observes-increased-fog-akira-ransomware-activity-linked-to-sonicwall-ssl-vpn
Report completeness: High
Threats:
Akira_ransomware
Fog_ransomware
Softperfect_netscan_tool
Advanced-port-scanner_tool
Nltest_tool
Adfind_tool
Psexec_tool
Credential_dumping_technique
Mimikatz_tool
Anydesk_tool
Putty_tool
Mobaxterm_tool
Rclone_tool
Shadow_copies_delete_technique
Industry:
Education
Geo:
Canada
CVEs:
CVE-2024-40766 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (<5.9.2.14-13o)
TTPs:
Tactics: 9
Technics: 22
IOCs:
File: 10
IP: 11
Hash: 21
Soft:
Active Directory, oftPerfect Network Scanner •, sExec, SCP • F, PsExec, SoftPerfect Network Scanner, macOS, Linux, ESXI, WinSCP, have more...
Algorithms:
sha1
Languages:
powershell
Links:
25-10-2024
Arctic Wolf Labs Observes Increased Fog and Akira Ransomware Activity Linked to SonicWall SSL VPN
https://arcticwolf.com/resources/blog-uk/arctic-wolf-labs-observes-increased-fog-akira-ransomware-activity-linked-to-sonicwall-ssl-vpn
Report completeness: High
Threats:
Akira_ransomware
Fog_ransomware
Softperfect_netscan_tool
Advanced-port-scanner_tool
Nltest_tool
Adfind_tool
Psexec_tool
Credential_dumping_technique
Mimikatz_tool
Anydesk_tool
Putty_tool
Mobaxterm_tool
Rclone_tool
Shadow_copies_delete_technique
Industry:
Education
Geo:
Canada
CVEs:
CVE-2024-40766 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (<5.9.2.14-13o)
TTPs:
Tactics: 9
Technics: 22
IOCs:
File: 10
IP: 11
Hash: 21
Soft:
Active Directory, oftPerfect Network Scanner •, sExec, SCP • F, PsExec, SoftPerfect Network Scanner, macOS, Linux, ESXI, WinSCP, have more...
Algorithms:
sha1
Languages:
powershell
Links:
https://github.com/sadshade/veeam-creds/blob/main/Veeam-Get-Creds.ps1Arctic Wolf
Arctic Wolf Labs Observes Increased Fog and Akira Ransomware Activity Linked to SonicWall SSL VPN - Arctic Wolf
Since Early August 2024, Arctic Wolf has observed a high volume of intrusions involving Fog and Akira ransomware encryption affecting organizations with SonicWall devices.
CTT Report Hub
#ParsedReport #CompletenessHigh 25-10-2024 Arctic Wolf Labs Observes Increased Fog and Akira Ransomware Activity Linked to SonicWall SSL VPN https://arcticwolf.com/resources/blog-uk/arctic-wolf-labs-observes-increased-fog-akira-ransomware-activity-linked…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в растущей угрозе вторжений программ-вымогателей Fog и Akira, нацеленных на организации через уязвимости в учетных записях SonicWall SSL VPN, в частности CVE-2024-40766. Эти вторжения связаны с быстрым шифрованием данных, утечкой конфиденциальной информации, а также отсутствием современного программного обеспечения и мер безопасности, таких как многофакторная аутентификация. В тексте подчеркивается важность устранения уязвимостей, мониторинга входов в систему через VPN и создания безопасных резервных копий для защиты от атак программ-вымогателей.
-----
С начала августа Arctic Wolf отмечает значительное увеличение числа атак программ-вымогателей Fog и Akira, по меньшей мере, 30 случаев в различных отраслях промышленности.
В ходе этих вторжений были обнаружены вредоносные VPN-логины, нацеленные на учетные записи SonicWall SSL VPN, которые исходили с IP-адресов, связанных с VPS-хостингом.
Ни одно из уязвимых устройств SonicWall не было исправлено для уязвимости CVE-2024-40766, которая потенциально может активно использоваться.
Деятельность программ-вымогателей носит оппортунистический характер и нацелена на различные отрасли и размеры организаций, а не на конкретные секторы.
Скомпрометированные учетные записи SSL VPN часто были локальными для устройств SonicWall и не интегрированы с централизованными решениями аутентификации, такими как Microsoft Active Directory, при этом MFA часто не включался, что подчеркивало пробелы в безопасности.
Злоумышленники сосредотачиваются на быстром шифровании данных, нацеливании на хранилища виртуальных машин и резервные копии, а также на удалении данных, включая общие файлы возрастом до шести месяцев и более конфиденциальную информацию возрастом до 30 месяцев.
Arctic Wolf подчеркивает важность приоритетного устранения уязвимостей, таких как CVE-2024-40766, и создания безопасных резервных копий за пределами сайта для защиты от атак программ-вымогателей.
Arctic Wolf рекомендует отслеживать входы в систему VPN от неожиданных хостинг-провайдеров, обеспечивать обновление встроенного по на устройствах периметра и блокировать или тщательно отслеживать попытки входа в систему от ASN, связанных с хостингом.
Специальные строки скрипта PowerShell, такие как Veeam-Get-Creds.ps1, могут помочь в обнаружении угроз и реагировании на них.
Акшай Сутар, ведущий исследователь в области анализа угроз в Arctic Wolf Labs, уже более семи лет обладает значительным опытом в изучении тактики противника, анализе вредоносных программ и сборе информации об угрозах.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в растущей угрозе вторжений программ-вымогателей Fog и Akira, нацеленных на организации через уязвимости в учетных записях SonicWall SSL VPN, в частности CVE-2024-40766. Эти вторжения связаны с быстрым шифрованием данных, утечкой конфиденциальной информации, а также отсутствием современного программного обеспечения и мер безопасности, таких как многофакторная аутентификация. В тексте подчеркивается важность устранения уязвимостей, мониторинга входов в систему через VPN и создания безопасных резервных копий для защиты от атак программ-вымогателей.
-----
С начала августа Arctic Wolf отмечает значительное увеличение числа атак программ-вымогателей Fog и Akira, по меньшей мере, 30 случаев в различных отраслях промышленности.
В ходе этих вторжений были обнаружены вредоносные VPN-логины, нацеленные на учетные записи SonicWall SSL VPN, которые исходили с IP-адресов, связанных с VPS-хостингом.
Ни одно из уязвимых устройств SonicWall не было исправлено для уязвимости CVE-2024-40766, которая потенциально может активно использоваться.
Деятельность программ-вымогателей носит оппортунистический характер и нацелена на различные отрасли и размеры организаций, а не на конкретные секторы.
Скомпрометированные учетные записи SSL VPN часто были локальными для устройств SonicWall и не интегрированы с централизованными решениями аутентификации, такими как Microsoft Active Directory, при этом MFA часто не включался, что подчеркивало пробелы в безопасности.
Злоумышленники сосредотачиваются на быстром шифровании данных, нацеливании на хранилища виртуальных машин и резервные копии, а также на удалении данных, включая общие файлы возрастом до шести месяцев и более конфиденциальную информацию возрастом до 30 месяцев.
Arctic Wolf подчеркивает важность приоритетного устранения уязвимостей, таких как CVE-2024-40766, и создания безопасных резервных копий за пределами сайта для защиты от атак программ-вымогателей.
Arctic Wolf рекомендует отслеживать входы в систему VPN от неожиданных хостинг-провайдеров, обеспечивать обновление встроенного по на устройствах периметра и блокировать или тщательно отслеживать попытки входа в систему от ASN, связанных с хостингом.
Специальные строки скрипта PowerShell, такие как Veeam-Get-Creds.ps1, могут помочь в обнаружении угроз и реагировании на них.
Акшай Сутар, ведущий исследователь в области анализа угроз в Arctic Wolf Labs, уже более семи лет обладает значительным опытом в изучении тактики противника, анализе вредоносных программ и сборе информации об угрозах.
#ParsedReport #CompletenessMedium
25-10-2024
ValleyRAT Insights: Tactics, Techniques, and Detection Methods
https://www.splunk.com/en_us/blog/security/valleyrat-insights-tactics-techniques-and-detection-methods.html
Report completeness: Medium
Threats:
Valleyrat
Process_injection_technique
Uac_bypass_technique
Sandbox_evasion_technique
Fodhelper_technique
Victims:
Chinese-speaking users
Geo:
Chinese
TTPs:
Tactics: 2
Technics: 11
IOCs:
File: 9
Registry: 14
Path: 1
Url: 1
Command: 2
Hash: 2
IP: 2
Soft:
WeChat, DingTalk, Windows Defender, Windows Registry, Slack
Algorithms:
xor
Functions:
EnumSystemLocales
Win API:
SeDebugPrivilege
Languages:
powershell
Links:
have more...
25-10-2024
ValleyRAT Insights: Tactics, Techniques, and Detection Methods
https://www.splunk.com/en_us/blog/security/valleyrat-insights-tactics-techniques-and-detection-methods.html
Report completeness: Medium
Threats:
Valleyrat
Process_injection_technique
Uac_bypass_technique
Sandbox_evasion_technique
Fodhelper_technique
Victims:
Chinese-speaking users
Geo:
Chinese
TTPs:
Tactics: 2
Technics: 11
IOCs:
File: 9
Registry: 14
Path: 1
Url: 1
Command: 2
Hash: 2
IP: 2
Soft:
WeChat, DingTalk, Windows Defender, Windows Registry, Slack
Algorithms:
xor
Functions:
EnumSystemLocales
Win API:
SeDebugPrivilege
Languages:
powershell
Links:
https://github.com/redcanaryco/atomic-red-team/blob/a56a368463026f97c92a4435ddd57d6fbdef08ad/atomics/T1548.002/T1548.002.yaml#L1C1-L42C21https://github.com/redcanaryco/atomic-red-team/blob/a56a368463026f97c92a4435ddd57d6fbdef08ad/atomics/T1548.002/T1548.002.yaml#L43C1-L104C21https://github.com/redcanaryco/atomic-red-team/blob/a56a368463026f97c92a4435ddd57d6fbdef08ad/atomics/T1053.005/T1053.005.yamlhave more...
Splunk
ValleyRAT Insights: Tactics, Techniques, and Detection Methods | Splunk
The Splunk Threat Research Team conducts an analysis for several variants of ValleyRAT’s malware samples to extract its MITRE ATT&CK tactics, techniques, and procedures (TTPs).
CTT Report Hub
#ParsedReport #CompletenessMedium 25-10-2024 ValleyRAT Insights: Tactics, Techniques, and Detection Methods https://www.splunk.com/en_us/blog/security/valleyrat-insights-tactics-techniques-and-detection-methods.html Report completeness: Medium Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что ValleyRAT - это сложный троян для удаленного доступа, предназначенный в первую очередь для китайскоязычных пользователей с помощью фишинговых кампаний. Он использует многоэтапные методы обхода, чтобы оставаться незамеченным, контролировать зараженные системы и устанавливать дополнительные вредоносные плагины для дальнейшего повреждения. Исследовательская группа Splunk Threat проанализировала варианты ValleyRAT, чтобы выделить TTP-адреса MITRE ATT и CK, разработать методы обнаружения и помочь защититься от подобных угроз. Вредоносная программа использует различные тактики, включая манипулирование записями реестра, обход контроля учетных записей, уклонение от обнаружения и поддержание постоянства с помощью запланированных задач и внедрения процессов. Основное внимание уделяется совершенствованию стратегий защиты от развивающихся киберугроз, таких как ValleyRAT.
-----
ValleyRAT - это троян удаленного доступа (RAT), нацеленный на китайскоязычных пользователей с помощью фишинговых кампаний.
Он работает как многоступенчатая, многокомпонентная вредоносная программа, позволяющая избежать обнаружения и оставаться стойкой в зараженных системах.
Вредоносная программа использует дополнительные вредоносные плагины для дальнейшего нанесения ущерба.
ValleyRAT loader расшифровывает ресурс, зашифрованный с помощью TripleDES, и вводит полезную нагрузку в легитимный системный процесс, чтобы избежать обнаружения.
Вредоносная программа использует строки UUID, формат шестнадцатеричных байтов, логические операции XOR и обфускацию в режиме ожидания для выполнения зашифрованного шелл-кода.
ValleyRAT манипулирует записями реестра, использует IP-адреса C2 и хранит пути к файлам активных вредоносных программ на скомпрометированных хостах.
Чтобы избежать обнаружения, ValleyRAT завершает работу средств защиты, отключает автозапуск антивируса, использует функцию исключения защитника Windows и проверяет наличие виртуализированных сред.
Вредоносная программа создает запланированные задачи для автоматического выполнения вредоносной полезной нагрузки для сохранения.
Методы обнаружения, разработанные исследовательской группой Splunk Threat Research, сосредоточены на изменении конфигурации C2, отключении автозапуска антивируса, модификации задач планировщика Windows и обходе контроля учетных записей пользователей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что ValleyRAT - это сложный троян для удаленного доступа, предназначенный в первую очередь для китайскоязычных пользователей с помощью фишинговых кампаний. Он использует многоэтапные методы обхода, чтобы оставаться незамеченным, контролировать зараженные системы и устанавливать дополнительные вредоносные плагины для дальнейшего повреждения. Исследовательская группа Splunk Threat проанализировала варианты ValleyRAT, чтобы выделить TTP-адреса MITRE ATT и CK, разработать методы обнаружения и помочь защититься от подобных угроз. Вредоносная программа использует различные тактики, включая манипулирование записями реестра, обход контроля учетных записей, уклонение от обнаружения и поддержание постоянства с помощью запланированных задач и внедрения процессов. Основное внимание уделяется совершенствованию стратегий защиты от развивающихся киберугроз, таких как ValleyRAT.
-----
ValleyRAT - это троян удаленного доступа (RAT), нацеленный на китайскоязычных пользователей с помощью фишинговых кампаний.
Он работает как многоступенчатая, многокомпонентная вредоносная программа, позволяющая избежать обнаружения и оставаться стойкой в зараженных системах.
Вредоносная программа использует дополнительные вредоносные плагины для дальнейшего нанесения ущерба.
ValleyRAT loader расшифровывает ресурс, зашифрованный с помощью TripleDES, и вводит полезную нагрузку в легитимный системный процесс, чтобы избежать обнаружения.
Вредоносная программа использует строки UUID, формат шестнадцатеричных байтов, логические операции XOR и обфускацию в режиме ожидания для выполнения зашифрованного шелл-кода.
ValleyRAT манипулирует записями реестра, использует IP-адреса C2 и хранит пути к файлам активных вредоносных программ на скомпрометированных хостах.
Чтобы избежать обнаружения, ValleyRAT завершает работу средств защиты, отключает автозапуск антивируса, использует функцию исключения защитника Windows и проверяет наличие виртуализированных сред.
Вредоносная программа создает запланированные задачи для автоматического выполнения вредоносной полезной нагрузки для сохранения.
Методы обнаружения, разработанные исследовательской группой Splunk Threat Research, сосредоточены на изменении конфигурации C2, отключении автозапуска антивируса, модификации задач планировщика Windows и обходе контроля учетных записей пользователей.
#ParsedReport #CompletenessLow
26-10-2024
Nikhil "Kaido" Hegde. Turla Backdoor Bypasses ETW, EventLog and AMSI But It s Buggy
https://nikhilh-20.github.io/blog/turla_backdoor_defenses_bypass
Report completeness: Low
Actors/Campaigns:
Turla (motivation: cyber_espionage)
Threats:
Kazuar
De4dot_tool
Geo:
Russia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1562
IOCs:
Hash: 1
Path: 3
File: 6
Soft:
Event Tracing for Windows
Algorithms:
sha256, xor
Win API:
EventWrite, EtwEventWrite, ReportEventW, AmsiOpenSession, AmsiScanBuffer, LoadLibrary, AmsiInitialize, GetProcAddress, AmsiScanString
Win Services:
EventLog
Languages:
powershell
Links:
have more...
26-10-2024
Nikhil "Kaido" Hegde. Turla Backdoor Bypasses ETW, EventLog and AMSI But It s Buggy
https://nikhilh-20.github.io/blog/turla_backdoor_defenses_bypass
Report completeness: Low
Actors/Campaigns:
Turla (motivation: cyber_espionage)
Threats:
Kazuar
De4dot_tool
Geo:
Russia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1562
IOCs:
Hash: 1
Path: 3
File: 6
Soft:
Event Tracing for Windows
Algorithms:
sha256, xor
Win API:
EventWrite, EtwEventWrite, ReportEventW, AmsiOpenSession, AmsiScanBuffer, LoadLibrary, AmsiInitialize, GetProcAddress, AmsiScanString
Win Services:
EventLog
Languages:
powershell
Links:
https://github.com/huds0nx/dumbassemblyhave more...
https://github.com/wickyhu/simple-assembly-explorerhttps://github.com/kant2002/de4dotNikhil “Kaido” Hegde
Turla Backdoor Bypasses ETW, EventLog and AMSI But It’s Buggy
M&M: Malware and Musings
CTT Report Hub
#ParsedReport #CompletenessLow 26-10-2024 Nikhil "Kaido" Hegde. Turla Backdoor Bypasses ETW, EventLog and AMSI But It s Buggy https://nikhilh-20.github.io/blog/turla_backdoor_defenses_bypass Report completeness: Low Actors/Campaigns: Turla (motivation:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что хакерская группа по кибершпионажу Turla, связанная с ФСБ России, использует 32-разрядный вариант бэкдора без файлов, который использует различные тактики уклонения, чтобы избежать обнаружения, включая манипулирование функциями ETW, EventLog и AMSI. В блоге подробно обсуждается, как работает бэкдор, его возможности обхода и конкретные исправления ошибок, реализованные в этом варианте, подчеркивая важность поддержания бдительности и разработки защитных стратегий в области кибербезопасности.
-----
Как сообщает Hybrid Analysis, хакерская группа Turla, занимающаяся кибершпионажем и связанная с Федеральной службой безопасности России (ФСБ), была идентифицирована как использующая 32-разрядный вариант бэкдора без файлов. В этом блоге рассматриваются возможности защитного обхода этого варианта бэкдора, освещаются его методы обхода ETW (отслеживание событий для Windows), EventLog и AMSI (интерфейс проверки на вредоносное ПО). Кроме того, в нем рассматриваются два исправленных дефекта, реализованных в этом варианте.
Сам бэкдор представляет собой исполняемый файл .NET, который содержит SmartAssembly. Для деобфускации кода аналитикам необходимо последовательно использовать такие инструменты, как dumbassembly, Simple Assembly Explorer и de4dot. Особое внимание в анализе уделяется тому, как бэкдор манипулирует сканированием AMSI, журналом событий и протоколированием ETW, чтобы избежать обнаружения и сохранить скрытность.
Ведение журнала ETW демонстрируется созданием пользователя ETW с именем test_collector, который собирает журналы от поставщика Microsoft-Windows-PowerShell. В блоге содержатся ссылки на журналы действий PowerShell и отключение поставщика PSEtwLogProvider для предотвращения ведения журнала действий PowerShell. В нем также представлен фрагмент кода, используемый бэкдором для отключения провайдера PSEtwLogProvider, что соответствует тактике обхода, используемой вредоносной программой.
Когда бэкдор Turla выполняет сценарии PowerShell, он создает пространство выполнения PowerShell внутри самого процесса вредоносного ПО, включая функции ETW, EventLog и AMSI в своем пространстве процессов. Это позволяет бэкдору манипулировать определенными функциями, связанными с этими механизмами безопасности, чтобы избежать обнаружения. Исправляя инструкции в таких функциях, как EventWrite, EtwEventWrite, ReportEventW, AmsiOpenSession и AmsiScanBuffer, бэкдор нарушает процессы ведения журнала и сканирования, что позволяет ему эффективно работать, не создавая заметных журналов.
Для 64-разрядных процессов бэкдор изменяет точки входа функций EventWrite, EtwEventWrite и ReportEventW с помощью определенных последовательностей байтов, чтобы остановить ведение журнала. В случае 32-разрядных процессов аналогичное исправление выполняется с использованием различных последовательностей байтов для достижения того же эффекта. Изменяя эти функции, бэкдор может предотвращать запись событий в EventLog и подавлять действия по ведению журнала, еще больше маскируя свое присутствие и операции.
Что касается функций AMSI, то бэкдор вмешивается в функции AmsiOpenSession и AmsiScanBuffer, устанавливая в их точках входа различные последовательности байтов для 32-разрядных и 64-разрядных процессов. Эта манипуляция приводит к изменению поведения AMSI-сканирования, что приводит к генерации кодов ошибок, которые потенциально могут обойти проверки безопасности и механизмы обнаружения.
Хотя большинство исправлений, реализованных с помощью бэкдора Turla, позволяют избежать обнаружения, в блоге освещаются два дефектных исправления, непосредственно связанных с 32-разрядными процессами. Это служит предостерегающим напоминанием о том, что даже участники киберугроз могут вносить ошибки в свой код, подчеркивая постоянную необходимость в бдительности и разработке защитных стратегий в сфере кибербезопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что хакерская группа по кибершпионажу Turla, связанная с ФСБ России, использует 32-разрядный вариант бэкдора без файлов, который использует различные тактики уклонения, чтобы избежать обнаружения, включая манипулирование функциями ETW, EventLog и AMSI. В блоге подробно обсуждается, как работает бэкдор, его возможности обхода и конкретные исправления ошибок, реализованные в этом варианте, подчеркивая важность поддержания бдительности и разработки защитных стратегий в области кибербезопасности.
-----
Как сообщает Hybrid Analysis, хакерская группа Turla, занимающаяся кибершпионажем и связанная с Федеральной службой безопасности России (ФСБ), была идентифицирована как использующая 32-разрядный вариант бэкдора без файлов. В этом блоге рассматриваются возможности защитного обхода этого варианта бэкдора, освещаются его методы обхода ETW (отслеживание событий для Windows), EventLog и AMSI (интерфейс проверки на вредоносное ПО). Кроме того, в нем рассматриваются два исправленных дефекта, реализованных в этом варианте.
Сам бэкдор представляет собой исполняемый файл .NET, который содержит SmartAssembly. Для деобфускации кода аналитикам необходимо последовательно использовать такие инструменты, как dumbassembly, Simple Assembly Explorer и de4dot. Особое внимание в анализе уделяется тому, как бэкдор манипулирует сканированием AMSI, журналом событий и протоколированием ETW, чтобы избежать обнаружения и сохранить скрытность.
Ведение журнала ETW демонстрируется созданием пользователя ETW с именем test_collector, который собирает журналы от поставщика Microsoft-Windows-PowerShell. В блоге содержатся ссылки на журналы действий PowerShell и отключение поставщика PSEtwLogProvider для предотвращения ведения журнала действий PowerShell. В нем также представлен фрагмент кода, используемый бэкдором для отключения провайдера PSEtwLogProvider, что соответствует тактике обхода, используемой вредоносной программой.
Когда бэкдор Turla выполняет сценарии PowerShell, он создает пространство выполнения PowerShell внутри самого процесса вредоносного ПО, включая функции ETW, EventLog и AMSI в своем пространстве процессов. Это позволяет бэкдору манипулировать определенными функциями, связанными с этими механизмами безопасности, чтобы избежать обнаружения. Исправляя инструкции в таких функциях, как EventWrite, EtwEventWrite, ReportEventW, AmsiOpenSession и AmsiScanBuffer, бэкдор нарушает процессы ведения журнала и сканирования, что позволяет ему эффективно работать, не создавая заметных журналов.
Для 64-разрядных процессов бэкдор изменяет точки входа функций EventWrite, EtwEventWrite и ReportEventW с помощью определенных последовательностей байтов, чтобы остановить ведение журнала. В случае 32-разрядных процессов аналогичное исправление выполняется с использованием различных последовательностей байтов для достижения того же эффекта. Изменяя эти функции, бэкдор может предотвращать запись событий в EventLog и подавлять действия по ведению журнала, еще больше маскируя свое присутствие и операции.
Что касается функций AMSI, то бэкдор вмешивается в функции AmsiOpenSession и AmsiScanBuffer, устанавливая в их точках входа различные последовательности байтов для 32-разрядных и 64-разрядных процессов. Эта манипуляция приводит к изменению поведения AMSI-сканирования, что приводит к генерации кодов ошибок, которые потенциально могут обойти проверки безопасности и механизмы обнаружения.
Хотя большинство исправлений, реализованных с помощью бэкдора Turla, позволяют избежать обнаружения, в блоге освещаются два дефектных исправления, непосредственно связанных с 32-разрядными процессами. Это служит предостерегающим напоминанием о том, что даже участники киберугроз могут вносить ошибки в свой код, подчеркивая постоянную необходимость в бдительности и разработке защитных стратегий в сфере кибербезопасности.
#ParsedReport #CompletenessMedium
26-10-2024
Cyber attack UAC-0001 (APT28): PowerShell command in clipboard as "entry point" (CERT-UA#11689)
https://cert.gov.ua/article/6281123
Report completeness: Medium
Actors/Campaigns:
Fancy_bear
Threats:
Metasploit_tool
Victims:
Government organization
Industry:
Government
Geo:
Ukraine
CVEs:
CVE-2023-43770 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- roundcube webmail (<1.4.14, <1.5.4, <1.6.3)
ChatGPT TTPs:
T1566.002, T1059.001, T1105, T1203
IOCs:
File: 5
Domain: 3
IP: 28
Hash: 16
Url: 9
Path: 2
Email: 1
Command: 8
Soft:
Chrome, Opera, Firefox, Roundcube, gmail
Languages:
powershell
26-10-2024
Cyber attack UAC-0001 (APT28): PowerShell command in clipboard as "entry point" (CERT-UA#11689)
https://cert.gov.ua/article/6281123
Report completeness: Medium
Actors/Campaigns:
Fancy_bear
Threats:
Metasploit_tool
Victims:
Government organization
Industry:
Government
Geo:
Ukraine
CVEs:
CVE-2023-43770 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- roundcube webmail (<1.4.14, <1.5.4, <1.6.3)
ChatGPT TTPs:
do not use without manual checkT1566.002, T1059.001, T1105, T1203
IOCs:
File: 5
Domain: 3
IP: 28
Hash: 16
Url: 9
Path: 2
Email: 1
Command: 8
Soft:
Chrome, Opera, Firefox, Roundcube, gmail
Languages:
powershell
cert.gov.ua
CERT-UA
Урядова команда реагування на комп’ютерні надзвичайні події України, яка функціонує в складі Державної служби спеціального зв’язку та захисту інформації України.
CTT Report Hub
#ParsedReport #CompletenessMedium 26-10-2024 Cyber attack UAC-0001 (APT28): PowerShell command in clipboard as "entry point" (CERT-UA#11689) https://cert.gov.ua/article/6281123 Report completeness: Medium Actors/Campaigns: Fancy_bear Threats: Metasploit_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Правительственная группа реагирования на компьютерные чрезвычайные ситуации в Украине (CERT-UA) расследует вредоносную кампанию, направленную против местных органов власти и связанную с рассылкой электронных писем с вредоносными ссылками, маскирующимися под электронные таблицы Google. Целью кампании является создание SSH-туннеля для кражи и эксфильтрации аутентификационных и критически важных данных из веб-браузеров с использованием команд PowerShell и развертывания программного обеспечения METASPLOIT. Злоумышленники успешно воспользовались уязвимостями, украли аутентификационные данные, скомпрометировали учетные записи электронной почты и запустили дальнейшие вредоносные действия, предварительно связав их с деятельностью группы UAC-0001 (APT28).
-----
Правительственная группа реагирования на компьютерные чрезвычайные ситуации в Украине, или CERT-UA, в настоящее время проводит расследование вредоносной кампании, направленной против местных органов власти. Эта кампания включает в себя рассылку электронных писем со строкой темы "Замена таблицы", которая содержит ссылку, замаскированную под электронную таблицу Google. При переходе по ссылке пользователям открывается окно защиты от поддельных ботов reCAPTCHA. Если пользователь реагирует на поддельное приглашение, нажав на поле с надписью "Я не робот", команда PowerShell копируется в буфер обмена компьютера. Затем пользователю предлагается нажать комбинацию клавиш "Win+R", чтобы открыть командную строку, затем "Ctrl+V", чтобы вставить команду, а затем нажать "Enter". Это действие запускает выполнение команды PowerShell.
После выполнения команды PowerShell запускается загрузка и выполнение двух файлов: "browser.hta" и "Browser.ps1". Основной целью этих файлов является создание SSH-туннеля, позволяющего красть и отфильтровывать аутентификационные и другие важные данные из веб-браузеров, таких как Chrome, Edge, Opera и Firefox. Кроме того, скрипт PowerShell также использует программное средство METASPLOIT, известное своими возможностями для осуществления дальнейших вредоносных действий.
В ходе аналогичного инцидента, расследованного CERT-UA в сентябре 2024 года (CERT-UA#10859), было обнаружено, что вредоносные электронные письма содержат эксплойт, нацеленный на уязвимость в Roundcube, идентифицированную как CVE-2023-43770. Этот эксплойт позволил злоумышленникам украсть аутентификационные данные пользователей и внедрить фильтр "SystemHealthChek" - плагин, перенаправляющий содержимое почтового ящика жертвы на адрес электронной почты злоумышленника. В ходе этого расследования было выявлено более 10 скомпрометированных учетных записей электронной почты, принадлежащих правительственным организациям. Злоумышленники использовали эти учетные записи для автоматического получения конфиденциальных данных и запуска дополнительных вредоносных кампаний по электронной почте, в том числе нацеленных на министерства обороны зарубежных стран.
Основываясь на собранных доказательствах, CERT-UA с умеренной степенью уверенности предварительно отнесла эти действия к группе UAC-0001, также известной как APT28. Эта связь дополнительно проиллюстрирована на рисунке 2, где показана цепочка повреждений, возникших в результате эксплойта CVE-2023-43770 (CERT-UA#10859) и последующей кибератаки со стороны UAC-0001 (APT28) с использованием команд PowerShell в качестве точки входа (CERT-UA#11689).
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Правительственная группа реагирования на компьютерные чрезвычайные ситуации в Украине (CERT-UA) расследует вредоносную кампанию, направленную против местных органов власти и связанную с рассылкой электронных писем с вредоносными ссылками, маскирующимися под электронные таблицы Google. Целью кампании является создание SSH-туннеля для кражи и эксфильтрации аутентификационных и критически важных данных из веб-браузеров с использованием команд PowerShell и развертывания программного обеспечения METASPLOIT. Злоумышленники успешно воспользовались уязвимостями, украли аутентификационные данные, скомпрометировали учетные записи электронной почты и запустили дальнейшие вредоносные действия, предварительно связав их с деятельностью группы UAC-0001 (APT28).
-----
Правительственная группа реагирования на компьютерные чрезвычайные ситуации в Украине, или CERT-UA, в настоящее время проводит расследование вредоносной кампании, направленной против местных органов власти. Эта кампания включает в себя рассылку электронных писем со строкой темы "Замена таблицы", которая содержит ссылку, замаскированную под электронную таблицу Google. При переходе по ссылке пользователям открывается окно защиты от поддельных ботов reCAPTCHA. Если пользователь реагирует на поддельное приглашение, нажав на поле с надписью "Я не робот", команда PowerShell копируется в буфер обмена компьютера. Затем пользователю предлагается нажать комбинацию клавиш "Win+R", чтобы открыть командную строку, затем "Ctrl+V", чтобы вставить команду, а затем нажать "Enter". Это действие запускает выполнение команды PowerShell.
После выполнения команды PowerShell запускается загрузка и выполнение двух файлов: "browser.hta" и "Browser.ps1". Основной целью этих файлов является создание SSH-туннеля, позволяющего красть и отфильтровывать аутентификационные и другие важные данные из веб-браузеров, таких как Chrome, Edge, Opera и Firefox. Кроме того, скрипт PowerShell также использует программное средство METASPLOIT, известное своими возможностями для осуществления дальнейших вредоносных действий.
В ходе аналогичного инцидента, расследованного CERT-UA в сентябре 2024 года (CERT-UA#10859), было обнаружено, что вредоносные электронные письма содержат эксплойт, нацеленный на уязвимость в Roundcube, идентифицированную как CVE-2023-43770. Этот эксплойт позволил злоумышленникам украсть аутентификационные данные пользователей и внедрить фильтр "SystemHealthChek" - плагин, перенаправляющий содержимое почтового ящика жертвы на адрес электронной почты злоумышленника. В ходе этого расследования было выявлено более 10 скомпрометированных учетных записей электронной почты, принадлежащих правительственным организациям. Злоумышленники использовали эти учетные записи для автоматического получения конфиденциальных данных и запуска дополнительных вредоносных кампаний по электронной почте, в том числе нацеленных на министерства обороны зарубежных стран.
Основываясь на собранных доказательствах, CERT-UA с умеренной степенью уверенности предварительно отнесла эти действия к группе UAC-0001, также известной как APT28. Эта связь дополнительно проиллюстрирована на рисунке 2, где показана цепочка повреждений, возникших в результате эксплойта CVE-2023-43770 (CERT-UA#10859) и последующей кибератаки со стороны UAC-0001 (APT28) с использованием команд PowerShell в качестве точки входа (CERT-UA#11689).
#ParsedReport #CompletenessMedium
26-10-2024
CERT-AGID Computer Emergency Response TeamAGID. XWorm Spread in Italy via Fake Namirial Invoice
https://cert-agid.gov.it/news/xworm-diffuso-in-italia-tramite-falsa-fattura-namirial
Report completeness: Medium
Threats:
Xworm_rat
Remcos_rat
Asyncrat
Dcrat
Cloudeye
Venomrat
Geo:
Italy, Italia, Italian
ChatGPT TTPs:
T1566.001, T1036.005, T1059.006
IOCs:
Hash: 16
File: 5
Domain: 2
Url: 3
Soft:
Dropbox, trycloudflare
Algorithms:
zip
Languages:
python
Links:
26-10-2024
CERT-AGID Computer Emergency Response TeamAGID. XWorm Spread in Italy via Fake Namirial Invoice
https://cert-agid.gov.it/news/xworm-diffuso-in-italia-tramite-falsa-fattura-namirial
Report completeness: Medium
Threats:
Xworm_rat
Remcos_rat
Asyncrat
Dcrat
Cloudeye
Venomrat
Geo:
Italy, Italia, Italian
ChatGPT TTPs:
do not use without manual checkT1566.001, T1036.005, T1059.006
IOCs:
Hash: 16
File: 5
Domain: 2
Url: 3
Soft:
Dropbox, trycloudflare
Algorithms:
zip
Languages:
python
Links:
https://github.com/Einstein2150/BatchShield-DecryptorCERT-AGID
XWorm diffuso in Italia tramite falsa fattura Namirial
Il CERT-AGID ha rilevato una campagna malevola volta alla diffusione del trojan XWorm RAT, distribuito tramite false email camuffate da comunicazioni ufficiali del gestore Namirial.
CTT Report Hub
#ParsedReport #CompletenessMedium 26-10-2024 CERT-AGID Computer Emergency Response TeamAGID. XWorm Spread in Italy via Fake Namirial Invoice https://cert-agid.gov.it/news/xworm-diffuso-in-italia-tramite-falsa-fattura-namirial Report completeness: Medium…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В тексте обсуждается вредоносная кампания с использованием троянской программы XWorm RAT, нацеленной на итальянских пользователей с помощью поддельных электронных писем, имитирующих официальные сообщения. Злоумышленники используют тактику социальной инженерии, чтобы обманом заставить получателей загружать вредоносные файлы, в конечном итоге стремясь скомпрометировать системы в неблаговидных целях. Кампания использует специальные показатели, такие как хэши файлов и URL-адреса, для распространения таких разновидностей вредоносных программ, как AsyncRAT, DCRat и Remcos RAT, расширяя их возможности по уклонению от обнаружения и сохранению стойкости. Наличие интерпретатора Python в полезной нагрузке указывает на ловкость злоумышленников в использовании языков сценариев для автоматизации вредоносных действий, что представляет значительную угрозу для отдельных лиц и организаций.
-----
В тексте описывается вредоносная кампания с использованием троянской программы XWorm RAT, которая распространяется с помощью поддельных электронных писем, выдаваемых за официальные сообщения от оператора Namirial. Электронное письмо составлено на итальянском языке и предлагает получателю открыть вложенный PDF-документ. Если PDF-файл не открывается, в электронном письме предлагается использовать альтернативную ссылку в сообщении. Эта тактика знакома по предыдущим кампаниям. Как только пользователь нажимает на ссылку, загружается ZIP-архив, содержащий интерпретатор Python, который затем используется для запуска вредоносных скриптов, уже присутствующих в архиве.
Кампания XWorm RAT нацелена на итальянских пользователей и использует специальные показатели, такие как хэши файлов и URL-адреса, для распространения вредоносного ПО. Некоторые из вариантов вредоносного ПО, которые могут быть развернуты в рамках этой кампании, включают AsyncRAT, DCRat, GuLoader, VenomRAT, Remcos RAT и XWorm, как показано в текущем примере. Злоумышленники используют различные методы для обмана пользователей и доставки полезной информации, конечной целью которых является компрометация систем в злонамеренных целях.
Технология "заманивания" по электронной почте, имитирующая законное общение, является распространенной стратегией, используемой злоумышленниками для того, чтобы обманом заставить пользователей загружать и запускать вредоносные файлы. Используя тактику социальной инженерии и используя доверие, связанное с официальными сообщениями, злоумышленники могут повысить вероятность успешного заражения. В рамках этой конкретной кампании поддельные электронные письма на итальянском языке должны выглядеть так, как будто они получены из авторитетного источника, создавая ощущение срочности или важности, чтобы побудить получателей ознакомиться с вредоносным контентом.
Троянская программа XWorm RAT, запущенная в системе жертвы, может позволить злоумышленникам получить несанкционированный доступ, извлечь конфиденциальную информацию и, возможно, осуществлять дальнейшие вредоносные действия. Разновидности вредоносных программ, связанных с этой кампанией, известны своей способностью избегать обнаружения и сохранять постоянство на зараженных компьютерах, представляя значительную угрозу как для отдельных пользователей, так и для организаций.
Использование определенных хэшей файлов и URL-адресов в кампании указывает на уровень изощренности тактики злоумышленников, позволяя им отслеживать распространение и успех вредоносного ПО. Анализируя эти показатели, исследователи и организации, занимающиеся кибербезопасностью, могут лучше понять масштабы и влияние кампании, а также разработать контрмеры для защиты от подобных угроз.
Наличие в архиве интерпретатора Python позволяет предположить, что злоумышленники, возможно, используют языки сценариев для автоматизации и улучшения выполнения вредоносных программ. Это подчеркивает адаптивность и гибкость киберпреступников в использовании различных инструментов и методов для достижения своих целей при целенаправленных атаках.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
В тексте обсуждается вредоносная кампания с использованием троянской программы XWorm RAT, нацеленной на итальянских пользователей с помощью поддельных электронных писем, имитирующих официальные сообщения. Злоумышленники используют тактику социальной инженерии, чтобы обманом заставить получателей загружать вредоносные файлы, в конечном итоге стремясь скомпрометировать системы в неблаговидных целях. Кампания использует специальные показатели, такие как хэши файлов и URL-адреса, для распространения таких разновидностей вредоносных программ, как AsyncRAT, DCRat и Remcos RAT, расширяя их возможности по уклонению от обнаружения и сохранению стойкости. Наличие интерпретатора Python в полезной нагрузке указывает на ловкость злоумышленников в использовании языков сценариев для автоматизации вредоносных действий, что представляет значительную угрозу для отдельных лиц и организаций.
-----
В тексте описывается вредоносная кампания с использованием троянской программы XWorm RAT, которая распространяется с помощью поддельных электронных писем, выдаваемых за официальные сообщения от оператора Namirial. Электронное письмо составлено на итальянском языке и предлагает получателю открыть вложенный PDF-документ. Если PDF-файл не открывается, в электронном письме предлагается использовать альтернативную ссылку в сообщении. Эта тактика знакома по предыдущим кампаниям. Как только пользователь нажимает на ссылку, загружается ZIP-архив, содержащий интерпретатор Python, который затем используется для запуска вредоносных скриптов, уже присутствующих в архиве.
Кампания XWorm RAT нацелена на итальянских пользователей и использует специальные показатели, такие как хэши файлов и URL-адреса, для распространения вредоносного ПО. Некоторые из вариантов вредоносного ПО, которые могут быть развернуты в рамках этой кампании, включают AsyncRAT, DCRat, GuLoader, VenomRAT, Remcos RAT и XWorm, как показано в текущем примере. Злоумышленники используют различные методы для обмана пользователей и доставки полезной информации, конечной целью которых является компрометация систем в злонамеренных целях.
Технология "заманивания" по электронной почте, имитирующая законное общение, является распространенной стратегией, используемой злоумышленниками для того, чтобы обманом заставить пользователей загружать и запускать вредоносные файлы. Используя тактику социальной инженерии и используя доверие, связанное с официальными сообщениями, злоумышленники могут повысить вероятность успешного заражения. В рамках этой конкретной кампании поддельные электронные письма на итальянском языке должны выглядеть так, как будто они получены из авторитетного источника, создавая ощущение срочности или важности, чтобы побудить получателей ознакомиться с вредоносным контентом.
Троянская программа XWorm RAT, запущенная в системе жертвы, может позволить злоумышленникам получить несанкционированный доступ, извлечь конфиденциальную информацию и, возможно, осуществлять дальнейшие вредоносные действия. Разновидности вредоносных программ, связанных с этой кампанией, известны своей способностью избегать обнаружения и сохранять постоянство на зараженных компьютерах, представляя значительную угрозу как для отдельных пользователей, так и для организаций.
Использование определенных хэшей файлов и URL-адресов в кампании указывает на уровень изощренности тактики злоумышленников, позволяя им отслеживать распространение и успех вредоносного ПО. Анализируя эти показатели, исследователи и организации, занимающиеся кибербезопасностью, могут лучше понять масштабы и влияние кампании, а также разработать контрмеры для защиты от подобных угроз.
Наличие в архиве интерпретатора Python позволяет предположить, что злоумышленники, возможно, используют языки сценариев для автоматизации и улучшения выполнения вредоносных программ. Это подчеркивает адаптивность и гибкость киберпреступников в использовании различных инструментов и методов для достижения своих целей при целенаправленных атаках.
#ParsedReport #CompletenessLow
27-10-2024
Scattered Spider x RansomHub: A New Partnership
https://www.reliaquest.com/blog/scattered-spider-x-ransomhub-a-new-partnership
Report completeness: Low
Actors/Campaigns:
0ktapus (motivation: cyber_criminal, financially_motivated)
Carbanak
Threats:
Ransomhub
Blackcat
Sim_swapping_technique
Credential_dumping_technique
Logmein_tool
Blackbasta
Lockbit
Darkside
Ransomexx
Industry:
Entertainment, Financial, Telco
Geo:
North korea, China, French, American, Spanish, German, Russia
ChatGPT TTPs:
T1566, T1078, T1098, T1083, T1021
IOCs:
File: 14
IP: 1
Soft:
ESXi, Telegram, Chrome, Firefox, AnyConnect, Microsoft Office 365, Active Directory, VeraCrypt, Microsoft Teams
Functions:
English, English-language
27-10-2024
Scattered Spider x RansomHub: A New Partnership
https://www.reliaquest.com/blog/scattered-spider-x-ransomhub-a-new-partnership
Report completeness: Low
Actors/Campaigns:
0ktapus (motivation: cyber_criminal, financially_motivated)
Carbanak
Threats:
Ransomhub
Blackcat
Sim_swapping_technique
Credential_dumping_technique
Logmein_tool
Blackbasta
Lockbit
Darkside
Ransomexx
Industry:
Entertainment, Financial, Telco
Geo:
North korea, China, French, American, Spanish, German, Russia
ChatGPT TTPs:
do not use without manual checkT1566, T1078, T1098, T1083, T1021
IOCs:
File: 14
IP: 1
Soft:
ESXi, Telegram, Chrome, Firefox, AnyConnect, Microsoft Office 365, Active Directory, VeraCrypt, Microsoft Teams
Functions:
English, English-language
ReliaQuest
Scattered Spider x RansomHub: A New Partnership - ReliaQuest
In this report, we explore Scattered Spider's evolution from low-level cybercrimes to partnering with ransomware groups to target major organizations
CTT Report Hub
#ParsedReport #CompletenessLow 27-10-2024 Scattered Spider x RansomHub: A New Partnership https://www.reliaquest.com/blog/scattered-spider-x-ransomhub-a-new-partnership Report completeness: Low Actors/Campaigns: 0ktapus (motivation: cyber_criminal, fi…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что хакерская группа под названием "Scattered Spider" сотрудничала с группой программ-вымогателей "RansomHub" для проведения сложной кибератаки на организацию производственного сектора. Этот инцидент подчеркивает эволюцию тактики и изощренность участников киберугроз, подчеркивая необходимость усиления организациями своих средств кибербезопасности для защиты от подобных атак.
-----
В тексте описывается инцидент, произошедший в октябре 2024 года, когда хакерская группа, известная как "Scattered Spider", сотрудничала с группой программ-вымогателей "RansomHub" для проведения сложной кибератаки на организацию производственного сектора. Компания Scattered Spider, ранее связанная с группой вымогателей "ALPHV", использовала методы социальной инженерии для взлома учетных записей сотрудников, получив доступ к системам компании. Они использовали среду ESXi организации для создания виртуальной машины, скрывая свою деятельность до тех пор, пока не зашифровали среду и не саботировали резервное копирование.
Scattered Spider связан с Сообществом, известным своим участием в различных киберпреступных действиях, связанных с социальной инженерией. Со временем группа стала сотрудничать с группами-вымогателями, такими как RansomHub, которых привлекли выгодные модели распределения прибыли. Сотрудничество между Scattered Spider и RansomHub представляет серьезную угрозу для организаций во всех секторах, что подчеркивает необходимость принятия надежных мер безопасности.
Целью злоумышленников была критически важная инфраструктура, такая как серверы ESXi и резервные копии, с целью получения максимальной финансовой выгоды и избежания обнаружения. Они использовали уязвимости в системах организации, используя социальную инженерию для получения первоначального доступа и перемещения по сети. Злоумышленники использовали такие тактические приемы, как отключение вторичной многофакторной аутентификации, нацеливание на определенные приложения и доступ к конфиденциальной информации через SharePoint.
Кроме того, в тексте обсуждается растущая тенденция появления групп программ-вымогателей, нацеленных на серверы ESXi, и подчеркивается важность защиты от таких атак. Рекомендации включают усиление методов многофакторной аутентификации, проведение оценки социальной инженерии, внедрение политик условного доступа на основе клиентов и обеспечение актуальности систем виртуализации.
Этот инцидент подчеркивает эволюцию тактики и изощренность действий участников киберугроз, подчеркивая необходимость того, чтобы организации усиливали свою защиту от кибербезопасности. Это также проливает свет на растущее сотрудничество между хакерскими группами и влияние программ-вымогателей на критически важную бизнес-инфраструктуру. Организациям рекомендуется проявлять бдительность, обновлять свои меры безопасности и внедрять передовые методы для снижения рисков, связанных с распространенными киберугрозами.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что хакерская группа под названием "Scattered Spider" сотрудничала с группой программ-вымогателей "RansomHub" для проведения сложной кибератаки на организацию производственного сектора. Этот инцидент подчеркивает эволюцию тактики и изощренность участников киберугроз, подчеркивая необходимость усиления организациями своих средств кибербезопасности для защиты от подобных атак.
-----
В тексте описывается инцидент, произошедший в октябре 2024 года, когда хакерская группа, известная как "Scattered Spider", сотрудничала с группой программ-вымогателей "RansomHub" для проведения сложной кибератаки на организацию производственного сектора. Компания Scattered Spider, ранее связанная с группой вымогателей "ALPHV", использовала методы социальной инженерии для взлома учетных записей сотрудников, получив доступ к системам компании. Они использовали среду ESXi организации для создания виртуальной машины, скрывая свою деятельность до тех пор, пока не зашифровали среду и не саботировали резервное копирование.
Scattered Spider связан с Сообществом, известным своим участием в различных киберпреступных действиях, связанных с социальной инженерией. Со временем группа стала сотрудничать с группами-вымогателями, такими как RansomHub, которых привлекли выгодные модели распределения прибыли. Сотрудничество между Scattered Spider и RansomHub представляет серьезную угрозу для организаций во всех секторах, что подчеркивает необходимость принятия надежных мер безопасности.
Целью злоумышленников была критически важная инфраструктура, такая как серверы ESXi и резервные копии, с целью получения максимальной финансовой выгоды и избежания обнаружения. Они использовали уязвимости в системах организации, используя социальную инженерию для получения первоначального доступа и перемещения по сети. Злоумышленники использовали такие тактические приемы, как отключение вторичной многофакторной аутентификации, нацеливание на определенные приложения и доступ к конфиденциальной информации через SharePoint.
Кроме того, в тексте обсуждается растущая тенденция появления групп программ-вымогателей, нацеленных на серверы ESXi, и подчеркивается важность защиты от таких атак. Рекомендации включают усиление методов многофакторной аутентификации, проведение оценки социальной инженерии, внедрение политик условного доступа на основе клиентов и обеспечение актуальности систем виртуализации.
Этот инцидент подчеркивает эволюцию тактики и изощренность действий участников киберугроз, подчеркивая необходимость того, чтобы организации усиливали свою защиту от кибербезопасности. Это также проливает свет на растущее сотрудничество между хакерскими группами и влияние программ-вымогателей на критически важную бизнес-инфраструктуру. Организациям рекомендуется проявлять бдительность, обновлять свои меры безопасности и внедрять передовые методы для снижения рисков, связанных с распространенными киберугрозами.
#ParsedReport #CompletenessMedium
26-10-2024
Cronus: Ransomware Threatening Bodily Harm. Appendix - Public Key
https://blog.pulsedive.com/threat-research-cronus-ransomware-threatening-bodily-harm
Report completeness: Medium
Threats:
Cronus
Process_hacker_tool
Akira_ransomware
Process_hollowing_technique
Spear-phishing_technique
Industry:
Financial
TTPs:
Tactics: 8
Technics: 1
IOCs:
Path: 1
File: 10
Registry: 1
Email: 1
Hash: 1
Soft:
steam, thebat, thebat64, onenote, outlook, PccNTMon, wordpad
Crypto:
bitcoin
Algorithms:
lzma, cbc, aes, md5, sha1, zipx, sha256, zip
Win Services:
sqlwriter, sqbcoreservice, VirtualBoxVM, sqlagent, sqlbrowser, sqlservr, agntsvc, infopath, synctime, VBoxSVC, have more...
Languages:
powershell, visual_basic
Platforms:
x86, intel
Links:
26-10-2024
Cronus: Ransomware Threatening Bodily Harm. Appendix - Public Key
https://blog.pulsedive.com/threat-research-cronus-ransomware-threatening-bodily-harm
Report completeness: Medium
Threats:
Cronus
Process_hacker_tool
Akira_ransomware
Process_hollowing_technique
Spear-phishing_technique
Industry:
Financial
TTPs:
Tactics: 8
Technics: 1
IOCs:
Path: 1
File: 10
Registry: 1
Email: 1
Hash: 1
Soft:
steam, thebat, thebat64, onenote, outlook, PccNTMon, wordpad
Crypto:
bitcoin
Algorithms:
lzma, cbc, aes, md5, sha1, zipx, sha256, zip
Win Services:
sqlwriter, sqbcoreservice, VirtualBoxVM, sqlagent, sqlbrowser, sqlservr, agntsvc, infopath, synctime, VBoxSVC, have more...
Languages:
powershell, visual_basic
Platforms:
x86, intel
Links:
https://github.com/ThreatLabz/ransomware\_notesPulsedive Blog
Pulsedive Blog | Cronus Ransomware Threatening Bodily Harm
This technical analysis examines how Cronus Ransomware encrypts files, establishes persistence, and deviates from other ransom notes.