CTT Report Hub
#ParsedReport #CompletenessLow 21-11-2024 DarkPeony s Trail: Certificate Patterns Point to Sustained Campaign Infrastructure https://hunt.io/blog/darkpeony-certificate-patterns Report completeness: Low Actors/Campaigns: Darkpeony (motivation: cyber_espionage)…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея: В тексте обсуждается идентификация подозрительных сертификатов SSL/TLS и инфраструктуры, связанных с группой кибершпионажа DarkPeony, с акцентом на использование ими вредоносного ПО PlugX и тактик, таких как шифрование, шаблоны регистрации доменов и использование законных сервисов, таких как CloudFlare, для уклонения от обнаружения аналитиками безопасности. В анализе подчеркиваются постоянные усилия DarkPeony по сокрытию своих вредоносных действий и содержится рекомендация командам безопасности отслеживать индикаторы, чтобы активно нарушать их работу.
-----
В недавнем сообщении в блоге говорилось о выявлении подозрительных сертификатов SSL/TLS, связанных с подозрительными узлами управления PlugX (C2), с повторяющимся использованием "AES" в поле "Организационное подразделение". Кроме того, в той же инфраструктуре были обнаружены еще два подозрительных сертификата, связанных с доменами, которые, вероятно, были связаны с загрузкой вредоносного ПО или взаимодействием с ним. Эти данные, наряду со схемой регистрации доменов, тесно связаны с инфраструктурой, ранее связанной с DarkPeony, китайской группой кибершпионажа, известной своей деятельностью в отношении правительственных и военных организаций.
Было замечено, что DarkPeony внедряет вредоносное ПО PlugX в кампании, нацеленные на организации в различных странах, таких как Мьянма, Филиппины, Монголия и Сербия. Группа в основном использует поставщиков инфраструктуры в Гонконге, в частности CTG Server Ltd. и ChangLian Network Technology Co. NameCheap и NameSilo используются для регистрации доменов, в то время как серверы имен CloudFlare используются для сокрытия активности от исследователей. IP-адрес, привязанный к домену buyinginfo.org, известный как сервер PlugX C2, стал основным объектом исследования инфраструктуры DarkPeony.
В ходе анализа были выявлены три важных сертификата, относящихся к серверу, связанному с buyinginfo.org: два сертификата CloudFlare и один от TrustAsia Technologies, Inc. Сертификаты, полученные в ходе предыдущих расследований, выявили кластер из пяти серверов, которые, как подозревается, были вовлечены в деятельность PlugX, и каждый из которых использовал сертификаты с обозначением "AES" в поле "Организационное подразделение", что потенциально может служить маркером инфраструктуры участника. Использование хорошо известных сервисов, таких как CloudFlare, может усложнить анализ, смешивая вредоносную инфраструктуру с легитимной, что затрудняет идентификацию аналитиками безопасности.
Дальнейшее изучение дополнительных серверов, подключенных к DarkPeony, выявило IP-адреса, размещенные организациями в разных регионах, таких как Великобритания, Сингапур и Гонконг. В то время как некоторые серверы продолжали использовать сертификаты AES и защиту CloudFlare, другие отошли от этой тенденции, используя различные типы сертификатов, которые обычно ассоциируются с хакерами, внедряющими вредоносные программы, такие как PlugX.
В исследовании подчеркивается, что DarkPeony продолжает использовать тактику регистрации сертификатов и доменов для сокрытия вредоносных действий с помощью законных сервисов. Использование хакерами сертификатов wildcard и защиты CloudFlare помогает скрывать IP-адреса и облегчает передачу вредоносных программ, что затрудняет эффективное отслеживание их действий. Командам безопасности рекомендуется отслеживать подобные показатели, чтобы заблаговременно выявлять появляющуюся инфраструктуру и пресекать деятельность DarkPeony на более ранней стадии.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея: В тексте обсуждается идентификация подозрительных сертификатов SSL/TLS и инфраструктуры, связанных с группой кибершпионажа DarkPeony, с акцентом на использование ими вредоносного ПО PlugX и тактик, таких как шифрование, шаблоны регистрации доменов и использование законных сервисов, таких как CloudFlare, для уклонения от обнаружения аналитиками безопасности. В анализе подчеркиваются постоянные усилия DarkPeony по сокрытию своих вредоносных действий и содержится рекомендация командам безопасности отслеживать индикаторы, чтобы активно нарушать их работу.
-----
В недавнем сообщении в блоге говорилось о выявлении подозрительных сертификатов SSL/TLS, связанных с подозрительными узлами управления PlugX (C2), с повторяющимся использованием "AES" в поле "Организационное подразделение". Кроме того, в той же инфраструктуре были обнаружены еще два подозрительных сертификата, связанных с доменами, которые, вероятно, были связаны с загрузкой вредоносного ПО или взаимодействием с ним. Эти данные, наряду со схемой регистрации доменов, тесно связаны с инфраструктурой, ранее связанной с DarkPeony, китайской группой кибершпионажа, известной своей деятельностью в отношении правительственных и военных организаций.
Было замечено, что DarkPeony внедряет вредоносное ПО PlugX в кампании, нацеленные на организации в различных странах, таких как Мьянма, Филиппины, Монголия и Сербия. Группа в основном использует поставщиков инфраструктуры в Гонконге, в частности CTG Server Ltd. и ChangLian Network Technology Co. NameCheap и NameSilo используются для регистрации доменов, в то время как серверы имен CloudFlare используются для сокрытия активности от исследователей. IP-адрес, привязанный к домену buyinginfo.org, известный как сервер PlugX C2, стал основным объектом исследования инфраструктуры DarkPeony.
В ходе анализа были выявлены три важных сертификата, относящихся к серверу, связанному с buyinginfo.org: два сертификата CloudFlare и один от TrustAsia Technologies, Inc. Сертификаты, полученные в ходе предыдущих расследований, выявили кластер из пяти серверов, которые, как подозревается, были вовлечены в деятельность PlugX, и каждый из которых использовал сертификаты с обозначением "AES" в поле "Организационное подразделение", что потенциально может служить маркером инфраструктуры участника. Использование хорошо известных сервисов, таких как CloudFlare, может усложнить анализ, смешивая вредоносную инфраструктуру с легитимной, что затрудняет идентификацию аналитиками безопасности.
Дальнейшее изучение дополнительных серверов, подключенных к DarkPeony, выявило IP-адреса, размещенные организациями в разных регионах, таких как Великобритания, Сингапур и Гонконг. В то время как некоторые серверы продолжали использовать сертификаты AES и защиту CloudFlare, другие отошли от этой тенденции, используя различные типы сертификатов, которые обычно ассоциируются с хакерами, внедряющими вредоносные программы, такие как PlugX.
В исследовании подчеркивается, что DarkPeony продолжает использовать тактику регистрации сертификатов и доменов для сокрытия вредоносных действий с помощью законных сервисов. Использование хакерами сертификатов wildcard и защиты CloudFlare помогает скрывать IP-адреса и облегчает передачу вредоносных программ, что затрудняет эффективное отслеживание их действий. Командам безопасности рекомендуется отслеживать подобные показатели, чтобы заблаговременно выявлять появляющуюся инфраструктуру и пресекать деятельность DarkPeony на более ранней стадии.
#ParsedReport #CompletenessLow
21-11-2024
Russia-Aligned TAG-110 Targets Asia and Europe with HATVIBE and CHERRYSPY
https://www.recordedfuture.com/research/russia-aligned-tag-110-targets-asia-and-europe
Report completeness: Low
Actors/Campaigns:
Fancy_bear (motivation: cyber_espionage)
Ghostwriter
Threats:
Hatvibe
Cherryspy
Victims:
Government entities, Human rights groups, Educational institutions
Industry:
Military, Government
Geo:
Russia, Asia, Moscow, Ukraine, Kyrgyzstan, Russian, Asian, Uzbekistan, Kazakhstan
CVEs:
CVE-2024-23692 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- rejetto http file server (le2.3m)
ChatGPT TTPs:
T1566, T1190, T1140, T1505.003, T1573
IOCs:
File: 1
Algorithms:
aes, xor
Languages:
python
21-11-2024
Russia-Aligned TAG-110 Targets Asia and Europe with HATVIBE and CHERRYSPY
https://www.recordedfuture.com/research/russia-aligned-tag-110-targets-asia-and-europe
Report completeness: Low
Actors/Campaigns:
Fancy_bear (motivation: cyber_espionage)
Ghostwriter
Threats:
Hatvibe
Cherryspy
Victims:
Government entities, Human rights groups, Educational institutions
Industry:
Military, Government
Geo:
Russia, Asia, Moscow, Ukraine, Kyrgyzstan, Russian, Asian, Uzbekistan, Kazakhstan
CVEs:
CVE-2024-23692 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- rejetto http file server (le2.3m)
ChatGPT TTPs:
do not use without manual checkT1566, T1190, T1140, T1505.003, T1573
IOCs:
File: 1
Algorithms:
aes, xor
Languages:
python
Recordedfuture
Russia-Aligned TAG-110 Targets Asia and Europe with HATVIBE and CHERRYSPY
TAG-110, a Russia-aligned threat group, targets organizations across Asia and Europe using HATVIBE and CHERRYSPY malware for espionage. Learn how Recorded Future's analysis uncovers the group’s tactics, techniques, and indicators of compromise.
CTT Report Hub
#ParsedReport #CompletenessLow 21-11-2024 Russia-Aligned TAG-110 Targets Asia and Europe with HATVIBE and CHERRYSPY https://www.recordedfuture.com/research/russia-aligned-tag-110-targets-asia-and-europe Report completeness: Low Actors/Campaigns: Fancy_bear…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в выявлении и анализе продолжающейся кампании кибершпионажа, проводимой хакерской группой TAG-110, связанной с Россией и, возможно, с BlueDelta (APT28). Эта кампания нацелена на организации в Центральной Азии, Восточной Азии и Европе, в первую очередь на государственные структуры, правозащитные группы и образовательные учреждения. TAG-110 использует пользовательские вредоносные программы HATVIBE и CHERRYSPY для утечки данных и шпионажа с целью сбора разведданных о геополитических событиях и поддержания влияния России на постсоветском пространстве. В тексте также подчеркивается важность защиты от подобных угроз путем мониторинга признаков компрометации, внедрения правил обнаружения, исправления уязвимостей и повышения осведомленности сотрудников об угрозах.
-----
TAG-110, идентифицированная хакерская группировка, связанная с Россией, проводит постоянную кампанию кибершпионажа, нацеленную на организации в Центральной Азии, Восточной Азии и Европе.
Группа использует пользовательские вредоносные программы под названием HATVIBE и CHERRYSPY для борьбы с государственными структурами, правозащитными группами и образовательными учреждениями.
Тактика TAG-110 аналогична историческим действиям, связанным с UAC-0063, связанной с российской APT-группой BlueDelta (APT28).
Кампания затронула 62 жертвы в одиннадцати странах, при этом о серьезных инцидентах сообщалось в Казахстане, Кыргызстане и Узбекистане.
HATVIBE служит загрузчиком для развертывания CHERRYSPY, бэкдора на Python, используемого для утечки данных и шпионажа.
CHERRYSPY обеспечивает безопасную фильтрацию данных с помощью таких методов шифрования, как RSA и AES, ориентируясь на государственные и исследовательские организации.
Деятельность TAG-110 способствует достижению геополитических целей России в Центральной Азии по сохранению влияния в условиях напряженных отношений.
Защита от TAG-110 включает мониторинг IOCs, внедрение правил обнаружения, таких как Snort и YARA, исправление уязвимостей, повышение осведомленности сотрудников об угрозах и использование интеллектуальных инструментов для повышения безопасности.
Ожидается, что TAG-110 продолжит кампании кибершпионажа в постсоветских государствах Центральной Азии, Украине и ее союзниках.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в выявлении и анализе продолжающейся кампании кибершпионажа, проводимой хакерской группой TAG-110, связанной с Россией и, возможно, с BlueDelta (APT28). Эта кампания нацелена на организации в Центральной Азии, Восточной Азии и Европе, в первую очередь на государственные структуры, правозащитные группы и образовательные учреждения. TAG-110 использует пользовательские вредоносные программы HATVIBE и CHERRYSPY для утечки данных и шпионажа с целью сбора разведданных о геополитических событиях и поддержания влияния России на постсоветском пространстве. В тексте также подчеркивается важность защиты от подобных угроз путем мониторинга признаков компрометации, внедрения правил обнаружения, исправления уязвимостей и повышения осведомленности сотрудников об угрозах.
-----
TAG-110, идентифицированная хакерская группировка, связанная с Россией, проводит постоянную кампанию кибершпионажа, нацеленную на организации в Центральной Азии, Восточной Азии и Европе.
Группа использует пользовательские вредоносные программы под названием HATVIBE и CHERRYSPY для борьбы с государственными структурами, правозащитными группами и образовательными учреждениями.
Тактика TAG-110 аналогична историческим действиям, связанным с UAC-0063, связанной с российской APT-группой BlueDelta (APT28).
Кампания затронула 62 жертвы в одиннадцати странах, при этом о серьезных инцидентах сообщалось в Казахстане, Кыргызстане и Узбекистане.
HATVIBE служит загрузчиком для развертывания CHERRYSPY, бэкдора на Python, используемого для утечки данных и шпионажа.
CHERRYSPY обеспечивает безопасную фильтрацию данных с помощью таких методов шифрования, как RSA и AES, ориентируясь на государственные и исследовательские организации.
Деятельность TAG-110 способствует достижению геополитических целей России в Центральной Азии по сохранению влияния в условиях напряженных отношений.
Защита от TAG-110 включает мониторинг IOCs, внедрение правил обнаружения, таких как Snort и YARA, исправление уязвимостей, повышение осведомленности сотрудников об угрозах и использование интеллектуальных инструментов для повышения безопасности.
Ожидается, что TAG-110 продолжит кампании кибершпионажа в постсоветских государствах Центральной Азии, Украине и ее союзниках.
#ParsedReport #CompletenessLow
21-11-2024
Differential analysis raises red flags over @lottiefiles/lottie-player
https://www.reversinglabs.com/blog/differential-analysis-raises-red-flags-over-lottiefiles/lottie-player
Report completeness: Low
Threats:
Supply_chain_technique
Typosquatting_technique
Industry:
E-commerce
ChatGPT TTPs:
T1071.003, T1557
IOCs:
File: 2
Hash: 3
Soft:
VSCode, NuGet, Windows certificate, Telegram
Crypto:
bitcoin
Links:
21-11-2024
Differential analysis raises red flags over @lottiefiles/lottie-player
https://www.reversinglabs.com/blog/differential-analysis-raises-red-flags-over-lottiefiles/lottie-player
Report completeness: Low
Threats:
Supply_chain_technique
Typosquatting_technique
Industry:
E-commerce
ChatGPT TTPs:
do not use without manual checkT1071.003, T1557
IOCs:
File: 2
Hash: 3
Soft:
VSCode, NuGet, Windows certificate, Telegram
Crypto:
bitcoin
Links:
https://github.com/LottieFiles/lottie-player/issues/254ReversingLabs
Differential analysis raises red flags over @lottiefiles/lottie-player
Three versions of the popular package were infected and used to spread malicious code that was stealing crypto wallet assets.
CTT Report Hub
#ParsedReport #CompletenessLow 21-11-2024 Differential analysis raises red flags over @lottiefiles/lottie-player https://www.reversinglabs.com/blog/differential-analysis-raises-red-flags-over-lottiefiles/lottie-player Report completeness: Low Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея:.
В тексте рассказывается о том, как исследовательская группа ReversingLabs отслеживает общедоступные хранилища на предмет потенциального вредоносного ПО, которое может привести к атакам на цепочки поставок. В нем освещаются недавние инциденты, когда законные пакеты были скомпрометированы с целью использования вредоносных программ, подчеркивается важность обнаружения и предотвращения атак на цепочки поставок, а также даются рекомендации по безопасной разработке и бдительности в отношении злоумышленников.
-----
Исследовательская группа ReversingLabs проводит мониторинг общедоступных репозиториев, таких как npm, PyPI, VSCode Marketplace, RubyGems и NuGet, на предмет выявления потенциальных вредоносных программ, которые могут привести к атакам на цепочки поставок. Вредоносные пакеты часто публикуются новыми учетными записями, которые иногда маскируются, чтобы казаться заслуживающими доверия, имитируя популярные пакеты или выпуская безобидные версии перед внедрением вредоносных программ. Команда наблюдала случаи, когда старые вредоносные кампании появлялись с новыми пакетами.
В ходе недавних инцидентов законные пакеты, такие как ua-parser-js и @ledgerhq/connect-kit на npm, были скомпрометированы для использования вредоносного ПО и кражи активов крипто-кошелька. Другой случай был связан с популярным пакетом @lottiefiles/lottie-player, который имел три версии (2.0.5, 2.0.6, 2.0.7), зараженным вредоносным кодом, нацеленным на активы криптокошелька. Скомпрометированные версии были быстро удалены из npm, и были опубликованы чистые версии.
Злоумышленники изменили пакет @lottiefiles/lottie-player, заменив код в файле lottie-player.js вредоносным кодом. Анализ различий между последней версией, не содержащей вредоносных программ (2.0.4), и вредоносной версией (2.0.7) выявил изменения, в том числе различия в размере файла, отсутствие обычных действий и введение новых действий, связанных с сервисами обмена биткойнов. Были запущены политики поиска угроз, направленные на обнаружение атак в цепочке поставок программного обеспечения, что подчеркивает важность мониторинга подозрительного поведения.
Атаки на цепочки поставок, подобные атаке на @lottiefiles/lottie-player, выявляют риски, связанные с вредоносными пакетами, даже в установленных базах кода. Методы безопасной разработки, такие как привязка зависимостей к заведомо исправным версиям, могут снизить эти риски. Регулярные оценки безопасности имеют решающее значение для проверки целостности библиотек с открытым исходным кодом и обеспечения бесперебойности процесса сборки, чтобы предотвратить включение вредоносных зависимостей.
Разработчикам необходимо сохранять бдительность в отношении меняющихся тактик, используемых злоумышленниками, и проводить тщательную оценку безопасности для защиты от атак на цепочки поставок и внедрения вредоносного кода. Регулярные обновления зависимостей и тщательный мониторинг общедоступных репозиториев необходимы для снижения рисков и поддержания безопасности процессов разработки программного обеспечения.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея:.
В тексте рассказывается о том, как исследовательская группа ReversingLabs отслеживает общедоступные хранилища на предмет потенциального вредоносного ПО, которое может привести к атакам на цепочки поставок. В нем освещаются недавние инциденты, когда законные пакеты были скомпрометированы с целью использования вредоносных программ, подчеркивается важность обнаружения и предотвращения атак на цепочки поставок, а также даются рекомендации по безопасной разработке и бдительности в отношении злоумышленников.
-----
Исследовательская группа ReversingLabs проводит мониторинг общедоступных репозиториев, таких как npm, PyPI, VSCode Marketplace, RubyGems и NuGet, на предмет выявления потенциальных вредоносных программ, которые могут привести к атакам на цепочки поставок. Вредоносные пакеты часто публикуются новыми учетными записями, которые иногда маскируются, чтобы казаться заслуживающими доверия, имитируя популярные пакеты или выпуская безобидные версии перед внедрением вредоносных программ. Команда наблюдала случаи, когда старые вредоносные кампании появлялись с новыми пакетами.
В ходе недавних инцидентов законные пакеты, такие как ua-parser-js и @ledgerhq/connect-kit на npm, были скомпрометированы для использования вредоносного ПО и кражи активов крипто-кошелька. Другой случай был связан с популярным пакетом @lottiefiles/lottie-player, который имел три версии (2.0.5, 2.0.6, 2.0.7), зараженным вредоносным кодом, нацеленным на активы криптокошелька. Скомпрометированные версии были быстро удалены из npm, и были опубликованы чистые версии.
Злоумышленники изменили пакет @lottiefiles/lottie-player, заменив код в файле lottie-player.js вредоносным кодом. Анализ различий между последней версией, не содержащей вредоносных программ (2.0.4), и вредоносной версией (2.0.7) выявил изменения, в том числе различия в размере файла, отсутствие обычных действий и введение новых действий, связанных с сервисами обмена биткойнов. Были запущены политики поиска угроз, направленные на обнаружение атак в цепочке поставок программного обеспечения, что подчеркивает важность мониторинга подозрительного поведения.
Атаки на цепочки поставок, подобные атаке на @lottiefiles/lottie-player, выявляют риски, связанные с вредоносными пакетами, даже в установленных базах кода. Методы безопасной разработки, такие как привязка зависимостей к заведомо исправным версиям, могут снизить эти риски. Регулярные оценки безопасности имеют решающее значение для проверки целостности библиотек с открытым исходным кодом и обеспечения бесперебойности процесса сборки, чтобы предотвратить включение вредоносных зависимостей.
Разработчикам необходимо сохранять бдительность в отношении меняющихся тактик, используемых злоумышленниками, и проводить тщательную оценку безопасности для защиты от атак на цепочки поставок и внедрения вредоносного кода. Регулярные обновления зависимостей и тщательный мониторинг общедоступных репозиториев необходимы для снижения рисков и поддержания безопасности процессов разработки программного обеспечения.
#ParsedReport #CompletenessLow
22-11-2024
NodeStealer s Evolution: A Growing Threat to Facebook Accounts and Beyond
https://socradar.io/nodestealer-threat-to-facebook-accounts-and-beyond
Report completeness: Low
Threats:
Nodestealer
Victims:
Facebook ads manager accounts, Individual users and organizations
Industry:
E-commerce, Petroleum
Geo:
Vietnamese
ChatGPT TTPs:
T1176, T1539
IOCs:
Hash: 19
Soft:
Google Chrome, Bitwarden, Telegram
Algorithms:
md5, sha1, sha256
Languages:
javascript, python
Links:
22-11-2024
NodeStealer s Evolution: A Growing Threat to Facebook Accounts and Beyond
https://socradar.io/nodestealer-threat-to-facebook-accounts-and-beyond
Report completeness: Low
Threats:
Nodestealer
Victims:
Facebook ads manager accounts, Individual users and organizations
Industry:
E-commerce, Petroleum
Geo:
Vietnamese
ChatGPT TTPs:
do not use without manual checkT1176, T1539
IOCs:
Hash: 19
Soft:
Google Chrome, Bitwarden, Telegram
Algorithms:
md5, sha1, sha256
Languages:
javascript, python
Links:
https://github.com/netskopeoss/NetskopeThreatLabsIOCs/blob/main/Malware/Python%20Nodestealer/IOCs/2024-11-19/README.mdSOCRadar® Cyber Intelligence Inc.
NodeStealer’s Evolution: A Growing Threat to Facebook Accounts and Beyond - SOCRadar® Cyber Intelligence Inc.
NodeStealer, a Python-based infostealer, has resurfaced in a more dangerous form, raising the stakes for global cybersecurity teams. This malware, first
CTT Report Hub
#ParsedReport #CompletenessLow 22-11-2024 NodeStealer s Evolution: A Growing Threat to Facebook Accounts and Beyond https://socradar.io/nodestealer-threat-to-facebook-accounts-and-beyond Report completeness: Low Threats: Nodestealer Victims: Facebook…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что NodeStealer, инфокрад на базе Python, эволюционировал с расширенными возможностями, создавая значительную угрозу кибербезопасности. Оно нацелено на аккаунты Facebook Ads Manager, информацию о кредитных картах и сохраненные в браузере данные, демонстрируя повышенную изощренность и адаптивность. Вредоносное ПО, созданное вьетнамскими хакерами, использует легальные инструменты и платформы, чтобы избежать обнаружения. Организациям рекомендуется принимать упреждающие меры для эффективной борьбы с такими угрозами, как NodeStealer, и другими развивающимися киберугрозами.
-----
NodeStealer, инфокрад на базе Python, обновился с расширенными возможностями, ориентируясь на аккаунты Facebook Ads Manager, информацию о кредитных картах и данные, хранящиеся в браузере, такие как учетные данные и файлы cookie.
Последняя версия NodeStealer, появившаяся в ноябре 2024 года, демонстрирует усовершенствования, в том числе нацеливание финансовых данных на вредоносные рекламные кампании и использование диспетчера перезапуска Windows для эффективной кражи данных.
Кампании NodeStealer включают в себя верифицированные аккаунты Facebook, распространяющие вредоносную рекламу поддельного расширения Google Chrome, что приводит к компрометации личных данных и финансовым потерям.
Последние версии NodeStealer связаны с вьетнамскими хакерами, которые фильтруют данные через Telegram, чтобы избежать обнаружения и повысить эффективность.
Для борьбы с такими угрозами, как NodeStealer, организации могут применять упреждающие меры, такие как обучение сотрудников распознаванию фишинга, проведение симуляций и использование таких инструментов, как "Темный веб-мониторинг" от SOCRadar, для раннего обнаружения угроз и защиты бренда.
Развивающаяся тактика NodeStealer подчеркивает важность постоянного информирования, внедрения надежных мер безопасности и упреждающего мониторинга для эффективной защиты от подобных киберугроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что NodeStealer, инфокрад на базе Python, эволюционировал с расширенными возможностями, создавая значительную угрозу кибербезопасности. Оно нацелено на аккаунты Facebook Ads Manager, информацию о кредитных картах и сохраненные в браузере данные, демонстрируя повышенную изощренность и адаптивность. Вредоносное ПО, созданное вьетнамскими хакерами, использует легальные инструменты и платформы, чтобы избежать обнаружения. Организациям рекомендуется принимать упреждающие меры для эффективной борьбы с такими угрозами, как NodeStealer, и другими развивающимися киберугрозами.
-----
NodeStealer, инфокрад на базе Python, обновился с расширенными возможностями, ориентируясь на аккаунты Facebook Ads Manager, информацию о кредитных картах и данные, хранящиеся в браузере, такие как учетные данные и файлы cookie.
Последняя версия NodeStealer, появившаяся в ноябре 2024 года, демонстрирует усовершенствования, в том числе нацеливание финансовых данных на вредоносные рекламные кампании и использование диспетчера перезапуска Windows для эффективной кражи данных.
Кампании NodeStealer включают в себя верифицированные аккаунты Facebook, распространяющие вредоносную рекламу поддельного расширения Google Chrome, что приводит к компрометации личных данных и финансовым потерям.
Последние версии NodeStealer связаны с вьетнамскими хакерами, которые фильтруют данные через Telegram, чтобы избежать обнаружения и повысить эффективность.
Для борьбы с такими угрозами, как NodeStealer, организации могут применять упреждающие меры, такие как обучение сотрудников распознаванию фишинга, проведение симуляций и использование таких инструментов, как "Темный веб-мониторинг" от SOCRadar, для раннего обнаружения угроз и защиты бренда.
Развивающаяся тактика NodeStealer подчеркивает важность постоянного информирования, внедрения надежных мер безопасности и упреждающего мониторинга для эффективной защиты от подобных киберугроз.
#ParsedReport #CompletenessMedium
21-11-2024
Lumma Stealer on the Rise: How Telegram Channels Are Fueling Malware Proliferation
https://www.mcafee.com/blogs/other-blogs/mcafee-labs/lumma-stealer-on-the-rise-how-telegram-channels-are-fueling-malware-proliferation
Report completeness: Medium
Threats:
Lumma_stealer
Process_injection_technique
Geo:
India, Usa
ChatGPT TTPs:
T1204.002, T1036.005, T1055.001, T1027, T1071.001, T1140, T1057
IOCs:
Url: 11
File: 6
Hash: 24
Soft:
Telegram, steam, Photoshop, Valorant, Microsoft Office, TradingView
Algorithms:
base64
Functions:
Second
Win API:
LoadLibraryExW, WinHttpOpenRequest
21-11-2024
Lumma Stealer on the Rise: How Telegram Channels Are Fueling Malware Proliferation
https://www.mcafee.com/blogs/other-blogs/mcafee-labs/lumma-stealer-on-the-rise-how-telegram-channels-are-fueling-malware-proliferation
Report completeness: Medium
Threats:
Lumma_stealer
Process_injection_technique
Geo:
India, Usa
ChatGPT TTPs:
do not use without manual checkT1204.002, T1036.005, T1055.001, T1027, T1071.001, T1140, T1057
IOCs:
Url: 11
File: 6
Hash: 24
Soft:
Telegram, steam, Photoshop, Valorant, Microsoft Office, TradingView
Algorithms:
base64
Functions:
Second
Win API:
LoadLibraryExW, WinHttpOpenRequest
McAfee Blog
Lumma Stealer on the Rise: How Telegram Channels Are Fueling Malware Proliferation | McAfee Blog
Authored by: M. Authored by: M, Mohanasundaram and Neil Tyagi In today’s rapidly evolving cyber landscape, malware threats continue to adapt, employing
CTT Report Hub
#ParsedReport #CompletenessMedium 21-11-2024 Lumma Stealer on the Rise: How Telegram Channels Are Fueling Malware Proliferation https://www.mcafee.com/blogs/other-blogs/mcafee-labs/lumma-stealer-on-the-rise-how-telegram-channels-are-fueling-malware-proliferation…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Lumma Stealer - это новая угроза, использующая Telegram-каналы для распространения вредоносного ПО, нацеленного на пользователей в Индии, США и Европе. McAfee предлагает передовые решения в области безопасности для обнаружения и устранения этой угрозы, используя аналитику угроз, поведенческий анализ и мониторинг в режиме реального времени. Вредоносное ПО использует различные тактики для кражи конфиденциальной информации и нарушения конфиденциальности пользователей, что подчеркивает адаптивность киберугроз. Для пользователей крайне важно поддерживать комплексную антивирусную защиту и сохранять бдительность для защиты личных данных и конфиденциальности в условиях растущих киберугроз.
-----
Lumma Stealer - это мощная вредоносная программа для кражи информации, которая недавно была идентифицирована как новая угроза, использующая для распространения популярные платформы, такие как Telegram-каналы. Передовые решения McAfee в области безопасности позволяют обнаруживать и устранять такие угрозы, как Lumma Stealer, с помощью передовой аналитики угроз, поведенческого анализа и мониторинга в режиме реального времени. Вредоносное ПО маскируется под программы для взлома Telegram-каналов с большим количеством подписчиков, таких как "hitbase" и "sharmamod". McAfee обнаруживает эти поддельные программы для взлома как "Trojan:Win/Lummastealer".SD", а данные телеметрии показывают, что Индия больше всего пострадала от этой угрозы, за ней следуют США и Европа.
Злоумышленник Lumma Stealer использует различные тактики, методы и процедуры (TTP) для кражи конфиденциальной информации и нарушения конфиденциальности пользователей. Он сохраняет расшифрованные данные в переменной с именем "uiOAshyuxgYUA" и выполняет вызовы API для внедрения процессов, ориентируясь на такие программы, как RegAsm.exe for injection. Вредоносная программа записывает полезную информацию в папку AppData\Roaming в виде .NET-файлов с именами "XTb9DOBjB3.exe" (Lumma_stealer) и "bTkEBBlC4H.exe" (clipper). Он извлекает имя учетной записи Steam, изначально затемняет его и расшифровывает, чтобы выявить домен C2 для установления соединения с сервером злоумышленника.
После установления соединения с сервером C2 программа Lumma Stealer извлекает данные конфигурации в формате, закодированном в Base64, декодирует их в двоичный формат и передает через процедуру дешифрования для восстановления открытого текста. Вредоносная программа также собирает системную информацию и отправляет ее на сервер C2. Она устанавливает атрибуты для файлов, чтобы защитить себя, например, удаляет статус скрытого и устанавливает себя в качестве системного файла.
Распространение Lumma Stealer по каналам Telegram подчеркивает адаптивность киберугроз и легкость, с которой хакеры могут использовать популярные платформы для распространения вредоносного кода. Усовершенствованные механизмы обнаружения угроз и проактивной защиты McAfee обеспечивают пользователям жизненно важную защиту от возникающих угроз благодаря мониторингу в режиме реального времени, поведенческому анализу и непрерывным обновлениям для противодействия новым TTP. В быстро меняющемся киберпространстве для пользователей крайне важно обеспечить комплексную антивирусную защиту для защиты личных данных, финансовой информации и конфиденциальности. Сохранение бдительности и наличие надлежащих решений для обеспечения безопасности гарантирует, что пользователи будут готовы эффективно противостоять новейшим угрозам.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Lumma Stealer - это новая угроза, использующая Telegram-каналы для распространения вредоносного ПО, нацеленного на пользователей в Индии, США и Европе. McAfee предлагает передовые решения в области безопасности для обнаружения и устранения этой угрозы, используя аналитику угроз, поведенческий анализ и мониторинг в режиме реального времени. Вредоносное ПО использует различные тактики для кражи конфиденциальной информации и нарушения конфиденциальности пользователей, что подчеркивает адаптивность киберугроз. Для пользователей крайне важно поддерживать комплексную антивирусную защиту и сохранять бдительность для защиты личных данных и конфиденциальности в условиях растущих киберугроз.
-----
Lumma Stealer - это мощная вредоносная программа для кражи информации, которая недавно была идентифицирована как новая угроза, использующая для распространения популярные платформы, такие как Telegram-каналы. Передовые решения McAfee в области безопасности позволяют обнаруживать и устранять такие угрозы, как Lumma Stealer, с помощью передовой аналитики угроз, поведенческого анализа и мониторинга в режиме реального времени. Вредоносное ПО маскируется под программы для взлома Telegram-каналов с большим количеством подписчиков, таких как "hitbase" и "sharmamod". McAfee обнаруживает эти поддельные программы для взлома как "Trojan:Win/Lummastealer".SD", а данные телеметрии показывают, что Индия больше всего пострадала от этой угрозы, за ней следуют США и Европа.
Злоумышленник Lumma Stealer использует различные тактики, методы и процедуры (TTP) для кражи конфиденциальной информации и нарушения конфиденциальности пользователей. Он сохраняет расшифрованные данные в переменной с именем "uiOAshyuxgYUA" и выполняет вызовы API для внедрения процессов, ориентируясь на такие программы, как RegAsm.exe for injection. Вредоносная программа записывает полезную информацию в папку AppData\Roaming в виде .NET-файлов с именами "XTb9DOBjB3.exe" (Lumma_stealer) и "bTkEBBlC4H.exe" (clipper). Он извлекает имя учетной записи Steam, изначально затемняет его и расшифровывает, чтобы выявить домен C2 для установления соединения с сервером злоумышленника.
После установления соединения с сервером C2 программа Lumma Stealer извлекает данные конфигурации в формате, закодированном в Base64, декодирует их в двоичный формат и передает через процедуру дешифрования для восстановления открытого текста. Вредоносная программа также собирает системную информацию и отправляет ее на сервер C2. Она устанавливает атрибуты для файлов, чтобы защитить себя, например, удаляет статус скрытого и устанавливает себя в качестве системного файла.
Распространение Lumma Stealer по каналам Telegram подчеркивает адаптивность киберугроз и легкость, с которой хакеры могут использовать популярные платформы для распространения вредоносного кода. Усовершенствованные механизмы обнаружения угроз и проактивной защиты McAfee обеспечивают пользователям жизненно важную защиту от возникающих угроз благодаря мониторингу в режиме реального времени, поведенческому анализу и непрерывным обновлениям для противодействия новым TTP. В быстро меняющемся киберпространстве для пользователей крайне важно обеспечить комплексную антивирусную защиту для защиты личных данных, финансовой информации и конфиденциальности. Сохранение бдительности и наличие надлежащих решений для обеспечения безопасности гарантирует, что пользователи будут готовы эффективно противостоять новейшим угрозам.
#ParsedReport #CompletenessLow
22-11-2024
"Not what the doctor ordered": Silent Push maps out illegal pharmacy infrastructure. 2,500+ active IOFA domains and dedicated IPs discovered, primarily served via US-based hosts.
https://www.silentpush.com/blog/illegal-pharmacies
Report completeness: Low
Threats:
Blackseo_technique
Industry:
Healthcare
Geo:
Russian
IOCs:
Domain: 20
IP: 9
Email: 1
22-11-2024
"Not what the doctor ordered": Silent Push maps out illegal pharmacy infrastructure. 2,500+ active IOFA domains and dedicated IPs discovered, primarily served via US-based hosts.
https://www.silentpush.com/blog/illegal-pharmacies
Report completeness: Low
Threats:
Blackseo_technique
Industry:
Healthcare
Geo:
Russian
IOCs:
Domain: 20
IP: 9
Email: 1
Silent Push
"Not what the doctor ordered": Silent Push maps out illegal pharmacy infrastructure. 2,500+ active IOFA domains and dedicated IPs…
#
#ParsedReport #CompletenessHigh
22-11-2024
HEXON STEALER: THE LONG JOURNEY OF COPYING, HIDING, AND REBRANDING
https://www.cyfirma.com/research/hexon-stealer-the-long-journey-of-copying-hiding-and-rebranding
Report completeness: High
Threats:
Hexon
Stealit
Jsconfuser_tool
Jsobfuscator_tool
Dll_sideloading_technique
Process_injection_technique
Credential_dumping_technique
Industry:
Entertainment
Geo:
Turkish
TTPs:
Tactics: 8
Technics: 15
IOCs:
Hash: 3
Domain: 3
IP: 5
File: 3
Soft:
Telegram, Discord, NSIS installer, Chromium, Node.js
Wallets:
coinbase, exodus_wallet
Algorithms:
sha256, md5, zip
Languages:
javascript
Platforms:
cross-platform
22-11-2024
HEXON STEALER: THE LONG JOURNEY OF COPYING, HIDING, AND REBRANDING
https://www.cyfirma.com/research/hexon-stealer-the-long-journey-of-copying-hiding-and-rebranding
Report completeness: High
Threats:
Hexon
Stealit
Jsconfuser_tool
Jsobfuscator_tool
Dll_sideloading_technique
Process_injection_technique
Credential_dumping_technique
Industry:
Entertainment
Geo:
Turkish
TTPs:
Tactics: 8
Technics: 15
IOCs:
Hash: 3
Domain: 3
IP: 5
File: 3
Soft:
Telegram, Discord, NSIS installer, Chromium, Node.js
Wallets:
coinbase, exodus_wallet
Algorithms:
sha256, md5, zip
Languages:
javascript
Platforms:
cross-platform
CYFIRMA
HEXON STEALER: THE LONG JOURNEY OF COPYING, HIDING, AND REBRANDING - CYFIRMA
EXECUTIVE SUMMARY At CYFIRMA, we are committed to offering up-to-date insights into prevalent threats and tactics employed by malicious actors,...
CTT Report Hub
#ParsedReport #CompletenessHigh 22-11-2024 HEXON STEALER: THE LONG JOURNEY OF COPYING, HIDING, AND REBRANDING https://www.cyfirma.com/research/hexon-stealer-the-long-journey-of-copying-hiding-and-rebranding Report completeness: High Threats: Hexon Stealit…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в анализе и характеристиках вредоносного программного обеспечения, известного как Hexon Stealer, включая его возможности, методы распространения, профиль разработчика, используемые каналы связи, историю ребрендинга и текущие проблемы, связанные с развитием киберугроз.
-----
В отчете CYFIRMA представлен анализ Hexon Stealer, вредоносного программного обеспечения, способного извлекать конфиденциальную информацию из браузеров, включая учетные данные, данные автозаполнения и данные криптовалютного кошелька. Разработчик вредоносного ПО использует различные каналы для продвижения Hexon Stealer, предлагая пользователям панель входа для удаленного управления скомпрометированными системами.
Появление Telegram-канала под названием "Hexon Stealer" показало, что вредоносная программа может извлекать широкий спектр данных, таких как токены Discord, резервные коды 2FA, информацию о кредитных картах и многое другое. Это предоставляет злоумышленникам полный удаленный доступ к скомпрометированным системам, позволяя им отслеживать экраны, управлять входными данными, выполнять команды и даже участвовать в переговорах о выкупе. Использование платформы Coinbase для криптовалютных платежей затрудняет отслеживание транзакций с требованием выкупа.
В отчете подробно описывается переход оригинального Telegram-канала Hexon Stealer на новый, который называется Hexon Grabber. Программа Hexon Stealer основана на формате установщика NSIS и в основном предназначена для кражи файлов cookie браузера, учетных данных и крипто-кошельков. Он известен как ребрендированная версия Stealit Stealer, исходный код которой был опубликован для публичного анализа на GitHub после того, как был удален исследователями безопасности.
Hexon Stealer использует платформу Electron для создания интерфейса своего настольного приложения, который позволяет разработчикам создавать кроссплатформенные настольные приложения с использованием веб-технологий, таких как HTML, CSS и JavaScript. Вредоносная программа использует NSIS для упаковки и распространения своей вредоносной полезной нагрузки.
Возможности вредоносного ПО включают внедрение Discord для извлечения конфиденциальной информации, компрометацию игровых аккаунтов, кражу криптовалютных кошельков и реализацию аутентификации по HWID для ограниченного доступа. Hexon Stealer удаляет дополнительный исполняемый файл с именем saa.exe, который основан на платформе electron. Он может использовать методы манипулирования поведением системы или уклонения от обнаружения средствами безопасности, например, запутывать свой код с помощью таких инструментов, как JSConfuser, чтобы усложнить анализ.
В отчете подчеркивается, что разработчик Hexon Stealer, скорее всего, турецкий, и есть средняя степень уверенности в том, что группа, стоящая за этим, является ребрендингом Stealit Stealer group. Каналы коммуникации, используемые для продвижения вредоносного ПО, такие как Telegram и Signal, указывают на растущую тенденцию к тому, что неквалифицированные киберпреступники собирают и продвигают старые коды для кражи данных под новыми именами. В частности, все большее распространение получают хакеры Discord, которые нацелены на конфиденциальные данные, такие как учетные данные и игровые аккаунты.
В результате изучения доменов, каналов связи и анализа кода в отчете делается вывод о том, что Hexon Stealer, вероятно, имеет общее происхождение с предыдущими вариантами вредоносного ПО, такими как Stealit Stealer и Less Stealer, что указывает на турецкого разработчика или группу, стоящую за его созданием. Ребрендинг и эволюция этих вредоносных инструментов подчеркивают сохраняющиеся проблемы, связанные с киберугрозами, и необходимость принятия надежных мер кибербезопасности для противодействия им.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в анализе и характеристиках вредоносного программного обеспечения, известного как Hexon Stealer, включая его возможности, методы распространения, профиль разработчика, используемые каналы связи, историю ребрендинга и текущие проблемы, связанные с развитием киберугроз.
-----
В отчете CYFIRMA представлен анализ Hexon Stealer, вредоносного программного обеспечения, способного извлекать конфиденциальную информацию из браузеров, включая учетные данные, данные автозаполнения и данные криптовалютного кошелька. Разработчик вредоносного ПО использует различные каналы для продвижения Hexon Stealer, предлагая пользователям панель входа для удаленного управления скомпрометированными системами.
Появление Telegram-канала под названием "Hexon Stealer" показало, что вредоносная программа может извлекать широкий спектр данных, таких как токены Discord, резервные коды 2FA, информацию о кредитных картах и многое другое. Это предоставляет злоумышленникам полный удаленный доступ к скомпрометированным системам, позволяя им отслеживать экраны, управлять входными данными, выполнять команды и даже участвовать в переговорах о выкупе. Использование платформы Coinbase для криптовалютных платежей затрудняет отслеживание транзакций с требованием выкупа.
В отчете подробно описывается переход оригинального Telegram-канала Hexon Stealer на новый, который называется Hexon Grabber. Программа Hexon Stealer основана на формате установщика NSIS и в основном предназначена для кражи файлов cookie браузера, учетных данных и крипто-кошельков. Он известен как ребрендированная версия Stealit Stealer, исходный код которой был опубликован для публичного анализа на GitHub после того, как был удален исследователями безопасности.
Hexon Stealer использует платформу Electron для создания интерфейса своего настольного приложения, который позволяет разработчикам создавать кроссплатформенные настольные приложения с использованием веб-технологий, таких как HTML, CSS и JavaScript. Вредоносная программа использует NSIS для упаковки и распространения своей вредоносной полезной нагрузки.
Возможности вредоносного ПО включают внедрение Discord для извлечения конфиденциальной информации, компрометацию игровых аккаунтов, кражу криптовалютных кошельков и реализацию аутентификации по HWID для ограниченного доступа. Hexon Stealer удаляет дополнительный исполняемый файл с именем saa.exe, который основан на платформе electron. Он может использовать методы манипулирования поведением системы или уклонения от обнаружения средствами безопасности, например, запутывать свой код с помощью таких инструментов, как JSConfuser, чтобы усложнить анализ.
В отчете подчеркивается, что разработчик Hexon Stealer, скорее всего, турецкий, и есть средняя степень уверенности в том, что группа, стоящая за этим, является ребрендингом Stealit Stealer group. Каналы коммуникации, используемые для продвижения вредоносного ПО, такие как Telegram и Signal, указывают на растущую тенденцию к тому, что неквалифицированные киберпреступники собирают и продвигают старые коды для кражи данных под новыми именами. В частности, все большее распространение получают хакеры Discord, которые нацелены на конфиденциальные данные, такие как учетные данные и игровые аккаунты.
В результате изучения доменов, каналов связи и анализа кода в отчете делается вывод о том, что Hexon Stealer, вероятно, имеет общее происхождение с предыдущими вариантами вредоносного ПО, такими как Stealit Stealer и Less Stealer, что указывает на турецкого разработчика или группу, стоящую за его созданием. Ребрендинг и эволюция этих вредоносных инструментов подчеркивают сохраняющиеся проблемы, связанные с киберугрозами, и необходимость принятия надежных мер кибербезопасности для противодействия им.
#ParsedReport #CompletenessLow
22-11-2024
APT-K-47 Threat Disclosure: The Past and Present of Asyncshell
https://paper.seebug.org/3240
Report completeness: Low
Actors/Campaigns:
Mysterious_elephant
Sidewinder
Apt59
Threats:
Asyncshell
Confuserex_tool
Orpcbackdoor
Walkershell
Msmqspy
Lastopenspy
Geo:
Turkey, Bangladesh, Asia, Pakistan
CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- rarlab winrar (<6.23)
ChatGPT TTPs:
T1036.005, T1059.003, T1071.001, T1140, T1204.002
IOCs:
File: 6
Email: 1
Hash: 3
Algorithms:
base64, aes, zip
Languages:
powershell
22-11-2024
APT-K-47 Threat Disclosure: The Past and Present of Asyncshell
https://paper.seebug.org/3240
Report completeness: Low
Actors/Campaigns:
Mysterious_elephant
Sidewinder
Apt59
Threats:
Asyncshell
Confuserex_tool
Orpcbackdoor
Walkershell
Msmqspy
Lastopenspy
Geo:
Turkey, Bangladesh, Asia, Pakistan
CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- rarlab winrar (<6.23)
ChatGPT TTPs:
do not use without manual checkT1036.005, T1059.003, T1071.001, T1140, T1204.002
IOCs:
File: 6
Email: 1
Hash: 3
Algorithms:
base64, aes, zip
Languages:
powershell
Vulners Database
CVE-2023-38831 - vulnerability database | Vulners.com
RARLAB WinRAR before 6.23 allows attackers to execute arbitrary code when a user attempts to view a benign file within a ZIP archive. The issue occurs because a ZIP archive may include a benign file (such as an ordinary .JPG file) and also a folder ...
CTT Report Hub
#ParsedReport #CompletenessLow 22-11-2024 APT-K-47 Threat Disclosure: The Past and Present of Asyncshell https://paper.seebug.org/3240 Report completeness: Low Actors/Campaigns: Mysterious_elephant Sidewinder Apt59 Threats: Asyncshell Confuserex_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении и анализе кампании атак, проведенной группой APT-K-47, с особым упором на использование ими варианта вредоносного ПО Asynshell и эволюцию их тактики и методов с течением времени. В тексте обсуждается использование группой замаскированных запросов на обслуживание для связи C2, разработка различных версий Asynshell, происхождение и история группы, а также стратегические изменения в методологии атак. В конечном счете, в тексте освещаются усилия команды Knowsec 404 Advanced Threat Intelligence по отслеживанию и анализу вредоносных инструментов и действий APT-K-47.
-----
Команда Knowsec 404 Advanced Threat Intelligence обнаружила кампанию атак APT-K-47, связанную с "Hajj", которая использовала файл CHM для выполнения вредоносной полезной нагрузки в том же каталоге.
Команда обнаружила обновленный образец, Asynshell-v4, который использует алгоритм base64 variant для обфускации строк, маскируется под обычный запрос сетевой службы для связи C2 и не содержит обширной информации журнала.
APT-K-47, известная под псевдонимом "Таинственный слон", возможно, родом из Южной Азии, имеет историю нападений, начиная с 2022 года, и имеет сходство с такими группами APT, как Sidewinder, Confucius и Bitter из этого региона.
Policy_Formulation_Committee.exe расшифровывает адрес, замаскированный под обычный запрос сетевой службы, для установления соединения с сервером C2 для выполнения командной строки, помогая динамически изменять адреса соединений для длительного контроля над хостами-жертвами.
С момента своего открытия Asyncshell эволюционировал до четырех версий, демонстрируя совершенствование методологии атаки и структуры полезной нагрузки, при этом группа успешно перешла от фиксированных подходов к передаче данных C2 к переменным.
Команда Knowsec 404 отслеживает арсенал вредоносных программ APT-K-47, включая такие инструменты, как ORPCBackdoor, walkershell, Asyncshell, MSMQSPY и LastopenSpy, чтобы получить представление о деятельности и методологиях группы.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении и анализе кампании атак, проведенной группой APT-K-47, с особым упором на использование ими варианта вредоносного ПО Asynshell и эволюцию их тактики и методов с течением времени. В тексте обсуждается использование группой замаскированных запросов на обслуживание для связи C2, разработка различных версий Asynshell, происхождение и история группы, а также стратегические изменения в методологии атак. В конечном счете, в тексте освещаются усилия команды Knowsec 404 Advanced Threat Intelligence по отслеживанию и анализу вредоносных инструментов и действий APT-K-47.
-----
Команда Knowsec 404 Advanced Threat Intelligence обнаружила кампанию атак APT-K-47, связанную с "Hajj", которая использовала файл CHM для выполнения вредоносной полезной нагрузки в том же каталоге.
Команда обнаружила обновленный образец, Asynshell-v4, который использует алгоритм base64 variant для обфускации строк, маскируется под обычный запрос сетевой службы для связи C2 и не содержит обширной информации журнала.
APT-K-47, известная под псевдонимом "Таинственный слон", возможно, родом из Южной Азии, имеет историю нападений, начиная с 2022 года, и имеет сходство с такими группами APT, как Sidewinder, Confucius и Bitter из этого региона.
Policy_Formulation_Committee.exe расшифровывает адрес, замаскированный под обычный запрос сетевой службы, для установления соединения с сервером C2 для выполнения командной строки, помогая динамически изменять адреса соединений для длительного контроля над хостами-жертвами.
С момента своего открытия Asyncshell эволюционировал до четырех версий, демонстрируя совершенствование методологии атаки и структуры полезной нагрузки, при этом группа успешно перешла от фиксированных подходов к передаче данных C2 к переменным.
Команда Knowsec 404 отслеживает арсенал вредоносных программ APT-K-47, включая такие инструменты, как ORPCBackdoor, walkershell, Asyncshell, MSMQSPY и LastopenSpy, чтобы получить представление о деятельности и методологиях группы.