#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В тексте рассказывается о хакере, известном как "EC2 Grouper", и его уникальном подходе к компрометации личных данных в облачных средах. Ключевые моменты включают в себя то, что злоумышленники полагаются на инструменты AWS, такие как PowerShell, их модель использования определенных пользовательских агентов и соглашений об именовании групп безопасности, а также их методологию нацеливания на среды AWS с помощью атак на основе API для удаленного доступа и горизонтального перемещения. Кроме того, в тексте подчеркивается общая уязвимость открытых ключей доступа к облаку и необходимость в усовершенствованных механизмах обнаружения угроз, таких как Lacework FortiCNAPP, для эффективного противодействия таким сложным угрозам в облаке.
-----

хакер по имени EC2 Grouper известен взломом личных данных в облачных средах.

EC2 Grouper постоянно использует инструменты AWS, особенно PowerShell, для проведения атак.

Идентификаторы включают использование аналогичных пользовательских агентов и соглашений об именовании групп безопасности.

В первую очередь, он ориентирован на среды AWS и использует API CreateSecurityGroup для удаленного доступа и горизонтального перемещения.

Методология атаки EC2 Grouper включает в себя разведку и автоматизированные действия.

Злоумышленник получает скомпрометированные ключи от разработчиков, предоставляющих доступ к ключам облачного доступа.

Распространенная уязвимость, используемая различными хакерами.

Составные оповещения, используемые для обнаружения угроз, сопоставления конкретного использования API и аномалий.

Представляет приложение Lacework FortiCNAPP для обнаружения активности окуня EC2.

Подчеркивает необходимость комплексного подхода к выявлению, выходящего за рамки использования конкретных показателей.

Подчеркивает важность непрерывного мониторинга, интеллектуального анализа угроз и расширенных возможностей обнаружения сложных угроз в облачных средах.

#ParsedReport #CompletenessLow
30-12-2024

High potential for online shopping scams and phishing attacks targeting post-holiday sales.

https://www.cloudsek.com/blog/high-potential-for-online-shopping-scams-and-phishing-attacks-targeting-post-holiday-sales

Report completeness: Low

Industry:
E-commerce, Retail, Financial

ChatGPT TTPs:
do not use without manual check
T1566, T1189, T1078, T1203, T1560

IOCs:
Url: 25
Domain: 29

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что киберпреступники используют все более изощренные тактики, такие как фишинг-атаки, вредоносная реклама и использование украденных данных, для использования отдельных лиц и организаций в целях получения финансовой выгоды. В тексте подчеркивается важность усиления мер безопасности для эффективной борьбы с этими хакерами.
-----

Фишинговые атаки становятся все более изощренными, и киберпреступники выдают себя за руководителей компаний, таких как генеральный директор или менеджер-распорядитель, чтобы обмануть ничего не подозревающих сотрудников в ходе так называемой "аферы с подарочными картами" или "мошенничества с генеральным директором". Злоумышленники рассылают срочные электронные письма с просьбой приобрести подарочные карты для сотрудников, утверждая, что это жест благодарности. Как только сотрудник соглашается и делится кодами, мошенник использует их в личных целях, в результате чего жертва сталкивается с финансовыми потерями. Эта тактика социальной инженерии использует доверие и иерархию внутри организаций, что делает ее эффективной и разрушительной формой эксплуатации.

Вредоносная реклама - это еще один инструмент, используемый мошенниками для продвижения мошеннических веб-сайтов в социальных сетях, поисковых системах и рекламных сетях. Привлекая трафик на эти сайты, мошенники увеличивают свои шансы на обман потребителей.

Мошенники используют украденные журналы stealer, содержащие сессионные файлы cookie с платформ электронной коммерции, а также имена пользователей и пароли, полученные в результате заражения вредоносными программами. Вооружившись этой информацией, мошенники получают несанкционированный доступ к личным кабинетам, что позволяет им размещать мошеннические заказы или получать дополнительные данные, особенно для аккаунтов, связанных с банковскими счетами или способами оплаты. Платформы электронной коммерции должны усовершенствовать свои протоколы безопасности, чтобы эффективно бороться с этой тенденцией.

Во время праздничного сезона мошенники используют ключевые слова, связанные с праздниками, для манипулирования результатами поиска, запуска вредоносной рекламы и проведения фишинговых кампаний. Привлекая клиентов обещаниями уникальных скидок с помощью постов в социальных сетях, рассылки по электронной почте и мошеннических доменов, мошенники пользуются популярностью таких платформ, как социальные сети, используя хэштеги #BlackFridayDeals и #CyberMondaySavings.

В январе почтовые ящики переполнились праздничными открытками. Многие из этих электронных открыток не являются подлинными и могут содержать вредоносное ПО, которое заражает устройства, когда получатели переходят по встроенным ссылкам. Получателям следует проявлять осторожность и проверять подлинность электронных открыток, вводя код подтверждения на соответствующие веб-сайты. Если открытка отсутствует, получатели должны удалить ее и пометить как спам.

#ParsedReport #CompletenessHigh
30-12-2024

Inside FireScam : An Information Stealer with Spyware Capabilities

https://www.cyfirma.com/research/inside-firescam-an-information-stealer-with-spyware-capabilities

Report completeness: High

Threats:
Firescam
Dexguard_tool

Industry:
E-commerce

Geo:
Russian, Russian federation

TTPs:
Tactics: 8
Technics: 22

IOCs:
Url: 4
File: 6
Domain: 1
Hash: 2

Soft:
Android, Telegram, RuStore, WhatsApp, Viber, Google Play

Algorithms:
sha256, md5

Functions:
GetAppsRu

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста - подробный анализ FireScam, сложного вредоносного ПО для Android, замаскированного под поддельное приложение Telegram Premium, которое крадет конфиденциальные данные и использует различные методы уклонения, чтобы избежать обнаружения и отфильтровать данные с помощью базы данных Firebase в реальном времени. В отчете подчеркивается значительная угроза, исходящая от FireScam во всем мире, и даются рекомендации по усилению мер кибербезопасности для борьбы с такими сложными вредоносными программами, нацеленными на мобильные устройства.
-----

FireScam - это сложная вредоносная программа для Android, выдающая себя за поддельное приложение Telegram Premium, распространяемое через фишинговый веб-сайт.

Использует многоэтапные процессы заражения и мероприятия по эпиднадзору для извлечения конфиденциальных данных.

Использует базу данных Firebase в режиме реального времени для фильтрации данных и скрытно отслеживает действия устройств.

Использует методы обфускации, чтобы избежать обнаружения, и злоупотребляет Firebase для связи с командованием и контролем.

Нацелен на Android-устройства, работающие с определенными уровнями API, и злоупотребляет разрешениями для разведки и эксфильтрации данных.

Использует динамические широковещательные приемники для связи и NP Manager для шифрования и уклонения.

Это создает значительную угрозу для пользователей, поскольку приводит к краже данных, отслеживанию действий и сохранению работоспособности скомпрометированных устройств.

Подчеркивает важность надежных мер кибербезопасности, осторожности при загрузке файлов и стратегий проактивной защиты.

Рекомендации включают использование проверенного антивирусного программного обеспечения, регулярное обновление программного обеспечения и осторожность в отношении подозрительных ссылок и контента.

#ParsedReport #CompletenessLow
31-12-2024

Water Makara Campaign: A Sophisticated Spear-Phishing Attack on Brazilian Enterprises

https://socradar.io/water-makara-campaign-a-spear-phishing-attack-on-brazilian-enterprises

Report completeness: Low

Actors/Campaigns:
Water_makara (motivation: cyber_criminal)

Threats:
Spear-phishing_technique
Astaroth

Industry:
Financial, Retail

Geo:
Brazilian

ChatGPT TTPs:
do not use without manual check
T1566, T1059.007, T1003, T1055, T1218, T1170, T1001

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: Кампания Water Makara - это очень сложная фишинговая атака, нацеленная на организации в Бразилии, с использованием вредоносного ПО Astaroth, передовых методов социальной инженерии и многоуровневых стратегий для компрометации систем и кражи конфиденциальных данных, в первую очередь затрагивающая отрасли с ценной информацией, такие как банковское дело, национальная безопасность, розничная торговля и производство.
-----

Кампания Water Makara - это очень сложная фишинговая атака, нацеленная на организации в Бразилии. В ходе операции используется запутанный JavaScript для распространения вредоносного ПО Astaroth, которое незаметно компрометирует системы. Злоумышленники используют передовые методы социальной инженерии, в первую очередь фишинговые электронные письма, чтобы обманом заставить жертву открыть вредоносные ссылки или вложения. После запуска вредоносное ПО захватывает критически важные данные и способствует дальнейшему проникновению, создавая серьезную угрозу для секторов, хранящих ценную информацию, особенно в банковской сфере, сфере национальной безопасности, розничной торговле и производстве.

Использование вредоносной программы Water Makara Astaroth демонстрирует многоуровневую стратегию, направленную на то, чтобы избежать использования обычных методов обнаружения. Вредоносная программа использует доверенные процессы Windows для маскировки своих действий и реализует методы выполнения без использования файлов, чтобы снизить вероятность обнаружения. Попав в систему, Astaroth может постоянно собирать конфиденциальные данные, такие как учетные данные для входа в систему и личную информацию, что служит мощным инструментом для киберпреступников по утечке данных. Кампания в первую очередь затрагивает бразильские отрасли, работающие с конфиденциальной информацией, что может привести к финансовым потерям и сбоям в работе.

#ParsedReport #CompletenessLow
31-12-2024

ClickFix Campaign: Fake Google Meet Alerts Spread Malware Across Windows and macOS

https://socradar.io/clickfix-campaign-fake-google-meet-alerts-malware

Report completeness: Low

Threats:
Clickfix_technique
Lumma_stealer
Darkgate
Spear-phishing_technique

TTPs:
Tactics: 1
Technics: 5

IOCs:
Hash: 3
Domain: 1

Soft:
macOS

Languages:
powershell

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания ClickFix использует социальную инженерию для распространения вредоносного ПО с помощью поддельных сообщений об ошибках Google Meet, создавая серьезную угрозу для систем Windows и macOS, похищая конфиденциальную информацию и уклоняясь от обнаружения с помощью команд PowerShell. Борьба с такими угрозами требует многоуровневого подхода к обеспечению безопасности, осведомленности пользователей и стратегий устранения неполадок, что является примером меняющейся тактики киберпреступников.
-----

Кампания ClickFix использует тактику социальной инженерии для распространения вредоносного ПО в системах Windows и macOS с помощью поддельных сообщений об ошибках Google Meet. Жертв обманом заставляют загружать вредоносные файлы или выполнять команды PowerShell под видом устранения неполадок с подключением. Эта кросс-платформенная кампания представляет серьезную угрозу, поскольку нацелена на различные системы и эффективно обходит традиционные меры безопасности.

Злоумышленники используют доверие пользователей к Google Meet, отображая сообщения об ошибках, которые побуждают к немедленным действиям. Нажатие на эти сообщения приводит к загрузке файлов, содержащих вредоносные программы, такие как Lumma Stealer и DarkGate, которые воруют информацию. Используя команды PowerShell, злоумышленники избегают обнаружения и принуждают пользователей к установке вредоносного программного обеспечения, которое может получить доступ к конфиденциальной информации, такой как учетные данные для входа в систему, данные браузера и криптовалютные кошельки.

Для борьбы с такими угрозами, как ClickFix, необходим многоуровневый подход к обеспечению безопасности, включающий меры по ограничению вредоносных сценариев, мониторингу конечных точек и повышению осведомленности пользователей. Организации должны отслеживать критически важные компоненты системы и внедрять меры безопасности для предотвращения распространения вредоносных программ. Рекомендуемые стратегии смягчения последствий включают в себя шаги по устранению последствий заражения ClickFix.

Кампания ClickFix демонстрирует эволюцию стратегий киберпреступников по использованию надежных платформ для распространения вредоносных программ. С помощью вводящих в заблуждение сообщений об ошибках ClickFix успешно компрометирует пользователей как в системах Windows, так и в macOS. Для устранения этих угроз требуется сочетание обучения пользователей и надежной защиты конечных точек.

#ParsedReport #CompletenessLow
01-01-2025

Bad Likert Judge: A Novel Multi-Turn Technique to Jailbreak LLMs by Misusing Their Evaluation Capability

https://unit42.paloaltonetworks.com/multi-turn-technique-jailbreaks-llms

Report completeness: Low

Threats:
Bad_likert_judge_technique
Smuggling_technique
Crescendo_technique

Industry:
Religion

Geo:
America, Australia, Japan, Asia, Middle east

ChatGPT TTPs:
do not use without manual check
T1001, T1195.003

Soft:
OpenAI, AWS Bedrock

Algorithms:
base64

Links:
https://github.com/NVIDIA/NeMo-Guardrails?tab=readme-ov-file
https://github.com/meta-llama/PurpleLlama/tree/main/Llama-Guard2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается во введении и оценке метода "Bad Likert Judge", который направлен на обход мер безопасности в больших языковых моделях (LLM) с целью генерирования вредоносных ответов. Этот метод был протестирован на различных LLM, генерирующих текст, и продемонстрировал значительное увеличение вероятности успешной атаки (ASR) по сравнению со стандартными подсказками для атаки. В исследовании также рассматриваются различные стратегии джейлбрейка в LLMS и то, как злоумышленники могут использовать механизм привлечения внимания в этих моделях для внедрения небезопасных подсказок. В статье обсуждается эффективность метода Bad Likert Judge для повышения эффективности попыток взлома джейлбрейка и его последствия для усилий по обеспечению кибербезопасности, а также результаты, которыми делится Альянс хакеров (CTA) для дальнейшей защиты от вредоносных действий в киберпространстве.
-----

В статье рассказывается о методе "Bad Likert Judge", направленном на обход мер безопасности в больших языковых моделях (LLM) для генерации вредоносных ответов. LLM обычно имеют ограждения для предотвращения подобных действий, но методы джейлбрейка, такие как Bad Likert Judge, могут помочь злоумышленникам подготовиться к потенциальному использованию. В ходе исследования этот метод был протестирован на шести современных системах генерации текста LLM для различных категорий и показал, что он может повысить вероятность успешной атаки (ASR) в среднем более чем на 60% по сравнению со стандартными запросами на атаку.

Стратегии джейлбрейка могут быть одноэтапными или многоэтапными, при этом для обхода мер безопасности используются такие методы, как контрабанда токенов и метод crescendo. Злоумышленники могут использовать механизм привлечения внимания LLM, чтобы отвлечь их и внедрить небезопасные подсказки. В статье упоминаются конкретные атаки, такие как Обманчивое наслаждение и Крещендо, в которых используется этот метод.

Оценка ответов LLM указывает на то, что модель научилась отличать вредоносный контент от доброкачественного. Для проверки способности LLM генерировать вредоносные данные предоставляются специальные рекомендации, такие как оценка контента, связанного с созданием вредоносных программ.

Методика Bad Likert Judge была оценена путем измерения ASR в различных категориях и моделях джейлбрейков. Результаты показали значительное увеличение ASR, в среднем более чем на 75 процентных пунктов, при этом модель 4 продемонстрировала наибольшее улучшение. Этот метод по-разному повлиял на разные модели, при этом модель 6 продемонстрировала более слабые меры безопасности, но более высокий базовый ASR.

В большинстве категорий джейлбрейков показатель ASR увеличился благодаря методу Bad Likert Judge, за исключением утечки системных сообщений, где улучшение было зафиксировано только в модели 1. Средний показатель ASR после применения этого метода варьировался от 32% до 81% в разных моделях и категориях. Контент сексуального характера и утечка системных сообщений показали заметные изменения ASR, при этом в некоторых категориях ASR составлял 0% от исходного уровня.

В исследовании подчеркивается эффективность метода Bad Likert Judge для повышения эффективности попыток джейлбрейка в LLM. Используя понимание моделью вредоносного контента и возможности оценки реагирования, этот метод значительно повышает вероятность успешного обхода защитных барьеров. Полученные результаты были переданы в Хакерский альянс (CTA), чтобы помочь защитить клиентов и противостоять вредоносной кибератаке.

#ParsedReport #CompletenessLow
02-01-2025

Clipboard hijacker tries to install a Trojan

https://www.threatdown.com/blog/clipboard-hijacker-tries-to-install-a-trojan

Report completeness: Low

Threats:
Lumma_stealer

ChatGPT TTPs:
do not use without manual check
T1204.002, T1059.003, T1539

IOCs:
Url: 1
Domain: 1

Soft:
Chrome, Firefox

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Киберпреступники используют перехват буфера обмена, чтобы обманом заставить пользователей запускать вредоносные скрипты, и недавно была зафиксирована одна атака, направленная на загрузку Lumma Stealer для кражи информации. Этот сдвиг указывает на растущие проблемы, с которыми сталкиваются аналитики hacker intelligence в борьбе с изощренными хакерами.
-----

Киберпреступники приспосабливаются к повышению безопасности программного обеспечения, находя новые способы обманом заставить пользователей устанавливать вредоносное ПО. В настоящее время они используют перехват буфера обмена в качестве тактики, позволяющей заставить пользователей запускать вредоносные скрипты. Одна из недавно обнаруженных атак была связана со скриптом, который пытался загрузить Lumma Stealer, инструмент "вредоносное ПО как услуга", используемый для кражи информации. Lumma Stealer нацелен на криптовалютные кошельки, расширения браузера и данные двухфакторной аутентификации. Этот сдвиг в сторону социальной инженерии пользователей отражает растущие проблемы, с которыми сталкиваются аналитики hacker intelligence в борьбе со все более изощренными хакерами.

#ParsedReport #CompletenessMedium
03-01-2025

NONECLID RAT

https://www.cyfirma.com/research/noneclid-rat

Report completeness: Medium

Threats:
Noneuclid_rat
Uac_bypass_technique
Silverrat
Xworm_rat
Sheerat
Timestomp_technique

Geo:
Russian

TTPs:
Tactics: 8
Technics: 32

IOCs:
File: 5
Hash: 2

Soft:
NET Framework, Discord, Windows Defender, Windows registry, Task Scheduler

Algorithms:
aes

Functions:
Windows, PatchMem

Win API:
Process32First, RtlSetProcessIsCritical, AmsiScanBuffer, NtProtectVirtualMemory

Platforms:
intel

#ParsedReport #GeneratedSchema
Generated with GPT-4