#technique
Protect Loader is a shellcode loader written in pure golang designed to provide various security and evasion techniques for Go applications. It includes features such as shellcode loading, obfuscation, the use of indirect syscalls, and much more.
https://github.com/furax124/Protect_Loader
Protect Loader is a shellcode loader written in pure golang designed to provide various security and evasion techniques for Go applications. It includes features such as shellcode loading, obfuscation, the use of indirect syscalls, and much more.
https://github.com/furax124/Protect_Loader
GitHub
GitHub - furax124/Protect_Loader: A fucking real shellcode loader with a GUI. Work-in-Progress.
A fucking real shellcode loader with a GUI. Work-in-Progress. - furax124/Protect_Loader
#technique
A Linux kernel rootkit in Rust using a custom made type-2 hypervisor, eBPF XDP and TC programs
https://github.com/DualHorizon/blackpill
A Linux kernel rootkit in Rust using a custom made type-2 hypervisor, eBPF XDP and TC programs
https://github.com/DualHorizon/blackpill
GitHub
GitHub - shard77/blackpill: A Linux kernel rootkit in Rust using a custom made type-2 hypervisor, eBPF XDP and TC programs
A Linux kernel rootkit in Rust using a custom made type-2 hypervisor, eBPF XDP and TC programs - shard77/blackpill
🔥1
Draft RFC от MISP по неймингу группировок.
Не прям "круто-круто", но кое-что дельное есть.
[marketing=on]
В преамбуле RFC авторы упоминают проблему с тем, что нет единого реестра названий угроз и ссылок где они встречаются.
В CTT ThreatKB мы как раз и попробовали решить эту проблему, создав подобный реестр.
[marketing=off]
https://github.com/MISP/misp-rfc/blob/main/threat-actor-naming/threat-actor-naming.txt
Не прям "круто-круто", но кое-что дельное есть.
[marketing=on]
В преамбуле RFC авторы упоминают проблему с тем, что нет единого реестра названий угроз и ссылок где они встречаются.
В CTT ThreatKB мы как раз и попробовали решить эту проблему, создав подобный реестр.
[marketing=off]
https://github.com/MISP/misp-rfc/blob/main/threat-actor-naming/threat-actor-naming.txt
GitHub
misp-rfc/threat-actor-naming/threat-actor-naming.txt at main · MISP/misp-rfc
Specifications used in the MISP project including MISP core format - MISP/misp-rfc
CTT Report Hub
Draft RFC от MISP по неймингу группировок. Не прям "круто-круто", но кое-что дельное есть. [marketing=on] В преамбуле RFC авторы упоминают проблему с тем, что нет единого реестра названий угроз и ссылок где они встречаются. В CTT ThreatKB мы как раз и попробовали…
В догонку.
Авторы RFC считают что вот такие имена хорошие:
- APT-1
- ТА-505
Лично мое мнение, что это хорошие ID, но не названия.
TA-123456789 ничего не скажет аналитику, если он не работает конкретно по группировке 123456789
Авторы RFC считают что вот такие имена хорошие:
- APT-1
- ТА-505
Лично мое мнение, что это хорошие ID, но не названия.
TA-123456789 ничего не скажет аналитику, если он не работает конкретно по группировке 123456789
👍6
#ParsedReport #CompletenessLow
05-01-2025
The WarmCookie Malware Campaign: A Sneaky Threat Posed by Fake Browser Updates
https://socradar.io/warmcookie-malware-campaign-fake-browser-updates
Report completeness: Low
Threats:
Warmcookie
Socgholish_loader
Industry:
Financial, Retail, Healthcare
TTPs:
Tactics: 1
Technics: 5
Soft:
Chrome, Firefox, Chrome, Firefox
Languages:
javascript, powershell
05-01-2025
The WarmCookie Malware Campaign: A Sneaky Threat Posed by Fake Browser Updates
https://socradar.io/warmcookie-malware-campaign-fake-browser-updates
Report completeness: Low
Threats:
Warmcookie
Socgholish_loader
Industry:
Financial, Retail, Healthcare
TTPs:
Tactics: 1
Technics: 5
Soft:
Chrome, Firefox, Chrome, Firefox
Languages:
javascript, powershell
SOCRadar® Cyber Intelligence Inc.
The WarmCookie Malware Campaign: A Sneaky Threat Posed by Fake Browser Updates - SOCRadar® Cyber Intelligence Inc.
The WarmCookie malware campaign poses a significant threat by deceiving users into downloading malicious software under the guise of legitimate browser
CTT Report Hub
#ParsedReport #CompletenessLow 05-01-2025 The WarmCookie Malware Campaign: A Sneaky Threat Posed by Fake Browser Updates https://socradar.io/warmcookie-malware-campaign-fake-browser-updates Report completeness: Low Threats: Warmcookie Socgholish_loader…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносная кампания WarmCookie использует поддельные оповещения об обновлениях браузера, чтобы обманом заставить пользователей загружать вредоносное программное обеспечение, предназначенное для таких секторов, как финансы, здравоохранение, розничная торговля и национальная безопасность. Вредоносное ПО позволяет осуществлять различные вредоносные действия, включая кражу данных, профилирование устройств, выполнение произвольных команд и утечку файлов. Кампания развивалась с использованием атак с поддельным обновлением и методов обфускации, чтобы избежать обнаружения и внедрить полезные программы, такие как похитители информации, средства удаленного доступа и программы-вымогатели. Это свидетельствует о растущей изощренности хакеров, которые используют доверие пользователей к законным уведомлениям об обновлениях, подчеркивая важность бдительности и регулярных обновлений системы безопасности для защиты от возникающих угроз.
-----
Вредоносная кампания WarmCookie обманывает пользователей, заставляя их загружать вредоносное программное обеспечение с помощью поддельных уведомлений об обновлениях браузера, нацеленных на такие секторы, как финансы, здравоохранение, розничная торговля и национальная безопасность.
Кампания использует методы социальной инженерии, чтобы заставить жертв думать, что они устанавливают законные обновления для браузера.
После установки вредоносная программа позволяет осуществлять такие действия, как кража данных, профилирование устройств, выполнение произвольных команд и утечка файлов.
В последней версии кампании WarmCookie используются атаки FakeUpdate для распространения вредоносного ПО через взломанные веб-сайты, на которых отображаются поддельные уведомления об обновлениях для популярных приложений, таких как Chrome и Firefox.
Вредоносное ПО теперь ускользает от обнаружения, используя JavaScript и HTML для маскировки, что затрудняет его идентификацию традиционными средствами безопасности.
Возможности вредоносного ПО включают проверку защиты от виртуальных машин, снятие отпечатков пальцев с устройств, выполнение команд, кражу информации, средства удаленного доступа и развертывание программ-вымогателей.
WarmCookie подчеркивает важность соблюдения осторожности при появлении запросов на обновление, поскольку киберпреступники используют доверие пользователей к уведомлениям об обновлениях.
Киберпреступники становятся все более изощренными в использовании тактик социальной инженерии для манипулирования отдельными лицами и организациями с целью загрузки опасного программного обеспечения.
Организациям необходимо регулярно обновлять меры безопасности и быть в курсе появления новых хакеров, чтобы защититься от меняющихся тактик.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносная кампания WarmCookie использует поддельные оповещения об обновлениях браузера, чтобы обманом заставить пользователей загружать вредоносное программное обеспечение, предназначенное для таких секторов, как финансы, здравоохранение, розничная торговля и национальная безопасность. Вредоносное ПО позволяет осуществлять различные вредоносные действия, включая кражу данных, профилирование устройств, выполнение произвольных команд и утечку файлов. Кампания развивалась с использованием атак с поддельным обновлением и методов обфускации, чтобы избежать обнаружения и внедрить полезные программы, такие как похитители информации, средства удаленного доступа и программы-вымогатели. Это свидетельствует о растущей изощренности хакеров, которые используют доверие пользователей к законным уведомлениям об обновлениях, подчеркивая важность бдительности и регулярных обновлений системы безопасности для защиты от возникающих угроз.
-----
Вредоносная кампания WarmCookie обманывает пользователей, заставляя их загружать вредоносное программное обеспечение с помощью поддельных уведомлений об обновлениях браузера, нацеленных на такие секторы, как финансы, здравоохранение, розничная торговля и национальная безопасность.
Кампания использует методы социальной инженерии, чтобы заставить жертв думать, что они устанавливают законные обновления для браузера.
После установки вредоносная программа позволяет осуществлять такие действия, как кража данных, профилирование устройств, выполнение произвольных команд и утечка файлов.
В последней версии кампании WarmCookie используются атаки FakeUpdate для распространения вредоносного ПО через взломанные веб-сайты, на которых отображаются поддельные уведомления об обновлениях для популярных приложений, таких как Chrome и Firefox.
Вредоносное ПО теперь ускользает от обнаружения, используя JavaScript и HTML для маскировки, что затрудняет его идентификацию традиционными средствами безопасности.
Возможности вредоносного ПО включают проверку защиты от виртуальных машин, снятие отпечатков пальцев с устройств, выполнение команд, кражу информации, средства удаленного доступа и развертывание программ-вымогателей.
WarmCookie подчеркивает важность соблюдения осторожности при появлении запросов на обновление, поскольку киберпреступники используют доверие пользователей к уведомлениям об обновлениях.
Киберпреступники становятся все более изощренными в использовании тактик социальной инженерии для манипулирования отдельными лицами и организациями с целью загрузки опасного программного обеспечения.
Организациям необходимо регулярно обновлять меры безопасности и быть в курсе появления новых хакеров, чтобы защититься от меняющихся тактик.
#ParsedReport #CompletenessMedium
05-01-2025
I m (Not) Your Army Assistant - Stealthy SSH Over TOR Backdoor Targeting the Ukrainian Military
https://aibaranov.github.io/armyplus
Report completeness: Medium
Actors/Campaigns:
Matrix
Victims:
Government computer emergency response team of ukraine
Industry:
Military, Government
Geo:
Ukrainian, Ukraine
TTPs:
IOCs:
File: 4
Command: 2
Path: 3
Hash: 2
Domain: 2
Soft:
Android, Windows Installer, Tor browser, OpenSSH, Curl, Windows service, JetBrains
Algorithms:
zip, sha256
Functions:
Get-ExecutionPolicy, Set-ExecutionPolicy, Set-Service, Get-WmiObject
Languages:
powershell
Platforms:
x86
05-01-2025
I m (Not) Your Army Assistant - Stealthy SSH Over TOR Backdoor Targeting the Ukrainian Military
https://aibaranov.github.io/armyplus
Report completeness: Medium
Actors/Campaigns:
Matrix
Victims:
Government computer emergency response team of ukraine
Industry:
Military, Government
Geo:
Ukrainian, Ukraine
TTPs:
IOCs:
File: 4
Command: 2
Path: 3
Hash: 2
Domain: 2
Soft:
Android, Windows Installer, Tor browser, OpenSSH, Curl, Windows service, JetBrains
Algorithms:
zip, sha256
Functions:
Get-ExecutionPolicy, Set-ExecutionPolicy, Set-Service, Get-WmiObject
Languages:
powershell
Platforms:
x86
Home
I’m (Not) Your Army Assistant - Stealthy SSH Over TOR Backdoor Targeting the Ukrainian Military
Looking into a backdoor that recently used in attacks on the Ukrainian military
CTT Report Hub
#ParsedReport #CompletenessMedium 05-01-2025 I m (Not) Your Army Assistant - Stealthy SSH Over TOR Backdoor Targeting the Ukrainian Military https://aibaranov.github.io/armyplus Report completeness: Medium Actors/Campaigns: Matrix Victims: Government…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в описании вредоносной кампании под названием "Army+", нацеленной на военнослужащих с помощью вредоносного приложения, замаскированного под законный установщик Army+. Вредоносная программа устанавливает скрытый канал связи через TOR и OpenSSH для сбора системной информации и удаленного выполнения команд, которые не обнаруживаются традиционными средствами защиты от вредоносных программ. Злоумышленники используют различные тактические приемы для обеспечения скрытности, такие как запуск приложений-приманек и использование законных инструментов Windows для контроля взломанных систем.
-----
Правительственная группа реагирования на компьютерные чрезвычайные ситуации в Украине (CERT-UA) недавно опубликовала рекомендации по безопасности, касающиеся кампании по борьбе с вредоносным ПО под названием "Army+". Эта кампания связана с платформой, известной как Army+, целью которой является оцифровка услуг для военнослужащих и повышение эффективности обслуживания. Вредоносная программа была замаскирована под официальный установщик Windows приложения Army+ под названием ArmyPlusInstaller-v.0.10.23722.exe. Несмотря на то, что при извлечении она выглядела законной, она содержит скрытый архив с браузером Tor, что намекает на злой умысел.
При запуске программа установки отображает поддельный процесс установки и запускает приложение-приманку с именем ArmyPlus.exe. Одновременно в фоновом режиме запускается сценарий PowerShell с именем init.ps1, облегчающий работу вредоносной программы. Чтобы обойти проверки безопасности PowerShell, программа установки сначала запускает cmd с параметром /min. Это позволяет запустить вредоносный скрипт, отключив строгие настройки безопасности PowerShell по умолчанию.
Вредоносная программа дополнительно маскирует себя, помещая файлы в незаметные папки, сохраняя файлы Tor и OpenSSH для создания бэкдора. С помощью сгенерированных ключей RSA и сервера OpenSSH, установленного с использованием команд PowerShell, вредоносная программа устанавливает безопасный и анонимный канал связи через TOR для получения и выполнения команд с удаленного сервера. Критически важная системная информация собирается с помощью инструментария управления Windows (WMI) и отправляется на удаленный сервер через TOR в вредоносных целях.
Для обеспечения скрытности вредоносная программа использует легальные средства Windows, такие как curl, для связи с удаленным сервером, минуя разрешение локального DNS и обеспечивая анонимность. Сервер OpenSSH, работающий как служба Windows с высокими привилегиями, позволяет злоумышленникам удаленно управлять взломанной системой и выполнять привилегированные команды, не вызывая подозрений.
Подход злоумышленников отличается использованием простых, но эффективных методов для компрометации военных объектов. Используя легальное программное обеспечение и собственные двоичные файлы Windows, вредоносное ПО ускользает от обнаружения традиционными решениями по защите от вредоносных программ. Приложение-приманка ArmyPlus.exe служит для отвода подозрений, отображая сообщение об ошибке несовместимости системы, в то время как фактическая вредоносная нагрузка содержится в скрипте init.ps1.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в описании вредоносной кампании под названием "Army+", нацеленной на военнослужащих с помощью вредоносного приложения, замаскированного под законный установщик Army+. Вредоносная программа устанавливает скрытый канал связи через TOR и OpenSSH для сбора системной информации и удаленного выполнения команд, которые не обнаруживаются традиционными средствами защиты от вредоносных программ. Злоумышленники используют различные тактические приемы для обеспечения скрытности, такие как запуск приложений-приманек и использование законных инструментов Windows для контроля взломанных систем.
-----
Правительственная группа реагирования на компьютерные чрезвычайные ситуации в Украине (CERT-UA) недавно опубликовала рекомендации по безопасности, касающиеся кампании по борьбе с вредоносным ПО под названием "Army+". Эта кампания связана с платформой, известной как Army+, целью которой является оцифровка услуг для военнослужащих и повышение эффективности обслуживания. Вредоносная программа была замаскирована под официальный установщик Windows приложения Army+ под названием ArmyPlusInstaller-v.0.10.23722.exe. Несмотря на то, что при извлечении она выглядела законной, она содержит скрытый архив с браузером Tor, что намекает на злой умысел.
При запуске программа установки отображает поддельный процесс установки и запускает приложение-приманку с именем ArmyPlus.exe. Одновременно в фоновом режиме запускается сценарий PowerShell с именем init.ps1, облегчающий работу вредоносной программы. Чтобы обойти проверки безопасности PowerShell, программа установки сначала запускает cmd с параметром /min. Это позволяет запустить вредоносный скрипт, отключив строгие настройки безопасности PowerShell по умолчанию.
Вредоносная программа дополнительно маскирует себя, помещая файлы в незаметные папки, сохраняя файлы Tor и OpenSSH для создания бэкдора. С помощью сгенерированных ключей RSA и сервера OpenSSH, установленного с использованием команд PowerShell, вредоносная программа устанавливает безопасный и анонимный канал связи через TOR для получения и выполнения команд с удаленного сервера. Критически важная системная информация собирается с помощью инструментария управления Windows (WMI) и отправляется на удаленный сервер через TOR в вредоносных целях.
Для обеспечения скрытности вредоносная программа использует легальные средства Windows, такие как curl, для связи с удаленным сервером, минуя разрешение локального DNS и обеспечивая анонимность. Сервер OpenSSH, работающий как служба Windows с высокими привилегиями, позволяет злоумышленникам удаленно управлять взломанной системой и выполнять привилегированные команды, не вызывая подозрений.
Подход злоумышленников отличается использованием простых, но эффективных методов для компрометации военных объектов. Используя легальное программное обеспечение и собственные двоичные файлы Windows, вредоносное ПО ускользает от обнаружения традиционными решениями по защите от вредоносных программ. Приложение-приманка ArmyPlus.exe служит для отвода подозрений, отображая сообщение об ошибке несовместимости системы, в то время как фактическая вредоносная нагрузка содержится в скрипте init.ps1.
#ParsedReport #CompletenessMedium
05-01-2025
dmpdump. PUBLOAD Likely Delivered to Thailand via GrimResource MSC
https://dmpdump.github.io/posts/PUBLOAD_GrimResource
Report completeness: Medium
Threats:
Pubload
Grimresource_technique
Dll_hijacking_technique
Geo:
Thailand
ChatGPT TTPs:
T1203, T1105, T1112, T1548.002, T1547.001, T1053.005, T1574.001, T1049
IOCs:
File: 6
Hash: 4
Path: 1
Url: 1
Command: 1
Registry: 2
IP: 2
Soft:
curl
Algorithms:
rc4, ror13
Win API:
EnumPropsExW
Languages:
lua
Links:
05-01-2025
dmpdump. PUBLOAD Likely Delivered to Thailand via GrimResource MSC
https://dmpdump.github.io/posts/PUBLOAD_GrimResource
Report completeness: Medium
Threats:
Pubload
Grimresource_technique
Dll_hijacking_technique
Geo:
Thailand
ChatGPT TTPs:
do not use without manual checkT1203, T1105, T1112, T1548.002, T1547.001, T1053.005, T1574.001, T1049
IOCs:
File: 6
Hash: 4
Path: 1
Url: 1
Command: 1
Registry: 2
IP: 2
Soft:
curl
Algorithms:
rc4, ror13
Win API:
EnumPropsExW
Languages:
lua
Links:
https://github.com/dmpdumpdmpdump
PUBLOAD Likely Delivered to Thailand via GrimResource MSC
On December 20, 2024, a Microsoft Management Console (MSC) file named “Invitation Letter.msc” was uploaded from Thailand to VirusTotal.
CTT Report Hub
#ParsedReport #CompletenessMedium 05-01-2025 dmpdump. PUBLOAD Likely Delivered to Thailand via GrimResource MSC https://dmpdump.github.io/posts/PUBLOAD_GrimResource Report completeness: Medium Threats: Pubload Grimresource_technique Dll_hijacking_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что был обнаружен опытный хакер из Таиланда, использующий вредоносные методы, включая захват библиотек DLL и шифрование, для получения постоянного контроля над скомпрометированными системами и потенциального осуществления шпионажа или другой незаконной деятельности.
-----
20 декабря 2024 года на сайте VirusTotal был обнаружен файл Microsoft Management Console (MSC) с именем "Пригласительное письмо.msc", отправленный из Таиланда. Этот вредоносный файл использует технологию GrimResource для выполнения curl-загрузки пакетного файла. Он выполняет несколько вредоносных действий, включая отключение диспетчера задач путем изменения параметра реестра DisableTaskMgr на 1, тем самым предотвращая доступ пользователей к диспетчеру задач. Кроме того, файл MSC изменяет значение EnableLUA в системных политиках, устанавливая его равным 0, отключая уведомления о контроле учетных записей пользователей (UAC) (ранее известные как LUA).
Кроме того, вредоносный файл обеспечивает сохранение файла с именем jisucommon.exe, добавляя его в раздел запуска реестра. Он также создает запланированную задачу под названием Office_Settings, которая запускает загрузку и выполнение пакетного файла с именем jisu.bat каждые шесть минут. Этот пакетный файл предназначен для загрузки двух файлов, jisucommon.exe и FileAssociation.dll, в общую папку в вашей системе, подвергшейся атаке.
Jisucommon.exe является законным исполняемым файлом, связанным с Jisu Office, приложением, которое, как известно, предлагает услуги по преобразованию файлов. Однако в данном случае хакер использует это законное приложение для перехвата библиотек DLL. Вредоносная активность включает загрузку вредоносной версии FileAssociation.библиотека dll, которая динамически загружается с помощью jisucommon.exe.
Файловая ассоциация.библиотека dll содержит встроенный шелл-код, который расшифровывается во время выполнения. Этот процесс расшифровки запускается функцией обратного вызова, которая использует функцию EnumPropsExW(). Расшифрованный шеллкод функционирует как этап публичной загрузки, о чем ранее сообщали компании, занимающиеся кибербезопасностью, такие как Cisco и Trend Micro. Шеллкод использует алгоритм хэширования API, основанный на операции ROR13, для разрешения различных API Windows.
Одной из ключевых функций шелл-кода является установление сокетного соединения с удаленным хостом 45.150.128.212 через порт 443. После подключения шелл-код получает возможность получать и выполнять дополнительную полезную нагрузку с сервера, контролируемого злоумышленником. Он также собирает системную информацию, включая серийный номер тома, имя компьютера, логин пользователя и время безотказной работы, которая затем шифруется с использованием ключа RC4 в соответствии с выводами Cisco и Trend Micro.
Хакер, стоящий за этой вредоносной кампанией, продемонстрировал изощренный уровень уклонения и настойчивости, используя законные приложения и инструменты злонамеренным образом. Использование возможностей перехвата библиотек DLL, шифрования и удаленного выполнения команд указывает на высокий уровень сложности и намерение сохранить контроль над скомпрометированными системами для потенциального шпионажа или дальнейших вредоносных действий. Наличие юмора в пути к PDB вредоносной библиотеки DLL указывает на уровень высокомерия или насмешки хакера, которые потенциально могут подорвать серьезность его действий или поиздеваться над исследователями в области безопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что был обнаружен опытный хакер из Таиланда, использующий вредоносные методы, включая захват библиотек DLL и шифрование, для получения постоянного контроля над скомпрометированными системами и потенциального осуществления шпионажа или другой незаконной деятельности.
-----
20 декабря 2024 года на сайте VirusTotal был обнаружен файл Microsoft Management Console (MSC) с именем "Пригласительное письмо.msc", отправленный из Таиланда. Этот вредоносный файл использует технологию GrimResource для выполнения curl-загрузки пакетного файла. Он выполняет несколько вредоносных действий, включая отключение диспетчера задач путем изменения параметра реестра DisableTaskMgr на 1, тем самым предотвращая доступ пользователей к диспетчеру задач. Кроме того, файл MSC изменяет значение EnableLUA в системных политиках, устанавливая его равным 0, отключая уведомления о контроле учетных записей пользователей (UAC) (ранее известные как LUA).
Кроме того, вредоносный файл обеспечивает сохранение файла с именем jisucommon.exe, добавляя его в раздел запуска реестра. Он также создает запланированную задачу под названием Office_Settings, которая запускает загрузку и выполнение пакетного файла с именем jisu.bat каждые шесть минут. Этот пакетный файл предназначен для загрузки двух файлов, jisucommon.exe и FileAssociation.dll, в общую папку в вашей системе, подвергшейся атаке.
Jisucommon.exe является законным исполняемым файлом, связанным с Jisu Office, приложением, которое, как известно, предлагает услуги по преобразованию файлов. Однако в данном случае хакер использует это законное приложение для перехвата библиотек DLL. Вредоносная активность включает загрузку вредоносной версии FileAssociation.библиотека dll, которая динамически загружается с помощью jisucommon.exe.
Файловая ассоциация.библиотека dll содержит встроенный шелл-код, который расшифровывается во время выполнения. Этот процесс расшифровки запускается функцией обратного вызова, которая использует функцию EnumPropsExW(). Расшифрованный шеллкод функционирует как этап публичной загрузки, о чем ранее сообщали компании, занимающиеся кибербезопасностью, такие как Cisco и Trend Micro. Шеллкод использует алгоритм хэширования API, основанный на операции ROR13, для разрешения различных API Windows.
Одной из ключевых функций шелл-кода является установление сокетного соединения с удаленным хостом 45.150.128.212 через порт 443. После подключения шелл-код получает возможность получать и выполнять дополнительную полезную нагрузку с сервера, контролируемого злоумышленником. Он также собирает системную информацию, включая серийный номер тома, имя компьютера, логин пользователя и время безотказной работы, которая затем шифруется с использованием ключа RC4 в соответствии с выводами Cisco и Trend Micro.
Хакер, стоящий за этой вредоносной кампанией, продемонстрировал изощренный уровень уклонения и настойчивости, используя законные приложения и инструменты злонамеренным образом. Использование возможностей перехвата библиотек DLL, шифрования и удаленного выполнения команд указывает на высокий уровень сложности и намерение сохранить контроль над скомпрометированными системами для потенциального шпионажа или дальнейших вредоносных действий. Наличие юмора в пути к PDB вредоносной библиотеки DLL указывает на уровень высокомерия или насмешки хакера, которые потенциально могут подорвать серьезность его действий или поиздеваться над исследователями в области безопасности.
#ParsedReport #CompletenessLow
05-01-2025
Finding Malware: Unveiling PLAYFULGHOST with Google Security Operations. About the Finding Malware Series. About the Finding Malware Series. About the Finding Malware Series
https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-PLAYFULGHOST-with-Google-Security/ba-p/850676
Report completeness: Low
Threats:
Playfulghost
Gh0st_rat
Seo_poisoning_technique
Dllsearchorder_hijacking_technique
Boostwave
Terminator_tool
Quickheal
Mimikatz_tool
Process_injection_technique
Credential_dumping_technique
TTPs:
Tactics: 3
Technics: 9
IOCs:
File: 50
Hash: 1
Soft:
LetsVPN, curl, Google Chrome, Windows Service, Sogou, Firefox, Chrome, Telegram, Windows Registry, Windows Installer, have more...
Functions:
GetMP
Win API:
beep
Win Services:
Mcshield, rtvscan, MsMpEng
05-01-2025
Finding Malware: Unveiling PLAYFULGHOST with Google Security Operations. About the Finding Malware Series. About the Finding Malware Series. About the Finding Malware Series
https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-PLAYFULGHOST-with-Google-Security/ba-p/850676
Report completeness: Low
Threats:
Playfulghost
Gh0st_rat
Seo_poisoning_technique
Dllsearchorder_hijacking_technique
Boostwave
Terminator_tool
Quickheal
Mimikatz_tool
Process_injection_technique
Credential_dumping_technique
TTPs:
Tactics: 3
Technics: 9
IOCs:
File: 50
Hash: 1
Soft:
LetsVPN, curl, Google Chrome, Windows Service, Sogou, Firefox, Chrome, Telegram, Windows Registry, Windows Installer, have more...
Functions:
GetMP
Win API:
beep
Win Services:
Mcshield, rtvscan, MsMpEng
Googlecloudcommunity
Finding Malware: Unveiling PLAYFULGHOST with Google Security Operations | Community
About the Finding Malware SeriesThe "Finding Malware" blog series from Managed Defense is designed to empower the Google Security Operations community to detect emerging and persistent malware threats. This post dives into the PLAYFULGHOST malware family…
CTT Report Hub
#ParsedReport #CompletenessLow 05-01-2025 Finding Malware: Unveiling PLAYFULGHOST with Google Security Operations. About the Finding Malware Series. About the Finding Malware Series. About the Finding Malware Series https://www.googlecloudcommunity.com/gc/Community…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Эта вредоносная программа-бэкдор имеет сходство с Gh0st RAT и обладает уникальными функциями, включая кейлоггинг, захват экрана, удаленный доступ к командной строке и возможность передачи файлов. Методы распространения включают фишинговые атаки и поисковую оптимизацию. Для реализации системы, состоящей из трех частей, хакеры используют различные тактики. Возможности PLAYFULGHOST позволяют удаленно контролировать зараженные системы на предмет вредоносных действий, что делает обнаружение крайне важным. Mandiant Hunt использует стратегию, использующую сильные и слабые сигналы для эффективного выявления действий злоумышленников. Пользователи Google SecOps могут отслеживать PLAYFULGHOST и аналогичные угрозы, используя предоставленную информацию, включая мониторинг двоичных файлов, ключей запуска реестра, запланированных задач и конкретных действий, связанных с PLAYFULGHOST.
-----
PLAYFULGHOST - это бэкдор, имеющий сходство с Gh0st RAT, инструментом удаленного администрирования, исходный код которого стал общедоступным в 2008 году, что привело к разработке нескольких вариантов. Уникальные возможности PLAYFULGHOST включают в себя различные схемы трафика и шифрование, поддержку таких функций, как ведение кейлогга, захват экрана, аудиозапись, удаленная оболочка и передача / выполнение файлов.
Методы распространения PLAYFULGHOST включают фишинговые атаки и поисковую оптимизацию. В случаях фишинга жертв обманом заставляют открывать вредоносные RAR-архивы, замаскированные под файлы изображений, которые содержат вредоносные исполняемые файлы, загружающие и запускающие PLAYFULGHOST с удаленных серверов. При заражении SEO-вредоносными программами жертвы обманным путем загружают троянские программы установки, маскирующиеся под законное программное обеспечение, такое как LetsVPN. Эти программы установки загружают дополнительные вредоносные исполняемые файлы для загрузки компонентов PLAYFULGHOST с удаленных серверов.
Запуск PLAYFULGHOST включает в себя систему из трех частей: уязвимый легальный исполняемый файл, вредоносную библиотеку DLL для запуска в той же папке и файл, содержащий полезную нагрузку PLAYFULGHOST. Было замечено, что хакеры использовали различные тактики для выполнения своих действий, такие как переименование законных исполняемых файлов для загрузки вредоносных библиотек запуска, создание файлов LNK для создания вредоносных библиотек DLL и использование шифрования для загрузки полезной нагрузки PLAYFULGHOST.
Возможности PLAYFULGHOST позволяют удаленно управлять зараженными системами, позволяя злоумышленникам выполнять такие действия, как ведение кейлогга, захват скриншотов, аудиозапись, удаленный доступ к командной строке и передача / выполнение файлов. Обнаружение таких вредоносных действий имеет решающее значение, и Mandiant Hunt использует стратегию, использующую как сильные, так и слабые сигналы для эффективного выявления действий злоумышленников. Используя такие системы безопасности, как MITRE ATT и CK, Mandiant маркирует данные, выявляет закономерности вредоносной активности и делится полезными результатами с клиентами для расширения возможностей обнаружения.
Пользователи Google SecOps могут отслеживать PLAYFULGHOST и аналогичные угрозы, используя информацию, представленную в блоге. Стратегии обнаружения могут включать мониторинг двоичных файлов в общедоступных папках, создание ключей запуска реестра, создание запланированных задач, запуск программы установки Windows в подозрительных местах и генерацию HTTP-запросов. В рамках операций Google по обеспечению безопасности могут быть созданы пользовательские правила для обнаружения определенных действий PLAYFULGHOST, таких как использование Mimikatz и создание файлов, каталогов и переименованных законных двоичных файлов, загружающих вредоносные библиотеки запуска DLL для PLAYFULGHOST.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Эта вредоносная программа-бэкдор имеет сходство с Gh0st RAT и обладает уникальными функциями, включая кейлоггинг, захват экрана, удаленный доступ к командной строке и возможность передачи файлов. Методы распространения включают фишинговые атаки и поисковую оптимизацию. Для реализации системы, состоящей из трех частей, хакеры используют различные тактики. Возможности PLAYFULGHOST позволяют удаленно контролировать зараженные системы на предмет вредоносных действий, что делает обнаружение крайне важным. Mandiant Hunt использует стратегию, использующую сильные и слабые сигналы для эффективного выявления действий злоумышленников. Пользователи Google SecOps могут отслеживать PLAYFULGHOST и аналогичные угрозы, используя предоставленную информацию, включая мониторинг двоичных файлов, ключей запуска реестра, запланированных задач и конкретных действий, связанных с PLAYFULGHOST.
-----
PLAYFULGHOST - это бэкдор, имеющий сходство с Gh0st RAT, инструментом удаленного администрирования, исходный код которого стал общедоступным в 2008 году, что привело к разработке нескольких вариантов. Уникальные возможности PLAYFULGHOST включают в себя различные схемы трафика и шифрование, поддержку таких функций, как ведение кейлогга, захват экрана, аудиозапись, удаленная оболочка и передача / выполнение файлов.
Методы распространения PLAYFULGHOST включают фишинговые атаки и поисковую оптимизацию. В случаях фишинга жертв обманом заставляют открывать вредоносные RAR-архивы, замаскированные под файлы изображений, которые содержат вредоносные исполняемые файлы, загружающие и запускающие PLAYFULGHOST с удаленных серверов. При заражении SEO-вредоносными программами жертвы обманным путем загружают троянские программы установки, маскирующиеся под законное программное обеспечение, такое как LetsVPN. Эти программы установки загружают дополнительные вредоносные исполняемые файлы для загрузки компонентов PLAYFULGHOST с удаленных серверов.
Запуск PLAYFULGHOST включает в себя систему из трех частей: уязвимый легальный исполняемый файл, вредоносную библиотеку DLL для запуска в той же папке и файл, содержащий полезную нагрузку PLAYFULGHOST. Было замечено, что хакеры использовали различные тактики для выполнения своих действий, такие как переименование законных исполняемых файлов для загрузки вредоносных библиотек запуска, создание файлов LNK для создания вредоносных библиотек DLL и использование шифрования для загрузки полезной нагрузки PLAYFULGHOST.
Возможности PLAYFULGHOST позволяют удаленно управлять зараженными системами, позволяя злоумышленникам выполнять такие действия, как ведение кейлогга, захват скриншотов, аудиозапись, удаленный доступ к командной строке и передача / выполнение файлов. Обнаружение таких вредоносных действий имеет решающее значение, и Mandiant Hunt использует стратегию, использующую как сильные, так и слабые сигналы для эффективного выявления действий злоумышленников. Используя такие системы безопасности, как MITRE ATT и CK, Mandiant маркирует данные, выявляет закономерности вредоносной активности и делится полезными результатами с клиентами для расширения возможностей обнаружения.
Пользователи Google SecOps могут отслеживать PLAYFULGHOST и аналогичные угрозы, используя информацию, представленную в блоге. Стратегии обнаружения могут включать мониторинг двоичных файлов в общедоступных папках, создание ключей запуска реестра, создание запланированных задач, запуск программы установки Windows в подозрительных местах и генерацию HTTP-запросов. В рамках операций Google по обеспечению безопасности могут быть созданы пользовательские правила для обнаружения определенных действий PLAYFULGHOST, таких как использование Mimikatz и создание файлов, каталогов и переименованных законных двоичных файлов, загружающих вредоносные библиотеки запуска DLL для PLAYFULGHOST.
#ParsedReport #CompletenessLow
05-01-2025
Analysis of attack activities of APT-C-26 (Lazarus) group using weaponized IPMsg software. 1. Analysis of attack activities
https://mp.weixin.qq.com/s?__biz=MzUyMjk4NzExMA==&mid=2247505438&idx=1&sn=cf1947c7af6581f4a66460ae6d14dc2f&chksm=f9c1e517ceb66c01a0042c524512f4989d493692420a54d42fa07a6e5ae32f6d07f83c9943c3&scene=178&cur_album_id=1955835290309230595
Report completeness: Low
Actors/Campaigns:
Lazarus
Threats:
Double_kill_vuln
Double_star_vuln
Victims:
Financial institutions, Cryptocurrency exchanges
Industry:
Government
ChatGPT TTPs:
T1203, T1059, T1071
IOCs:
Domain: 1
Url: 2
Hash: 1
IP: 1
File: 4
Registry: 1
Algorithms:
md5, zip, hc-256, base64, crc-32
Functions:
GetWindowSizedW
Win API:
decompress
Platforms:
x64
05-01-2025
Analysis of attack activities of APT-C-26 (Lazarus) group using weaponized IPMsg software. 1. Analysis of attack activities
https://mp.weixin.qq.com/s?__biz=MzUyMjk4NzExMA==&mid=2247505438&idx=1&sn=cf1947c7af6581f4a66460ae6d14dc2f&chksm=f9c1e517ceb66c01a0042c524512f4989d493692420a54d42fa07a6e5ae32f6d07f83c9943c3&scene=178&cur_album_id=1955835290309230595
Report completeness: Low
Actors/Campaigns:
Lazarus
Threats:
Double_kill_vuln
Double_star_vuln
Victims:
Financial institutions, Cryptocurrency exchanges
Industry:
Government
ChatGPT TTPs:
do not use without manual checkT1203, T1059, T1071
IOCs:
Domain: 1
Url: 2
Hash: 1
IP: 1
File: 4
Registry: 1
Algorithms:
md5, zip, hc-256, base64, crc-32
Functions:
GetWindowSizedW
Win API:
decompress
Platforms:
x64