#ParsedReport #CompletenessLow
05-01-2025
New PLAYFULGHOST Malware Uses Phishing, Keylogging & Kernel Exploits
https://www.secureblink.com/cyber-security-news/new-playfulghost-malware-uses-phishing-keylogging-and-kernel-exploits
Report completeness: Low
Actors/Campaigns:
Lazarus
Threats:
Playfulghost
Gh0st_rat
Seo_poisoning_technique
Dllsearchorder_hijacking_technique
Mimikatz_tool
Boostwave
Terminator_tool
Byovd_technique
Gh0stgambit
Donut
Geo:
Russian, Chinese, North korean
ChatGPT TTPs:
T1056, T1113, T1059, T1566, T1189, T1547, T1574, T1562, T1068, T1018, have more...
IOCs:
File: 1
Soft:
LetsVPN, curl, Telegram, Sogou, Google Chrome, Windows Security, Windows Defender Application Control
05-01-2025
New PLAYFULGHOST Malware Uses Phishing, Keylogging & Kernel Exploits
https://www.secureblink.com/cyber-security-news/new-playfulghost-malware-uses-phishing-keylogging-and-kernel-exploits
Report completeness: Low
Actors/Campaigns:
Lazarus
Threats:
Playfulghost
Gh0st_rat
Seo_poisoning_technique
Dllsearchorder_hijacking_technique
Mimikatz_tool
Boostwave
Terminator_tool
Byovd_technique
Gh0stgambit
Donut
Geo:
Russian, Chinese, North korean
ChatGPT TTPs:
do not use without manual checkT1056, T1113, T1059, T1566, T1189, T1547, T1574, T1562, T1068, T1018, have more...
IOCs:
File: 1
Soft:
LetsVPN, curl, Telegram, Sogou, Google Chrome, Windows Security, Windows Defender Application Control
Secureblink
New PLAYFULGHOST Malware Uses Phishing, Keylogging & Kernel Exploits
PLAYFULGHOST malware targets users with keylogging, screen capture, and kernel-level exploits. Learn how it spreads and how to protect against it
CTT Report Hub
#ParsedReport #CompletenessLow 05-01-2025 New PLAYFULGHOST Malware Uses Phishing, Keylogging & Kernel Exploits https://www.secureblink.com/cyber-security-news/new-playfulghost-malware-uses-phishing-keylogging-and-kernel-exploits Report completeness: Low…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что вредоносная программа PLAYFULGHOST - это очень сложная угроза, нацеленная на пользователей с помощью кейлоггинга, захвата экрана и эксплойтов на уровне ядра. Он обладает общими функциональными возможностями с Gh0st RAT, фокусируясь на сборе информации с помощью различных методов, таких как фишинговые электронные письма и взлом VPN-приложений. Вредоносное ПО ускользает от обнаружения и закрепляется в зараженных системах, а хакеры умело обходят механизмы безопасности, используя уязвимости. Специалистам по кибербезопасности рекомендуется использовать передовые решения для обеспечения безопасности, блокировать уязвимые драйверы и быть в курсе событий, чтобы снизить риски, связанные с распространением передовых вредоносных программ, таких как PLAYFULGHOST.
-----
Вредоносная программа PLAYFULGHOST - это сложная разновидность, которая нацелена на пользователей с помощью кейлоггинга, захвата экрана и эксплойтов на уровне ядра. Она обладает общими функциональными возможностями с Gh0st RAT, что представляет серьезную угрозу безопасности. Основной целью PLAYFULGHOST является сбор информации, который достигается с помощью таких методов, как фишинговые электронные письма, SEO-атаки и взлом законных VPN-приложений. Векторы атак включают фишинговые электронные письма с вложениями, замаскированными под файлы изображений, и троянские версии популярных VPN-приложений. Вредоносная программа уклоняется от обнаружения, используя перехват порядка поиска DLL-файлов и стороннюю загрузку для запуска вредоносных DLL-файлов в памяти.
PLAYFULGHOST сохраняет работоспособность в зараженных системах с помощью различных механизмов, обеспечивая свою активность даже после перезагрузки. Он проводит обширный сбор информации, записывая нажатия клавиш, делая скриншоты, записывая аудио, похищая системные метаданные и собирая данные из различных учетных записей и продуктов безопасности. Кроме того, вредоносная программа может сбрасывать дополнительную полезную нагрузку, скрывать записи реестра, файлы и процессы, а также отключать средства защиты. Ее конкретные цели указывают на то, что она нацелена на китайскоязычных пользователей Windows, что совпадает с предыдущими атаками, распространяющими Gh0st RAT.
хакеры, стоящие за PLAYFULGHOST, умеют обходить продвинутые механизмы безопасности, используя уязвимости в драйверах оборудования для получения доступа на уровне ядра. Атаки BYOVD, использующие уязвимости в уязвимых драйверах, использовались такими группами, как Lazarus Group и группы программ-вымогателей, для отключения средств безопасности и повышения привилегий. Инструмент Terminator, используемый операторами PLAYFULGHOST, можно приобрести по относительно низкой цене на форумах по киберпреступности. Корпорация Майкрософт предприняла шаги по защите уязвимых драйверов и устранению эксплойтов BYOVD с помощью блокировок и дополнительных мер безопасности.
Обнаружение PLAYFULGHOST подчеркивает сложность современных кибератак. Чтобы снизить риски, специалисты по кибербезопасности должны использовать решения EDR/XDR и блокировать уязвимые драйверы, включив список заблокированных драйверов Microsoft. Постоянное информирование о возникающих угрозах и внедрение комплексных стратегий защиты имеют решающее значение для снижения подверженности передовым вредоносным кампаниям. Организации должны активно внедрять новейшие технологии безопасности и передовые методы защиты от появляющихся хакеров, таких как PLAYFULGHOST.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что вредоносная программа PLAYFULGHOST - это очень сложная угроза, нацеленная на пользователей с помощью кейлоггинга, захвата экрана и эксплойтов на уровне ядра. Он обладает общими функциональными возможностями с Gh0st RAT, фокусируясь на сборе информации с помощью различных методов, таких как фишинговые электронные письма и взлом VPN-приложений. Вредоносное ПО ускользает от обнаружения и закрепляется в зараженных системах, а хакеры умело обходят механизмы безопасности, используя уязвимости. Специалистам по кибербезопасности рекомендуется использовать передовые решения для обеспечения безопасности, блокировать уязвимые драйверы и быть в курсе событий, чтобы снизить риски, связанные с распространением передовых вредоносных программ, таких как PLAYFULGHOST.
-----
Вредоносная программа PLAYFULGHOST - это сложная разновидность, которая нацелена на пользователей с помощью кейлоггинга, захвата экрана и эксплойтов на уровне ядра. Она обладает общими функциональными возможностями с Gh0st RAT, что представляет серьезную угрозу безопасности. Основной целью PLAYFULGHOST является сбор информации, который достигается с помощью таких методов, как фишинговые электронные письма, SEO-атаки и взлом законных VPN-приложений. Векторы атак включают фишинговые электронные письма с вложениями, замаскированными под файлы изображений, и троянские версии популярных VPN-приложений. Вредоносная программа уклоняется от обнаружения, используя перехват порядка поиска DLL-файлов и стороннюю загрузку для запуска вредоносных DLL-файлов в памяти.
PLAYFULGHOST сохраняет работоспособность в зараженных системах с помощью различных механизмов, обеспечивая свою активность даже после перезагрузки. Он проводит обширный сбор информации, записывая нажатия клавиш, делая скриншоты, записывая аудио, похищая системные метаданные и собирая данные из различных учетных записей и продуктов безопасности. Кроме того, вредоносная программа может сбрасывать дополнительную полезную нагрузку, скрывать записи реестра, файлы и процессы, а также отключать средства защиты. Ее конкретные цели указывают на то, что она нацелена на китайскоязычных пользователей Windows, что совпадает с предыдущими атаками, распространяющими Gh0st RAT.
хакеры, стоящие за PLAYFULGHOST, умеют обходить продвинутые механизмы безопасности, используя уязвимости в драйверах оборудования для получения доступа на уровне ядра. Атаки BYOVD, использующие уязвимости в уязвимых драйверах, использовались такими группами, как Lazarus Group и группы программ-вымогателей, для отключения средств безопасности и повышения привилегий. Инструмент Terminator, используемый операторами PLAYFULGHOST, можно приобрести по относительно низкой цене на форумах по киберпреступности. Корпорация Майкрософт предприняла шаги по защите уязвимых драйверов и устранению эксплойтов BYOVD с помощью блокировок и дополнительных мер безопасности.
Обнаружение PLAYFULGHOST подчеркивает сложность современных кибератак. Чтобы снизить риски, специалисты по кибербезопасности должны использовать решения EDR/XDR и блокировать уязвимые драйверы, включив список заблокированных драйверов Microsoft. Постоянное информирование о возникающих угрозах и внедрение комплексных стратегий защиты имеют решающее значение для снижения подверженности передовым вредоносным кампаниям. Организации должны активно внедрять новейшие технологии безопасности и передовые методы защиты от появляющихся хакеров, таких как PLAYFULGHOST.
👍1
#ParsedReport #CompletenessHigh
06-01-2025
EAGERBEE, with updated and novel components, targets the Middle East
https://securelist.com/eagerbee-backdoor/115175
Report completeness: High
Actors/Campaigns:
Coughingdown
Threats:
Eagerbee
Dll_hijacking_technique
Proxylogon_exploit
Netstat_tool
Victims:
Isps, Governmental entities, Organizations
Industry:
Telco
Geo:
Japanese, Asian, Asia, Middle east
CVEs:
CVE-2021-26855 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)
ChatGPT TTPs:
T1055, T1059, T1012, T1105, T1027.002, T1573.001, T1190
IOCs:
File: 10
IP: 10
Path: 4
Registry: 1
Hash: 7
Domain: 2
Soft:
remote desktop services, Windows remote access, Active Directory Domain Services
Algorithms:
md5, xor, rc4, zip
Win API:
NetBIOS, SeDebugPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeTakeOwnershipPrivilege, CreateProcessW, CreateProcessAsUserW, LoadLibraryW, SeAuditPrivilege, decompress, have more...
Languages:
powershell
06-01-2025
EAGERBEE, with updated and novel components, targets the Middle East
https://securelist.com/eagerbee-backdoor/115175
Report completeness: High
Actors/Campaigns:
Coughingdown
Threats:
Eagerbee
Dll_hijacking_technique
Proxylogon_exploit
Netstat_tool
Victims:
Isps, Governmental entities, Organizations
Industry:
Telco
Geo:
Japanese, Asian, Asia, Middle east
CVEs:
CVE-2021-26855 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)
ChatGPT TTPs:
do not use without manual checkT1055, T1059, T1012, T1105, T1027.002, T1573.001, T1190
IOCs:
File: 10
IP: 10
Path: 4
Registry: 1
Hash: 7
Domain: 2
Soft:
remote desktop services, Windows remote access, Active Directory Domain Services
Algorithms:
md5, xor, rc4, zip
Win API:
NetBIOS, SeDebugPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeTakeOwnershipPrivilege, CreateProcessW, CreateProcessAsUserW, LoadLibraryW, SeAuditPrivilege, decompress, have more...
Languages:
powershell
CTT Report Hub
#ParsedReport #CompletenessHigh 06-01-2025 EAGERBEE, with updated and novel components, targets the Middle East https://securelist.com/eagerbee-backdoor/115175 Report completeness: High Actors/Campaigns: Coughingdown Threats: Eagerbee Dll_hijacking_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в исследовании и анализе бэкдора EAGERBEE, который был внедрен в различных организациях на Ближнем Востоке и в Восточной Азии. Бэкдор включает в себя такие компоненты, как сервисный инжектор и плагины для выполнения команд, изучения файловых систем, управления сетевыми подключениями и взаимодействия с сервером управления (C2). Выявлены связи между ИГЕРБИ и группой "Кашингдаун", указывающие на возможную связь между этими двумя угрозами. Скрытый дизайн бэкдора, интеграция с обычной работой системы и использование уязвимостей, таких как ProxyLogon, создают проблемы для обнаружения и устранения последствий, подчеркивая важность своевременного исправления для защиты сетей.
-----
Расследование бэкдора EAGERBEE выявило его использование интернет-провайдерами и правительственными организациями на Ближнем Востоке, что привело к появлению новых компонентов для вредоносной деятельности. Примечательно, что был обнаружен сервисный инжектор для внедрения бэкдора в работающую службу, а также дополнительные плагины, позволяющие выполнять различные операции, такие как выполнение команд, изучение файловых систем и управление сетевыми подключениями. Плагины были разделены на группы, включающие Plugin Orchestrator, Управление файловой системой, Менеджер удаленного доступа, исследование процессов, список сетевых подключений и управление сервисами.
Сервисный инжектор с именем "tsvipsrv.dll" нацелен на процесс обслуживания тем, записывая байты бэкдора вместе с кодом-заглушкой, чтобы распаковать их и ввести в память сервисного процесса. Сам бэкдор с именем "dllloader1x64.dll" собирает системную информацию и взаимодействует с сервером управления (C2), при этом конфигурации либо хранятся в файле, либо жестко закодированы в двоичном формате.
В Восточной Азии EAGERBEE был обнаружен в организациях, взломанных с помощью уязвимости ProxyLogon на серверах Exchange, что привело к развертыванию вредоносных веб-оболочек и злоупотреблению законными службами Windows, такими как MSDTC, IKEEXT и SessionEnv, для загрузки бэкдора. Загрузчик библиотек DLL, выполняемых этими службами, облегчил загрузку бэкдора EAGERBEE в память. Были выявлены связи между бэкдором EAGERBEE и группой CoughingDown, в частности, из-за совпадения кода и использования IP-адресов C2 совместно с образцами CoughingDown, что указывает на возможную связь между двумя угрозами.
Резидентная память EAGERBEE повышает ее скрытность, позволяя обходить традиционные решения безопасности, внедряя вредоносный код в законные процессы и выполняя его во время сеансов пользователя. Способность вредоносного ПО легко интегрироваться в обычные системные операции создает проблемы для обнаружения и анализа. Использование уязвимости ProxyLogon в качестве исходного вектора доступа при атаках в Восточной Азии подчеркивает важность своевременного исправления для защиты сетей от несанкционированного доступа.
Склонность к последовательному созданию сервисов с помощью веб-оболочек для выполнения как бэкдора EAGERBEE, так и основного модуля CoughingDown, а также дублирование в доменах C2 позволяют со средней степенью достоверности оценить связь бэкдора EAGERBEE с хакерской группой CoughingDown. Однако сохраняется неопределенность в отношении первоначального источника заражения и конкретной группы, ответственной за внедрение бэкдора EAGERBEE на Ближнем Востоке.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в исследовании и анализе бэкдора EAGERBEE, который был внедрен в различных организациях на Ближнем Востоке и в Восточной Азии. Бэкдор включает в себя такие компоненты, как сервисный инжектор и плагины для выполнения команд, изучения файловых систем, управления сетевыми подключениями и взаимодействия с сервером управления (C2). Выявлены связи между ИГЕРБИ и группой "Кашингдаун", указывающие на возможную связь между этими двумя угрозами. Скрытый дизайн бэкдора, интеграция с обычной работой системы и использование уязвимостей, таких как ProxyLogon, создают проблемы для обнаружения и устранения последствий, подчеркивая важность своевременного исправления для защиты сетей.
-----
Расследование бэкдора EAGERBEE выявило его использование интернет-провайдерами и правительственными организациями на Ближнем Востоке, что привело к появлению новых компонентов для вредоносной деятельности. Примечательно, что был обнаружен сервисный инжектор для внедрения бэкдора в работающую службу, а также дополнительные плагины, позволяющие выполнять различные операции, такие как выполнение команд, изучение файловых систем и управление сетевыми подключениями. Плагины были разделены на группы, включающие Plugin Orchestrator, Управление файловой системой, Менеджер удаленного доступа, исследование процессов, список сетевых подключений и управление сервисами.
Сервисный инжектор с именем "tsvipsrv.dll" нацелен на процесс обслуживания тем, записывая байты бэкдора вместе с кодом-заглушкой, чтобы распаковать их и ввести в память сервисного процесса. Сам бэкдор с именем "dllloader1x64.dll" собирает системную информацию и взаимодействует с сервером управления (C2), при этом конфигурации либо хранятся в файле, либо жестко закодированы в двоичном формате.
В Восточной Азии EAGERBEE был обнаружен в организациях, взломанных с помощью уязвимости ProxyLogon на серверах Exchange, что привело к развертыванию вредоносных веб-оболочек и злоупотреблению законными службами Windows, такими как MSDTC, IKEEXT и SessionEnv, для загрузки бэкдора. Загрузчик библиотек DLL, выполняемых этими службами, облегчил загрузку бэкдора EAGERBEE в память. Были выявлены связи между бэкдором EAGERBEE и группой CoughingDown, в частности, из-за совпадения кода и использования IP-адресов C2 совместно с образцами CoughingDown, что указывает на возможную связь между двумя угрозами.
Резидентная память EAGERBEE повышает ее скрытность, позволяя обходить традиционные решения безопасности, внедряя вредоносный код в законные процессы и выполняя его во время сеансов пользователя. Способность вредоносного ПО легко интегрироваться в обычные системные операции создает проблемы для обнаружения и анализа. Использование уязвимости ProxyLogon в качестве исходного вектора доступа при атаках в Восточной Азии подчеркивает важность своевременного исправления для защиты сетей от несанкционированного доступа.
Склонность к последовательному созданию сервисов с помощью веб-оболочек для выполнения как бэкдора EAGERBEE, так и основного модуля CoughingDown, а также дублирование в доменах C2 позволяют со средней степенью достоверности оценить связь бэкдора EAGERBEE с хакерской группой CoughingDown. Однако сохраняется неопределенность в отношении первоначального источника заражения и конкретной группы, ответственной за внедрение бэкдора EAGERBEE на Ближнем Востоке.
#ParsedReport #CompletenessLow
06-01-2025
Black Basta s Tactical Evolution: Deploying Zbot, DarkGate, and Bespoke Malware
https://socradar.io/black-basta-deploying-zbot-darkgate-bespoke-malware
Report completeness: Low
Threats:
Blackbasta
Zeus
Darkgate
Anydesk_tool
Microsoft_quick_assist_tool
Teamviewer_tool
Credential_stealing_technique
Process_hollowing_technique
Pid_spoofing_technique
Credential_harvesting_technique
Industry:
Healthcare, Energy, Financial
TTPs:
IOCs:
IP: 24
Soft:
Microsoft Teams
06-01-2025
Black Basta s Tactical Evolution: Deploying Zbot, DarkGate, and Bespoke Malware
https://socradar.io/black-basta-deploying-zbot-darkgate-bespoke-malware
Report completeness: Low
Threats:
Blackbasta
Zeus
Darkgate
Anydesk_tool
Microsoft_quick_assist_tool
Teamviewer_tool
Credential_stealing_technique
Process_hollowing_technique
Pid_spoofing_technique
Credential_harvesting_technique
Industry:
Healthcare, Energy, Financial
TTPs:
IOCs:
IP: 24
Soft:
Microsoft Teams
SOCRadar® Cyber Intelligence Inc.
Black Basta’s Tactical Evolution: Deploying Zbot, DarkGate, and Bespoke Malware
This latest campaign underscores their tactical evolution, leveraging malware payloads like Zbot and DarkGate, and bespoke tools to infiltrate...
CTT Report Hub
#ParsedReport #CompletenessLow 06-01-2025 Black Basta s Tactical Evolution: Deploying Zbot, DarkGate, and Bespoke Malware https://socradar.io/black-basta-deploying-zbot-darkgate-bespoke-malware Report completeness: Low Threats: Blackbasta Zeus Darkgate…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Black Basta - это крупная группа программ-вымогателей, которая постоянно совершенствует свою тактику взлома систем защиты организаций, используя передовые методы социальной инженерии, сложные вредоносные программы и специальные инструменты для проникновения в системы в различных секторах. В настоящее время деятельность группы нацелена на такие отрасли, как здравоохранение, финансы, производство и национальная безопасность, что требует от организаций подготовки к более совершенным и целенаправленным кибератакам. В нем подчеркивается важность реализации многоуровневой стратегии безопасности для борьбы с этими развивающимися угрозами и подчеркивается необходимость в проактивной защите и использовании таких инструментов, как SOCRadar, для разведки и защиты от хакеров.
-----
Black Basta - крупная группа программ-вымогателей, известная своей постоянно развивающейся тактикой взлома систем защиты организаций, использующая передовые методы социальной инженерии, сложные вредоносные программы, такие как Zbot и DarkGate, а также специальные инструменты для разрушительных атак.
Последняя кампания группы нацелена на различные сектора, включая здравоохранение, финансы, производство и национальную безопасность, с помощью таких методов, как фишинговые электронные письма, выдача себя за сотрудников ИТ-службы поддержки Microsoft Teams и использование средств удаленного доступа для проникновения в системы.
В арсенале вредоносных программ Black Basta есть Zbot для кражи учетных данных, DarkGate для вредоносных действий и выполнения программ-вымогателей, а также специальные инструменты, адаптированные для конкретных сред, которые опираются на передовые методы уклонения, такие как скрытие полезной нагрузки и использование законных платформ и QR-кодов для обхода мер безопасности.
Кампания охватывает несколько секторов, подчеркивая необходимость внедрения организациями многоуровневой стратегии обеспечения безопасности, которая включает в себя ключевые меры по предотвращению использования наблюдаемых методов в ходе кампании.
Чтобы противостоять растущей сложности Black Basta, организациям рекомендуется внедрять проактивные средства защиты, использовать такие инструменты, как SOCRadar для сбора информации о хакерах, защиты от цифровых рисков и возможности управления поверхностями атак, для отслеживания злоумышленников, обнаружения попыток олицетворения и защиты уязвимых активов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Black Basta - это крупная группа программ-вымогателей, которая постоянно совершенствует свою тактику взлома систем защиты организаций, используя передовые методы социальной инженерии, сложные вредоносные программы и специальные инструменты для проникновения в системы в различных секторах. В настоящее время деятельность группы нацелена на такие отрасли, как здравоохранение, финансы, производство и национальная безопасность, что требует от организаций подготовки к более совершенным и целенаправленным кибератакам. В нем подчеркивается важность реализации многоуровневой стратегии безопасности для борьбы с этими развивающимися угрозами и подчеркивается необходимость в проактивной защите и использовании таких инструментов, как SOCRadar, для разведки и защиты от хакеров.
-----
Black Basta - крупная группа программ-вымогателей, известная своей постоянно развивающейся тактикой взлома систем защиты организаций, использующая передовые методы социальной инженерии, сложные вредоносные программы, такие как Zbot и DarkGate, а также специальные инструменты для разрушительных атак.
Последняя кампания группы нацелена на различные сектора, включая здравоохранение, финансы, производство и национальную безопасность, с помощью таких методов, как фишинговые электронные письма, выдача себя за сотрудников ИТ-службы поддержки Microsoft Teams и использование средств удаленного доступа для проникновения в системы.
В арсенале вредоносных программ Black Basta есть Zbot для кражи учетных данных, DarkGate для вредоносных действий и выполнения программ-вымогателей, а также специальные инструменты, адаптированные для конкретных сред, которые опираются на передовые методы уклонения, такие как скрытие полезной нагрузки и использование законных платформ и QR-кодов для обхода мер безопасности.
Кампания охватывает несколько секторов, подчеркивая необходимость внедрения организациями многоуровневой стратегии обеспечения безопасности, которая включает в себя ключевые меры по предотвращению использования наблюдаемых методов в ходе кампании.
Чтобы противостоять растущей сложности Black Basta, организациям рекомендуется внедрять проактивные средства защиты, использовать такие инструменты, как SOCRadar для сбора информации о хакерах, защиты от цифровых рисков и возможности управления поверхностями атак, для отслеживания злоумышленников, обнаружения попыток олицетворения и защиты уязвимых активов.
#ParsedReport #CompletenessMedium
07-01-2025
Gayfemboy: A botnet that spreads using Four-Faith Industrial Routers 0DAY
https://blog.xlab.qianxin.com/gayfemboy
Report completeness: Medium
Threats:
Gayfemboy
Mirai
Upx_tool
Ghostnet
Victims:
Four-faith industrial routers, Neterbit routers, Vimar smart home devices
Industry:
Government
Geo:
Netherlands, California, China, Russia, Germany, Singapore, Australia, Poland, United kingdom, Los angeles, New york, Luxembourg, Iran, Moscow, Bulgaria
CVEs:
CVE-2013-3307 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
CVE-2020-25499 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- totolink a3002r firmware (<1.1.1-b20200824.0128)
CVE-2014-8361 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dir-905l firmware (le2.05b01)
CVE-2021-35394 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- realtek realtek jungle sdk (le3.4.14b)
CNVD-2022-77903 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
CVE-2013-7471 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dir-300 firmware (2.14b01)
CVE-2017-5259 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cambiumnetworks cnpilot r190v firmware (le4.3.2-r4)
CVE-2016-20016 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- mvpower tv-7104he firmware (1.8.4_115215b9)
CVE-2024-8956 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ptzoptics pt30x-sdi firmware (<6.3.40)
CVE-2017-17215 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- huawei hg532 firmware (-)
CVE-2020-9054 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- zyxel nas326 firmware (<5.21\(aazf.7\)c0)
CVE-2024-8957 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ptzoptics pt30x-sdi firmware (<6.3.40)
CVE-2023-26801 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- lb-link bl-lte300 firmware (1.0.8)
CVE-2024-12856 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
ChatGPT TTPs:
T1071, T1203, T1499
IOCs:
Domain: 2
File: 1
Hash: 3
IP: 56
Algorithms:
sha1
Languages:
javascript
Links:
have more...
07-01-2025
Gayfemboy: A botnet that spreads using Four-Faith Industrial Routers 0DAY
https://blog.xlab.qianxin.com/gayfemboy
Report completeness: Medium
Threats:
Gayfemboy
Mirai
Upx_tool
Ghostnet
Victims:
Four-faith industrial routers, Neterbit routers, Vimar smart home devices
Industry:
Government
Geo:
Netherlands, California, China, Russia, Germany, Singapore, Australia, Poland, United kingdom, Los angeles, New york, Luxembourg, Iran, Moscow, Bulgaria
CVEs:
CVE-2013-3307 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
CVE-2020-25499 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- totolink a3002r firmware (<1.1.1-b20200824.0128)
CVE-2014-8361 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dir-905l firmware (le2.05b01)
CVE-2021-35394 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- realtek realtek jungle sdk (le3.4.14b)
CNVD-2022-77903 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
CVE-2013-7471 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dir-300 firmware (2.14b01)
CVE-2017-5259 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cambiumnetworks cnpilot r190v firmware (le4.3.2-r4)
CVE-2016-20016 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- mvpower tv-7104he firmware (1.8.4_115215b9)
CVE-2024-8956 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ptzoptics pt30x-sdi firmware (<6.3.40)
CVE-2017-17215 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- huawei hg532 firmware (-)
CVE-2020-9054 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- zyxel nas326 firmware (<5.21\(aazf.7\)c0)
CVE-2024-8957 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ptzoptics pt30x-sdi firmware (<6.3.40)
CVE-2023-26801 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- lb-link bl-lte300 firmware (1.0.8)
CVE-2024-12856 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
ChatGPT TTPs:
do not use without manual checkT1071, T1203, T1499
IOCs:
Domain: 2
File: 1
Hash: 3
IP: 56
Algorithms:
sha1
Languages:
javascript
Links:
https://github.com/mcw0/PoC/blob/master/TVT-PoC.py?ref=blog.xlab.qianxin.comhttps://github.com/stasinopoulos/ZTExploit/blob/master/ZTExploit\_Source/ztexploit.py?ref=blog.xlab.qianxin.comhttps://github.com/BugFor-Pings/Safety-Kill/blob/main/2023%E5%B9%B412%E6%9C%88%EF%BC%8C%E5%AE%89%E5%85%A8%E8%AE%BE%E5%A4%87%E9%80%9A%E6%9D%80%E7%AC%AC%E4%BA%8C%E5%BC%B9.py?ref=blog.xlab.qianxin.comhave more...
奇安信 X 实验室
Gayfemboy：一个利用四信工业路由0DAY传播的僵尸网络
概述
无数脚本小子怀揣着发财梦，拿着 Mirai 的源码兴高采烈地杀入 DDoS 黑产行业，幻想着靠僵尸网络大赚一笔。现实是残酷的，这些人来时满怀雄心，去时却灰头土脸，只给安全社区留下一个又一个只能活跃 3–4 天的 Mirai 变种。然而，今天的主角Gayfemboy是一个例外。
Gayfemboy 僵尸网络首次于 2024 年 2 月初被 XLab 捕获，并持续活跃至今。它的早期版本并不起眼，仅仅是一个使用 UPX 加壳的 Mirai 派生版本，毫无新意。然而，其背后的开发者显然不甘平庸，随…
无数脚本小子怀揣着发财梦，拿着 Mirai 的源码兴高采烈地杀入 DDoS 黑产行业，幻想着靠僵尸网络大赚一笔。现实是残酷的，这些人来时满怀雄心，去时却灰头土脸，只给安全社区留下一个又一个只能活跃 3–4 天的 Mirai 变种。然而，今天的主角Gayfemboy是一个例外。
Gayfemboy 僵尸网络首次于 2024 年 2 月初被 XLab 捕获，并持续活跃至今。它的早期版本并不起眼，仅仅是一个使用 UPX 加壳的 Mirai 派生版本，毫无新意。然而，其背后的开发者显然不甘平庸，随…
CTT Report Hub
#ParsedReport #CompletenessMedium 07-01-2025 Gayfemboy: A botnet that spreads using Four-Faith Industrial Routers 0DAY https://blog.xlab.qianxin.com/gayfemboy Report completeness: Medium Threats: Gayfemboy Mirai Upx_tool Ghostnet Victims: Four-faith industrial…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в эволюции и деятельности ботнета Gayfemboy, который продемонстрировал значительную изощренность и непрерывную эволюцию с момента его захвата XLab. Ботнет расширил свой охват, используя различные уязвимости, в том числе уязвимости 0day, и продемонстрировал разрушительные DDoS-атаки. В тексте подчеркивается важность внедрения комплексных стратегий защиты для снижения риска, создаваемого такими хакерами.
-----
Gayfemboy - это известный ботнет, который значительно эволюционировал с момента его первоначального захвата XLab в начале февраля 2024 года. В то время как многие любители скриптов выходят на черный рынок DDoS-атак с мечтой разбогатеть, используя исходный код Mirai, Gayfemboy выделяется своей постоянной активностью и сложной эволюцией. Изначально Gayfemboy был просто производной от Mirai, оснащенной UPX, но его разработчики проявили амбиции, изменив онлайн-сообщения, поэкспериментировав с оболочкой UPX, активно интегрируя уязвимости Nday и самостоятельно обнаруживая уязвимости 0day, чтобы расширить охват ботнета.
К ноябрю 2024 года Gayfemboy эволюционировал и стал распространять образцы, используя уязвимость 0day в промышленных маршрутизаторах Four-Faith и неизвестные уязвимости в маршрутизаторах Neterbit и устройствах для умного дома Vimar. XLab зарегистрировала доменные имена C2 для наблюдения за зараженными устройствами и установила, что Gayfemboy может похвастаться более чем 40 онлайн-группами и более чем 15 000 ежедневно активными узлами. Примечательно, что ботнет отреагировал мстительно, запустив DDoS-атаки на доменные имена, зарегистрированные компанией XLab.
Gayfemboy использовал более 20 уязвимостей и слабые пароли Telnet для распространения образцов, включая уязвимость 0day в промышленном маршрутизаторе Four-Faith (CVE-2024-12856). Ключевые изменения от Mirai включали использование уникального магического числа UPX "1wom", скрытой функции pid, строк с открытым текстом и новых командных функций. Разработчики ботнета не уделяли особого внимания защите строк; все строки представлены в виде обычного текста.
Как продемонстрировал Gayfemboy, DDoS-атаки являются многоразовым и разрушительным кибероружием. Они могут мгновенно запускать крупномасштабные атаки на трафик через распределенные ботнеты, вызывая истощение или паралич сети. DDoS-атаки являются универсальными, скрытыми и представляют серьезную угрозу для организаций и частных лиц. Поэтому крайне важно внедрять комплексные стратегии защиты, чтобы снизить риск подобных атак и повысить общую устойчивость системы.
Ботнет Gayfemboy ежедневно использовал около 15 000 активных IP-адресов ботов, в основном в Китае, США, Иране, России и Турции. При подключении к CC он передавал группирующую информацию для идентификации и систематизации зараженных устройств, помогая злоумышленникам эффективно управлять ботнетом. Ботнет был нацелен на целый ряд отраслей по всему миру, причем наибольшее количество атак было зафиксировано в октябре и ноябре прошлого года.
XLab столкнулась с ответными DDoS-атаками со стороны Gayfemboy после преобразования доменного имени ботнета в VPS поставщика облачных услуг. Атаки обычно длились от 10 до 30 секунд, в результате чего поставщик облачных услуг блокировал трафик на VPS XLab, делая свои сервисы недоступными более чем на 24 часа. Несмотря на то, что XLab не использовала сервисы защиты от DDoS-атак, она решила прекратить использование доменного имени Gayfemboy для предотвращения атак. Трафик, генерируемый Gayfemboy, по оценкам, достигал около 100 Гбит/с.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в эволюции и деятельности ботнета Gayfemboy, который продемонстрировал значительную изощренность и непрерывную эволюцию с момента его захвата XLab. Ботнет расширил свой охват, используя различные уязвимости, в том числе уязвимости 0day, и продемонстрировал разрушительные DDoS-атаки. В тексте подчеркивается важность внедрения комплексных стратегий защиты для снижения риска, создаваемого такими хакерами.
-----
Gayfemboy - это известный ботнет, который значительно эволюционировал с момента его первоначального захвата XLab в начале февраля 2024 года. В то время как многие любители скриптов выходят на черный рынок DDoS-атак с мечтой разбогатеть, используя исходный код Mirai, Gayfemboy выделяется своей постоянной активностью и сложной эволюцией. Изначально Gayfemboy был просто производной от Mirai, оснащенной UPX, но его разработчики проявили амбиции, изменив онлайн-сообщения, поэкспериментировав с оболочкой UPX, активно интегрируя уязвимости Nday и самостоятельно обнаруживая уязвимости 0day, чтобы расширить охват ботнета.
К ноябрю 2024 года Gayfemboy эволюционировал и стал распространять образцы, используя уязвимость 0day в промышленных маршрутизаторах Four-Faith и неизвестные уязвимости в маршрутизаторах Neterbit и устройствах для умного дома Vimar. XLab зарегистрировала доменные имена C2 для наблюдения за зараженными устройствами и установила, что Gayfemboy может похвастаться более чем 40 онлайн-группами и более чем 15 000 ежедневно активными узлами. Примечательно, что ботнет отреагировал мстительно, запустив DDoS-атаки на доменные имена, зарегистрированные компанией XLab.
Gayfemboy использовал более 20 уязвимостей и слабые пароли Telnet для распространения образцов, включая уязвимость 0day в промышленном маршрутизаторе Four-Faith (CVE-2024-12856). Ключевые изменения от Mirai включали использование уникального магического числа UPX "1wom", скрытой функции pid, строк с открытым текстом и новых командных функций. Разработчики ботнета не уделяли особого внимания защите строк; все строки представлены в виде обычного текста.
Как продемонстрировал Gayfemboy, DDoS-атаки являются многоразовым и разрушительным кибероружием. Они могут мгновенно запускать крупномасштабные атаки на трафик через распределенные ботнеты, вызывая истощение или паралич сети. DDoS-атаки являются универсальными, скрытыми и представляют серьезную угрозу для организаций и частных лиц. Поэтому крайне важно внедрять комплексные стратегии защиты, чтобы снизить риск подобных атак и повысить общую устойчивость системы.
Ботнет Gayfemboy ежедневно использовал около 15 000 активных IP-адресов ботов, в основном в Китае, США, Иране, России и Турции. При подключении к CC он передавал группирующую информацию для идентификации и систематизации зараженных устройств, помогая злоумышленникам эффективно управлять ботнетом. Ботнет был нацелен на целый ряд отраслей по всему миру, причем наибольшее количество атак было зафиксировано в октябре и ноябре прошлого года.
XLab столкнулась с ответными DDoS-атаками со стороны Gayfemboy после преобразования доменного имени ботнета в VPS поставщика облачных услуг. Атаки обычно длились от 10 до 30 секунд, в результате чего поставщик облачных услуг блокировал трафик на VPS XLab, делая свои сервисы недоступными более чем на 24 часа. Несмотря на то, что XLab не использовала сервисы защиты от DDoS-атак, она решила прекратить использование доменного имени Gayfemboy для предотвращения атак. Трафик, генерируемый Gayfemboy, по оценкам, достигал около 100 Гбит/с.
#ParsedReport #CompletenessMedium
07-01-2025
Turla Cyber Campaign Targeting Pakistan s Critical Infrastructure
https://socradar.io/turla-cyber-campaign-pakistans-critical-infrastructure
Report completeness: Medium
Actors/Campaigns:
Turla (motivation: cyber_espionage)
Storm-0156 (motivation: cyber_espionage)
Threats:
Dll_hijacking_technique
Victims:
Governments, Military institutions, Critical infrastructure
Industry:
Military, Critical_infrastructure, Government, Energy, Telco
Geo:
Afghan, Indian, Pakistan
CVEs:
CVE-2022-38028 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.19507)
- microsoft windows 10 1607 (<10.0.14393.5427)
- microsoft windows 10 1809 (<10.0.17763.3532)
- microsoft windows 10 20h2 (<10.0.19042.2130)
- microsoft windows 10 21h1 (<10.0.19043.2130)
have more...
TTPs:
IOCs:
IP: 3
Domain: 3
07-01-2025
Turla Cyber Campaign Targeting Pakistan s Critical Infrastructure
https://socradar.io/turla-cyber-campaign-pakistans-critical-infrastructure
Report completeness: Medium
Actors/Campaigns:
Turla (motivation: cyber_espionage)
Storm-0156 (motivation: cyber_espionage)
Threats:
Dll_hijacking_technique
Victims:
Governments, Military institutions, Critical infrastructure
Industry:
Military, Critical_infrastructure, Government, Energy, Telco
Geo:
Afghan, Indian, Pakistan
CVEs:
CVE-2022-38028 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.19507)
- microsoft windows 10 1607 (<10.0.14393.5427)
- microsoft windows 10 1809 (<10.0.17763.3532)
- microsoft windows 10 20h2 (<10.0.19042.2130)
- microsoft windows 10 21h1 (<10.0.19043.2130)
have more...
TTPs:
IOCs:
IP: 3
Domain: 3
SOCRadar® Cyber Intelligence Inc.
Turla Cyber Campaign Targeting Pakistan's Critical Infrastructure
In its latest campaign, Turla (a state-sponsored actor) has focused its attention on Pakistan's critical infrastructure...
CTT Report Hub
#ParsedReport #CompletenessMedium 07-01-2025 Turla Cyber Campaign Targeting Pakistan s Critical Infrastructure https://socradar.io/turla-cyber-campaign-pakistans-critical-infrastructure Report completeness: Medium Actors/Campaigns: Turla (motivation: …
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что группа Turla, изощренная хакерская группировка, часто связанная с государственным спонсорством, в настоящее время нацелена на критически важную инфраструктуру Пакистана с помощью передовых кибератак, создавая значительные угрозы как для Пакистана, так и для региональной/глобальной безопасности. Группа использует такие тактики, как фишинг, внедрение вредоносных программ, перехват библиотек DLL и шифрование, для использования уязвимостей и утечки данных. В недавних отчетах указывается, что операции под псевдонимом нацелены на другие организации и расширяют возможности шпионажа. Организациям рекомендуется использовать модули поиска угроз, такие как SOCRadar, для раннего обнаружения и эффективного реагирования на такие APT.
-----
Группа Turla - известная хакерская группировка, известная своими изощренными и запутанными кибератаками, которые часто приписываются государственному спонсорству. Нацеленные на правительства, военные учреждения и критически важную инфраструктуру по всему миру, они в последнее время сосредоточили свое внимание на критически важной инфраструктуре Пакистана, что создает значительные угрозы не только для Пакистана, но и для региональной безопасности и глобального хакерского ландшафта.
Недавняя кампания Turla в Пакистане нацелена на ключевые секторы, такие как энергетика, телекоммуникации и правительственные сети. Используя такие тактики, как фишинг и внедрение вредоносных программ, группа использует уязвимости, в том числе CVE-2022-38028, демонстрируя свои передовые возможности. Turla использует сложные методы, такие как перехват библиотек DLL для обеспечения сохранности и обхода, многоуровневое шифрование для обеспечения безопасной связи, периодические подключения к серверам командования и контроля, а также внедрение вредоносных программ в точки запуска системы для утечки данных и нарушения работы систем.
В конце 2024 года Microsoft сообщила, что Turla под псевдонимом Secret Blizzard взломала инфраструктуру хакерской группы Storm-0156, базирующейся в Пакистане. Используя бэкдоры и инструменты Storm-0156, Turla нацеливалась на такие организации, как афганское правительство и индийская армия, используя стороннюю инфраструктуру для запутывания операций, усложнения идентификации и расширения возможностей шпионажа. Организациям, которым требуется защита от продвинутых угроз, модуль поиска угроз SOCRadar предоставляет информацию для раннего обнаружения и эффективного реагирования на кампании кибершпионажа, подобные кампании Turla.
Индикаторы компрометации кампании (IOCs) включают различные IP-адреса, доменные имена и компоненты вредоносного ПО, что облегчает взаимодействие между вредоносным ПО и злоумышленниками для поддержания кампании. Для защиты систем и данных от таких методов рекомендуются меры по смягчению последствий и устранению неполадок, как описано в подробных отчетах на странице кампаний SOCRadar LABS, которые содержат полезную информацию для усиления стратегий защиты от APT, таких как Turla.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что группа Turla, изощренная хакерская группировка, часто связанная с государственным спонсорством, в настоящее время нацелена на критически важную инфраструктуру Пакистана с помощью передовых кибератак, создавая значительные угрозы как для Пакистана, так и для региональной/глобальной безопасности. Группа использует такие тактики, как фишинг, внедрение вредоносных программ, перехват библиотек DLL и шифрование, для использования уязвимостей и утечки данных. В недавних отчетах указывается, что операции под псевдонимом нацелены на другие организации и расширяют возможности шпионажа. Организациям рекомендуется использовать модули поиска угроз, такие как SOCRadar, для раннего обнаружения и эффективного реагирования на такие APT.
-----
Группа Turla - известная хакерская группировка, известная своими изощренными и запутанными кибератаками, которые часто приписываются государственному спонсорству. Нацеленные на правительства, военные учреждения и критически важную инфраструктуру по всему миру, они в последнее время сосредоточили свое внимание на критически важной инфраструктуре Пакистана, что создает значительные угрозы не только для Пакистана, но и для региональной безопасности и глобального хакерского ландшафта.
Недавняя кампания Turla в Пакистане нацелена на ключевые секторы, такие как энергетика, телекоммуникации и правительственные сети. Используя такие тактики, как фишинг и внедрение вредоносных программ, группа использует уязвимости, в том числе CVE-2022-38028, демонстрируя свои передовые возможности. Turla использует сложные методы, такие как перехват библиотек DLL для обеспечения сохранности и обхода, многоуровневое шифрование для обеспечения безопасной связи, периодические подключения к серверам командования и контроля, а также внедрение вредоносных программ в точки запуска системы для утечки данных и нарушения работы систем.
В конце 2024 года Microsoft сообщила, что Turla под псевдонимом Secret Blizzard взломала инфраструктуру хакерской группы Storm-0156, базирующейся в Пакистане. Используя бэкдоры и инструменты Storm-0156, Turla нацеливалась на такие организации, как афганское правительство и индийская армия, используя стороннюю инфраструктуру для запутывания операций, усложнения идентификации и расширения возможностей шпионажа. Организациям, которым требуется защита от продвинутых угроз, модуль поиска угроз SOCRadar предоставляет информацию для раннего обнаружения и эффективного реагирования на кампании кибершпионажа, подобные кампании Turla.
Индикаторы компрометации кампании (IOCs) включают различные IP-адреса, доменные имена и компоненты вредоносного ПО, что облегчает взаимодействие между вредоносным ПО и злоумышленниками для поддержания кампании. Для защиты систем и данных от таких методов рекомендуются меры по смягчению последствий и устранению неполадок, как описано в подробных отчетах на странице кампаний SOCRadar LABS, которые содержат полезную информацию для усиления стратегий защиты от APT, таких как Turla.
#ParsedReport #CompletenessMedium
08-01-2025
Beware of foreign APT organizations poisoning GitHub and attacking domestic security practitioners and designated large enterprises
https://www.ctfiot.com/223125.html
Report completeness: Medium
Actors/Campaigns:
Oceanlotus
Threats:
Cobalt_strike
Spear-phishing_technique
Victims:
Cybersecurity personnel, Domestic security researchers
Industry:
Government, Financial
Geo:
Chinese, Asian, China
ChatGPT TTPs:
T1566.001, T1059.004, T1203, T1221
IOCs:
File: 2
Hash: 1
IP: 8
Soft:
Visual Studio, Weibo, WeChat
Algorithms:
base64
08-01-2025
Beware of foreign APT organizations poisoning GitHub and attacking domestic security practitioners and designated large enterprises
https://www.ctfiot.com/223125.html
Report completeness: Medium
Actors/Campaigns:
Oceanlotus
Threats:
Cobalt_strike
Spear-phishing_technique
Victims:
Cybersecurity personnel, Domestic security researchers
Industry:
Government, Financial
Geo:
Chinese, Asian, China
ChatGPT TTPs:
do not use without manual checkT1566.001, T1059.004, T1203, T1221
IOCs:
File: 2
Hash: 1
IP: 8
Soft:
Visual Studio, Weibo, WeChat
Algorithms:
base64
CTF导航
警惕境外APT组织在GitHub投毒，攻击国内安全从业者、指定大企业 | CTF导航
1摘要近期网络流传网络安全从业人员使用的某提权工具被植入后门，造成了工具使用者的身份和数据泄露。经微步研判，该事件为东南亚APT组织“海莲花”利用GitHub发布带有木马的Cobalt Strike漏洞利用插件，针对网络安...
CTT Report Hub
#ParsedReport #CompletenessMedium 08-01-2025 Beware of foreign APT organizations poisoning GitHub and attacking domestic security practitioners and designated large enterprises https://www.ctfiot.com/223125.html Report completeness: Medium Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - подробный анализ кибератаки, проведенной APT-группой из Юго-Восточной Азии "Ocean Lotus", нацеленной на различные отрасли промышленности и группы в Китае путем распространения вредоносного бэкдора с помощью инструмента повышения привилегий на GitHub. В ходе атаки был использован новый метод доставки вредоносных файлов .suo в проекты Visual Studio, который заключался в скрытом запуске троянских программ после компиляции. Разведывательное бюро Weibu обнаружило и проанализировало атаку в ноябре 2024 года, используя множество инструментов и методов для извлечения IOCS для обнаружения разведывательных угроз и защиты от сложной и целенаправленной атаки Ocean Lotus.
-----
Инцидент связан с вредоносным бэкдором, встроенным в инструмент повышения привилегий, который был распространен в Интернете, что привело к утечке идентификационных данных пользователей. Анализ Weibu показал, что атака была совершена APT-группой из Юго-Восточной Азии "Ocean Lotus", которая использовала GitHub для распространения троянского плагина, использующего уязвимость Cobalt Strike. Разведывательное бюро Weibu выявило атаку в ноябре 2024 года и обнаружило учетную запись злоумышленника на GitHub. Злоумышленник использовал новый метод доставки вредоносных файлов .suo в проекты Visual Studio, который автоматически запускал троянскую программу, когда жертва компилировала проект, что делало атаку очень скрытой.
"Ocean Lotus" был нацелен на различные отрасли и группы в Китае, включая крупные технологические компании. Первоначальная атака произошла в период с середины сентября по начало октября 2024 года, в результате чего разведывательное бюро Weibu перехватило подозрительные активы и троянские файлы. Проанализировав соответствующие выборки, IP-адреса и доменные имена, Weibu извлек несколько IOCs для интеллектуального обнаружения угроз. Для обнаружения и защиты от этой атаки Weibu использовала различные инструменты, такие как платформа восприятия угроз TDP, платформа управления аналитическими данными об угрозах TIP и платформа облачного анализа OneSandbox.
Основной метод, использованный "Ocean Lotus" в этой атаке, заключался в публикации проектов средств защиты с открытым исходным кодом на GitHub, чтобы привлечь исследователей в области безопасности для вторичного распространения. Злоумышленник зарегистрировал учетную запись на GitHub 10 октября 2024 года, представившись исследователем безопасности из ведущей отечественной финтех-компании. 14 и 21 октября они выпустили два вредоносных проекта, нацеленных на инструмент red team Cobalt Strike с новыми функциями использования уязвимостей. Злоумышленник использовал переведенные на китайский язык описания, чтобы заманить целевых пользователей в сферу безопасности, проинструктировав их использовать Visual Studio для открытия sln-файла проекта и запуска выполнения вредоносного кода.
В ходе атаки был впервые использован файл .suo в Visual Studio, что позволило автоматически запустить троянца при компиляции проекта жертвой. После выполнения вредоносный код будет перезаписан и удален, что затруднит его обнаружение. Атака включала в себя выполнение шеллкода посредством удаления библиотеки dll, внедрение коммуникационных команд C2 в иностранную платформу для создания заметок Concept, чтобы избежать обнаружения, и использование фишинговых электронных писем spear для первоначальных атак на государственные и корпоративные предприятия.
Атакующие ресурсы организации OceanLotus продемонстрировали характеристики сопоставления портов, что указывает на активные атаки с середины сентября по октябрь. В образцах были обнаружены данные, относящиеся к конкретной цели, такие как имя компьютера жертвы и конкретные крупные технологические компании. Анализ выявил целенаправленную стратегию атаки OceanLotus, подчеркивающую изощренность группы и ее намерение проникнуть в конкретные организации с вредоносными целями.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - подробный анализ кибератаки, проведенной APT-группой из Юго-Восточной Азии "Ocean Lotus", нацеленной на различные отрасли промышленности и группы в Китае путем распространения вредоносного бэкдора с помощью инструмента повышения привилегий на GitHub. В ходе атаки был использован новый метод доставки вредоносных файлов .suo в проекты Visual Studio, который заключался в скрытом запуске троянских программ после компиляции. Разведывательное бюро Weibu обнаружило и проанализировало атаку в ноябре 2024 года, используя множество инструментов и методов для извлечения IOCS для обнаружения разведывательных угроз и защиты от сложной и целенаправленной атаки Ocean Lotus.
-----
Инцидент связан с вредоносным бэкдором, встроенным в инструмент повышения привилегий, который был распространен в Интернете, что привело к утечке идентификационных данных пользователей. Анализ Weibu показал, что атака была совершена APT-группой из Юго-Восточной Азии "Ocean Lotus", которая использовала GitHub для распространения троянского плагина, использующего уязвимость Cobalt Strike. Разведывательное бюро Weibu выявило атаку в ноябре 2024 года и обнаружило учетную запись злоумышленника на GitHub. Злоумышленник использовал новый метод доставки вредоносных файлов .suo в проекты Visual Studio, который автоматически запускал троянскую программу, когда жертва компилировала проект, что делало атаку очень скрытой.
"Ocean Lotus" был нацелен на различные отрасли и группы в Китае, включая крупные технологические компании. Первоначальная атака произошла в период с середины сентября по начало октября 2024 года, в результате чего разведывательное бюро Weibu перехватило подозрительные активы и троянские файлы. Проанализировав соответствующие выборки, IP-адреса и доменные имена, Weibu извлек несколько IOCs для интеллектуального обнаружения угроз. Для обнаружения и защиты от этой атаки Weibu использовала различные инструменты, такие как платформа восприятия угроз TDP, платформа управления аналитическими данными об угрозах TIP и платформа облачного анализа OneSandbox.
Основной метод, использованный "Ocean Lotus" в этой атаке, заключался в публикации проектов средств защиты с открытым исходным кодом на GitHub, чтобы привлечь исследователей в области безопасности для вторичного распространения. Злоумышленник зарегистрировал учетную запись на GitHub 10 октября 2024 года, представившись исследователем безопасности из ведущей отечественной финтех-компании. 14 и 21 октября они выпустили два вредоносных проекта, нацеленных на инструмент red team Cobalt Strike с новыми функциями использования уязвимостей. Злоумышленник использовал переведенные на китайский язык описания, чтобы заманить целевых пользователей в сферу безопасности, проинструктировав их использовать Visual Studio для открытия sln-файла проекта и запуска выполнения вредоносного кода.
В ходе атаки был впервые использован файл .suo в Visual Studio, что позволило автоматически запустить троянца при компиляции проекта жертвой. После выполнения вредоносный код будет перезаписан и удален, что затруднит его обнаружение. Атака включала в себя выполнение шеллкода посредством удаления библиотеки dll, внедрение коммуникационных команд C2 в иностранную платформу для создания заметок Concept, чтобы избежать обнаружения, и использование фишинговых электронных писем spear для первоначальных атак на государственные и корпоративные предприятия.
Атакующие ресурсы организации OceanLotus продемонстрировали характеристики сопоставления портов, что указывает на активные атаки с середины сентября по октябрь. В образцах были обнаружены данные, относящиеся к конкретной цели, такие как имя компьютера жертвы и конкретные крупные технологические компании. Анализ выявил целенаправленную стратегию атаки OceanLotus, подчеркивающую изощренность группы и ее намерение проникнуть в конкретные организации с вредоносными целями.
#ParsedReport #CompletenessHigh
08-01-2025
Golang Beacons and VS Code Tunnels: Tracking a Cobalt Strike Server Leveraging Trusted Infrastructure
https://hunt.io/blog/golang-beacons-vs-code-tunnels-tracking-cobalt-strike
Report completeness: High
Actors/Campaigns:
Digital_eye
Red_delta
Pirate_panda
Threats:
Cobalt_strike
Geacon
Dev_tunnels_tool
Industry:
Critical_infrastructure
Geo:
Chinese, Asia, Hong kong
ChatGPT TTPs:
T1572, T1059, T1007, T1202
IOCs:
IP: 2
Domain: 1
File: 2
Hash: 1
Url: 3
Soft:
Visual Studio Code, Visual Studio
Algorithms:
sha256
Functions:
GetCommandLine
Languages:
golang
Platforms:
cross-platform
08-01-2025
Golang Beacons and VS Code Tunnels: Tracking a Cobalt Strike Server Leveraging Trusted Infrastructure
https://hunt.io/blog/golang-beacons-vs-code-tunnels-tracking-cobalt-strike
Report completeness: High
Actors/Campaigns:
Digital_eye
Red_delta
Pirate_panda
Threats:
Cobalt_strike
Geacon
Dev_tunnels_tool
Industry:
Critical_infrastructure
Geo:
Chinese, Asia, Hong kong
ChatGPT TTPs:
do not use without manual checkT1572, T1059, T1007, T1202
IOCs:
IP: 2
Domain: 1
File: 2
Hash: 1
Url: 3
Soft:
Visual Studio Code, Visual Studio
Algorithms:
sha256
Functions:
GetCommandLine
Languages:
golang
Platforms:
cross-platform
hunt.io
Golang Beacons and VS Code Tunnels: Tracking a Cobalt Strike Server Leveraging Trusted Infrastructure
Discover how a Cobalt Strike server with a TLS certificate and watermark used a Golang beacon to communicate via Visual Studio Code tunnels. Learn more.
CTT Report Hub
#ParsedReport #CompletenessHigh 08-01-2025 Golang Beacons and VS Code Tunnels: Tracking a Cobalt Strike Server Leveraging Trusted Infrastructure https://hunt.io/blog/golang-beacons-vs-code-tunnels-tracking-cobalt-strike Report completeness: High Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что хакеры используют различные тактические приемы, такие как использование серверов Cobalt Strike и перепрофилирование туннелей кода Visual Studio, для осуществления вредоносных действий и уклонения от обнаружения. Эти хакеры демонстрируют высокий уровень изощренности и решимости в манипулировании надежной инфраструктурой для достижения своих целей.
-----
Исследовательская группа обнаружила сервер, расположенный в Гонконге и работающий в облачной сети Huawei. Два сервера Cobalt Strike были обнаружены на портах 443 и 1001, причем последний отображал конфигурацию с использованием конечной точки /sugrec для связи C2. На обоих серверах использовался водяной знак 100000, общий идентификатор для развертываний Cobalt Strike. Было обнаружено, что сертификат, связанный с сервером, используется 59 другими IP-адресами в Интернете.
Вредоносный файл с именем yqWiQTrBWj.exe (SHA-256: c717d8b26de612e15015cd55940215be336963b6062196f9d847912b98582627) был загружен на различные платформы изолированной защиты от вредоносных программ и помечен как маяк Cobalt Strike. Анализ был сосредоточен на результатах VirusTotal и сортировки выводков.
Вредоносное ПО, написанное на Golang, использовало туннели разработки Visual Studio Code для обмена данными - тактика, применяемая хакерами для того, чтобы избежать обнаружения. Вредоносное ПО выполняло проверку среды, собирая системные данные, такие как версия операционной системы, хост-файл, имя компьютера и часовой пояс. Ссылка на CS4.5 предполагала приведение в соответствие с версией 4.5 Cobalt Strike, официально выпущенной 14 декабря 2021 года.
Дальнейшее расследование показало, что домен, связанный с вредоносной активностью, был преобразован в IP-адрес, размещенный в инфраструктуре Microsoft Azure в Юго-Восточной Азии. URL-адрес, связанный со страницей с предупреждением о наложении с отметкой времени, указывающей, когда был создан туннель, менее чем за 24 часа до анализа.
хакеры перепрофилировали туннели Visual Studio Code, изначально предназначенные для безопасного удаленного доступа разработчиков, чтобы совместить вредоносную активность с законным трафиком. Сообщалось о случаях использования китайскими злоумышленниками APT этих туннелей в рамках операции Digital Eye и кампании Stately Taurus. Туннели использовались для выполнения произвольных команд и доставки дополнительной полезной нагрузки, что указывает на тенденцию в поведении хакеров.
Исследование выявило манипуляции хакеров с надежной инфраструктурой, такой как туннели Visual Studio Code, для сокрытия вредоносных действий, демонстрирующие изощренность и решительность злоумышленников в достижении своих целей.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что хакеры используют различные тактические приемы, такие как использование серверов Cobalt Strike и перепрофилирование туннелей кода Visual Studio, для осуществления вредоносных действий и уклонения от обнаружения. Эти хакеры демонстрируют высокий уровень изощренности и решимости в манипулировании надежной инфраструктурой для достижения своих целей.
-----
Исследовательская группа обнаружила сервер, расположенный в Гонконге и работающий в облачной сети Huawei. Два сервера Cobalt Strike были обнаружены на портах 443 и 1001, причем последний отображал конфигурацию с использованием конечной точки /sugrec для связи C2. На обоих серверах использовался водяной знак 100000, общий идентификатор для развертываний Cobalt Strike. Было обнаружено, что сертификат, связанный с сервером, используется 59 другими IP-адресами в Интернете.
Вредоносный файл с именем yqWiQTrBWj.exe (SHA-256: c717d8b26de612e15015cd55940215be336963b6062196f9d847912b98582627) был загружен на различные платформы изолированной защиты от вредоносных программ и помечен как маяк Cobalt Strike. Анализ был сосредоточен на результатах VirusTotal и сортировки выводков.
Вредоносное ПО, написанное на Golang, использовало туннели разработки Visual Studio Code для обмена данными - тактика, применяемая хакерами для того, чтобы избежать обнаружения. Вредоносное ПО выполняло проверку среды, собирая системные данные, такие как версия операционной системы, хост-файл, имя компьютера и часовой пояс. Ссылка на CS4.5 предполагала приведение в соответствие с версией 4.5 Cobalt Strike, официально выпущенной 14 декабря 2021 года.
Дальнейшее расследование показало, что домен, связанный с вредоносной активностью, был преобразован в IP-адрес, размещенный в инфраструктуре Microsoft Azure в Юго-Восточной Азии. URL-адрес, связанный со страницей с предупреждением о наложении с отметкой времени, указывающей, когда был создан туннель, менее чем за 24 часа до анализа.
хакеры перепрофилировали туннели Visual Studio Code, изначально предназначенные для безопасного удаленного доступа разработчиков, чтобы совместить вредоносную активность с законным трафиком. Сообщалось о случаях использования китайскими злоумышленниками APT этих туннелей в рамках операции Digital Eye и кампании Stately Taurus. Туннели использовались для выполнения произвольных команд и доставки дополнительной полезной нагрузки, что указывает на тенденцию в поведении хакеров.
Исследование выявило манипуляции хакеров с надежной инфраструктурой, такой как туннели Visual Studio Code, для сокрытия вредоносных действий, демонстрирующие изощренность и решительность злоумышленников в достижении своих целей.