#ParsedReport #CompletenessHigh
06-01-2025

EAGERBEE, with updated and novel components, targets the Middle East

https://securelist.com/eagerbee-backdoor/115175

Report completeness: High

Actors/Campaigns:
Coughingdown

Threats:
Eagerbee
Dll_hijacking_technique
Proxylogon_exploit
Netstat_tool

Victims:
Isps, Governmental entities, Organizations

Industry:
Telco

Geo:
Japanese, Asian, Asia, Middle east

CVEs:
CVE-2021-26855 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft exchange server (2013, 2016, 2019)


ChatGPT TTPs:
do not use without manual check
T1055, T1059, T1012, T1105, T1027.002, T1573.001, T1190

IOCs:
File: 10
IP: 10
Path: 4
Registry: 1
Hash: 7
Domain: 2

Soft:
remote desktop services, Windows remote access, Active Directory Domain Services

Algorithms:
md5, xor, rc4, zip

Win API:
NetBIOS, SeDebugPrivilege, SeBackupPrivilege, SeRestorePrivilege, SeTakeOwnershipPrivilege, CreateProcessW, CreateProcessAsUserW, LoadLibraryW, SeAuditPrivilege, decompress, have more...

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в исследовании и анализе бэкдора EAGERBEE, который был внедрен в различных организациях на Ближнем Востоке и в Восточной Азии. Бэкдор включает в себя такие компоненты, как сервисный инжектор и плагины для выполнения команд, изучения файловых систем, управления сетевыми подключениями и взаимодействия с сервером управления (C2). Выявлены связи между ИГЕРБИ и группой "Кашингдаун", указывающие на возможную связь между этими двумя угрозами. Скрытый дизайн бэкдора, интеграция с обычной работой системы и использование уязвимостей, таких как ProxyLogon, создают проблемы для обнаружения и устранения последствий, подчеркивая важность своевременного исправления для защиты сетей.
-----

Расследование бэкдора EAGERBEE выявило его использование интернет-провайдерами и правительственными организациями на Ближнем Востоке, что привело к появлению новых компонентов для вредоносной деятельности. Примечательно, что был обнаружен сервисный инжектор для внедрения бэкдора в работающую службу, а также дополнительные плагины, позволяющие выполнять различные операции, такие как выполнение команд, изучение файловых систем и управление сетевыми подключениями. Плагины были разделены на группы, включающие Plugin Orchestrator, Управление файловой системой, Менеджер удаленного доступа, исследование процессов, список сетевых подключений и управление сервисами.

Сервисный инжектор с именем "tsvipsrv.dll" нацелен на процесс обслуживания тем, записывая байты бэкдора вместе с кодом-заглушкой, чтобы распаковать их и ввести в память сервисного процесса. Сам бэкдор с именем "dllloader1x64.dll" собирает системную информацию и взаимодействует с сервером управления (C2), при этом конфигурации либо хранятся в файле, либо жестко закодированы в двоичном формате.

В Восточной Азии EAGERBEE был обнаружен в организациях, взломанных с помощью уязвимости ProxyLogon на серверах Exchange, что привело к развертыванию вредоносных веб-оболочек и злоупотреблению законными службами Windows, такими как MSDTC, IKEEXT и SessionEnv, для загрузки бэкдора. Загрузчик библиотек DLL, выполняемых этими службами, облегчил загрузку бэкдора EAGERBEE в память. Были выявлены связи между бэкдором EAGERBEE и группой CoughingDown, в частности, из-за совпадения кода и использования IP-адресов C2 совместно с образцами CoughingDown, что указывает на возможную связь между двумя угрозами.

Резидентная память EAGERBEE повышает ее скрытность, позволяя обходить традиционные решения безопасности, внедряя вредоносный код в законные процессы и выполняя его во время сеансов пользователя. Способность вредоносного ПО легко интегрироваться в обычные системные операции создает проблемы для обнаружения и анализа. Использование уязвимости ProxyLogon в качестве исходного вектора доступа при атаках в Восточной Азии подчеркивает важность своевременного исправления для защиты сетей от несанкционированного доступа.

Склонность к последовательному созданию сервисов с помощью веб-оболочек для выполнения как бэкдора EAGERBEE, так и основного модуля CoughingDown, а также дублирование в доменах C2 позволяют со средней степенью достоверности оценить связь бэкдора EAGERBEE с хакерской группой CoughingDown. Однако сохраняется неопределенность в отношении первоначального источника заражения и конкретной группы, ответственной за внедрение бэкдора EAGERBEE на Ближнем Востоке.

#ParsedReport #CompletenessLow
06-01-2025

Black Basta s Tactical Evolution: Deploying Zbot, DarkGate, and Bespoke Malware

https://socradar.io/black-basta-deploying-zbot-darkgate-bespoke-malware

Report completeness: Low

Threats:
Blackbasta
Zeus
Darkgate
Anydesk_tool
Microsoft_quick_assist_tool
Teamviewer_tool
Credential_stealing_technique
Process_hollowing_technique
Pid_spoofing_technique
Credential_harvesting_technique

Industry:
Healthcare, Energy, Financial

TTPs:

IOCs:
IP: 24

Soft:
Microsoft Teams

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что Black Basta - это крупная группа программ-вымогателей, которая постоянно совершенствует свою тактику взлома систем защиты организаций, используя передовые методы социальной инженерии, сложные вредоносные программы и специальные инструменты для проникновения в системы в различных секторах. В настоящее время деятельность группы нацелена на такие отрасли, как здравоохранение, финансы, производство и национальная безопасность, что требует от организаций подготовки к более совершенным и целенаправленным кибератакам. В нем подчеркивается важность реализации многоуровневой стратегии безопасности для борьбы с этими развивающимися угрозами и подчеркивается необходимость в проактивной защите и использовании таких инструментов, как SOCRadar, для разведки и защиты от хакеров.
-----

Black Basta - крупная группа программ-вымогателей, известная своей постоянно развивающейся тактикой взлома систем защиты организаций, использующая передовые методы социальной инженерии, сложные вредоносные программы, такие как Zbot и DarkGate, а также специальные инструменты для разрушительных атак.

Последняя кампания группы нацелена на различные сектора, включая здравоохранение, финансы, производство и национальную безопасность, с помощью таких методов, как фишинговые электронные письма, выдача себя за сотрудников ИТ-службы поддержки Microsoft Teams и использование средств удаленного доступа для проникновения в системы.

В арсенале вредоносных программ Black Basta есть Zbot для кражи учетных данных, DarkGate для вредоносных действий и выполнения программ-вымогателей, а также специальные инструменты, адаптированные для конкретных сред, которые опираются на передовые методы уклонения, такие как скрытие полезной нагрузки и использование законных платформ и QR-кодов для обхода мер безопасности.

Кампания охватывает несколько секторов, подчеркивая необходимость внедрения организациями многоуровневой стратегии обеспечения безопасности, которая включает в себя ключевые меры по предотвращению использования наблюдаемых методов в ходе кампании.

Чтобы противостоять растущей сложности Black Basta, организациям рекомендуется внедрять проактивные средства защиты, использовать такие инструменты, как SOCRadar для сбора информации о хакерах, защиты от цифровых рисков и возможности управления поверхностями атак, для отслеживания злоумышленников, обнаружения попыток олицетворения и защиты уязвимых активов.

#ParsedReport #CompletenessMedium
07-01-2025

Gayfemboy: A botnet that spreads using Four-Faith Industrial Routers 0DAY

https://blog.xlab.qianxin.com/gayfemboy

Report completeness: Medium

Threats:
Gayfemboy
Mirai
Upx_tool
Ghostnet

Victims:
Four-faith industrial routers, Neterbit routers, Vimar smart home devices

Industry:
Government

Geo:
Netherlands, California, China, Russia, Germany, Singapore, Australia, Poland, United kingdom, Los angeles, New york, Luxembourg, Iran, Moscow, Bulgaria

CVEs:
CVE-2013-3307 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2020-25499 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- totolink a3002r firmware (<1.1.1-b20200824.0128)

CVE-2014-8361 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dir-905l firmware (le2.05b01)

CVE-2021-35394 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- realtek realtek jungle sdk (le3.4.14b)

CNVD-2022-77903 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2013-7471 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- dlink dir-300 firmware (2.14b01)

CVE-2017-5259 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cambiumnetworks cnpilot r190v firmware (le4.3.2-r4)

CVE-2016-20016 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- mvpower tv-7104he firmware (1.8.4_115215b9)

CVE-2024-8956 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ptzoptics pt30x-sdi firmware (<6.3.40)

CVE-2017-17215 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- huawei hg532 firmware (-)

CVE-2020-9054 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- zyxel nas326 firmware (<5.21\(aazf.7\)c0)

CVE-2024-8957 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ptzoptics pt30x-sdi firmware (<6.3.40)

CVE-2023-26801 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- lb-link bl-lte300 firmware (1.0.8)

CVE-2024-12856 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1071, T1203, T1499

IOCs:
Domain: 2
File: 1
Hash: 3
IP: 56

Algorithms:
sha1

Languages:
javascript

Links:
https://github.com/mcw0/PoC/blob/master/TVT-PoC.py?ref=blog.xlab.qianxin.com
https://github.com/stasinopoulos/ZTExploit/blob/master/ZTExploit\_Source/ztexploit.py?ref=blog.xlab.qianxin.com
https://github.com/BugFor-Pings/Safety-Kill/blob/main/2023%E5%B9%B412%E6%9C%88%EF%BC%8C%E5%AE%89%E5%85%A8%E8%AE%BE%E5%A4%87%E9%80%9A%E6%9D%80%E7%AC%AC%E4%BA%8C%E5%BC%B9.py?ref=blog.xlab.qianxin.com
have more...

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в эволюции и деятельности ботнета Gayfemboy, который продемонстрировал значительную изощренность и непрерывную эволюцию с момента его захвата XLab. Ботнет расширил свой охват, используя различные уязвимости, в том числе уязвимости 0day, и продемонстрировал разрушительные DDoS-атаки. В тексте подчеркивается важность внедрения комплексных стратегий защиты для снижения риска, создаваемого такими хакерами.
-----

Gayfemboy - это известный ботнет, который значительно эволюционировал с момента его первоначального захвата XLab в начале февраля 2024 года. В то время как многие любители скриптов выходят на черный рынок DDoS-атак с мечтой разбогатеть, используя исходный код Mirai, Gayfemboy выделяется своей постоянной активностью и сложной эволюцией. Изначально Gayfemboy был просто производной от Mirai, оснащенной UPX, но его разработчики проявили амбиции, изменив онлайн-сообщения, поэкспериментировав с оболочкой UPX, активно интегрируя уязвимости Nday и самостоятельно обнаруживая уязвимости 0day, чтобы расширить охват ботнета.

К ноябрю 2024 года Gayfemboy эволюционировал и стал распространять образцы, используя уязвимость 0day в промышленных маршрутизаторах Four-Faith и неизвестные уязвимости в маршрутизаторах Neterbit и устройствах для умного дома Vimar. XLab зарегистрировала доменные имена C2 для наблюдения за зараженными устройствами и установила, что Gayfemboy может похвастаться более чем 40 онлайн-группами и более чем 15 000 ежедневно активными узлами. Примечательно, что ботнет отреагировал мстительно, запустив DDoS-атаки на доменные имена, зарегистрированные компанией XLab.

Gayfemboy использовал более 20 уязвимостей и слабые пароли Telnet для распространения образцов, включая уязвимость 0day в промышленном маршрутизаторе Four-Faith (CVE-2024-12856). Ключевые изменения от Mirai включали использование уникального магического числа UPX "1wom", скрытой функции pid, строк с открытым текстом и новых командных функций. Разработчики ботнета не уделяли особого внимания защите строк; все строки представлены в виде обычного текста.

Как продемонстрировал Gayfemboy, DDoS-атаки являются многоразовым и разрушительным кибероружием. Они могут мгновенно запускать крупномасштабные атаки на трафик через распределенные ботнеты, вызывая истощение или паралич сети. DDoS-атаки являются универсальными, скрытыми и представляют серьезную угрозу для организаций и частных лиц. Поэтому крайне важно внедрять комплексные стратегии защиты, чтобы снизить риск подобных атак и повысить общую устойчивость системы.

Ботнет Gayfemboy ежедневно использовал около 15 000 активных IP-адресов ботов, в основном в Китае, США, Иране, России и Турции. При подключении к CC он передавал группирующую информацию для идентификации и систематизации зараженных устройств, помогая злоумышленникам эффективно управлять ботнетом. Ботнет был нацелен на целый ряд отраслей по всему миру, причем наибольшее количество атак было зафиксировано в октябре и ноябре прошлого года.

XLab столкнулась с ответными DDoS-атаками со стороны Gayfemboy после преобразования доменного имени ботнета в VPS поставщика облачных услуг. Атаки обычно длились от 10 до 30 секунд, в результате чего поставщик облачных услуг блокировал трафик на VPS XLab, делая свои сервисы недоступными более чем на 24 часа. Несмотря на то, что XLab не использовала сервисы защиты от DDoS-атак, она решила прекратить использование доменного имени Gayfemboy для предотвращения атак. Трафик, генерируемый Gayfemboy, по оценкам, достигал около 100 Гбит/с.

#ParsedReport #CompletenessMedium
07-01-2025

Turla Cyber Campaign Targeting Pakistan s Critical Infrastructure

https://socradar.io/turla-cyber-campaign-pakistans-critical-infrastructure

Report completeness: Medium

Actors/Campaigns:
Turla (motivation: cyber_espionage)
Storm-0156 (motivation: cyber_espionage)

Threats:
Dll_hijacking_technique

Victims:
Governments, Military institutions, Critical infrastructure

Industry:
Military, Critical_infrastructure, Government, Energy, Telco

Geo:
Afghan, Indian, Pakistan

CVEs:
CVE-2022-38028 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (<10.0.10240.19507)
- microsoft windows 10 1607 (<10.0.14393.5427)
- microsoft windows 10 1809 (<10.0.17763.3532)
- microsoft windows 10 20h2 (<10.0.19042.2130)
- microsoft windows 10 21h1 (<10.0.19043.2130)
have more...

TTPs:

IOCs:
IP: 3
Domain: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что группа Turla, изощренная хакерская группировка, часто связанная с государственным спонсорством, в настоящее время нацелена на критически важную инфраструктуру Пакистана с помощью передовых кибератак, создавая значительные угрозы как для Пакистана, так и для региональной/глобальной безопасности. Группа использует такие тактики, как фишинг, внедрение вредоносных программ, перехват библиотек DLL и шифрование, для использования уязвимостей и утечки данных. В недавних отчетах указывается, что операции под псевдонимом нацелены на другие организации и расширяют возможности шпионажа. Организациям рекомендуется использовать модули поиска угроз, такие как SOCRadar, для раннего обнаружения и эффективного реагирования на такие APT.
-----

Группа Turla - известная хакерская группировка, известная своими изощренными и запутанными кибератаками, которые часто приписываются государственному спонсорству. Нацеленные на правительства, военные учреждения и критически важную инфраструктуру по всему миру, они в последнее время сосредоточили свое внимание на критически важной инфраструктуре Пакистана, что создает значительные угрозы не только для Пакистана, но и для региональной безопасности и глобального хакерского ландшафта.

Недавняя кампания Turla в Пакистане нацелена на ключевые секторы, такие как энергетика, телекоммуникации и правительственные сети. Используя такие тактики, как фишинг и внедрение вредоносных программ, группа использует уязвимости, в том числе CVE-2022-38028, демонстрируя свои передовые возможности. Turla использует сложные методы, такие как перехват библиотек DLL для обеспечения сохранности и обхода, многоуровневое шифрование для обеспечения безопасной связи, периодические подключения к серверам командования и контроля, а также внедрение вредоносных программ в точки запуска системы для утечки данных и нарушения работы систем.

В конце 2024 года Microsoft сообщила, что Turla под псевдонимом Secret Blizzard взломала инфраструктуру хакерской группы Storm-0156, базирующейся в Пакистане. Используя бэкдоры и инструменты Storm-0156, Turla нацеливалась на такие организации, как афганское правительство и индийская армия, используя стороннюю инфраструктуру для запутывания операций, усложнения идентификации и расширения возможностей шпионажа. Организациям, которым требуется защита от продвинутых угроз, модуль поиска угроз SOCRadar предоставляет информацию для раннего обнаружения и эффективного реагирования на кампании кибершпионажа, подобные кампании Turla.

Индикаторы компрометации кампании (IOCs) включают различные IP-адреса, доменные имена и компоненты вредоносного ПО, что облегчает взаимодействие между вредоносным ПО и злоумышленниками для поддержания кампании. Для защиты систем и данных от таких методов рекомендуются меры по смягчению последствий и устранению неполадок, как описано в подробных отчетах на странице кампаний SOCRadar LABS, которые содержат полезную информацию для усиления стратегий защиты от APT, таких как Turla.

#ParsedReport #CompletenessMedium
08-01-2025

Beware of foreign APT organizations poisoning GitHub and attacking domestic security practitioners and designated large enterprises

https://www.ctfiot.com/223125.html

Report completeness: Medium

Actors/Campaigns:
Oceanlotus

Threats:
Cobalt_strike
Spear-phishing_technique

Victims:
Cybersecurity personnel, Domestic security researchers

Industry:
Government, Financial

Geo:
Chinese, Asian, China

ChatGPT TTPs:
do not use without manual check
T1566.001, T1059.004, T1203, T1221

IOCs:
File: 2
Hash: 1
IP: 8

Soft:
Visual Studio, Weibo, WeChat

Algorithms:
base64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста - подробный анализ кибератаки, проведенной APT-группой из Юго-Восточной Азии "Ocean Lotus", нацеленной на различные отрасли промышленности и группы в Китае путем распространения вредоносного бэкдора с помощью инструмента повышения привилегий на GitHub. В ходе атаки был использован новый метод доставки вредоносных файлов .suo в проекты Visual Studio, который заключался в скрытом запуске троянских программ после компиляции. Разведывательное бюро Weibu обнаружило и проанализировало атаку в ноябре 2024 года, используя множество инструментов и методов для извлечения IOCS для обнаружения разведывательных угроз и защиты от сложной и целенаправленной атаки Ocean Lotus.
-----

Инцидент связан с вредоносным бэкдором, встроенным в инструмент повышения привилегий, который был распространен в Интернете, что привело к утечке идентификационных данных пользователей. Анализ Weibu показал, что атака была совершена APT-группой из Юго-Восточной Азии "Ocean Lotus", которая использовала GitHub для распространения троянского плагина, использующего уязвимость Cobalt Strike. Разведывательное бюро Weibu выявило атаку в ноябре 2024 года и обнаружило учетную запись злоумышленника на GitHub. Злоумышленник использовал новый метод доставки вредоносных файлов .suo в проекты Visual Studio, который автоматически запускал троянскую программу, когда жертва компилировала проект, что делало атаку очень скрытой.

"Ocean Lotus" был нацелен на различные отрасли и группы в Китае, включая крупные технологические компании. Первоначальная атака произошла в период с середины сентября по начало октября 2024 года, в результате чего разведывательное бюро Weibu перехватило подозрительные активы и троянские файлы. Проанализировав соответствующие выборки, IP-адреса и доменные имена, Weibu извлек несколько IOCs для интеллектуального обнаружения угроз. Для обнаружения и защиты от этой атаки Weibu использовала различные инструменты, такие как платформа восприятия угроз TDP, платформа управления аналитическими данными об угрозах TIP и платформа облачного анализа OneSandbox.

Основной метод, использованный "Ocean Lotus" в этой атаке, заключался в публикации проектов средств защиты с открытым исходным кодом на GitHub, чтобы привлечь исследователей в области безопасности для вторичного распространения. Злоумышленник зарегистрировал учетную запись на GitHub 10 октября 2024 года, представившись исследователем безопасности из ведущей отечественной финтех-компании. 14 и 21 октября они выпустили два вредоносных проекта, нацеленных на инструмент red team Cobalt Strike с новыми функциями использования уязвимостей. Злоумышленник использовал переведенные на китайский язык описания, чтобы заманить целевых пользователей в сферу безопасности, проинструктировав их использовать Visual Studio для открытия sln-файла проекта и запуска выполнения вредоносного кода.

В ходе атаки был впервые использован файл .suo в Visual Studio, что позволило автоматически запустить троянца при компиляции проекта жертвой. После выполнения вредоносный код будет перезаписан и удален, что затруднит его обнаружение. Атака включала в себя выполнение шеллкода посредством удаления библиотеки dll, внедрение коммуникационных команд C2 в иностранную платформу для создания заметок Concept, чтобы избежать обнаружения, и использование фишинговых электронных писем spear для первоначальных атак на государственные и корпоративные предприятия.

Атакующие ресурсы организации OceanLotus продемонстрировали характеристики сопоставления портов, что указывает на активные атаки с середины сентября по октябрь. В образцах были обнаружены данные, относящиеся к конкретной цели, такие как имя компьютера жертвы и конкретные крупные технологические компании. Анализ выявил целенаправленную стратегию атаки OceanLotus, подчеркивающую изощренность группы и ее намерение проникнуть в конкретные организации с вредоносными целями.

#ParsedReport #CompletenessHigh
08-01-2025

Golang Beacons and VS Code Tunnels: Tracking a Cobalt Strike Server Leveraging Trusted Infrastructure

https://hunt.io/blog/golang-beacons-vs-code-tunnels-tracking-cobalt-strike

Report completeness: High

Actors/Campaigns:
Digital_eye
Red_delta
Pirate_panda

Threats:
Cobalt_strike
Geacon
Dev_tunnels_tool

Industry:
Critical_infrastructure

Geo:
Chinese, Asia, Hong kong

ChatGPT TTPs:
do not use without manual check
T1572, T1059, T1007, T1202

IOCs:
IP: 2
Domain: 1
File: 2
Hash: 1
Url: 3

Soft:
Visual Studio Code, Visual Studio

Algorithms:
sha256

Functions:
GetCommandLine

Languages:
golang

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что хакеры используют различные тактические приемы, такие как использование серверов Cobalt Strike и перепрофилирование туннелей кода Visual Studio, для осуществления вредоносных действий и уклонения от обнаружения. Эти хакеры демонстрируют высокий уровень изощренности и решимости в манипулировании надежной инфраструктурой для достижения своих целей.
-----

Исследовательская группа обнаружила сервер, расположенный в Гонконге и работающий в облачной сети Huawei. Два сервера Cobalt Strike были обнаружены на портах 443 и 1001, причем последний отображал конфигурацию с использованием конечной точки /sugrec для связи C2. На обоих серверах использовался водяной знак 100000, общий идентификатор для развертываний Cobalt Strike. Было обнаружено, что сертификат, связанный с сервером, используется 59 другими IP-адресами в Интернете.

Вредоносный файл с именем yqWiQTrBWj.exe (SHA-256: c717d8b26de612e15015cd55940215be336963b6062196f9d847912b98582627) был загружен на различные платформы изолированной защиты от вредоносных программ и помечен как маяк Cobalt Strike. Анализ был сосредоточен на результатах VirusTotal и сортировки выводков.

Вредоносное ПО, написанное на Golang, использовало туннели разработки Visual Studio Code для обмена данными - тактика, применяемая хакерами для того, чтобы избежать обнаружения. Вредоносное ПО выполняло проверку среды, собирая системные данные, такие как версия операционной системы, хост-файл, имя компьютера и часовой пояс. Ссылка на CS4.5 предполагала приведение в соответствие с версией 4.5 Cobalt Strike, официально выпущенной 14 декабря 2021 года.

Дальнейшее расследование показало, что домен, связанный с вредоносной активностью, был преобразован в IP-адрес, размещенный в инфраструктуре Microsoft Azure в Юго-Восточной Азии. URL-адрес, связанный со страницей с предупреждением о наложении с отметкой времени, указывающей, когда был создан туннель, менее чем за 24 часа до анализа.

хакеры перепрофилировали туннели Visual Studio Code, изначально предназначенные для безопасного удаленного доступа разработчиков, чтобы совместить вредоносную активность с законным трафиком. Сообщалось о случаях использования китайскими злоумышленниками APT этих туннелей в рамках операции Digital Eye и кампании Stately Taurus. Туннели использовались для выполнения произвольных команд и доставки дополнительной полезной нагрузки, что указывает на тенденцию в поведении хакеров.

Исследование выявило манипуляции хакеров с надежной инфраструктурой, такой как туннели Visual Studio Code, для сокрытия вредоносных действий, демонстрирующие изощренность и решительность злоумышленников в достижении своих целей.

#ParsedReport #CompletenessMedium
09-01-2025

Ivanti Connect Secure VPN Targeted in New Zero-Day Exploitation

https://cloud.google.com/blog/topics/threat-intelligence/ivanti-connect-secure-vpn-zero-day

Report completeness: Medium

Actors/Campaigns:
Unc5337 (motivation: cyber_espionage)
Unc5221 (motivation: cyber_espionage)

Threats:
Spawnnant
Spawnmole
Spawnsnail
Dryhook
Phasejam
Nmap_tool
Credential_harvesting_technique
Spawnsloth
Zipline_backdoor
Thinspool_dropper
Lightwire
Warpwire
Pysoxy_tool

Industry:
Government, Ics

Geo:
China

CVEs:
CVE-2025-0282 [Vulners]
CVSS V3.1: 9.0,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2024-21887 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti connect secure (9.0, 9.1, 22.1, 22.2, 22.3)
- ivanti policy secure (9.0, 9.1, 22.1, 22.2, 22.3)

CVE-2025-0283 [Vulners]
CVSS V3.1: 7.0,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown

CVE-2023-46805 [Vulners]
CVSS V3.1: 8.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti connect secure (9.0, 9.1, 22.1, 22.2, 22.3)
- ivanti policy secure (9.0, 9.1, 22.1, 22.2, 22.3)


ChatGPT TTPs:
do not use without manual check
T1190, T1059, T1556, T1003, T1071, T1105, T1001, T1055, T1021, T1070, have more...

IOCs:
File: 8
Hash: 4

Soft:
Ivanti, SELinux, Active Directory, ORB network

Algorithms:
md5, base64, sha256, rc4

Functions:
getComponent, AccessAllow, processUpgradeDisplay, popen, system, setPrompt

Languages:
perl, python

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Исследователи в области кибербезопасности обнаружили уязвимости в устройствах Ivanti Connect Secure ("ICS") VPN, которые позволяют удаленно выполнять код и компрометировать сеть. Хакерская группа UNC5337 использует эти уязвимости с середины декабря 2024 года, внедряя ряд вредоносных программ, включая веб-оболочки, бэкдоры и средства кражи учетных данных. Деятельность группы связана с UNC5221, что указывает на сложную и постоянную угрозу организациям, использующим устройства Ivanti. Защитникам рекомендуется своевременно устанавливать исправления и усиливать меры безопасности для защиты от потенциального использования хакерами.
-----

Компания Ivanti раскрыла две уязвимости, CVE-2025-0282 и CVE-2025-0283, которые затрагивают устройства Ivanti Connect Secure VPN.

Mandiant обнаружил использование CVE-2025-0282 с нулевым днем, связанное с удаленным выполнением кода без проверки подлинности из-за переполнения буфера на основе стека.

Хакерская группа UNC5337, вероятно, являющаяся частью более крупного кластера UNC5221, воспользовалась уязвимостями для развертывания вредоносной экосистемы SPAWN на скомпрометированных устройствах.

Было замечено, что такие семейства вредоносных программ, как PHASEJAM и DRYHOOK, нацелены на защищенные устройства Ivanti Connect для выполнения таких действий, как ввод кода для удаленного доступа и кража учетных данных.

С января 2024 года UNC5337 применяет к устройствам Ivanti специальные семейства вредоносных программ, демонстрируя изощренность и настойчивость в своей шпионской деятельности.

Защитникам следует опасаться оппортунистических атак, использующих эти уязвимости для кражи учетных данных, развертывания веб-оболочки и потенциальной эксплуатации другими хакерами.

Хакер использует различные методы уклонения, манипулирования системными файлами, внедрения вредоносного кода и кражи конфиденциальных данных, создавая постоянную и изощренную угрозу.