#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в изучении передовых методов сохранения данных в Linux, включая перехват динамического компоновщика, загружаемые модули ядра (LKMS), веб-оболочки и использование системных учетных записей по умолчанию, с целью улучшения технологии обнаружения. В ходе обсуждения будет рассмотрено, как злоумышленники манипулируют системными компонентами для обеспечения сохраняемости и поддержания доступа, с акцентом на конкретные примеры вредоносных программ и инструменты, такие как PANIX, для демонстрации этих методов. Кроме того, подчеркивается важность включения поиска угроз в рабочие процессы обнаружения для мониторинга и выявления подозрительных действий, связанных с этими методами сохранения.
-----

В статье рассматриваются различные передовые методы сохранения данных в Linux для улучшения технологии обнаружения, основное внимание уделяется перехвату динамического компоновщика, загружаемым модулям ядра (LKMS), веб-оболочкам и использованию системных учетных записей по умолчанию. Обсуждение начинается с объяснения динамического перехвата компоновщика, при котором злоумышленники манипулируют процессом компоновки для перенаправления потока выполнения, изменяя пути к общим библиотекам, файлы конфигурации или кэшированные сопоставления библиотек. Приведены примеры вредоносных программ и методов, использующих этот подход, таких как HiddenWasp, Symbiote, Medusa и Azazel.

PANIX, пользовательский инструмент сохранения Linux, представлен в качестве практического инструмента для экспериментов с настройками сохранения Linux, в частности, с использованием динамического компоновщика. Инструмент демонстрирует, как злоумышленники могут внедрять вредоносные общие библиотеки, используя такие методы, как изменение ld.so.conf, ld.so.preload или общесистемных файлов конфигурации. В статье проиллюстрировано выполнение модуля PANIX setup_ld_preload.sh, демонстрирующего процесс загрузки вредоносных общих объектов и запуска обратной оболочки.

Далее мы перейдем к обсуждению загружаемых модулей ядра (LKMS) и руткитов, которые представляют собой продвинутые вредоносные программы, предназначенные для сокрытия своего присутствия и поддержания постоянного доступа путем манипулирования поведением ядра. PANIX включает в себя модули как для базовых LKM, так и для полностью реализованных руткитов и демонстрирует процесс загрузки LKM и обеспечения устойчивости при перезагрузках.

Кроме того, в статье рассматривается угроза, исходящая от веб-оболочек - вредоносных скриптов, загружаемых на веб-серверы, которые позволяют злоумышленникам выполнять произвольные команды. В ходе обсуждения рассматриваются типы веб-оболочек, их интеграция с конфигурациями веб-серверов, а также такие методы, как PHP, Python и CGI, для создания бэкдоров веб-оболочек. Модуль PANIX setup_web_shell.sh рассматривается, чтобы показать создание веб-оболочек и визуализацию их выполнения в Kibana.

Также рассматривается возможность использования системных учетных записей с конфигурациями по умолчанию для обеспечения сохраняемости на основе SSH. Вставляя файлы authorized_keys в домашние каталоги редко используемых системных учетных записей, злоумышленники могут получить постоянный доступ без создания новых пользователей. Выделен модуль PANIX setup_backdoor_system_user.sh, описывающий процесс использования неинтерактивных системных учетных записей для получения доступа по SSH.

На протяжении всей статьи подчеркивается важность включения поиска угроз в рабочие процессы обнаружения, при этом предлагаются конкретные стратегии обнаружения для мониторинга событий создания подозрительных файлов, аномальной сетевой активности и необычных действий, связанных с обсуждаемыми методами сохранения.

#ParsedReport #CompletenessLow
01-02-2025

X Phishing: 6 Pivoting Techniques for Threat Hunting

https://www.validin.com/blog/x-phishing-threat-hunting-pivotoing-techniques

Report completeness: Low

ChatGPT TTPs:
do not use without manual check
T1566

IOCs:
Domain: 33
IP: 1
Hash: 1
File: 1

Soft:
OpenAI, twitter

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в анализе командой SentinelLabs фишинговой кампании, нацеленной на аккаунты с высокой репутацией, с акцентом на использование методов и инфраструктуры, в частности, на важность использования полной истории DNS для эффективного обнаружения угроз. Они подчеркнули важность использования мета-тегов в HTML-коде в качестве ключей поиска и рекомендовали использовать такие инструменты, как Validin, для поиска угроз, определения авторства и реагирования на инциденты.
-----

Анализ, опубликованный 31 января 2025 года Томом Хегелем, Джимом Уолтером и Алексом Деламотом из команды SentinelLabs, был посвящен фишинговой кампании, нацеленной на аккаунты с высокой репутацией. В статье рассказывалось о методах и инфраструктуре, использованных в кампании по заманиванию в ловушку и компрометации жертв. Исследователи подчеркнули важность использования полной истории DNS для устранения "белых пятен" при обнаружении угроз.

Одним из ключевых аспектов фишинговой кампании было использование мета-тегов в HTML-коде, в частности <мета-контент="Первый официальный талисман мема OpenAI". название="описание"> и <мета-контент="Первый официальный талисман мема OpenAI". имя="автор">. Эти теги были определены в качестве потенциальных ключей поиска на платформе Validin для дальнейшего изучения.

Validin, помимо анализа DNS, предоставляет различные методы для эффективного отслеживания инфраструктуры злоумышленников. Платформа предлагает инструменты для поиска угроз, позволяющие быстро выявлять интересные функции и использовать их для улучшения сбора аналитической информации об угрозах. Используя возможности Validin, службы безопасности могут усовершенствовать свои стратегии поиска угроз, определения их причин и реагирования на инциденты.

Анализ, проведенный командой SentinelLabs, показал важность использования передовых, но доступных методов, таких как Validin, для выявления связанных индикаторов и повышения видимости угроз. В статье содержится призыв к специалистам по безопасности использовать такие инструменты, как индивидуальные и корпоративные решения премиум-класса Validin, которые предоставляют мощные функции, выгодные цены и ценную информацию для повышения операционной эффективности и оперативности реагирования.

#ParsedReport #CompletenessMedium
01-02-2025

AsyncRAT Reloaded: Using Python and TryCloudflare for Malware Delivery Again

https://www.forcepoint.com/blog/x-labs/asyncrat-reloaded-python-trycloudflare-malware

Report completeness: Medium

Threats:
Asyncrat
Process_injection_technique
Venomrat
Xworm_rat

ChatGPT TTPs:
do not use without manual check
T1566.001, T1204.002, T1105, T1071.001

IOCs:
Url: 4
File: 13
IP: 4
Hash: 12

Soft:
TryCloudflare, Dropbox, process explorer

Algorithms:
zip

Functions:
in

Win API:
VirtualAlloc, CreateThread, WaitForSingleObject

Languages:
python, javascript, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в подробном анализе вредоносной кампании, связанной с использованием сложного троянца удаленного доступа (RAT), известного как AsyncRAT. В нем рассказывается о том, как хакеры используют инновационные тактики, методы обмана и хорошо известные инфраструктуры для проникновения в целевые системы и компрометации их с целью кражи данных и скрытного выполнения команд. Кампания включает в себя многоэтапный процесс распространения вредоносных компонентов с помощью фишинговых электронных писем, URL-адресов Dropbox и быстрых туннелей TryCloudflare для развертывания вредоносного ПО AsyncRAT. В тексте также рассказывается о методах проведения кампании, методах, используемых вредоносным ПО для подрыва механизмов обнаружения, связи с серверами управления, ожиданиях экспертов по кибербезопасности от подобных атак и стратегиях проактивной защиты, предоставляемых решениями безопасности, такими как Forcepoint. Кроме того, в нем упоминается важнейшая роль брандмауэра нового поколения Forcepoint в противодействии угрозам, исходящим от AsyncRAT, и подчеркивается опыт исследователя безопасности Джиотики Сингх в выявлении и смягчении новых методов атаки.
-----

AsyncRAT - это сложный троян для удаленного доступа, который использует шаблон async/await для скрытой связи и управления системой.

Компания Forcepoint X-Labs выявила недавнюю вредоносную кампанию с использованием AsyncRAT, в ходе которой злоумышленники использовали обманную тактику, такую как пакеты TryCloudflare и Python.

Кампания начинается с фишинговых электронных писем, ведущих к получению ZIP-файлов, содержащих цепочку вредоносных компонентов, а завершается развертыванием вредоносного ПО AsyncRAT с помощью скрипта на Python.

AsyncRAT использует внедрение процессов с помощью технологии очереди APC Early Bird для скрытой работы внутри системы.

Связь между системами, зараженными AsyncRAT, и серверами C2 осуществляется через различные номера портов, например, 62.60.190.141:3232 и 62.60.190.141:4056.

Злоумышленники используют хорошо известные инфраструктуры, такие как URL-адреса Dropbox и TryCloudflare, для маскировки своих действий и повышения вероятности успеха.

Эксперты прогнозируют рост числа подобных атак с использованием недорогой инфраструктуры для распространения инфокрадов и троянских программ удаленного доступа, что создает проблемы для кибербезопасности.

Forcepoint обеспечивает надежные меры защиты от AsyncRAT, включая защитные механизмы на различных этапах жизненного цикла атаки.

Forcepoint NGFW играет решающую роль в устранении асинхронных угроз, отключая ключевые аспекты во время процессов проверки и дешифрования.

Исследователь безопасности Джиотика Сингх (Jyotika Singh) специализируется на веб-безопасности, анализе вредоносных программ и появляющихся хакерах, чтобы усовершенствовать стратегии защиты и бороться с появляющимися методами атак.

#ParsedReport #CompletenessLow
01-02-2025

Stealing Seconds: Web Skimmer Compromises Casio UK and Growing Number of Websites

https://jscrambler.com/blog/stealing-seconds-web-skimmer-compromises-websites

Report completeness: Low

Actors/Campaigns:
Magecart

Victims:
Casio.co.uk

Industry:
Transport

Geo:
Russia

ChatGPT TTPs:
do not use without manual check
T1140, T1041

IOCs:
Domain: 11
IP: 6

Algorithms:
xor, aes-256-cbc

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в обнаружении новой серии заражений веб-скиммерами, затрагивающих несколько веб-сайтов, включая casio.co.uk, на данный момент подтверждено, что жертвами стали по меньшей мере 17 веб-сайтов. Предполагается, что заражение связано с использованием уязвимостей в веб-магазинах Magento и аналогичном программном обеспечении. Скиммеры, использовавшиеся при атаках, использовали передовые методы обфускации и отличались от типичных атак с использованием двойного скимминга. Поведение скиммера было направлено на то, чтобы избежать обнаружения, что потенциально указывает на одного хакера или инструмент, стоящий за атаками. Этот инцидент подчеркивает проблемы, с которыми сталкиваются компании при эффективном управлении политикой безопасности контента, и подчеркивает необходимость упреждающего мониторинга веб-сайтов для эффективного противодействия угрозам веб-скимминга и защиты пользовательских данных.
-----

Была обнаружена новая серия заражений веб-скиммерами, затрагивающих несколько веб-сайтов, в том числе casio.co.uk. Подтверждено, что по меньшей мере 17 веб-сайтов-жертв могут быть выявлены по мере продвижения расследования. По всей видимости, заражение связано с уязвимостями в веб-магазинах Magento и аналогичных программных решениях. Загрузчик скиммера, использовавшийся в этих атаках, был незаметен и замаскирован под сторонний загрузчик скриптов, работающий асинхронно для загрузки скиммера на веб-страницу.

Скиммер второго этапа использовал несколько уровней обфускации, отличаясь от типичных атак скимминга тем, что был активен на всех страницах, кроме страницы "/оформить заказ". Поведение скиммера отличалось от обычного из-за изменений в процессе прохождения платежей. При попытке перейти к оформлению заказа пользователи были перенаправлены на поддельную платежную форму, что привело к двойной атаке со скиммингом, включающей трехэтапный процесс сбора личной и платежной информации.

Интересно, что скиммер не отображался в разделе оформления заказа, возможно, это была тактика уклонения от обнаружения средствами мониторинга. Все веб-сайты-жертвы загружали скрипт скиммера от одного и того же хостинг-провайдера в России, с разными доменами для скиммера, но с существенным сходством в самом коде скиммера. Это наводит на мысль об общем происхождении, что потенциально указывает на причастность одного хакера или инструмента для веб-скимминга.

Скиммер зашифровал захваченные данные, используя передовые методы шифрования, прежде чем отправить их на определенный сервер. Кроме того, скрипт skimmer продемонстрировал сложную технику обхода, позволяющую избежать обнаружения, что согласуется с недавними наблюдениями исследователей в области кибербезопасности. История регистрации доменов, на которых проводились кампании по скиммингу, указывает на долгосрочную вредоносную активность в среде угроз.

Инцидент на casio.co.uk подчеркивает трудности, с которыми сталкиваются компании при эффективном управлении политикой безопасности контента (CSP). Несмотря на то, что CSP является простым стандартом, при внедрении часто возникают ошибки, которые вынуждают компании использовать менее безопасные конфигурации. Компаниям приходится разрабатывать внутренние инструменты для управления CSP или выбирать автоматизированные решения, такие как Jscrambler для обеспечения целостности веб-страниц, для повышения безопасности скриптов.

Распространенность заражений Magecart в последние годы подчеркивает необходимость в решениях для проактивного мониторинга веб-сайтов для эффективного противодействия угрозам веб-скимминга. Полагаться на сообщения об инцидентах от конечных пользователей или внедрять неадекватные решения, такие как CSP, оказалось неэффективным. Своевременное обнаружение и устранение заражений имеет решающее значение для защиты платежных данных, пользовательской информации и репутации организации перед лицом растущего числа хакеров.

#ParsedReport #CompletenessLow
01-02-2025

Rezet Reboot: Cyber Spy Group Attacks Russian Industrial Enterprises Again

https://habr.com/ru/companies/f_a_c_c_t/news/878320

Report completeness: Low

Actors/Campaigns:
Rare_wolf (motivation: cyber_espionage)

Industry:
Healthcare, Chemical, Foodtech

Geo:
Belarusian, Russian, Ukrainian

ChatGPT TTPs:
do not use without manual check
T1566, T1059.003, T1027

IOCs:
File: 5
Hash: 12
Domain: 1
IP: 1

Algorithms:
sha256, md5, sha1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что группа кибершпионажа "Rezet", также известная как "Rare Wolf", провела серию масштабных атак на российские промышленные предприятия в январе 2025 года, рассылая вредоносные электронные письма, замаскированные под приглашения на семинары, посвященные стандартизации оборонной продукции. Группа уже давно использует фишинговые электронные письма в качестве основного вектора атаки и использует тактику социальной инженерии для успешной компрометации целевых сетей в критически важных секторах.
-----

Аналитики Центра кибербезопасности F.A.C.C.T. недавно обнаружили серию серьезных атак, проведенных группой кибершпионажа "Rezet", также известной как "Rare Wolf", на российские промышленные предприятия в январе 2025 года. В течение последней недели января управляемое F.A.C.C.T. решение XDR успешно перехватило многочисленные вредоносные электронные письма, распространяемые хакерами. Эти вредоносные электронные письма были предназначены для того, чтобы выглядеть как приглашения на семинары, посвященные стандартизации оборонной продукции, и скрывали вредоносные файлы, которые при открытии могли заразить целевые рабочие станции.

Группа Rezet, также известная как Rare Wolf, активно занимается кибершпионажем с октября 2018 года и несет ответственность примерно за 500 кибератак, направленных на промышленные предприятия в России, Беларуси и Украине, при этом в качестве основного направления атаки они предпочитают использовать фишинговые электронные письма. В ходе своих кампаний 2021 и 2023 годов группа использовала вредоносный файл с именем rezet.cmd для компрометации целевых устройств, что позволило исследователям связать этот файл с деятельностью группы.

В ходе недавних атак, которые были зафиксированы в январе 2025 года, Rezet рассылал вредоносные электронные письма, выдавая себя за компанию, специализирующуюся на заключении контрактов на оказание услуг поддержки предприятиям, выполняющим государственные оборонные заказы. Получателями этих электронных писем были сотрудники и специалисты, работающие в химической, пищевой и фармацевтической отраслях. Мошеннические электронные письма были замаскированы под приглашения посетить семинары, посвященные стандартизации оборонной продукции, - тактика, ранее применявшаяся группой.

Техника заражения, использованная в этих атаках, очень напоминала прошлые стратегии Rezet. В первоначальном электронном письме содержался архивный файл, содержащий документ в формате PDF, который служил приманкой, а также скрытую полезную информацию. Пароль, необходимый для доступа к архиву, был указан в тексте электронного письма, что позволило обойти стандартные меры безопасности. Как только PDF-документ был открыт, он отвлекал получателя на время заражения системы, демонстрируя сложную тактику социальной инженерии Rezet.

Последующие электронные письма, отправленные хакерами через несколько дней после первой волны, содержали архивы, содержащие по два вредоносных файла в каждом, что увеличивало вероятность взлома системы при взаимодействии с любым из файлов. Эта методология многоэтапной атаки соответствует развивающейся тактике группы по обходу средств контроля безопасности и успешному проникновению в целевые сети.

Конкретные отрасли, на которые были нацелены эти атаки, указывают на стратегическую направленность Rezet на подрыв важнейших секторов, жизненно важных для национальной безопасности и экономической стабильности. Используя доверие, связанное с законными деловыми коммуникациями и мероприятиями, группа эффективно заманивает ничего не подозревающих жертв для запуска вредоносных программ, которые могут привести к серьезным последствиям для затронутых организаций.

#ParsedReport #CompletenessLow
01-02-2025

Banshee Rust Rewrite?

https://blog.kandji.io/banshee-rust-rewrite

Report completeness: Low

Threats:
Banshee_stealer
Antivm_technique

ChatGPT TTPs:
do not use without manual check
T1083, T1071, T1082

IOCs:
IP: 1
Hash: 1

Soft:
macOS, Chrome, Firefox, Microsoft Edge

Algorithms:
xor, sha256, exhibit

Functions:
main, new, arg, sysctl, stat

Languages:
rust, objective_c

Platforms:
apple

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в изучении нового infostealer, ориентированного на macOS, написанного на Rust, и сравнении его с просочившимся кодом Banshee Objective-C для выявления сходств и потенциальных связей. Анализ показывает поведение, операции и функции infostealer на базе Rust, указывая на возможную переработку Banshee в Rust и подчеркивая необходимость постоянного мониторинга и адаптации мер безопасности для борьбы с появляющимися вредоносными программами, нацеленными на macOS.
-----

Инфокрадеры, ориентированные на macOS, быстро развиваются, что требует постоянного мониторинга.

Произошла утечка исходного кода Objective-C infostealer "Banshee", раскрывающая его внутренние операции.

15 января 2025 года на VirusTotal был обнаружен новый инфокрад на базе Rust, который имеет сходство с Banshee.

Приложение Rust передает захваченные файлы на localhost, возможно, на этапе тестирования или разработки.

Сравнение кода Banshee на Objective-C с infostealer на основе Rust позволяет предположить, что он был переписан в Rust.

Сходства в поведении указывают на то, что инфокрады ориентируются на браузеры и кошельки.

Программа infostealer на базе Rust эффективно собирает данные браузера и кошелька, что соответствует типичным действиям infostealer.

Уверенное утверждение о том, что infostealer на базе Rust является переработанной версией Banshee, подкрепленной общими характеристиками и поведением.

Постоянная бдительность и адаптация мер по обнаружению и смягчению последствий имеют решающее значение в связи с меняющимся характером вредоносных программ для macOS.

#ParsedReport #CompletenessLow
02-02-2025

Malicious packages deepseeek and deepseekai have been published in the Python Package Index

https://www.ptsecurity.com/ru.ru/research/pt.esc.threat.intelligence/vredonosnye.pakety.deepseeek.i.deepseekai.byli.opublikovany.v.python.package.index/

Report completeness: Low

Threats:
Deepseek_fake_pypi
Supply_chain_technique

Victims:
Developers, Ml specialists, Ordinary enthusiasts

ChatGPT TTPs:
do not use without manual check
T1552, T1195.001

IOCs:
Url: 1

Soft:
DeepSeek

Languages:
python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что команда по безопасности цепочки поставок Экспертного центра Positive Technologies обнаружила вредоносную кампанию, направленную против разработчиков и энтузиастов, заинтересованных в DeepSeek. Злоумышленники зарегистрировали два вредоносных пакета в репозитории PyPI под поддельной учетной записью для кражи конфиденциальных данных и переменных среды. Непрерывный мониторинг, анализ угроз и надежные меры безопасности имеют решающее значение для защиты цепочек поставок программного обеспечения от новых хакеров.
-----

Команда по безопасности цепочки поставок Экспертного центра Positive Technologies (PT ESC) недавно обнаружила вредоносную кампанию, направленную против разработчиков, специалистов по ML и энтузиастов, заинтересованных в интеграции DeepSeek в свои системы. Эта кампания была сосредоточена на двух недавно зарегистрированных пакетах в репозитории PyPI под учетной записью bvk - deepseeek и deepseekai. Эти пакеты были зарегистрированы 29 января 2025 года злоумышленником, который создал учетную запись bvk в июне 2023 года, но ранее не был активен.

Основной целью этих вредоносных пакетов был сбор конфиденциальных данных о пользователях, их компьютерах и кража переменных среды после их установки. Активация вредоносной функциональности происходила, когда пользователи вызывали консольные команды deepseeek или deepseekai, в зависимости от того, какой пакет был установлен. Эти переменные среды часто хранят критически важные данные, необходимые для работы приложений, такие как ключи API для таких служб, как хранилище S3, учетные данные базы данных и разрешения на доступ к различным ресурсам инфраструктуры.

Злоумышленники, создавшие эти пакеты, воспользовались современными тенденциями, используя популярность DeepSeek для привлечения потенциальных жертв. Хотя изначально исследователи считали атаку относительно безобидной, потенциальный ущерб мог значительно возрасти, если бы вредоносная активность оставалась незамеченной в течение более длительного периода. Вредоносный характер этих пакетов был обнаружен с помощью PT PyAnalysis, сервиса в режиме реального времени, предназначенного для выявления подозрительных и вредоносных пакетов в экосистеме PyPI.

Этот инцидент подчеркивает важность постоянного мониторинга и анализа угроз для защиты цепочек поставок программного обеспечения. хакеры умело используют новые технологии и тенденции для осуществления вредоносных действий, что подчеркивает необходимость принятия надежных мер безопасности на протяжении всего процесса разработки и развертывания. Используя такие инструменты, как PTFEANALYSIS, организации могут заблаговременно выявлять и устранять угрозы, исходящие от вредоносных пакетов, до того, как они нанесут масштабный ущерб.

#llm

ChatGPT-4o contains security bypass vulnerability through time and search functions called "Time Bandit"

https://www.kb.cert.org/vuls/id/733789