#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Иранская группа кибершпионажа Tortoiseshell, связанная с Корпусом стражей Исламской революции, нацелена на такие сектора, как оборона и технологии на Ближнем Востоке, используя сложные методы, такие как длительная социальная инженерия и атаки на цепочки поставок, для проникновения в сети. Группа использует пользовательские и готовые вредоносные программы, в частности LEMPO и IMAPLoader, для выполнения киберопераций, часто используя уязвимости в программном обеспечении, таком как Microsoft Office и Adobe, для получения доступа. Используя тактику социальной инженерии, включая создание поддельных личностей и отправку фишинговых электронных писем с вредоносными вложениями, они проводят операции незаметно, используя облачные сервисы для размещения полезной нагрузки и утечки данных.
-----

Иранская группа кибершпионажа Tortoiseshell действует с июля 2018 года, в основном нацеливаясь на ИТ-провайдеров в Саудовской Аравии и распространяясь на технологический, оборонный, государственный, финансовый и транспортный секторы Израиля и Ближнего Востока в целом. Недавние операции включают шпионаж против аэрокосмического и оборонного секторов, об активности которых сообщалось летом 2022 года.

Группа использует заказное и готовое вредоносное ПО и использует атаки на цепочки поставок для получения доступа к сетям клиентов, часто получая доступ на административном уровне. Длительные кампании социальной инженерии - это ключевая тактика, включающая создание поддельных персонажей в социальных сетях, что приводит к распространению вредоносного ПО через документы или ссылки, которые выглядят законно.

В одной из известных атак был задействован вымышленный пользователь LinkedIn, который был нацелен на американского оборонного подрядчика с помощью вредоносного ПО LEMPO. Фишинг-атака является основным направлением для Tortoiseshell, часто использующей вредоносные вложения в электронной почте, которые используют уязвимости в программном обеспечении, таком как Microsoft Office и продукты Adobe. У них есть специальный имплантат под названием IMAPLoader для командно-диспетчерской связи, который помогает им избежать обнаружения.

Tortoiseshell использует облачные сервисы, такие как Dropbox и Google Drive, для размещения полезной нагрузки и фильтрации данных, используя зашифрованные сообщения и методы выполнения без использования файлов, чтобы сочетать вредоносные действия с законным трафиком. Организациям следует усилить защиту от социальной инженерии и фишинговых атак с помощью усовершенствованной фильтрации электронной почты, обучения сотрудников и упреждающего мониторинга своих доменов.

#ParsedReport #CompletenessLow
09-02-2025

NanoCore RAT Malware Analysis

https://malwr-analysis.com/2025/02/10/nanocore-rat-malware-analysis/

Report completeness: Low

Threats:
Nanocore_rat
Eazfuscator_tool
De4dot_tool

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1027, T1547.001, T1053.005, T1071

IOCs:
Hash: 1
File: 2
Registry: 2
Path: 3
Domain: 1
IP: 1

Soft:
SysInternals, Windows Task Scheduler, Task Scheduler

Algorithms:
md5

Platforms:
x86

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
NanoCore - это троян для удаленного доступа (RAT), предназначенный для шпионажа и кражи данных, отличающийся использованием методов обфускации, препятствующих обратному проектированию. Он поддерживает постоянство за счет саморепликации в скрытом каталоге и внесения изменений в реестр, при этом обмениваясь данными через домен simpletest[.\]ddns.net через порт 9632. Вредоносная программа также имеет модульную архитектуру, позволяющую расширять возможности шпионажа с помощью таких плагинов, как SurveillanceEx, и продемонстрировала способность изменять файловую систему для хранения украденных данных.
-----

NanoCore - это троян удаленного доступа (RAT), идентифицируемый по хэшу 18B476D37244CB0B435D7B06912E9193, известный своим использованием в шпионаже и краже данных. Анализ этого конкретного примера показал, что это исполняемый файл .NET, использующий Eazfuscator для обфускации, что усложняет работу по обратному проектированию. Процесс деобфускации был проведен с использованием de4dot, который успешно восстановил код в более удобочитаемом формате, что способствовало более четкому пониманию его функциональности.

Важные индикаторы, извлеченные из двоичного файла, указывают на то, как NanoCore обеспечивает постоянство и командно-контрольную связь (C2). Вредоносная программа пытается сохранить постоянство, реплицируя себя в скрытый каталог и создавая запись в реестре в разделе HKCU\Software\Microsoft\Windows\CurrentVersion\Run\saasmon.exe. Такое поведение указывает на то, что RAT спроектирован таким образом, чтобы работать незаметно при каждой загрузке системы.

Для связи C2 NanoCore подключается к домену simpletest[.\]ddns.net , использующий IP-адрес 8.8.8.8 (вероятно, для проверки подключения к Google DNS) и использующий порт 9632 для связи. Кроме того, в ходе динамического анализа было замечено, что был установлен специальный плагин SurveillanceEx, расширяющий шпионские возможности RAT благодаря своей модульной системе плагинов.

Что касается планирования задач, проверка кода показала намерение создать запланированную задачу с помощью schtasks.exe в целях сохранения; однако в ходе динамического анализа не было обнаружено фактической запланированной задачи. Это указывает на потенциальную проблему или метод уклонения, используемый вредоносной программой.

Были отмечены дополнительные изменения в файловой системе, в том числе установка вредоносного ПО в каталог C:\Program Files (x86)\SAAS Monitor\ и его рабочие файлы, расположенные в пользовательских каталогах, где также хранятся данные для кейлоггинга и записи в буфер обмена.

Обширный набор функций и модульная природа NanoCore делают его постоянной угрозой, предоставляя злоумышленникам значительный контроль и возможность адаптации при развертывании дополнительных возможностей. Защитникам рекомендуется внимательно отслеживать сетевой трафик и применять упреждающие меры безопасности в ответ на поведение, проявляемое этой крысой.

#ParsedReport #CompletenessLow
08-02-2025

How Adversaries Exploit Unmonitored Cloud Regions to Evade Detection

https://permiso.io/blog/how-threat-actors-leverage-unsupported-cloud-regions

Report completeness: Low

Threats:
Xmrig_miner
Cobalt_strike
Metasploit_tool

TTPs:
Tactics: 1
Technics: 1

ChatGPT TTPs:
do not use without manual check
T1535, TA0005

Soft:
GuardDuty

Functions:
Get-AzLocation

Languages:
powershell, python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Злоумышленники используют неиспользуемые или неподдерживаемые облачные регионы, в которых часто отсутствуют продвинутые службы обнаружения, для осуществления вредоносных действий, таких как криптоджекинг, что позволяет запускать такие операции, как запуск экземпляров EC2 или сегментов S3 для майнинга криптовалюты. Такая эксплуатация обычно происходит через скомпрометированные учетные записи AWS, где злоумышленники используют украденные учетные данные и неправильные настройки для активации этих пропущенных областей, обходя обычные меры безопасности. Эффективные меры противодействия требуют от организаций расширения возможностей мониторинга, проведения регулярных аудитов и применения строгих политик для защиты от угроз во всех облачных регионах.
-----

Злоумышленники используют неиспользуемые или неподдерживаемые облачные области, чтобы избежать обнаружения. Этот метод относится к категории неиспользуемых/неподдерживаемых облачных областей (T1535) в платформе MITRE ATT&CK. Атаки в этих регионах облегчают такие операции, как криптоджекинг, что приводит к финансовым потерям от необнаруженных действий. Исследования показывают, что хакеры успешно размещают вредоносные ресурсы в нескольких облачных регионах, обходя обнаружение, сосредоточенное на активных областях. Скомпрометированные учетные записи AWS особенно подвержены риску из-за кражи учетных данных и неправильной настройки IAM. хакеры используют интерфейсы командной строки и SDK для перечисления неиспользуемых регионов и запуска вредоносных действий. В Azure злоумышленники предоставляют виртуальные машины для майнинга криптовалюты и могут использовать PowerShell для выявления неконтролируемых регионов. Неправильно настроенные политики IAM облегчают использование облачных средств автоматизации, необходимых для быстрого развертывания ресурсов. Программное обеспечение для криптомайнинга используется для добычи виртуальной валюты, что увеличивает затраты организаций. Для дальнейшего проникновения в облачные среды могут использоваться продвинутые платформы, такие как Metasploit. Организациям следует внедрять стратегии обнаружения, охватывающие все облачные регионы, и использовать средства ведения журнала и обеспечения безопасности для выявления подозрительной активности. Регулярные аудиты и более строгое применение политик необходимы для обеспечения контроля за развертыванием ресурсов.

#ParsedReport #CompletenessLow
06-02-2025

LucKY_Gh0$t Ransomware Operator Demands $220 for Decryption

https://www.sonicwall.com/blog/lucky_gh0-t-ransomware-operator-demands-220-for-decryption

Report completeness: Low

Threats:
Lucky_ghost
Chaos_ransomware

ChatGPT TTPs:
do not use without manual check
T1486, T1490

IOCs:
File: 2

Crypto:
bitcoin

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вариант программы-вымогателя LucKY_Gho$t, производный от программы-вымогателя Chaos, шифрует файлы жертвы и изменяет имена файлов, требуя при этом выкуп в размере 220 долларов в биткоинах. Он нацелен на различные типы файлов, отключает функции восстановления системы и общается с жертвами через зашифрованное приложение для общения в чате под названием Session. SonicWall Capture Labs разработала сигнатуру обнаружения для этой программы-вымогателя.
-----

SonicWall Capture Labs отслеживает новую версию программы-вымогателя под названием LucKY_Gho$t, которая является производной от хорошо известной программы-вымогателя Chaos. Хакеры, стоящие за LucKY_Gho$t, требуют выкуп в размере 220 долларов в биткоинах за расшифровку файлов. После заражения программа-вымогатель шифрует файлы в системе жертвы и изменяет имена файлов, добавляя четыре буквенно-цифровых символа. В дополнение к шифрованию файлов, она меняет фон рабочего стола на определенное изображение, хотя детали изображения не были раскрыты в ходе анализа.

Программа-вымогатель нацелена на различные типы файлов, и эта цель была выявлена в декомпилированном коде вредоносной программы. Примечательно, что LucKY_Gho$t также отключает несколько функций восстановления системы, чтобы помешать попыткам восстановить файлы без уплаты выкупа. Анализ показывает, что операторы напрямую взаимодействуют с жертвами через чат-приложение Session, известное своим сквозным шифрованием и ориентированное на конфиденциальность и минимальное количество метаданных. Исследователи успешно установили рекомендованное приложение и смогли вступить в диалог с оператором программы-вымогателя.

SonicWall Capture Labs сообщила, что они разработали сигнатуру для обнаружения и устранения этой угрозы вымогательства, хотя конкретные сведения о сигнатуре не были включены в отчет.

#ParsedReport #CompletenessHigh
10-02-2025

Further insights into Ivanti CSA 4.6 vulnerabilities exploitation

https://harfanglab.io/insidethelab/insights-ivanti-csa-exploitation/

Report completeness: High

Threats:
Behinder
Godzilla_webshell
Arl_tool
Landesk_tool
Grok
Upx_tool
Supershell
Fscan_tool
Zerologon_vuln
Reversessh_tool
Any_support_tool

Industry:
Government, Chemical, Healthcare, Telco, Financial

Geo:
Germany, China, Turkey, French, France

CVEs:
CVE-2020-1472 [Vulners]
CVSS V3.1: 5.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows server 2008 (r2)
- microsoft windows server 2012 (r2)

CVE-2024-8190 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti cloud services appliance (4.6)

CVE-2024-8963 [Vulners]
CVSS V3.1: 9.4,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (4.6)

CVE-2024-9379 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (<5.0.2)

CVE-2021-44529 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (le4.5, 4.6)

CVE-2022-1388 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- f5 big-ip access policy manager (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
- f5 big-ip advanced firewall manager (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
- f5 big-ip analytics (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
- f5 big-ip application acceleration manager (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
- f5 big-ip application security manager (le11.6.5, le12.1.6, <13.1.5, <14.1.4.6, <15.1.5.1)
have more...
CVE-2024-9381 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- ivanti endpoint manager cloud services appliance (<5.0.2)

CVE-2023-3519 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- citrix netscaler application delivery controller (<12.1-55.297, <13.0-91.13, <13.1-37.159, <13.1-49.13)
- citrix netscaler gateway (<13.0-91.13, <13.1-49.13)

CVE-2021-4034 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- polkit project polkit (<121)


TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1059.003, T1105, T1021.004, T1053.005, T1595, T1056.001, T1557.001

IOCs:
File: 6
Hash: 14
IP: 3
Domain: 4
Email: 1

Soft:
Ivanti, OpenSSH, Ubuntu, nginx, SystemD, openssl, Linux, PostgreSQL, curl, BIG-IP, have more...

Algorithms:
base64, aes-128, xor, sha256, md5, sha1

Functions:
RANDOM_NAME_VARIABLE2

Win Services:
bits

Languages:
golang, javascript, python, php

YARA: Found

Links:
have more...
https://github.com/NHAS/reverse\_ssh/blob/71420af670aebbe632f35ce8428cbfbd21dc5f53/internal/server/webserver/webserver.go#L51
https://github.com/NHAS/reverse\_ssh/blob/71420af670aebbe632f35ce8428cbfbd21dc5f53/pkg/mux/multiplexer.go#L53
https://github.com/dutchcoders/transfer.sh

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
CVE-2024-8963 - это уязвимость для обхода критического пути в облачном сервисе Ivanti, позволяющая удаленным злоумышленникам получать доступ к ограниченным функциям через созданные URL-адреса из-за проблем с анализом URL-адресов. Использование может привести к удаленному выполнению команд и установке веб-оболочек, при этом злоумышленники нацеливаются на организации в различных секторах, особенно в США и Франции. Несмотря на исправления в системе безопасности, фундаментальные недостатки остаются, что подчеркивает необходимость постоянного повышения бдительности в области безопасности.
-----

CVE-2024-8963 - это серьезная уязвимость для обхода пути в облачном сервисе Ivanti (CSA). Она позволяет удаленным злоумышленникам, не прошедшим проверку подлинности, получать доступ к ограниченным функциональным возможностям. Уязвимость связана с проблемами синтаксического анализа URL-адресов на собственном веб-сервере Ivanti C++ "broker", который управляет HTTP/S запросами для CSA. Злоумышленники могут создавать вредоносные URL-адреса, которые брокер неправильно интерпретирует, обеспечивая доступ к файлам PHP с ограниченным доступом. Эта уязвимость может привести к удаленному выполнению команд операционной системы и SQL-запросов, используя уязвимости CVE-2024-8190 и CVE-2024-9379. Как правило, уязвимость нацелена на конечные точки PHP с ограниченным доступом, минуя стандартные средства контроля доступа. Сообщения об эксплуатации появились после первоначального обнаружения, после получения рекомендаций от Fortinet и совместного предупреждения от CISA и ФБР. В период с сентября по октябрь 2024 года были зафиксированы попытки развертывания веб-оболочек для обеспечения сохраняемости на скомпрометированных экземплярах CSA, что позволило злоумышленникам выполнять системные команды или произвольный PHP-код. Конструкция брокера облегчает доступ без проверки подлинности на основе конфигураций URL-путей. Несмотря на то, что Ivanti выпустила исправления для системы безопасности, фундаментальные недостатки в более поздних версиях CSA остались нераскрытыми. Злоумышленники систематически использовали инструменты удаленного управления и механизмы сбора учетных данных после первоначального использования. Целевыми секторами были производство, здравоохранение и финансы, с заметным акцентом на Соединенные Штаты и Францию. Организованный характер атак предполагает многоуровневую модель использования, потенциально предполагающую участие нескольких сторон. Уязвимость подчеркивает риски, связанные со сложной реализацией веб-сервера и неправильным анализом URL-адресов, что приводит к несанкционированному доступу к уязвимым технологиям.

#ParsedReport #CompletenessLow
10-02-2025

Akira ransomware attack case detection using Ahnlab EDR

https://asec.ahnlab.com/ko/86186/

Report completeness: Low

Threats:
Akira_ransomware
Netscan_tool
Nltest_tool
Adfind_tool
Bloodhound_tool
Mimikatz_tool
Minidump_tool
Lazagne_tool
Passview_tool
Anydesk_tool
Rustdesk_tool
Radmin_tool
Ngrok_tool
Wmiexec_tool
Impacket_tool
Rclone_tool
Ntdsutil_tool
Psexec_tool
Credential_dumping_technique
Cloudflared_tool

Geo:
Korea

CVEs:
CVE-2022-40684 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- fortinet fortiproxy (<7.0.7, 7.2.0)
- fortinet fortiswitchmanager (7.0.0, 7.2.0)
- fortinet fortios (<7.0.7, <7.2.2)

CVE-2019-6693 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- fortinet fortios (le5.6.10, le6.0.6, 6.2.0)

CVE-2020-3259 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco firepower threat defense (<6.2.3.16, <6.3.0.6, <6.4.0.9, <6.5.0.5)
- cisco adaptive security appliance software (<9.8.4.20, <9.9.2.67, <9.10.1.40, <9.12.3.9, <9.13.1.10)

CVE-2024-37085 [Vulners]
CVSS V3.1: 7.2,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- vmware cloud foundation (<5.2)
- vmware esxi (7.0, 8.0)

CVE-2024-40766 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- sonicwall sonicos (<5.9.2.14-13o)

CVE-2023-20269 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- cisco adaptive security appliance software (6.2.3, 6.2.3.1, 6.2.3.2, 6.2.3.3, 6.2.3.4)

CVE-2024-40711 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- veeam veeam backup & replication (<12.2.0.334)

CVE-2023-48788 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- fortinet forticlient enterprise management server (<7.0.11, <7.2.3)


TTPs:
Tactics: 9
Technics: 23

IOCs:
File: 6

Soft:
esxi, active directory, Chrome, PSEXEC, Winscp, Linux, Dropbox

#ParsedReport #ExtractedSchema

Classified images:
code: 1, schema: 4, windows: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Akira, группа программ-вымогателей, действующая с марта 2023 года, использует агрессивную тактику, связанную с кражей данных и шифрованием файлов. Они используют VPN, в которых отсутствует MFA, и известные уязвимости, такие как CVE-2019-6693 и CVE-2024-40766, используя инструменты для разведки и бокового перемещения. Их операции включают использование программ-вымогателей для шифрования файлов, помеченных расширением ".akira", а также использование средств удаленного управления для обеспечения доступа и контроля над сетями.
-----

Akira - это группа программ-вымогателей, которая начала свою деятельность в марте 2023 года, используя агрессивную тактику, включающую шифрование файлов и кражу данных в качестве рычага воздействия на переговоры. Группа в основном использует учетные записи VPN, в которых отсутствует многофакторная аутентификация, и использует известные уязвимости, такие как CVE-2019-6693 от Fortinet, CVE-2022-40684, CVE-2020-3259 от Cisco, CVE-2023-20269 от SonicWall, CVE-2024-40766 от VMware, CVE-2024-37085 от VMware, и CVE-2024-40711 от Veeam.

Злоумышленники собирают сетевую информацию с помощью таких инструментов, как Advanced IP Scanner и NetScan, а также используют NLTEST и ADFIND для исследования домена. BloodHound помогает им определить пути атаки для повышения привилегий. Для сбора учетных данных они используют Mimikatz для извлечения хэшей NT из процесса LSASS, используют COMSVC.DLL для автоматического создания дампов памяти и используют Lazagne для сохраненных учетных данных.

Они также обрабатывают учетные данные веб-браузера с помощью таких инструментов, как WebBrowserPassView от NIRSOFT. Инструменты удаленного управления, такие как AnyDesk, RustDesk и Radmin, обеспечивают постоянный доступ, в то время как передача команд и контроля осуществляется с помощью прокси-инструментов, таких как NGROK и Cloudflare. Akira создает скрытые учетные записи пользователей, чтобы оставаться незамеченной, облегчая основные усилия по перемещению данных с помощью таких методов, как RDP, WMIEXEC и PSEXEC.

Во время атак конфиденциальные данные сжимаются с помощью WinRAR, а файлы шифруются с расширением ".akira". Жертвы перенаправляются на платформу согласования на основе Tor. Для передачи файлов используются FTP-приложения, такие как WinSCP и FileZilla, или облачные сервисы, такие как MEGA, через RCLONE. Операции Akira направлены на эффективное управление целевыми сетями с помощью сложной разведки, сбора учетных данных и стратегий горизонтального перемещения, а также шифрования и эксфильтрации данных.

#ParsedReport #CompletenessLow
11-02-2025

Linux Detection Engineering - Approaching the Summit on Persistence Mechanisms

https://www.elastic.co/security-labs/approaching-the-summit-on-persistence

Report completeness: Low

Threats:
Panix_tool
Medusalocker
Azazel
Ebury
Skidmap

TTPs:
Tactics: 2
Technics: 4

IOCs:
IP: 3
File: 4

Soft:
Linux, Docker, sudo, SELinux, Kibana, curl, UNIX, Debian, Fedora, crontab, have more...

Links:
https://github.com/ldpreload/Medusa
have more...
https://github.com/Aegrah/PANIX
https://github.com/chokepoint/azazel

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В статье рассматриваются продвинутые механизмы сохранения данных в Linux, используемые злоумышленниками, с акцентом на злонамеренные манипуляции с подключаемыми модулями аутентификации (PAM) и менеджерами пакетов для сохранения позиций. В нем рассказывается о руткитах, таких как Medusa и Azazel, использовании уязвимостей Docker и Kubernetes, а также об использовании вредоносных сценариев жизненного цикла для обеспечения сохраняемости. Инженерные решения для обнаружения и мониторинга являются важнейшими средствами защиты от этих сложных угроз.
-----

Злоумышленники используют подключаемые модули аутентификации (PAM) для создания вредоносных модулей, которые могут перехватывать учетные данные, изменять ведение журнала, разрешать несанкционированный доступ или выполнять вредоносный код.

Руткиты, такие как Medusa и Azazel, наряду с вредоносными программами, такими как Ebury и Skidmap, используют вредоносные методы PAM, классифицированные как T1556.003 в платформе MITRE ATT&CK framework.

Вредоносные скрипты жизненного цикла в менеджерах пакетов (DPKG для Debian и RPM для Red Hat) могут выполнять код во время установки или обновления программного обеспечения, который подпадает под T1546.016 в платформе MITRE ATT&CK framework.

Такие инструменты, как PANIX, могут имитировать манипуляции с менеджерами пакетов для выполнения произвольного кода.

Злоумышленники могут использовать платформы контейнеризации, такие как Docker и Kubernetes, с помощью методов эвакуации хоста, запуская привилегированные контейнеры или используя конфиденциальные подключения к каталогам хостов.

Вредоносные бэкдоры PAM можно настроить, введя жестко запрограммированные учетные данные в модули PAM, что позволяет выполнять сценарии бэкдора во время аутентификации.

Модуль pam_exec.so может выполнять произвольные скрипты, позволяя злоумышленникам запускать вредоносные скрипты после успешной аутентификации пользователя.

Обеспечение сохраняемости с помощью Docker включает в себя создание образов, которые поддерживают обратные подключения к оболочке и запускают контейнеры в привилегированном режиме для доступа к ресурсам хоста.

Разработка средств обнаружения имеет решающее значение для противодействия этим методам сохранения, уделяя особое внимание надежному мониторингу и поиску угроз для отслеживания ненормального поведения.