#ParsedReport #CompletenessHigh
11-02-2025

Sandworm APT Targets Ukrainian Users with Trojanized Microsoft KMS Activation Tools in Cyber Espionage Campaigns

https://blog.eclecticiq.com/sandworm-apt-targets-ukrainian-users-with-trojanized-microsoft-kms-activation-tools-in-cyber-espionage-campaigns

Report completeness: High

Actors/Campaigns:
Sandworm (motivation: information_theft, cyber_espionage)
Uac-0145
Unc4166

Threats:
Dcrat
Backorder
Kalambur
Kmsauto_tool
Typosquatting_technique
Lolbas_technique
Lolbin_technique
Dwagent_tool

Victims:
Ukrainian windows users, Ukrainian government, Utility companies

Industry:
Critical_infrastructure, Government, Ics

Geo:
Russia, Moscow, Ukrainian, Ukraine, Russian

TTPs:

IOCs:
Command: 1
File: 7
Path: 2
Url: 3
Domain: 11
IP: 2
Hash: 30

Soft:
TOR Browser, OpenSSH, ProtonMail, Windows Defender, PyInstaller, Windows security, Microsoft Defender, CURL, Microsoft Office

Algorithms:
base64, zip

Functions:
main_convert_B64_to_Str

Languages:
python, golang, php, powershell

YARA: Found
SIGMA: Found

#ParsedReport #ExtractedSchema

Classified images:
schema: 3, windows: 2, code: 9

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Кампания по обновлению KMS, проводимая российским хакером Sandworm, нацелена на украинских пользователей Windows с помощью пиратских активаторов KMS, распространяющих загрузчик предварительных заказов для развертывания Dark Crystal RAT (DcRAT) для кибершпионажа. BACKORDER позволяет избежать обнаружения, отключив защитник Windows и используя PowerShell для сохранения, в то время как Kalambur, бэкдор RDP, имитирует Центр обновления Windows для скрытой связи. Такая тактика угрожает не только отдельным лицам, но и критически важной инфраструктуре в Украине.
-----

Кампания KMS Update нацелена на украинских пользователей Windows с помощью вредоносного программного обеспечения, в частности пиратских активаторов Microsoft Key Management Service (KMS) - тактики, используемой российским хакером Sandworm (APT44). Эта операция, судя по всему, проводилась с конца 2023 года, что совпало с продолжающейся войной на Украине. Sandworm использует эти пиратские инструменты для распространения BACKORDER - загрузчика, который в конечном итоге доставляет Dark Crystal RAT (DcRAT), облегчая кибершпионаж и вывоз конфиденциальных данных.

Использование троянского программного обеспечения значительно распространено из-за высокого уровня компьютерного пиратства в Украине, где около 70% программного обеспечения в государственном секторе является нелицензионным. Загрузчик BACKORDER особенно эффективен; он маскируется под законное средство активации KMS и запускает поддельный интерфейс активации Windows во время работы в фоновом режиме. Загрузчик эффективно отключает защитник Windows и манипулирует системными настройками, чтобы обеспечить незамеченное выполнение вредоносных программ.

Загрузчик BACKORDER демонстрирует сложные методы сохранения и обхода. В нем используются методы автономного использования двоичных файлов (LOLBA) и PowerShell для установки правил исключения в защитнике Windows, что позволяет обойти меры безопасности. Закодированная строка домена ведет к URL-адресу для загрузки DcRAT. После установки DcRAT подключается к серверу управления и переписки, где он может получать конфиденциальную информацию. Кроме того, DcRAT поддерживает свои позиции, создавая запланированные задачи, которые гарантируют, что вредоносная полезная нагрузка останется работоспособной даже после выхода пользователя из системы или перезагрузки системы.

Другой компонент этой кампании включает в себя новый RDP-бэкдор, Kalambur, предназначенный для имитации центра обновления Windows. Kalambur работает, загружая двоичный файл TOR для скрытой связи, в то время как задачи планировщика обеспечивают непрерывное выполнение. Его первоначальное действие заключается в установке прокси-сервера SOCKS5 для облегчения обмена командами через TOR. Эта вредоносная программа демонстрирует сложные методы, используемые Sandworm для поддержания контроля над сетями, в которые проникли злоумышленники.

Вредоносные действия, приписываемые Sandworm, нацелены не только на отдельных пользователей и предприятия, но и представляют угрозу для критически важной инфраструктуры в Украине. Инциденты, имевшие место в прошлом, такие как установка троянского программного обеспечения, в результате чего был получен несанкционированный доступ к технологиям коммунальной компании, свидетельствуют о потенциальных серьезных последствиях. Сочетание киберопераций с кинетической и экономической тактикой иллюстрирует более широкую стратегию, направленную на подрыв суверенитета Украины и дестабилизацию важнейших секторов экономики страны.

#technique

Path masquerading: Hide in plain sight

In this article, with a Standard User account, I will implement the masquerading attack technique to disguise the paths of payloads to closely resemble the path of the Antimalware Service Executable file.

https://www.zerosalarium.com/2025/01/path-masquerading-hide-in-plain-sight.html

#technique

Exploit Development: Investigating Kernel Mode Shadow Stacks on Windows

https://connormcgarr.github.io/km-shadow-stacks/

#ParsedReport #CompletenessHigh
11-02-2025

RATatouille: Cooking Up Chaos in the I2P Kitchen

https://blog.sekoia.io/ratatouille-cooking-up-chaos-in-the-i2p-kitchen/

Report completeness: High

Threats:
Clickfix_technique
I2prat
Dumpulator_tool
Dosvc
Typosquatting_technique
Process_injection_technique
Process_hollowing_technique

TTPs:
Tactics: 5
Technics: 18

IOCs:
File: 42
IP: 4
Command: 4
Hash: 1
Registry: 1

Soft:
Windows security, Process Explorer, Winlogon, Windows Defender, Microsoft Defender, Windows Service

Algorithms:
aes-128, aes, cbc, xor, sha256

Functions:
bytearray, RPC

Win API:
NtOpenProcess, NtOpenProcessToken, NtQueryInformationToken, GetSidSubAuthority, SeSecurityPrivilege, SeDebugPrivilege, AdjustTokenPrivileges, NtQuerySystemInformation, NtDuplicateObject, LdrLoadDll, have more...

Win Services:
Wuauserv, WaaSMedicSvc

Languages:
powershell, python

Links:
have more...
https://github.com/mrexodia/dumpulator
https://gist.github.com/lbpierre/318898548d9825d1a3610ee08c841916

#ParsedReport #ExtractedSchema

Classified images:
schema: 3, windows: 1, code: 2, chats: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
I2PRAT - это многоступенчатый RAT, использующий обфускацию и передовые методы для уклонения и повышения привилегий. Он использует трехуровневый процесс заражения, обменивается данными по протоколу TCP с шифрованием AES-128 и работает в сети I2P, что усложняет обнаружение. Уязвимости в системе безопасности можно использовать для обнаружения угроз, уделяя особое внимание системным настройкам и подозрительным шаблонам DLL-файлов.
-----

В ходе недавнего расследования, проведенного TDR (Threat Detection & Research), был обнаружен новый вариант вредоносного ПО под названием I2PRAT, классифицированный как многоэтапный троян удаленного доступа (RAT), связанный с кампанией, начатой в ноябре 2024 года. Эта вредоносная программа использует передовые методы обфускации, в том числе обычный упаковщик на первом этапе, чтобы скрыть свое поведение и избежать обнаружения. Подробный процесс обратного проектирования выявил несколько сложных возможностей I2PRAT, таких как обход защиты, повышение привилегий и динамическое разрешение API.

Процесс заражения I2PRAT состоит из трех отдельных уровней, причем начальный уровень выполняет функцию связующего/упаковщика, который выполняет загрузчик в памяти. Загрузчик проверяет и повышает свои привилегии, используя функции Windows API для взаимодействия с операционной системой. Ключевая тактика заключается в запросе информации о токене текущего процесса и использовании механизма удаленного вызова процедур (RPC) для повышения привилегий. Несмотря на намерение использовать RPC для обхода контроля доступа пользователей (UAC), вредоносная программа была заблокирована исправлением для системы безопасности (KB5031356), которое восстанавливает запрос UAC, эффективно блокируя попытки получить права локального администратора без обнаружения.

При запуске с достаточными привилегиями загрузчик использует SeDebugPrivilege для дублирования своего процесса в повышенном состоянии под учетной записью NT Authority\SYSTEM. Это повышает его права на выполнение, позволяя осуществлять дальнейшие вредоносные действия. Вредоносная программа взаимодействует со своим сервером управления (C2) по стандартному TCP-соединению, используя порты между 1110 и 1130, и шифрует свою связь с помощью AES-128 в режиме цепочки блоков шифрования (CBC). Инициализация связи включает в себя метод первоначального подтверждения связи, который устанавливает уникальные ключи шифрования и проверяет соединения посредством обратного обмена случайными байтами.

После успешной установки вредоносная программа I2PRAT запускает сценарий PowerShell, предназначенный для отключения функций безопасности защитника Windows, и устанавливает постоянство, создавая службу автозапуска с именем "RDP-Controller". Он удаляет множество компонентов, включая важные библиотеки DLL в определенных каталогах, что облегчает его работу и взаимодействие с инфраструктурой C2. RAT работает через сеть Invisible Internet Project (I2P), что усложняет отслеживание из-за ее анонимного характера.

I2PRAT является модульным, где каждая библиотека DLL выполняет различные функции - от управления файлами до сетевого взаимодействия. Его поведение отражает структурированный подход, напоминающий среду совместной разработки, позволяющий эффективно распределять задачи между различными компонентами вредоносного ПО. Вредоносная программа генерирует логи, которые могут помочь в судебно-медицинских расследованиях, несмотря на использование анонимной сети для сокрытия точного местоположения сервера C2.

Что касается стратегий обнаружения, то выявленное поведение I2PRAT предоставляет аналитикам кибербезопасности несколько возможностей. Изменение системных настроек, особенно в отношении конфигураций RDP и развертываемых библиотек DLL, можно отслеживать с помощью специальных правил Sigma, разработанных для выявления этих изменений. Кроме того, мониторинг наличия удаленных библиотек DLL, а также подозрительных шаблонов в сообщениях C2 повышает способность I2PRAT выявлять потенциальные заражения.

#ParsedReport #CompletenessLow
11-02-2025

TA558 Group Attacks Russian and Belarusian Companies Again

https://habr.com/ru/companies/f_a_c_c_t/news/881062/

Report completeness: Low

Actors/Campaigns:
Ta558 (motivation: cyber_criminal)

Threats:
Remcos_rat

Victims:
Companies, Enterprises, Government agencies, Banks

Industry:
Financial, Logistic, Government

Geo:
Belarusian, Belarus, Russian, Russia

CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2010, 2013, 2016)


ChatGPT TTPs:
do not use without manual check
T1566.001, T1203, T1059.005, T1219

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
TA558 провел фишинговую кампанию, направленную против российских и белорусских организаций, используя электронные письма, которые используют уязвимость CVE-2017-11882 в Microsoft Office. Жертвы, открывающие вредоносное вложение, запускают процесс загрузки Remcos RAT, что позволяет злоумышленникам получить доступ к конфиденциальным данным и проникнуть в систему.
-----

27 января киберпреступная группа, известная как TA558, провела масштабную фишинговую кампанию, направленную на российские и белорусские организации в различных секторах, включая финансы, логистику, строительство, туризм и промышленность. По данным аналитиков из F.A.C.C.T. group, в ходе атаки было использовано специализированное программное обеспечение, которое за один день отправило фишинговые электронные письма более чем 76 000 получателям в 112 странах. Эти электронные письма, как правило, содержали вложение, предназначенное для использования уязвимости CVE-2017-11882, уязвимости в продуктах Microsoft Office, которая позволяет злоумышленникам выполнять произвольный код.

Процесс эксплуатации начинается, когда жертва открывает вложение, в котором запускается документ в формате расширенного текста (RTF). Этот документ запускает загрузку и выполнение файла HTA (HTML-приложения), содержащего скрытый, запутанный скрипт Visual Basic (VBS). После выполнения скрипт активирует троян Remcos Remote Access Trojan (RAT), предоставляя злоумышленникам контроль над скомпрометированным устройством. Эта возможность позволяет TA558 проникать в системы, красть конфиденциальную информацию и в дальнейшем использовать организации, на которые они нацелены.

Деятельность TA558 была задокументирована как минимум с 2018 года, а последние данные за 2024 год свидетельствуют о всплеске их фишинговой активности: аналитики зафиксировали более тысячи попыток, направленных преимущественно против предприятий, государственных органов и банковских учреждений в России и Беларуси. Основными целями этих атак являются извлечение ценных данных и получение несанкционированного доступа к внутренним системам пострадавших организаций. Примечательно, что TA558 использует многоэтапную тактику фишинга в сочетании с различными методами социальной инженерии для повышения эффективности своих кампаний. Летом 2024 года эксперты F.A.C.C.T. поделились информацией о методах работы TA558 и существующих угрозах, подчеркнув постоянный риск, который представляет эта группа в среде хакеров.

#ParsedReport #CompletenessLow
11-02-2025

Analyzing a Mispadu Trojans attack chain

https://www.threatdown.com/blog/analyzing-a-mispadu-trojans-attack-chain/

Report completeness: Low

Threats:
Mispadu

Victims:
Mexican companies

Industry:
Financial

Geo:
Mexican, Latin american, Portuguese, Spanish

ChatGPT TTPs:
do not use without manual check
T1566.001, T1059.005, T1059

IOCs:
File: 5

Soft:
Google Chrome, scripting engine

Crypto:
bitcoin

Algorithms:
zip

Languages:
powershell, autoit, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Банковский троян Mispadu использует сложные цепочки заражения, в первую очередь нацеливаясь на испаноязычных и португалоязычных пользователей с помощью фишинговых методов, таких как вредоносные HTA-файлы. Он может перехватывать учетные данные, финансовые данные и активность в буфере обмена, а также включать средства защиты, позволяющие избежать обнаружения в нецелевых средах. Его постоянное развитие отражает адаптивную тактику, направленную на поддержание его вредоносной эффективности.
-----

Банковский троян Mispadu, также известный как Ursa, известен своими сложными цепочками заражения и действует как минимум с 2019 года, в основном нацеливаясь на частных лиц и предприятия, говорящие на испанском и португальском языках. Один из известных методов заражения заключается в том, что пользователи обманом запускают удаленный HTA-файл (HTML-приложение), в который встроен файл JavaScript. В недавнем случае злоумышленники атаковали мексиканские компании с помощью фишингового электронного письма, содержащего поддельный счет-фактуру под названием "Factura.pdf". При запуске HTA-файл инициирует загрузку и выполнение удаленного файла JavaScript, который имеет решающее значение для процесса заражения.

Первоначально попытки доступа к JavaScript были пресечены из-за приостановки действия учетной записи хостинга. Однако альтернативные методы позволили восстановить код JavaScript, который затем запускает команду, генерирующую файл VBS (Visual Basic Script) в системе жертвы. Это выполнение впоследствии приводит к установке самого троянца Mispadu.

Mispadu работает по модели "вредоносное ПО как услуга" (MaaS) и обладает целым рядом вредоносных функций, включая кражу учетных данных из различных почтовых клиентов и веб-браузеров, извлечение финансовых данных и возможность захвата и изменения информации о биткойн-кошельке, хранящейся в буфере обмена. Троянец также включает в себя функции кейлоггинга для регистрации нажатий клавиш пользователями.

Более того, Mispadu имеет встроенные защитные механизмы, которые позволяют ему прекратить выполнение, если он обнаружит, что языковой идентификатор системы не соответствует испанскому или португальскому, что подчеркивает его специфическую стратегию таргетинга. В нем также предусмотрены проверки, позволяющие определить, работает ли он в виртуализированной среде, - практика, которая, вероятно, направлена на предотвращение анализа и обратного проектирования исследователями безопасности.

Разработка вредоносной программы, по-видимому, продолжается, о чем свидетельствует использование различных языков сценариев. В прошлом для заражения использовались не только HTA-файлы, но и PowerShell и AutoIt, что свидетельствует о постоянном совершенствовании тактики, позволяющей избежать обнаружения и повысить эффективность. Такая адаптивность в сочетании с целенаправленным подходом подчеркивает постоянную угрозу, исходящую от банковского трояна Mispadu.

#ParsedReport #CompletenessMedium
11-02-2025

Persistent Threats from the Kimsuky Group Using RDP Wrapper

https://asec.ahnlab.com/en/86098/

Report completeness: Medium

Actors/Campaigns:
Kimsuky

Threats:
Spear-phishing_technique
Revsocks
Reflectiveloader
Rdpwrap_tool
Trojan/win.keylogger.c5687683
Trojan/win.keylogger.c5705213
Trojan/win.keylogger.c5705571
Trojan/win.injecter.c5705214
Uacme
Trojan/win.loader.c5716648
Infostealer/win.browser.r641029
Trojan/win.agent.c5687684
Powershell_keylogger_tool
Rdpwrapper_tool

Geo:
Korean

ChatGPT TTPs:
do not use without manual check
T1566.001, T1059.001, T1055, T1056.001, T1555.003, T1021.001

IOCs:
Hash: 5
IP: 2

Soft:
Internet Explorer

Algorithms:
md5

Win API:
ReadFile

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Группа Kimsuky использует фишинг для распространения вредоносных файлов LNK, что приводит к запуску PowerShell для развертывания вредоносных программ, включая PebbleDash и RDP Wrapper. Они используют вредоносные программы-посредники для доступа по протоколу RDP и ведения кейлоггинга, совершенствуя свои методы перехвата информации, чтобы избежать обнаружения. В последнее время основное внимание уделяется внедрению вредоносных программ-инжекторов и загрузчиков для внедрения в процессы, что указывает на переход к методам удаленного управления.
-----

Группа Kimsuky активно применяет целый ряд методов кибератак, в частности, использует фишинг-атаки для распространения вредоносных файлов быстрого доступа (*.LNK). Эти файлы часто маскируются под обычные файлы документов, сопровождаемые значками документов Office, таких как PDF-файлы, файлы Excel или Word. После выполнения они запускают PowerShell или Mshta для загрузки и запуска дополнительных полезных программ, включая их известные инструменты, PebbleDash и RDP Wrapper. Группа расширила свои операции, собрав информацию о конкретных жертвах, о чем свидетельствует использование специальных имен файлов, относящихся к потенциальным жертвам.

В дополнение к вышеупомянутому вредоносному ПО, Kimsuky использует различные другие инструменты для получения контроля над зараженными системами. Развертывание вредоносного ПО через прокси-сервер играет решающую роль, особенно когда цель работает в частной сети. Эти прокси-серверы служат посредниками для доступа по протоколу удаленного рабочего стола (RDP), эффективно позволяя злоумышленникам получать контроль над системами даже при включенных службах RDP. Прокси—серверы, которые мы наблюдали в предыдущих кампаниях, использовали разные имена мьютексов для идентификации — например, "MYLPROJECT" и "LPROXYMUTEX" - и использовали определенные пути настройки, что указывает на высокую степень операционной согласованности.

Функция кейлоггинга также является неотъемлемой частью стратегии Kimsuky, поскольку более ранние вредоносные программы сохраняли перехваченные нажатия клавиш в стандартных местах, таких как "%LOCALAPPDATA%". Однако в более поздних версиях используются другие пути хранения файлов, такие как "C:\Programdata\joeLog.txt". Кроме того, появилась вредоносная программа infostealer, которая нацелена на учетные данные, хранящиеся в веб-браузерах. Вместо прямого извлечения сохраненных учетных данных новые версии нацелены на извлечение определенных значений ключей из файлов браузера — этот метод якобы помогает обойти меры безопасности.

Еще одна примечательная разработка в методологии атаки Kimsuky включает в себя идентификацию вредоносных программ-инжекторов и загрузчиков. Эти компоненты работают, загружая процессы непосредственно в память с определенных системных путей. В частности, загрузчик извлекает файлы из "%SystemDirectory%\wbemback.dat", в то время как инжектор принимает инструкции по настройке процесса в качестве аргументов. Кроме того, появился сценарий PowerShell под названием "Invoke-ReflectivePEInjection.ps1", который, хотя и запутан, добавляет еще один уровень к их векторам атаки с помощью методов отражающего внедрения.

В 2024 году Kimsuky group изменила свою тактику, продолжив использовать фишинг с использованием файлов LNK, в то же время все больше полагаясь на RDP-оболочку и прокси-серверы, а не на традиционные бэкдоры. Это говорит о переходе к более оперативным методам удаленного управления для облегчения текущих операций. Следовательно, крайне важны осведомленность и осторожность потенциальных жертв, поскольку тактика Kimsuky представляет значительный риск для пользователей, особенно в Корее. Защитные меры, такие как проверка источников электронной почты, предотвращение запуска неизвестных файлов и обновление программного обеспечения, необходимы для снижения угрозы, исходящей от этой группы.

#ParsedReport #CompletenessLow
11-02-2025

New Malware Campaign Mimic Tax Agencies Attacking Financial Organizations

https://cybersecuritynews.com/new-malware-campaign-mimic-tax-agencies/

Report completeness: Low

Threats:
Credential_harvesting_technique
Rhadamanthys
Voldemort
Credential_stealing_technique
Supply_chain_technique

Victims:
Financial organizations, Individuals

Geo:
Australia, Australian, Russian, Switzerland

ChatGPT TTPs:
do not use without manual check
T1566.002, T1059.001, T1059.007, T1071.001

IOCs:
Url: 4

Soft:
ivanti, fortinet fortios

Languages:
javascript, python, powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4