#ParsedReport #CompletenessHigh
14-02-2025

RansomHub Never Sleeps Episode 1: The evolution of modern ransomware

https://www.group-ib.com/blog/ransomhub-never-sleeps-episode-1/

Report completeness: High

Actors/Campaigns:
Ransomhub

Threats:
Ransomhub
Lockbit
Blackcat
Cyclops_ransomware
Pchunter_tool
Angry_ip_scanner_tool
Nmap_tool
Zerologon_vuln
Shadow_copies_delete_technique
Cicada_ransomware
Terminator_tool
Process_injection_technique
Passthehash_technique
Avkiller

Industry:
Government, Military, Healthcare, Critical_infrastructure, Financial

Geo:
China

CVEs:
CVE-2021-42278 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows server 2004 (<10.0.19041.1348)
- microsoft windows server 2008 (r2)
- microsoft windows server 2012 (r2)
- microsoft windows server 2016 (<10.0.14393.4770)
- microsoft windows server 2019 (<10.0.17763.2300)
have more...
CVE-2024-3400 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- paloaltonetworks pan-os (10.2.0, 10.2.1, 10.2.2, 10.2.3, 10.2.4)

CVE-2020-1472 [Vulners]
CVSS V3.1: 5.5,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows server 2008 (r2)
- microsoft windows server 2012 (r2)


TTPs:
Tactics: 12
Technics: 37

IOCs:
IP: 3
File: 82
Command: 5
Hash: 9

Soft:
ESXi, Linux, PAN-OS, Active Directory, Ubuntu, Hyper-V, bcdedit, PccNTMon

Algorithms:
aes, base64, sha256, aes-cbc

Win Services:
msmpeng, Ntrtscan, CNTAoSMgr, TmCCSF, SentinelAgent, avastsvc, TmListen, masvc, mbamservice, ekrn, have more...

Languages:
powershell

Platforms:
x86, arm, x64, amd64

YARA: Found

Links:
https://github.com/pwnj0hn/CVE-2024-3400/blob/main/main.py

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
RansomHub превратился в сложную группу программ-вымогателей, нацеленных на крупные сектора, такие как здравоохранение и финансы. Он использует критические уязвимости, включая CVE-2024-3400, и использует передовые инструменты для первоначального доступа и повышения привилегий. Вредоносная программа обладает кроссплатформенными возможностями и использует различные деструктивные методы поведения, что создает серьезные проблемы в области кибербезопасности.
-----

RansomHub - это группа программ-вымогателей, которая дебютировала в начале февраля 2024 года после сбоев в работе ALPHV и LockBit. Группа набирает партнеров с подпольных форумов, таких как RAMP и XSS. Компания приобрела исходный код у Knight group, что позволяет ее программе-вымогателю работать в Windows, Linux, FreeBSD и VMware ESXi. RansomHub использует PCHunter для обхода endpoint security и Filezilla для передачи данных. Группа атаковала около 44 медицинских организаций, используя нормативные угрозы для оказания давления на жертв. RansomHub использует CVE-2024-3400 в операционной системе Palo Alto Networks для выполнения произвольного кода. Для разведки используются такие инструменты, как Angry IP Scanner и Nmap, а для повышения привилегий и управления контроллерами домена без учетных данных используются эксплойты, такие как CVE-2021-42278 (подмена учетной записи sAMAccount) и CVE-2020-1472 (ZeroLogon).

Версия программы-вымогателя "locker.exe" использует деструктивные методы работы, включая удаление теневых копий и логов. В ее вариантах используются различные методы шифрования: в версии для Windows используются параметры командной строки для настройки, а в версиях для Linux/FreeBSD используются определенные каталоги. Вредоносная программа поддерживает многопоточное шифрование, обходит средства защиты системы и управляет интервалами шифрования для оптимизации производительности. RansomHub также поддерживает самоудаление и манипулирование системными настройками, например, включает безопасный режим для сохранения, чтобы скрыть свое присутствие.

#ParsedReport #CompletenessLow
14-02-2025

Kraken onto the extortion scene: New Kraken DLS emerges

https://www.cyjax.com/resources/blog/kraken-onto-the-extortion-scene-new-kraken-dls-emerges/

Report completeness: Low

Actors/Campaigns:
Kraken (motivation: hacktivism)
Gd_lockersec
Hellogookie
Yanluowang

Threats:
Babuk2
Morpheus
Hellokitty
Yanluowang

Victims:
Cisco, Cd projekt, Converged telephony networks

Industry:
Telco

Geo:
Australia, Ukraine, Poland, Russian, Italy

ChatGPT TTPs:
do not use without manual check
T1486

Soft:
Kitty

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Развивающаяся группа кибермошенников Kraken, действующая с февраля 2025 года, использует типичную многоэтапную тактику вымогательства, угрожая жертвам через сайт утечки данных, размещенный на Tor, и утверждая, что атаковала несколько организаций. Ходят слухи, что Kraken связан с такими группами, как HelloGookie и, возможно, с уже не существующей Yanluowang. Несмотря на их заявления, ни одна жертва не подтвердила факт взлома, и природа украденных данных остается неясной.
-----

В феврале 2025 года появилась новая группа кибермошенников под названием Kraken, использующая сайт утечки данных (DLS), размещенный на Tor, для угроз и вымогательства у жертв. К середине февраля Kraken заявила, что атаковала пять организаций, четыре из которых базировались в Соединенных Штатах и одна в Польше. Хотя группа публично опубликовала данные, относящиеся к трем из этих атак, подробности, связанные с нарушениями, неясны, поскольку ни одна из предполагаемых жертв не подтвердила эти инциденты. Одна из заявленных жертв, Cisco, была отмечена Kraken как столкнувшаяся с взломом, связанным с переименованной программой-вымогателем HelloGookie.

Существуют предположения относительно личности и происхождения Kraken, особенно учитывая, что в его DLS было включено название бездействующей группы программ-вымогателей HelloKitty. Наблюдатели предполагают, что Kraken может быть ответвлением или фракцией HelloGookie, которая подверглась ребрендингу в апреле 2024 года. Более того, некоторые признаки указывают на то, что Kraken может быть связан с несуществующей группой вымогателей Yanluowang, что еще больше усложняет ее происхождение.

Оперативная тактика Kraken схожа с той, которую обычно используют группы вымогателей, и включает в себя многоэтапные угрозы для принуждения к оплате. Сначала они объявляют имя цели и сообщают об успешной атаке на их сайт. Если эти усилия не приводят к выплате выкупа, они делятся доказательствами кражи данных, которые могут включать скриншоты конфиденциальных внутренних документов или информации, позволяющей установить личность (PII), часто сопровождаемые обратным отсчетом времени для повышения срочности выполнения требований жертвы.

С 11 февраля 2025 года DLS от Kraken представляет собой минимально структурированную целевую страницу, на которой перечислены заявленные цели, без подробной информации о взаимодействии с жертвами или процессах оплаты. Публикации на сайте предназначены для привлечения потенциальных покупателей и предоставления прямых контактов для переговоров. Хотя на сайте указаны такие организации, как технологическая компания CD Projekt и телекоммуникационная компания Converged Telephony Networks, точный характер украденных данных четко не указан.

Примечательным аспектом DLS от Kraken является ссылка на предыдущий пост, получивший название "Kitty Cookies", содержащий секретные ключи, которые, предположительно, позволяют получить доступ к более ранним данным о жертвах. Однако предполагаемое использование этих ключей не уточняется. Исторический контекст показывает, что HelloGookie активно работает в сфере программ-вымогателей как минимум с 2020 года и нацелен на множество секторов по всему миру, что вызывает опасения относительно возможности продолжения работы под различными личинами.

Текущая информация свидетельствует о том, что среда распространения программ-вымогателей становится все более изменчивой, и такие группы, как Kraken, потенциально используют репутацию несуществующих организаций для повышения доверия к ним. По мере того, как появляется все больше свидетельств об общих целях и тактике Kraken, HelloGookie и Yanluowang, остается неясным, представляют ли они собой отдельные операции или же являются аспектами единой эволюции в области угроз вымогательства. Общее отсутствие подтверждений от жертв в отношении сообщений о взломах указывает на трудности проверки заявлений в этой постоянно развивающейся хакерской среде.

#ParsedReport #CompletenessLow
14-02-2025

A large number of phishing domain names have appeared in DeepSeek and are increasing

https://blog.xlab.qianxin.com/fake-deepseek-domains-are-created-rappidly/

Report completeness: Low

Geo:
Germany, Russia, California, China, Lithuania, Singapore

ChatGPT TTPs:
do not use without manual check
T1566

IOCs:
Domain: 42

Soft:
DeepSeek, ChatGPT

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Запуск китайского сервиса DeepSeek привел к росту числа более чем 2000 фишинговых веб-сайтов, выдающих себя за него и использующих тенденцию к продаже несуществующих виртуальных валют и акций. Большинство из этих мошеннических систем базируются в США и продолжают развиваться, что подчеркивает необходимость адаптивного мониторинга и анализа для борьбы с этими угрозами.
-----

Недавнее внимание к технологическим достижениям, особенно в области искусственного интеллекта, привело к значительному увеличению числа хакеров. В частности, запуск китайского сервиса DeepSeek вызвал значительный рост числа поддельных и фишинговых веб-сайтов, выдающих себя за законные сайты. Тщательный мониторинг выявил более 2000 доменных имен, связанных с этими мошенническими действиями, что значительно больше по сравнению с обычными цифрами, которые варьируются от десятков до сотен. Наблюдения охватывают период с 1 декабря 2024 года по 3 февраля 2025 года, что подчеркивает актуальность и масштабность этой проблемы.

Фишинговые действия, связанные с этими поддельными веб-сайтами, выходят за рамки простой имитации. Мошенники используют популярность DeepSeek для совершения различных форм мошенничества, включая продажу виртуальных валют и предоставление предполагаемых возможностей для покупки акций DeepSeek, которых не существует. Эти схемы с высоким уровнем риска разработаны для того, чтобы использовать энтузиазм общественности в отношении технологических тенденций, отражая модель, ранее наблюдавшуюся в таких технологиях, как ChatGPT.

Регистрация доменов на этих мошеннических сайтах началась еще 14 декабря 2024 года, а после 26 января 2025 года число регистраций заметно увеличилось. Такое быстрое распространение говорит о том, что злоумышленники внимательно следят за тенденциями рынка и используют привлекательность новых технологий для эффективного обмана пользователей. Распространенность этих мошеннических действий не локализована, поскольку данные показывают, что около 60% разрешенных IP-адресов для этих фишинговых сайтов размещены в Соединенных Штатах, за которыми следуют Сингапур, Германия, Литва, Россия и Китай, на долю которых в совокупности приходится почти 87% от общего числа разрешенных адресов.

Более того, мошенники не только сосредотачиваются на регистрации доменных имен, но и используют обманчивую маркетинговую тактику, такую как реклама доменных имен по завышенной цене, при этом стоимость одного домена, имитирующего DeepSeek, составляет 379 500 юаней. Эти спланированные действия отражают более широкую стратегию, в рамках которой злоумышленники используют современные технологии для введения в заблуждение и обмана пользователей, используя изощренную тактику фишинга и распространения вредоносных программ. Постоянный мониторинг и анализ таких мошеннических действий должен постоянно совершенствоваться, чтобы защитить пользователей от этих развивающихся угроз.

#ParsedReport #CompletenessLow
14-02-2025

Merlin, Loki s Buddy: Another Agent for Mythic Attacks Russian Companies

https://securelist.ru/merlin-loki-mythic-attacks/111704/

Report completeness: Low

Threats:
Merlin_tool
Loki_stealer
Mythic_c2

Geo:
Russian

ChatGPT TTPs:
do not use without manual check
T1082

IOCs:
File: 5
Command: 2
Hash: 3
Url: 4

Algorithms:
aes, sha1, sha256, base64, md5

Platforms:
x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вторая версия вредоносной программы Loki улучшает передачу данных на свой сервер C2, теперь она собирает имена пользователей наряду с другими системными данными, что облегчает целенаправленные атаки и более глубокий доступ к пользовательским данным.
-----

Вторая версия вредоносной программы Loki развивает возможности своей предшественницы, улучшая процессы передачи данных на сервер управления (C2). В то время как первоначальная версия Loki собирала и отправляла несколько важных системных данных, включая идентификатор агента, внутренний IP—адрес, версию операционной системы, имя компьютера и путь к файлу агента, в обновленной версии был добавлен дополнительный элемент данных - поле, содержащее имя пользователя взломанного компьютера.

Это изменение указывает на переход к сбору более персонализированной информации, что может способствовать целенаправленным атакам или эксплуатации, основанным на личности пользователя. Сбор имен пользователей наряду с другой системной информацией повышает способность вредоносного ПО более точно идентифицировать цели и получать более глубокий доступ к пользовательским данным или другим системам внутри организации. Постоянное развитие Loki подчеркивает постоянную угрозу, исходящую от таких вредоносных программ для систем безопасности, поскольку злоумышленники совершенствуют свои методы, чтобы максимально повысить эффективность своих вторжений. Эта разработка служит напоминанием организациям о необходимости отслеживать такие признаки компрометации и обеспечивать принятие надежных мер безопасности против развивающихся угроз.

#ParsedReport #CompletenessMedium
14-02-2025

China-linked Espionage Tools Used in Ransomware Attacks

https://www.security.com/threat-intelligence/chinese-espionage-ransomware

Report completeness: Medium

Actors/Campaigns:
Ra-group (motivation: cyber_espionage)
Red_delta (motivation: cyber_espionage)
Bronze_starlight

Threats:
Plugx_rat
Lockbit
Atomsilo
Nightsky

Victims:
Software and services companies, Government organizations, Telecom operator

Industry:
Government, Telco

Geo:
Asia, China, North korean, Asian

CVEs:
CVE-2024-0012 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- paloaltonetworks pan-os (<10.2.12, <11.0.6, <11.1.5, <11.2.4)


ChatGPT TTPs:
do not use without manual check
T1073, T1027, T1486, T1190, T1078

IOCs:
File: 3
Hash: 7
Domain: 3
IP: 2

Soft:
Twitter, PAN-OS

Algorithms:
rc4

Win API:
LockFile

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В конце 2024 года программа-вымогатель RA World атаковала азиатскую компанию-разработчика программного обеспечения, используя методы, типичные для китайских шпионов. Атака была связана с использованием CVE-2024-0012 в PAN-OS от Palo Alto для доступа к конфиденциальным данным и их шифрования, с требованием выкупа в размере 2 миллионов долларов, а также с использованием вредоносного ПО PlugX, что указывает на сочетание шпионажа и финансовых мотивов у хакеров.
-----

В конце 2024 года изощренная атака с использованием программы-вымогателя RA World была направлена на азиатскую компанию по разработке программного обеспечения и оказанию услуг, использующую набор инструментов, традиционно ассоциирующийся со шпионажем из Китая. Этот инцидент свидетельствует о возможном изменении тактики, сочетающей возможности, обычно используемые для шпионажа, с мотивами киберпреступности. Исторически инструменты, используемые в этих операциях, были направлены на поддержание постоянного доступа в целях шпионажа, о чем свидетельствуют различные предыдущие атаки на правительственные учреждения в Юго-Восточной Европе и Юго-Восточной Азии.

Ключевым компонентом этой атаки было развертывание легитимного исполняемого файла Toshiba, toshdpdb.exe который был использован для дополнительной загрузки вредоносной библиотеки динамических ссылок, toshdpapi.dll. Эта библиотека DLL функционировала как загрузчик, в конечном счете облегчая выполнение сильно запутанной полезной нагрузки, содержащейся в файле с именем TosHdp.dat. В полезной нагрузке, которая, как было подтверждено, является вариантом PlugX (также известного как Korplug), использовались такие методы шифрования, как RC4, как для полезной нагрузки, так и для данных конфигурации, что указывает на продвинутую тактику уклонения, распространенную среди хакеров, спонсируемых государством. Этот вариант PlugX имеет идентичные временные метки компиляции с инструментами, связанными с китайской группой Fireant (Mustang Panda, Earth Preta), что усиливает опасения по поводу его происхождения.

После серии шпионских кампаний, в которых использовался этот вариант PlugX, в конце ноября 2024 года злоумышленник перешел на модель программы-вымогателя. Они утверждали, что доступ к компании-разработчику программного обеспечения среднего размера был получен с помощью уязвимости в брандмауэре Palo Alto PAN-OS (CVE-2024-0012). Получив доступ, злоумышленник сообщил о краже учетных данных Amazon S3 cloud у организации, впоследствии зашифровав конфиденциальные данные в своих системах с помощью программы-вымогателя RA World, и потребовал выкуп в размере 2 миллионов долларов, предложив сниженный тариф для быстрой оплаты.

Дополнительным подтверждением предполагаемой связи злоумышленника с признанными киберпреступными группировками стали доказательства, связывающие инструменты, использованные в этой атаке с программой-вымогателем, с Bronze Starlight, связанной с Китаем, известной тем, что она внедряет различные полезные программы-вымогатели. Эта связь поднимает вопросы о мотивах двойного использования шпионских наборов инструментов для атак с использованием программ-вымогателей, что обычно не наблюдается среди китайских компаний, которые традиционно сосредоточены на краже информации, а не на получении финансовой выгоды путем вымогательства.

Характер цели и метод атаки позволяют предположить, что программа-вымогатель могла служить нескольким целям: потенциально скрывать следы шпионажа, действовать в качестве приманки или в качестве подлинной финансовой мотивации. Однако казнь свидетельствует о недостаточной эффективности сокрытия связей со шпионажем, а попытка выкупа выглядит подлинной, что позволяет предположить, что исполнитель, возможно, изменил стратегию без четкого обоснования. Эта ситуация демонстрирует меняющийся ландшафт угроз, в котором традиционно отличающиеся друг от друга оперативные тактики субъектов, спонсируемых государством, начинают переплетаться с финансово мотивированным поведением киберпреступников.

#ParsedReport #CompletenessMedium
14-02-2025

JavaScript to Command-and-Control (C2) Server Malware

https://www.cyfirma.com/research/javascript-to-command-and-control-c2-server-malware/

Report completeness: Medium

Threats:
Steganography_technique

ChatGPT TTPs:
do not use without manual check
T1059.007, T1059.001, T1027, T1001.002, T1055, T1105, T1071.001

IOCs:
File: 12
Url: 1
Hash: 2

Soft:
Telegram, Firefox, Chrome

Algorithms:
sha256, md5, zip, base64

Functions:
eval, replace, vequduqinput, wemadus

Languages:
powershell, javascript

YARA: Found

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 1, code: 9, dump: 2, filemanager: 1, table: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Сложная многоэтапная вредоносная атака использует обфускацию, стеганографию и скрытую связь для развертывания вредоносной программы-похитителя с помощью сценария PowerShell. Эта вредоносная программа собирает конфиденциальные данные и передает их боту Telegram, усложняя обнаружение за счет смешивания с обычным трафиком и выполнения полезной нагрузки .NET непосредственно из памяти.
-----

В исследовательском отчете CYFIRMA рассматривается сложная многоэтапная вредоносная атака, в которой используются передовые методы, такие как обфускация, стеганография и скрытая коммуникация для уклонения и компрометации. Атака начинается с сильно запутанного файла JavaScript, который извлекает закодированные строки из надежного сервиса с открытым исходным кодом, в конечном итоге выполняя сценарий PowerShell. Этот скрипт PowerShell облегчает загрузку изображения в формате JPG и текстового файла с определенного IP-адреса и средства сокращения URL-адресов, которые внедряют вредоносные исполняемые файлы с использованием стеганографических методов. После запуска эти полезные приложения запускают вредоносную программу-похититель, предназначенную для сбора конфиденциальных пользовательских данных, включая учетные данные и информацию о браузере.

Вредоносная программа передает украденную информацию Telegram-боту, управляемому злоумышленником, создавая надежный метод утечки данных, который сложно обнаружить с помощью традиционных мер безопасности. Использование многоуровневой тактики обфускации усложняет статический и динамический анализ, в то время как использование легальных веб-сервисов помогает вредоносному ПО сливаться с обычным интернет-трафиком. Внедрение стеганографии позволяет злоумышленникам скрыть .NET-сборку в кодировке Base64 внутри изображения, что еще больше усложняет обнаружение с помощью стандартной проверки содержимого.

Другим примечательным методом является отражающая загрузка, которая позволяет выполнять полезную нагрузку .NET непосредственно из памяти, тем самым избегая следов на диске и обходя традиционные файловые антивирусные решения. Кроме того, в кампании используются преимущества устаревших технологий, таких как ActiveX и оболочка Windows Script Host (WSH), что значительно упрощает взаимодействие с системой и выполнение команд.

Архитектура вредоносного ПО включает в себя использование PowerShell, что повышает его оперативную гибкость для интеграции сложных задач, включая сетевое взаимодействие и выполнение кода в памяти. Одним из основных рисков является потенциальное развертывание различных угроз после первоначального взлома, таких как программы-вымогатели или дополнительные бэкдоры. Заключительные этапы атаки вызывают особое беспокойство, поскольку они предполагают использование зашифрованных платформ обмена сообщениями, таких как Telegram, для удаленного выполнения команд и утечки данных.

Наконец, в отчете подчеркивается стратегическое использование домена jilas.net в качестве отправной точки для полезной нагрузки JavaScript, демонстрирующей методический подход к распространению вредоносных программ, который использует существующую инфраструктуру и методы для эффективного уклонения от обнаружения. Для эффективной защиты от такого сложного ландшафта угроз организациям рекомендуется усилить свои меры кибербезопасности за счет расширенного поведенческого анализа, возможностей обнаружения конечных точек и строгих протоколов сетевого мониторинга, а также обучения пользователей рискам, связанным с выполнением сценариев и защитой данных.

#ParsedReport #CompletenessLow
14-02-2025

Magento Credit Card Stealer Disguised in an <img> Tag

https://blog.sucuri.net/2025/02/magento-credit-card-stealer-disguised-in-an-tag.html

Report completeness: Low

Actors/Campaigns:
Magecart

Industry:
E-commerce, Financial

ChatGPT TTPs:
do not use without manual check
T1027, T1059.007, T1041

IOCs:
Domain: 1

Soft:
cPanel

Algorithms:
base64

Functions:
magictrick, sendMetric

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4