CTT Report Hub
#ParsedReport #CompletenessLow 25-03-2025 Tempted to Classifying APT Actors: Practical Challenges of Attribution in the Case of Lazaruss Subgroup https://blogs.jpcert.or.jp/en/2025/03/classifying-lazaruss-subgroup.html Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Термин "Lazarus" теперь относится к нескольким подгруппам, что требует анализа на уровне подгрупп для борьбы с появляющимися хакерами. Выявление этих подгрупп, которые используют перекрывающиеся TTP и нацелены на различные сектора, такие как криптовалюта и защита, имеет решающее значение для принятия индивидуальных мер безопасности и проведения эффективного анализа угроз. Такой подход способствует усилению защиты и оперативному успеху в борьбе с APT, подчеркивая различие между жесткой и мягкой атрибуцией в стратегиях кибербезопасности.
-----
В статье показано, что термин "Lazarus" эволюционировал от обозначения отдельной APT-группы (APTПР) к описанию совокупности подгрупп с дифференцированными функциональными характеристиками. Поскольку организация Lazarus расширила свою деятельность, теперь важно анализировать и распределять действия на уровне подгрупп, чтобы эффективно бороться с связанными с ней хакерами. Автор подчеркивает, что идентификация подгрупп имеет решающее значение для принятия текущих мер безопасности, особенно при борьбе с атаками, нацеленными на различные секторы, такие как криптовалюта, оборона и авиационная промышленность.
Для различных кампаний и подгрупп в Lazarus появилось множество названий, что привело к путанице в системе безопасности. Наблюдения показывают, что тактика, методы и процедуры (TTP) в этих подгруппах совпадают, что усложняет анализ. Например, в различных атаках LinkedIn использовался в качестве исходного вектора атаки, в то время как, как сообщается, число подобных методов растет. Кроме того, формирование новых групп, похожих на оперативные группы, таких как Bureau325, в которых используются TTP, аналогичные подгруппам Lazarus, указывает на переход к более интегрированной, но менее традиционной иерархии оперативного поведения.
Автор обосновывает необходимость точного определения подгрупп по нескольким причинам: во-первых, это повышает эффективность мер по предотвращению ущерба за счет соответствующих предупреждений, направленных на затронутые отрасли. Признавая разнообразие целей и задач различных подгрупп, можно наладить более эффективную и целенаправленную коммуникацию, особенно в уязвимых отраслях. Во-вторых, такая идентификация жизненно важна для Японии для проведения точного долгосрочного анализа угроз, который поддерживает контроперации против участников АТО. Уникальные организационные характеристики, присущие различным подгруппам, требуют принятия различных защитных мер, которые должны соответствовать международному праву.
Кроме того, подчеркивается важность передачи сообщений злоумышленникам посредством точной идентификации подгрупп, что позволяет предположить, что знание конкретных подгрупп может ограничить их оперативный успех. Несмотря на сложность операций APT и трудности с прямым отнесением действий к конкретным субъектам, уделение особого внимания выявлению подгрупп может помочь повысить возможности защитников, что позволит разработать более детальную стратегию защиты.
Наконец, в статье проводится различие между "жесткой" и "мягкой" атрибуцией, проводится различие между строгой юридической ответственностью и более широким групповым профилированием. Текущая ситуация показывает, что, хотя жесткая атрибуция необходима для долгосрочных стратегий, мягкая атрибуция остается полезной для выдачи соответствующих предупреждений и разработки контрмер. В тексте подчеркивается, что будущие обсуждения должны быть сосредоточены на сложностях раскрытия информации и ее последствиях для эффективных стратегий кибербезопасности.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Термин "Lazarus" теперь относится к нескольким подгруппам, что требует анализа на уровне подгрупп для борьбы с появляющимися хакерами. Выявление этих подгрупп, которые используют перекрывающиеся TTP и нацелены на различные сектора, такие как криптовалюта и защита, имеет решающее значение для принятия индивидуальных мер безопасности и проведения эффективного анализа угроз. Такой подход способствует усилению защиты и оперативному успеху в борьбе с APT, подчеркивая различие между жесткой и мягкой атрибуцией в стратегиях кибербезопасности.
-----
В статье показано, что термин "Lazarus" эволюционировал от обозначения отдельной APT-группы (APTПР) к описанию совокупности подгрупп с дифференцированными функциональными характеристиками. Поскольку организация Lazarus расширила свою деятельность, теперь важно анализировать и распределять действия на уровне подгрупп, чтобы эффективно бороться с связанными с ней хакерами. Автор подчеркивает, что идентификация подгрупп имеет решающее значение для принятия текущих мер безопасности, особенно при борьбе с атаками, нацеленными на различные секторы, такие как криптовалюта, оборона и авиационная промышленность.
Для различных кампаний и подгрупп в Lazarus появилось множество названий, что привело к путанице в системе безопасности. Наблюдения показывают, что тактика, методы и процедуры (TTP) в этих подгруппах совпадают, что усложняет анализ. Например, в различных атаках LinkedIn использовался в качестве исходного вектора атаки, в то время как, как сообщается, число подобных методов растет. Кроме того, формирование новых групп, похожих на оперативные группы, таких как Bureau325, в которых используются TTP, аналогичные подгруппам Lazarus, указывает на переход к более интегрированной, но менее традиционной иерархии оперативного поведения.
Автор обосновывает необходимость точного определения подгрупп по нескольким причинам: во-первых, это повышает эффективность мер по предотвращению ущерба за счет соответствующих предупреждений, направленных на затронутые отрасли. Признавая разнообразие целей и задач различных подгрупп, можно наладить более эффективную и целенаправленную коммуникацию, особенно в уязвимых отраслях. Во-вторых, такая идентификация жизненно важна для Японии для проведения точного долгосрочного анализа угроз, который поддерживает контроперации против участников АТО. Уникальные организационные характеристики, присущие различным подгруппам, требуют принятия различных защитных мер, которые должны соответствовать международному праву.
Кроме того, подчеркивается важность передачи сообщений злоумышленникам посредством точной идентификации подгрупп, что позволяет предположить, что знание конкретных подгрупп может ограничить их оперативный успех. Несмотря на сложность операций APT и трудности с прямым отнесением действий к конкретным субъектам, уделение особого внимания выявлению подгрупп может помочь повысить возможности защитников, что позволит разработать более детальную стратегию защиты.
Наконец, в статье проводится различие между "жесткой" и "мягкой" атрибуцией, проводится различие между строгой юридической ответственностью и более широким групповым профилированием. Текущая ситуация показывает, что, хотя жесткая атрибуция необходима для долгосрочных стратегий, мягкая атрибуция остается полезной для выдачи соответствующих предупреждений и разработки контрмер. В тексте подчеркивается, что будущие обсуждения должны быть сосредоточены на сложностях раскрытия информации и ее последствиях для эффективных стратегий кибербезопасности.
#ParsedReport #CompletenessLow
25-03-2025
IOCONTROL Malware: A New Threat Targeting Critical Infrastructure
https://flashpoint.io/blog/iocontrol-malware/
Report completeness: Low
Actors/Campaigns:
Cyber_av3ngers (motivation: hacktivism)
Threats:
Iocontrol
Upx_tool
Victims:
Fuel management systems
Industry:
Petroleum, Critical_infrastructure, Iot
Geo:
Israel
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
T1027.002, T1547, T1071.004, T1071, T1059.003, T1046
Soft:
Telegram
Algorithms:
sha256, aes, cbc
Functions:
setenv, system
Platforms:
intel
25-03-2025
IOCONTROL Malware: A New Threat Targeting Critical Infrastructure
https://flashpoint.io/blog/iocontrol-malware/
Report completeness: Low
Actors/Campaigns:
Cyber_av3ngers (motivation: hacktivism)
Threats:
Iocontrol
Upx_tool
Victims:
Fuel management systems
Industry:
Petroleum, Critical_infrastructure, Iot
Geo:
Israel
TTPs:
Tactics: 2
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1027.002, T1547, T1071.004, T1071, T1059.003, T1046
Soft:
Telegram
Algorithms:
sha256, aes, cbc
Functions:
setenv, system
Platforms:
intel
Flashpoint
IOCONTROL Malware: A New Threat Targeting Critical Infrastructure
This blog delves into the technical intricacies of IOCONTROL, its attribution, and the potential implications for future attacks.
CTT Report Hub
#ParsedReport #CompletenessLow 25-03-2025 IOCONTROL Malware: A New Threat Targeting Critical Infrastructure https://flashpoint.io/blog/iocontrol-malware/ Report completeness: Low Actors/Campaigns: Cyber_av3ngers (motivation: hacktivism) Threats: Iocontrol…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
IOCONTROL - это новое вредоносное ПО, связанное с проиранской группировкой "Cyber Av3ngers", нацеленное на системы Интернета вещей и OT. Он использует обфускацию кода, создает расширенные разрешения, использует MQTT для обмена данными C2 и включает надежный механизм шифрования AES. Его возможности включают в себя фильтрацию данных и сохранение их с помощью сценариев запуска, что представляет значительную угрозу для критически важных инфраструктур.
-----
IOCONTROL - это недавно выявленный вид вредоносного ПО, нацеленного на устройства IoT (Интернет вещей) и системы операционных технологий (OT), который приписывается проиранской группе хактивистов, известной как "Кибер-злоумышленники". Согласно анализу Flashpoint, вредоносное ПО представляет значительный риск для критически важной инфраструктуры, о чем, в частности, свидетельствуют кибератаки на системы управления расходом топлива в США и Израиле в условиях сохраняющейся геополитической напряженности.
Технически, IOCONTROL использует упаковку исполняемых файлов для обфускации своего кода, в частности, использует модифицированный UPX-упаковщик, который усложняет процесс обратного проектирования. После запуска вредоносная программа распаковывает себя в памяти и создает множество переменных окружения, включая жестко заданный GUID, который хэшируется и используется во время процедуры расшифровки строк вредоносной программой. Такое манипулирование переменными среды облегчает работу вредоносного ПО, включая установление соединений с серверами управления (C2).
После заражения IOCONTROL создает каталоги с расширенными правами доступа и использует поиск по DNS для получения IP-адреса своего сервера C2, используя протокол MQTT, адаптированный для сред Интернета вещей. Если подключение к MQTT broker установлено успешно, вредоносная программа сохраняет работоспособность, копируя себя в важные системные каталоги и настраивая bash-скрипт на автоматическое выполнение при запуске. Этот механизм сохранения работоспособности имеет решающее значение для поддержания контроля над скомпрометированными системами.
Одной из примечательных возможностей IOCONTROL является его способность отправлять системную информацию обратно на сервер C2, используя пакет beacon для ретрансляции таких данных, как версия ядра и имя хоста. Он динамически генерирует имена файлов для выполнения системных команд и работает в рамках элементарного бэкдора, выполняя команды, проверяя статус установки и выполняя сканирование сети.
Кроме того, IOCONTROL оснащен надежными механизмами шифрования, реализующими расширенный стандарт шифрования (AES) с 256-битным ключом в режиме CBC для защиты критически важных строк, включая домен C2. Процесс расшифровки зависит от значений среды выполнения вредоносной программы, полученных из идентификатора GUID.
Принадлежность вредоносного ПО к Cyber Av3ngers была подтверждена доказательствами связи между разработчиком вредоносного ПО и хакерским сообществом, а также указаниями на то, что IOCONTROL был доступен для продажи на таких платформах, как Telegram и BreachForums. Эта наметившаяся тенденция указывает на потенциальный рост масштабов внедрения IOCONTROL, что требует от организаций усиления своей защиты от таких сложных угроз, нацеленных на критически важные системные инфраструктуры.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
IOCONTROL - это новое вредоносное ПО, связанное с проиранской группировкой "Cyber Av3ngers", нацеленное на системы Интернета вещей и OT. Он использует обфускацию кода, создает расширенные разрешения, использует MQTT для обмена данными C2 и включает надежный механизм шифрования AES. Его возможности включают в себя фильтрацию данных и сохранение их с помощью сценариев запуска, что представляет значительную угрозу для критически важных инфраструктур.
-----
IOCONTROL - это недавно выявленный вид вредоносного ПО, нацеленного на устройства IoT (Интернет вещей) и системы операционных технологий (OT), который приписывается проиранской группе хактивистов, известной как "Кибер-злоумышленники". Согласно анализу Flashpoint, вредоносное ПО представляет значительный риск для критически важной инфраструктуры, о чем, в частности, свидетельствуют кибератаки на системы управления расходом топлива в США и Израиле в условиях сохраняющейся геополитической напряженности.
Технически, IOCONTROL использует упаковку исполняемых файлов для обфускации своего кода, в частности, использует модифицированный UPX-упаковщик, который усложняет процесс обратного проектирования. После запуска вредоносная программа распаковывает себя в памяти и создает множество переменных окружения, включая жестко заданный GUID, который хэшируется и используется во время процедуры расшифровки строк вредоносной программой. Такое манипулирование переменными среды облегчает работу вредоносного ПО, включая установление соединений с серверами управления (C2).
После заражения IOCONTROL создает каталоги с расширенными правами доступа и использует поиск по DNS для получения IP-адреса своего сервера C2, используя протокол MQTT, адаптированный для сред Интернета вещей. Если подключение к MQTT broker установлено успешно, вредоносная программа сохраняет работоспособность, копируя себя в важные системные каталоги и настраивая bash-скрипт на автоматическое выполнение при запуске. Этот механизм сохранения работоспособности имеет решающее значение для поддержания контроля над скомпрометированными системами.
Одной из примечательных возможностей IOCONTROL является его способность отправлять системную информацию обратно на сервер C2, используя пакет beacon для ретрансляции таких данных, как версия ядра и имя хоста. Он динамически генерирует имена файлов для выполнения системных команд и работает в рамках элементарного бэкдора, выполняя команды, проверяя статус установки и выполняя сканирование сети.
Кроме того, IOCONTROL оснащен надежными механизмами шифрования, реализующими расширенный стандарт шифрования (AES) с 256-битным ключом в режиме CBC для защиты критически важных строк, включая домен C2. Процесс расшифровки зависит от значений среды выполнения вредоносной программы, полученных из идентификатора GUID.
Принадлежность вредоносного ПО к Cyber Av3ngers была подтверждена доказательствами связи между разработчиком вредоносного ПО и хакерским сообществом, а также указаниями на то, что IOCONTROL был доступен для продажи на таких платформах, как Telegram и BreachForums. Эта наметившаяся тенденция указывает на потенциальный рост масштабов внедрения IOCONTROL, что требует от организаций усиления своей защиты от таких сложных угроз, нацеленных на критически важные системные инфраструктуры.
#ParsedReport #CompletenessLow
25-03-2025
Browser Cache Smuggling: the return of the dropper
https://sensepost.com/blog/2025/browser-cache-smuggling-the-return-of-the-dropper/
Report completeness: Low
Threats:
Smuggling_technique
ChatGPT TTPs:
T1059.001, T1127, T1071.001
IOCs:
File: 5
Path: 2
Registry: 1
Soft:
Windows Search, Docker, VirtualBox, Windows Defender Application Control, Chrome, Google Chrome
Languages:
python, powershell
25-03-2025
Browser Cache Smuggling: the return of the dropper
https://sensepost.com/blog/2025/browser-cache-smuggling-the-return-of-the-dropper/
Report completeness: Low
Threats:
Smuggling_technique
ChatGPT TTPs:
do not use without manual checkT1059.001, T1127, T1071.001
IOCs:
File: 5
Path: 2
Registry: 1
Soft:
Windows Search, Docker, VirtualBox, Windows Defender Application Control, Chrome, Google Chrome
Languages:
python, powershell
CTT Report Hub
#ParsedReport #CompletenessLow 25-03-2025 Browser Cache Smuggling: the return of the dropper https://sensepost.com/blog/2025/browser-cache-smuggling-the-return-of-the-dropper/ Report completeness: Low Threats: Smuggling_technique ChatGPT TTPs: do not…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Контрабандный доступ к кэшу браузера использует кэширование браузера и нацелен на такие процессы, как Microsoft Teams, для скрытой доставки вредоносных программ. Злоумышленники используют вредоносную библиотеку DLL для маскировки операций при взаимодействии с сервером C2 по протоколу HTTPS. Стратегии защиты включают ограничение доступа к PowerShell, применение политик выполнения и очистку кэша браузера. Надежное обнаружение несанкционированных процессов имеет решающее значение для защиты.
-----
Контрабанда кэша браузера остается эффективным методом доставки вредоносного ПО, используя механизмы кэширования браузера, которые существенно не изменились за прошедшие годы. Поток атак обычно начинается с целевого объекта, выполняющего PowerShell, который вызывает rundll32.exe , приводящий к Sihost.exe запуск вредоносной программы или радиомаяка, который взаимодействует с сервером управления (C2). Чтобы скрыть вредоносную активность, злоумышленники определили Microsoft Teams в качестве целевого процесса, используя ее HTTPS-туннели для скрытой связи.
Метод заключается в создании вредоносной библиотеки DLL, которая используется в качестве прокси-сервера. Эта библиотека DLL должна быть размещена в каталоге localappdata, где Teams ищет динамически подключаемые библиотеки, что позволяет загружать вредоносную версию, не вызывая подозрений. Пользовательская библиотека DLL предназначена для перенаправления законных вызовов API к реальной целевой библиотеке DLL, эффективно маскируя работу вредоносного ПО, сохраняя при этом функциональность. Этот метод в значительной степени основан на тактике социальной инженерии и передовых методах доставки, позволяющих обойти обнаружение.
Чтобы снизить риски, связанные с такими атаками, рекомендуется использовать несколько тактик усиления защиты. Ограничение доступа пользователей к потенциально опасным скриптовым движкам, таким как PowerShell, может значительно снизить вероятность атаки. Такие меры безопасности, как AppLocker и Intune, могут обеспечить более строгий контроль, гарантируя использование только необходимых двоичных файлов. Изменение политик выполнения, позволяющее использовать только подписанные скрипты, дополнительно защитит от несанкционированного выполнения скриптов.
Еще одна важная рекомендация - не допускать установки программного обеспечения в каталог localappdata, где пользователи могут изменять файлы и потенциально загружать вредоносные библиотеки DLL. Кроме того, использование объектов групповой политики (GPO) для принудительной очистки кэша браузеров после завершения сеанса может свести к минимуму возможности для злоумышленников. Этот процесс может быть особенно эффективен в Google Chrome, если настроить определенные параметры реестра таким образом, чтобы при закрытии браузера кэш, включая потенциально опасные библиотеки DLL, очищался.
Хотя превентивные меры необходимы, не менее важно создать надежные механизмы обнаружения. Внедрение правил мониторинга может предупреждать администраторов о любых несанкционированных процессах, таких как попытки PowerShell получить доступ к базам данных кэша браузера, сигнализируя о возможных попытках взлома. Такой двойной подход к предотвращению и обнаружению формирует комплексную стратегию защиты от контрабанды кэша браузера и подобных угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Контрабандный доступ к кэшу браузера использует кэширование браузера и нацелен на такие процессы, как Microsoft Teams, для скрытой доставки вредоносных программ. Злоумышленники используют вредоносную библиотеку DLL для маскировки операций при взаимодействии с сервером C2 по протоколу HTTPS. Стратегии защиты включают ограничение доступа к PowerShell, применение политик выполнения и очистку кэша браузера. Надежное обнаружение несанкционированных процессов имеет решающее значение для защиты.
-----
Контрабанда кэша браузера остается эффективным методом доставки вредоносного ПО, используя механизмы кэширования браузера, которые существенно не изменились за прошедшие годы. Поток атак обычно начинается с целевого объекта, выполняющего PowerShell, который вызывает rundll32.exe , приводящий к Sihost.exe запуск вредоносной программы или радиомаяка, который взаимодействует с сервером управления (C2). Чтобы скрыть вредоносную активность, злоумышленники определили Microsoft Teams в качестве целевого процесса, используя ее HTTPS-туннели для скрытой связи.
Метод заключается в создании вредоносной библиотеки DLL, которая используется в качестве прокси-сервера. Эта библиотека DLL должна быть размещена в каталоге localappdata, где Teams ищет динамически подключаемые библиотеки, что позволяет загружать вредоносную версию, не вызывая подозрений. Пользовательская библиотека DLL предназначена для перенаправления законных вызовов API к реальной целевой библиотеке DLL, эффективно маскируя работу вредоносного ПО, сохраняя при этом функциональность. Этот метод в значительной степени основан на тактике социальной инженерии и передовых методах доставки, позволяющих обойти обнаружение.
Чтобы снизить риски, связанные с такими атаками, рекомендуется использовать несколько тактик усиления защиты. Ограничение доступа пользователей к потенциально опасным скриптовым движкам, таким как PowerShell, может значительно снизить вероятность атаки. Такие меры безопасности, как AppLocker и Intune, могут обеспечить более строгий контроль, гарантируя использование только необходимых двоичных файлов. Изменение политик выполнения, позволяющее использовать только подписанные скрипты, дополнительно защитит от несанкционированного выполнения скриптов.
Еще одна важная рекомендация - не допускать установки программного обеспечения в каталог localappdata, где пользователи могут изменять файлы и потенциально загружать вредоносные библиотеки DLL. Кроме того, использование объектов групповой политики (GPO) для принудительной очистки кэша браузеров после завершения сеанса может свести к минимуму возможности для злоумышленников. Этот процесс может быть особенно эффективен в Google Chrome, если настроить определенные параметры реестра таким образом, чтобы при закрытии браузера кэш, включая потенциально опасные библиотеки DLL, очищался.
Хотя превентивные меры необходимы, не менее важно создать надежные механизмы обнаружения. Внедрение правил мониторинга может предупреждать администраторов о любых несанкционированных процессах, таких как попытки PowerShell получить доступ к базам данных кэша браузера, сигнализируя о возможных попытках взлома. Такой двойной подход к предотвращению и обнаружению формирует комплексную стратегию защиты от контрабанды кэша браузера и подобных угроз.
8 и 9 апреля объявляются днями TI. И мы и BI.Zone будем проводить онлайн вебминары.
Forwarded from BI.ZONE
This media is not supported in your browser
VIEW IN TELEGRAM
Данные киберразведки — это не только потоки индикаторов компрометации, но и важный источник аналитической информации об актуальных киберугрозах. Правильное применение этих сведений на практике позволяет не только быстро обнаруживать угрозы и реагировать на них, но и предсказывать, а также предотвращать возможные атаки.
Такой подход к безопасности данных называется угрозоцентричным. Именно о нем пойдет речь на вебинаре 8 апреля.
Команда BI.ZONE Threat Intelligence расскажет:
Бонус: оставляйте вопросы в специальном поле при регистрации — в конце вебинара ответят на самые интересные из них, а авторы лучших по традиции получат призы.
Спикеры:
Когда: 8 апреля, вторник, 11:00–12:30 (мск).
Зарегистрироваться
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from CISOCLUB - кибербезопасность и ИТ
🚀 «Гонки по вертикали» - вебинар о выстраивании процессов Threat Intelligence в компании
9 апреля в 11.00 «Технологии киберугроз», «ИНСЕКА» и CISOCLUB проводят для вас уникальный вебинар, где в форме увлекательной беседы, панельной дискуссии и практических кейсов эксперты рынка поделятся секретами того, где же взять хороший TI, и кто за него отвечает.
Что в программе?
🔷 Сбор TI: источники и стратегии.
- Стратегия формирования пула поставщиков TI.
- Разница открытых и платных TI.
🔷 Имплементация TI в процессы работы.
- Какова разница в подходах по работе с TI?
- Какие есть нюансы в процессе внедрения?
🔷 Обучение TI-аналитиков.
🔷 Польза от TI и TI-аналитиков.
Кому будет полезен вебинар:
Специалистам по информационной безопасности, аналитикам киберугроз, и ИБ-руководителям.
Участие в вебинаре бесплатное, но необходима предварительная регистрация.
Период проведения:
📅 09.04.2025 с 11:00 до 12:30 по московскому времени.
18+. Реклама. ООО "Технологии киберугроз", ИНН: 9731092317, Erid:2SDnjemrPBa
9 апреля в 11.00 «Технологии киберугроз», «ИНСЕКА» и CISOCLUB проводят для вас уникальный вебинар, где в форме увлекательной беседы, панельной дискуссии и практических кейсов эксперты рынка поделятся секретами того, где же взять хороший TI, и кто за него отвечает.
Что в программе?
🔷 Сбор TI: источники и стратегии.
- Стратегия формирования пула поставщиков TI.
- Разница открытых и платных TI.
🔷 Имплементация TI в процессы работы.
- Какова разница в подходах по работе с TI?
- Какие есть нюансы в процессе внедрения?
🔷 Обучение TI-аналитиков.
🔷 Польза от TI и TI-аналитиков.
Кому будет полезен вебинар:
Специалистам по информационной безопасности, аналитикам киберугроз, и ИБ-руководителям.
Участие в вебинаре бесплатное, но необходима предварительная регистрация.
Период проведения:
📅 09.04.2025 с 11:00 до 12:30 по московскому времени.
18+. Реклама. ООО "Технологии киберугроз", ИНН: 9731092317, Erid:2SDnjemrPBa
На нашем вебминаре затронет тему, которую поднимают ооочень редко - тему обучения TI-аналитиков и их роли в компании.
#technique
SpyAI
Intelligent Malware that takes screenshots for entire monitors and exfiltrate them through Trusted Channel Slack to the C2 server that's using GPT-4 Vision to analyze them and construct daily activity — frame by frame
https://github.com/DarkSpaceSecurity/SpyAI
SpyAI
Intelligent Malware that takes screenshots for entire monitors and exfiltrate them through Trusted Channel Slack to the C2 server that's using GPT-4 Vision to analyze them and construct daily activity — frame by frame
https://github.com/DarkSpaceSecurity/SpyAI
GitHub
GitHub - DarkSpaceSecurity/SpyAI: Intelligent Malware that takes screenshots for entire monitors and exfiltrate them through Trusted…
Intelligent Malware that takes screenshots for entire monitors and exfiltrate them through Trusted Channel Slack to the C2 server that's using GPT-4 Vision to analyze them and construct dai...
#ParsedReport #CompletenessLow
26-03-2025
Malware found on npm infecting local package with reverse shell
https://www.reversinglabs.com/blog/malicious-npm-patch-delivers-reverse-shell
Report completeness: Low
Threats:
Ethers-provider2
Supply_chain_technique
ChatGPT TTPs:
T1195, T1105, T1059.001, T1219
IOCs:
File: 3
Url: 2
IP: 1
Hash: 15
YARA: Found
26-03-2025
Malware found on npm infecting local package with reverse shell
https://www.reversinglabs.com/blog/malicious-npm-patch-delivers-reverse-shell
Report completeness: Low
Threats:
Ethers-provider2
Supply_chain_technique
ChatGPT TTPs:
do not use without manual checkT1195, T1105, T1059.001, T1219
IOCs:
File: 3
Url: 2
IP: 1
Hash: 15
YARA: Found
ReversingLabs
Malware found on npm infecting local package with reverse shell | RL Blog
For the first time, RL researchers discover malicious locally-installed npm packages infecting other legitimate packages.
CTT Report Hub
#ParsedReport #CompletenessLow 26-03-2025 Malware found on npm infecting local package with reverse shell https://www.reversinglabs.com/blog/malicious-npm-patch-delivers-reverse-shell Report completeness: Low Threats: Ethers-provider2 Supply_chain_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносные пакеты ethers-provider2 и ethers-providerz в экосистеме npm используют легальные пакеты для распространения вредоносного ПО с помощью установочного скрипта, который загружает дополнительную полезную нагрузку и изменяет легальные файлы, создавая обратную оболочку. Даже после удаления скомпрометированные пакеты могут по-прежнему работать вредоносным образом. Усилия по обнаружению включают в себя определение конкретных характеристик этих пакетов и использование правил YARA.
-----
Недавнее исследование RL выявило новую угрозу в экосистеме Node Package Manager (npm), где вредоносные локально установленные пакеты, в частности ethers-provider2 и ethers-providerz, используют законные пакеты для распространения вредоносного ПО. Угроза включает в себя сложный подход, при котором вредоносные пакеты модифицируют существующие легитимные пакеты, эффективно "дополняя" их дополнительными вредоносными функциями. Например, пакет ethers-provider2 является зеркальным отображением легитимного пакета ssh2, широко используемого модуля в сообществе npm, но содержит вредоносные элементы, предназначенные для компрометации систем.
В основе механизма атаки лежит вредоносный установочный скрипт, install.js который запускается при установке этих вредоносных пакетов. После запуска он загружает вредоносное ПО второго этапа с указанного домена (hxxp://5.199.166.1:31337/install) и инициирует дальнейшие атаки. Эта вредоносная программа работает по циклу, проверяя наличие законных пакетов ethers; после обнаружения она изменяет файл (provider-jsonrpc.js), чтобы включить вредоносный код, что в конечном итоге позволяет загружать вредоносную программу третьего этапа, предназначенную для установления обратного подключения к серверу хакера.
Вредоносная программа второго этапа включает в себя функциональность для создания файла (loader.js), который отражает законные операции, но также является вредоносным по своей природе. Это позволяет вредоносному ПО не только маскировать свои действия, но и обеспечивать постоянство. Примечательно, что даже если вредоносный пакет ethers-provider2 будет удален, скомпрометированные легитимные пакеты все равно могут функционировать как обратная оболочка при определенных условиях.
Обнаружение этих вредоносных пакетов стало возможным благодаря их идентифицируемым характеристикам, включая низкое количество загрузок и явный, не запутанный вредоносный код в сценариях установки. Команда RL внедрила механизм обнаружения, используя правила YARA, чтобы определить, был ли исправлен легитимный пакет ethers. Это подчеркивает растущие риски, связанные с цепочками поставок программного обеспечения, в которых злоумышленники постоянно находят новые способы использования надежных сред с открытым исходным кодом для установки вредоносного ПО.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Вредоносные пакеты ethers-provider2 и ethers-providerz в экосистеме npm используют легальные пакеты для распространения вредоносного ПО с помощью установочного скрипта, который загружает дополнительную полезную нагрузку и изменяет легальные файлы, создавая обратную оболочку. Даже после удаления скомпрометированные пакеты могут по-прежнему работать вредоносным образом. Усилия по обнаружению включают в себя определение конкретных характеристик этих пакетов и использование правил YARA.
-----
Недавнее исследование RL выявило новую угрозу в экосистеме Node Package Manager (npm), где вредоносные локально установленные пакеты, в частности ethers-provider2 и ethers-providerz, используют законные пакеты для распространения вредоносного ПО. Угроза включает в себя сложный подход, при котором вредоносные пакеты модифицируют существующие легитимные пакеты, эффективно "дополняя" их дополнительными вредоносными функциями. Например, пакет ethers-provider2 является зеркальным отображением легитимного пакета ssh2, широко используемого модуля в сообществе npm, но содержит вредоносные элементы, предназначенные для компрометации систем.
В основе механизма атаки лежит вредоносный установочный скрипт, install.js который запускается при установке этих вредоносных пакетов. После запуска он загружает вредоносное ПО второго этапа с указанного домена (hxxp://5.199.166.1:31337/install) и инициирует дальнейшие атаки. Эта вредоносная программа работает по циклу, проверяя наличие законных пакетов ethers; после обнаружения она изменяет файл (provider-jsonrpc.js), чтобы включить вредоносный код, что в конечном итоге позволяет загружать вредоносную программу третьего этапа, предназначенную для установления обратного подключения к серверу хакера.
Вредоносная программа второго этапа включает в себя функциональность для создания файла (loader.js), который отражает законные операции, но также является вредоносным по своей природе. Это позволяет вредоносному ПО не только маскировать свои действия, но и обеспечивать постоянство. Примечательно, что даже если вредоносный пакет ethers-provider2 будет удален, скомпрометированные легитимные пакеты все равно могут функционировать как обратная оболочка при определенных условиях.
Обнаружение этих вредоносных пакетов стало возможным благодаря их идентифицируемым характеристикам, включая низкое количество загрузок и явный, не запутанный вредоносный код в сценариях установки. Команда RL внедрила механизм обнаружения, используя правила YARA, чтобы определить, был ли исправлен легитимный пакет ethers. Это подчеркивает растущие риски, связанные с цепочками поставок программного обеспечения, в которых злоумышленники постоянно находят новые способы использования надежных сред с открытым исходным кодом для установки вредоносного ПО.
#ParsedReport #CompletenessLow
25-03-2025
Operation ForumTroll: APT attack with Google Chrome zero-day exploit chain
https://securelist.com/operation-forumtroll/115989/
Report completeness: Low
Actors/Campaigns:
Forumtroll (motivation: cyber_espionage)
Industry:
Government
Geo:
Russia, Russian
CVEs:
CVE-2025-2783 [Vulners]
CVSS V3.1: 8.3,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
ChatGPT TTPs:
T1566.002, T1203
IOCs:
File: 1
Domain: 1
Soft:
Google Chrome, Chrome
25-03-2025
Operation ForumTroll: APT attack with Google Chrome zero-day exploit chain
https://securelist.com/operation-forumtroll/115989/
Report completeness: Low
Actors/Campaigns:
Forumtroll (motivation: cyber_espionage)
Industry:
Government
Geo:
Russia, Russian
CVEs:
CVE-2025-2783 [Vulners]
CVSS V3.1: 8.3,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
ChatGPT TTPs:
do not use without manual checkT1566.002, T1203
IOCs:
File: 1
Domain: 1
Soft:
Google Chrome, Chrome