#ParsedReport #ExtractedSchema

Classified images:
windows: 5, code: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Контрабандный доступ к кэшу браузера использует кэширование браузера и нацелен на такие процессы, как Microsoft Teams, для скрытой доставки вредоносных программ. Злоумышленники используют вредоносную библиотеку DLL для маскировки операций при взаимодействии с сервером C2 по протоколу HTTPS. Стратегии защиты включают ограничение доступа к PowerShell, применение политик выполнения и очистку кэша браузера. Надежное обнаружение несанкционированных процессов имеет решающее значение для защиты.
-----

Контрабанда кэша браузера остается эффективным методом доставки вредоносного ПО, используя механизмы кэширования браузера, которые существенно не изменились за прошедшие годы. Поток атак обычно начинается с целевого объекта, выполняющего PowerShell, который вызывает rundll32.exe , приводящий к Sihost.exe запуск вредоносной программы или радиомаяка, который взаимодействует с сервером управления (C2). Чтобы скрыть вредоносную активность, злоумышленники определили Microsoft Teams в качестве целевого процесса, используя ее HTTPS-туннели для скрытой связи.

Метод заключается в создании вредоносной библиотеки DLL, которая используется в качестве прокси-сервера. Эта библиотека DLL должна быть размещена в каталоге localappdata, где Teams ищет динамически подключаемые библиотеки, что позволяет загружать вредоносную версию, не вызывая подозрений. Пользовательская библиотека DLL предназначена для перенаправления законных вызовов API к реальной целевой библиотеке DLL, эффективно маскируя работу вредоносного ПО, сохраняя при этом функциональность. Этот метод в значительной степени основан на тактике социальной инженерии и передовых методах доставки, позволяющих обойти обнаружение.

Чтобы снизить риски, связанные с такими атаками, рекомендуется использовать несколько тактик усиления защиты. Ограничение доступа пользователей к потенциально опасным скриптовым движкам, таким как PowerShell, может значительно снизить вероятность атаки. Такие меры безопасности, как AppLocker и Intune, могут обеспечить более строгий контроль, гарантируя использование только необходимых двоичных файлов. Изменение политик выполнения, позволяющее использовать только подписанные скрипты, дополнительно защитит от несанкционированного выполнения скриптов.

Еще одна важная рекомендация - не допускать установки программного обеспечения в каталог localappdata, где пользователи могут изменять файлы и потенциально загружать вредоносные библиотеки DLL. Кроме того, использование объектов групповой политики (GPO) для принудительной очистки кэша браузеров после завершения сеанса может свести к минимуму возможности для злоумышленников. Этот процесс может быть особенно эффективен в Google Chrome, если настроить определенные параметры реестра таким образом, чтобы при закрытии браузера кэш, включая потенциально опасные библиотеки DLL, очищался.

Хотя превентивные меры необходимы, не менее важно создать надежные механизмы обнаружения. Внедрение правил мониторинга может предупреждать администраторов о любых несанкционированных процессах, таких как попытки PowerShell получить доступ к базам данных кэша браузера, сигнализируя о возможных попытках взлома. Такой двойной подход к предотвращению и обнаружению формирует комплексную стратегию защиты от контрабанды кэша браузера и подобных угроз.

Обратите внимание!

8 и 9 апреля объявляются днями TI. И мы и BI.Zone будем проводить онлайн вебминары.

На нашем вебминаре затронет тему, которую поднимают ооочень редко - тему обучения TI-аналитиков и их роли в компании.

#technique

SpyAI
Intelligent Malware that takes screenshots for entire monitors and exfiltrate them through Trusted Channel Slack to the C2 server that's using GPT-4 Vision to analyze them and construct daily activity — frame by frame

https://github.com/DarkSpaceSecurity/SpyAI

#ParsedReport #CompletenessLow
26-03-2025

Malware found on npm infecting local package with reverse shell

https://www.reversinglabs.com/blog/malicious-npm-patch-delivers-reverse-shell

Report completeness: Low

Threats:
Ethers-provider2
Supply_chain_technique

ChatGPT TTPs:
do not use without manual check
T1195, T1105, T1059.001, T1219

IOCs:
File: 3
Url: 2
IP: 1
Hash: 15

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Вредоносные пакеты ethers-provider2 и ethers-providerz в экосистеме npm используют легальные пакеты для распространения вредоносного ПО с помощью установочного скрипта, который загружает дополнительную полезную нагрузку и изменяет легальные файлы, создавая обратную оболочку. Даже после удаления скомпрометированные пакеты могут по-прежнему работать вредоносным образом. Усилия по обнаружению включают в себя определение конкретных характеристик этих пакетов и использование правил YARA.
-----

Недавнее исследование RL выявило новую угрозу в экосистеме Node Package Manager (npm), где вредоносные локально установленные пакеты, в частности ethers-provider2 и ethers-providerz, используют законные пакеты для распространения вредоносного ПО. Угроза включает в себя сложный подход, при котором вредоносные пакеты модифицируют существующие легитимные пакеты, эффективно "дополняя" их дополнительными вредоносными функциями. Например, пакет ethers-provider2 является зеркальным отображением легитимного пакета ssh2, широко используемого модуля в сообществе npm, но содержит вредоносные элементы, предназначенные для компрометации систем.

В основе механизма атаки лежит вредоносный установочный скрипт, install.js который запускается при установке этих вредоносных пакетов. После запуска он загружает вредоносное ПО второго этапа с указанного домена (hxxp://5.199.166.1:31337/install) и инициирует дальнейшие атаки. Эта вредоносная программа работает по циклу, проверяя наличие законных пакетов ethers; после обнаружения она изменяет файл (provider-jsonrpc.js), чтобы включить вредоносный код, что в конечном итоге позволяет загружать вредоносную программу третьего этапа, предназначенную для установления обратного подключения к серверу хакера.

Вредоносная программа второго этапа включает в себя функциональность для создания файла (loader.js), который отражает законные операции, но также является вредоносным по своей природе. Это позволяет вредоносному ПО не только маскировать свои действия, но и обеспечивать постоянство. Примечательно, что даже если вредоносный пакет ethers-provider2 будет удален, скомпрометированные легитимные пакеты все равно могут функционировать как обратная оболочка при определенных условиях.

Обнаружение этих вредоносных пакетов стало возможным благодаря их идентифицируемым характеристикам, включая низкое количество загрузок и явный, не запутанный вредоносный код в сценариях установки. Команда RL внедрила механизм обнаружения, используя правила YARA, чтобы определить, был ли исправлен легитимный пакет ethers. Это подчеркивает растущие риски, связанные с цепочками поставок программного обеспечения, в которых злоумышленники постоянно находят новые способы использования надежных сред с открытым исходным кодом для установки вредоносного ПО.

#ParsedReport #CompletenessLow
25-03-2025

Operation ForumTroll: APT attack with Google Chrome zero-day exploit chain

https://securelist.com/operation-forumtroll/115989/

Report completeness: Low

Actors/Campaigns:
Forumtroll (motivation: cyber_espionage)

Industry:
Government

Geo:
Russia, Russian

CVEs:
CVE-2025-2783 [Vulners]
CVSS V3.1: 8.3,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1566.002, T1203

IOCs:
File: 1
Domain: 1

Soft:
Google Chrome, Chrome

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
В марте 2025 года Kaspersky сообщил о значительном распространении вредоносного ПО, связанного с фишинговой кампанией (операция ForumTroll), в которой использовалась уязвимость нулевого дня CVE-2025-2783 в Google Chrome, позволяющая автоматически заражать браузер. Атака была нацелена на российские СМИ, образовательные учреждения и правительственный сектор, потенциально с целью шпионажа, что привело к срочному обнаружению и быстрому обновлению информации со стороны Google.
-----

В марте 2025 года Kaspersky выявил значительную волну заражений, связанных с новым и усовершенствованным типом вредоносного ПО. Заражение было вызвано персонализированными фишинговыми электронными письмами, которые, когда жертвы нажимали на них в браузере Google Chrome, приводили к автоматической установке вредоносного ПО без каких-либо дополнительных действий со стороны пользователей. Вредоносные ссылки, использованные в этой атаке, были рассчитаны на ограниченный срок службы, что делает критически важными своевременное обнаружение и устранение последствий.

В ходе атаки была использована уязвимость нулевого дня, идентифицированная как CVE-2025-2783, которая позволила злоумышленникам обойти функцию безопасности Google Chrome в песочнице. Было установлено, что эта уязвимость связана с логическим несоответствием между песочницей Chrome и операционной системой Windows. Возможности Kaspersky по обнаружению эксплойтов успешно выявили механизм эксплойта, который впоследствии был подвергнут обратной разработке, чтобы помочь понять его функциональность. После обнаружения Касперский незамедлительно сообщил об уязвимости в службу безопасности Google, в результате чего 25 марта 2025 года было выпущено обновление swift (версия 134.0.6998.177/.178), устраняющее проблему.

Фишинговая кампания, которая способствовала распространению этого вредоносного ПО, получила название Operation ForumTroll. Кампания, нацеленная на средства массовой информации, образовательные учреждения и государственные организации в России, была замаскирована под приглашения на научный форум "Примаковские чтения". Хотя на момент публикации отчета активных эксплойтов обнаружено не было, перенаправленные ссылки приводили пользователей на официальный сайт "Примаковских чтений", но Касперский призвал соблюдать осторожность при использовании любых подозрительных ссылок.

Характер сложного вредоносного ПО указывает на то, что злоумышленники, скорее всего, проводили шпионские операции. Целью продолжающегося исследования Kaspersky является подготовка подробного отчета с подробным описанием эксплойта нулевого дня, характеристик вредоносного ПО и методологий, используемых хакерами. Кроме того, методы эксплуатации и вредоносные программы, использованные в этой кампании, были интегрированы в сигнатуры обнаружения Kaspersky для защиты от подобных атак.

#ParsedReport #CompletenessMedium
26-03-2025

The Curious Case of PlayBoy Locker

https://www.cybereason.com/blog/threat-analysis-playboy-locker

Report completeness: Medium

Threats:
Playboy_locker
Shadow_copies_delete_technique
Vssadmin_tool

Industry:
E-commerce

Geo:
Russian

TTPs:
Tactics: 7
Technics: 14

IOCs:
File: 15
Command: 1
Path: 1
Hash: 2

Soft:
ESXi, Active Directory, Windows service, gatekeeper, Telegram, msexchange, firefox, steam, Chrome, thebat, have more...

Algorithms:
hc-128, sha256, curve25519

Win Services:
encsvc, powerpnt, tbirdconfig, mydesktopqos, ocomm, GxVss, ocssd, dbeng50, GxBlr, dbsnmp, have more...

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Программа-вымогатель PlayBoy Locker, запущенная в сентябре 2024 года, предоставляет доступный набор инструментов для атак с использованием программ-вымогателей, позволяя неквалифицированным злоумышленникам шифровать файлы в различных системах. Он использует такие методы, как LDAP, для распространения по сети, нацелен на критически важные компоненты системы и использует многопоточность для быстрого шифрования, что создает серьезные проблемы в области кибербезопасности.
-----

В отчете Cybereason Threat Analysis анализируется платформа PlayBoy Locker Ransomware-as-a-Service (RaaS), запущенная в сентябре 2024 года, которая позволяет злоумышленникам, особенно тем, у кого нет продвинутых технических навыков, проводить атаки с использованием программ-вымогателей. Эта модель RaaS предлагает доступный инструментарий, который включает в себя полезную нагрузку на программы-вымогатели, интерфейсы управления и партнерские программы, тем самым демократизируя распространение программ-вымогателей с помощью механизмов распределения прибыли, при которых партнеры обычно удерживают 85% выплат выкупа.

PlayBoy Locker позволяет настраивать двоичные файлы программ-вымогателей на заказ, ориентируясь на такие системы, как Windows, NAS и ESXi, с широким спектром функциональных возможностей. Это включает в себя такие возможности, как сегментированное шифрование файлов, автоматическое распространение по сети через LDAP с предоставленными учетными данными Active Directory, а также процессы прекращения работы служб, которые могут нарушить работу жертв. Программа-вымогатель использует критически важные системные компоненты, такие как "RstrtMgr.dll", для закрытия открытых файлов перед их шифрованием, что повышает ее эффективность за счет предотвращения восстановления данных с помощью теневых копий Windows. Кроме того, она использует многопоточность для ускорения процесса шифрования нескольких файлов, гарантируя значительный ущерб в минимальные сроки.

Схема атаки на PlayBoy Locker часто инициируется с помощью стандартных средств заражения, таких как фишинговые электронные письма или скомпрометированные конечные точки RDP. Как только точка доступа в сети установлена, PlayBoy Locker использует протокол облегченного доступа к каталогам (LDAP) для выполнения сканирования подключенных устройств, копируя исполняемый файл программы-вымогателя на удаленные компьютеры. После установки программа-вымогатель выполняет шифрование, нацеливаясь на различные форматы файлов, включая документы, изображения, видео и базы данных, и генерирует уведомление о требовании выкупа, которое распространяется в виде файла "INSTRUCTIONS.txt" в каждой папке, не исключенной из процесса шифрования.

В конкурентной борьбе PlayBoy Locker group поддерживает инновационную экосистему благодаря регулярным обновлениям и всесторонней партнерской поддержке, что позволяет успешно обходить принятые меры безопасности. Их операционная эффективность способствует расширению спектра угроз, связанных с атаками программ-вымогателей, что подчеркивает настоятельную необходимость в надежных защитных механизмах для противодействия таким возникающим угрозам. Природа этой модели RaaS в сочетании с возможностями и профессиональной средой, созданной PlayBoy Locker, представляет собой серьезную проблему для специалистов по кибербезопасности, стремящихся снизить риски, связанные с атаками программ-вымогателей.

#ParsedReport #CompletenessLow
26-03-2025

Blacklock Ransomware: A Late Holiday Gift with Intrusion into the Threat Actor's Infrastructure

https://www.resecurity.com/blog/article/blacklock-ransomware-a-late-holiday-gift-with-intrusion-into-the-threat-actors-infrastructure

Report completeness: Low

Actors/Campaigns:
Dragonforce

Threats:
Eldorado_ransomware
Phoenix_keylogger
Mamona
Rclone_tool
Netstat_tool
Dragonforce_ransomware

Victims:
New river electrical, College of veterinary medicine kansas state university, City of pensacola, Legal services provider

Industry:
Healthcare, Education, Telco, Aerospace, Government, Transport, Critical_infrastructure, Retail, Financial

Geo:
China, Canada, Saudi arabia, Croatia, France, Canadian, California, Aruba, Arab emirates, Spain, Brazil, Argentina, United arab emirates, Congo, Russian, Russia, Usa, United kingdom, Italy, Netherlands, Chinese, Peru

ChatGPT TTPs:
do not use without manual check
T1486, T1190, T1078, T1567.002, T1491, T1059

IOCs:
Coin: 1
File: 21
IP: 2

Soft:
systemd, Nginx, rsync, firewalld, sudo, Linux, ESXi

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4