#ParsedReport #CompletenessLow
15-07-2025

Malware in DNS

https://dti.domaintools.com/malware-in-dns/

Report completeness: Low

Threats:
Joke_screenmate
Screenmate
Covenant_tool

ChatGPT TTPs:
do not use without manual check
T1027, T1059.001, T1071.004, T1074, T1105, T1140, T1568.002

IOCs:
Hash: 2
Domain: 4

Algorithms:
exhibit, sha256

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
windows: 1, code: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Файлы изображений могут быть скрыты в текстовых записях DNS с помощью шестнадцатеричного преобразования, что позволяет использовать нетрадиционное хранение данных. Аналитики обнаружили хэши SHA256, связанные с вредоносной программой Joke Screenmate, которая нарушает контроль пользователей, и обнаружили вредоносные сценарии PowerShell в записях TXT для подключения к серверам C2 для доставки полезной нагрузки.
-----

Недавние исследования выявили метод, с помощью которого файлы изображений могут быть скрыты в текстовых записях DNS, что позволяет эффективно сохранять их и извлекать с помощью DNS-запросов. Этот метод включает разбиение файлов на разделы, преобразование их в шестнадцатеричный формат и запись в записи, которые могут оставаться нетронутыми до тех пор, пока DNS-сервер не удалит или не обновит их, что представляет собой нетрадиционную форму хранения данных.

Поводом для исследования послужили отчеты, в которых подробно описывается, как файлы изображений могут быть встроены в записи DNS. Аналитики использовали шаблоны регулярных выражений для идентификации сигнатур конкретных файлов в шестнадцатеричном представлении записей DNS TXT из базы данных DNSDB Scout. Этот поиск привел к обнаружению хэшей файлов SHA256, связанных с экземплярами вредоносной программы Joke Screenmate, известной своими функциями для розыгрышей. После запуска эта вредоносная программа имитирует деструктивные действия, отображая ложные сообщения об ошибках, создает помехи в управлении пользователем, представляет нежелательный контент и потребляет системные ресурсы, что потенциально может привести к проблемам с производительностью.

Кроме того, анализ вышел за рамки файлового хранилища и выявил наличие вредоносных команд, встроенных в текстовые записи. Был проведен анализ домена drsmitty.com, в котором текстовая запись определенного поддомена содержала закодированный сценарий PowerShell. Этот скрипт используется в качестве промежуточного, устанавливающего соединение с другим доменом (cspg.pw), который служит сервером управления (C2) для доставки последующих полезных данных. Чтобы сценарий, хранящийся в текстовой записи DNS, оказал влияние, для его выполнения в скомпрометированной системе должна быть выполнена последовательность действий.

#ParsedReport #CompletenessMedium
16-07-2025

New SSA-themed phishing campaign installs trojanized ScreenConnect

https://www.cloudflare.com/en-au/threat-intelligence/research/report/new-ssa-themed-phishing-campaign-installs-trojanized-screenconnect/

Report completeness: Medium

Threats:
Screenconnect_tool

Victims:
Individuals, Organizations

Industry:
Government

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1005, T1056.001, T1071.001, T1078.003, T1110.001, T1114.002, T1204.002, T1210, T1219, T1539, have more...

IOCs:
Url: 22
File: 3
Domain: 1
Hash: 1

Soft:
Gmail, Outlook, WordPress, macOS, Android, Microsoft Defender

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Участились фишинговые кампании, нацеленные на администрацию социального обеспечения, в ходе которых основное внимание уделяется сбору учетных данных и установке троянских инструментов RMM, таких как ScreenConnect. Злоумышленники используют скомпрометированные серверы и законные домены для обхода системы безопасности, создавая срочность с помощью неприятных тем и маскируясь под официальные сообщения. Методы включают перенаправление жертв со взломанных сайтов WordPress на вредоносные домены и побуждение к загрузке замаскированных вредоносных исполняемых файлов, что приводит к росту краж личных данных и значительным финансовым потерям.
-----

Участились фишинговые кампании, связанные с Управлением социального обеспечения (SSA), в которых основное внимание уделяется сбору учетных данных и установке троянских инструментов удаленного мониторинга и управления (RMM), таких как ScreenConnect. Злоумышленники предлагают жертвам установить приложение Microsoft Phone Link для упрощения фильтрации данных и получения кодов двухфакторной аутентификации. В попытках фишинга используются взломанные серверы и законные домены для обхода системы безопасности. В сообщениях часто говорится о неотложных проблемах с системой социального обеспечения, используются вызывающие беспокойство темы и официальные логотипы SSA. Взломанные сайты WordPress используются для перенаправления жертв на вредоносные домены, на которых размещаются инструменты сбора учетных данных или полезные приложения для удаленного доступа. Злоумышленники регистрируют похожие домены для маскировки и распространяют троянскую версию ScreenConnect с таких доменов, как pulseriseglobal.com. Вредоносные исполняемые файлы также маскируются под пакеты для macOS. В результате фишинга было получено более 1,1 миллиона сообщений о краже личных данных, что привело к значительным убыткам, в том числе 502 миллиона долларов в результате инцидентов, связанных с фишингом. В среднем на рассмотрение дел о краже личных данных, связанных с налогообложением, уходит 676 дней. Стратегии защиты включают в себя отказ от непроверенных ссылок, постоянное обновление программного обеспечения и отключение макросов Office. Расширенные меры безопасности электронной почты позволяют перехватывать попытки фишинга до того, как они дойдут до пользователей, используя механизмы обнаружения для олицетворения SSA. Такие инструменты, как Microsoft Defender XDR или CrowdStrike Falcon, могут отслеживать использование инструментов RMM. Регулярное резервное копирование данных имеет решающее значение для защиты от фишинговых атак, а модели машинного обучения улучшают обнаружение вредоносных электронных писем, анализируя содержимое и метаданные на предмет аномалий.

#ParsedReport #CompletenessMedium
16-07-2025

DNS: A Small but Effective C2 system

https://blogs.infoblox.com/security/dns-a-small-but-effective-c2-system/

Report completeness: Medium

Actors/Campaigns:
Emissary_panda

Threats:
Dns_tunneling_technique
Cobalt_strike_tool
Dnscat2_tool
Sliver_c2_tool
Pupy_rat
Decoy_dog
Metasploit_tool

Victims:
Government entities, Corporate entities, Businesses, Enterprises, Customer networks

Industry:
Government

ChatGPT TTPs:
do not use without manual check
T1041, T1071.004, T1090.003, T1095, T1568.002, T1572

IOCs:
Domain: 12
File: 4
IP: 1

Soft:
Sudo

Algorithms:
base64

Platforms:
intel, cross-platform

Links:
https://github.com/iagox86/dnscat2
https://github.com/Arno0x/DNSExfiltrator
https://github.com/BishopFox/sliver
have more...

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Туннелирование DNS использует запросы DNS для скрытой связи, позволяя киберпреступникам извлекать данные и выполнять команды, обходя меры безопасности. Такие инструменты, как Cobalt Strike и DNSCat2, облегчают это, используя различные типы записей DNS для обмена данными. Обнаружение таких действий требует упреждающего мониторинга и передовых систем обнаружения угроз с использованием машинного обучения.
-----

Туннелирование DNS - это технология скрытой связи, которая позволяет киберпреступникам кодировать данные в DNS-запросах и ответах, эффективно создавая канал для командно-контрольных операций (C2) и утечки данных в обход традиционных мер безопасности. Это особенно важно, поскольку DNS-трафик обычно проходит через корпоративные брандмауэры с минимальным контролем. Злоумышленники создают инфраструктуру DNS C2, получая контроль над авторитетным сервером имен для домена, что позволяет вредоносному ПО в скомпрометированных системах периодически просматривать этот домен. Затем вредоносная программа может выполнять команды на основе данных ответа DNS, которые могут содержать закодированную информацию о жертве или инструкции.

Несколько инструментов облегчают туннелирование DNS, включая Cobalt Strike, DNSCat2, Yodome и другие. Эти инструменты используют различные типы записей DNS, такие как A, AAAA, TXT, CNAME и MX, для выполнения туннелирования. Например, Cobalt Strike использует запросы в шестнадцатеричном коде для своего модуля C2 и использует записи A для создания маяков. DNSCat2 поддерживает зашифрованные туннели DNS и может использовать несколько типов записей для обмена данными. Кроме того, большие данные могут быть отфильтрованы небольшими порциями, что позволяет использовать гибкость записей DNS.

Специалистам по безопасности необходимо активно отслеживать DNS-трафик и управлять им, чтобы выявлять такие методы туннелирования и предотвращать их. Передовые системы обнаружения угроз, такие как Threat Insight от Infoblox, используют алгоритмы машинного обучения для выявления подозрительных действий DNS, часто в течение нескольких секунд после запуска туннелирования. Такое быстрое обнаружение имеет решающее значение, учитывая, что при многих операциях по прокладке туннелей могут использоваться уникальные сигнатуры, позволяющие идентифицировать их благодаря тщательному анализу соответствующих запросов и ответов.

Изучение туннелирования DNS выявило различные семейства программного обеспечения и фреймворков для туннелирования, что подчеркивает эволюцию тактики, используемой как злоумышленниками, так и специалистами по безопасности. Следует также отметить, что, хотя некоторые участники используют инструменты с открытым исходным кодом для своих целей, различие между законным и вредоносным поведением зависит от понимания природы DNS-коммуникаций. Поскольку злоумышленники все чаще комбинируют методы эксфильтрации DNS с вводящими в заблуждение доменными именами, постоянная бдительность и инновационные стратегии обнаружения остаются необходимыми для защиты сетей от этих скрытых хакеров.

#ParsedReport #CompletenessHigh
16-07-2025

Talos IR ransomware engagements and the significance of timeliness in incident response

https://blog.talosintelligence.com/talos-ir-ransomware-engagements-and-the-significance-of-timeliness-in-incident-response/

Report completeness: High

Threats:
Chaos_ransomware
Microsoft_quick_assist_tool
Lolbin_technique
Impacket_tool
Nltest_tool
Anydesk_tool
Optitune_tool
Screenconnect_tool
Splashtop_tool
Rclone_tool
Medusa_ransomware
Simplehelp_tool
Brc4_tool
Shadow_copies_delete_technique
Betruger
Syncro_tool
Win.ransomware.medusa_note-10033532-0
Angry_ip_scanner_tool

Industry:
Education

CVEs:
CVE-2024-57727 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- simple-help simplehelp (<5.5.8)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1003, T1021.002, T1047, T1059.001, T1059.003, T1070.004, T1078, T1105, T1110, T1133, have more...

IOCs:
File: 7
Path: 6
Hash: 26
IP: 6
Domain: 1

Soft:
Microsoft Teams, Task Scheduler, Active Directory, OpenSSH, ESXi, JWrapper, macOS, Linux, PsExec, Unix, have more...

Algorithms:
aes

Win API:
Getnativesysteminfo, Bcryptgeneratesymmetrickey

Languages:
java, powershell

Platforms:
x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Два инцидента с программами-вымогателями демонстрируют критическую роль своевременного реагирования на инциденты: быстрое взаимодействие предотвратило шифрование файлов, в то время как запоздалое реагирование привело к масштабному шифрованию сети. Злоумышленники использовали социальную инженерию, автономные двоичные файлы (LoLBins) и уязвимости, такие как устаревший PowerShell 1.0, для получения доступа и выполнения команд, подчеркивая необходимость быстрого вмешательства.
-----

Был проведен анализ двух инцидентов, связанных с программами-вымогателями, который показал важность своевременного реагирования на инциденты. В первом случае немедленное взаимодействие с Talos предотвратило полное шифрование файлов; в отличие от этого, отложенное реагирование позволило обеспечить масштабное шифрование сети. Современные программы-вымогатели сокращают время ожидания, требуя более быстрого реагирования. В обоих инцидентах использовались схожие инструменты и методы атаки, но оперативное вмешательство позволило улучшить анализ журналов. Злоумышленники-вымогатели Chaos получали первоначальный доступ с помощью социальной инженерии, рассылая спам-сообщения по электронной почте, что приводило жертв к вредоносной странице входа в систему во время сеансов Microsoft Teams. Злоумышленники использовали автономные двоичные файлы (LoLBins) и утилиты командной строки для удаленного выполнения и исследования сети. Они устанавливали исходящие соединения с контролируемыми IP-адресами с помощью защищенных инструментов и поддерживали доступ с помощью приложений удаленного мониторинга. В другом случае с программой-вымогателем Medusa злоумышленники использовали аналогичные методы, используя инструмент SimpleHelp для несанкционированного доступа. У обеих жертв были критические уязвимости, включая устаревшую версию PowerShell 1.0, которая позволяла выполнять неконтролируемые скрипты. Время взаимодействия с Talos сильно повлияло на серьезность воздействия программы-вымогателя.

#ParsedReport #CompletenessHigh
16-07-2025

UNG0002: Regional Threat Operations Tracked Across Multiple Asian Jurisdictions

https://www.seqrite.com/blog/ung0002-espionage-campaigns-south-asia/

Report completeness: High

Actors/Campaigns:
Ung0002 (motivation: cyber_espionage)
Cobalt_whisper
Ambermist

Threats:
Cobalt_strike_tool
Metasploit_tool
Blister
Fakecaptcha_technique
Clickfix_technique
Dll_sideloading_technique
Spear-phishing_technique
Lolbin_technique
Dllsearchorder_hijacking_technique
Junk_code_technique

Industry:
Healthcare, Education, Software_development, Maritime, Energy, Entertainment, Aerospace

Geo:
Asia, Asian, Pakistan, South-east asia, China, Hong kong

TTPs:
Tactics: 11
Technics: 21

IOCs:
Path: 1
Hash: 15
Domain: 1
File: 6

Algorithms:
aes, zip

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
schema: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
UNG0002, APT, ориентированный на шпионаж, использует файлы LNK, VBScript и RATS, такие как Shadow RAT и INET RAT, в различных секторах. В их кампаниях, включая Operation Cobalt Whisper и AmberMist, используются такие методы, как поддельная КАПЧА, для развертывания вредоносных программ и использования дополнительной загрузки библиотек DLL, чтобы избежать обнаружения.
-----

APT-команда Seqrite Labs выявила и отслеживала хакера, известного как UNG0002, или Неизвестная группа 0002, которая занимается шпионажем в нескольких азиатских регионах, включая Китай, Гонконг и Пакистан. Эта группа постоянно отдает предпочтение использованию файлов быстрого доступа (LNK), VBScript и инструментам последующей эксплуатации, таким как Cobalt Strike и Metasploit. Для их операций характерно использование документов-приманек в виде резюме, предназначенных для привлечения жертв.

Мероприятия UNG0002 в основном подразделяются на две важные кампании: операцию "Кобальтовый шепот", которая проводилась с мая по сентябрь 2024 года, и операцию "АмберМист", которая проводилась с января по май 2025 года. В ходе предыдущей операции было обнаружено 20 различных цепочек заражения, нацеленных на такие отрасли, как оборона, электротехническое машиностроение и гражданская авиация. Более поздняя кампания AmberMist перенесла акцент на игровой сектор, разработку программного обеспечения и академическую сферу, внедрив легкие имплантаты, такие как Shadow RAT, Blister DLL Implant и INET RAT. Примечательно, что UNG0002 применил метод ClickFix во время AmberMist, используя поддельные страницы проверки CAPTCHA, чтобы манипулировать жертвами, заставляя их запускать вредоносные сценарии PowerShell.

В своей методологии UNG0002 использует многоэтапные атаки с использованием комбинации вредоносных файлов LNK, VBScript, пакетных сценариев и PowerShell для развертывания пользовательских средств удаленного доступа (RAT), таких как Shadow RAT и INET RAT. Их использование дополнительной загрузки библиотек DLL особенно очевидно; они используют законные приложения Windows, такие как Rasphone и Node-Webkit, для выполнения вредоносной полезной нагрузки, пытаясь избежать усилий по обнаружению.

Устойчивая инфраструктура этой группы была отмечена последовательной схемой именования и оперативными методами, которые применялись в ходе различных кампаний в течение последнего года. Они систематически нацелены на широкий спектр отраслей, включая оборону, инженерное дело, научные круги и игровой сектор, что предполагает организованную стратегию, направленную на сбор разведывательной информации.

Были обнаружены примечательные технические артефакты, указывающие на среды разработки, связанные с пользовательским вредоносным ПО, которые дают информацию о потенциальных кодовых названиях, таких как "Mustang" и "ShockWave". Продолжающаяся эволюция их тактики свидетельствует о высокой адаптивности и техническом мастерстве UNG0002, а также о склонности имитировать методы других хакеров, что затрудняет поиск виновных. Seqrite Labs с высокой степенью уверенности полагает, что эта группа, скорее всего, действует в Юго-Восточной Азии и занимается шпионажем. Будущие результаты будут дополнять и уточнять наше понимание их операций и методов.

#technique #llm

Интересная техника, направленная на inject промта в почтовые сообщения, которые потом обрабатывает AI-агент.

Hidden HTML Hack Turns Google Gemini Into a Phishing Machine

https://www.secureblink.com/cyber-security-news/hidden-html-hack-turns-google-gemini-into-a-phishing-machine

Ну и вдогонку прилетает привет всем, кто пакует модельки в контейнеры

NVIDIAScape - Critical NVIDIA AI Vulnerability: A Three-Line Container Escape in NVIDIA Container Toolkit (CVE-2025-23266)

https://www.wiz.io/blog/nvidia-ai-vulnerability-cve-2025-23266-nvidiascape

Какая интересная галлюцинация у ChatGPT.
Умеет же он испортить и отчет и настроение.