#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

Недавно было обнаружено, что приложение SHEIN для Android периодически считывает содержимое буфера обмена устройства пользователя и отправляет его на удаленный сервер. Учитывая более 100 миллионов загрузок приложения SHEIN для Android из Google Play Store, важно принять меры по защите пользователей от подобного риска. Для решения этой проблемы компания Google внесла усовершенствования в платформу Android, которые ограничивают доступ приложений к буферу обмена в фоновом режиме на Android 10 и выше.

Для анализа поведения буфера обмена в Android-приложении SHEIN исследователи использовали Frida для перехвата вызовов двух методов: android.content.ClipboardManager.getText и com.zzkko.util.MarketClipboardPhaseLinker.f. С помощью Frida исследователи также смогли обойти привязку сертификата приложения, что позволило им использовать Burp Proxy для перехвата сетевого трафика. Затем исследователи смогли перехватить POST-запрос, который передавал содержимое буфера обмена на удаленный сервер.

Это исследование подчеркивает важность понимания рисков, связанных с доступом к буферу обмена, а также с другими, казалось бы, доброкачественными действиями в приложениях. Злоумышленники могут использовать это поведение для кражи или изменения скопированной и вставленной информации, такой как пароли, финансовые данные, личные данные, адреса криптовалютных кошельков и другая конфиденциальная информация.

Чтобы защититься от подобных угроз, пользователям следует соблюдать рекомендации по безопасности, изложенные Google, например, ограничить доступ приложений к буферу обмена в фоновом режиме на Android 10 и выше. Кроме того, пользователи должны иметь надежные пароли, регулярно обновлять программное обеспечение и использовать антивирусные программы на всех своих устройствах.

#ParsedReport
07-03-2023

Love scam or espionage? Transparent Tribe lures Indian and Pakistani officials

https://www.welivesecurity.com/2023/03/07/love-scam-espionage-transparent-tribe-lures-indian-pakistani-officials

Actors/Campaigns:
Transparenttribe (motivation: cyber_espionage)

Threats:
Caprarat
Crimson_rat
Androrat_rat

Geo:
Indian, Russia, Pakistan, Egypt, India, Ukraine, Oman, Pakistani

TTPs:
Tactics: 6
Technics: 14

IOCs:
Domain: 5
Url: 1
IP: 3
Hash: 2

Softs:
android

#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

Исследователи ESET обнаружили новую кампанию кибершпионажа хакерской группы Transparent Tribe, направленную в основном на пользователей Android в Индии и Пакистане. Кампания активна с июля 2022 года и использует два троянизированных приложения для безопасного обмена сообщениями и звонков, названные MeetsApp и MeetUp, для распространения бэкдора CapraRAT. Эта вредоносная программа способна похищать конфиденциальную информацию с устройств жертв, такую как скриншоты, фотографии, аудиозаписи и телефонные звонки.

Вредоносные приложения можно было загрузить с сайтов, выдававших себя за официальные центры распространения. Предполагается, что для заманивания жертв на эти сайты использовалась романтическая афера. Плохая операционная безопасность этих приложений раскрывала PII пользователя, что позволило исследователям ESET определить геолокацию 150 жертв. Этот же IP-адрес в прошлом использовался Transparent Tribe для размещения своих шпионских программ.

И MeetsApp, и MeetUp основаны на одном и том же легитимном коде, троянизированном бэкдор-кодом CapraRAT. Перед использованием приложения жертвам необходимо создать учетные записи, которые привязываются к их телефонным номерам и требуют SMS-верификации. После создания учетной записи приложение запрашивает дополнительные разрешения, которые позволяют бэкдору работать в полном объеме. Домен phone-drive.online, на котором был размещен вредоносный APK MeetsApp, начал разрешаться на тот же IP-адрес примерно в то же время, что и домен phone-drive.online.geo-news.tv, который использовался в прошлой кампании, контролируемой Transparent Tribe, как сообщает Cisco.

Согласно нашим исследованиям, потенциальных жертв заманивали установить это приложение в медовую ловушку романтических афер, где, скорее всего, с ними сначала связывались на другой платформе, а затем убеждали использовать более безопасное приложение MeetsApp или MeetUp. Завоевав доверие жертвы, они предлагали перейти на другое, якобы более безопасное приложение для чата, которое было доступно на одном из сайтов распространения вредоносного ПО. После входа жертвы в приложение CapraRAT начинает взаимодействовать со своим C&C-сервером, отправляя основную информацию об устройстве и ожидая получения команд для выполнения.

Мобильная кампания Transparent Tribe все еще продолжается, используя два приложения для обмена сообщениями в качестве прикрытия для распространения своего бэкдора CapraRAT для Android. Предполагается, что для того, чтобы заманить жертву скачать приложение и удержать ее на платформе, чтобы злоумышленник мог получить к ней доступ, используется романтическая афера. Для распространения вредоносных приложений использовались домены meetapp . org и meetup-chat . com. Было выявлено более 150 жертв, расположенных в Индии, Пакистане, России, Омане и Египте. Учитывая характер атаки, можно предположить, что жертвы были очень целевыми и тщательно выбирались.

Эта последняя кампания показывает, как Transparent Tribe продолжает совершенствовать свои тактики, методы и процедуры, чтобы оставаться успешными. Она также подчеркивает важность осознания существующих угроз и необходимость соблюдения правил кибергигиены.

#ParsedReport
07-03-2023

Using Memory Analysis to Detect EDR-Nullifying Malware

https://www.volexity.com/blog/2023/03/07/using-memory-analysis-to-detect-edr-nullifying-malware

Actors/Campaigns:
Axiom
Turla

Threats:
Avburner
Windbg_tool
Byovd_technique

Geo:
Chinese

IOCs:
File: 8
Hash: 1

Softs:
volexity volcano

Functions:
PsSetCreateProcessNotifyRoutine, PspSetCreateProcessNotifyRoutine, ExDerefenceCallBackBlock, ExCompareExchangeCallBack

Links:
https://github.com/volatilityfoundation/volatility3
https://github.com/hfiref0x/KDU
https://github.com/volexity/threat-intel/blob/main/2023/2023-03-07%20AVBurner/yara.yar

#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

Недавно компания Trend Micro обнаружила новую технику атаки под названием AVBurner, направленную на продукты безопасности Qihoo 360. Этот вредоносный код предназначен для удаления двух обратных вызовов из списка и замены их адреса на 0x000000`000000, отключая обратный вызов. Он использует уязвимый драйвер RTCore64.sys для чтения и записи в защищенное пространство памяти и нацелен на любые драйверы со строкой 360 в описании метаданных.

В заключение следует отметить, что злоумышленники постоянно совершенствуют свои тактики, методы и процедуры, чтобы избежать обнаружения. В данном случае AVBurner был использован для обхода продуктов безопасности путем исправления памяти ядра. Регулярный мониторинг памяти системы и активный запуск инструментов анализа памяти может помочь обнаружить вредоносную активность, что позволит администраторам предпринять упреждающие шаги для смягчения любых потенциальных угроз.

#ParsedReport
07-03-2023

Pandas with a Soul: Chinese Espionage Attacks Against Southeast Asian Government Entities

https://research.checkpoint.com/2023/pandas-with-a-soul-chinese-espionage-attacks-against-southeast-asian-government-entities

Actors/Campaigns:
Sharppanda (motivation: cyber_espionage)
Tick
Comment_crew
Redfoxtrot
Naikon

Threats:
Soulsearcher
Victorydll
8t_dropper
Dll_hijacking_technique

Industry:
Healthcare, Government

Geo:
Vietnam, Asian, Chinese, Thailand, Indonesia, Asia, Vietnamese

IOCs:
File: 7
Hash: 24
Registry: 9
IP: 12
Domain: 1

Softs:
internet explorer

Algorithms:
lzma, base64, xor, rc4

Win API:
NetUserGetInfo, GetTickCount

Languages:
php

#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

Sharp Panda - это давняя китайская операция кибершпионажа, направленная на правительственные организации Юго-Восточной Азии с 2021 года. В конце 2022 года вектор заражения, схожий с предыдущими операциями Sharp Panda, был использован для атаки на высокопоставленную правительственную организацию в регионе. Полезной нагрузкой этой атаки была новая версия загрузчика SoulSearcher, который в конечном итоге загружал модульный фреймворк Soul.

Вредоносная структура Soul была замечена в кампаниях шпионажа, направленных на оборонный сектор, здравоохранение и сектор ИКТ в Юго-Восточной Азии с 2017 года. Атрибуция этих атак затруднена, но их можно отнести к APT-группе с китайским происхождением. Для получения первоначального доступа к целевым сетям используются фишинговые письма, а полезная нагрузка, наблюдаемая в кампаниях Sharp Panda, включает RoyalRoad RTF, пользовательский загрузчик DLL, и VictoryDLL, пользовательское и уникальное вредоносное ПО.

В начале 2023 года была замечена другая полезная нагрузка: модульный бэкдор Soul. Загрузчик сбрасывается с помощью RoyalRoad RTF и собирает данные с компьютера жертвы, прежде чем скачать и загрузить второй этап загрузчика SoulSearcher. Существует несколько вариантов SoulSearcher в зависимости от конфигурации и расположения полезной нагрузки. Он использует сжатие LZMA для распаковки сжатого модуля и рефлекторной загрузки DLL основного модуля Soul в память.

Главный модуль Soul отвечает за связь с C&C-сервером, и его основная задача - принимать и загружать дополнительные модули. Он имеет продвинутую функцию OpSec для смешивания коммуникационного потока с общим трафиком и снижения вероятности обнаружения. Бэкдор также содержит функцию, напоминающую радиомолчание, когда действующие лица могут указать определенные часы в неделю, когда бэкдору не разрешается общаться с сервером C&C. Он способен автоматически обновляться и выполнять определенные действия перед основной активностью бэкдора. Команды, поддерживаемые бэкдором, в основном направлены на загрузку дополнительных модулей и лишены какой-либо общей функциональности бэкдора.

Набор RoyalRoad RTF является предпочтительным инструментом среди китайских APT-групп и по-прежнему используется. C&C-серверы постоянно возвращают полезную нагрузку в период 01:00-08:00 UTC с понедельника по пятницу, что позволяет предположить рабочее время злоумышленников. Исследователи Symantec обнаружили набор инструментов APT30 в сети одной из организаций, атакованных с помощью фреймворка Soul, что указывает на то, что эта деятельность, вероятно, является операцией шпионажа, осуществляемой хорошо обеспеченными ресурсами и, возможно, национальными государственными субъектами угроз.

В данном отчете подробно рассматривается цепочка заражения семейства вредоносных программ Soul, а также ТТП и инструменты, использовавшиеся в кампании шпионажа против государственных структур Юго-Восточной Азии. Хотя структура Soul используется как минимум с 2017 года, создатели угроз постоянно обновляют и совершенствуют ее архитектуру и возможности. На основании технических данных, представленных в нашем исследовании, мы считаем, что эта кампания организована продвинутыми субъектами угроз, поддерживаемыми Китаем.

#ParsedReport
07-03-2023

Lazarus Group Attack Case Using Vulnerability of Certificate Software Commonly Used by Public Institutions and Universities

https://asec.ahnlab.com/en/48810

Actors/Campaigns:
Lazarus

Threats:
Kisa
Byovd_technique
Lazardoor
Timestomp_technique

Industry:
Financial, Education

Geo:
Taiwanese, Korean, Korea

TTPs:
Tactics: 14
Technics: 10

IOCs:
File: 17
Path: 25
IP: 7
Url: 3
Domain: 6
Hash: 7

#ParsedReport
09-03-2023

Malvertising through search engines

https://securelist.com/malvertising-through-search-engines/108996

Threats:
Rhadamanthys
Redline_stealer
Typosquatting_technique
Lolbas_technique

IOCs:
Command: 3
File: 2
Url: 4
Domain: 49
IP: 1
Hash: 5

Softs:
net framework

Algorithms:
zip, base64, gzip, aes-cbc, aes

Functions:
WinAPI

Win API:
CreateProcessW, WriteFile, Decompress

Links:
https://opentip.kaspersky.com/https%3A%2F%2Fgithub.com%2Fsup6724%2Fblender3d13%2Freleases%2Fdownload%2Fupdates%2Fblender-3.4.1-windows-x64.zip/?utm\_source=SL&utm\_medium=SL&utm\_campaign=SL

#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

В последние месяцы появились вредоносные кампании, использующие рекламу Google в качестве средства распространения и доставки вредоносных программ. Было обнаружено, что два различных похитителя, Rhadamanthys и RedLine, используют эту технику. Эти угрожающие субъекты создают копии веб-сайтов легитимного программного обеспечения, используя при этом опечатки или комбосквоттинг, чтобы сайты выглядели как настоящие для конечных пользователей. Содержание и дизайн этих поддельных веб-страниц идентичны оригиналам. После создания поддельных сайтов субъекты угроз оплачивают продвижение в поисковых системах, чтобы их вредоносные сайты попадали в верхние строчки результатов поиска.

Вредоносная полезная нагрузка распространяется через эти раскрученные сайты, а размер оригинального установщика Blender 3D MSI и вредоносного загрузчика составляет 657 МБ. Вредоносный загрузчик раздувается нежелательными байтами, в результате чего его размер в раздутом виде составляет около 330 КБ. При запуске начальная программа установки запускает одновременно вредоносный PE-файл и оригинальный Blender 3D MSI, пытаясь замаскировать вредоносную полезную нагрузку. Затем полезная нагрузка загружается в недолговечный подпроцесс, известный как загрузчик, и часто хранится на том же сайте, что и целевая страница, или на общедоступных сервисах, таких как MediaFire или GitHub.

Мы наблюдаем рост распространения семейств вредоносных программ через рекламные кампании Google Ads, в частности через поисковые объявления. Угрозы используют обманные методы, такие как typosquatting и combosquatting, чтобы заманить жертв, и оплачивают рекламу для их продвижения. В некоторых случаях вместе с вредоносной полезной нагрузкой устанавливается легитимное программное обеспечение. Часто встречающиеся вредоносные полезные нагрузки включают вредоносные программы типа stealer, такие как RedLine и печально известный Rhadamanthys.

Методы вредоносной рекламы быстро становятся популярными среди субъектов угроз, поэтому как предприятиям, так и частным лицам необходимо знать о потенциальных рисках, связанных с этими угрозами. Важно придерживаться безопасного поведения в Интернете, например, не переходить по подозрительным ссылкам и веб-сайтам, а также следить за тем, чтобы на вашем компьютере были установлены последние обновления безопасности и антивирусное программное обеспечение.

#ParsedReport
09-03-2023

SpiderLabs Blog. OneNote Spear-Phishing Campaign

https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/onenote-spear-phishing-campaign

Threats:
Qakbot
Xworm_rat
Icedid
Asyncrat_rat
Process_injection_technique

TTPs:
Tactics: 6
Technics: 21

IOCs:
Path: 1
File: 8

Softs:
onenote

Languages:
javascript

Platforms:
intel

Links:
https://github.com/SpiderLabs-Threat-Ops/SpiderLabs-Threat-Hunt/tree/main/Threat%20Indicators/OneNote\_Campaign\_February2023

#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

Недавние расследования, проведенные Trustwave SpiderLabs, показали, что OneNote использовался в качестве механизма доставки вредоносного ПО. Эта техника часто используется в фишинговых кампаниях, число которых возросло с декабря 2022 года. Наблюдаемые полезные нагрузки обычно включают Qakbot, XWorm, Icedid и AsyncRAT.

Цепочки заражения в целом похожи: все начинается с выполнения файла Open.cmd, встроенного в документ OneNote, который вызывает колыбель загрузки PowerShell. Это загружает и расшифровывает полезную нагрузку, содержащую Qbot DLL, которая затем выполняется с помощью Rundll32.exe. Дампы памяти показывают, что полезная нагрузка содержит название кампании, постоянство, идентификатор бота жертвы и C2-запросы.

SpiderLabs наблюдала использование документов-приманок OneNote для других вариантов вредоносного ПО, таких как XWorm и Icedid. Получив доступ с помощью фишинга, противник должен создать бэкдор и обеспечить устойчивость, чтобы избежать обнаружения. Поэтому очень важно сохранять бдительность при отслеживании этих вредоносных методов.

#ParsedReport
09-03-2023

IceFire Ransomware Returns \| Now Targeting Linux Enterprise Networks

https://www.sentinelone.com/labs/icefire-ransomware-returns-now-targeting-linux-enterprise-networks

Actors/Campaigns:
Vice_society
Qilin

Threats:
Icefire
Blackbasta
Hellokitty

Industry:
Entertainment, Financial

Geo:
Iran, Turkey, Pakistan, Emirates

CVEs:
CVE-2022-47986 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- ibm aspera faspex (le4.4.1)


IOCs:
Hash: 1
Url: 3
IP: 1
File: 1
Domain: 1

Softs:
ubuntu, debian

Functions:
OpenSSL

Platforms:
intel, amd64

#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

В последние недели специалисты SentinelLabs заметили, что семейство вымогательских программ IceFire расширяет свои атаки на системы Linux. Этот стратегический сдвиг имеет большое значение, так как он объединяет их с другими группами вымогателей, которые также нацелены на системы Linux. Полезная нагрузка IceFire была развернута с помощью эксплойта для CVE-2022-47986, недавно исправленной уязвимости в программе обмена файлами IBM Aspera Faspex. Полезная нагрузка была размещена на дроплете DigitalOcean и была обнаружена 0/61 движками VirusTotal.

IceFire нацелен на незащищенные части файловой системы, для записи или модификации которых не требуются повышенные привилегии. Он шифрует файлы с расширением .ifire, добавляемым к имени файла, а также отправляет записку с требованием выкупа, содержащую закодированные имя пользователя и пароль для входа на платежный портал, расположенный на скрытом сервисе Tor.

Популярность Ransomware, нацеленных на Linux, растет с 2021 года, когда известные группы ransomware добавили в свой арсенал шифровальщиков Linux. Чтобы преодолеть трудности, связанные с развертыванием вредоносного ПО против систем Linux, злоумышленники прибегают к использованию уязвимостей приложений, таких как уязвимость IBM Aspera, использованная в этих атаках IceFire. Несмотря на атаку на сервер, клиенты все равно смогли загрузить файлы с зашифрованного сервера. Это означает, что разработчики IceFire тщательно выбирали, какие файлы шифровать.

Организациям важно знать об этих тенденциях и принимать меры предосторожности для защиты своих систем. Организациям следует регулярно обновлять свои системы, чтобы убедиться, что они не уязвимы для эксплойтов, следить за своими сетями на предмет вредоносной активности и развернуть антивирусное программное обеспечение для обнаружения и предотвращения атак ransomware.

#ParsedReport
09-03-2023

SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 1

https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-1

Threats:
Formbook
Credential_harvesting_technique
Pyarmor_tool
Asyncrat_rat

IOCs:
File: 6
Url: 2
Command: 1
Hash: 2

Softs:
onenote, microsoft onenote', pyinstaller, virtualbox, hyper-v

Algorithms:
zip

Languages:
python

Links:
https://github.com/extremecoders-re/pyinstxtractor

#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

В последнее время угрозы используют возможности Microsoft OneNote по созданию встроенных файлов для проведения вредоносных атак. С помощью фишинговых писем и заманивания внутри документа OneNote ничего не подозревающих пользователей обманом заставляют загрузить и открыть файлы вредоносного ПО. Это может привести к краже данных или установке выкупного ПО на системы жертв. В декабре 2020 года была обнаружена вредоносная кампания, поставляющая Formbook через троянизированный документ OneNote. Отказ от использования документов с макросами связан с ужесточением компанией Microsoft мер безопасности для файлов, загружаемых из Интернета.

Поддельный PDF-запрос, содержащий исполняемый файл, используется для того, чтобы обмануть пользователей и заставить их думать, что открытый файл является легитимным. Исполняемый файл был создан с помощью PyInstaller, библиотеки, которая упаковывает программы Python в отдельные исполняемые файлы, а для извлечения его содержимого использовался pyinstxtractor. Сценарий с именем contain.pyc содержал основную полезную нагрузку, а также был загружен дополнительный ZIP-пакет, содержащий наборы инструментов ChromeCookiesView и MZCookiesView. Эти бесплатные программы, созданные компанией NirSoft, позволяют извлекать из веб-браузеров файлы cookie, данные истории и информацию о кэше, которые угрозы используют во вредоносных целях.

Угроза также использовала Python-скрипт soax.py, обфусцированный с помощью PyArmor, для сбора паролей веб-браузера и почтового клиента.

Эта угроза подчеркивает, как субъекты угроз используют для осуществления вредоносных атак легитимные открытые и бесплатные инструменты, которые обычно остаются незамеченными средствами защиты. Во второй части этой серии будет рассмотрена цепочка заражения, ведущая к появлению вредоносной программы AsyncRAT, а также обзор других заметных штаммов вредоносного ПО.

#ParsedReport
08-03-2023

ASEC Weekly Malware Statistics (February 27th, 2023 March 5th, 2023)

https://asec.ahnlab.com/en/49018

Actors/Campaigns:
Kimsuky

Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Amadey
Smokeloader
Lockbit
Quasar_rat
Formbook
Clipboard_grabbing_technique

Industry:
Transport

IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18

Softs:
telegram

#ParsedReport
09-03-2023

Cisco Talos Intelligence Blog. Prometei botnet improves modules and exhibits new capabilities in recent updates

https://blog.talosintelligence.com/prometei-botnet-improves

Threats:
Prometei_botnet
Credential_harvesting_technique
Mimikatz_tool
Bluekeep_vuln
Miwalk

Geo:
Japan, Turkey, Brazil, Russian, Ukraine, Indonesia, Russia, Kazakhstan, Belarus

CVEs:
CVE-2019-0708 [Vulners]
CVSS V2: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- microsoft windows server 2008 (r2, -)
- microsoft windows server 2003 (r2, -)
- microsoft windows 7 (-)
- microsoft windows vista (-)
- microsoft windows xp (-)
have more...

TTPs:
Tactics: 5
Technics: 12

IOCs:
File: 27
Path: 6
Url: 22
Domain: 11
IP: 11
Hash: 44

Softs:
postgressql, windows service

Algorithms:
base64, exhibit, xor

Functions:
PowerShell

Languages:
php, python

#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

Prometei - это высокомодульная бот-сеть с червеподобными возможностями, активная с 2016 года. В основном он используется для развертывания майнера криптовалюты Monero, и недавно компания Talos обнаружила модификации в цепочке выполнения, которые автоматизируют обновление компонентов и инфраструктуры и затрудняют анализ защитников. По оценкам, Prometei заразила более 10 000 систем по всему миру, распределяясь пропорционально численности населения - за исключением Бразилии, Индонезии и Турции, а Россия является единственной страной, исключенной из конфигурации Tor.

Ботнет имеет большой репертуар модулей и множество методов распространения, включая программу-распространитель, эксплойт уязвимости BlueKeep и сборку на базе .NET для бокового перемещения. Кроме того, операторы постоянно совершенствуют компоненты и возможности инфраструктуры, добавляя возможности бэкдора, механизм самообновления и веб-оболочку для сохранения. Полезная нагрузка майнера криптовалюты зашифрована в защищенном родительским паролем архиве 7-Zip, а его конфигурационные атрибуты предоставляются C2 через загруженный текстовый файл.

Talos выявил новые тактики, техники и процедуры (ТТП) Prometei, которые расширяют возможности ботнета и еще не были освещены в открытых источниках. К ним относятся алгоритм генерации доменов, расширенная возможность самообновления, дополнительные команды бота, версия веб-сервера Apache в комплекте с веб-оболочкой на базе PHP, а также служба Windows, созданная под именем KtmRmSvc, состоящая из автоматического запуска процесса для исполняемого файла в подкаталоге AppServ Apache2.2\bin\taskhost.exe.

Talos также заметил изменение в текущем поведении Prometeis, в результате которого этот агент теперь исключает только российские выходные узлы из своего модуля подключения Tor - возможно, в ответ на войну между Россией и Украиной - тогда как ранее он избегал нацеливаться на Россию и многие пограничные государства. Это может указывать на желание ограничить заражение и/или связь с любыми российскими узлами со стороны автора ботнета, и что ранее исключенные пограничные государства теперь являются честной игрой.

В целом, Prometei - это сложная бот-сеть, которая постоянно развивается и расширяет свои возможности, что делает ее все более опасной угрозой. Поэтому важно, чтобы пользователи и организации сохраняли бдительность и предпринимали необходимые шаги для защиты от этой угрозы, включая обновление программного обеспечения и мониторинг подозрительной активности в своих сетях.

#ParsedReport
09-03-2023

ASEC weekly malware statistics (20230227 \~ 20230305)

https://asec.ahnlab.com/ko/48847

Actors/Campaigns:
Ta505
Kimsuky

Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Azorult
Amadey
Smokeloader
Lockbit
Gandcrab
Flawedammyy
Clop
Quasar_rat
Xrat_rat
Gold_dragon
Vidar_stealer
Formbook
Clipboard_grabbing_technique

Industry:
Transport

Geo:
Korea

IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18

Softs:
telegram, discord

Links:
https://github.com/tidusjar/xRAT

#ParsedReport
09-03-2023

SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 2

https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-2

Threats:
Asyncrat_rat
Qakbot
Remcos_rat
Html_smuggling_technique
Dbat_loader
Motw_bypass_technique

IOCs:
File: 4
Command: 1
IP: 5
Hash: 8
Url: 2

Softs:
onenote

Algorithms:
gzip, aes-256, cbc, aes, base64, aes-cbc

Functions:
ReadAllText

Win API:
GetProcAddress, LoadLibrary, VirtualProtect, AmsiScanBuffer, EtwEventWrite

Languages:
delphi