#ParsedReport
07-03-2023
Using Memory Analysis to Detect EDR-Nullifying Malware
https://www.volexity.com/blog/2023/03/07/using-memory-analysis-to-detect-edr-nullifying-malware
Actors/Campaigns:
Axiom
Turla
Threats:
Avburner
Windbg_tool
Byovd_technique
Geo:
Chinese
IOCs:
File: 8
Hash: 1
Softs:
volexity volcano
Functions:
PsSetCreateProcessNotifyRoutine, PspSetCreateProcessNotifyRoutine, ExDerefenceCallBackBlock, ExCompareExchangeCallBack
Links:
07-03-2023
Using Memory Analysis to Detect EDR-Nullifying Malware
https://www.volexity.com/blog/2023/03/07/using-memory-analysis-to-detect-edr-nullifying-malware
Actors/Campaigns:
Axiom
Turla
Threats:
Avburner
Windbg_tool
Byovd_technique
Geo:
Chinese
IOCs:
File: 8
Hash: 1
Softs:
volexity volcano
Functions:
PsSetCreateProcessNotifyRoutine, PspSetCreateProcessNotifyRoutine, ExDerefenceCallBackBlock, ExCompareExchangeCallBack
Links:
https://github.com/volatilityfoundation/volatility3https://github.com/hfiref0x/KDUhttps://github.com/volexity/threat-intel/blob/main/2023/2023-03-07%20AVBurner/yara.yarVolexity
Using Memory Analysis to Detect EDR-Nullifying Malware
In the ever-changing cybersecurity landscape, threat actors are forced to evolve and continually modify the tactics, techniques, and procedures (TTPs) they employ to launch and sustain attacks successfully. They are […]
CTT Report Hub
#ParsedReport 07-03-2023 Using Memory Analysis to Detect EDR-Nullifying Malware https://www.volexity.com/blog/2023/03/07/using-memory-analysis-to-detect-edr-nullifying-malware Actors/Campaigns: Axiom Turla Threats: Avburner Windbg_tool Byovd_technique…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Недавно компания Trend Micro обнаружила новую технику атаки под названием AVBurner, направленную на продукты безопасности Qihoo 360. Этот вредоносный код предназначен для удаления двух обратных вызовов из списка и замены их адреса на 0x000000`000000, отключая обратный вызов. Он использует уязвимый драйвер RTCore64.sys для чтения и записи в защищенное пространство памяти и нацелен на любые драйверы со строкой 360 в описании метаданных.
В заключение следует отметить, что злоумышленники постоянно совершенствуют свои тактики, методы и процедуры, чтобы избежать обнаружения. В данном случае AVBurner был использован для обхода продуктов безопасности путем исправления памяти ядра. Регулярный мониторинг памяти системы и активный запуск инструментов анализа памяти может помочь обнаружить вредоносную активность, что позволит администраторам предпринять упреждающие шаги для смягчения любых потенциальных угроз.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Недавно компания Trend Micro обнаружила новую технику атаки под названием AVBurner, направленную на продукты безопасности Qihoo 360. Этот вредоносный код предназначен для удаления двух обратных вызовов из списка и замены их адреса на 0x000000`000000, отключая обратный вызов. Он использует уязвимый драйвер RTCore64.sys для чтения и записи в защищенное пространство памяти и нацелен на любые драйверы со строкой 360 в описании метаданных.
В заключение следует отметить, что злоумышленники постоянно совершенствуют свои тактики, методы и процедуры, чтобы избежать обнаружения. В данном случае AVBurner был использован для обхода продуктов безопасности путем исправления памяти ядра. Регулярный мониторинг памяти системы и активный запуск инструментов анализа памяти может помочь обнаружить вредоносную активность, что позволит администраторам предпринять упреждающие шаги для смягчения любых потенциальных угроз.
#ParsedReport
07-03-2023
Pandas with a Soul: Chinese Espionage Attacks Against Southeast Asian Government Entities
https://research.checkpoint.com/2023/pandas-with-a-soul-chinese-espionage-attacks-against-southeast-asian-government-entities
Actors/Campaigns:
Sharppanda (motivation: cyber_espionage)
Tick
Comment_crew
Redfoxtrot
Naikon
Threats:
Soulsearcher
Victorydll
8t_dropper
Dll_hijacking_technique
Industry:
Healthcare, Government
Geo:
Vietnam, Asian, Chinese, Thailand, Indonesia, Asia, Vietnamese
IOCs:
File: 7
Hash: 24
Registry: 9
IP: 12
Domain: 1
Softs:
internet explorer
Algorithms:
lzma, base64, xor, rc4
Win API:
NetUserGetInfo, GetTickCount
Languages:
php
07-03-2023
Pandas with a Soul: Chinese Espionage Attacks Against Southeast Asian Government Entities
https://research.checkpoint.com/2023/pandas-with-a-soul-chinese-espionage-attacks-against-southeast-asian-government-entities
Actors/Campaigns:
Sharppanda (motivation: cyber_espionage)
Tick
Comment_crew
Redfoxtrot
Naikon
Threats:
Soulsearcher
Victorydll
8t_dropper
Dll_hijacking_technique
Industry:
Healthcare, Government
Geo:
Vietnam, Asian, Chinese, Thailand, Indonesia, Asia, Vietnamese
IOCs:
File: 7
Hash: 24
Registry: 9
IP: 12
Domain: 1
Softs:
internet explorer
Algorithms:
lzma, base64, xor, rc4
Win API:
NetUserGetInfo, GetTickCount
Languages:
php
Check Point Research
Pandas with a Soul: Chinese Espionage Attacks Against Southeast Asian Government Entities - Check Point Research
Executive summary In 2021, Check Point Research published a report on a previously undisclosed toolset used by Sharp Panda, a long-running Chinese cyber-espionage operation targeting Southeast Asian government entities. Since then, we have continued to track…
CTT Report Hub
#ParsedReport 07-03-2023 Pandas with a Soul: Chinese Espionage Attacks Against Southeast Asian Government Entities https://research.checkpoint.com/2023/pandas-with-a-soul-chinese-espionage-attacks-against-southeast-asian-government-entities Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Sharp Panda - это давняя китайская операция кибершпионажа, направленная на правительственные организации Юго-Восточной Азии с 2021 года. В конце 2022 года вектор заражения, схожий с предыдущими операциями Sharp Panda, был использован для атаки на высокопоставленную правительственную организацию в регионе. Полезной нагрузкой этой атаки была новая версия загрузчика SoulSearcher, который в конечном итоге загружал модульный фреймворк Soul.
Вредоносная структура Soul была замечена в кампаниях шпионажа, направленных на оборонный сектор, здравоохранение и сектор ИКТ в Юго-Восточной Азии с 2017 года. Атрибуция этих атак затруднена, но их можно отнести к APT-группе с китайским происхождением. Для получения первоначального доступа к целевым сетям используются фишинговые письма, а полезная нагрузка, наблюдаемая в кампаниях Sharp Panda, включает RoyalRoad RTF, пользовательский загрузчик DLL, и VictoryDLL, пользовательское и уникальное вредоносное ПО.
В начале 2023 года была замечена другая полезная нагрузка: модульный бэкдор Soul. Загрузчик сбрасывается с помощью RoyalRoad RTF и собирает данные с компьютера жертвы, прежде чем скачать и загрузить второй этап загрузчика SoulSearcher. Существует несколько вариантов SoulSearcher в зависимости от конфигурации и расположения полезной нагрузки. Он использует сжатие LZMA для распаковки сжатого модуля и рефлекторной загрузки DLL основного модуля Soul в память.
Главный модуль Soul отвечает за связь с C&C-сервером, и его основная задача - принимать и загружать дополнительные модули. Он имеет продвинутую функцию OpSec для смешивания коммуникационного потока с общим трафиком и снижения вероятности обнаружения. Бэкдор также содержит функцию, напоминающую радиомолчание, когда действующие лица могут указать определенные часы в неделю, когда бэкдору не разрешается общаться с сервером C&C. Он способен автоматически обновляться и выполнять определенные действия перед основной активностью бэкдора. Команды, поддерживаемые бэкдором, в основном направлены на загрузку дополнительных модулей и лишены какой-либо общей функциональности бэкдора.
Набор RoyalRoad RTF является предпочтительным инструментом среди китайских APT-групп и по-прежнему используется. C&C-серверы постоянно возвращают полезную нагрузку в период 01:00-08:00 UTC с понедельника по пятницу, что позволяет предположить рабочее время злоумышленников. Исследователи Symantec обнаружили набор инструментов APT30 в сети одной из организаций, атакованных с помощью фреймворка Soul, что указывает на то, что эта деятельность, вероятно, является операцией шпионажа, осуществляемой хорошо обеспеченными ресурсами и, возможно, национальными государственными субъектами угроз.
В данном отчете подробно рассматривается цепочка заражения семейства вредоносных программ Soul, а также ТТП и инструменты, использовавшиеся в кампании шпионажа против государственных структур Юго-Восточной Азии. Хотя структура Soul используется как минимум с 2017 года, создатели угроз постоянно обновляют и совершенствуют ее архитектуру и возможности. На основании технических данных, представленных в нашем исследовании, мы считаем, что эта кампания организована продвинутыми субъектами угроз, поддерживаемыми Китаем.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Sharp Panda - это давняя китайская операция кибершпионажа, направленная на правительственные организации Юго-Восточной Азии с 2021 года. В конце 2022 года вектор заражения, схожий с предыдущими операциями Sharp Panda, был использован для атаки на высокопоставленную правительственную организацию в регионе. Полезной нагрузкой этой атаки была новая версия загрузчика SoulSearcher, который в конечном итоге загружал модульный фреймворк Soul.
Вредоносная структура Soul была замечена в кампаниях шпионажа, направленных на оборонный сектор, здравоохранение и сектор ИКТ в Юго-Восточной Азии с 2017 года. Атрибуция этих атак затруднена, но их можно отнести к APT-группе с китайским происхождением. Для получения первоначального доступа к целевым сетям используются фишинговые письма, а полезная нагрузка, наблюдаемая в кампаниях Sharp Panda, включает RoyalRoad RTF, пользовательский загрузчик DLL, и VictoryDLL, пользовательское и уникальное вредоносное ПО.
В начале 2023 года была замечена другая полезная нагрузка: модульный бэкдор Soul. Загрузчик сбрасывается с помощью RoyalRoad RTF и собирает данные с компьютера жертвы, прежде чем скачать и загрузить второй этап загрузчика SoulSearcher. Существует несколько вариантов SoulSearcher в зависимости от конфигурации и расположения полезной нагрузки. Он использует сжатие LZMA для распаковки сжатого модуля и рефлекторной загрузки DLL основного модуля Soul в память.
Главный модуль Soul отвечает за связь с C&C-сервером, и его основная задача - принимать и загружать дополнительные модули. Он имеет продвинутую функцию OpSec для смешивания коммуникационного потока с общим трафиком и снижения вероятности обнаружения. Бэкдор также содержит функцию, напоминающую радиомолчание, когда действующие лица могут указать определенные часы в неделю, когда бэкдору не разрешается общаться с сервером C&C. Он способен автоматически обновляться и выполнять определенные действия перед основной активностью бэкдора. Команды, поддерживаемые бэкдором, в основном направлены на загрузку дополнительных модулей и лишены какой-либо общей функциональности бэкдора.
Набор RoyalRoad RTF является предпочтительным инструментом среди китайских APT-групп и по-прежнему используется. C&C-серверы постоянно возвращают полезную нагрузку в период 01:00-08:00 UTC с понедельника по пятницу, что позволяет предположить рабочее время злоумышленников. Исследователи Symantec обнаружили набор инструментов APT30 в сети одной из организаций, атакованных с помощью фреймворка Soul, что указывает на то, что эта деятельность, вероятно, является операцией шпионажа, осуществляемой хорошо обеспеченными ресурсами и, возможно, национальными государственными субъектами угроз.
В данном отчете подробно рассматривается цепочка заражения семейства вредоносных программ Soul, а также ТТП и инструменты, использовавшиеся в кампании шпионажа против государственных структур Юго-Восточной Азии. Хотя структура Soul используется как минимум с 2017 года, создатели угроз постоянно обновляют и совершенствуют ее архитектуру и возможности. На основании технических данных, представленных в нашем исследовании, мы считаем, что эта кампания организована продвинутыми субъектами угроз, поддерживаемыми Китаем.
#ParsedReport
07-03-2023
Lazarus Group Attack Case Using Vulnerability of Certificate Software Commonly Used by Public Institutions and Universities
https://asec.ahnlab.com/en/48810
Actors/Campaigns:
Lazarus
Threats:
Kisa
Byovd_technique
Lazardoor
Timestomp_technique
Industry:
Financial, Education
Geo:
Taiwanese, Korean, Korea
TTPs:
Tactics: 14
Technics: 10
IOCs:
File: 17
Path: 25
IP: 7
Url: 3
Domain: 6
Hash: 7
07-03-2023
Lazarus Group Attack Case Using Vulnerability of Certificate Software Commonly Used by Public Institutions and Universities
https://asec.ahnlab.com/en/48810
Actors/Campaigns:
Lazarus
Threats:
Kisa
Byovd_technique
Lazardoor
Timestomp_technique
Industry:
Financial, Education
Geo:
Taiwanese, Korean, Korea
TTPs:
Tactics: 14
Technics: 10
IOCs:
File: 17
Path: 25
IP: 7
Url: 3
Domain: 6
Hash: 7
#ParsedReport
09-03-2023
Malvertising through search engines
https://securelist.com/malvertising-through-search-engines/108996
Threats:
Rhadamanthys
Redline_stealer
Typosquatting_technique
Lolbas_technique
IOCs:
Command: 3
File: 2
Url: 4
Domain: 49
IP: 1
Hash: 5
Softs:
net framework
Algorithms:
zip, base64, gzip, aes-cbc, aes
Functions:
WinAPI
Win API:
CreateProcessW, WriteFile, Decompress
Links:
09-03-2023
Malvertising through search engines
https://securelist.com/malvertising-through-search-engines/108996
Threats:
Rhadamanthys
Redline_stealer
Typosquatting_technique
Lolbas_technique
IOCs:
Command: 3
File: 2
Url: 4
Domain: 49
IP: 1
Hash: 5
Softs:
net framework
Algorithms:
zip, base64, gzip, aes-cbc, aes
Functions:
WinAPI
Win API:
CreateProcessW, WriteFile, Decompress
Links:
https://opentip.kaspersky.com/https%3A%2F%2Fgithub.com%2Fsup6724%2Fblender3d13%2Freleases%2Fdownload%2Fupdates%2Fblender-3.4.1-windows-x64.zip/?utm\_source=SL&utm\_medium=SL&utm\_campaign=SLSecurelist
Malvertising in Google search results delivering stealers
Kaspersky observes a growth in malvertising activity that exploits Google search ads to promote fake software websites that deliver stealers, such as RedLine and Rhadamantys.
CTT Report Hub
#ParsedReport 09-03-2023 Malvertising through search engines https://securelist.com/malvertising-through-search-engines/108996 Threats: Rhadamanthys Redline_stealer Typosquatting_technique Lolbas_technique IOCs: Command: 3 File: 2 Url: 4 Domain: 49 IP:…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последние месяцы появились вредоносные кампании, использующие рекламу Google в качестве средства распространения и доставки вредоносных программ. Было обнаружено, что два различных похитителя, Rhadamanthys и RedLine, используют эту технику. Эти угрожающие субъекты создают копии веб-сайтов легитимного программного обеспечения, используя при этом опечатки или комбосквоттинг, чтобы сайты выглядели как настоящие для конечных пользователей. Содержание и дизайн этих поддельных веб-страниц идентичны оригиналам. После создания поддельных сайтов субъекты угроз оплачивают продвижение в поисковых системах, чтобы их вредоносные сайты попадали в верхние строчки результатов поиска.
Вредоносная полезная нагрузка распространяется через эти раскрученные сайты, а размер оригинального установщика Blender 3D MSI и вредоносного загрузчика составляет 657 МБ. Вредоносный загрузчик раздувается нежелательными байтами, в результате чего его размер в раздутом виде составляет около 330 КБ. При запуске начальная программа установки запускает одновременно вредоносный PE-файл и оригинальный Blender 3D MSI, пытаясь замаскировать вредоносную полезную нагрузку. Затем полезная нагрузка загружается в недолговечный подпроцесс, известный как загрузчик, и часто хранится на том же сайте, что и целевая страница, или на общедоступных сервисах, таких как MediaFire или GitHub.
Мы наблюдаем рост распространения семейств вредоносных программ через рекламные кампании Google Ads, в частности через поисковые объявления. Угрозы используют обманные методы, такие как typosquatting и combosquatting, чтобы заманить жертв, и оплачивают рекламу для их продвижения. В некоторых случаях вместе с вредоносной полезной нагрузкой устанавливается легитимное программное обеспечение. Часто встречающиеся вредоносные полезные нагрузки включают вредоносные программы типа stealer, такие как RedLine и печально известный Rhadamanthys.
Методы вредоносной рекламы быстро становятся популярными среди субъектов угроз, поэтому как предприятиям, так и частным лицам необходимо знать о потенциальных рисках, связанных с этими угрозами. Важно придерживаться безопасного поведения в Интернете, например, не переходить по подозрительным ссылкам и веб-сайтам, а также следить за тем, чтобы на вашем компьютере были установлены последние обновления безопасности и антивирусное программное обеспечение.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последние месяцы появились вредоносные кампании, использующие рекламу Google в качестве средства распространения и доставки вредоносных программ. Было обнаружено, что два различных похитителя, Rhadamanthys и RedLine, используют эту технику. Эти угрожающие субъекты создают копии веб-сайтов легитимного программного обеспечения, используя при этом опечатки или комбосквоттинг, чтобы сайты выглядели как настоящие для конечных пользователей. Содержание и дизайн этих поддельных веб-страниц идентичны оригиналам. После создания поддельных сайтов субъекты угроз оплачивают продвижение в поисковых системах, чтобы их вредоносные сайты попадали в верхние строчки результатов поиска.
Вредоносная полезная нагрузка распространяется через эти раскрученные сайты, а размер оригинального установщика Blender 3D MSI и вредоносного загрузчика составляет 657 МБ. Вредоносный загрузчик раздувается нежелательными байтами, в результате чего его размер в раздутом виде составляет около 330 КБ. При запуске начальная программа установки запускает одновременно вредоносный PE-файл и оригинальный Blender 3D MSI, пытаясь замаскировать вредоносную полезную нагрузку. Затем полезная нагрузка загружается в недолговечный подпроцесс, известный как загрузчик, и часто хранится на том же сайте, что и целевая страница, или на общедоступных сервисах, таких как MediaFire или GitHub.
Мы наблюдаем рост распространения семейств вредоносных программ через рекламные кампании Google Ads, в частности через поисковые объявления. Угрозы используют обманные методы, такие как typosquatting и combosquatting, чтобы заманить жертв, и оплачивают рекламу для их продвижения. В некоторых случаях вместе с вредоносной полезной нагрузкой устанавливается легитимное программное обеспечение. Часто встречающиеся вредоносные полезные нагрузки включают вредоносные программы типа stealer, такие как RedLine и печально известный Rhadamanthys.
Методы вредоносной рекламы быстро становятся популярными среди субъектов угроз, поэтому как предприятиям, так и частным лицам необходимо знать о потенциальных рисках, связанных с этими угрозами. Важно придерживаться безопасного поведения в Интернете, например, не переходить по подозрительным ссылкам и веб-сайтам, а также следить за тем, чтобы на вашем компьютере были установлены последние обновления безопасности и антивирусное программное обеспечение.
#ParsedReport
09-03-2023
SpiderLabs Blog. OneNote Spear-Phishing Campaign
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/onenote-spear-phishing-campaign
Threats:
Qakbot
Xworm_rat
Icedid
Asyncrat_rat
Process_injection_technique
TTPs:
Tactics: 6
Technics: 21
IOCs:
Path: 1
File: 8
Softs:
onenote
Languages:
javascript
Platforms:
intel
Links:
09-03-2023
SpiderLabs Blog. OneNote Spear-Phishing Campaign
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/onenote-spear-phishing-campaign
Threats:
Qakbot
Xworm_rat
Icedid
Asyncrat_rat
Process_injection_technique
TTPs:
Tactics: 6
Technics: 21
IOCs:
Path: 1
File: 8
Softs:
onenote
Languages:
javascript
Platforms:
intel
Links:
https://github.com/SpiderLabs-Threat-Ops/SpiderLabs-Threat-Hunt/tree/main/Threat%20Indicators/OneNote\_Campaign\_February2023Trustwave
OneNote Spear-Phishing Campaign | Trustwave
While the malware payload can change, the techniques have generally been the same. The recent uptrend of the OneNote spear phishing campaign that SpiderLabs has observed since December 2022 has led us to additional investigations on this threat.
CTT Report Hub
#ParsedReport 09-03-2023 SpiderLabs Blog. OneNote Spear-Phishing Campaign https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/onenote-spear-phishing-campaign Threats: Qakbot Xworm_rat Icedid Asyncrat_rat Process_injection_technique TTPs: Tactics:…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Недавние расследования, проведенные Trustwave SpiderLabs, показали, что OneNote использовался в качестве механизма доставки вредоносного ПО. Эта техника часто используется в фишинговых кампаниях, число которых возросло с декабря 2022 года. Наблюдаемые полезные нагрузки обычно включают Qakbot, XWorm, Icedid и AsyncRAT.
Цепочки заражения в целом похожи: все начинается с выполнения файла Open.cmd, встроенного в документ OneNote, который вызывает колыбель загрузки PowerShell. Это загружает и расшифровывает полезную нагрузку, содержащую Qbot DLL, которая затем выполняется с помощью Rundll32.exe. Дампы памяти показывают, что полезная нагрузка содержит название кампании, постоянство, идентификатор бота жертвы и C2-запросы.
SpiderLabs наблюдала использование документов-приманок OneNote для других вариантов вредоносного ПО, таких как XWorm и Icedid. Получив доступ с помощью фишинга, противник должен создать бэкдор и обеспечить устойчивость, чтобы избежать обнаружения. Поэтому очень важно сохранять бдительность при отслеживании этих вредоносных методов.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Недавние расследования, проведенные Trustwave SpiderLabs, показали, что OneNote использовался в качестве механизма доставки вредоносного ПО. Эта техника часто используется в фишинговых кампаниях, число которых возросло с декабря 2022 года. Наблюдаемые полезные нагрузки обычно включают Qakbot, XWorm, Icedid и AsyncRAT.
Цепочки заражения в целом похожи: все начинается с выполнения файла Open.cmd, встроенного в документ OneNote, который вызывает колыбель загрузки PowerShell. Это загружает и расшифровывает полезную нагрузку, содержащую Qbot DLL, которая затем выполняется с помощью Rundll32.exe. Дампы памяти показывают, что полезная нагрузка содержит название кампании, постоянство, идентификатор бота жертвы и C2-запросы.
SpiderLabs наблюдала использование документов-приманок OneNote для других вариантов вредоносного ПО, таких как XWorm и Icedid. Получив доступ с помощью фишинга, противник должен создать бэкдор и обеспечить устойчивость, чтобы избежать обнаружения. Поэтому очень важно сохранять бдительность при отслеживании этих вредоносных методов.
#ParsedReport
09-03-2023
IceFire Ransomware Returns \| Now Targeting Linux Enterprise Networks
https://www.sentinelone.com/labs/icefire-ransomware-returns-now-targeting-linux-enterprise-networks
Actors/Campaigns:
Vice_society
Qilin
Threats:
Icefire
Blackbasta
Hellokitty
Industry:
Entertainment, Financial
Geo:
Iran, Turkey, Pakistan, Emirates
CVEs:
CVE-2022-47986 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- ibm aspera faspex (le4.4.1)
IOCs:
Hash: 1
Url: 3
IP: 1
File: 1
Domain: 1
Softs:
ubuntu, debian
Functions:
OpenSSL
Platforms:
intel, amd64
09-03-2023
IceFire Ransomware Returns \| Now Targeting Linux Enterprise Networks
https://www.sentinelone.com/labs/icefire-ransomware-returns-now-targeting-linux-enterprise-networks
Actors/Campaigns:
Vice_society
Qilin
Threats:
Icefire
Blackbasta
Hellokitty
Industry:
Entertainment, Financial
Geo:
Iran, Turkey, Pakistan, Emirates
CVEs:
CVE-2022-47986 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- ibm aspera faspex (le4.4.1)
IOCs:
Hash: 1
Url: 3
IP: 1
File: 1
Domain: 1
Softs:
ubuntu, debian
Functions:
OpenSSL
Platforms:
intel, amd64
SentinelOne
IceFire Ransomware Returns | Now Targeting Linux Enterprise Networks
New Linux version of the IceFire ransomware have been observed in recent network intrusions of media and entertainment enterprises.
CTT Report Hub
#ParsedReport 09-03-2023 IceFire Ransomware Returns \| Now Targeting Linux Enterprise Networks https://www.sentinelone.com/labs/icefire-ransomware-returns-now-targeting-linux-enterprise-networks Actors/Campaigns: Vice_society Qilin Threats: Icefire Blackbasta…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последние недели специалисты SentinelLabs заметили, что семейство вымогательских программ IceFire расширяет свои атаки на системы Linux. Этот стратегический сдвиг имеет большое значение, так как он объединяет их с другими группами вымогателей, которые также нацелены на системы Linux. Полезная нагрузка IceFire была развернута с помощью эксплойта для CVE-2022-47986, недавно исправленной уязвимости в программе обмена файлами IBM Aspera Faspex. Полезная нагрузка была размещена на дроплете DigitalOcean и была обнаружена 0/61 движками VirusTotal.
IceFire нацелен на незащищенные части файловой системы, для записи или модификации которых не требуются повышенные привилегии. Он шифрует файлы с расширением .ifire, добавляемым к имени файла, а также отправляет записку с требованием выкупа, содержащую закодированные имя пользователя и пароль для входа на платежный портал, расположенный на скрытом сервисе Tor.
Популярность Ransomware, нацеленных на Linux, растет с 2021 года, когда известные группы ransomware добавили в свой арсенал шифровальщиков Linux. Чтобы преодолеть трудности, связанные с развертыванием вредоносного ПО против систем Linux, злоумышленники прибегают к использованию уязвимостей приложений, таких как уязвимость IBM Aspera, использованная в этих атаках IceFire. Несмотря на атаку на сервер, клиенты все равно смогли загрузить файлы с зашифрованного сервера. Это означает, что разработчики IceFire тщательно выбирали, какие файлы шифровать.
Организациям важно знать об этих тенденциях и принимать меры предосторожности для защиты своих систем. Организациям следует регулярно обновлять свои системы, чтобы убедиться, что они не уязвимы для эксплойтов, следить за своими сетями на предмет вредоносной активности и развернуть антивирусное программное обеспечение для обнаружения и предотвращения атак ransomware.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последние недели специалисты SentinelLabs заметили, что семейство вымогательских программ IceFire расширяет свои атаки на системы Linux. Этот стратегический сдвиг имеет большое значение, так как он объединяет их с другими группами вымогателей, которые также нацелены на системы Linux. Полезная нагрузка IceFire была развернута с помощью эксплойта для CVE-2022-47986, недавно исправленной уязвимости в программе обмена файлами IBM Aspera Faspex. Полезная нагрузка была размещена на дроплете DigitalOcean и была обнаружена 0/61 движками VirusTotal.
IceFire нацелен на незащищенные части файловой системы, для записи или модификации которых не требуются повышенные привилегии. Он шифрует файлы с расширением .ifire, добавляемым к имени файла, а также отправляет записку с требованием выкупа, содержащую закодированные имя пользователя и пароль для входа на платежный портал, расположенный на скрытом сервисе Tor.
Популярность Ransomware, нацеленных на Linux, растет с 2021 года, когда известные группы ransomware добавили в свой арсенал шифровальщиков Linux. Чтобы преодолеть трудности, связанные с развертыванием вредоносного ПО против систем Linux, злоумышленники прибегают к использованию уязвимостей приложений, таких как уязвимость IBM Aspera, использованная в этих атаках IceFire. Несмотря на атаку на сервер, клиенты все равно смогли загрузить файлы с зашифрованного сервера. Это означает, что разработчики IceFire тщательно выбирали, какие файлы шифровать.
Организациям важно знать об этих тенденциях и принимать меры предосторожности для защиты своих систем. Организациям следует регулярно обновлять свои системы, чтобы убедиться, что они не уязвимы для эксплойтов, следить за своими сетями на предмет вредоносной активности и развернуть антивирусное программное обеспечение для обнаружения и предотвращения атак ransomware.
#ParsedReport
09-03-2023
SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 1
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-1
Threats:
Formbook
Credential_harvesting_technique
Pyarmor_tool
Asyncrat_rat
IOCs:
File: 6
Url: 2
Command: 1
Hash: 2
Softs:
onenote, microsoft onenote', pyinstaller, virtualbox, hyper-v
Algorithms:
zip
Languages:
python
Links:
09-03-2023
SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 1
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-1
Threats:
Formbook
Credential_harvesting_technique
Pyarmor_tool
Asyncrat_rat
IOCs:
File: 6
Url: 2
Command: 1
Hash: 2
Softs:
onenote, microsoft onenote', pyinstaller, virtualbox, hyper-v
Algorithms:
zip
Languages:
python
Links:
https://github.com/extremecoders-re/pyinstxtractorTrustwave
A Noteworthy Threat: How Cybercriminals are Abusing OneNote – Part 1 | Trustwave
Threat actors are taking advantage of Microsoft OneNote's ability to embed files and use social engineering techniques, such as phishing emails and lures inside the OneNote document, to get unsuspecting users to download and open malicious files.
CTT Report Hub
#ParsedReport 09-03-2023 SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 1 https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-1 Threats: Formbook…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последнее время угрозы используют возможности Microsoft OneNote по созданию встроенных файлов для проведения вредоносных атак. С помощью фишинговых писем и заманивания внутри документа OneNote ничего не подозревающих пользователей обманом заставляют загрузить и открыть файлы вредоносного ПО. Это может привести к краже данных или установке выкупного ПО на системы жертв. В декабре 2020 года была обнаружена вредоносная кампания, поставляющая Formbook через троянизированный документ OneNote. Отказ от использования документов с макросами связан с ужесточением компанией Microsoft мер безопасности для файлов, загружаемых из Интернета.
Поддельный PDF-запрос, содержащий исполняемый файл, используется для того, чтобы обмануть пользователей и заставить их думать, что открытый файл является легитимным. Исполняемый файл был создан с помощью PyInstaller, библиотеки, которая упаковывает программы Python в отдельные исполняемые файлы, а для извлечения его содержимого использовался pyinstxtractor. Сценарий с именем contain.pyc содержал основную полезную нагрузку, а также был загружен дополнительный ZIP-пакет, содержащий наборы инструментов ChromeCookiesView и MZCookiesView. Эти бесплатные программы, созданные компанией NirSoft, позволяют извлекать из веб-браузеров файлы cookie, данные истории и информацию о кэше, которые угрозы используют во вредоносных целях.
Угроза также использовала Python-скрипт soax.py, обфусцированный с помощью PyArmor, для сбора паролей веб-браузера и почтового клиента.
Эта угроза подчеркивает, как субъекты угроз используют для осуществления вредоносных атак легитимные открытые и бесплатные инструменты, которые обычно остаются незамеченными средствами защиты. Во второй части этой серии будет рассмотрена цепочка заражения, ведущая к появлению вредоносной программы AsyncRAT, а также обзор других заметных штаммов вредоносного ПО.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последнее время угрозы используют возможности Microsoft OneNote по созданию встроенных файлов для проведения вредоносных атак. С помощью фишинговых писем и заманивания внутри документа OneNote ничего не подозревающих пользователей обманом заставляют загрузить и открыть файлы вредоносного ПО. Это может привести к краже данных или установке выкупного ПО на системы жертв. В декабре 2020 года была обнаружена вредоносная кампания, поставляющая Formbook через троянизированный документ OneNote. Отказ от использования документов с макросами связан с ужесточением компанией Microsoft мер безопасности для файлов, загружаемых из Интернета.
Поддельный PDF-запрос, содержащий исполняемый файл, используется для того, чтобы обмануть пользователей и заставить их думать, что открытый файл является легитимным. Исполняемый файл был создан с помощью PyInstaller, библиотеки, которая упаковывает программы Python в отдельные исполняемые файлы, а для извлечения его содержимого использовался pyinstxtractor. Сценарий с именем contain.pyc содержал основную полезную нагрузку, а также был загружен дополнительный ZIP-пакет, содержащий наборы инструментов ChromeCookiesView и MZCookiesView. Эти бесплатные программы, созданные компанией NirSoft, позволяют извлекать из веб-браузеров файлы cookie, данные истории и информацию о кэше, которые угрозы используют во вредоносных целях.
Угроза также использовала Python-скрипт soax.py, обфусцированный с помощью PyArmor, для сбора паролей веб-браузера и почтового клиента.
Эта угроза подчеркивает, как субъекты угроз используют для осуществления вредоносных атак легитимные открытые и бесплатные инструменты, которые обычно остаются незамеченными средствами защиты. Во второй части этой серии будет рассмотрена цепочка заражения, ведущая к появлению вредоносной программы AsyncRAT, а также обзор других заметных штаммов вредоносного ПО.
#ParsedReport
08-03-2023
ASEC Weekly Malware Statistics (February 27th, 2023 March 5th, 2023)
https://asec.ahnlab.com/en/49018
Actors/Campaigns:
Kimsuky
Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Amadey
Smokeloader
Lockbit
Quasar_rat
Formbook
Clipboard_grabbing_technique
Industry:
Transport
IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18
Softs:
telegram
08-03-2023
ASEC Weekly Malware Statistics (February 27th, 2023 March 5th, 2023)
https://asec.ahnlab.com/en/49018
Actors/Campaigns:
Kimsuky
Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Amadey
Smokeloader
Lockbit
Quasar_rat
Formbook
Clipboard_grabbing_technique
Industry:
Transport
IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18
Softs:
telegram
ASEC BLOG
ASEC Weekly Malware Statistics (February 27th, 2023 – March 5th, 2023) - ASEC BLOG
The ASEC (AhnLab Security response Center) uses the ASEC automatic analysis system RAPIT to categorize and respond to known malware. This post will list weekly statistics collected from February 27th, 2023 (Monday) to March 5th, 2023 (Sunday). For the main…
#ParsedReport
09-03-2023
Cisco Talos Intelligence Blog. Prometei botnet improves modules and exhibits new capabilities in recent updates
https://blog.talosintelligence.com/prometei-botnet-improves
Threats:
Prometei_botnet
Credential_harvesting_technique
Mimikatz_tool
Bluekeep_vuln
Miwalk
Geo:
Japan, Turkey, Brazil, Russian, Ukraine, Indonesia, Russia, Kazakhstan, Belarus
CVEs:
CVE-2019-0708 [Vulners]
CVSS V2: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- microsoft windows server 2008 (r2, -)
- microsoft windows server 2003 (r2, -)
- microsoft windows 7 (-)
- microsoft windows vista (-)
- microsoft windows xp (-)
have more...
TTPs:
Tactics: 5
Technics: 12
IOCs:
File: 27
Path: 6
Url: 22
Domain: 11
IP: 11
Hash: 44
Softs:
postgressql, windows service
Algorithms:
base64, exhibit, xor
Functions:
PowerShell
Languages:
php, python
09-03-2023
Cisco Talos Intelligence Blog. Prometei botnet improves modules and exhibits new capabilities in recent updates
https://blog.talosintelligence.com/prometei-botnet-improves
Threats:
Prometei_botnet
Credential_harvesting_technique
Mimikatz_tool
Bluekeep_vuln
Miwalk
Geo:
Japan, Turkey, Brazil, Russian, Ukraine, Indonesia, Russia, Kazakhstan, Belarus
CVEs:
CVE-2019-0708 [Vulners]
CVSS V2: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- microsoft windows server 2008 (r2, -)
- microsoft windows server 2003 (r2, -)
- microsoft windows 7 (-)
- microsoft windows vista (-)
- microsoft windows xp (-)
have more...
TTPs:
Tactics: 5
Technics: 12
IOCs:
File: 27
Path: 6
Url: 22
Domain: 11
IP: 11
Hash: 44
Softs:
postgressql, windows service
Algorithms:
base64, exhibit, xor
Functions:
PowerShell
Languages:
php, python
Cisco Talos
Prometei botnet improves modules and exhibits new capabilities in recent updates
The high-profile botnet, focused on mining cryptocurrency, is back with new Linux versions.
CTT Report Hub
#ParsedReport 09-03-2023 Cisco Talos Intelligence Blog. Prometei botnet improves modules and exhibits new capabilities in recent updates https://blog.talosintelligence.com/prometei-botnet-improves Threats: Prometei_botnet Credential_harvesting_technique…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Prometei - это высокомодульная бот-сеть с червеподобными возможностями, активная с 2016 года. В основном он используется для развертывания майнера криптовалюты Monero, и недавно компания Talos обнаружила модификации в цепочке выполнения, которые автоматизируют обновление компонентов и инфраструктуры и затрудняют анализ защитников. По оценкам, Prometei заразила более 10 000 систем по всему миру, распределяясь пропорционально численности населения - за исключением Бразилии, Индонезии и Турции, а Россия является единственной страной, исключенной из конфигурации Tor.
Ботнет имеет большой репертуар модулей и множество методов распространения, включая программу-распространитель, эксплойт уязвимости BlueKeep и сборку на базе .NET для бокового перемещения. Кроме того, операторы постоянно совершенствуют компоненты и возможности инфраструктуры, добавляя возможности бэкдора, механизм самообновления и веб-оболочку для сохранения. Полезная нагрузка майнера криптовалюты зашифрована в защищенном родительским паролем архиве 7-Zip, а его конфигурационные атрибуты предоставляются C2 через загруженный текстовый файл.
Talos выявил новые тактики, техники и процедуры (ТТП) Prometei, которые расширяют возможности ботнета и еще не были освещены в открытых источниках. К ним относятся алгоритм генерации доменов, расширенная возможность самообновления, дополнительные команды бота, версия веб-сервера Apache в комплекте с веб-оболочкой на базе PHP, а также служба Windows, созданная под именем KtmRmSvc, состоящая из автоматического запуска процесса для исполняемого файла в подкаталоге AppServ Apache2.2\bin\taskhost.exe.
Talos также заметил изменение в текущем поведении Prometeis, в результате которого этот агент теперь исключает только российские выходные узлы из своего модуля подключения Tor - возможно, в ответ на войну между Россией и Украиной - тогда как ранее он избегал нацеливаться на Россию и многие пограничные государства. Это может указывать на желание ограничить заражение и/или связь с любыми российскими узлами со стороны автора ботнета, и что ранее исключенные пограничные государства теперь являются честной игрой.
В целом, Prometei - это сложная бот-сеть, которая постоянно развивается и расширяет свои возможности, что делает ее все более опасной угрозой. Поэтому важно, чтобы пользователи и организации сохраняли бдительность и предпринимали необходимые шаги для защиты от этой угрозы, включая обновление программного обеспечения и мониторинг подозрительной активности в своих сетях.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Prometei - это высокомодульная бот-сеть с червеподобными возможностями, активная с 2016 года. В основном он используется для развертывания майнера криптовалюты Monero, и недавно компания Talos обнаружила модификации в цепочке выполнения, которые автоматизируют обновление компонентов и инфраструктуры и затрудняют анализ защитников. По оценкам, Prometei заразила более 10 000 систем по всему миру, распределяясь пропорционально численности населения - за исключением Бразилии, Индонезии и Турции, а Россия является единственной страной, исключенной из конфигурации Tor.
Ботнет имеет большой репертуар модулей и множество методов распространения, включая программу-распространитель, эксплойт уязвимости BlueKeep и сборку на базе .NET для бокового перемещения. Кроме того, операторы постоянно совершенствуют компоненты и возможности инфраструктуры, добавляя возможности бэкдора, механизм самообновления и веб-оболочку для сохранения. Полезная нагрузка майнера криптовалюты зашифрована в защищенном родительским паролем архиве 7-Zip, а его конфигурационные атрибуты предоставляются C2 через загруженный текстовый файл.
Talos выявил новые тактики, техники и процедуры (ТТП) Prometei, которые расширяют возможности ботнета и еще не были освещены в открытых источниках. К ним относятся алгоритм генерации доменов, расширенная возможность самообновления, дополнительные команды бота, версия веб-сервера Apache в комплекте с веб-оболочкой на базе PHP, а также служба Windows, созданная под именем KtmRmSvc, состоящая из автоматического запуска процесса для исполняемого файла в подкаталоге AppServ Apache2.2\bin\taskhost.exe.
Talos также заметил изменение в текущем поведении Prometeis, в результате которого этот агент теперь исключает только российские выходные узлы из своего модуля подключения Tor - возможно, в ответ на войну между Россией и Украиной - тогда как ранее он избегал нацеливаться на Россию и многие пограничные государства. Это может указывать на желание ограничить заражение и/или связь с любыми российскими узлами со стороны автора ботнета, и что ранее исключенные пограничные государства теперь являются честной игрой.
В целом, Prometei - это сложная бот-сеть, которая постоянно развивается и расширяет свои возможности, что делает ее все более опасной угрозой. Поэтому важно, чтобы пользователи и организации сохраняли бдительность и предпринимали необходимые шаги для защиты от этой угрозы, включая обновление программного обеспечения и мониторинг подозрительной активности в своих сетях.
#ParsedReport
09-03-2023
ASEC weekly malware statistics (20230227 \~ 20230305)
https://asec.ahnlab.com/ko/48847
Actors/Campaigns:
Ta505
Kimsuky
Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Azorult
Amadey
Smokeloader
Lockbit
Gandcrab
Flawedammyy
Clop
Quasar_rat
Xrat_rat
Gold_dragon
Vidar_stealer
Formbook
Clipboard_grabbing_technique
Industry:
Transport
Geo:
Korea
IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18
Softs:
telegram, discord
Links:
09-03-2023
ASEC weekly malware statistics (20230227 \~ 20230305)
https://asec.ahnlab.com/ko/48847
Actors/Campaigns:
Ta505
Kimsuky
Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Azorult
Amadey
Smokeloader
Lockbit
Gandcrab
Flawedammyy
Clop
Quasar_rat
Xrat_rat
Gold_dragon
Vidar_stealer
Formbook
Clipboard_grabbing_technique
Industry:
Transport
Geo:
Korea
IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18
Softs:
telegram, discord
Links:
https://github.com/tidusjar/xRATASEC BLOG
ASEC 주간 악성코드 통계 (20230227 ~ 20230305) - ASEC BLOG
ASEC(AhnLab Security Emergency response Center)에서는 ASEC 자동 분석 시스템 RAPIT 을 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 본 포스팅에서는 2023년 2월 27일 월요일부터 3월 5일 일요일까지 한 주간 수집된 악성코드의 통계를 정리한다. 대분류 상으로는 백도어가 51.4%로 1위를 차지하였으며, 그 다음으로는 인포스틸러가 31.2%, 이어서 다운로더 16.5%, 랜섬웨어 0.9%로…
#ParsedReport
09-03-2023
SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 2
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-2
Threats:
Asyncrat_rat
Qakbot
Remcos_rat
Html_smuggling_technique
Dbat_loader
Motw_bypass_technique
IOCs:
File: 4
Command: 1
IP: 5
Hash: 8
Url: 2
Softs:
onenote
Algorithms:
gzip, aes-256, cbc, aes, base64, aes-cbc
Functions:
ReadAllText
Win API:
GetProcAddress, LoadLibrary, VirtualProtect, AmsiScanBuffer, EtwEventWrite
Languages:
delphi
09-03-2023
SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 2
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-2
Threats:
Asyncrat_rat
Qakbot
Remcos_rat
Html_smuggling_technique
Dbat_loader
Motw_bypass_technique
IOCs:
File: 4
Command: 1
IP: 5
Hash: 8
Url: 2
Softs:
onenote
Algorithms:
gzip, aes-256, cbc, aes, base64, aes-cbc
Functions:
ReadAllText
Win API:
GetProcAddress, LoadLibrary, VirtualProtect, AmsiScanBuffer, EtwEventWrite
Languages:
delphi
Trustwave
A Noteworthy Threat: How Cybercriminals are Abusing OneNote – Part 2
We examined how threat actors abuse a OneNote document to install an infostealer. Part 2 of this series discusses an AsyncRAT infection chain while detailing important parts of the code. We’ll also quickly analyze other notable malware strains such as Qakbot…
CTT Report Hub
#ParsedReport 09-03-2023 SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 2 https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-2 Threats: Asyncrat_rat…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Угрозы все чаще используют документы Microsoft OneNote для запуска вредоносных кампаний. Во второй части этой серии мы рассмотрим цепочку заражения AsyncRAT и изучим другие известные штаммы вредоносного ПО, такие как Qakbot и RemcosRAT.
Для начала загрузчик использует методы уклонения от защиты, чтобы обойти Antimalware Scan Interface (AMSI) и Event Trace for Windows (ETW). Записывая поддельный массив байтов в область памяти AMSI, он заставляет результат сканирования очиститься, позволяя вредоносному коду работать неограниченно. Аналогичным образом передается опкод для отключения функциональности ETW. Это гарантирует, что полезная нагрузка будет выполнена без обнаружения.
Вредоносной полезной нагрузкой является инструмент удаленного доступа (RAT) AsyncRAT с открытым исходным кодом на базе .NET. Его конфигурация шифруется с помощью AES-256 в режиме CBC и предоставляет такие возможности, как кейлоггинг и функции уклонения от защиты. Qakbot использует методы перехвата потока электронной почты для увеличения вероятности того, что пользователи нажмут на вредоносные ссылки или вложения, маскируясь под документ, пришедший из облака. Он также используется для доставки Remcos RAT, а ModiLoader применяется для исключения пути C:\Users из AV-сканирования.
Документы OneNote не включают защиту защищенного просмотра и MOTW (Mark-of-the-Web), что делает их привлекательными для киберпреступников. Поскольку субъекты угроз продолжают адаптироваться к новым методам, вполне вероятно, что в будущем можно будет увидеть больше кампаний, использующих OneNote.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Угрозы все чаще используют документы Microsoft OneNote для запуска вредоносных кампаний. Во второй части этой серии мы рассмотрим цепочку заражения AsyncRAT и изучим другие известные штаммы вредоносного ПО, такие как Qakbot и RemcosRAT.
Для начала загрузчик использует методы уклонения от защиты, чтобы обойти Antimalware Scan Interface (AMSI) и Event Trace for Windows (ETW). Записывая поддельный массив байтов в область памяти AMSI, он заставляет результат сканирования очиститься, позволяя вредоносному коду работать неограниченно. Аналогичным образом передается опкод для отключения функциональности ETW. Это гарантирует, что полезная нагрузка будет выполнена без обнаружения.
Вредоносной полезной нагрузкой является инструмент удаленного доступа (RAT) AsyncRAT с открытым исходным кодом на базе .NET. Его конфигурация шифруется с помощью AES-256 в режиме CBC и предоставляет такие возможности, как кейлоггинг и функции уклонения от защиты. Qakbot использует методы перехвата потока электронной почты для увеличения вероятности того, что пользователи нажмут на вредоносные ссылки или вложения, маскируясь под документ, пришедший из облака. Он также используется для доставки Remcos RAT, а ModiLoader применяется для исключения пути C:\Users из AV-сканирования.
Документы OneNote не включают защиту защищенного просмотра и MOTW (Mark-of-the-Web), что делает их привлекательными для киберпреступников. Поскольку субъекты угроз продолжают адаптироваться к новым методам, вполне вероятно, что в будущем можно будет увидеть больше кампаний, использующих OneNote.
#ParsedReport
09-03-2023
PlugX Malware Being Distributed via Vulnerability Exploitation
https://asec.ahnlab.com/en/49097
Actors/Campaigns:
Red_delta
Axiom
Red_sylvan
Threats:
Plugx_rat
Gh0st_rat
Sliver_tool
Xmrig_miner
Paradise_ransomware
Dll_sideloading_technique
Uac_bypass_technique
Netstat_tool
Malware/win.generic.c5387131
Trojan/win.loader.c5345891
Malware/mdp.download.m1197
Geo:
China, Chinese
CVEs:
CNVD-2022-10270 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- 上海贝锐信息科技股份有限公司 向日葵个人版for Windows 11. (0.0.33)
CNVD-2022-03672 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 0
IOCs:
File: 8
Path: 1
Domain: 4
Hash: 3
Url: 2
Softs:
sunlogin, awesuns, sunlogins, awesun
Functions:
DllMain
09-03-2023
PlugX Malware Being Distributed via Vulnerability Exploitation
https://asec.ahnlab.com/en/49097
Actors/Campaigns:
Red_delta
Axiom
Red_sylvan
Threats:
Plugx_rat
Gh0st_rat
Sliver_tool
Xmrig_miner
Paradise_ransomware
Dll_sideloading_technique
Uac_bypass_technique
Netstat_tool
Malware/win.generic.c5387131
Trojan/win.loader.c5345891
Malware/mdp.download.m1197
Geo:
China, Chinese
CVEs:
CNVD-2022-10270 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- 上海贝锐信息科技股份有限公司 向日葵个人版for Windows 11. (0.0.33)
CNVD-2022-03672 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 0
IOCs:
File: 8
Path: 1
Domain: 4
Hash: 3
Url: 2
Softs:
sunlogin, awesuns, sunlogins, awesun
Functions:
DllMain
ASEC BLOG
PlugX Malware Being Distributed via Vulnerability Exploitation - ASEC BLOG
ASEC (AhnLab Security Emergency response Center) has recently discovered the installation of the PlugX malware through the Chinese remote control programs Sunlogin and Awesun’s remote code execution vulnerability. Sunlogin’s remote code execution vulnerability…
CTT Report Hub
#ParsedReport 09-03-2023 PlugX Malware Being Distributed via Vulnerability Exploitation https://asec.ahnlab.com/en/49097 Actors/Campaigns: Red_delta Axiom Red_sylvan Threats: Plugx_rat Gh0st_rat Sliver_tool Xmrig_miner Paradise_ransomware Dll_sideloading_technique…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Центр экстренного реагирования на чрезвычайные ситуации безопасности AhnLab (ASEC) недавно обнаружил установку вредоносного ПО PlugX через две китайские программы удаленного управления, Sunlogin и AweSun. Уязвимость удаленного выполнения кода в Sunlogin (CNVD-2022-10270 и CNVD-2022-03672) была раскрыта и до сих пор используется для атак. Считается, что аналогичная уязвимость RCE существует и в AweSun. В обоих случаях угрозы использовали уязвимость RCE для выполнения Sliver C2, XMRig CoinMiner и Gh0st RAT. Кроме того, программа Paradise ransomware также распространялась через RCE-уязвимость Sunlogin.
PlugX - это крупный бэкдор, который используется китайскими группами Advanced Persistent Threat (APT). Это вредоносная программа на основе модулей с различными плагинами, которые могут быть использованы для вредоносных действий. Он использует метод боковой загрузки DLL, чтобы избежать обнаружения, и обычно распространяется в виде сжатого файла или дроппера. Команда обнаружила, что программа esetservice.exe имеет функцию, которая загружает файл http_dll.dll в том же каталоге, если выполняется без дополнительного аргумента. Это классический метод боковой загрузки DLL, и PlugX известен тем, что использует этот метод. PlugX распространяется в виде набора, содержащего обычную программу exe, загрузчик DLL и файл данных, содержащий собственно закодированную вредоносную программу.
При анализе кода было обнаружено, что файл http_dll.dll содержит процедуру чтения файла lang.dat, находящегося в том же каталоге, перед его расшифровкой и выполнением. Дроппер маскируется под путь обычных программ и создает вредоносное ПО по пути C:\ProgramData\Windows NT\Windows eset service. Он также использует настройки свойств, чтобы скрыть свое присутствие. В базе данных VirusTotal были найдены вредоносные программы, использующие те же файлы esetservice.exe и http_dll.dll. Этот дроппер создает esetservice.exe, http_dll.dll и lang.dat при выполнении, прежде чем запустить esetservice.exe для окончательной установки и выполнения PlugX.
PlugX постоянно обновляется, и Dr.Web опубликовал отчет о классификации и анализе различных вариантов PlugX в 2020 году. Кроме того, Security Joes рассказал о самых последних обнаруженных вариантах PlugX в 2022 году. Он может использоваться в различных режимах и способен обходить UAC. Он имеет два дополнительных плагина, один для кражи данных буфера обмена, а другой для распространения по RDP. Украденные данные сохраняются в разных файлах в зависимости от вредоносной программы.
Исходя из всего этого, пользователям важно обновить установленное программное обеспечение до последней версии и обновить V3 до последней версии, чтобы предотвратить заражение вредоносным ПО. Если не обновить программное обеспечение, незащищенные системы становятся уязвимыми для атак и могут привести к установке PlugX, который может быть использован для вредоносных действий, таких как регистрация вводимых клавиш, снятие скриншотов и установка дополнительного вредоносного ПО.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Центр экстренного реагирования на чрезвычайные ситуации безопасности AhnLab (ASEC) недавно обнаружил установку вредоносного ПО PlugX через две китайские программы удаленного управления, Sunlogin и AweSun. Уязвимость удаленного выполнения кода в Sunlogin (CNVD-2022-10270 и CNVD-2022-03672) была раскрыта и до сих пор используется для атак. Считается, что аналогичная уязвимость RCE существует и в AweSun. В обоих случаях угрозы использовали уязвимость RCE для выполнения Sliver C2, XMRig CoinMiner и Gh0st RAT. Кроме того, программа Paradise ransomware также распространялась через RCE-уязвимость Sunlogin.
PlugX - это крупный бэкдор, который используется китайскими группами Advanced Persistent Threat (APT). Это вредоносная программа на основе модулей с различными плагинами, которые могут быть использованы для вредоносных действий. Он использует метод боковой загрузки DLL, чтобы избежать обнаружения, и обычно распространяется в виде сжатого файла или дроппера. Команда обнаружила, что программа esetservice.exe имеет функцию, которая загружает файл http_dll.dll в том же каталоге, если выполняется без дополнительного аргумента. Это классический метод боковой загрузки DLL, и PlugX известен тем, что использует этот метод. PlugX распространяется в виде набора, содержащего обычную программу exe, загрузчик DLL и файл данных, содержащий собственно закодированную вредоносную программу.
При анализе кода было обнаружено, что файл http_dll.dll содержит процедуру чтения файла lang.dat, находящегося в том же каталоге, перед его расшифровкой и выполнением. Дроппер маскируется под путь обычных программ и создает вредоносное ПО по пути C:\ProgramData\Windows NT\Windows eset service. Он также использует настройки свойств, чтобы скрыть свое присутствие. В базе данных VirusTotal были найдены вредоносные программы, использующие те же файлы esetservice.exe и http_dll.dll. Этот дроппер создает esetservice.exe, http_dll.dll и lang.dat при выполнении, прежде чем запустить esetservice.exe для окончательной установки и выполнения PlugX.
PlugX постоянно обновляется, и Dr.Web опубликовал отчет о классификации и анализе различных вариантов PlugX в 2020 году. Кроме того, Security Joes рассказал о самых последних обнаруженных вариантах PlugX в 2022 году. Он может использоваться в различных режимах и способен обходить UAC. Он имеет два дополнительных плагина, один для кражи данных буфера обмена, а другой для распространения по RDP. Украденные данные сохраняются в разных файлах в зависимости от вредоносной программы.
Исходя из всего этого, пользователям важно обновить установленное программное обеспечение до последней версии и обновить V3 до последней версии, чтобы предотвратить заражение вредоносным ПО. Если не обновить программное обеспечение, незащищенные системы становятся уязвимыми для атак и могут привести к установке PlugX, который может быть использован для вредоносных действий, таких как регистрация вводимых клавиш, снятие скриншотов и установка дополнительного вредоносного ПО.