#ParsedReport
07-03-2023
Lazarus Group Attack Case Using Vulnerability of Certificate Software Commonly Used by Public Institutions and Universities
https://asec.ahnlab.com/en/48810
Actors/Campaigns:
Lazarus
Threats:
Kisa
Byovd_technique
Lazardoor
Timestomp_technique
Industry:
Financial, Education
Geo:
Taiwanese, Korean, Korea
TTPs:
Tactics: 14
Technics: 10
IOCs:
File: 17
Path: 25
IP: 7
Url: 3
Domain: 6
Hash: 7
07-03-2023
Lazarus Group Attack Case Using Vulnerability of Certificate Software Commonly Used by Public Institutions and Universities
https://asec.ahnlab.com/en/48810
Actors/Campaigns:
Lazarus
Threats:
Kisa
Byovd_technique
Lazardoor
Timestomp_technique
Industry:
Financial, Education
Geo:
Taiwanese, Korean, Korea
TTPs:
Tactics: 14
Technics: 10
IOCs:
File: 17
Path: 25
IP: 7
Url: 3
Domain: 6
Hash: 7
#ParsedReport
09-03-2023
Malvertising through search engines
https://securelist.com/malvertising-through-search-engines/108996
Threats:
Rhadamanthys
Redline_stealer
Typosquatting_technique
Lolbas_technique
IOCs:
Command: 3
File: 2
Url: 4
Domain: 49
IP: 1
Hash: 5
Softs:
net framework
Algorithms:
zip, base64, gzip, aes-cbc, aes
Functions:
WinAPI
Win API:
CreateProcessW, WriteFile, Decompress
Links:
09-03-2023
Malvertising through search engines
https://securelist.com/malvertising-through-search-engines/108996
Threats:
Rhadamanthys
Redline_stealer
Typosquatting_technique
Lolbas_technique
IOCs:
Command: 3
File: 2
Url: 4
Domain: 49
IP: 1
Hash: 5
Softs:
net framework
Algorithms:
zip, base64, gzip, aes-cbc, aes
Functions:
WinAPI
Win API:
CreateProcessW, WriteFile, Decompress
Links:
https://opentip.kaspersky.com/https%3A%2F%2Fgithub.com%2Fsup6724%2Fblender3d13%2Freleases%2Fdownload%2Fupdates%2Fblender-3.4.1-windows-x64.zip/?utm\_source=SL&utm\_medium=SL&utm\_campaign=SLSecurelist
Malvertising in Google search results delivering stealers
Kaspersky observes a growth in malvertising activity that exploits Google search ads to promote fake software websites that deliver stealers, such as RedLine and Rhadamantys.
CTT Report Hub
#ParsedReport 09-03-2023 Malvertising through search engines https://securelist.com/malvertising-through-search-engines/108996 Threats: Rhadamanthys Redline_stealer Typosquatting_technique Lolbas_technique IOCs: Command: 3 File: 2 Url: 4 Domain: 49 IP:…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последние месяцы появились вредоносные кампании, использующие рекламу Google в качестве средства распространения и доставки вредоносных программ. Было обнаружено, что два различных похитителя, Rhadamanthys и RedLine, используют эту технику. Эти угрожающие субъекты создают копии веб-сайтов легитимного программного обеспечения, используя при этом опечатки или комбосквоттинг, чтобы сайты выглядели как настоящие для конечных пользователей. Содержание и дизайн этих поддельных веб-страниц идентичны оригиналам. После создания поддельных сайтов субъекты угроз оплачивают продвижение в поисковых системах, чтобы их вредоносные сайты попадали в верхние строчки результатов поиска.
Вредоносная полезная нагрузка распространяется через эти раскрученные сайты, а размер оригинального установщика Blender 3D MSI и вредоносного загрузчика составляет 657 МБ. Вредоносный загрузчик раздувается нежелательными байтами, в результате чего его размер в раздутом виде составляет около 330 КБ. При запуске начальная программа установки запускает одновременно вредоносный PE-файл и оригинальный Blender 3D MSI, пытаясь замаскировать вредоносную полезную нагрузку. Затем полезная нагрузка загружается в недолговечный подпроцесс, известный как загрузчик, и часто хранится на том же сайте, что и целевая страница, или на общедоступных сервисах, таких как MediaFire или GitHub.
Мы наблюдаем рост распространения семейств вредоносных программ через рекламные кампании Google Ads, в частности через поисковые объявления. Угрозы используют обманные методы, такие как typosquatting и combosquatting, чтобы заманить жертв, и оплачивают рекламу для их продвижения. В некоторых случаях вместе с вредоносной полезной нагрузкой устанавливается легитимное программное обеспечение. Часто встречающиеся вредоносные полезные нагрузки включают вредоносные программы типа stealer, такие как RedLine и печально известный Rhadamanthys.
Методы вредоносной рекламы быстро становятся популярными среди субъектов угроз, поэтому как предприятиям, так и частным лицам необходимо знать о потенциальных рисках, связанных с этими угрозами. Важно придерживаться безопасного поведения в Интернете, например, не переходить по подозрительным ссылкам и веб-сайтам, а также следить за тем, чтобы на вашем компьютере были установлены последние обновления безопасности и антивирусное программное обеспечение.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последние месяцы появились вредоносные кампании, использующие рекламу Google в качестве средства распространения и доставки вредоносных программ. Было обнаружено, что два различных похитителя, Rhadamanthys и RedLine, используют эту технику. Эти угрожающие субъекты создают копии веб-сайтов легитимного программного обеспечения, используя при этом опечатки или комбосквоттинг, чтобы сайты выглядели как настоящие для конечных пользователей. Содержание и дизайн этих поддельных веб-страниц идентичны оригиналам. После создания поддельных сайтов субъекты угроз оплачивают продвижение в поисковых системах, чтобы их вредоносные сайты попадали в верхние строчки результатов поиска.
Вредоносная полезная нагрузка распространяется через эти раскрученные сайты, а размер оригинального установщика Blender 3D MSI и вредоносного загрузчика составляет 657 МБ. Вредоносный загрузчик раздувается нежелательными байтами, в результате чего его размер в раздутом виде составляет около 330 КБ. При запуске начальная программа установки запускает одновременно вредоносный PE-файл и оригинальный Blender 3D MSI, пытаясь замаскировать вредоносную полезную нагрузку. Затем полезная нагрузка загружается в недолговечный подпроцесс, известный как загрузчик, и часто хранится на том же сайте, что и целевая страница, или на общедоступных сервисах, таких как MediaFire или GitHub.
Мы наблюдаем рост распространения семейств вредоносных программ через рекламные кампании Google Ads, в частности через поисковые объявления. Угрозы используют обманные методы, такие как typosquatting и combosquatting, чтобы заманить жертв, и оплачивают рекламу для их продвижения. В некоторых случаях вместе с вредоносной полезной нагрузкой устанавливается легитимное программное обеспечение. Часто встречающиеся вредоносные полезные нагрузки включают вредоносные программы типа stealer, такие как RedLine и печально известный Rhadamanthys.
Методы вредоносной рекламы быстро становятся популярными среди субъектов угроз, поэтому как предприятиям, так и частным лицам необходимо знать о потенциальных рисках, связанных с этими угрозами. Важно придерживаться безопасного поведения в Интернете, например, не переходить по подозрительным ссылкам и веб-сайтам, а также следить за тем, чтобы на вашем компьютере были установлены последние обновления безопасности и антивирусное программное обеспечение.
#ParsedReport
09-03-2023
SpiderLabs Blog. OneNote Spear-Phishing Campaign
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/onenote-spear-phishing-campaign
Threats:
Qakbot
Xworm_rat
Icedid
Asyncrat_rat
Process_injection_technique
TTPs:
Tactics: 6
Technics: 21
IOCs:
Path: 1
File: 8
Softs:
onenote
Languages:
javascript
Platforms:
intel
Links:
09-03-2023
SpiderLabs Blog. OneNote Spear-Phishing Campaign
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/onenote-spear-phishing-campaign
Threats:
Qakbot
Xworm_rat
Icedid
Asyncrat_rat
Process_injection_technique
TTPs:
Tactics: 6
Technics: 21
IOCs:
Path: 1
File: 8
Softs:
onenote
Languages:
javascript
Platforms:
intel
Links:
https://github.com/SpiderLabs-Threat-Ops/SpiderLabs-Threat-Hunt/tree/main/Threat%20Indicators/OneNote\_Campaign\_February2023Trustwave
OneNote Spear-Phishing Campaign | Trustwave
While the malware payload can change, the techniques have generally been the same. The recent uptrend of the OneNote spear phishing campaign that SpiderLabs has observed since December 2022 has led us to additional investigations on this threat.
CTT Report Hub
#ParsedReport 09-03-2023 SpiderLabs Blog. OneNote Spear-Phishing Campaign https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/onenote-spear-phishing-campaign Threats: Qakbot Xworm_rat Icedid Asyncrat_rat Process_injection_technique TTPs: Tactics:…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Недавние расследования, проведенные Trustwave SpiderLabs, показали, что OneNote использовался в качестве механизма доставки вредоносного ПО. Эта техника часто используется в фишинговых кампаниях, число которых возросло с декабря 2022 года. Наблюдаемые полезные нагрузки обычно включают Qakbot, XWorm, Icedid и AsyncRAT.
Цепочки заражения в целом похожи: все начинается с выполнения файла Open.cmd, встроенного в документ OneNote, который вызывает колыбель загрузки PowerShell. Это загружает и расшифровывает полезную нагрузку, содержащую Qbot DLL, которая затем выполняется с помощью Rundll32.exe. Дампы памяти показывают, что полезная нагрузка содержит название кампании, постоянство, идентификатор бота жертвы и C2-запросы.
SpiderLabs наблюдала использование документов-приманок OneNote для других вариантов вредоносного ПО, таких как XWorm и Icedid. Получив доступ с помощью фишинга, противник должен создать бэкдор и обеспечить устойчивость, чтобы избежать обнаружения. Поэтому очень важно сохранять бдительность при отслеживании этих вредоносных методов.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Недавние расследования, проведенные Trustwave SpiderLabs, показали, что OneNote использовался в качестве механизма доставки вредоносного ПО. Эта техника часто используется в фишинговых кампаниях, число которых возросло с декабря 2022 года. Наблюдаемые полезные нагрузки обычно включают Qakbot, XWorm, Icedid и AsyncRAT.
Цепочки заражения в целом похожи: все начинается с выполнения файла Open.cmd, встроенного в документ OneNote, который вызывает колыбель загрузки PowerShell. Это загружает и расшифровывает полезную нагрузку, содержащую Qbot DLL, которая затем выполняется с помощью Rundll32.exe. Дампы памяти показывают, что полезная нагрузка содержит название кампании, постоянство, идентификатор бота жертвы и C2-запросы.
SpiderLabs наблюдала использование документов-приманок OneNote для других вариантов вредоносного ПО, таких как XWorm и Icedid. Получив доступ с помощью фишинга, противник должен создать бэкдор и обеспечить устойчивость, чтобы избежать обнаружения. Поэтому очень важно сохранять бдительность при отслеживании этих вредоносных методов.
#ParsedReport
09-03-2023
IceFire Ransomware Returns \| Now Targeting Linux Enterprise Networks
https://www.sentinelone.com/labs/icefire-ransomware-returns-now-targeting-linux-enterprise-networks
Actors/Campaigns:
Vice_society
Qilin
Threats:
Icefire
Blackbasta
Hellokitty
Industry:
Entertainment, Financial
Geo:
Iran, Turkey, Pakistan, Emirates
CVEs:
CVE-2022-47986 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- ibm aspera faspex (le4.4.1)
IOCs:
Hash: 1
Url: 3
IP: 1
File: 1
Domain: 1
Softs:
ubuntu, debian
Functions:
OpenSSL
Platforms:
intel, amd64
09-03-2023
IceFire Ransomware Returns \| Now Targeting Linux Enterprise Networks
https://www.sentinelone.com/labs/icefire-ransomware-returns-now-targeting-linux-enterprise-networks
Actors/Campaigns:
Vice_society
Qilin
Threats:
Icefire
Blackbasta
Hellokitty
Industry:
Entertainment, Financial
Geo:
Iran, Turkey, Pakistan, Emirates
CVEs:
CVE-2022-47986 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- ibm aspera faspex (le4.4.1)
IOCs:
Hash: 1
Url: 3
IP: 1
File: 1
Domain: 1
Softs:
ubuntu, debian
Functions:
OpenSSL
Platforms:
intel, amd64
SentinelOne
IceFire Ransomware Returns | Now Targeting Linux Enterprise Networks
New Linux version of the IceFire ransomware have been observed in recent network intrusions of media and entertainment enterprises.
CTT Report Hub
#ParsedReport 09-03-2023 IceFire Ransomware Returns \| Now Targeting Linux Enterprise Networks https://www.sentinelone.com/labs/icefire-ransomware-returns-now-targeting-linux-enterprise-networks Actors/Campaigns: Vice_society Qilin Threats: Icefire Blackbasta…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последние недели специалисты SentinelLabs заметили, что семейство вымогательских программ IceFire расширяет свои атаки на системы Linux. Этот стратегический сдвиг имеет большое значение, так как он объединяет их с другими группами вымогателей, которые также нацелены на системы Linux. Полезная нагрузка IceFire была развернута с помощью эксплойта для CVE-2022-47986, недавно исправленной уязвимости в программе обмена файлами IBM Aspera Faspex. Полезная нагрузка была размещена на дроплете DigitalOcean и была обнаружена 0/61 движками VirusTotal.
IceFire нацелен на незащищенные части файловой системы, для записи или модификации которых не требуются повышенные привилегии. Он шифрует файлы с расширением .ifire, добавляемым к имени файла, а также отправляет записку с требованием выкупа, содержащую закодированные имя пользователя и пароль для входа на платежный портал, расположенный на скрытом сервисе Tor.
Популярность Ransomware, нацеленных на Linux, растет с 2021 года, когда известные группы ransomware добавили в свой арсенал шифровальщиков Linux. Чтобы преодолеть трудности, связанные с развертыванием вредоносного ПО против систем Linux, злоумышленники прибегают к использованию уязвимостей приложений, таких как уязвимость IBM Aspera, использованная в этих атаках IceFire. Несмотря на атаку на сервер, клиенты все равно смогли загрузить файлы с зашифрованного сервера. Это означает, что разработчики IceFire тщательно выбирали, какие файлы шифровать.
Организациям важно знать об этих тенденциях и принимать меры предосторожности для защиты своих систем. Организациям следует регулярно обновлять свои системы, чтобы убедиться, что они не уязвимы для эксплойтов, следить за своими сетями на предмет вредоносной активности и развернуть антивирусное программное обеспечение для обнаружения и предотвращения атак ransomware.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последние недели специалисты SentinelLabs заметили, что семейство вымогательских программ IceFire расширяет свои атаки на системы Linux. Этот стратегический сдвиг имеет большое значение, так как он объединяет их с другими группами вымогателей, которые также нацелены на системы Linux. Полезная нагрузка IceFire была развернута с помощью эксплойта для CVE-2022-47986, недавно исправленной уязвимости в программе обмена файлами IBM Aspera Faspex. Полезная нагрузка была размещена на дроплете DigitalOcean и была обнаружена 0/61 движками VirusTotal.
IceFire нацелен на незащищенные части файловой системы, для записи или модификации которых не требуются повышенные привилегии. Он шифрует файлы с расширением .ifire, добавляемым к имени файла, а также отправляет записку с требованием выкупа, содержащую закодированные имя пользователя и пароль для входа на платежный портал, расположенный на скрытом сервисе Tor.
Популярность Ransomware, нацеленных на Linux, растет с 2021 года, когда известные группы ransomware добавили в свой арсенал шифровальщиков Linux. Чтобы преодолеть трудности, связанные с развертыванием вредоносного ПО против систем Linux, злоумышленники прибегают к использованию уязвимостей приложений, таких как уязвимость IBM Aspera, использованная в этих атаках IceFire. Несмотря на атаку на сервер, клиенты все равно смогли загрузить файлы с зашифрованного сервера. Это означает, что разработчики IceFire тщательно выбирали, какие файлы шифровать.
Организациям важно знать об этих тенденциях и принимать меры предосторожности для защиты своих систем. Организациям следует регулярно обновлять свои системы, чтобы убедиться, что они не уязвимы для эксплойтов, следить за своими сетями на предмет вредоносной активности и развернуть антивирусное программное обеспечение для обнаружения и предотвращения атак ransomware.
#ParsedReport
09-03-2023
SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 1
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-1
Threats:
Formbook
Credential_harvesting_technique
Pyarmor_tool
Asyncrat_rat
IOCs:
File: 6
Url: 2
Command: 1
Hash: 2
Softs:
onenote, microsoft onenote', pyinstaller, virtualbox, hyper-v
Algorithms:
zip
Languages:
python
Links:
09-03-2023
SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 1
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-1
Threats:
Formbook
Credential_harvesting_technique
Pyarmor_tool
Asyncrat_rat
IOCs:
File: 6
Url: 2
Command: 1
Hash: 2
Softs:
onenote, microsoft onenote', pyinstaller, virtualbox, hyper-v
Algorithms:
zip
Languages:
python
Links:
https://github.com/extremecoders-re/pyinstxtractorTrustwave
A Noteworthy Threat: How Cybercriminals are Abusing OneNote – Part 1 | Trustwave
Threat actors are taking advantage of Microsoft OneNote's ability to embed files and use social engineering techniques, such as phishing emails and lures inside the OneNote document, to get unsuspecting users to download and open malicious files.
CTT Report Hub
#ParsedReport 09-03-2023 SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 1 https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-1 Threats: Formbook…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последнее время угрозы используют возможности Microsoft OneNote по созданию встроенных файлов для проведения вредоносных атак. С помощью фишинговых писем и заманивания внутри документа OneNote ничего не подозревающих пользователей обманом заставляют загрузить и открыть файлы вредоносного ПО. Это может привести к краже данных или установке выкупного ПО на системы жертв. В декабре 2020 года была обнаружена вредоносная кампания, поставляющая Formbook через троянизированный документ OneNote. Отказ от использования документов с макросами связан с ужесточением компанией Microsoft мер безопасности для файлов, загружаемых из Интернета.
Поддельный PDF-запрос, содержащий исполняемый файл, используется для того, чтобы обмануть пользователей и заставить их думать, что открытый файл является легитимным. Исполняемый файл был создан с помощью PyInstaller, библиотеки, которая упаковывает программы Python в отдельные исполняемые файлы, а для извлечения его содержимого использовался pyinstxtractor. Сценарий с именем contain.pyc содержал основную полезную нагрузку, а также был загружен дополнительный ZIP-пакет, содержащий наборы инструментов ChromeCookiesView и MZCookiesView. Эти бесплатные программы, созданные компанией NirSoft, позволяют извлекать из веб-браузеров файлы cookie, данные истории и информацию о кэше, которые угрозы используют во вредоносных целях.
Угроза также использовала Python-скрипт soax.py, обфусцированный с помощью PyArmor, для сбора паролей веб-браузера и почтового клиента.
Эта угроза подчеркивает, как субъекты угроз используют для осуществления вредоносных атак легитимные открытые и бесплатные инструменты, которые обычно остаются незамеченными средствами защиты. Во второй части этой серии будет рассмотрена цепочка заражения, ведущая к появлению вредоносной программы AsyncRAT, а также обзор других заметных штаммов вредоносного ПО.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
В последнее время угрозы используют возможности Microsoft OneNote по созданию встроенных файлов для проведения вредоносных атак. С помощью фишинговых писем и заманивания внутри документа OneNote ничего не подозревающих пользователей обманом заставляют загрузить и открыть файлы вредоносного ПО. Это может привести к краже данных или установке выкупного ПО на системы жертв. В декабре 2020 года была обнаружена вредоносная кампания, поставляющая Formbook через троянизированный документ OneNote. Отказ от использования документов с макросами связан с ужесточением компанией Microsoft мер безопасности для файлов, загружаемых из Интернета.
Поддельный PDF-запрос, содержащий исполняемый файл, используется для того, чтобы обмануть пользователей и заставить их думать, что открытый файл является легитимным. Исполняемый файл был создан с помощью PyInstaller, библиотеки, которая упаковывает программы Python в отдельные исполняемые файлы, а для извлечения его содержимого использовался pyinstxtractor. Сценарий с именем contain.pyc содержал основную полезную нагрузку, а также был загружен дополнительный ZIP-пакет, содержащий наборы инструментов ChromeCookiesView и MZCookiesView. Эти бесплатные программы, созданные компанией NirSoft, позволяют извлекать из веб-браузеров файлы cookie, данные истории и информацию о кэше, которые угрозы используют во вредоносных целях.
Угроза также использовала Python-скрипт soax.py, обфусцированный с помощью PyArmor, для сбора паролей веб-браузера и почтового клиента.
Эта угроза подчеркивает, как субъекты угроз используют для осуществления вредоносных атак легитимные открытые и бесплатные инструменты, которые обычно остаются незамеченными средствами защиты. Во второй части этой серии будет рассмотрена цепочка заражения, ведущая к появлению вредоносной программы AsyncRAT, а также обзор других заметных штаммов вредоносного ПО.
#ParsedReport
08-03-2023
ASEC Weekly Malware Statistics (February 27th, 2023 March 5th, 2023)
https://asec.ahnlab.com/en/49018
Actors/Campaigns:
Kimsuky
Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Amadey
Smokeloader
Lockbit
Quasar_rat
Formbook
Clipboard_grabbing_technique
Industry:
Transport
IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18
Softs:
telegram
08-03-2023
ASEC Weekly Malware Statistics (February 27th, 2023 March 5th, 2023)
https://asec.ahnlab.com/en/49018
Actors/Campaigns:
Kimsuky
Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Amadey
Smokeloader
Lockbit
Quasar_rat
Formbook
Clipboard_grabbing_technique
Industry:
Transport
IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18
Softs:
telegram
ASEC BLOG
ASEC Weekly Malware Statistics (February 27th, 2023 – March 5th, 2023) - ASEC BLOG
The ASEC (AhnLab Security response Center) uses the ASEC automatic analysis system RAPIT to categorize and respond to known malware. This post will list weekly statistics collected from February 27th, 2023 (Monday) to March 5th, 2023 (Sunday). For the main…
#ParsedReport
09-03-2023
Cisco Talos Intelligence Blog. Prometei botnet improves modules and exhibits new capabilities in recent updates
https://blog.talosintelligence.com/prometei-botnet-improves
Threats:
Prometei_botnet
Credential_harvesting_technique
Mimikatz_tool
Bluekeep_vuln
Miwalk
Geo:
Japan, Turkey, Brazil, Russian, Ukraine, Indonesia, Russia, Kazakhstan, Belarus
CVEs:
CVE-2019-0708 [Vulners]
CVSS V2: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- microsoft windows server 2008 (r2, -)
- microsoft windows server 2003 (r2, -)
- microsoft windows 7 (-)
- microsoft windows vista (-)
- microsoft windows xp (-)
have more...
TTPs:
Tactics: 5
Technics: 12
IOCs:
File: 27
Path: 6
Url: 22
Domain: 11
IP: 11
Hash: 44
Softs:
postgressql, windows service
Algorithms:
base64, exhibit, xor
Functions:
PowerShell
Languages:
php, python
09-03-2023
Cisco Talos Intelligence Blog. Prometei botnet improves modules and exhibits new capabilities in recent updates
https://blog.talosintelligence.com/prometei-botnet-improves
Threats:
Prometei_botnet
Credential_harvesting_technique
Mimikatz_tool
Bluekeep_vuln
Miwalk
Geo:
Japan, Turkey, Brazil, Russian, Ukraine, Indonesia, Russia, Kazakhstan, Belarus
CVEs:
CVE-2019-0708 [Vulners]
CVSS V2: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- microsoft windows server 2008 (r2, -)
- microsoft windows server 2003 (r2, -)
- microsoft windows 7 (-)
- microsoft windows vista (-)
- microsoft windows xp (-)
have more...
TTPs:
Tactics: 5
Technics: 12
IOCs:
File: 27
Path: 6
Url: 22
Domain: 11
IP: 11
Hash: 44
Softs:
postgressql, windows service
Algorithms:
base64, exhibit, xor
Functions:
PowerShell
Languages:
php, python
Cisco Talos
Prometei botnet improves modules and exhibits new capabilities in recent updates
The high-profile botnet, focused on mining cryptocurrency, is back with new Linux versions.
CTT Report Hub
#ParsedReport 09-03-2023 Cisco Talos Intelligence Blog. Prometei botnet improves modules and exhibits new capabilities in recent updates https://blog.talosintelligence.com/prometei-botnet-improves Threats: Prometei_botnet Credential_harvesting_technique…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Prometei - это высокомодульная бот-сеть с червеподобными возможностями, активная с 2016 года. В основном он используется для развертывания майнера криптовалюты Monero, и недавно компания Talos обнаружила модификации в цепочке выполнения, которые автоматизируют обновление компонентов и инфраструктуры и затрудняют анализ защитников. По оценкам, Prometei заразила более 10 000 систем по всему миру, распределяясь пропорционально численности населения - за исключением Бразилии, Индонезии и Турции, а Россия является единственной страной, исключенной из конфигурации Tor.
Ботнет имеет большой репертуар модулей и множество методов распространения, включая программу-распространитель, эксплойт уязвимости BlueKeep и сборку на базе .NET для бокового перемещения. Кроме того, операторы постоянно совершенствуют компоненты и возможности инфраструктуры, добавляя возможности бэкдора, механизм самообновления и веб-оболочку для сохранения. Полезная нагрузка майнера криптовалюты зашифрована в защищенном родительским паролем архиве 7-Zip, а его конфигурационные атрибуты предоставляются C2 через загруженный текстовый файл.
Talos выявил новые тактики, техники и процедуры (ТТП) Prometei, которые расширяют возможности ботнета и еще не были освещены в открытых источниках. К ним относятся алгоритм генерации доменов, расширенная возможность самообновления, дополнительные команды бота, версия веб-сервера Apache в комплекте с веб-оболочкой на базе PHP, а также служба Windows, созданная под именем KtmRmSvc, состоящая из автоматического запуска процесса для исполняемого файла в подкаталоге AppServ Apache2.2\bin\taskhost.exe.
Talos также заметил изменение в текущем поведении Prometeis, в результате которого этот агент теперь исключает только российские выходные узлы из своего модуля подключения Tor - возможно, в ответ на войну между Россией и Украиной - тогда как ранее он избегал нацеливаться на Россию и многие пограничные государства. Это может указывать на желание ограничить заражение и/или связь с любыми российскими узлами со стороны автора ботнета, и что ранее исключенные пограничные государства теперь являются честной игрой.
В целом, Prometei - это сложная бот-сеть, которая постоянно развивается и расширяет свои возможности, что делает ее все более опасной угрозой. Поэтому важно, чтобы пользователи и организации сохраняли бдительность и предпринимали необходимые шаги для защиты от этой угрозы, включая обновление программного обеспечения и мониторинг подозрительной активности в своих сетях.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Prometei - это высокомодульная бот-сеть с червеподобными возможностями, активная с 2016 года. В основном он используется для развертывания майнера криптовалюты Monero, и недавно компания Talos обнаружила модификации в цепочке выполнения, которые автоматизируют обновление компонентов и инфраструктуры и затрудняют анализ защитников. По оценкам, Prometei заразила более 10 000 систем по всему миру, распределяясь пропорционально численности населения - за исключением Бразилии, Индонезии и Турции, а Россия является единственной страной, исключенной из конфигурации Tor.
Ботнет имеет большой репертуар модулей и множество методов распространения, включая программу-распространитель, эксплойт уязвимости BlueKeep и сборку на базе .NET для бокового перемещения. Кроме того, операторы постоянно совершенствуют компоненты и возможности инфраструктуры, добавляя возможности бэкдора, механизм самообновления и веб-оболочку для сохранения. Полезная нагрузка майнера криптовалюты зашифрована в защищенном родительским паролем архиве 7-Zip, а его конфигурационные атрибуты предоставляются C2 через загруженный текстовый файл.
Talos выявил новые тактики, техники и процедуры (ТТП) Prometei, которые расширяют возможности ботнета и еще не были освещены в открытых источниках. К ним относятся алгоритм генерации доменов, расширенная возможность самообновления, дополнительные команды бота, версия веб-сервера Apache в комплекте с веб-оболочкой на базе PHP, а также служба Windows, созданная под именем KtmRmSvc, состоящая из автоматического запуска процесса для исполняемого файла в подкаталоге AppServ Apache2.2\bin\taskhost.exe.
Talos также заметил изменение в текущем поведении Prometeis, в результате которого этот агент теперь исключает только российские выходные узлы из своего модуля подключения Tor - возможно, в ответ на войну между Россией и Украиной - тогда как ранее он избегал нацеливаться на Россию и многие пограничные государства. Это может указывать на желание ограничить заражение и/или связь с любыми российскими узлами со стороны автора ботнета, и что ранее исключенные пограничные государства теперь являются честной игрой.
В целом, Prometei - это сложная бот-сеть, которая постоянно развивается и расширяет свои возможности, что делает ее все более опасной угрозой. Поэтому важно, чтобы пользователи и организации сохраняли бдительность и предпринимали необходимые шаги для защиты от этой угрозы, включая обновление программного обеспечения и мониторинг подозрительной активности в своих сетях.
#ParsedReport
09-03-2023
ASEC weekly malware statistics (20230227 \~ 20230305)
https://asec.ahnlab.com/ko/48847
Actors/Campaigns:
Ta505
Kimsuky
Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Azorult
Amadey
Smokeloader
Lockbit
Gandcrab
Flawedammyy
Clop
Quasar_rat
Xrat_rat
Gold_dragon
Vidar_stealer
Formbook
Clipboard_grabbing_technique
Industry:
Transport
Geo:
Korea
IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18
Softs:
telegram, discord
Links:
09-03-2023
ASEC weekly malware statistics (20230227 \~ 20230305)
https://asec.ahnlab.com/ko/48847
Actors/Campaigns:
Ta505
Kimsuky
Threats:
Redline_stealer
Beamwinhttp_loader
Agent_tesla
Azorult
Amadey
Smokeloader
Lockbit
Gandcrab
Flawedammyy
Clop
Quasar_rat
Xrat_rat
Gold_dragon
Vidar_stealer
Formbook
Clipboard_grabbing_technique
Industry:
Transport
Geo:
Korea
IOCs:
Domain: 7
IP: 7
Email: 5
File: 16
Url: 18
Softs:
telegram, discord
Links:
https://github.com/tidusjar/xRATASEC BLOG
ASEC 주간 악성코드 통계 (20230227 ~ 20230305) - ASEC BLOG
ASEC(AhnLab Security Emergency response Center)에서는 ASEC 자동 분석 시스템 RAPIT 을 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 본 포스팅에서는 2023년 2월 27일 월요일부터 3월 5일 일요일까지 한 주간 수집된 악성코드의 통계를 정리한다. 대분류 상으로는 백도어가 51.4%로 1위를 차지하였으며, 그 다음으로는 인포스틸러가 31.2%, 이어서 다운로더 16.5%, 랜섬웨어 0.9%로…
#ParsedReport
09-03-2023
SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 2
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-2
Threats:
Asyncrat_rat
Qakbot
Remcos_rat
Html_smuggling_technique
Dbat_loader
Motw_bypass_technique
IOCs:
File: 4
Command: 1
IP: 5
Hash: 8
Url: 2
Softs:
onenote
Algorithms:
gzip, aes-256, cbc, aes, base64, aes-cbc
Functions:
ReadAllText
Win API:
GetProcAddress, LoadLibrary, VirtualProtect, AmsiScanBuffer, EtwEventWrite
Languages:
delphi
09-03-2023
SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 2
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-2
Threats:
Asyncrat_rat
Qakbot
Remcos_rat
Html_smuggling_technique
Dbat_loader
Motw_bypass_technique
IOCs:
File: 4
Command: 1
IP: 5
Hash: 8
Url: 2
Softs:
onenote
Algorithms:
gzip, aes-256, cbc, aes, base64, aes-cbc
Functions:
ReadAllText
Win API:
GetProcAddress, LoadLibrary, VirtualProtect, AmsiScanBuffer, EtwEventWrite
Languages:
delphi
Trustwave
A Noteworthy Threat: How Cybercriminals are Abusing OneNote – Part 2
We examined how threat actors abuse a OneNote document to install an infostealer. Part 2 of this series discusses an AsyncRAT infection chain while detailing important parts of the code. We’ll also quickly analyze other notable malware strains such as Qakbot…
CTT Report Hub
#ParsedReport 09-03-2023 SpiderLabs Blog. A Noteworthy Threat: How Cybercriminals are Abusing OneNote Part 2 https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/a-noteworthy-threat-how-cybercriminals-are-abusing-onenote-part-2 Threats: Asyncrat_rat…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Угрозы все чаще используют документы Microsoft OneNote для запуска вредоносных кампаний. Во второй части этой серии мы рассмотрим цепочку заражения AsyncRAT и изучим другие известные штаммы вредоносного ПО, такие как Qakbot и RemcosRAT.
Для начала загрузчик использует методы уклонения от защиты, чтобы обойти Antimalware Scan Interface (AMSI) и Event Trace for Windows (ETW). Записывая поддельный массив байтов в область памяти AMSI, он заставляет результат сканирования очиститься, позволяя вредоносному коду работать неограниченно. Аналогичным образом передается опкод для отключения функциональности ETW. Это гарантирует, что полезная нагрузка будет выполнена без обнаружения.
Вредоносной полезной нагрузкой является инструмент удаленного доступа (RAT) AsyncRAT с открытым исходным кодом на базе .NET. Его конфигурация шифруется с помощью AES-256 в режиме CBC и предоставляет такие возможности, как кейлоггинг и функции уклонения от защиты. Qakbot использует методы перехвата потока электронной почты для увеличения вероятности того, что пользователи нажмут на вредоносные ссылки или вложения, маскируясь под документ, пришедший из облака. Он также используется для доставки Remcos RAT, а ModiLoader применяется для исключения пути C:\Users из AV-сканирования.
Документы OneNote не включают защиту защищенного просмотра и MOTW (Mark-of-the-Web), что делает их привлекательными для киберпреступников. Поскольку субъекты угроз продолжают адаптироваться к новым методам, вполне вероятно, что в будущем можно будет увидеть больше кампаний, использующих OneNote.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Угрозы все чаще используют документы Microsoft OneNote для запуска вредоносных кампаний. Во второй части этой серии мы рассмотрим цепочку заражения AsyncRAT и изучим другие известные штаммы вредоносного ПО, такие как Qakbot и RemcosRAT.
Для начала загрузчик использует методы уклонения от защиты, чтобы обойти Antimalware Scan Interface (AMSI) и Event Trace for Windows (ETW). Записывая поддельный массив байтов в область памяти AMSI, он заставляет результат сканирования очиститься, позволяя вредоносному коду работать неограниченно. Аналогичным образом передается опкод для отключения функциональности ETW. Это гарантирует, что полезная нагрузка будет выполнена без обнаружения.
Вредоносной полезной нагрузкой является инструмент удаленного доступа (RAT) AsyncRAT с открытым исходным кодом на базе .NET. Его конфигурация шифруется с помощью AES-256 в режиме CBC и предоставляет такие возможности, как кейлоггинг и функции уклонения от защиты. Qakbot использует методы перехвата потока электронной почты для увеличения вероятности того, что пользователи нажмут на вредоносные ссылки или вложения, маскируясь под документ, пришедший из облака. Он также используется для доставки Remcos RAT, а ModiLoader применяется для исключения пути C:\Users из AV-сканирования.
Документы OneNote не включают защиту защищенного просмотра и MOTW (Mark-of-the-Web), что делает их привлекательными для киберпреступников. Поскольку субъекты угроз продолжают адаптироваться к новым методам, вполне вероятно, что в будущем можно будет увидеть больше кампаний, использующих OneNote.
#ParsedReport
09-03-2023
PlugX Malware Being Distributed via Vulnerability Exploitation
https://asec.ahnlab.com/en/49097
Actors/Campaigns:
Red_delta
Axiom
Red_sylvan
Threats:
Plugx_rat
Gh0st_rat
Sliver_tool
Xmrig_miner
Paradise_ransomware
Dll_sideloading_technique
Uac_bypass_technique
Netstat_tool
Malware/win.generic.c5387131
Trojan/win.loader.c5345891
Malware/mdp.download.m1197
Geo:
China, Chinese
CVEs:
CNVD-2022-10270 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- 上海贝锐信息科技股份有限公司 向日葵个人版for Windows 11. (0.0.33)
CNVD-2022-03672 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 0
IOCs:
File: 8
Path: 1
Domain: 4
Hash: 3
Url: 2
Softs:
sunlogin, awesuns, sunlogins, awesun
Functions:
DllMain
09-03-2023
PlugX Malware Being Distributed via Vulnerability Exploitation
https://asec.ahnlab.com/en/49097
Actors/Campaigns:
Red_delta
Axiom
Red_sylvan
Threats:
Plugx_rat
Gh0st_rat
Sliver_tool
Xmrig_miner
Paradise_ransomware
Dll_sideloading_technique
Uac_bypass_technique
Netstat_tool
Malware/win.generic.c5387131
Trojan/win.loader.c5345891
Malware/mdp.download.m1197
Geo:
China, Chinese
CVEs:
CNVD-2022-10270 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- 上海贝锐信息科技股份有限公司 向日葵个人版for Windows 11. (0.0.33)
CNVD-2022-03672 [Vulners]
CVSS V2: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
TTPs:
Tactics: 1
Technics: 0
IOCs:
File: 8
Path: 1
Domain: 4
Hash: 3
Url: 2
Softs:
sunlogin, awesuns, sunlogins, awesun
Functions:
DllMain
ASEC BLOG
PlugX Malware Being Distributed via Vulnerability Exploitation - ASEC BLOG
ASEC (AhnLab Security Emergency response Center) has recently discovered the installation of the PlugX malware through the Chinese remote control programs Sunlogin and Awesun’s remote code execution vulnerability. Sunlogin’s remote code execution vulnerability…
CTT Report Hub
#ParsedReport 09-03-2023 PlugX Malware Being Distributed via Vulnerability Exploitation https://asec.ahnlab.com/en/49097 Actors/Campaigns: Red_delta Axiom Red_sylvan Threats: Plugx_rat Gh0st_rat Sliver_tool Xmrig_miner Paradise_ransomware Dll_sideloading_technique…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Центр экстренного реагирования на чрезвычайные ситуации безопасности AhnLab (ASEC) недавно обнаружил установку вредоносного ПО PlugX через две китайские программы удаленного управления, Sunlogin и AweSun. Уязвимость удаленного выполнения кода в Sunlogin (CNVD-2022-10270 и CNVD-2022-03672) была раскрыта и до сих пор используется для атак. Считается, что аналогичная уязвимость RCE существует и в AweSun. В обоих случаях угрозы использовали уязвимость RCE для выполнения Sliver C2, XMRig CoinMiner и Gh0st RAT. Кроме того, программа Paradise ransomware также распространялась через RCE-уязвимость Sunlogin.
PlugX - это крупный бэкдор, который используется китайскими группами Advanced Persistent Threat (APT). Это вредоносная программа на основе модулей с различными плагинами, которые могут быть использованы для вредоносных действий. Он использует метод боковой загрузки DLL, чтобы избежать обнаружения, и обычно распространяется в виде сжатого файла или дроппера. Команда обнаружила, что программа esetservice.exe имеет функцию, которая загружает файл http_dll.dll в том же каталоге, если выполняется без дополнительного аргумента. Это классический метод боковой загрузки DLL, и PlugX известен тем, что использует этот метод. PlugX распространяется в виде набора, содержащего обычную программу exe, загрузчик DLL и файл данных, содержащий собственно закодированную вредоносную программу.
При анализе кода было обнаружено, что файл http_dll.dll содержит процедуру чтения файла lang.dat, находящегося в том же каталоге, перед его расшифровкой и выполнением. Дроппер маскируется под путь обычных программ и создает вредоносное ПО по пути C:\ProgramData\Windows NT\Windows eset service. Он также использует настройки свойств, чтобы скрыть свое присутствие. В базе данных VirusTotal были найдены вредоносные программы, использующие те же файлы esetservice.exe и http_dll.dll. Этот дроппер создает esetservice.exe, http_dll.dll и lang.dat при выполнении, прежде чем запустить esetservice.exe для окончательной установки и выполнения PlugX.
PlugX постоянно обновляется, и Dr.Web опубликовал отчет о классификации и анализе различных вариантов PlugX в 2020 году. Кроме того, Security Joes рассказал о самых последних обнаруженных вариантах PlugX в 2022 году. Он может использоваться в различных режимах и способен обходить UAC. Он имеет два дополнительных плагина, один для кражи данных буфера обмена, а другой для распространения по RDP. Украденные данные сохраняются в разных файлах в зависимости от вредоносной программы.
Исходя из всего этого, пользователям важно обновить установленное программное обеспечение до последней версии и обновить V3 до последней версии, чтобы предотвратить заражение вредоносным ПО. Если не обновить программное обеспечение, незащищенные системы становятся уязвимыми для атак и могут привести к установке PlugX, который может быть использован для вредоносных действий, таких как регистрация вводимых клавиш, снятие скриншотов и установка дополнительного вредоносного ПО.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Центр экстренного реагирования на чрезвычайные ситуации безопасности AhnLab (ASEC) недавно обнаружил установку вредоносного ПО PlugX через две китайские программы удаленного управления, Sunlogin и AweSun. Уязвимость удаленного выполнения кода в Sunlogin (CNVD-2022-10270 и CNVD-2022-03672) была раскрыта и до сих пор используется для атак. Считается, что аналогичная уязвимость RCE существует и в AweSun. В обоих случаях угрозы использовали уязвимость RCE для выполнения Sliver C2, XMRig CoinMiner и Gh0st RAT. Кроме того, программа Paradise ransomware также распространялась через RCE-уязвимость Sunlogin.
PlugX - это крупный бэкдор, который используется китайскими группами Advanced Persistent Threat (APT). Это вредоносная программа на основе модулей с различными плагинами, которые могут быть использованы для вредоносных действий. Он использует метод боковой загрузки DLL, чтобы избежать обнаружения, и обычно распространяется в виде сжатого файла или дроппера. Команда обнаружила, что программа esetservice.exe имеет функцию, которая загружает файл http_dll.dll в том же каталоге, если выполняется без дополнительного аргумента. Это классический метод боковой загрузки DLL, и PlugX известен тем, что использует этот метод. PlugX распространяется в виде набора, содержащего обычную программу exe, загрузчик DLL и файл данных, содержащий собственно закодированную вредоносную программу.
При анализе кода было обнаружено, что файл http_dll.dll содержит процедуру чтения файла lang.dat, находящегося в том же каталоге, перед его расшифровкой и выполнением. Дроппер маскируется под путь обычных программ и создает вредоносное ПО по пути C:\ProgramData\Windows NT\Windows eset service. Он также использует настройки свойств, чтобы скрыть свое присутствие. В базе данных VirusTotal были найдены вредоносные программы, использующие те же файлы esetservice.exe и http_dll.dll. Этот дроппер создает esetservice.exe, http_dll.dll и lang.dat при выполнении, прежде чем запустить esetservice.exe для окончательной установки и выполнения PlugX.
PlugX постоянно обновляется, и Dr.Web опубликовал отчет о классификации и анализе различных вариантов PlugX в 2020 году. Кроме того, Security Joes рассказал о самых последних обнаруженных вариантах PlugX в 2022 году. Он может использоваться в различных режимах и способен обходить UAC. Он имеет два дополнительных плагина, один для кражи данных буфера обмена, а другой для распространения по RDP. Украденные данные сохраняются в разных файлах в зависимости от вредоносной программы.
Исходя из всего этого, пользователям важно обновить установленное программное обеспечение до последней версии и обновить V3 до последней версии, чтобы предотвратить заражение вредоносным ПО. Если не обновить программное обеспечение, незащищенные системы становятся уязвимыми для атак и могут привести к установке PlugX, который может быть использован для вредоносных действий, таких как регистрация вводимых клавиш, снятие скриншотов и установка дополнительного вредоносного ПО.
#ParsedReport
09-03-2023
CHM malware (Kimsuky) disguised questionnaires related to North Korea
https://asec.ahnlab.com/ko/48960
Actors/Campaigns:
Kimsuky
Geo:
Korea
TTPs:
Tactics: 1
Technics: 0
IOCs:
Path: 3
File: 2
Registry: 1
Url: 2
Hash: 4
09-03-2023
CHM malware (Kimsuky) disguised questionnaires related to North Korea
https://asec.ahnlab.com/ko/48960
Actors/Campaigns:
Kimsuky
Geo:
Korea
TTPs:
Tactics: 1
Technics: 0
IOCs:
Path: 3
File: 2
Registry: 1
Url: 2
Hash: 4
ASEC BLOG
대북 관련 질문지를 위장한 CHM 악성코드 (Kimsuky) - ASEC BLOG
ASEC(AhnLab Security Emergency response Center)은 최근 Kimsuky 그룹에서 제작한 것으로 추정되는 CHM 악성코드를 확인하였다. 해당 악성코드 유형은 아래 ASEC 블로그 및 Kimsuky 그룹 유포 악성코드 분석 보고서에서 소개한 악성코드와 동일하며 사용자 정보 유출을 목적으로 한다. Kimsuky 그룹 유포 악성코드 분석 보고서 – 2022.10.20 윈도우 도움말 파일(*.chm)로 유포되는 APT 공격 –…
CTT Report Hub
#ParsedReport 09-03-2023 CHM malware (Kimsuky) disguised questionnaires related to North Korea https://asec.ahnlab.com/ko/48960 Actors/Campaigns: Kimsuky Geo: Korea TTPs: Tactics: 1 Technics: 0 IOCs: Path: 3 File: 2 Registry: 1 Url: 2 Hash: 4
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Центр реагирования на чрезвычайные ситуации безопасности АнЛаб (ASEC) недавно выявил новый тип вредоносного ПО, созданного группой Kimsuky. Вредоносная программа под названием CHM распространяется в виде вложений в электронные письма, замаскированные под запросы на интервью о Северной Корее. Она отображается как окно помощи с реальными вопросами, что затрудняет распознавание пользователем вредоносного файла. Вредоносные скрипты, содержащиеся в CHM-файле, выполняются, когда пользователь отвечает на письмо и открывает вложение. Команда, выполняемая через CHM-файл, сохраняется в двух разных файлах - Document.dat и Document.vbs - и затем регистрируется в ключе Run, чтобы постоянно выполнять код вредоносного сценария, найденный в hxxp://mpevalr.ria.monster/SmtInfo/demo.txt.
Анализ кода, содержащегося в CHM-файле, показал, что он имеет тот же формат, что и вредоносный код, о котором сообщалось в "Отчете об анализе вредоносного кода, распространяемого группой Kimsuky", опубликованном ATIP в прошлом году. Это подтверждает, что группа Kimsuky также распространяет фишинговые письма с прикрепленными к ним различными типами вредоносных файлов, таких как CHM-файлы.
Важно, чтобы пользователи знали об этой угрозе и принимали меры предосторожности против нее. Они не должны открывать подозрительные электронные письма или вложения и всегда должны обновлять свои компьютеры и другие устройства последними патчами безопасности. Кроме того, всегда следует использовать надежную антивирусную программу для проверки любых файлов перед их открытием. Выполняя эти простые действия, пользователи могут защитить себя от того, чтобы стать жертвами такого типа атак.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Центр реагирования на чрезвычайные ситуации безопасности АнЛаб (ASEC) недавно выявил новый тип вредоносного ПО, созданного группой Kimsuky. Вредоносная программа под названием CHM распространяется в виде вложений в электронные письма, замаскированные под запросы на интервью о Северной Корее. Она отображается как окно помощи с реальными вопросами, что затрудняет распознавание пользователем вредоносного файла. Вредоносные скрипты, содержащиеся в CHM-файле, выполняются, когда пользователь отвечает на письмо и открывает вложение. Команда, выполняемая через CHM-файл, сохраняется в двух разных файлах - Document.dat и Document.vbs - и затем регистрируется в ключе Run, чтобы постоянно выполнять код вредоносного сценария, найденный в hxxp://mpevalr.ria.monster/SmtInfo/demo.txt.
Анализ кода, содержащегося в CHM-файле, показал, что он имеет тот же формат, что и вредоносный код, о котором сообщалось в "Отчете об анализе вредоносного кода, распространяемого группой Kimsuky", опубликованном ATIP в прошлом году. Это подтверждает, что группа Kimsuky также распространяет фишинговые письма с прикрепленными к ним различными типами вредоносных файлов, таких как CHM-файлы.
Важно, чтобы пользователи знали об этой угрозе и принимали меры предосторожности против нее. Они не должны открывать подозрительные электронные письма или вложения и всегда должны обновлять свои компьютеры и другие устройства последними патчами безопасности. Кроме того, всегда следует использовать надежную антивирусную программу для проверки любых файлов перед их открытием. Выполняя эти простые действия, пользователи могут защитить себя от того, чтобы стать жертвами такого типа атак.
#ParsedReport
09-03-2023
Mallox ransomware spreading in Korea
https://asec.ahnlab.com/ko/48959
Threats:
Mallox_ransomware
Malware/mdp.inject.m218
Geo:
Korea, Ukraine, Belarus, Kazakhstan, Russia
IOCs:
Url: 3
File: 14
Hash: 4
Softs:
ms-sql, im msdtssrvr, &&taskkill, internet explorer, windows defender, asp.net
Algorithms:
base64
Win Services:
fdlauncher, askkill -f
Platforms:
intel
09-03-2023
Mallox ransomware spreading in Korea
https://asec.ahnlab.com/ko/48959
Threats:
Mallox_ransomware
Malware/mdp.inject.m218
Geo:
Korea, Ukraine, Belarus, Kazakhstan, Russia
IOCs:
Url: 3
File: 14
Hash: 4
Softs:
ms-sql, im msdtssrvr, &&taskkill, internet explorer, windows defender, asp.net
Algorithms:
base64
Win Services:
fdlauncher, askkill -f
Platforms:
intel
ASEC BLOG
Mallox 랜섬웨어 국내 유포 중 - ASEC BLOG
ASEC(AhnLab Security Emergency response Center)은 모니터링 중 최근 Mallox 랜섬웨어가 유포중인 것을 확인하였다. 이전에도 소개된 바와 같이 취약한 MS-SQL 서버를 대상으로 유포되는 Mallox 랜섬웨어는 자사 통계 기준으로 과거부터 꾸준히 높은 비율로 유포되고 있는 것을 확인할 수 있다. DirectPlay 관련 프로그램으로 위장한 악성코드는 닷넷으로 빌드된 파일로 [그림 3]과 같이 특정 주소로 접속하여…
CTT Report Hub
#ParsedReport 09-03-2023 Mallox ransomware spreading in Korea https://asec.ahnlab.com/ko/48959 Threats: Mallox_ransomware Malware/mdp.inject.m218 Geo: Korea, Ukraine, Belarus, Kazakhstan, Russia IOCs: Url: 3 File: 14 Hash: 4 Softs: ms-sql, im msdtssrvr…
#ParsedReport #ChatGPT #Translated
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Mallox ransomware с высокой скоростью распространяется на уязвимые MS-SQL-серверы, согласно данным Центра экстренного реагирования на чрезвычайные ситуации AhnLab Security (ASEC). Он маскируется под программу, связанную с DirectPlay, и пытается загрузить дополнительный вредоносный код. Если она не может достичь определенного адреса, она зацикливается, пытаясь получить к нему доступ. Группа анализа ASEC идентифицировала то же доменное имя, что и у полученной в феврале программы Mallox ransomware, предполагая, что это основной сайт распространения ransomware.
Дополнительное вредоносное ПО, загружаемое Mallox ransomware, представляет собой файл данных в Base64-кодировке, который при декодировании и обратном преобразовании является DLL-файлом, созданным с использованием .Net. В зависимости от языковых настроек ПК он может исключать заражение определенных языковых сред. Чтобы предотвратить заражение от Mallox ransomware, люди должны с осторожностью относиться к запуску файлов из неизвестных источников и проверять подозрительные файлы с помощью вакцины. Они также должны убедиться, что их вакцины обновлены.
Чтобы защитить себя от Mallox ransomware, необходимо следовать лучшим практикам кибербезопасности, таким как избегать открытия вложений от неизвестных отправителей, использовать надежные пароли, регулярно создавать резервные копии важных данных, использовать двухфакторную аутентификацию и поддерживать системы и программное обеспечение в актуальном состоянии. Кроме того, важно быть в курсе новых угроз, поэтому обязательно подпишитесь на информационные бюллетени или блоги по безопасности.
Автотекст: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
Mallox ransomware с высокой скоростью распространяется на уязвимые MS-SQL-серверы, согласно данным Центра экстренного реагирования на чрезвычайные ситуации AhnLab Security (ASEC). Он маскируется под программу, связанную с DirectPlay, и пытается загрузить дополнительный вредоносный код. Если она не может достичь определенного адреса, она зацикливается, пытаясь получить к нему доступ. Группа анализа ASEC идентифицировала то же доменное имя, что и у полученной в феврале программы Mallox ransomware, предполагая, что это основной сайт распространения ransomware.
Дополнительное вредоносное ПО, загружаемое Mallox ransomware, представляет собой файл данных в Base64-кодировке, который при декодировании и обратном преобразовании является DLL-файлом, созданным с использованием .Net. В зависимости от языковых настроек ПК он может исключать заражение определенных языковых сред. Чтобы предотвратить заражение от Mallox ransomware, люди должны с осторожностью относиться к запуску файлов из неизвестных источников и проверять подозрительные файлы с помощью вакцины. Они также должны убедиться, что их вакцины обновлены.
Чтобы защитить себя от Mallox ransomware, необходимо следовать лучшим практикам кибербезопасности, таким как избегать открытия вложений от неизвестных отправителей, использовать надежные пароли, регулярно создавать резервные копии важных данных, использовать двухфакторную аутентификацию и поддерживать системы и программное обеспечение в актуальном состоянии. Кроме того, важно быть в курсе новых угроз, поэтому обязательно подпишитесь на информационные бюллетени или блоги по безопасности.