#ParsedReport #CompletenessMedium
25-08-2023
Threat Actor Employs PowerShell-Backed Steganography in Recent Spam Campaigns. Executive Summary
https://cyble.com/blog/threat-actor-employs-powershell-backed-steganography-in-recent-spam-campaigns
Report completeness: Medium
Threats:
Steganography_technique
Agent_tesla
Limerat
Remcos_rat
Process_hollowing_technique
Process_injection_technique
Credential_dumping_technique
Industry:
Education, Financial
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft office (2007, 2013, 2010, 2016)
TTPs:
Tactics: 6
Technics: 19
IOCs:
File: 6
Url: 20
Path: 1
Hash: 28
Soft:
telegram
Algorithms:
zip, exhibit, base64, sha256
Functions:
DownloadString
YARA: Found
Links:
25-08-2023
Threat Actor Employs PowerShell-Backed Steganography in Recent Spam Campaigns. Executive Summary
https://cyble.com/blog/threat-actor-employs-powershell-backed-steganography-in-recent-spam-campaigns
Report completeness: Medium
Threats:
Steganography_technique
Agent_tesla
Limerat
Remcos_rat
Process_hollowing_technique
Process_injection_technique
Credential_dumping_technique
Industry:
Education, Financial
CVEs:
CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft office (2007, 2013, 2010, 2016)
TTPs:
Tactics: 6
Technics: 19
IOCs:
File: 6
Url: 20
Path: 1
Hash: 28
Soft:
telegram
Algorithms:
zip, exhibit, base64, sha256
Functions:
DownloadString
YARA: Found
Links:
https://github.com/dzzie/VS\_LIBEMUCyble
PowerShell Steganography In Recent Spam Campaigns
CRIL analyzes a recent spam campaign that utilizes PowerShell-Backed Steganography employed by a threat actor for Malware Dissemination.
CTT Report Hub
#ParsedReport #CompletenessMedium 25-08-2023 Threat Actor Employs PowerShell-Backed Steganography in Recent Spam Campaigns. Executive Summary https://cyble.com/blog/threat-actor-employs-powershell-backed-steganography-in-recent-spam-campaigns Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Угрозы адаптировали тактику использования вредоносного содержимого PowerShell для своей вредоносной деятельности, применяя спам-рассылки для доставки вредоносных программ RAT, таких как Remcos, AgentTesla и LimeRAT. Для защиты от таких атак необходимы надежные меры кибербезопасности, обучение пользователей и стратегии проактивной защиты.
-----
Угрожающие лица адаптировали свою тактику к использованию вредоносного содержимого PowerShell для своей вредоносной деятельности. Такой подход позволяет им оставаться незаметными, обходить традиционные средства защиты и использовать существующие инструменты на взломанных системах. Сценарии и универсальность PowerShell делают его идеальным инструментом для злоумышленников, которым необходима гибкость и настройка. Недавно компания Cyble Research & Intelligence Labs (CRIL) обнаружила новую цепочку атак для распространения различных троянских программ удаленного доступа (RAT), таких как LimeRAT, AgentTesla и Remcos.
Первичное заражение начинается с рассылки спама, содержащего вложение Excel, которое использует уязвимость в редакторе уравнений для загрузки полезной нагрузки в виде VB-сценария. После его выполнения с помощью техники стеганографии извлекается JPG-изображение со скрытой полезной нагрузкой .NET в base64-кодировке. После декодирования данных получается и загружается сборка .NET, в которой в качестве параметра указан URL конечной полезной нагрузки. В результате происходит загрузка и внедрение полезной нагрузки вредоносной программы RAT в легитимный процесс системы-жертвы.
Вредоносные письма содержат имена файлов, такие как aU2WuhBz0.j32a9, и используют уязвимость Equation Editor (CVE-2017-11882) для инициирования загрузки последующей полезной нагрузки в цепочке атак. При нажатии опции Enable editing происходит разбор XML-данных из файла sheet1.xml.rels. После этого EQNEDT32.EXE используется для инициирования выполнения вредоносного шелл-кода, который загружает файл VB-сценария с определенного URL-адреса. Этот скрипт извлекает JPG-изображение со скрытой полезной нагрузкой .NET в base64-кодировке. После декодирования этих данных в RegAsm.exe с помощью техники "впаивания" процесса внедряются варианты вредоносного ПО Remcos, AgentTesla и LimeRAT.
Remcos относится к типу RAT и обладает целым рядом возможностей, включая удаленный контроль над компьютерами жертв, кражу данных, кейлоггинг, захват экрана, манипулирование файлами и возможность выполнения команд. Он часто используется ТА для несанкционированного доступа, утечки данных и других вредоносных действий. Agent Tesla функционирует как RAT и средство хищения данных на базе .NET и обычно используется для защиты начального доступа. Он проникает на компьютеры жертв, записывая нажатия клавиш, делая скриншоты и собирая конфиденциальную информацию. С другой стороны, LimeRAT - это RAT, ориентированная на несанкционированный контроль над взломанными системами. Его вредоносные действия включают шифрование файлов и принуждение жертв к выплате выкупа, майнинг криптовалюты, похищение конфиденциальной информации, распространение на другие устройства и организацию распределенных атак типа "отказ в обслуживании" (DDoS).
Спам по электронной почте предпочитают ТП из-за его доступности, низкой стоимости и использования человеческого поведения. Для защиты от таких атак необходимы надежные меры кибербезопасности, обучение пользователей и стратегии проактивной защиты.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Угрозы адаптировали тактику использования вредоносного содержимого PowerShell для своей вредоносной деятельности, применяя спам-рассылки для доставки вредоносных программ RAT, таких как Remcos, AgentTesla и LimeRAT. Для защиты от таких атак необходимы надежные меры кибербезопасности, обучение пользователей и стратегии проактивной защиты.
-----
Угрожающие лица адаптировали свою тактику к использованию вредоносного содержимого PowerShell для своей вредоносной деятельности. Такой подход позволяет им оставаться незаметными, обходить традиционные средства защиты и использовать существующие инструменты на взломанных системах. Сценарии и универсальность PowerShell делают его идеальным инструментом для злоумышленников, которым необходима гибкость и настройка. Недавно компания Cyble Research & Intelligence Labs (CRIL) обнаружила новую цепочку атак для распространения различных троянских программ удаленного доступа (RAT), таких как LimeRAT, AgentTesla и Remcos.
Первичное заражение начинается с рассылки спама, содержащего вложение Excel, которое использует уязвимость в редакторе уравнений для загрузки полезной нагрузки в виде VB-сценария. После его выполнения с помощью техники стеганографии извлекается JPG-изображение со скрытой полезной нагрузкой .NET в base64-кодировке. После декодирования данных получается и загружается сборка .NET, в которой в качестве параметра указан URL конечной полезной нагрузки. В результате происходит загрузка и внедрение полезной нагрузки вредоносной программы RAT в легитимный процесс системы-жертвы.
Вредоносные письма содержат имена файлов, такие как aU2WuhBz0.j32a9, и используют уязвимость Equation Editor (CVE-2017-11882) для инициирования загрузки последующей полезной нагрузки в цепочке атак. При нажатии опции Enable editing происходит разбор XML-данных из файла sheet1.xml.rels. После этого EQNEDT32.EXE используется для инициирования выполнения вредоносного шелл-кода, который загружает файл VB-сценария с определенного URL-адреса. Этот скрипт извлекает JPG-изображение со скрытой полезной нагрузкой .NET в base64-кодировке. После декодирования этих данных в RegAsm.exe с помощью техники "впаивания" процесса внедряются варианты вредоносного ПО Remcos, AgentTesla и LimeRAT.
Remcos относится к типу RAT и обладает целым рядом возможностей, включая удаленный контроль над компьютерами жертв, кражу данных, кейлоггинг, захват экрана, манипулирование файлами и возможность выполнения команд. Он часто используется ТА для несанкционированного доступа, утечки данных и других вредоносных действий. Agent Tesla функционирует как RAT и средство хищения данных на базе .NET и обычно используется для защиты начального доступа. Он проникает на компьютеры жертв, записывая нажатия клавиш, делая скриншоты и собирая конфиденциальную информацию. С другой стороны, LimeRAT - это RAT, ориентированная на несанкционированный контроль над взломанными системами. Его вредоносные действия включают шифрование файлов и принуждение жертв к выплате выкупа, майнинг криптовалюты, похищение конфиденциальной информации, распространение на другие устройства и организацию распределенных атак типа "отказ в обслуживании" (DDoS).
Спам по электронной почте предпочитают ТП из-за его доступности, низкой стоимости и использования человеческого поведения. Для защиты от таких атак необходимы надежные меры кибербезопасности, обучение пользователей и стратегии проактивной защиты.
#ParsedReport #CompletenessLow
25-08-2023
Lockbit leak, research opportunities on tools leaked from TAs
https://securelist.com/lockbit-ransomware-builder-analysis/110370
Report completeness: Low
Actors/Campaigns:
Bl00dy
Threats:
Lockbit
Trojan.win32.inject.aokvy
Industry:
Financial
Geo:
Francesco
ChatGPT TTPs:
T1087, T1087, T1119, T1572, T1569, T1570, T1027, T1070, T1489, T1490, have more...
IOCs:
File: 2
Soft:
psexec
Algorithms:
xor, base64, ror13
Functions:
GetLucky
25-08-2023
Lockbit leak, research opportunities on tools leaked from TAs
https://securelist.com/lockbit-ransomware-builder-analysis/110370
Report completeness: Low
Actors/Campaigns:
Bl00dy
Threats:
Lockbit
Trojan.win32.inject.aokvy
Industry:
Financial
Geo:
Francesco
ChatGPT TTPs:
do not use without manual checkT1087, T1087, T1119, T1572, T1569, T1570, T1027, T1070, T1489, T1490, have more...
IOCs:
File: 2
Soft:
psexec
Algorithms:
xor, base64, ror13
Functions:
GetLucky
Securelist
Lockbit leak, research opportunities on tools leaked from TAs
In September of 2022, multiple security news professionals wrote about and confirmed the leakage of a builder for Lockbit 3 ransomware. In this post we provide the analysis of the builder and recently discovered builds.
CTT Report Hub
#ParsedReport #CompletenessLow 25-08-2023 Lockbit leak, research opportunities on tools leaked from TAs https://securelist.com/lockbit-ransomware-builder-analysis/110370 Report completeness: Low Actors/Campaigns: Bl00dy Threats: Lockbit Trojan.win32.inject.aokvy…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Lockbit 3 - широко распространенный штамм вымогательского ПО, имеющий партнерскую программу и программу вознаграждения за ошибки. Компания GERT проанализировала конструктор для Lockbit 3 и обнаружила, что он используется не только группой разработчиков Lockbit, но и другими лицами.
-----
Lockbit - один из самых распространенных штаммов ransomware, который имеет партнерскую программу для тех, кто участвует в его распространении. Кроме того, существует программа вознаграждения исследователей безопасности, которые находят уязвимости, позволяющие расшифровывать файлы без уплаты выкупа. Lockbit v3, также известный как Lockbit Black, был впервые обнаружен в июне 2022 года. Он способен использовать зашифрованные исполняемые файлы со случайно сгенерированными паролями. В сентябре 2022 года произошла утечка билдера для Lockbit 3, позволяющего любому желающему создать собственную версию этой программы-рансома.
В ходе инцидента, проведенного компанией GERT, был обнаружен вариант Lockbit 3, используемый для шифрования критически важных систем. При вторжении использовалась тактика, аналогичная тем, что применяются восемью основными группами ransomware для разведки, сбора информации, сбора и развертывания. Процедура требования выкупа отличалась от той, которую обычно использует группа Lockbit. В записке с требованием выкупа указывалась сумма, которую необходимо заплатить за получение ключей, и направлялись сообщения в службу Tox и по электронной почте.
Команда GERT компании "Касперский" решила проанализировать сборщик Lockbit 3, чтобы понять методику его построения и выявить возможности дополнительного анализа. В ходе анализа были выявлены параметры, принудительно заложенные в вредоносную программу, такие как убийство сервисов, процессов, защитника и журналов, а также опции самоуничтожения и отсутствия выключения системы. 90% образцов настраивают развертывание сети с помощью PSEXEC или GPO и редко используют C2-коммуникации. 77 образцов не содержат ссылок на Lockbit, что позволяет предположить, что сборщик используется не оригинальной группой Lockbit.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Lockbit 3 - широко распространенный штамм вымогательского ПО, имеющий партнерскую программу и программу вознаграждения за ошибки. Компания GERT проанализировала конструктор для Lockbit 3 и обнаружила, что он используется не только группой разработчиков Lockbit, но и другими лицами.
-----
Lockbit - один из самых распространенных штаммов ransomware, который имеет партнерскую программу для тех, кто участвует в его распространении. Кроме того, существует программа вознаграждения исследователей безопасности, которые находят уязвимости, позволяющие расшифровывать файлы без уплаты выкупа. Lockbit v3, также известный как Lockbit Black, был впервые обнаружен в июне 2022 года. Он способен использовать зашифрованные исполняемые файлы со случайно сгенерированными паролями. В сентябре 2022 года произошла утечка билдера для Lockbit 3, позволяющего любому желающему создать собственную версию этой программы-рансома.
В ходе инцидента, проведенного компанией GERT, был обнаружен вариант Lockbit 3, используемый для шифрования критически важных систем. При вторжении использовалась тактика, аналогичная тем, что применяются восемью основными группами ransomware для разведки, сбора информации, сбора и развертывания. Процедура требования выкупа отличалась от той, которую обычно использует группа Lockbit. В записке с требованием выкупа указывалась сумма, которую необходимо заплатить за получение ключей, и направлялись сообщения в службу Tox и по электронной почте.
Команда GERT компании "Касперский" решила проанализировать сборщик Lockbit 3, чтобы понять методику его построения и выявить возможности дополнительного анализа. В ходе анализа были выявлены параметры, принудительно заложенные в вредоносную программу, такие как убийство сервисов, процессов, защитника и журналов, а также опции самоуничтожения и отсутствия выключения системы. 90% образцов настраивают развертывание сети с помощью PSEXEC или GPO и редко используют C2-коммуникации. 77 образцов не содержат ссылок на Lockbit, что позволяет предположить, что сборщик используется не оригинальной группой Lockbit.
#technique
Bypassing Bitlocker using a cheap logic analyzer on a Lenovo laptop
https://www.errno.fr/BypassingBitlocker
Bypassing Bitlocker using a cheap logic analyzer on a Lenovo laptop
https://www.errno.fr/BypassingBitlocker
#technique
Abusing mhyprotect to kill AVs / EDRs / XDRs / Protected Processes.
https://github.com/zer0condition/mhydeath
Abusing mhyprotect to kill AVs / EDRs / XDRs / Protected Processes.
https://github.com/zer0condition/mhydeath
GitHub
GitHub - zer0condition/mhydeath: Abusing mhyprotect to kill AVs / EDRs / XDRs / Protected Processes.
Abusing mhyprotect to kill AVs / EDRs / XDRs / Protected Processes. - zer0condition/mhydeath
#ParsedReport #CompletenessLow
28-08-2023
The Fraud Gala: Exploring a Recent BEC Campaign
https://blog.cluster25.duskrise.com/2023/08/25/the-fraud-gala-bec
Report completeness: Low
Actors/Campaigns:
Bec (motivation: cyber_criminal)
Victims:
Companies in the us, canada, and italy in the technology, financial, energy, and logistics sectors
Industry:
Foodtech, Energy, Financial, Logistic
Geo:
Canada, Italy
TTPs:
Tactics: 3
Technics: 5
IOCs:
Email: 4
Platforms:
intel
28-08-2023
The Fraud Gala: Exploring a Recent BEC Campaign
https://blog.cluster25.duskrise.com/2023/08/25/the-fraud-gala-bec
Report completeness: Low
Actors/Campaigns:
Bec (motivation: cyber_criminal)
Victims:
Companies in the us, canada, and italy in the technology, financial, energy, and logistics sectors
Industry:
Foodtech, Energy, Financial, Logistic
Geo:
Canada, Italy
TTPs:
Tactics: 3
Technics: 5
IOCs:
Email: 4
Platforms:
intel
Duskrise
The Fraud Gala: Exploring a Recent BEC Campaign
Cluster25 analyzed a recent BEC attack using donations for non-profit foundations
CTT Report Hub
#ParsedReport #CompletenessLow 28-08-2023 The Fraud Gala: Exploring a Recent BEC Campaign https://blog.cluster25.duskrise.com/2023/08/25/the-fraud-gala-bec Report completeness: Low Actors/Campaigns: Bec (motivation: cyber_criminal) Victims: Companies…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Мошенничество с использованием BEC представляет собой серьезную угрозу для организаций любого размера, и организациям следует принять меры по защите от этого мошенничества.
-----
Мошенничества, связанные с компрометацией деловой электронной почты (BEC), представляют собой серьезную угрозу для организаций любого масштаба. Злоумышленники выдают себя за ключевых фигур в организации, таких как руководители или доверенные партнеры, чтобы обманом заставить сотрудников выполнить действия, выгодные злоумышленникам. К распространенным видам BEC-мошенничества относятся мошенничество с использованием имени генерального директора, когда мошенники выдают себя за высокопоставленных руководителей, требуя срочного перевода средств, и мошенничество с использованием фальшивых счетов, когда сотрудники, ответственные за обработку платежей, перенаправляют их на поддельные счета.
Недавно компания Cluster25 наблюдала BEC-кампанию, в которой в качестве приманки использовалось пожертвование в некоммерческий фонд, а в качестве CC указывался адрес электронной почты генерального директора. Атака заключалась в имитации разговора с генеральным директором компании, в ходе которого он соглашался на просьбу о пожертвовании. Мошенническое письмо содержало два PDF-файла: один с налоговой информацией, другой - со счетом-фактурой на сумму пожертвования и банковскими реквизитами.
Атаке подверглись компании из США, Канады и Италии, работающие в технологическом, финансовом, энергетическом и логистическом секторах. Все темы электронных писем касались торжественного мероприятия и возможности спонсорства. Злоумышленник использовал банковский счет, зарегистрированный на PNC Bank в Питтсбурге.
После выявления атаки BEC важно принять меры по снижению ущерба. Организации должны обеспечить осведомленность сотрудников о риске атак BEC, а также наличие соответствующих средств контроля и процедур для выявления и пресечения подозрительной активности. Например, сотрудники должны быть обучены распознавать признаки атаки BEC, такие как необычные запросы на перевод средств или изменения в процессах оплаты.
Наконец, организациям следует убедиться в наличии надежных планов реагирования на инциденты, позволяющих быстро обнаружить и отреагировать на любую BEC-атаку. Это должно включать наличие специальной группы, которая может расследовать любые подозрительные действия, а также возможность связаться с правоохранительными и другими соответствующими органами в случае необходимости.
Осознавая угрозу BEC-атак и принимая необходимые меры по защите своей организации, предприятия могут значительно снизить риски, связанные с этими мошенничествами.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Мошенничество с использованием BEC представляет собой серьезную угрозу для организаций любого размера, и организациям следует принять меры по защите от этого мошенничества.
-----
Мошенничества, связанные с компрометацией деловой электронной почты (BEC), представляют собой серьезную угрозу для организаций любого масштаба. Злоумышленники выдают себя за ключевых фигур в организации, таких как руководители или доверенные партнеры, чтобы обманом заставить сотрудников выполнить действия, выгодные злоумышленникам. К распространенным видам BEC-мошенничества относятся мошенничество с использованием имени генерального директора, когда мошенники выдают себя за высокопоставленных руководителей, требуя срочного перевода средств, и мошенничество с использованием фальшивых счетов, когда сотрудники, ответственные за обработку платежей, перенаправляют их на поддельные счета.
Недавно компания Cluster25 наблюдала BEC-кампанию, в которой в качестве приманки использовалось пожертвование в некоммерческий фонд, а в качестве CC указывался адрес электронной почты генерального директора. Атака заключалась в имитации разговора с генеральным директором компании, в ходе которого он соглашался на просьбу о пожертвовании. Мошенническое письмо содержало два PDF-файла: один с налоговой информацией, другой - со счетом-фактурой на сумму пожертвования и банковскими реквизитами.
Атаке подверглись компании из США, Канады и Италии, работающие в технологическом, финансовом, энергетическом и логистическом секторах. Все темы электронных писем касались торжественного мероприятия и возможности спонсорства. Злоумышленник использовал банковский счет, зарегистрированный на PNC Bank в Питтсбурге.
После выявления атаки BEC важно принять меры по снижению ущерба. Организации должны обеспечить осведомленность сотрудников о риске атак BEC, а также наличие соответствующих средств контроля и процедур для выявления и пресечения подозрительной активности. Например, сотрудники должны быть обучены распознавать признаки атаки BEC, такие как необычные запросы на перевод средств или изменения в процессах оплаты.
Наконец, организациям следует убедиться в наличии надежных планов реагирования на инциденты, позволяющих быстро обнаружить и отреагировать на любую BEC-атаку. Это должно включать наличие специальной группы, которая может расследовать любые подозрительные действия, а также возможность связаться с правоохранительными и другими соответствующими органами в случае необходимости.
Осознавая угрозу BEC-атак и принимая необходимые меры по защите своей организации, предприятия могут значительно снизить риски, связанные с этими мошенничествами.
#ParsedReport #CompletenessLow
28-08-2023
Rogue Scripts Are Exploiting OTP Verification APIs To Send Heaps of OTP SMSes, Hold The Potential Of Triggering Service Disruptions.
https://www.cloudsek.com/threatintelligence/rogue-scripts-are-exploiting-otp-verification-apis-to-send-heaps-of-otp-smses-hold-the-potential-of-triggering-service-disruptions
Report completeness: Low
Threats:
Sms_bomber
Victims:
Indian companies and their apis
Industry:
Telco, Financial
Geo:
Indonesia, Indian, India, Russia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1188, T1097, T1498, T1568
Links:
28-08-2023
Rogue Scripts Are Exploiting OTP Verification APIs To Send Heaps of OTP SMSes, Hold The Potential Of Triggering Service Disruptions.
https://www.cloudsek.com/threatintelligence/rogue-scripts-are-exploiting-otp-verification-apis-to-send-heaps-of-otp-smses-hold-the-potential-of-triggering-service-disruptions
Report completeness: Low
Threats:
Sms_bomber
Victims:
Indian companies and their apis
Industry:
Telco, Financial
Geo:
Indonesia, Indian, India, Russia
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1188, T1097, T1498, T1568
Links:
https://github.com/TheSpeedX/TBombhttps://github.com/iMro0t/bomb3rhttps://github.com/LimerBoy/Impulse/blob/master/tools/SMS/services.jsonhttps://github.com/Priyans0830m/DDOS-BOMBER/tree/mainhttps://github.com/bhattsameer/Bombers/tree/masterhttps://github.com/ebankoff/Beast\_Bomberhttps://github.com/anubhavanonymous/XLR8\_BOMBERCloudsek
Rogue Scripts Are Exploiting OTP Verification APIs To Send Heaps of OTP SMSes, Hold The Potential Of Triggering Service Disruptions.…
Discover how CloudSEK's AI-powered XVigil platform identified concerning GitHub repositories mentioning Indian companies and their APIs.
CTT Report Hub
#ParsedReport #CompletenessLow 28-08-2023 Rogue Scripts Are Exploiting OTP Verification APIs To Send Heaps of OTP SMSes, Hold The Potential Of Triggering Service Disruptions. https://www.cloudsek.com/threatintelligence/rogue-scripts-are-exploiting-otp-verification…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Платформа XVigil компании CloudSEK помогает организациям выявлять вредоносную активность, связанную с SMS-бомберами, например, неконтролируемую рассылку SMS, которая может привести к перебоям в работе телекоммуникационных сервисов, захвату учетных записей, а также атаки на усталость или истощение MFA. Компаниям также следует использовать ограничение скорости и защиту CAPTCHA, а также информировать клиентов о рисках, связанных с вредоносными SMS-бомбардировщиками.
-----
Платформа XVigil компании CloudSEK, работающая на основе искусственного интеллекта, обнаружила на GitHub репозитории индийских компаний и их API, которые позволяют неограниченно использовать возможности OTP SMS. Это представляет опасность, поскольку позволяет осуществлять неконтролируемую SMS-рассылку без ограничений по скорости или CAPTCHA, что может быть использовано автоматизированными инструментами. Такое злоупотребление может привести к более высоким, чем ожидалось, затратам на API, юридическим последствиям и негативному влиянию на общественный имидж компании.
Угрожающие лица разработали автоматизированное программное обеспечение, которое использует конечные точки генерации OTP для отправки большого количества сообщений OTP. Это может привести к целенаправленному отключению телекоммуникационных услуг, а также к сценариям захвата учетных записей. Кроме того, это может привести к атакам типа "усталость" или "истощение" MFA.
Пользователь SMS-бомбардировщика указывает целевой телефонный номер или список телефонных номеров, на которые он хочет рассылать сообщения. Эта информация может быть введена вручную или импортирована из файла. Простой поисковый запрос в Google даст вам результаты по SMS-бомбардировщикам.
Платформа XVigil компании CloudSEK помогает организациям обнаружить подобные вредоносные действия, чтобы предотвратить злоупотребление API и защитить данные своих клиентов. Кроме того, компаниям следует использовать ограничение скорости и защиту CAPTCHA на конечных точках API, а также следить за необычной активностью. Кроме того, компании должны информировать своих клиентов о рисках, связанных с вредоносными SMS-бомбардировщиками, и о том, как их избежать.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Платформа XVigil компании CloudSEK помогает организациям выявлять вредоносную активность, связанную с SMS-бомберами, например, неконтролируемую рассылку SMS, которая может привести к перебоям в работе телекоммуникационных сервисов, захвату учетных записей, а также атаки на усталость или истощение MFA. Компаниям также следует использовать ограничение скорости и защиту CAPTCHA, а также информировать клиентов о рисках, связанных с вредоносными SMS-бомбардировщиками.
-----
Платформа XVigil компании CloudSEK, работающая на основе искусственного интеллекта, обнаружила на GitHub репозитории индийских компаний и их API, которые позволяют неограниченно использовать возможности OTP SMS. Это представляет опасность, поскольку позволяет осуществлять неконтролируемую SMS-рассылку без ограничений по скорости или CAPTCHA, что может быть использовано автоматизированными инструментами. Такое злоупотребление может привести к более высоким, чем ожидалось, затратам на API, юридическим последствиям и негативному влиянию на общественный имидж компании.
Угрожающие лица разработали автоматизированное программное обеспечение, которое использует конечные точки генерации OTP для отправки большого количества сообщений OTP. Это может привести к целенаправленному отключению телекоммуникационных услуг, а также к сценариям захвата учетных записей. Кроме того, это может привести к атакам типа "усталость" или "истощение" MFA.
Пользователь SMS-бомбардировщика указывает целевой телефонный номер или список телефонных номеров, на которые он хочет рассылать сообщения. Эта информация может быть введена вручную или импортирована из файла. Простой поисковый запрос в Google даст вам результаты по SMS-бомбардировщикам.
Платформа XVigil компании CloudSEK помогает организациям обнаружить подобные вредоносные действия, чтобы предотвратить злоупотребление API и защитить данные своих клиентов. Кроме того, компаниям следует использовать ограничение скорости и защиту CAPTCHA на конечных точках API, а также следить за необычной активностью. Кроме того, компании должны информировать своих клиентов о рисках, связанных с вредоносными SMS-бомбардировщиками, и о том, как их избежать.
#ParsedReport #CompletenessHigh
28-08-2023
HTML Smuggling Leads to Domain Wide Ransomware
https://thedfirreport.com/2023/08/28/html-smuggling-leads-to-domain-wide-ransomware
Report completeness: High
Actors/Campaigns:
Shathak
Wizard_spider
Threats:
Smuggling_technique
Nokoyawa
Icedid
Cobalt_strike
Adfind_tool
Nltest_tool
Beacon
Sessiongopher_tool
Netscan_tool
Meterpreter_tool
Process_injection_technique
Industry:
Financial
Geo:
Bulgaria
TTPs:
Tactics: 11
Technics: 31
IOCs:
IP: 6
File: 14
Command: 4
Path: 9
Domain: 3
Hash: 16
Soft:
active directory, psexec, windows file explorer, openssl, softperfect network scanner, whatsapp
Algorithms:
gzip, zip, base64
Win API:
DllRegisterServer, CreateRemoteThread
Languages:
php
Platforms:
x86
YARA: Found
SIGMA: Found
Links:
28-08-2023
HTML Smuggling Leads to Domain Wide Ransomware
https://thedfirreport.com/2023/08/28/html-smuggling-leads-to-domain-wide-ransomware
Report completeness: High
Actors/Campaigns:
Shathak
Wizard_spider
Threats:
Smuggling_technique
Nokoyawa
Icedid
Cobalt_strike
Adfind_tool
Nltest_tool
Beacon
Sessiongopher_tool
Netscan_tool
Meterpreter_tool
Process_injection_technique
Industry:
Financial
Geo:
Bulgaria
TTPs:
Tactics: 11
Technics: 31
IOCs:
IP: 6
File: 14
Command: 4
Path: 9
Domain: 3
Hash: 16
Soft:
active directory, psexec, windows file explorer, openssl, softperfect network scanner, whatsapp
Algorithms:
gzip, zip, base64
Win API:
DllRegisterServer, CreateRemoteThread
Languages:
php
Platforms:
x86
YARA: Found
SIGMA: Found
Links:
https://github.com/ufrisk/MemProcFShttps://github.com/Arvanaghi/SessionGopher/blob/master/SessionGopher.ps1The DFIR Report
HTML Smuggling Leads to Domain Wide Ransomware
We’ve previously reported on a Nokoyawa ransomware case in which the initial access was via an Excel macro and IcedID malware. This case, which also ended in Nokoyawa Ransomware, involved the…
#ParsedReport #CompletenessLow
28-08-2023
JPCERT/CC Eyes
https://blogs.jpcert.or.jp/en/2023/08/maldocinpdf.html
Report completeness: Low
Threats:
Maldoc_in_pdf_technique
ChatGPT TTPs:
T1220.001, T1064, T1059.003
IOCs:
Url: 2
Hash: 3
Languages:
javascript
YARA: Found
Links:
28-08-2023
JPCERT/CC Eyes
https://blogs.jpcert.or.jp/en/2023/08/maldocinpdf.html
Report completeness: Low
Threats:
Maldoc_in_pdf_technique
ChatGPT TTPs:
do not use without manual checkT1220.001, T1064, T1059.003
IOCs:
Url: 2
Hash: 3
Languages:
javascript
YARA: Found
Links:
https://github.com/DidierStevens/DidierStevensSuite/blob/master/pdfid.pyhttps://github.com/decalage2/oletools/wiki/olevbaJPCERT/CC Eyes
MalDoc in PDF - Detection bypass by embedding a malicious Word file into a PDF file – - JPCERT/CC Eyes
JPCERT/CC has confirmed that a new technique was used in an attack that occurred in July, which bypasses detection by embedding a malicious Word file into a PDF file. This blog article calls the technique “MalDoc in PDF” hereafter and...
CTT Report Hub
#ParsedReport #CompletenessLow 28-08-2023 JPCERT/CC Eyes https://blogs.jpcert.or.jp/en/2023/08/maldocinpdf.html Report completeness: Low Threats: Maldoc_in_pdf_technique ChatGPT TTPs: do not use without manual check T1220.001, T1064, T1059.003 IOCs:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: MalDoc in PDF - это новая техника, используемая в атаке, которая обходит обнаружение путем встраивания вредоносного файла Word в PDF-файл, однако инструмент анализа OLEVBA все же может быть использован для противодействия этой технике.
-----
MalDoc in PDF - это новая техника, используемая в атаке, произошедшей в июле, которая обходит обнаружение путем встраивания вредоносного файла Word в файл PDF. Эта техника называется MalDoc in PDF и позволяет открыть вредоносный файл Word в Word, несмотря на то, что он имеет магические числа и файловую структуру PDF. Атака использует расширение файла .doc, поэтому, когда файл настроен на открытие в Word в настройках Windows, он открывается как файл Word.
При анализе файла, созданного MalDoc в формате PDF, скорее всего, средства анализа PDF, такие как pdfid, не смогут обнаружить его вредоносные части. Это связано с тем, что вредоносное поведение проявляется только при открытии файла в Word, но не при его открытии в программах просмотра PDF. Кроме того, поскольку файл распознается как PDF-файл, существующее антивирусное программное обеспечение может его не обнаружить.
Для борьбы с этой техникой все же можно использовать OLEVBA, инструмент анализа вредоносных файлов Word. OLEVBA выводит встроенные макросы, что позволяет проверить вредоносную часть файла по результатам анализа, проведенного инструментом. Однако MalDoc in PDF не обходит настройку, отключающую автоисполнение в Word макросов. Поэтому при проведении автоматизированного анализа вредоносного ПО с использованием тех или иных инструментов, "песочницы" и т.д. необходимо ориентироваться на результаты обнаружения.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: MalDoc in PDF - это новая техника, используемая в атаке, которая обходит обнаружение путем встраивания вредоносного файла Word в PDF-файл, однако инструмент анализа OLEVBA все же может быть использован для противодействия этой технике.
-----
MalDoc in PDF - это новая техника, используемая в атаке, произошедшей в июле, которая обходит обнаружение путем встраивания вредоносного файла Word в файл PDF. Эта техника называется MalDoc in PDF и позволяет открыть вредоносный файл Word в Word, несмотря на то, что он имеет магические числа и файловую структуру PDF. Атака использует расширение файла .doc, поэтому, когда файл настроен на открытие в Word в настройках Windows, он открывается как файл Word.
При анализе файла, созданного MalDoc в формате PDF, скорее всего, средства анализа PDF, такие как pdfid, не смогут обнаружить его вредоносные части. Это связано с тем, что вредоносное поведение проявляется только при открытии файла в Word, но не при его открытии в программах просмотра PDF. Кроме того, поскольку файл распознается как PDF-файл, существующее антивирусное программное обеспечение может его не обнаружить.
Для борьбы с этой техникой все же можно использовать OLEVBA, инструмент анализа вредоносных файлов Word. OLEVBA выводит встроенные макросы, что позволяет проверить вредоносную часть файла по результатам анализа, проведенного инструментом. Однако MalDoc in PDF не обходит настройку, отключающую автоисполнение в Word макросов. Поэтому при проведении автоматизированного анализа вредоносного ПО с использованием тех или иных инструментов, "песочницы" и т.д. необходимо ориентироваться на результаты обнаружения.
#ParsedReport #CompletenessHigh
28-08-2023
Telekom Security. Shining some light on the DarkGate loader
https://github.security.telekom.com/2023/08/darkgate-loader.html
Report completeness: High
Threats:
Darkgate
Emotet
Junk_code_technique
Process_hollowing_technique
Rastafareye_actor
Industry:
Telco
Geo:
Spanish, Spain, Russian
TTPs:
Tactics: 7
Technics: 0
IOCs:
File: 1
Email: 1
Hash: 1
Soft:
curl, discord, telegram
Algorithms:
sha256, base64, xor
Win API:
VirtualProtect
Languages:
visual_basic, delphi, autoit
Platforms:
x64
YARA: Found
Links:
28-08-2023
Telekom Security. Shining some light on the DarkGate loader
https://github.security.telekom.com/2023/08/darkgate-loader.html
Report completeness: High
Threats:
Darkgate
Emotet
Junk_code_technique
Process_hollowing_technique
Rastafareye_actor
Industry:
Telco
Geo:
Spanish, Spain, Russian
TTPs:
Tactics: 7
Technics: 0
IOCs:
File: 1
Email: 1
Hash: 1
Soft:
curl, discord, telegram
Algorithms:
sha256, base64, xor
Win API:
VirtualProtect
Languages:
visual_basic, delphi, autoit
Platforms:
x64
YARA: Found
Links:
https://github.com/fossabot/myAut2Exehttps://github.com/huettenhain/dhrakehttps://github.com/PonyPC/myaut\_contribhttps://github.com/telekom-security/malware\_analysis/blob/main/darkgate/extractor.pyhttps://github.com/crypto2011/IDRTelekom
Shining some light on the DarkGate loader
Telekom Security research and publications
CTT Report Hub
#ParsedReport #CompletenessHigh 28-08-2023 Telekom Security. Shining some light on the DarkGate loader https://github.security.telekom.com/2023/08/darkgate-loader.html Report completeness: High Threats: Darkgate Emotet Junk_code_technique Process_hollowing_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: DarkGate - вредоносная программа, разработанная актером RastaFarEye и рекламируемая на киберпреступных форумах с июня 2021 года. Она содержит методы уклонения, антианалитические приемы и более 100 команд. Он запрограммирован и скомпилирован с использованием Delphi и в настоящее время доступен для аренды ограниченному числу аффилированных лиц.
-----
Недавно специалисты Telekom Security CTI обнаружили вредоносную кампанию, распространяемую через фишинговые письма и ложно приписываемую вредоносной программе Emotet. После дальнейшего анализа выяснилось, что на самом деле это DarkGate - вредоносная программа, разработанная человеком под ником RastaFarEye и рекламируемая на киберпреступных форумах с июня 2021 года. Вредоносная программа имеет встроенные методы уклонения, конфигурацию вредоносного кода и различные функции. В настоящее время она доступна для аренды ограниченному числу аффилированных лиц и, вероятно, будет представлять постоянную угрозу в ближайшем будущем.
Вредоносная полезная нагрузка поставляется в виде инсталляторов MSI или скриптов Visual Basic, причем последние содержат обфусцированный код, вызывающий двоичный файл curl для загрузки исполняемого файла AutoIt и файла скрипта с контролируемого злоумышленником сервера. Единственной целью скрипта является выполнение шелл-кода, содержащегося в виде шестнадцатеричной строки, в которую внедряется PE-файл в виде стековых строк. PE-файл зашифрован однобайтовым XOR-ключом и может быть расшифрован с помощью нестандартной алфавитной таблицы.
DarkGate содержит несколько механизмов уклонения от защиты и приемов антианализа, таких как запись своей копии на диск, создание ключа запуска в реестре для сохранения, поиск известных антивирусных продуктов, маскировка своего присутствия и внедрение в легитимные процессы Windows. Кроме того, он способен похищать пароли, cookies и другие конфиденциальные данные из системы жертвы, а также собирать произвольные файлы по запросу через канал C2.
Вредоносная программа содержит главный цикл C2, который опрашивает сервер C2 на предмет новых команд, выполняет их и отсылает результаты. Существует более 100 различных команд, среди которых сбор информации, самоуправление, самообновление, кража, криптомайнер, RAT и управление файлами. Разработчик предлагает различные ценовые модели для аренды вредоносной программы и ограничивает доступ не более чем 10 аффилированными лицами (слотами), чтобы сохранить конфиденциальность проекта.
Для выявления различных кампаний или филиалов исследователи могут отслеживать определенные комбинации конфигурационных флагов. Вредоносная программа запрограммирована и скомпилирована на Delphi и использует для извлечения конфиденциальных данных несколько легитимных свободно распространяемых инструментов, опубликованных компанией Nirsoft. Разработчик вложил в проект более 20 тыс. часов с 2017 года и владеет английским и испанским языками.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: DarkGate - вредоносная программа, разработанная актером RastaFarEye и рекламируемая на киберпреступных форумах с июня 2021 года. Она содержит методы уклонения, антианалитические приемы и более 100 команд. Он запрограммирован и скомпилирован с использованием Delphi и в настоящее время доступен для аренды ограниченному числу аффилированных лиц.
-----
Недавно специалисты Telekom Security CTI обнаружили вредоносную кампанию, распространяемую через фишинговые письма и ложно приписываемую вредоносной программе Emotet. После дальнейшего анализа выяснилось, что на самом деле это DarkGate - вредоносная программа, разработанная человеком под ником RastaFarEye и рекламируемая на киберпреступных форумах с июня 2021 года. Вредоносная программа имеет встроенные методы уклонения, конфигурацию вредоносного кода и различные функции. В настоящее время она доступна для аренды ограниченному числу аффилированных лиц и, вероятно, будет представлять постоянную угрозу в ближайшем будущем.
Вредоносная полезная нагрузка поставляется в виде инсталляторов MSI или скриптов Visual Basic, причем последние содержат обфусцированный код, вызывающий двоичный файл curl для загрузки исполняемого файла AutoIt и файла скрипта с контролируемого злоумышленником сервера. Единственной целью скрипта является выполнение шелл-кода, содержащегося в виде шестнадцатеричной строки, в которую внедряется PE-файл в виде стековых строк. PE-файл зашифрован однобайтовым XOR-ключом и может быть расшифрован с помощью нестандартной алфавитной таблицы.
DarkGate содержит несколько механизмов уклонения от защиты и приемов антианализа, таких как запись своей копии на диск, создание ключа запуска в реестре для сохранения, поиск известных антивирусных продуктов, маскировка своего присутствия и внедрение в легитимные процессы Windows. Кроме того, он способен похищать пароли, cookies и другие конфиденциальные данные из системы жертвы, а также собирать произвольные файлы по запросу через канал C2.
Вредоносная программа содержит главный цикл C2, который опрашивает сервер C2 на предмет новых команд, выполняет их и отсылает результаты. Существует более 100 различных команд, среди которых сбор информации, самоуправление, самообновление, кража, криптомайнер, RAT и управление файлами. Разработчик предлагает различные ценовые модели для аренды вредоносной программы и ограничивает доступ не более чем 10 аффилированными лицами (слотами), чтобы сохранить конфиденциальность проекта.
Для выявления различных кампаний или филиалов исследователи могут отслеживать определенные комбинации конфигурационных флагов. Вредоносная программа запрограммирована и скомпилирована на Delphi и использует для извлечения конфиденциальных данных несколько легитимных свободно распространяемых инструментов, опубликованных компанией Nirsoft. Разработчик вложил в проект более 20 тыс. часов с 2017 года и владеет английским и испанским языками.
#ParsedReport #CompletenessLow
28-08-2023
dreaming blue bird
https://wezard4u-tistory-com.translate.goog/6562?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp
Report completeness: Low
Actors/Campaigns:
Kimsuky
Threats:
Powerstats
Abrisk
Starslord
Casdet
Industry:
Education
Geo:
Korea
IOCs:
File: 14
Hash: 3
Path: 2
Soft:
chrome, outlook, curl, windows com, component object model, windows registry
Algorithms:
sha1, crc-32, sha256
28-08-2023
dreaming blue bird
https://wezard4u-tistory-com.translate.goog/6562?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp
Report completeness: Low
Actors/Campaigns:
Kimsuky
Threats:
Powerstats
Abrisk
Starslord
Casdet
Industry:
Education
Geo:
Korea
IOCs:
File: 14
Hash: 3
Path: 2
Soft:
chrome, outlook, curl, windows com, component object model, windows registry
Algorithms:
sha1, crc-32, sha256
꿈을꾸는 파랑새
김수키(Kimsuky) 에서 만든 악성코드-Consent Form_Princeton Study.vbs(2023.8.14)
오늘은 북한 해킹 조직인 김수키(Kimsuky) 에서 만든 악성코드인 Consent Form_Princeton Study.vbs(2023.8.14)에 대해 글을 적어 보겠습니다. 먼저 해당 악성코드의 해쉬값은 다음과 같습니다. 파일명: Consent Form_Princeton Study.vbs 사이즈:34.2 KB CRC32:249e824b MD5:ca8728ce8f77cfc804f9ce343de9c9ee SHA-1:1af5d54ed7dc4e87268…
#ParsedReport #CompletenessMedium
28-08-2023
NPM Package Masquerading as Email Validator Contains C2 and Sophisticated Data Exfiltration. The attack chain
https://blog.phylum.io/npm-emails-validator-package-malware
Report completeness: Medium
Threats:
Cobalt_strike
Dnscat2_tool
Mettle
Beacon
Meterpreter_tool
Metasploit_tool
Supply_chain_technique
Victims:
Javascript developers
Geo:
French
IOCs:
File: 6
Domain: 2
Hash: 12
Soft:
docker, node.js, macos, android
Algorithms:
base64, pbkdf2
Functions:
w, resolveTxt
Languages:
javascript
Links:
28-08-2023
NPM Package Masquerading as Email Validator Contains C2 and Sophisticated Data Exfiltration. The attack chain
https://blog.phylum.io/npm-emails-validator-package-malware
Report completeness: Medium
Threats:
Cobalt_strike
Dnscat2_tool
Mettle
Beacon
Meterpreter_tool
Metasploit_tool
Supply_chain_technique
Victims:
Javascript developers
Geo:
French
IOCs:
File: 6
Domain: 2
Hash: 12
Soft:
docker, node.js, macos, android
Algorithms:
base64, pbkdf2
Functions:
w, resolveTxt
Languages:
javascript
Links:
https://github.com/marketplace/phylum-iohttps://github.com/rapid7/metasploit-frameworkhttps://github.com/rapid7/mettlehttps://github.com/iagox86/dnscat2Phylum Research | Software Supply Chain Security
Sophisticated NPM malware hiding in email validator
Encrypted binaries, DNS exfiltration, and sophisticated attack chains hidden among a benign email validation tool.
CTT Report Hub
#ParsedReport #CompletenessMedium 28-08-2023 NPM Package Masquerading as Email Validator Contains C2 and Sophisticated Data Exfiltration. The attack chain https://blog.phylum.io/npm-emails-validator-package-malware Report completeness: Medium Threats:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Этот последний инцидент знаменует собой еще одну сложную атаку на разработчиков JavaScript, в которой для утечки конфиденциальных данных используются записи DNS TXT, расшифровка и выполнение двоичных файлов. Хакерам, специалистам по исследованию данных и инженерам важно сохранять бдительность.
-----
Утром 24 августа автоматическая система обнаружения рисков компании Phylum выявила подозрительный пакет, опубликованный на npm под названием emails-helper. При более глубоком исследовании выяснилось, что этот пакет является частью сложной атаки с использованием Base64-кодированных и зашифрованных двоичных файлов. Ключи шифрования извлекаются из TXT-записи DNS, размещенной на удаленном сервере. Кроме того, с этого же сервера извлекается URL-адрес в шестнадцатеричной кодировке, который затем передается порожденным двоичным файлам. Конечный результат - развертывание мощных средств тестирования на проникновение, таких как dnscat2, mettle и Cobalt Strike Beacon.
Когда пользователь выполняет команду "npm install" для пакета, предустановочный хук в файле package.json немедленно запускает init.js. Этот минифицированный, обфусцированный и очень сложный кусок кода затем передает ключи шифрования и URL-адрес сервера C2 с удаленного сервера. Он также извлекает чувствительную информацию о машине и файлах и кодирует их. Затем происходит утечка данных через HTTP или DNS. Затем пакет декодирует и расшифровывает поставляемые с ним двоичные файлы и запускает соответствующий двоичный файл как можно тише, после чего завершает работу.
Этот последний инцидент знаменует собой очередную сложную атаку на цепочки поставок, направленную на разработчиков JavaScript. Обычно подобные атаки дают некоторые подсказки о конкретных разработчиках или организациях, против которых они направлены. Однако в данном случае такие индикаторы отсутствуют. Вредоносный пакет под названием "emails-helper", судя по всему, имеет удивительно общий и широкий охват, особенно если учесть его методы эксфильтрации данных и использование таких мощных инструментов, как dnscat2, mettle или Cobalt Strike Beacon.
Эта атака особенно сложна, поскольку предполагает получение ключей шифрования и URL-адресов C2-серверов через TXT-записи DNS, а затем расшифровку и выполнение двоичного файла "на лету". Подобные атаки представляют огромную угрозу для разработчиков, поэтому хакерам, специалистам по изучению данных и инженерам, отвечающим за выявление и уничтожение злоумышленников в цепочке поставок ПО, важно сохранять бдительность.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Этот последний инцидент знаменует собой еще одну сложную атаку на разработчиков JavaScript, в которой для утечки конфиденциальных данных используются записи DNS TXT, расшифровка и выполнение двоичных файлов. Хакерам, специалистам по исследованию данных и инженерам важно сохранять бдительность.
-----
Утром 24 августа автоматическая система обнаружения рисков компании Phylum выявила подозрительный пакет, опубликованный на npm под названием emails-helper. При более глубоком исследовании выяснилось, что этот пакет является частью сложной атаки с использованием Base64-кодированных и зашифрованных двоичных файлов. Ключи шифрования извлекаются из TXT-записи DNS, размещенной на удаленном сервере. Кроме того, с этого же сервера извлекается URL-адрес в шестнадцатеричной кодировке, который затем передается порожденным двоичным файлам. Конечный результат - развертывание мощных средств тестирования на проникновение, таких как dnscat2, mettle и Cobalt Strike Beacon.
Когда пользователь выполняет команду "npm install" для пакета, предустановочный хук в файле package.json немедленно запускает init.js. Этот минифицированный, обфусцированный и очень сложный кусок кода затем передает ключи шифрования и URL-адрес сервера C2 с удаленного сервера. Он также извлекает чувствительную информацию о машине и файлах и кодирует их. Затем происходит утечка данных через HTTP или DNS. Затем пакет декодирует и расшифровывает поставляемые с ним двоичные файлы и запускает соответствующий двоичный файл как можно тише, после чего завершает работу.
Этот последний инцидент знаменует собой очередную сложную атаку на цепочки поставок, направленную на разработчиков JavaScript. Обычно подобные атаки дают некоторые подсказки о конкретных разработчиках или организациях, против которых они направлены. Однако в данном случае такие индикаторы отсутствуют. Вредоносный пакет под названием "emails-helper", судя по всему, имеет удивительно общий и широкий охват, особенно если учесть его методы эксфильтрации данных и использование таких мощных инструментов, как dnscat2, mettle или Cobalt Strike Beacon.
Эта атака особенно сложна, поскольку предполагает получение ключей шифрования и URL-адресов C2-серверов через TXT-записи DNS, а затем расшифровку и выполнение двоичного файла "на лету". Подобные атаки представляют огромную угрозу для разработчиков, поэтому хакерам, специалистам по изучению данных и инженерам, отвечающим за выявление и уничтожение злоумышленников в цепочке поставок ПО, важно сохранять бдительность.
#ParsedReport #CompletenessMedium
25-08-2023
Adversary On The Defense: ANTIBOT.PW
https://inquest.net/blog/adversary-on-the-defense-antibot-pw
Report completeness: Medium
Threats:
Antibot
Cloaking_technique
Killbot
Phisher
Sendinbox_tool
Indoxploit_tool
Industry:
Financial
Geo:
Indonesian, Indonesia
ChatGPT TTPs:
T1572, T1133, T1543
IOCs:
Url: 4
Domain: 4
Hash: 2
File: 3
Email: 1
IP: 7
Functions:
get_client_ip
Languages:
php, javascript
Platforms:
apple
Links:
25-08-2023
Adversary On The Defense: ANTIBOT.PW
https://inquest.net/blog/adversary-on-the-defense-antibot-pw
Report completeness: Medium
Threats:
Antibot
Cloaking_technique
Killbot
Phisher
Sendinbox_tool
Indoxploit_tool
Industry:
Financial
Geo:
Indonesian, Indonesia
ChatGPT TTPs:
do not use without manual checkT1572, T1133, T1543
IOCs:
Url: 4
Domain: 4
Hash: 2
File: 3
Email: 1
IP: 7
Functions:
get_client_ip
Languages:
php, javascript
Platforms:
apple
Links:
https://github.com/radenvodka/antibothttps://github.com/radenvodkaInQuest
Adversary On The Defense: ANTIBOT.PW - InQuest
Discover ANTIBOT.PW, a commercial web traffic filtering service originating from a GitHub project, and how it found success within phishing operations.