#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Компания Trellix проводит мониторинг Emotet с целью выявления новых векторов заражения и изменений в его деятельности и методологии, обеспечивая защиту от его вредоносной тактики с помощью сигнатурного обнаружения и сигнатур Endpoint Security. Основным вектором заражения Emotet являются вредоносные почтовые кампании и перехваченные потоки писем.
-----

Emotet - опасная и живучая вредоносная программа, существующая с 2014 года. Несмотря на попытки уничтожить его в начале 2021 года, он продолжает представлять угрозу. Для защиты организаций от этого вредоносного ПО компания Trellix проводит мониторинг Emotet с целью выявления новых векторов заражения и изменений в его деятельности и методологии. В мире Emotet распространен в Эстонии, Таиланде, Гватемале, Израиле, Сингапуре, Турции, Италии, Объединенных Арабских Эмиратах, Украине и Португалии. 5 наиболее популярных отраслей - электронная коммерция, энергетика/коммунальное хозяйство, финансовые услуги, государственные учреждения и здравоохранение.

Основным вектором заражения Emotet являются вредоносные почтовые кампании и перехваченные потоки писем, причем в нескольких вариантах. Такие письма часто содержат вредоносные zip-вложения или сильно заполненные документы Microsoft Word или OneNote, предназначенные для того, чтобы заманить пользователя на включение макросов. Эти документы содержат вредоносные макросы VBA, которые выполняют функцию загрузчика Emotet, извлекают полезную нагрузку Emotet с контролируемых злоумышленниками серверов распространения и заражают системы, добавляя их в ботнет Emotet.

Вредоносный код сильно обфусцирован и может быть деобфусцирован путем замены команды execute на команду echo, которая позволяет wscript не выполнять, а печатать вывод. Деобфусцированное содержимое раскрывает жестко закодированные URL-адреса, с которых может быть загружена полезная нагрузка Emotet. Вредоносная программа также снимает отпечатки пальцев с зараженного компьютера и отправляет собранную информацию на сервер C2, зашифрованную с помощью алгоритма Elliptic Curve Cryptography.

Для того чтобы обойти защиту, основанную на процессах, угрозы внедряют вредоносный код в приостановленные и "полые" процессы. Этот код использует модули NirSoft для получения учетных данных браузера. Для внедрения кода вредоносная программа также использует копию программы CertUtil и создает файл .tmp для сохранения собранной информации.

#ParsedReport #CompletenessMedium
04-09-2023

Executive Summary

https://interlab.or.kr/archives/19416

Report completeness: Medium

Actors/Campaigns:
Kimsuky

Threats:
Process_injection_technique
Process_hollowing_technique
Superbear
Quasar_rat
Bazarbackdoor

Victims:
Interlab, journalist, civil society groups

Geo:
Korean, Asia

TTPs:
Tactics: 1
Technics: 0

IOCs:
File: 3
IP: 1
Domain: 1
Email: 1
Hash: 2

Soft:
wordpress

Functions:
Windows, SetThreatContext

Win API:
CreateProcess, NtUnmapViewOfSection, VirtualAllocEx, WriteProcessMemory, ResumeThread

Languages:
autoit

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что компания Interlab обнаружила новый RAT и считает, что он может быть приписан северокорейской угрожающей группе Kimsuky. Они пригласили другие общественные организации и промышленные предприятия внести свой вклад в проводимое расследование.
-----

8/28/2023 г. в Interlab поступил образец, отправленный журналисту, с высокоцелевым содержанием, заманивающим открыть документ. Вредоносный документ был в формате .LNK и при выполнении загружал вредоносную команду powershell и легитимный DOCX, связанный с организацией. Анализ выявил выполнение AutoIT-скрипта, который использовался для инъекции процессов с помощью техники "впадения" в процесс. Эта техника инжектировала новую RAT, получившую в коде название SuperBear, которая устанавливала соединение с сервером C2, расположенным по адресу: По наблюдениям, SuperBear RAT выполняет одну из трех основных операций атаки: перехват и обработка системных данных, выполнение команд командной оболочки или загрузка вредоносной DLL на зараженную машину. Исследователь угроз Interlab Ovi опубликовал полный технический отчет по SuperBear RAT в своем блоге.

Основываясь на сходстве вектора атаки и корреляции с кодом нескольких кампаний, специалисты Interlab предполагают, что эта кампания принадлежит северокорейской группировке Kimsuky. Известно, что Kimsuky использует для своих операций инструментарий с открытым исходным кодом, например Quasar RAT, и данная кампания не является исключением. Скрипт AutoIT, обнаруженный в этой кампании, был взят с различных интернет-форумов. Это интересная и примечательная особенность операций, проводимых Kimsuky.

Interlab считает, что SuperBear RAT является новым из-за несоответствия сигнатур данных, обнаруженных в самом RAT. Им пока не удалось обнаружить аналогичный образец в ретро-охоте, хотя это может измениться. Interlab приглашает другие общественные группы и промышленные предприятия внести свой вклад в это продолжающееся расследование.

#ParsedReport #CompletenessLow
04-09-2023

Phishing script files that leak user information are being distributed using Telegram.

https://asec.ahnlab.com/ko/56551

Report completeness: Low

Industry:
Telco

IOCs:
File: 9
Hash: 1

Soft:
telegram

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея данного текста заключается в том, что фишинг становится все более распространенной угрозой кибербезопасности, и для защиты от него необходимо принимать меры предосторожности, например, не вводить учетные данные во вложениях к письмам от неизвестных источников и использовать современное антивирусное программное обеспечение.
-----

Центр реагирования на чрезвычайные ситуации безопасности АнЛаб (ASEC) недавно обнаружил новую фишинговую аферу, использующую вложения электронной почты. Вложенные файлы маскируются под программы просмотра PDF-документов и содержат вредоносные скрипты с такими ключевыми словами, как "purchase order", "order", "receipt" и "order". Фишинговая атака направлена на обман пользователей путем подключения их к рекламному сайту загрузки PDF-файлов, открыто предоставляемому отечественной ERP-компанией, при трехкратной попытке входа в систему. Кроме того, был выявлен скрипт, перенаправляющий пользователей на сайт с обычным файлом изображения, не содержащим вредоносных функций.

Установлено, что эти вредоносные скрипты используют сильные стороны Telegram - анонимность и логику шифрования - для отправки сообщений. Функция "sendTeleMsg" используется для передачи адреса электронной почты, пароля и IP-адреса пользователя в чат, созданный злоумышленником через Telegram API. Для получения не только IP-адреса, но и информации о провайдере, а также региональной информации, включая широту/долготу, используются сервисы с открытым исходным кодом, такие как json.geoiplookup.io.

Важно знать об этой новой фишинговой афере, так как она использует API обычных приложений и поэтому может обходиться без обнаружения антивирусными продуктами. Кроме того, с помощью API Telegram могут быть распространены учетные записи пользователей. Пользователям рекомендуется не вводить информацию об учетной записи во вложениях к письмам из неизвестных источников.

Фишинг становится все более распространенной угрозой кибербезопасности, причем мошенничества, подобные этому, с течением времени становятся все более изощренными. Важно не терять бдительности и защищаться от подобных атак, принимая меры предосторожности, например, не вводить информацию о счетах во вложениях к письмам из неизвестных источников, а также использовать современное антивирусное программное обеспечение. Эти меры помогут обеспечить сохранность вашей личной и финансовой информации.

#ParsedReport #CompletenessLow
04-09-2023

CHM Malware Using Fukushima Contaminated Water Discharge: RedEyes (ScarCruft)

https://asec.ahnlab.com/ko/56654

Report completeness: Low

Actors/Campaigns:
Scarcruft

Threats:
M2rat

Victims:
Domestic users

Industry:
Financial

TTPs:
Tactics: 1
Technics: 0

IOCs:
File: 1
Command: 2
Path: 1
Registry: 1
IP: 1
Url: 4
Hash: 1

Algorithms:
zip

Languages:
javascript

#ParsedReport #CompletenessMedium
04-09-2023

Low-profile Threat Actor observed imitating NoEscape Ransomware

https://cyble.com/blog/low-profile-threat-actor-observed-imitating-noescape-ransomware

Report completeness: Medium

Threats:
Noescape
Powershell_ransomware

Industry:
Education

TTPs:
Tactics: 7
Technics: 11

IOCs:
File: 3
Url: 2
Path: 1
Hash: 2
IP: 1

Soft:
1password

Crypto:
bitcoin

Algorithms:
aes, sha256, base64

YARA: Found

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Компания CRIL обнаружила уникальный вариант программы-вымогателя, который не переименовывает файлы после шифрования и эволюционировал в течение двух дней. Важно сохранять бдительность и защищаться от этой угрозы.
-----

Компания Cyble Research & Intelligence Labs (CRIL) недавно обнаружила открытый каталог, содержащий подозрительный BAT-файл. В результате дальнейшего расследования было установлено, что этот пакетный файл используется для загрузки программ-вымогателей. Уникальность этого варианта ransomware заключается в том, что он не переименовывает файлы после шифрования, а также не использует никаких каналов связи или сайтов утечки информации. В записке с требованием выкупа содержится требование заплатить 30 биткойнов, что составляет примерно 780 000 долларов США, и утверждается, что угроза была нанесена учебному заведению.

Судя по всему, эта программа находится на стадии тестирования, поскольку ее эволюция происходила в течение двух дней. За это время TA ввела в процесс шифрования более 70 дополнительных расширений файлов, закодировала ключи шифрования в Base64 и добавила функцию определения публичного IP-адреса жертвы. Заражение начинается с пакетного файла, который имеет двойное расширение Readme.txt.bat, вероятно, в попытке обмануть пользователей, заставив их поверить, что это безобидный файл.

CRIL уже сообщал о существующем варианте вымогательского ПО NoEscape, который работает по модели Ransomware-as-a-Service (RaaS) и использует двойное вымогательство. Хотя этот вариант имитирует внешний вид NoEscape, он не использует те же методы, например, двойное вымогательство. Важно отметить, что злоумышленники все еще находятся на стадии тестирования и могут продолжать совершенствовать вредоносную программу. Поэтому необходимо сохранять бдительность и защищаться от этой угрозы.

#ParsedReport #CompletenessMedium
04-09-2023

Reverse engineering SuperBear RAT.

https://0x0v1.com/posts/superbear/superbear

Report completeness: Medium

Actors/Campaigns:
Kimsuky

Threats:
Superbear
Process_hollowing_technique
Process_injection_technique
Process_hacker_tool
Bazarbackdoor
Xrat_rat
Quasar_rat

TTPs:
Tactics: 2
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1055.003, T1036.005, T1071.001, T1082, T1083, T1190, T1093, T1074.002, T1218.012, T1105, have more...

IOCs:
File: 1
Domain: 1
Path: 2

Algorithms:
base64

Win API:
CreateMutexW, InternetOpenW, InternetConnectW, VirtualAlloc, InternetReadFile, VirtualFree, InternetCloseHandle, CreateToolhelp32Snapshot, ShellExecuteW

Languages:
php, autoit

YARA: Found

Links:
https://github.com/hasherezade/hollows\_hunter

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что в ходе анализа вредоносной кампании, направленной против общественных организаций, была обнаружена операция внедрения процессов, утечка данных, а также связи с Kimsuky и AutoIT.
-----

В данном тексте рассматривается технический анализ вредоносной программы, воздействовавшей на группы гражданского общества. Было обнаружено, что вредоносная программа была развернута с помощью AutoIT-скрипта, что является типичной особенностью AutoIT-скриптов. С помощью AutoITExtractor скрипт был декомпилирован и выявил операцию инъекции процесса путем выемки памяти из порожденного экземпляра Explorer.exe. При дальнейшем изучении было обнаружено, что вредоносный код создает объект мьютекса с помощью CreateMutexW, а имя мьютекса имеет вид BEARLDR-EURJ-RHRHR. Для эксфильтрации данных RAT с помощью CreateToolhelp32Snapshot создает снимок запущенных процессов и сохраняет его в файл, расположенный по адресу C:\Users\Public\Documents\proc.db.

Сервер C2 давал указание инициировать только разведку эксфильтрации в данном образце. Обнаружение данного типа вредоносного ПО является либо общим, либо эвристическим, поэтому неясно, сколько еще образцов будет замечено. Интересно отметить, что вредоносная программа демонстрирует функциональность, аналогичную xRAT/Quasar, но Kimsuky уже использовали ее в прошлом, что заставляет задуматься о том, почему они перешли от использования Quasar к чему-то подобному. Еще одним интересным моментом является использование AutoIT, поскольку в последнее время появились сообщения о том, что другие угрожающие группы в НК чаще используют инструментарий с открытым исходным кодом.

#ParsedReport #CompletenessMedium
05-09-2023

Analyzing a Facebook Profile Stealer Written in Node.js. Infection vector

https://www.trendmicro.com/en_us/research/23/i/analyzing-a-facebook-profile-stealer-written-in-node-js.html

Report completeness: Medium

Victims:
Chromium-based web browsers, facebook, gmail, outlook, business accounts, ad accounts

Industry:
Financial

Geo:
Vietnamese

ChatGPT TTPs:
do not use without manual check
T1083, T1064, T1036, T1082, T1056, T1057, T1060, T1083, T1036, T1090, have more...

IOCs:
File: 1
Hash: 88
Url: 6
Domain: 15

Soft:
node.js, telegram, chromium, tiktok, capcut, microsoft edge, google chrome, opera, operagx, chrome, have more...

Wallets:
metamask

Algorithms:
zip, base64, xor

Languages:
jscript, javascript

Links:
https://github.com/zenparsing/zen-observable

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: В этой записи блога рассматривается новый стиллер, написанный на Node.js, который собирает и выводит данные из веб-браузеров и учетных записей электронной почты. Он был обнаружен в ходе кампании по краже данных из Facebook и использует GraphQL в качестве канала связи с C&C. Кроме того, стиллер содержит механизмы, предотвращающие его слишком частый запуск.
-----

В этой записи блога рассматривается новый похититель, написанный на Node.js, упакованный в исполняемый файл, осуществляющий эксфильтрацию похищенных данных как через Telegram bot API, так и через C&C-сервер, и использующий GraphQL в качестве канала связи с C&C.

Он был обнаружен в ходе кампании по краже данных из Facebook, причем ключевые слова, использованные в названиях файлов, указывают на знание авторами вьетнамского языка. Стиллер ориентирована на веб-браузеры и собирает домашний путь пользователя, путь к профилю, путь к пользовательским данным, информацию о версии, зашифрованный ключ, базу cookie, cookie Facebook (xs), маркер доступа Facebook и дополнительную информацию о браузере.

В процессе эксфильтрации из Facebook извлекаются идентификационные номера, полные имена пользователей, адреса электронной почты, дни рождения, маркеры доступа, куки-файлы Facebook, имена браузеров, пути к исполняемым файлам, сохраненные логины, IP-адреса и коды стран. Кроме того, он удаляет учетные данные и файлы cookie Gmail, учетные данные и файлы cookie Outlook, дополнительную информацию Facebook, информацию о бизнес-аккаунте, информацию о странице и информацию о рекламном аккаунте.

Чтобы предотвратить слишком частые запуски, стиллер сохраняет метку времени своего последнего запуска в текстовом файле в домашнем каталоге. Если время, прошедшее с момента последнего запуска, меньше примерно 30 минут, то в этом случае процедура кражи пропускается. Кроме того, стиллер проверяет адрес резервного C&C-сервера, запрашивая его, и сохраняет ответ в другом текстовом файле для дальнейшего использования.

#ParsedReport #CompletenessLow
05-09-2023

Chae$ 4: New Chaes Malware Variant Targeting Financial and Logistics Customers

https://blog.morphisec.com/chaes4-new-chaes-malware-variant-targeting-financial-and-logistics-customers

Report completeness: Low

Threats:
Chaes
Lolbin_technique
Lucifer

Victims:
Customers of prominent platforms and banks, e-commerce customers in latin america, especially brazil

Industry:
E-commerce, Logistic, Financial

Geo:
Brazil, America

IOCs:
File: 1

Soft:
whatsapp, wordpress, joomla, drupal, chromium, chrome

Wallets:
metamask

Languages:
java, python

#ParsedReport #ExtractedSchema

Classified images:
code: 1, windows: 1, schema: 1

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Лаборатория Morphisec Threat Labs обнаружила новый вариант вредоносной программы Chaes, которая представляет собой сложное вредоносное ПО, написанное преимущественно на языке Python и предназначенное для кражи персональных данных, таких как учетные данные для входа в систему, информация о кредитных картах, cookies и другие данные. Она ориентирована в первую очередь на латиноамериканских клиентов электронной коммерции и банков и использует WebSockets и DGA для связи и динамического разрешения адреса C2-сервера.
-----

Лаборатория Morphisec Threat Labs обнаружила новый вариант вредоносной программы Chaes, получивший название Chae$ 4. Вредоносная программа Chaes написана преимущественно на языке Python и способна обходить традиционные системы безопасности. В первую очередь она нацелена на латиноамериканских клиентов электронной коммерции и банков. Ее целью являются учетные данные, информация о кредитных картах, cookies и другие персональные данные.

Впервые вредоносная программа Chaes была обнаружена компанией Cybereason в ноябре 2020 года, а в январе 2022 года компания Avast опубликовала отчет, свидетельствующий о всплеске активности Chaes. С тех пор вредоносная программа пережила четыре итерации, причем каждая из них становилась все более изощренной и лучше справлялась с обнаружением. Последняя версия Chaes полностью написана на языке Python и рассчитана на выполнение в памяти. Для связи между модулями и C2-сервером используются WebSockets, а также DGA для динамического разрешения адреса C2-сервера.

Цепочка заражения начинается с вредоносного MSI-инсталлятора, который устанавливает персистентность и переходит в целевые процессы. После этого запускаются различные модули для сбора различных типов данных. Модуль Init собирает обширные данные о зараженной системе, модуль Online отправляет атакующему ONLINE-сообщение, Chronod похищает учетные данные и банковскую информацию, Appita нацелен на приложение банка Itau, Chrautos - на банковские данные и данные WhatsApp, Stealer похищает данные логина, кредитных карт, cookies и автозаполнения, а File upload ищет и загружает файлы, связанные с расширением MetaMask для Chrome.

#ParsedReport #CompletenessLow
05-09-2023

Dark Web Profile: Medusa Ransomware (MedusaLocker)

https://socradar.io/dark-web-profile-medusa-ransomware-medusalocker

Report completeness: Low

Actors/Campaigns:
Gorgon
Bec

Threats:
Medusa_ransomware
Medusalocker
Iconicloader
Redeemer

Victims:
Minneapolis school district, corporate entities and institutions

Industry:
Financial, Education

Geo:
Greek, America, France

CVEs:
CVE-2022-2295 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 8.8
X-Force: Patch: Official fix
Soft:
- google chrome (<103.0.5060.114)
- fedoraproject extra packages for enterprise linux (8.0)
- fedoraproject fedora (35, 36)


TTPs:
Tactics: 11
Technics: 18

IOCs:
File: 7
Email: 16

Soft:
google chrome, telegram

Links:
https://github.com/threatlabz/ransomware\_notes/blob/main/medusa/!!!READ\_ME\_MEDUSA!!!.txt

#ParsedReport #ExtractedSchema

Classified images:
windows: 8, code: 4, chart: 2, schema: 2

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Группа Medusa Ransomware представляет собой сложную киберугрозу, использующую модель Ransomware-as-a-Service (RaaS) для атак на корпоративные предприятия и учреждения, поэтому организации должны сохранять бдительность в отношении подобных угроз и принимать меры по защите своих систем и данных.
-----

Группа Medusa Ransomware представляет собой сложную киберугрозу, действующую по модели Ransomware-as-a-Service (RaaS). Эта программа получает доступ к системам преимущественно через уязвимые протоколы удаленных рабочих столов (RDP) и обманные фишинговые кампании, использует PowerShell для выполнения команд, систематически удаляет теневые копии резервных копий для предотвращения восстановления данных. При этом происходит повышение привилегий системы, деактивация защитных механизмов и распространение щупалец по сети. Кульминацией атаки является шифрование данных и предъявление записки с требованием заплатить выкуп за их расшифровку.

Программа Medusa Ransomware активна с июня 2021 года и использует различные расширения зашифрованных файлов, наиболее заметным из которых является безошибочно узнаваемое расширение .MEDUSA. У этой группы программ-рансоматов есть несколько разновидностей, цель которых одна - удерживать данные в заложниках и требовать от жертв оплаты. В Medusa Ransomware было замечено использование нескольких эксплойтов из 2022 года, в том числе уязвимости Type Confusion in V8 в Google Chrome (CVE-2022-2295), имеющей высокую степень опасности. Группа, занимающаяся распространением вымогательского ПО, публикует сообщения о своих жертвах в блоге Medusa Blog и атакует организации, работающие в секторе государственного управления в Европе.

Необходимость принятия надежных мер кибербезопасности как никогда актуальна в связи с развитием киберугроз. Medusa Ransomware использует сложные векторы атак в сочетании с совместной RaaS-моделью для эффективной атаки на корпоративные структуры и учреждения. Организации должны сохранять бдительность в отношении группы Medusa Ransomware и предпринимать необходимые меры для защиты своих систем и данных от подобных угроз.

#ParsedReport #CompletenessMedium
05-09-2023

BlueShell malware used in APT attacks targeting Korea and Thailand

https://asec.ahnlab.com/ko/56715

Report completeness: Medium

Actors/Campaigns:
Kimsuky
Scarcruft
Lazarus
Dalbit

Threats:
Blueshell
Sliver_c2_tool
Spark_rat
Meterpreter_tool
Blackremote_rat
Goatrat
Beacon
Cobalt_strike
Metasploit_tool
Fscan_tool
Impacket_tool
Frpc_tool
Chinachopper
Godzilla_loader
Powershell_shell_tool
Trojan/win.frp.c5417731
Proxyvenom_tool

Victims:
Domestic companies, thai broadcasters

Geo:
Chinese, China, Korea, Thailand

IOCs:
IP: 4
Hash: 22
File: 17
Domain: 2

Soft:
sunlogin, ms-sql

Algorithms:
xor, base64

Functions:
ReadMe, init, hostname

Platforms:
x86, x64

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: BlueShell - это вредоносная программа с бэкдором, разработанная на языке Go и используемая группами APT (Advanced Persistent Threat) для атак на уязвимые серверы. Он становится все более популярным благодаря низкой сложности разработки и кроссплатформенной поддержке, а также возможности обхода сетевого обнаружения. Примером атаки с использованием BlueShell является Dalbit Group, китайская группа угроз.
-----

BlueShell - это вредоносная программа с бэкдором, разработанная на языке Go и опубликованная на Github. Она поддерживает операционные системы Windows, Linux и Mac и чаще всего используется группами APT (Advanced Persistent Threat) для атак на уязвимые серверы. Вредоносная программа может выполнять команды, загружать/выгружать файлы, а также выполнять такие функции, как Socks5-прокси, получая команды от зараженной системы. Кроме того, вредонос содержит пояснительный ReadMe-файл на китайском языке, что указывает на возможность того, что его создателем является пользователь из Китая.

В основном эта вредоносная программа используется для атак на Windows-системы отечественных компаний, однако известны случаи ее применения для атак на Linux-системы тайских вещательных компаний. Кроме того, BlueShell становится все более популярным среди угрожающих групп благодаря низкой сложности разработки и кроссплатформенной поддержке. Так, например, группа Kimsuky разработала вредоносную программу-загрузчик, устанавливающую Meterpreter на языке Go, а группа RedEyes (APT37) - бэкдор, эксплуатирующий сервис Ably.

BlueShell способен обходить сетевое обнаружение за счет поддержки TLS-шифрования для связи с C&C-сервером. Кроме того, она имеет три конфигурационных данных - IP-адрес C&C-сервера, номер порта и время ожидания, которые жестко закодированы в бинарном коде при создании вредоносного кода и устанавливаются в функции init() в процессе инициализации. Примером BlueShell-атаки может служить Dalbit Group - китайская угрожающая группа, основной целью которой является атака на уязвимые серверы с целью кражи информации или шифрования системы для получения денег. Злоумышленник использует общедоступные инструменты, такие как CobaltStrike, Metasploit, Ladaon и BlueShell, для загрузки веб-оболочки, эксплуатируя уязвимости WebLogic или уязвимости загрузки файлов.

#ParsedReport #CompletenessMedium
05-09-2023

New Agent Tesla Variant Being Spread by Crafted Excel Document

https://www.fortinet.com/blog/threat-research/agent-tesla-variant-spread-by-crafted-excel-document

Report completeness: Medium

Actors/Campaigns:
Dev-0960

Threats:
Agent_tesla
Process_hollowing_technique
Intellilock_tool
Cassa

CVEs:
CVE-2018-0802 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft word (2013, 2016, 2010, 2007)
- microsoft office (2007, 2013, 2010, 2016)
- microsoft office compatibility pack (-)

CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft office (2007, 2013, 2010, 2016)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1064, T1117, T1086, T1140, T1082, T1036, T1071, T1057, T1023, T1035, have more...

IOCs:
File: 14
Url: 1
Path: 1
Hash: 2

Soft:
opera, chromium, 7star, torch, kometa, amigo, centbrowser, chedot, orbitum, comodo dragon, have more...

Algorithms:
gzip, sha256

Functions:
URLDownloadToFileW, DeleteMC, SetWindowsHookEx, Tesla

Win API:
ShellExecuteW, GetPixel, CreateProcess, VirtualAllocEx, WriteProcessMemory, SetThreadContext, ResumeThread, GetLastInputInfo