#ParsedReport #ExtractedSchema

Classified images:
code: 1, windows: 1, schema: 1

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Лаборатория Morphisec Threat Labs обнаружила новый вариант вредоносной программы Chaes, которая представляет собой сложное вредоносное ПО, написанное преимущественно на языке Python и предназначенное для кражи персональных данных, таких как учетные данные для входа в систему, информация о кредитных картах, cookies и другие данные. Она ориентирована в первую очередь на латиноамериканских клиентов электронной коммерции и банков и использует WebSockets и DGA для связи и динамического разрешения адреса C2-сервера.
-----

Лаборатория Morphisec Threat Labs обнаружила новый вариант вредоносной программы Chaes, получивший название Chae$ 4. Вредоносная программа Chaes написана преимущественно на языке Python и способна обходить традиционные системы безопасности. В первую очередь она нацелена на латиноамериканских клиентов электронной коммерции и банков. Ее целью являются учетные данные, информация о кредитных картах, cookies и другие персональные данные.

Впервые вредоносная программа Chaes была обнаружена компанией Cybereason в ноябре 2020 года, а в январе 2022 года компания Avast опубликовала отчет, свидетельствующий о всплеске активности Chaes. С тех пор вредоносная программа пережила четыре итерации, причем каждая из них становилась все более изощренной и лучше справлялась с обнаружением. Последняя версия Chaes полностью написана на языке Python и рассчитана на выполнение в памяти. Для связи между модулями и C2-сервером используются WebSockets, а также DGA для динамического разрешения адреса C2-сервера.

Цепочка заражения начинается с вредоносного MSI-инсталлятора, который устанавливает персистентность и переходит в целевые процессы. После этого запускаются различные модули для сбора различных типов данных. Модуль Init собирает обширные данные о зараженной системе, модуль Online отправляет атакующему ONLINE-сообщение, Chronod похищает учетные данные и банковскую информацию, Appita нацелен на приложение банка Itau, Chrautos - на банковские данные и данные WhatsApp, Stealer похищает данные логина, кредитных карт, cookies и автозаполнения, а File upload ищет и загружает файлы, связанные с расширением MetaMask для Chrome.

#ParsedReport #CompletenessLow
05-09-2023

Dark Web Profile: Medusa Ransomware (MedusaLocker)

https://socradar.io/dark-web-profile-medusa-ransomware-medusalocker

Report completeness: Low

Actors/Campaigns:
Gorgon
Bec

Threats:
Medusa_ransomware
Medusalocker
Iconicloader
Redeemer

Victims:
Minneapolis school district, corporate entities and institutions

Industry:
Financial, Education

Geo:
Greek, America, France

CVEs:
CVE-2022-2295 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 8.8
X-Force: Patch: Official fix
Soft:
- google chrome (<103.0.5060.114)
- fedoraproject extra packages for enterprise linux (8.0)
- fedoraproject fedora (35, 36)


TTPs:
Tactics: 11
Technics: 18

IOCs:
File: 7
Email: 16

Soft:
google chrome, telegram

Links:
https://github.com/threatlabz/ransomware\_notes/blob/main/medusa/!!!READ\_ME\_MEDUSA!!!.txt

#ParsedReport #ExtractedSchema

Classified images:
windows: 8, code: 4, chart: 2, schema: 2

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Группа Medusa Ransomware представляет собой сложную киберугрозу, использующую модель Ransomware-as-a-Service (RaaS) для атак на корпоративные предприятия и учреждения, поэтому организации должны сохранять бдительность в отношении подобных угроз и принимать меры по защите своих систем и данных.
-----

Группа Medusa Ransomware представляет собой сложную киберугрозу, действующую по модели Ransomware-as-a-Service (RaaS). Эта программа получает доступ к системам преимущественно через уязвимые протоколы удаленных рабочих столов (RDP) и обманные фишинговые кампании, использует PowerShell для выполнения команд, систематически удаляет теневые копии резервных копий для предотвращения восстановления данных. При этом происходит повышение привилегий системы, деактивация защитных механизмов и распространение щупалец по сети. Кульминацией атаки является шифрование данных и предъявление записки с требованием заплатить выкуп за их расшифровку.

Программа Medusa Ransomware активна с июня 2021 года и использует различные расширения зашифрованных файлов, наиболее заметным из которых является безошибочно узнаваемое расширение .MEDUSA. У этой группы программ-рансоматов есть несколько разновидностей, цель которых одна - удерживать данные в заложниках и требовать от жертв оплаты. В Medusa Ransomware было замечено использование нескольких эксплойтов из 2022 года, в том числе уязвимости Type Confusion in V8 в Google Chrome (CVE-2022-2295), имеющей высокую степень опасности. Группа, занимающаяся распространением вымогательского ПО, публикует сообщения о своих жертвах в блоге Medusa Blog и атакует организации, работающие в секторе государственного управления в Европе.

Необходимость принятия надежных мер кибербезопасности как никогда актуальна в связи с развитием киберугроз. Medusa Ransomware использует сложные векторы атак в сочетании с совместной RaaS-моделью для эффективной атаки на корпоративные структуры и учреждения. Организации должны сохранять бдительность в отношении группы Medusa Ransomware и предпринимать необходимые меры для защиты своих систем и данных от подобных угроз.

#ParsedReport #CompletenessMedium
05-09-2023

BlueShell malware used in APT attacks targeting Korea and Thailand

https://asec.ahnlab.com/ko/56715

Report completeness: Medium

Actors/Campaigns:
Kimsuky
Scarcruft
Lazarus
Dalbit

Threats:
Blueshell
Sliver_c2_tool
Spark_rat
Meterpreter_tool
Blackremote_rat
Goatrat
Beacon
Cobalt_strike
Metasploit_tool
Fscan_tool
Impacket_tool
Frpc_tool
Chinachopper
Godzilla_loader
Powershell_shell_tool
Trojan/win.frp.c5417731
Proxyvenom_tool

Victims:
Domestic companies, thai broadcasters

Geo:
Chinese, China, Korea, Thailand

IOCs:
IP: 4
Hash: 22
File: 17
Domain: 2

Soft:
sunlogin, ms-sql

Algorithms:
xor, base64

Functions:
ReadMe, init, hostname

Platforms:
x86, x64

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: BlueShell - это вредоносная программа с бэкдором, разработанная на языке Go и используемая группами APT (Advanced Persistent Threat) для атак на уязвимые серверы. Он становится все более популярным благодаря низкой сложности разработки и кроссплатформенной поддержке, а также возможности обхода сетевого обнаружения. Примером атаки с использованием BlueShell является Dalbit Group, китайская группа угроз.
-----

BlueShell - это вредоносная программа с бэкдором, разработанная на языке Go и опубликованная на Github. Она поддерживает операционные системы Windows, Linux и Mac и чаще всего используется группами APT (Advanced Persistent Threat) для атак на уязвимые серверы. Вредоносная программа может выполнять команды, загружать/выгружать файлы, а также выполнять такие функции, как Socks5-прокси, получая команды от зараженной системы. Кроме того, вредонос содержит пояснительный ReadMe-файл на китайском языке, что указывает на возможность того, что его создателем является пользователь из Китая.

В основном эта вредоносная программа используется для атак на Windows-системы отечественных компаний, однако известны случаи ее применения для атак на Linux-системы тайских вещательных компаний. Кроме того, BlueShell становится все более популярным среди угрожающих групп благодаря низкой сложности разработки и кроссплатформенной поддержке. Так, например, группа Kimsuky разработала вредоносную программу-загрузчик, устанавливающую Meterpreter на языке Go, а группа RedEyes (APT37) - бэкдор, эксплуатирующий сервис Ably.

BlueShell способен обходить сетевое обнаружение за счет поддержки TLS-шифрования для связи с C&C-сервером. Кроме того, она имеет три конфигурационных данных - IP-адрес C&C-сервера, номер порта и время ожидания, которые жестко закодированы в бинарном коде при создании вредоносного кода и устанавливаются в функции init() в процессе инициализации. Примером BlueShell-атаки может служить Dalbit Group - китайская угрожающая группа, основной целью которой является атака на уязвимые серверы с целью кражи информации или шифрования системы для получения денег. Злоумышленник использует общедоступные инструменты, такие как CobaltStrike, Metasploit, Ladaon и BlueShell, для загрузки веб-оболочки, эксплуатируя уязвимости WebLogic или уязвимости загрузки файлов.

#ParsedReport #CompletenessMedium
05-09-2023

New Agent Tesla Variant Being Spread by Crafted Excel Document

https://www.fortinet.com/blog/threat-research/agent-tesla-variant-spread-by-crafted-excel-document

Report completeness: Medium

Actors/Campaigns:
Dev-0960

Threats:
Agent_tesla
Process_hollowing_technique
Intellilock_tool
Cassa

CVEs:
CVE-2018-0802 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft word (2013, 2016, 2010, 2007)
- microsoft office (2007, 2013, 2010, 2016)
- microsoft office compatibility pack (-)

CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft office (2007, 2013, 2010, 2016)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1064, T1117, T1086, T1140, T1082, T1036, T1071, T1057, T1023, T1035, have more...

IOCs:
File: 14
Url: 1
Path: 1
Hash: 2

Soft:
opera, chromium, 7star, torch, kometa, amigo, centbrowser, chedot, orbitum, comodo dragon, have more...

Algorithms:
gzip, sha256

Functions:
URLDownloadToFileW, DeleteMC, SetWindowsHookEx, Tesla

Win API:
ShellExecuteW, GetPixel, CreateProcess, VirtualAllocEx, WriteProcessMemory, SetThreadContext, ResumeThread, GetLastInputInfo

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея текста заключается в том, что злоумышленники используют уязвимость (CVE-2017-11882 / CVE-2018-0802) для распространения нового варианта Agent Tesla, который представляет собой троянца удаленного доступа (RAT) и похитителя данных на базе .Net. Для предотвращения подобных атак важно поддерживать системы в актуальном состоянии с помощью последних патчей безопасности.
-----

Недавно наши лаборатории FortiGuard Labs зафиксировали фишинговую кампанию, распространяющую новый вариант Agent Tesla, который представляет собой троянец удаленного доступа (RAT) и похититель данных на базе .Net. Вредоносное письмо замаскировано под уведомление о заказе на поставку и содержит документ Excel под названием Order 45232429.xls, при открытии которого срабатывает уязвимость CVE-2017-11882/CVE-2018-0802. Данная уязвимость позволяет выполнить произвольный код, который в данном случае представляет собой вредоносный шелл-код, загружающий и исполняющий дополнительный файл вредоносного ПО с URL-адреса на устройстве жертвы.

Этот вредоносный файл переименовывается в dasHost.exe и хранится в папке %TEMP%. Он защищен двумя упаковщиками, IntelliLock и .NET Reactor, и содержит два модуля бесфайлового исполнения: один - для модуля полезной нагрузки Agent Tesla, другой - для модуля Loader. Файл полезной нагрузки шифруется и расшифровывается с помощью API Bitmap.GetPixel() и Color.FromArgb(), а затем распаковывается с помощью gzip для восстановления файла полезной нагрузки. Затем он загружается как исполняемый модуль вызовом метода AppDomain.CurrentDomain.Load().

Агент Tesla сохраняется на устройстве жертвы даже при перезагрузке системы или завершении процесса. Он собирает конфиденциальные данные, такие как учетные данные, информацию о клавиатуре и скриншоты экрана жертвы. Для перехвата нажатий клавиш устанавливается процедура callback hook, которая записывает в локальный файл %Temp%/log.tmp заголовок программы, время и содержимое клавиатурного ввода жертвы. Также устанавливается таймер с 20-минутным интервалом, который проверяет наличие активности на устройстве и определяет, стоит ли записывать скриншот и отправлять его.

В этом варианте похищенные данные передаются по почтовому SMTP-протоколу с использованием жестко прописанных в варианте адреса и порта SMTP-сервера - "mail.daymon.cc" и 587. Тема письма - KL_{Имя пользователя/Имя компьютера}, где KL означает keylogger, а тело содержит записи нажатий клавиш жертвы, набранные в блокноте под названием Untitled - Notepad.

Несмотря на то что исправления для CVE-2017-11882 / CVE-2018-0802 были выпущены компанией Microsoft более пяти лет назад, угрожающие субъекты продолжают их эксплуатировать, что свидетельствует о том, что в природе все еще существуют непропатченные устройства. Мы наблюдаем и устраняем около 3000 атак в день на уровне IPS и около 1300 уязвимых устройств в день.

Этот анализ проливает свет на всю вредоносную кампанию - от первоначального фишингового письма до действий Agent Tesla, установленного на компьютере жертвы, и сбора конфиденциальной информации. Он показывает, насколько легко может быть использована уязвимость и как злоумышленники могут получить конфиденциальные данные с устройств жертв. Для предотвращения подобных атак важно поддерживать системы в актуальном состоянии с помощью последних патчей безопасности.

Промежуточный итог по TRAM.
1. Чуда не случилось.
2. SciBERT обучен на детект только 50 TTP.
3. На реальных отчетах точность предобученной модели не впечатлила.

Датасет для обучения надо явно расширять.

#ParsedReport #CompletenessMedium
06-09-2023

Bogus URL Shorteners Go Mobile-Only in AdSense Fraud Campaign

https://blog.sucuri.net/2023/09/bogus-url-shorteners-go-mobile-only-in-adsense-fraud-campaign.html

Report completeness: Medium

Threats:
Bogus_url_technique
Velar
Glitch

Geo:
Asia

IOCs:
Domain: 3
Url: 9
File: 5
IP: 3

Soft:
wordpress, openssl, cpanel

Algorithms:
gzip, base64

Languages:
javascript

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: С сентября 2022 года распространяется вредоносная программа, обнаруженная более чем на 24 тыс. сайтов. С начала кампании произошли изменения, и в конце мая 2023 года она стала более успешной. Владельцам и разработчикам сайтов необходимо принять меры по защите своих сайтов от злоумышленников.
-----

С сентября 2022 г. наша команда отслеживала кампанию по перенаправлению трафика с помощью фиктивного укорачивателя URL, которая началась с одного домена: ois.is. К началу 2023 года эта вредоносная кампания распространилась, перенаправляя трафик на низкокачественные сайты вопросов и ответов и монетизируя трафик через Google AdSense. Более того, только с начала этого года удаленный сканер сайтов Sucuri обнаружил различные штаммы этого вредоносного ПО на более чем 24 000 сайтов. В ходе недавнего анализа один из наших аналитиков по безопасности Пуджа Сривастава (Puja Srivastava) сообщил подробности о некоторых новых вариантах этой вредоносной кампании.

С начала кампании в инъекциях вредоносных программ произошло несколько заметных изменений. Весной 2023 года злоумышленники стали использовать теги сценариев, указывающие на внешние скрипты, размещенные на их коротких доменах, вместо прямой инъекции обфусцированного JavaScript-кода. С начала 2023 года наш внешний сканер вредоносных программ обнаружил такие скрипты на 93 различных фиктивных доменах-укоротителях URL на 6 105 сайтах.

В конце мая 2023 года злоумышленники перешли к созданию вредоносных .js-файлов типа /wp-includes/style.wp.includes.js, /wp-includes/jquery.wp.includes.js и /style.public.html.js и внедрению их на страницы WordPress с помощью инъекций в нижнюю часть файлов wp-config.php и themes functions.php. Этот штамм вредоносного ПО оказался очень успешным: за период июль-август 2023 года наш сканер SiteCheck обнаружил его более чем на 11 000 скомпрометированных сайтов. Он обозначался как redirect?location.8.8 и чаще всего внедрялся в страницы, посты, отзывы и даже комментарии WordPress.

Наиболее заметным изменением в этом варианте вредоносной программы является большой кусок кода для проверки браузеров посетителей на соответствие списку известных строк агентов пользователей мобильных устройств. Если используемый браузер или инструмент не исполняет скрипты, вредоносная программа не будет выполнять перенаправление. Если браузер или инструмент выполняет JavaScript, но не может быть идентифицирован как мобильный пользовательский агент, вредоносная программа не будет выполнять переадресацию. Даже если браузер или инструмент выполняет JavaScript и может быть идентифицирован как мобильный пользовательский агент, вредоносная программа все равно никуда не перенаправит, если пользователь (или инструмент) не щелкнет в любом месте веб-страницы. Это связано с тем, что вредоносный код выполняется как обработчик события onclick документа.

Данные, собранные нашим отчетом SiteCheck Report, показали, что спамеры используют отдельные поддомены для каждого спамерского блога. Несколько фиктивных доменов-укоротителей URL имеют собственные SSL-сертификаты, а управление сертификатами для таких доменов - дело непростое и постоянное. Все страницы, используемые в этой кампании, судя по всему, содержат уникальный контент и не были содраны со сторонних сайтов. Качество даже не очень плохое, что говорит о том, что спамеры используют многоуровневую систему защиты для обхода обычных проверок веб-безопасности.

Владельцы и разработчики сайтов должны регулярно обновлять программное обеспечение, использовать надежные и уникальные пароли, ограничивать доступ к страницам входа и администрирования, проверять их на наличие вредоносных программ и устанавливать межсетевой экран веб-приложений. Следить за появляющимися угрозами и понимать методы, используемые хакерами, - залог безопасности в Интернете.

#ParsedReport #CompletenessMedium
06-09-2023

Scarleteel 2.0 and the MITRE ATT&CK framework

https://sysdig.com/blog/scarleteel-mitre-attack

Report completeness: Medium

Actors/Campaigns:
Scarleteel (motivation: financially_motivated)

Threats:
Solarmarker
Pandora
Mirai
Xmrig_miner
Magnitude

Industry:
Financial

Geo:
Russian

TTPs:
Tactics: 9
Technics: 0

IOCs:
IP: 2
File: 1
Coin: 1
Domain: 1
Url: 1

Soft:
curl, systemd

Crypto:
monero

Algorithms:
base64

Languages:
perl, javascript

#ParsedReport #ExtractedSchema

Classified images:
schema: 1

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея текста заключается в том, что для защиты от сложных угроз организации должны быть проактивными в области кибербезопасности, а фреймворк MITRE ATT&CK и возможности CNAPP компании Sysdig Secure могут помочь им в этом.
-----

Инцидент SCARLETEEL является ярким примером необходимости эффективной стратегии защиты от угроз кибербезопасности. Атака использовала уязвимости в контейнерах ноутбуков JupyterLab, развернутых в кластере Kubernetes, и с помощью учетных данных AWS получила доступ к AWS-инфраструктуре жертвы. Затем злоумышленники загружали вредоносное ПО Mirai Botnet и использовали Pacu для обнаружения и использования повышения привилегий в AWS-аккаунте жертвы. Злоумышленники устанавливали уникальные рабочие места для каждого инстанса, подключались к российским системам и осуществляли эксфильтрацию данных, используя такие конечные точки, как C2-домен 45.9.148.221.

Система MITRE ATT&CK может оказать неоценимую помощь специалистам по безопасности в изучении перемещений после инцидента. Интегрировав систему MITRE ATT&CK в систему безопасности организации, специалисты могут получить полное представление о маневрах злоумышленника. Чтобы обеспечить надежную защиту от сложных угроз, организации должны уделять первостепенное внимание профилактике, мониторингу и оперативному реагированию. Обнаружение и реагирование на угрозы в режиме реального времени, управление уязвимостями, управление поведением и правами доступа являются важнейшими компонентами эффективной стратегии защиты.

После инцидента с SCARLETEEL стало ясно, что организации должны занимать проактивную позицию в вопросах кибербезопасности. С помощью фреймворка MITRE ATT&CK и возможностей CNAPP компании Sysdig Secure организации могут лучше подготовиться к противостоянию потенциальным угрозам. Понимание принципов работы реальных кибернетических атак позволит организациям укрепить свои стратегии киберзащиты и укрепить свою облачную среду.

#ParsedReport #CompletenessHigh
06-09-2023

Securonix Threat Labs Security Advisory: Threat Actors Target MSSQL Servers in DB#JAMMER to Deliver FreeWorld Ransomware

https://www.securonix.com/blog/securonix-threat-labs-security-advisory-threat-actors-target-mssql-servers-in-dbjammer-to-deliver-freeworld-ransomware

Report completeness: High

Actors/Campaigns:
Db-jammer

Threats:
Anydesk_tool
Credential_dumping_technique
Cobalt_strike
Credential_stealing_technique
Mimic_ransomware
Mimikatz_tool
Akira_ransomware

Victims:
Exposed mssql databases

Industry:
Government

Geo:
German, Polish, Spanish

TTPs:
Tactics: 9
Technics: 18

IOCs:
File: 17
Command: 3
Registry: 3
Coin: 1
Path: 8
Domain: 1
IP: 1
Hash: 27

Soft:
mssql, microsoft sql, windows defender, windows firewall, windows explorer, smb server

Algorithms:
7zip

Win API:
CreateThread, CreateRemoteThread, VirtualAllocEx

Win Services:
sqlservr

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Группа исследования угроз компании Securonix выявила атаку под названием DB#JAMMER, направленную на открытые сервисы Microsoft SQL (MSSQL) с использованием атак методом грубой силы. Для компрометации систем злоумышленники используют различные технологии, включая перечислительное ПО, полезную нагрузку RAT, программы для эксплуатации и кражи учетных данных, а также полезную нагрузку ransomware. Затем злоумышленники перешли к выполнению команд с помощью SMB-доставляемого двоичного файла svr.exe, который представляет собой командно-управляющую полезную нагрузку Cobalt Strike. Затем злоумышленники запускали Mimikatz, загружали и развертывали вымогательское ПО Mimic, а также осуществляли взаимодействие с узлами C2 с помощью различных процессов.
-----

Группа исследования угроз Securonix выявила интересную атакующую кампанию под названием DB#JAMMER, которая направлена на открытые сервисы Microsoft SQL (MSSQL) с использованием атак методом грубой силы. Предполагается, что злоумышленники хорошо оснащены и готовы к передаче полезных нагрузок типа ransomware и Cobalt Strike. В качестве вымогательской полезной нагрузки, судя по всему, используется новый вариант вымогательской программы Mimic под названием FreeWorld, который присутствует в именах двоичных файлов, а также в расширениях вымогательской программы.

Злоумышленники использовали различные технологии для компрометации систем, включая программы-перечислители, полезную нагрузку RAT, программы для эксплуатации и кражи учетных данных, а также полезную нагрузку ransomware. Для подключения к машине-жертве злоумышленники предпочитали использовать RDP, для чего применяли прокси-программу Ngrok. Затем злоумышленники вносили изменения в реестр, чтобы обеспечить успешное подключение. Кроме того, злоумышленники создавали сетевой ресурс для передачи файлов на систему жертвы и обратно, а также для установки вредоносных программ.

Затем злоумышленники перешли от выполнения команд методом xp_cmdshell к выполнению команд из SMB-доставляемого двоичного файла svr.exe, который, судя по всему, представляет собой командно-управляющую полезную нагрузку Cobalt Strike. Было замечено, что он устанавливает DNS-соединения с сайтом gelsd.com. Для дальнейшего доступа к системам злоумышленники прибегли к использованию AnyDesk - легитимного сервиса, функционирующего как RAT. Через процесс svr.exe был запущен пакетный файл (a2.bat) для загрузки и выполнения установки AnyDesk, однако он самоудалился, и его содержимое не было замечено.

Затем злоумышленники запускали Mimikatz через другой пакетный файл start.bat, расположенный по адресу c:\users\windows\desktop\start.bat. Этот пакетный файл модифицировал реестр для принудительного ввода учетных данных в открытом виде с помощью атаки WDigest downgrade. После этого злоумышленники загрузили и развернули на хосте программу Mimic ransomware, которая использовала легитимное приложение Everything для запроса и поиска целевых файлов для шифрования. Полезная нагрузка dc.exe извлекалась в пользовательский каталог appdata\local\ random_GUID \ и начинала шифровать хост жертвы, создавая зашифрованные файлы с расширением .FreeWorldEncryption.

Атакующие взаимодействовали с узлами C2 с помощью различных процессов, таких как Process Create, Process Create (rule: ProcessCreate), ProcessRollup2, Procstart, Process, Trace Executed Process и других. Адрес назначения был 45.148.122.63 или gelsd.com, порт назначения - 445 или 139, а адрес источника - 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 169.254.0.0/16. Кроме того, имя исходного процесса заканчивалось sqlservr.exe, а имя процесса назначения - cmd.exe или reg.exe.

#ParsedReport #CompletenessMedium
06-09-2023

Steal-It Campaign. MITRE ATT&CK TTP Mapping

https://www.zscaler.com/blogs/security-research/steal-it-campaign

Report completeness: Medium

Actors/Campaigns:
Steal-it (motivation: cyber_espionage)
Fancy_bear (motivation: cyber_espionage)

Threats:
Nishang_tool

Geo:
Belgium, Russian, Australia, Ukrainian, Ukraine, Poland

TTPs:

IOCs:
Domain: 3
File: 16
Url: 7
Path: 1
Hash: 7

Soft:
microsoft edge, chrome

Algorithms:
base64, zip

Functions:
DownloadString

Win Services:
WebClient

Languages:
javascript

Links:
https://github.com/samratashok/nishang/blob/master/Utility/Start-CaptureServer.ps1

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что специалисты Zscaler ThreatLabz обнаружили новую кампанию по краже под названием "Steal-It" и определили вредоносную полезную нагрузку и цепочку заражения, используемую участниками угрозы. Многоуровневая платформа облачной безопасности Zscaler помогает обнаружить угрозу и дает представление о поведении вредоносного ПО. Команда ThreatLabz компании Zscaler постоянно отслеживает новые угрозы и делится своими результатами с широким сообществом.
-----

Недавно лаборатория Zscaler ThreatLabz обнаружила новую кампанию по краже, получившую название "Steal-It". Эта кампания нацелена на такие регионы, как Австралия, Польша и Бельгия, и использует адаптированные версии сценария Start-CaptureServer PowerShell от Nishang для кражи хэшей NTLMv2. Затем эти украденные хэши передаются через API Mockbin. Анализ вредоносной полезной нагрузки показал, что злоумышленники использовали стратегию геозондирования, направленную на конкретные регионы, а также откровенные изображения моделей, чтобы заманить жертву на выполнение начальной полезной нагрузки. Наша команда считает, что кампания Steal-It может быть приписана APT28 (также известной как Fancy Bear) на основании ее сходства с кибератакой APT28, о которой сообщила CERT-UA.

Для анализа цепочки заражения Zscaler ThreatLabz разделил многочисленные образцы на разновидности в соответствии с наблюдаемыми тактиками, техниками и процедурами (TTP). Заражение начинается с ZIP-архива в комплекте с LNK-файлом, который загружает и выполняет сценарий PowerShell для перехвата хэшей NTLMv2. JavaScript-код используется для проверки наличия в заголовке userAgent ключевого слова "win" и проверки кода страны, чтобы определить, нацелена ли цепочка заражения на конкретную страну. Сценарий PowerShell, замаскированный под заголовок окна "Обновление Windows" и сообщение "Dynamic Cumulative Update for Windows (KB5023696)", загружается с сайта run.mocky.io, чтобы скрыть свои вредоносные намерения.

Многоуровневая платформа облачной безопасности Zscaler обнаруживает индикаторы на различных уровнях. В результате анализа "песочницы" были определены показатели угроз и конкретные методы MITRE ATT&CK, что позволило специалистам по кибербезопасности получить критически важные сведения о поведении вредоносного ПО. Такой комплексный подход позволяет им эффективно обнаруживать и противодействовать угрозам, исходящим от агентов угроз. Команда ThreatLabz компании Zscaler постоянно отслеживает новые угрозы и делится своими результатами с широким сообществом, чтобы опередить эти угрозы.

#ParsedReport #CompletenessLow
05-09-2023

Threat Actor Continues to Plague the Open-Source Ecosystem with Sophisticated Info-Stealing Malware

https://checkmarx.com/blog/threat-actor-continues-to-plague-the-open-source-ecosystem-with-sophisticated-info-stealing-malware

Report completeness: Low

Threats:
Plaguebot
White_snake
Supply_chain_technique
Mythic

Industry:
Telco

ChatGPT TTPs:
do not use without manual check
T1217.003, T1543.003, T1547.001, T1566.001, T1036.003, T1084.001, T1124.004, T1497.001, T1537.001, T1571.003, have more...

IOCs:
File: 1
IP: 7
Hash: 3

Soft:
telegram, openssh

Algorithms:
base64, zip

#ParsedReport #ExtractedSchema

Classified images:
code: 8, schema: 1