#ParsedReport #CompletenessMedium
07-11-2023

GHOSTPULSE haunts victims using defense evasion bag o' tricks

https://www.elastic.co/security-labs/ghostpulse-haunts-victims-using-defense-evasion-bag-o-tricks

Report completeness: Medium

Threats:
Ghostpulse
Heavens_gate_technique
Process_doppelganging_technique
Rhadamanthys
Netsupportmanager_rat
Sectop_rat
Vidar_stealer
Lumma_stealer

Victims:
Users downloading malicious msix packages

IOCs:
File: 8
IP: 2
Domain: 1
Hash: 5

Soft:
chrome, grammarly, component object model

Algorithms:
crc-32, xor, sha256

Win API:
RtlDecompressBuffer, LoadLibraryW, VirtualProtect, LoadLibrary, ZwCreateSection, ZwMapViewOfSection, WriteProcessMemory, CreateTransaction, ZwCreateFile, ZwWriteFile, have more...

Win Services:
bits

YARA: Found

Links:
https://github.com/elastic/protections-artifacts/tree/main/behavior
https://github.com/elastic/labs-releases/blob/main/tools/ghostpulse/ghostpulse\_payload\_extractor.py
https://github.com/elastic/protections-artifacts/blob/main/yara/rules/Windows\_Trojan\_GhostPulse.yar
https://github.com/elastic/labs-releases/tree/main/indicators/ghostpulse

#ParsedReport #ExtractedSchema

Classified images:
code: 14, windows: 3, table: 2, dump: 1, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Компания Elastic Security Labs обнаружила новую кампанию, использующую методы уклонения от защиты для заражения жертв вредоносными MSIX-исполняемыми файлами, маскирующимися под легитимные приложения. Вредоносная полезная нагрузка загружается в систему с помощью программы GHOSTPULSE, состоящей из трех этапов и использующей методы обхода защиты, чтобы оставаться незамеченной для средств защиты. Обнаружение GHOSTPULSE может быть осуществлено с помощью специального правила yara.
-----

Компания Elastic Security Labs обнаружила новую кампанию, использующую возможности обхода защиты для заражения жертв вредоносными исполняемыми файлами MSIX.

Вредоносные MSIX-пакеты маскируются под инсталляторы легитимных приложений, таких как Chrome, Brave, Edge, Grammarly и WebEx.

GHOSTPULSE - это скрытый загрузчик, используемый субъектами угроз для получения первоначального доступа к системам.

Он использует методы уклонения от защиты, чтобы оставаться незамеченным для средств защиты.

После загрузки GHOSTPULSE используется для выполнения вредоносной полезной нагрузки.

Для обнаружения GHOSTPULSE может быть использовано правило yara.

#ParsedReport #CompletenessHigh
10-11-2023

Mysterious Werewolf attacks Russian industry

https://bi.zone/eng/expertise/blog/mysterious-werewolf-atakuet-rossiyskuyu-promyshlennost

Report completeness: High

Threats:
Athena_botnet
Mythic_c2
Spear-phishing_technique

Victims:
Russian semiconductor suppliers and industry facilities in russia

Industry:
Semiconductor_industry

Geo:
Australia, Dubai, Singapore, Malaysia, Georgia, Russian federation, India

CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- rarlab winrar (<6.23)


TTPs:
Tactics: 5
Technics: 0

IOCs:
File: 5
Url: 1
Path: 1
Command: 1
Domain: 2
Hash: 3

Soft:
windows task scheduler, discord

Algorithms:
base64

Platforms:
cross-platform

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Организациям следует знать о потенциальной опасности фишинговых писем, динамических DNS-сервисов и фреймворков постэксплойта и предпринять меры по защите от них, чтобы снизить риск стать жертвой атак, подобных "Таинственному оборотню".
-----

Компания Cyble, расположенная в Альфаретте (штат Джорджия), и команда BI.ZONE Threat Intelligence недавно обнаружили новую атакующую кампанию, получившую название Mysterious Werewolf. Эта атака была направлена на российских поставщиков полупроводников и включала в себя использование динамических DNS-сервисов и фреймворков пост-эксплойта. Злоумышленники выдавали себя за Министерство промышленности и торговли РФ в своих фишинговых письмах, которые содержали архивы с вредоносными CMD-файлами, эксплуатирующими уязвимость CVE-2023-38831. После открытия архива WinRAR.exe запускал cmd.exe для выполнения вредоносного CMD-файла, который запускал сценарий PowerShell. Этот скрипт загружал доброкачественный PDF-файл с адреса hXXps://cloudfare.webredirect.org, а затем загружал агент Athena, который сохранялся под именем C:\Users\ redacted \AppData\Local\Microsoft\Windows\Fonts\MikrosoftEdge.exe. Также было создано запланированное задание на запуск агента каждые 10 минут.

Для атаки на уязвимые организации злоумышленники использовали популярный вектор атаки - фишинговые письма. Для защиты от подобных вредоносных писем можно использовать специализированные сервисы, такие как BI.ZONE CESP. Этот сервис использует несколько механизмов фильтрации на основе машинного обучения, статистического, сигнатурного и эвристического анализа для обнаружения и предотвращения нелегитимных писем, не замедляя при этом работу защищенных сообщений.

Для предотвращения подобных атак организациям необходимо своевременно обновлять прикладное программное обеспечение и помнить об угрозе фишинговых писем. Для защиты от нелегитимных писем можно использовать специализированные сервисы, например BI.ZONE CESP. Кроме того, организациям следует помнить о потенциальной опасности динамических DNS и фреймворков постэксплойта, которые могут предоставить злоумышленникам более гибкую инфраструктуру и позволить обойти защиту. Зная об этих угрозах и принимая необходимые меры по защите от них, организации могут снизить риск стать жертвой атак, подобных "Таинственному оборотню".

#ParsedReport #CompletenessMedium
09-11-2023

Malvertiser copies PC news site to deliver infostealer

https://www.malwarebytes.com/blog/threat-intelligence/2023/11/malvertiser-copies-pc-news-site-to-deliver-infostealer

Report completeness: Medium

Threats:
Anydesk_tool
Cloaking_technique
Fakebat
Redline_stealer
Msi_loader

Victims:
Windowsreport.com

IOCs:
Domain: 11
IP: 3
Hash: 4

Soft:
keepass

Algorithms:
sha256

#ParsedReport #ExtractedSchema

Classified images:
code: 2, schema: 1, windows: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Злоумышленники используют кампании malvertising для распространения вредоносного ПО и вредоносных программ, избежать которых можно, проверяя легитимность файла и зная о тактике, используемой участниками угроз. Компания Malwarebytes делает все возможное, чтобы защитить клиентов от этих вредоносных кампаний.
-----

Малвертайзинг - это вредоносная форма маркетинга, предполагающая размещение вредоносной рекламы на легитимных сайтах с целью распространения вредоносного программного обеспечения и вредоносных программ. Как правило, кампании Malvertising вводят жертв в заблуждение, создавая поддельные сайты, практически идентичные сайту производителя программного обеспечения, за которого они себя выдают. Недавно было замечено, что один из угроз копирует легитимный новостной портал Windows (WindowsReport.com) для распространения вредоносного инсталлятора для популярной процессорной утилиты CPU-Z.

Вредоносная реклама приписывается Скотту Куперу, который, скорее всего, является скомпрометированной или поддельной личностью. Угрожающий агент использует маскировочные технологии, чтобы избежать обнаружения, поэтому все, кто нажимает на рекламу, не являясь предполагаемой жертвой, видят обычный блог с рядом статей. Эта конкретная вредоносная рекламная кампания также нацелена на такие утилиты, как Notepad++, Citrix и VNC Viewer, что видно по ее инфраструктуре (доменным именам).

Полезная нагрузка представляет собой подписанный цифровой подписью инсталлятор MSIX, содержащий вредоносный сценарий PowerShell и загрузчик, известный как FakeBat. Этот скрипт открывает командно-контрольный сервер вредоносной программы, а также удаленную полезную нагрузку (Redline stealer). Malwarebytes блокирует домены, связанные с этой рекламной кампанией, и уже обнаружил конечную полезную нагрузку infostealer, а также добавил покрытие для командного и управляющего серверов.

В течение последнего года загрузка программного обеспечения стала главной мишенью для преступников, использующих различные уловки для обмана пользователей и установки вредоносных программ. В корпоративной среде важно проверять легитимность файла, сравнивая его хэш-сумму SHA256 с данными, размещенными на сайте производителя. Это позволит убедиться в том, что файл не был подделан.

Компания Malwarebytes делает все возможное для защиты своих клиентов от этих вредоносных кампаний, блокируя соответствующие домены и обеспечивая защиту командно-контрольных серверов. Для обеспечения безопасности своих систем компаниям и частным лицам важно знать о тактике, используемой злоумышленниками.

#ParsedReport #CompletenessLow
09-11-2023

Beware of malware being distributed pretending to be a public institution (LNK)

https://asec.ahnlab.com/ko/58818

Report completeness: Low

Threats:
Dropper/lnk.agent
Trojan/lnk.powershell
Trojan/vbs.obfuscated

Victims:
Unification and security officials

Industry:
Government, Financial

Geo:
American samoa, Korean, Chinese, North korea

ChatGPT TTPs:
do not use without manual check
T1180, T1086, T1064, T1027, T1105, T1057, T1082, T1056, T1003

IOCs:
File: 4
Url: 8
IP: 1
Hash: 7

Algorithms:
base64

#ParsedReport #ExtractedSchema

Classified images:
code: 4, windows: 5, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Вредоносные файлы ярлыков (.lnk) рассылаются по электронной почте под видом защищенных документов. При их выполнении загружается и запускается вредоносная программа TutRAT, которая может выполнять такие вредоносные действия, как кейлоггинг, кража информации об учетной записи браузера и захват экрана.
-----

Центр реагирования на чрезвычайные ситуации в области безопасности АнЛаб (ASEC) подтвердил факт распространения вредоносных файлов ярлыков (*.lnk), выдающих себя за государственные учреждения. Судя по всему, злоумышленники рассылают вредоносные файлы HTML-сценариев, замаскированные под защищенные электронные письма, в которых содержимое, связанное с выплатой гонораров, выглядит как обычный документ. В основном атака направлена на сотрудников органов власти, занимающихся вопросами объединения и безопасности.

Вредоносный файл представляет собой сжатый файл, содержащий вредоносный LNK-файл вместе с обычным корейским документом в виде награды. При его выполнении в папке TEMP создается вредоносный VBS-скрипт, который выполняется наряду с обычным корейским документом, что затрудняет обнаружение пользователем вредоносной активности.

После выполнения вредоносная программа под названием TutRAT загружается с URL hxxp://meatalk . com/pg/adm/tdr/upi/down0/r_enc.bin и запускается в бесфайловом формате. Эта вредоносная программа декодирует Base64-кодированные данные, которые сохраняются в файлах %temp%\client.ps1 и %tamp%\\version103.vbs, а затем устанавливает IP-адрес сервера на адрес злоумышленника. После этого выполняется "Основной метод", позволяющий злоумышленнику получать команды и выполнять такие вредоносные действия, как кейлоггинг, кража учетной информации браузера и захват экрана.

#ParsedReport #CompletenessLow
09-11-2023

Update now! SysAid vulnerability is actively being exploited by ransomware affiliate

https://www.malwarebytes.com/blog/news/2023/11/update-now-sysaid-vulnerability-is-actively-being-exploited-by-ransomware-affiliate

Report completeness: Low

Actors/Campaigns:
Fin11

Threats:
Clop
Flawedgrace_rat
Cobalt_strike
Meshagent

Victims:
Sysaid

CVEs:
CVE-2023-47246 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: 9.8
X-Force: Patch: Official fix


ChatGPT TTPs:
do not use without manual check
T1086, T1064, T1105, T1041

IOCs:
Hash: 1
IP: 4
Path: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Недавно компания Microsoft обнаружила уязвимость в программном обеспечении SysAid для ИТ-поддержки, которая позволяла злоумышленникам загружать веб-оболочку и вредоносное ПО. Организациям следует устранить уязвимость, заблокировать распространенные формы входа, защитить удаленный доступ и развернуть программное обеспечение для защиты конечных точек, чтобы предотвратить эксплуатацию и вредоносное ПО. Microsoft предлагает решения для удаления программ-вымогателей и предотвращения повторного заражения.
-----

Недавно компания Microsoft обнаружила, что группа Lace Tempest использовала уязвимость нулевого дня в программном обеспечении для ИТ-поддержки SysAid. Эксплойт, CVE-2023-47246, представлял собой уязвимость обхода пути, которая затрагивала все установки SysAid On-Premises, работающие с версиями до 23.3.36. Она позволяла злоумышленникам загружать веб-оболочку и другую полезную нагрузку в корень веб-сервиса SysAid Tomcat. Кроме того, она использовалась для доставки загрузчика вредоносного ПО Gracewire.

Организациям, использующим SysAid, следует как можно скорее применить исправление, а перед установкой патча обратить внимание на признаки эксплуатации. Атака могла быть использована для таких вредоносных действий, как латеральное перемещение, кража данных и развертывание программ-вымогателей.

Для предотвращения подобных атак организации должны предпринять несколько шагов. Во-первых, заблокировать распространенные способы проникновения и разработать план быстрого устранения уязвимостей в системах, выходящих в Интернет. Кроме того, следует отключить или защитить удаленный доступ, например RDP и VPN. Также важно развернуть программное обеспечение для защиты конечных точек, способное предотвратить использование эксплойтов и вредоносных программ, используемых для доставки программ-вымогателей.

После изоляции вспышки и прекращения первой атаки организации должны удалить все следы злоумышленников, их вредоносного ПО, инструментов и способов проникновения, чтобы избежать повторных атак. Корпорация Microsoft предлагает решения для бизнеса, позволяющие удалить все остатки вредоносного ПО и предотвратить повторное заражение.

#ParsedReport #CompletenessHigh
10-11-2023

Detection of attack circumstances abusing asset management program (Andariel Group)

https://asec.ahnlab.com/ko/58215

Report completeness: High

Actors/Campaigns:
Andariel (motivation: financially_motivated)
Lazarus
Kimsuky

Threats:
Spear-phishing_technique
Watering_hole_technique
Supply_chain_technique
Log4shell_vuln
Tiger_rat
Nukesped_rat
Blackremote_rat
Lilith_rat
Remcos_rat
Targetcompany
Printspoofer_tool
Goatrat
Durianbeacon
Taskkill
Netpass_tool
Malware/win.generic.c5528992
Malware/win.generic.c5528516
Backdoor/win.agent.c5518308
Backdoor/win.agent.r619279
Backdoor/win.agent.c5534745
Malware/mdp.download.m1197

Victims:
Various domestic companies

Industry:
Semiconductor_industry, Telco

Geo:
North korea

ChatGPT TTPs:
do not use without manual check
T1193, T1574.002, T1035, T1543, T1518.001, T1053, T1570, T1547.001

IOCs:
Path: 1
Url: 9
File: 19
Hash: 22
Command: 3
IP: 12

Soft:
innorix agent, ms-sql, task scheduler

Algorithms:
base64

Languages:
c_language, golang

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Группа "Андариэль" - подчиненная группировке "Лазарь" организация, осуществляющая атаки на отечественные компании с использованием методов "колючего фишинга", "водопоя" и атак на цепочки поставок. Для атак используются такие вредоносные программы, как Remcos RAT, Mallox ransomware, TigerRat, Black RAT и NukeSped. Компаниям следует принять дополнительные меры предосторожности для защиты от подобных атак.
-----

Угрожающая группа Andariel - подчиненная организация группы Lazarus, известная своими атаками, связанными с аналитической группой ASEC.

Для проникновения в компании они используют фишинговые атаки, атаки типа "водяная яма" и атаки на цепочки поставок.

В последнее время они используют уязвимости в различных программах, таких как Log4Shell и Innorix Agent, для атак на отечественные компании.

В состав вредоносного ПО, устанавливаемого в результате таких атак, входят различные типы вредоносного кода, например Remcos RAT и Mallox ransomware.

В состав вредоносного ПО с бэкдором, установленного в результате атаки, входят варианты TigerRat, Black RAT и NukeSped, являющиеся представителями вредоносного ПО группы Andariel.

Злоумышленники добавили в зараженную систему учетную запись пользователя и скрыли ее с помощью самостоятельно созданного вредоносного ПО.

Чтобы заранее предотвратить заражение подобными вредоносными программами, пользователям следует особенно внимательно относиться к вложениям в электронные письма из неизвестных источников или исполняемым файлам, загружаемым с веб-страниц.

Сотрудникам службы корпоративной безопасности следует усилить мониторинг программ управления активами и выполнять исправления в случае обнаружения уязвимостей в защите программ.

Известно, что при первичном проникновении в основном используются фишинг (spear phishing), "водяная дыра" (watering hole) и уязвимости в программном обеспечении, также подтверждены случаи, когда в процессе атаки вредоносное ПО распространяется с использованием других уязвимостей.

Компаниям следует принимать дополнительные меры предосторожности для защиты от таких атак.