#ParsedReport #ExtractedSchema

Classified images:
schema: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Управление по контролю за иностранными активами Министерства финансов США (OFAC) включило Екатерину Жданову в список лиц, подозреваемых в отмывании денег. Одновременно с этим угрожающие лица атакуют разработчиков программного обеспечения, используя вредоносный штамм под названием BlazeStealer. Компания Sumo Logic недавно столкнулась с проблемой взлома, вызванного этим вредоносным кодом, и приняла дополнительные меры безопасности для защиты своих клиентов.
-----

Управление по контролю за иностранными активами Министерства финансов США (OFAC) включило Екатерину Жданову в список лиц, подозреваемых в отмывании денег, связанных с операцией по распространению вымогательского ПО Ryuk. По мнению властей, она отмыла более 2,3 млн долл. в криптовалюте от имени одного из известных аффилированных лиц этой программы. Ее также уличили в помощи российским олигархам в обходе западных санкций, введенных после вторжения России на Украину. В результате ее активы в США были заморожены, и американским физическим и юридическим лицам запрещено проводить с ней операции.

В то же время разработчики программного обеспечения нацелились на вредоносный штамм под названием BlazeStealer. Эта вредоносная программа скрывается в пакетах с открытым исходным кодом Python, которые предназначены для имитации легитимных инструментов обфускации, таких как pyobf2 и pyobfuscator. Когда ничего не подозревающий разработчик запускает этот код, BlazeStealer устанавливается, и угрожающий агент получает доступ к конфиденциальной информации, такой как данные о хосте, пароли и аудиозаписи.

Компания Sumo Logic, поставщик облачных услуг, недавно столкнулась с проблемой взлома, вызванного этим вредоносным кодом. Для защиты своих клиентов компания рекомендовала чередовать учетные данные, используемые для доступа к сервисам Sumo Logic, и учетные данные, предоставляемые компанией для других систем. Кроме того, были приняты дополнительные меры безопасности, такие как усиленный мониторинг и сканирование уязвимостей для более эффективного обнаружения вредоносной активности в будущем.

#ParsedReport #CompletenessLow
10-11-2023

BiBi Wiper Used in the Israel-Hamas War Now Runs on Windows

https://blogs.blackberry.com/en/2023/11/bibi-wiper-used-in-the-israel-hamas-war-now-runs-on-windows

Report completeness: Low

Threats:
Bibi-linux

Victims:
Israeli companies

Geo:
Israel, Israeli

ChatGPT TTPs:
do not use without manual check
T1570.001

IOCs:
File: 3
Command: 3
Hash: 1

Soft:
visual studio, bcdedit

Algorithms:
sha256

Platforms:
x64

YARA: Found

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Вредоносная программа Wiper используется в продолжающемся конфликте между Израилем и ХАМАС для уничтожения данных. Вредоносная программа кодируется ником премьер-министра Израиля и уничтожает все файлы, кроме файлов с расширениями .exe, .dll и .sys.
-----

В последнее время в войне между Израилем и Хамасом появилась новая форма кибератак - вредоносное ПО wiper. 30 октября израильская компания SecurityJoes обнаружила Linux-вариант этого вредоносного ПО, получивший название BiBi-Linux Wiper, который использовался хактивистами из группировки "Хамас" для атак на израильские компании. Вредоносная программа не содержала ни записки с требованием выкупа, ни командно-контрольных серверов, что позволяет предположить, что ее единственной целью было уничтожение данных. Она была закодирована под прозвищем премьер-министра Израиля Bibi (он же Биньямин Нетаньяху), и расширение каждого уничтоженного файла также было изменено в соответствии с этим.

На следующий день команда BlackBerry Research and Intelligence Team обнаружила Windows-вариант вайпера, который получил обозначение BiBi-Windows Wiper. Судя по временной метке на этом образце, он был скомпилирован 21 октября, всего через 14 дней после первой террористической атаки ХАМАС на Израиль. Он имеет размер 203 КБ, использует Visual Studio 2019 и при выполнении проверяет архитектуру процессора и количество потоков в системе жертвы. Вредоносная программа запускает 12 потоков с восемью ядрами процессора и выводит результат в консоль. Далее происходит удаление всех файлов, кроме файлов с расширениями .exe, .dll и .sys, так как они необходимы для работы компьютера. Для завершения процесса вредоносная программа использует диспетчер перезагрузки и его файл Rstrtmgr.dll.

Вредоносные программы-"дворники" обычно используются в геополитических атаках, поскольку их целью является разрушение, а не получение денежной выгоды. В условиях продолжающейся эскалации конфликта между Израилем и Хамасом эта вредоносная программа-чистильщик служит напоминанием о том, что ни в физической, ни в цифровой сфере нет безопасного убежища.

#ParsedReport #CompletenessHigh
12-11-2023

Sandworm Disrupts Power in Ukraine Using a Novel Attack Against Operational Technology. Prepare for 2024's cybersecurity landscape.

https://www.mandiant.com/resources/blog/sandworm-disrupts-power-ukraine-operational-technology

Report completeness: High

Actors/Campaigns:
Sandworm (motivation: cyber_espionage)
Unc3810

Threats:
Lolbin_technique
Killdisk
Crashoverride
Blackout
Gogetter_tool
Tanktrap_tool
Partyticket
Hermeticwiper

Victims:
Ukrainian critical infrastructure organization

Industry:
Ics, Government, Energy, Military, Financial

Geo:
Ukraine, Russian federation, Ukrainian

TTPs:
Tactics: 3
Technics: 8

IOCs:
File: 8
Command: 1
Path: 2
IP: 5
Hash: 6

Soft:
outlook, systemd

Languages:
golang, visual_basic

YARA: Found
SIGMA: Found

Links:
https://github.com/L-codes/Neo-reGeorg

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Sandworm - связанный с Россией угрожающий субъект, действующий как минимум с 2009 г. и осуществляющий операции по шпионажу, влиянию и атакам в поддержку Главного разведывательного управления (ГРУ) России. Недавно они атаковали одну из украинских организаций критической инфраструктуры, используя новую технологию отключения автоматических выключателей подстанций, что привело к незапланированному отключению электроэнергии, и внедрили новый вариант CADDYWIPER в ИТ-среду жертвы. Эта атака представляет собой непосредственную угрозу для украинской критической инфраструктуры, и владельцам активов во всем мире следует принять меры по защите своих ИТ- и ОТ-систем.
-----

Sandworm - это связанный с Россией угрожающий агент, который как минимум с 2009 года атакует украинские организации критической инфраструктуры.

В октябре 2022 года злоумышленник, используя приемы "жизни на земле" (LotL), отключил автоматические выключатели подстанции жертвы, что привело к незапланированному отключению электроэнергии.

Sandworm развернул в ИТ-среде жертвы CADDYWIPER и GOGETTER, туннелер, написанный на языке Golang.

Sandworm использовал ISO-образ для выполнения собственного бинарного файла MicroSCADA, что привело к внеплановому отключению электроэнергии.

Атака Sandworm представляет собой непосредственную угрозу для украинских критически важных инфраструктурных сред, использующих систему диспетчерского управления MicroSCADA.

Владельцам активов следует обратиться к обоим поставщикам в ходе инвентаризации активов и ручных проверок активов, чтобы определить, присутствует ли данный продукт в какой-либо OT-среде, и обеспечить защиту MicroSCADA и других узлов управления SCADA.

#ParsedReport #CompletenessMedium
12-11-2023

Mass-spreading campaign targeting Zimbra users

https://www.welivesecurity.com/en/eset-research/mass-spreading-campaign-targeting-zimbra-users

Report completeness: Medium

Actors/Campaigns:
Winter_vivern
Temp_heretic

Threats:
Spear-phishing_technique

Victims:
Users of the zimbra collaboration email server, european government and media organizations

Industry:
Military, Government

Geo:
Italy, Poland, Ecuador, Ukraine, Polish

CVEs:
CVE-2022-24682 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: 7.2
X-Force: Patch: Official fix
Soft:
- zimbra collaboration (<8.8.15)

CVE-2022-27926 [Vulners]
CVSS V3.1: 6.1,
Vulners: Exploitation: True
X-Force: Risk: 6.1
X-Force: Patch: Official fix
Soft:
- zimbra collaboration (9.0.0)


TTPs:
Tactics: 6
Technics: 7

IOCs:
Email: 1
Domain: 6
IP: 7
Url: 7

Soft:
zimbra

Languages:
php

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Обнаружена новая фишинговая кампания, направленная на пользователей почтового сервера Zimbra Collaboration, и организациям, использующим этот почтовый сервер, следует принять необходимые меры для защиты своих учетных записей от фишинговых кампаний.
-----

Исследователи ESET обнаружили новую фишинговую кампанию, направленную на пользователей почтового сервера Zimbra Collaboration, которая началась в апреле 2023 года. Большинство целей находилось в Польше, затем в Эквадоре и Италии. Злоумышленники использовали приемы социальной инженерии и взаимодействия с пользователем для подмены поля From: в письме, чтобы оно выглядело как письмо от администратора почтового сервера. В URL-адресах назначения POST-запросов злоумышленники использовали шаблон https:// SERVER_ADDRESS /wp-admin/ZimbraNew.php.

Злоумышленники смогли скомпрометировать учетные записи администраторов жертв, создав новые почтовые ящики, которые затем использовали для рассылки фишинговых писем другим целям. Эта кампания не отличается особой изощренностью, но все же способна распространяться и успешно компрометировать организации, использующие Zimbra Collaboration. Злоумышленники используют тот факт, что HTML-вложения содержат легитимный код, а единственным отличительным элементом является ссылка, указывающая на вредоносный хост. Это позволяет им легко обходить антиспамовые политики, основанные на репутации, в отличие от фишинга, когда вредоносная ссылка размещается в теле письма.

Поскольку Zimbra Collaboration популярна среди организаций, как правило, с меньшим ИТ-бюджетом, она остается привлекательной целью для злоумышленников. В марте 2023 года APT-группа Winter Vivern (также известная как TA473) эксплуатировала уязвимость CVE-2022-27926. В феврале 2022 года группа под названием TEMP_Heretic осуществляла утечку электронной почты европейских правительственных организаций и СМИ, используя другую уязвимость (CVE-2022-24682) в функции Calendar в Zimbra Collaboration.

Организации, использующие Zimbra Collaboration, должны быть осведомлены о рисках, связанных с использованием этого почтового сервера, и предпринять необходимые шаги для защиты своих учетных записей от фишинговых кампаний. К таким мерам относятся обучение сотрудников безопасной работе в Интернете, использование двухфакторной аутентификации, обновление программного обеспечения и протоколов безопасности. Принятие этих мер поможет защитить учетные записи и снизить вероятность стать жертвой фишинговой атаки.

#ParsedReport #CompletenessLow
12-11-2023

All About That 8Base Ransomware Group: The Details

https://cyberint.com/blog/research/all-about-that-8base-ransomware-group-the-details

Report completeness: Low

Actors/Campaigns:
Ransom_house

Threats:
8base
Magnitude
Phobos

Victims:
Professional services, Retail, Manufacturing, Construction, Finance and insurance, Healthcare

Industry:
Retail, Healthcare, Financial

Geo:
Brazil

Soft:
telegram

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: 8Base - это группа разработчиков программ-вымогателей, быстро завоевавшая известность благодаря своей агрессивной стратегии и большому числу жертв, в первую очередь представителей малого и среднего бизнеса. Они часто используют стратегии двойного вымогательства и ведут переписку через свой сайт DLS, страницу в Twitter и группу Telegram.
-----

8Base - это относительно новый коллективный вымогатель, быстро завоевавший репутацию благодаря своей агрессивной стратегии и значительному числу жертв. Ее жертвами становятся в основном предприятия малого и среднего бизнеса (SMB), работающие в различных отраслях, таких как бизнес-услуги, розничная торговля, финансы, производство и информационные технологии. Существует предположение, что 8Base может быть ответвлением или производной от организации RansomHouse, которая известна тем, что приобретает заранее скомпрометированные данные или сотрудничает с платформами утечки данных для принуждения жертв.

Стремительный рост активности 8Base вывел его в число лидеров по количеству атак, жертвами которых в основном становятся компании, работающие в сфере профессиональных услуг, таких как бухгалтерия, право и юридические услуги, бизнес-услуги и т.д., а также компании в сфере розничной торговли, производства, строительства, финансов и страхования, здравоохранения. Большинство атак было совершено в США (77 атак на сегодняшний день), Бразилии (14 атак на сегодняшний день) и Великобритании (13 атак на сегодняшний день).

Компания 8Base стала известна благодаря использованию стратегии двойного вымогательства. Она предполагает использование угрозы раскрытия зашифрованных файлов, если не будет получен выкуп, с целью поставить жертву в неловкое положение, раскрыв конфиденциальные данные, которые могут негативно повлиять на ее имидж и репутацию. Для этого они используют несколько вариантов ransomware, один из которых - Phobos - адаптировали под свои цели, добавив к зашифрованным файлам расширение .8base.

Группа общается через свой сайт DLS (onion), страницу в Twitter и официальную группу в Telegram. Несмотря на то что происхождение 8Base остается неустановленным, эта группа оказала значительное влияние на сферу вымогательского ПО в силу масштабов угрозы, которую она представляет.

Текс, возвращаемся к прежнему режиму публикаций отчетов

#ParsedReport #CompletenessLow
12-11-2023

Active Exploitation of Big-IP and Citrix vulnerabilities observed by Cyble Global Sensor Intelligence Network

https://cyble.com/blog/active-exploitation-of-big-ip-and-citrix-vulnerabilities-observed-by-cyble-global-sensor-intelligence-network

Report completeness: Low

Threats:
Smuggling_technique

Victims:
Organizations using big-ip virtual edition, citrix netscaler, netscaler gateway or adc

CVEs:
CVE-2023-4966 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: 9.4
X-Force: Patch: Official fix
Soft:
- citrix netscaler application delivery controller (<12.1-55.300, <13.0-92.19, <13.1-37.164, <13.1-49.15, <14.1-8.50)
- citrix netscaler gateway (<13.0-92.19, <13.1-49.15, <14.1-8.50)

CVE-2023-46748 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 8.8
X-Force: Patch: Official fix
Soft:
- f5 big-ip access policy manager (le13.1.5, le14.1.5, le15.1.10, le16.1.4, le17.1.1)

CVE-2023-46747 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- f5 big-ip access policy manager (le13.1.5, le14.1.5, le15.1.10, le16.1.4, le17.1.1)


IOCs:
File: 1
IP: 13

Soft:
big-ip, burp suite, curl

Languages:
java

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Компания CGSI выявила эксплуатацию недавно раскрытых уязвимостей, о которых говорилось в рекомендациях CISA. Злоумышленники активно используют уязвимости в F5 BIG-IP Virtual Edition и Citrix NetScaler. Для защиты от потенциальных угроз организациям следует применять соответствующие средства защиты и устанавливать патчи безопасности.
-----

Злоумышленники активно используют уязвимости, упомянутые в рекомендациях CISA, в частности CVE-2023-46747 и CVE-2023-46748 для F5 BIG-IP и CVE-2023-4966 для Citrix NetScaler.

F5 BIG-IP Virtual Edition и Citrix NetScaler широко используются многими организациями.

Злоумышленники использовали технику контрабанды запросов для эксплуатации уязвимости F5 BIG-IP и проблему, связанную с буфером, для эксплуатации уязвимости Citrix NetScaler.

Для защиты от потенциальных угроз организациям следует применять соответствующие средства защиты, устанавливать последние исправления и обновления, проводить регулярный аудит и мониторинг безопасности своих систем.

#ParsedReport #CompletenessLow
10-11-2023

Don t check out! Credit card skimming activity observed

https://cybersecurity.att.com/blogs/security-essentials/dont-check-out-credit-card-skimming-activity-observed

Report completeness: Low

Victims:
Online payment businesses, impacted customers

Industry:
Government, Foodtech, Education, Financial

ChatGPT TTPs:
do not use without manual check
T1204.003, T1078.002, T1486, T1140

IOCs:
Domain: 1
File: 1

Algorithms:
zip

#ParsedReport #GeneratedSchema
Generated with GPT-4