CTT Report Hub
#ParsedReport #CompletenessLow 21-11-2023 PlayCrypt Ransomware-as-a-Service Expands Threat from Script Kiddies and Sophisticated Attackers https://adlumin.com/post/playcrypt-ransomware-as-a-service-expands-threat-from-script-kiddies-and-sophisticated-attackers…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея данного текста заключается в том, что программное обеспечение Play ransomware продается как услуга, что расширяет его использование преступниками и делает предприятия и органы власти более уязвимыми для атак.
-----
С момента своего появления в 2022 году программа-вымогатель Play, также известная как PlayCrypt, стала причиной многочисленных атак на компании и правительственные организации по всему миру. В последние месяцы компания Adlumin обнаружила новое явление на рынке RaaS (ransomware-as-a-service) - теперь Play продается как услуга, доступная филиалам разного уровня квалификации. Это может привести к значительному увеличению числа атак с использованием успешной программы-рансома Play, связанной с Россией.
Компания Adlumin отследила несколько атак Play ransomware в различных отраслях. Тактика, техника и процедуры (TTP), использованные в этих атаках, а также индикаторы компрометации (IOC) были практически неотличимы друг от друга. Судя по всему, злоумышленники следовали пошаговым инструкциям из "игровых книг", поставляемых вместе с вымогательским ПО. Жертвы этих атак имеют общую характеристику - это небольшие организации, имеющие финансовые возможности для выплаты крупных выкупов.
Приобрести RaaS-комплекты сравнительно просто для тех, кто подключен к TOR, - они могут просматривать объявления о продаже RaaS на форумах или рынках темной сети. Так, в одном из объявлений предлагались наборы для защиты от вымогательства для систем MacOS. В объявлениях предлагалась помощь в настройке по цене от 200 долларов, а в некоторых - даже полная сборка по цене от 300 до 1100 долларов.
Простота внедрения программ-вымогателей, а также прибыльность атак на них сделали этот вид киберпреступности особенно привлекательным для "скриптовых детей". Особенно уязвимы бедные страны, которые служат тренировочной базой для преступных группировок. Предприятиям и властям следует готовиться к растущей волне инцидентов.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея данного текста заключается в том, что программное обеспечение Play ransomware продается как услуга, что расширяет его использование преступниками и делает предприятия и органы власти более уязвимыми для атак.
-----
С момента своего появления в 2022 году программа-вымогатель Play, также известная как PlayCrypt, стала причиной многочисленных атак на компании и правительственные организации по всему миру. В последние месяцы компания Adlumin обнаружила новое явление на рынке RaaS (ransomware-as-a-service) - теперь Play продается как услуга, доступная филиалам разного уровня квалификации. Это может привести к значительному увеличению числа атак с использованием успешной программы-рансома Play, связанной с Россией.
Компания Adlumin отследила несколько атак Play ransomware в различных отраслях. Тактика, техника и процедуры (TTP), использованные в этих атаках, а также индикаторы компрометации (IOC) были практически неотличимы друг от друга. Судя по всему, злоумышленники следовали пошаговым инструкциям из "игровых книг", поставляемых вместе с вымогательским ПО. Жертвы этих атак имеют общую характеристику - это небольшие организации, имеющие финансовые возможности для выплаты крупных выкупов.
Приобрести RaaS-комплекты сравнительно просто для тех, кто подключен к TOR, - они могут просматривать объявления о продаже RaaS на форумах или рынках темной сети. Так, в одном из объявлений предлагались наборы для защиты от вымогательства для систем MacOS. В объявлениях предлагалась помощь в настройке по цене от 200 долларов, а в некоторых - даже полная сборка по цене от 300 до 1100 долларов.
Простота внедрения программ-вымогателей, а также прибыльность атак на них сделали этот вид киберпреступности особенно привлекательным для "скриптовых детей". Особенно уязвимы бедные страны, которые служат тренировочной базой для преступных группировок. Предприятиям и властям следует готовиться к растущей волне инцидентов.
#ParsedReport #CompletenessMedium
21-11-2023
Social engineering attacks lure Indian users to install Android banking trojans
https://www.microsoft.com/en-us/security/blog/2023/11/20/social-engineering-attacks-lure-indian-users-to-install-android-banking-trojans
Report completeness: Medium
Threats:
Supply_chain_technique
Spybanker
Victims:
Customers of large financial institutions, indian banking institutions, users of the tiktok android application, users of whatsapp, and users of telegram
Industry:
Government, Financial
Geo:
India, British indian ocean territory
CVEs:
CVE-2022-28799 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 8.8
X-Force: Patch: Official fix
Soft:
- tiktok (<23.7.3)
TTPs:
Tactics: 5
Technics: 0
IOCs:
File: 2
Hash: 2
Url: 2
Soft:
android, microsoft 365 defender, tiktok android, tiktok, microsoft defender for endpoint, whatsapp, telegram
Algorithms:
sha256
Functions:
OnCreate
Platforms:
apple
21-11-2023
Social engineering attacks lure Indian users to install Android banking trojans
https://www.microsoft.com/en-us/security/blog/2023/11/20/social-engineering-attacks-lure-indian-users-to-install-android-banking-trojans
Report completeness: Medium
Threats:
Supply_chain_technique
Spybanker
Victims:
Customers of large financial institutions, indian banking institutions, users of the tiktok android application, users of whatsapp, and users of telegram
Industry:
Government, Financial
Geo:
India, British indian ocean territory
CVEs:
CVE-2022-28799 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 8.8
X-Force: Patch: Official fix
Soft:
- tiktok (<23.7.3)
TTPs:
Tactics: 5
Technics: 0
IOCs:
File: 2
Hash: 2
Url: 2
Soft:
android, microsoft 365 defender, tiktok android, tiktok, microsoft defender for endpoint, whatsapp, telegram
Algorithms:
sha256
Functions:
OnCreate
Platforms:
apple
Microsoft Security Blog
Social engineering attacks lure Indian users to install Android banking trojans | Microsoft Security Blog
Mobile banking trojan campaigns targeting users in India impersonate legitimate orgs and steal users’ information for financial fraud scams.
CTT Report Hub
#ParsedReport #CompletenessMedium 21-11-2023 Social engineering attacks lure Indian users to install Android banking trojans https://www.microsoft.com/en-us/security/blog/2023/11/20/social-engineering-attacks-lure-indian-users-to-install-android-banking…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Компания Microsoft обнаружила уязвимость высокой степени серьезности в приложении TikTok для Android, а также распространила поддельное приложение для получения вознаграждений от мобильного банка, ориентированное на клиентов индийских банковских учреждений. Вредоносные программы для мошенничества с оплатой услуг являются одним из наиболее распространенных видов вредоносного ПО для Android и продолжают развиваться, что делает клиентов крупных финансовых учреждений особенно уязвимыми. Для предотвращения подобных угроз пользователям следует устанавливать приложения только из надежных источников, не переходить по неизвестным ссылкам, использовать решения для обеспечения безопасности мобильных устройств и отключать функцию "Установить неизвестные приложения" на Android-устройствах.
-----
Компания Microsoft обнаружила уязвимость высокой степени серьезности в приложении TikTok для Android, которая могла позволить злоумышленникам одним щелчком мыши скомпрометировать учетные записи пользователей.
В сети появилось поддельное приложение для получения вознаграждения за пользование мобильным банком, ориентированное на клиентов индийских банковских учреждений.
Вредоносные программы для борьбы с платным мошенничеством - один из самых распространенных видов вредоносного ПО для Android, который продолжает развиваться, делая особенно уязвимыми клиентов крупных финансовых учреждений.
Компания Microsoft сообщила о фишинговой кампании в WhatsApp, в результате которой был обнаружен банковский троян.
Вредоносное приложение запрашивало у пользователей два разрешения на выполнение: Send_SMS и Receive_SMS.
Вредоносное приложение отправляло эту информацию на командно-контрольный сервер (C2), а также на жестко закодированный номер телефона злоумышленника, используемый в SMS-функциях.
Незнакомые установленные приложения, повышенный расход данных или разряд батареи, несанкционированные операции или изменение настроек учетной записи, сбои в работе устройства, низкая производительность, неожиданные всплывающие окна и другие необычные действия приложений могут свидетельствовать о возможном заражении банковским трояном.
Для предотвращения подобных угроз пользователям следует устанавливать приложения только из надежных источников, не переходить по неизвестным ссылкам, использовать решения для защиты мобильных устройств и отключать функцию "Установить неизвестные приложения" на Android-устройствах.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Компания Microsoft обнаружила уязвимость высокой степени серьезности в приложении TikTok для Android, а также распространила поддельное приложение для получения вознаграждений от мобильного банка, ориентированное на клиентов индийских банковских учреждений. Вредоносные программы для мошенничества с оплатой услуг являются одним из наиболее распространенных видов вредоносного ПО для Android и продолжают развиваться, что делает клиентов крупных финансовых учреждений особенно уязвимыми. Для предотвращения подобных угроз пользователям следует устанавливать приложения только из надежных источников, не переходить по неизвестным ссылкам, использовать решения для обеспечения безопасности мобильных устройств и отключать функцию "Установить неизвестные приложения" на Android-устройствах.
-----
Компания Microsoft обнаружила уязвимость высокой степени серьезности в приложении TikTok для Android, которая могла позволить злоумышленникам одним щелчком мыши скомпрометировать учетные записи пользователей.
В сети появилось поддельное приложение для получения вознаграждения за пользование мобильным банком, ориентированное на клиентов индийских банковских учреждений.
Вредоносные программы для борьбы с платным мошенничеством - один из самых распространенных видов вредоносного ПО для Android, который продолжает развиваться, делая особенно уязвимыми клиентов крупных финансовых учреждений.
Компания Microsoft сообщила о фишинговой кампании в WhatsApp, в результате которой был обнаружен банковский троян.
Вредоносное приложение запрашивало у пользователей два разрешения на выполнение: Send_SMS и Receive_SMS.
Вредоносное приложение отправляло эту информацию на командно-контрольный сервер (C2), а также на жестко закодированный номер телефона злоумышленника, используемый в SMS-функциях.
Незнакомые установленные приложения, повышенный расход данных или разряд батареи, несанкционированные операции или изменение настроек учетной записи, сбои в работе устройства, низкая производительность, неожиданные всплывающие окна и другие необычные действия приложений могут свидетельствовать о возможном заражении банковским трояном.
Для предотвращения подобных угроз пользователям следует устанавливать приложения только из надежных источников, не переходить по неизвестным ссылкам, использовать решения для защиты мобильных устройств и отключать функцию "Установить неизвестные приложения" на Android-устройствах.
#ParsedReport #CompletenessLow
21-11-2023
Confirming the distribution of malicious code using the sale of personal information as bait
https://asec.ahnlab.com/ko/59217
Report completeness: Low
Threats:
Trojan/vbs.runner
Trojan/win.agent.c426491
Asyncrat
Dropper/win.generic.c5499482
ChatGPT TTPs:
T1159, T1117, T1241, T1027, T1064
IOCs:
File: 6
Hash: 5
Algorithms:
base64
21-11-2023
Confirming the distribution of malicious code using the sale of personal information as bait
https://asec.ahnlab.com/ko/59217
Report completeness: Low
Threats:
Trojan/vbs.runner
Trojan/win.agent.c426491
Asyncrat
Dropper/win.generic.c5499482
ChatGPT TTPs:
do not use without manual checkT1159, T1117, T1241, T1027, T1064
IOCs:
File: 6
Hash: 5
Algorithms:
base64
ASEC BLOG
개인정보 판매를 미끼로한 악성코드 유포 정황 확인 - ASEC BLOG
AhnLab Security Emergency response Center(ASEC)은 개인정보 판매를 미끼로 하는 악성코드 유포 정황을 확인했다. 이와 같은 공격 방법은 사회공학적 해킹에 속한다. ASEC에서 최근 확인된 사회공학적 해킹을 통한 악성코드 유포 정황을 소개한다. [그림 1]은 공격자가 유포지로 사용한 홈페이지 내용이다. 다수의 파일들이 존재한다. 대부분 개인정보를 갖고 있는 파일이며, 파일 내용은 ‘리딩’, ‘비상장’, ‘단타’, ‘중장기’…
CTT Report Hub
#ParsedReport #CompletenessLow 21-11-2023 Confirming the distribution of malicious code using the sale of personal information as bait https://asec.ahnlab.com/ko/59217 Report completeness: Low Threats: Trojan/vbs.runner Trojan/win.agent.c426491 Asyncrat…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Вредоносные программы распространяются с помощью социальной инженерии, которая заключается в использовании личной информации для того, чтобы обманом заставить человека загрузить и запустить вредоносный код. Следует опасаться групповых комнат, предоставляющих несанкционированную информацию об инвестициях, и проявлять осторожность при загрузке файлов и переходе по подозрительным ссылкам.
-----
Центр реагирования на чрезвычайные ситуации в области безопасности АнЛаб (ASEC) недавно подтвердил факт распространения вредоносного ПО с использованием техники атаки, известной как взлом с помощью социальной инженерии. Этот вид взлома предполагает использование личной информации в качестве приманки для того, чтобы склонить человека к загрузке и запуску вредоносного кода.
В данном конкретном случае злоумышленник получил более 8500 файлов, содержащих персональные данные, такие как имена, номера телефонов, суммы инвестиций и кредитная информация. Вредоносный код был замаскирован под продажу, и люди загружали и запускали скрипт и файл с персональными данными, показанный на рис. 6.
После выполнения вредоносного кода он не отображался как скрипт, что затрудняло обнаружение заражения вредоносным кодом. Вредоносный код также содержал инструмент удаленного доступа (RAT) с функциями автоматического выполнения, выполнения скриптов, загрузки дополнительных файлов, выполнения загруженных файлов через обычный процесс Regsvcs.exe и выполнения обратных соединений.
Подобные атаки служат напоминанием о том, что людям следует опасаться групповых комнат, предоставляющих несанкционированную инвестиционную информацию. Собранная без разбора личная информация не шифруется и не хранится, поэтому при утечке она может быть использована для распространения вредоносного кода. Следует соблюдать осторожность при загрузке любых типов файлов и переходе по подозрительным ссылкам.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Вредоносные программы распространяются с помощью социальной инженерии, которая заключается в использовании личной информации для того, чтобы обманом заставить человека загрузить и запустить вредоносный код. Следует опасаться групповых комнат, предоставляющих несанкционированную информацию об инвестициях, и проявлять осторожность при загрузке файлов и переходе по подозрительным ссылкам.
-----
Центр реагирования на чрезвычайные ситуации в области безопасности АнЛаб (ASEC) недавно подтвердил факт распространения вредоносного ПО с использованием техники атаки, известной как взлом с помощью социальной инженерии. Этот вид взлома предполагает использование личной информации в качестве приманки для того, чтобы склонить человека к загрузке и запуску вредоносного кода.
В данном конкретном случае злоумышленник получил более 8500 файлов, содержащих персональные данные, такие как имена, номера телефонов, суммы инвестиций и кредитная информация. Вредоносный код был замаскирован под продажу, и люди загружали и запускали скрипт и файл с персональными данными, показанный на рис. 6.
После выполнения вредоносного кода он не отображался как скрипт, что затрудняло обнаружение заражения вредоносным кодом. Вредоносный код также содержал инструмент удаленного доступа (RAT) с функциями автоматического выполнения, выполнения скриптов, загрузки дополнительных файлов, выполнения загруженных файлов через обычный процесс Regsvcs.exe и выполнения обратных соединений.
Подобные атаки служат напоминанием о том, что людям следует опасаться групповых комнат, предоставляющих несанкционированную инвестиционную информацию. Собранная без разбора личная информация не шифруется и не хранится, поэтому при утечке она может быть использована для распространения вредоносного кода. Следует соблюдать осторожность при загрузке любых типов файлов и переходе по подозрительным ссылкам.
#ParsedReport #CompletenessHigh
20-11-2023
WinRAR CVE-2023-38831 Vulnerability Draws Attention from APTs. Sign up here:
https://www.uptycs.com/blog/cve-2023-38831-winrar-zero-day
Report completeness: High
Actors/Campaigns:
Ghostwriter
Sandworm
Leviathan
Kimsuky (motivation: cyber_espionage, gaining_prominence)
Evilnum
Fancy_bear
Darkpink
Sidecopy
Duke
Threats:
Darkme
Agent_tesla
Picassoloader
Rhadamanthys
Cloudeye
Remcos_rat
Cobalt_strike
Iconicloader
Telepowerbot
Ironjaw
Islandstager
Boxrat
Whitesnake_stealer
White_snake
Bumblebee
Mythic_c2
Njrat
Dll_sideloading_technique
Uac_bypass_technique
Lolbin_technique
Macstealer
Meduza
Industry:
Energy, Financial, Government
Geo:
North-korean, British indian ocean territory, China, Chinese, Ukrainian, Russian federation, Vietnam, Guinea, Malaysia, Pakistan, India, Ukraine, North korea
CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- rarlab winrar (<6.23)
TTPs:
Tactics: 10
Technics: 17
IOCs:
File: 8
Domain: 3
Url: 2
Hash: 19
IP: 2
Soft:
keepass
Algorithms:
xor, zip
Win API:
GetSystemWow64DirectoryW
Languages:
javascript, visual_basic
Platforms:
intel
20-11-2023
WinRAR CVE-2023-38831 Vulnerability Draws Attention from APTs. Sign up here:
https://www.uptycs.com/blog/cve-2023-38831-winrar-zero-day
Report completeness: High
Actors/Campaigns:
Ghostwriter
Sandworm
Leviathan
Kimsuky (motivation: cyber_espionage, gaining_prominence)
Evilnum
Fancy_bear
Darkpink
Sidecopy
Duke
Threats:
Darkme
Agent_tesla
Picassoloader
Rhadamanthys
Cloudeye
Remcos_rat
Cobalt_strike
Iconicloader
Telepowerbot
Ironjaw
Islandstager
Boxrat
Whitesnake_stealer
White_snake
Bumblebee
Mythic_c2
Njrat
Dll_sideloading_technique
Uac_bypass_technique
Lolbin_technique
Macstealer
Meduza
Industry:
Energy, Financial, Government
Geo:
North-korean, British indian ocean territory, China, Chinese, Ukrainian, Russian federation, Vietnam, Guinea, Malaysia, Pakistan, India, Ukraine, North korea
CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- rarlab winrar (<6.23)
TTPs:
Tactics: 10
Technics: 17
IOCs:
File: 8
Domain: 3
Url: 2
Hash: 19
IP: 2
Soft:
keepass
Algorithms:
xor, zip
Win API:
GetSystemWow64DirectoryW
Languages:
javascript, visual_basic
Platforms:
intel
Uptycs
WinRAR CVE-2023-38831 Vulnerability: Malware Exploits & APT Attacks
WinRAR Zero-Day Vulnerability (CVE-2023-38831): APT groups exploit file extension handling flaws to execute malicious unauthorized code.
CTT Report Hub
#ParsedReport #CompletenessHigh 20-11-2023 WinRAR CVE-2023-38831 Vulnerability Draws Attention from APTs. Sign up here: https://www.uptycs.com/blog/cve-2023-38831-winrar-zero-day Report completeness: High Actors/Campaigns: Ghostwriter Sandworm Leviathan…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Многие угрозы используют уязвимость CVE-2023-38831 WinRAR для проведения кампаний кибершпионажа с использованием фишинговых писем, вредоносного JavaScript-кода, C2-серверов, BAT- и CMD-файлов, сценариев PowerShell, а также различных типов вредоносного ПО. Рекомендуется обновить последнюю версию WinRAR и проявлять бдительность при открытии писем с вложениями.
-----
Уязвимость (CVE-2023-38831), затрагивающая версии WinRAR, предшествующие 6.23, была обнаружена в апреле 2023 года.
Группы постоянных угроз (APT) по всему миру эксплуатируют эту уязвимость, встраивая вредоносные исполняемые файлы в ZIP-архивы широко распространенных типов файлов, таких как PDF-файлы и JPG-файлы.
Были развернуты различные семейства вредоносных программ, каждая из которых нацелена на определенные отрасли и страны.
Обновление до последней версии WinRAR - лучший способ защиты от эксплуатации уязвимости CVE-2023-38831 WinRAR.
В фишинговых письмах распространяются вредоносные RAR-архивы с эксплойтом CVE-2023-38831, а для передачи конечной полезной нагрузки используются вредоносный JavaScript-код и C2-серверы.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Многие угрозы используют уязвимость CVE-2023-38831 WinRAR для проведения кампаний кибершпионажа с использованием фишинговых писем, вредоносного JavaScript-кода, C2-серверов, BAT- и CMD-файлов, сценариев PowerShell, а также различных типов вредоносного ПО. Рекомендуется обновить последнюю версию WinRAR и проявлять бдительность при открытии писем с вложениями.
-----
Уязвимость (CVE-2023-38831), затрагивающая версии WinRAR, предшествующие 6.23, была обнаружена в апреле 2023 года.
Группы постоянных угроз (APT) по всему миру эксплуатируют эту уязвимость, встраивая вредоносные исполняемые файлы в ZIP-архивы широко распространенных типов файлов, таких как PDF-файлы и JPG-файлы.
Были развернуты различные семейства вредоносных программ, каждая из которых нацелена на определенные отрасли и страны.
Обновление до последней версии WinRAR - лучший способ защиты от эксплуатации уязвимости CVE-2023-38831 WinRAR.
В фишинговых письмах распространяются вредоносные RAR-архивы с эксплойтом CVE-2023-38831, а для передачи конечной полезной нагрузки используются вредоносный JavaScript-код и C2-серверы.
#ParsedReport #CompletenessLow
21-11-2023
XWorm Malware: Exploring C&C Communication
https://any.run/cybersecurity-blog/xworm-malware-communication-analysis
Report completeness: Low
Threats:
Xworm_rat
TTPs:
Tactics: 5
Technics: 11
IOCs:
File: 1
IP: 1
Hash: 3
Soft:
chromium, discord, telegram, windows defender, net framework
Wallets:
metamask
Algorithms:
aes-ecb
Links:
21-11-2023
XWorm Malware: Exploring C&C Communication
https://any.run/cybersecurity-blog/xworm-malware-communication-analysis
Report completeness: Low
Threats:
Xworm_rat
TTPs:
Tactics: 5
Technics: 11
IOCs:
File: 1
IP: 1
Hash: 3
Soft:
chromium, discord, telegram, windows defender, net framework
Wallets:
metamask
Algorithms:
aes-ecb
Links:
https://gist.github.com/0xToxin/01a35dfc5edcd9d6885f6185ca9b4c4eANY.RUN's Cybersecurity Blog
XWorm Malware: Exploring C&C Communication - ANY.RUN's Cybersecurity Blog
Explore XWorm's communication encryption, uncover decryption methods, and see the data and commands the malware transmits.
CTT Report Hub
#ParsedReport #CompletenessLow 21-11-2023 XWorm Malware: Exploring C&C Communication https://any.run/cybersecurity-blog/xworm-malware-communication-analysis Report completeness: Low Threats: Xworm_rat TTPs: Tactics: 5 Technics: 11 IOCs: File: 1 IP: 1…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: XWorm - это вредоносная программа Remote Access Trojan (RAT), предназначенная для операционных систем Windows и способная выполнять широкий спектр вредоносных действий, таких как кража данных и отключение Защитника Windows.
-----
XWorm - это троянская программа удаленного доступа (RAT), специально предназначенная для операционных систем Windows. Он предоставляет оператору обширный набор так называемых плагинов, предназначенных для заражения пользователей при успешном подключении. Эта вредоносная программа активна уже достаточно давно, о чем свидетельствует еженедельная аналитика загрузок ANY.RUN. При первом запуске на компьютере жертвы XWorm инициирует соединение с удаленным сервером, при этом используется шифрование AES-ECB (без подкладок). Ключом шифрования является MD5-хэш конфигурационной переменной, расшифрованной в процессе работы вредоносной программы. После отправки необходимой информации на сервер и добавления клиента в панель заражения злоумышленник может использовать на клиенте широкий спектр плагинов.
Структура кода бинарного файла XWorm показывает, что в процессе его выполнения происходит обращение к семи основным классам: AlgorithmAES, ClientSocket, Helper, Messages, Xlogger, Uninstaller и Main. AlgorithmAES отвечает за расшифровку данных, ClientSocket управляет установкой соединения с удаленным сервером, Helper содержит множество функций, вызываемых другими классами, Messages обрабатывает данные, полученные от сервера, Xlogger выполняет функцию кейлоггера, Uninstaller обеспечивает удаление бинарного файла, а Main является основным классом.
В разделе "Угрозы" анализа ANY.RUN были обнаружены многочисленные вредоносные действия во время выполнения вредоносной программы, в том числе идентификация команд-запросов XWorm для sendPlugin и savePlugin, а также обнаружение DLL на базе .NET, которая представляет собой обширный инфопохититель с несколькими возможностями кражи. Среди них - отключение или завершение работы Windows Defender, исключение пути из сканирования Windows Defender, установка фреймворка .NET и отключение экрана.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: XWorm - это вредоносная программа Remote Access Trojan (RAT), предназначенная для операционных систем Windows и способная выполнять широкий спектр вредоносных действий, таких как кража данных и отключение Защитника Windows.
-----
XWorm - это троянская программа удаленного доступа (RAT), специально предназначенная для операционных систем Windows. Он предоставляет оператору обширный набор так называемых плагинов, предназначенных для заражения пользователей при успешном подключении. Эта вредоносная программа активна уже достаточно давно, о чем свидетельствует еженедельная аналитика загрузок ANY.RUN. При первом запуске на компьютере жертвы XWorm инициирует соединение с удаленным сервером, при этом используется шифрование AES-ECB (без подкладок). Ключом шифрования является MD5-хэш конфигурационной переменной, расшифрованной в процессе работы вредоносной программы. После отправки необходимой информации на сервер и добавления клиента в панель заражения злоумышленник может использовать на клиенте широкий спектр плагинов.
Структура кода бинарного файла XWorm показывает, что в процессе его выполнения происходит обращение к семи основным классам: AlgorithmAES, ClientSocket, Helper, Messages, Xlogger, Uninstaller и Main. AlgorithmAES отвечает за расшифровку данных, ClientSocket управляет установкой соединения с удаленным сервером, Helper содержит множество функций, вызываемых другими классами, Messages обрабатывает данные, полученные от сервера, Xlogger выполняет функцию кейлоггера, Uninstaller обеспечивает удаление бинарного файла, а Main является основным классом.
В разделе "Угрозы" анализа ANY.RUN были обнаружены многочисленные вредоносные действия во время выполнения вредоносной программы, в том числе идентификация команд-запросов XWorm для sendPlugin и savePlugin, а также обнаружение DLL на базе .NET, которая представляет собой обширный инфопохититель с несколькими возможностями кражи. Среди них - отключение или завершение работы Windows Defender, исключение пути из сканирования Windows Defender, установка фреймворка .NET и отключение экрана.
#ParsedReport #CompletenessMedium
21-11-2023
THREAT ALERT: INC Ransomware
https://www.cybereason.com/blog/threat-alert-inc-ransomware
Report completeness: Medium
Threats:
Inc_ransomware
Lockbit
Supply_chain_technique
Megasync_tool
Victims:
Private sector businesses, government organization and charity association
Industry:
Government, Military
Geo:
Singapore
TTPs:
Tactics: 3
Technics: 9
IOCs:
Hash: 1
Soft:
psexec
Algorithms:
sha256
21-11-2023
THREAT ALERT: INC Ransomware
https://www.cybereason.com/blog/threat-alert-inc-ransomware
Report completeness: Medium
Threats:
Inc_ransomware
Lockbit
Supply_chain_technique
Megasync_tool
Victims:
Private sector businesses, government organization and charity association
Industry:
Government, Military
Geo:
Singapore
TTPs:
Tactics: 3
Technics: 9
IOCs:
Hash: 1
Soft:
psexec
Algorithms:
sha256
Cybereason
THREAT ALERT: INC Ransomware
Cybereason issues Threat Alerts to inform customers of emerging impacting threats, including new ransomware actors such as the emergent group INC Ransom. Cybereason Threat Alerts summarize these threats and provide practical recommendations for protecting…
CTT Report Hub
#ParsedReport #CompletenessMedium 21-11-2023 THREAT ALERT: INC Ransomware https://www.cybereason.com/blog/threat-alert-inc-ransomware Report completeness: Medium Threats: Inc_ransomware Lockbit Supply_chain_technique Megasync_tool Victims: Private sector…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея текста заключается в том, что группа INC Ransom - это новая группировка вымогателей, которая нацелена на частные предприятия, правительственные организации и благотворительные общества и использует тактику двойного и тройного вымогательства, а также разнообразные инструменты и методы для осуществления своих атак.
-----
Команда исследователей безопасности Cybereason недавно выпустила предупреждение об угрозе, связанной с новой группой вымогателей INC Ransom. Эта группа известна тем, что атакует предприятия частного сектора, правительственные организации и благотворительные общества в США и Европе. Группа использует тактику двойного и тройного вымогательства, публикуя пакеты доказательств с данными жертв, чтобы побудить их заплатить.
INC Ransom использует скомпрометированные учетные данные для получения доступа и развертывания ransomware. Для эксфильтрации используется инструмент MegaSync, а пользовательский интерфейс блога утечки имеет светлый и темный варианты, поле для обратной связи и ссылку на аккаунт в Twitter. Кроме того, для ускорения шифрования группа использует частичное шифрование в сочетании с многопоточным подходом.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея текста заключается в том, что группа INC Ransom - это новая группировка вымогателей, которая нацелена на частные предприятия, правительственные организации и благотворительные общества и использует тактику двойного и тройного вымогательства, а также разнообразные инструменты и методы для осуществления своих атак.
-----
Команда исследователей безопасности Cybereason недавно выпустила предупреждение об угрозе, связанной с новой группой вымогателей INC Ransom. Эта группа известна тем, что атакует предприятия частного сектора, правительственные организации и благотворительные общества в США и Европе. Группа использует тактику двойного и тройного вымогательства, публикуя пакеты доказательств с данными жертв, чтобы побудить их заплатить.
INC Ransom использует скомпрометированные учетные данные для получения доступа и развертывания ransomware. Для эксфильтрации используется инструмент MegaSync, а пользовательский интерфейс блога утечки имеет светлый и темный варианты, поле для обратной связи и ссылку на аккаунт в Twitter. Кроме того, для ускорения шифрования группа использует частичное шифрование в сочетании с многопоточным подходом.
#ParsedReport #CompletenessHigh
21-11-2023
Hacking Employers and Seeking Employment: Two Job-Related Campaigns Bear Hallmarks of North Korean Threat Actors
https://unit42.paloaltonetworks.com/two-campaigns-by-north-korea-bad-actors-target-job-hunters
Report completeness: High
Actors/Campaigns:
Contagious_interview
Wagemole (motivation: cyber_espionage, financially_motivated)
Dream_job
Lazarus
Threats:
Beavertail
Wildfire
Invisibleferret
Supply_chain_technique
Tron
Anydesk_tool
Victims:
Software developers, us companies, global markets including africa
Industry:
E-commerce, Government
Geo:
North korea, Korean, South africa, Dprk, Japanese
TTPs:
Tactics: 1
Technics: 0
IOCs:
File: 1
Path: 2
Hash: 54
Domain: 1
IP: 9
Soft:
macos, node.js, visual studio code, chrome, microsoft edge
Wallets:
coinbase, coin98, metamask, ronin_wallet
Crypto:
binance, solana
Algorithms:
base64, xor, sha256
Languages:
python, javascript
Platforms:
cross-platform
Links:
21-11-2023
Hacking Employers and Seeking Employment: Two Job-Related Campaigns Bear Hallmarks of North Korean Threat Actors
https://unit42.paloaltonetworks.com/two-campaigns-by-north-korea-bad-actors-target-job-hunters
Report completeness: High
Actors/Campaigns:
Contagious_interview
Wagemole (motivation: cyber_espionage, financially_motivated)
Dream_job
Lazarus
Threats:
Beavertail
Wildfire
Invisibleferret
Supply_chain_technique
Tron
Anydesk_tool
Victims:
Software developers, us companies, global markets including africa
Industry:
E-commerce, Government
Geo:
North korea, Korean, South africa, Dprk, Japanese
TTPs:
Tactics: 1
Technics: 0
IOCs:
File: 1
Path: 2
Hash: 54
Domain: 1
IP: 9
Soft:
macos, node.js, visual studio code, chrome, microsoft edge
Wallets:
coinbase, coin98, metamask, ronin_wallet
Crypto:
binance, solana
Algorithms:
base64, xor, sha256
Languages:
python, javascript
Platforms:
cross-platform
Links:
https://docs.github.com/en/get-started/quickstart/hello-world#introductionhttps://docs.github.com/en/repositories/creating-and-managing-repositories/about-repositorieshttps://github.com/git-insights/git-insightshttps://docs.github.com/en/repositories/creating-and-managing-repositories/cloning-a-repositoryhttps://docs.github.com/en/issues/tracking-your-work-with-issues/about-issuesUnit 42
Hacking Employers and Seeking Employment: Two Job-Related Campaigns Bear Hallmarks of North Korean Threat Actors
Two ongoing campaigns bear hallmarks of North Korean state-sponsored threat actors, posing in job-seeking roles to distribute malware or conduct espionage.