CTT Report Hub
#ParsedReport #CompletenessLow 21-12-2023 Threat actors misuse OAuth applications to automate financially driven attacks https://www.microsoft.com/en-us/security/blog/2023/12/12/threat-actors-misuse-oauth-applications-to-automate-financially-driven-attacks…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Угрожающие субъекты используют приложения OAuth для развертывания виртуальных машин, создания постоянства и рассылки спама. Microsoft отследила несколько атак с использованием приложений OAuth, которые привели к тому, что организации понесли большие расходы на вычисления. Microsoft удалила вредоносные приложения OAuth и продолжает отслеживать злоумышленников.
-----
OAuth - это открытый стандарт для аутентификации и авторизации на основе токенов.
Угрожающие субъекты используют приложения OAuth в качестве инструмента автоматизации в финансово мотивированных атаках.
Компания Microsoft отследила ряд атак, связанных с использованием приложений OAuth для вредоносных действий, таких как развертывание виртуальных машин для добычи криптовалюты, создание постоянства после компрометации деловой электронной почты (BEC) и рассылка спама.
Microsoft заметила, что угрожающий агент Storm-1283 использовал скомпрометированную учетную запись пользователя для создания приложения OAuth и развертывания виртуальных машин для криптомайнинга.
Компания Microsoft заметила, что угрожающий субъект использует приложения OAuth для поддержания постоянства и запуска фишинговой активности по электронной почте.
Microsoft также заметила, что угрожающий агент Storm-1286 запускает атаки с распылением паролей для компрометации учетных записей пользователей без включенного MFA.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Угрожающие субъекты используют приложения OAuth для развертывания виртуальных машин, создания постоянства и рассылки спама. Microsoft отследила несколько атак с использованием приложений OAuth, которые привели к тому, что организации понесли большие расходы на вычисления. Microsoft удалила вредоносные приложения OAuth и продолжает отслеживать злоумышленников.
-----
OAuth - это открытый стандарт для аутентификации и авторизации на основе токенов.
Угрожающие субъекты используют приложения OAuth в качестве инструмента автоматизации в финансово мотивированных атаках.
Компания Microsoft отследила ряд атак, связанных с использованием приложений OAuth для вредоносных действий, таких как развертывание виртуальных машин для добычи криптовалюты, создание постоянства после компрометации деловой электронной почты (BEC) и рассылка спама.
Microsoft заметила, что угрожающий агент Storm-1283 использовал скомпрометированную учетную запись пользователя для создания приложения OAuth и развертывания виртуальных машин для криптомайнинга.
Компания Microsoft заметила, что угрожающий субъект использует приложения OAuth для поддержания постоянства и запуска фишинговой активности по электронной почте.
Microsoft также заметила, что угрожающий агент Storm-1286 запускает атаки с распылением паролей для компрометации учетных записей пользователей без включенного MFA.
#ParsedReport #CompletenessLow
21-12-2023
Bandook - A Persistent Threat That Keeps Evolving
https://www.fortinet.com/blog/threat-research/bandook-persistent-threat-that-keeps-evolving
Report completeness: Low
Threats:
Bandok
Avemaria_rat
ChatGPT TTPs:
T1059, T1064, T1204, T1218, T1543.003, T1546.001, T1546.002, T1550.004, T1552.004, T1567.001, have more...
IOCs:
File: 8
Hash: 7
Path: 2
Registry: 2
Command: 1
IP: 2
Soft:
Microsoft Edge, Chrome, Internet Explorer
Algorithms:
aes
Functions:
Bandook, in
Languages:
python
Platforms:
x86
21-12-2023
Bandook - A Persistent Threat That Keeps Evolving
https://www.fortinet.com/blog/threat-research/bandook-persistent-threat-that-keeps-evolving
Report completeness: Low
Threats:
Bandok
Avemaria_rat
ChatGPT TTPs:
do not use without manual checkT1059, T1064, T1204, T1218, T1543.003, T1546.001, T1546.002, T1550.004, T1552.004, T1567.001, have more...
IOCs:
File: 8
Hash: 7
Path: 2
Registry: 2
Command: 1
IP: 2
Soft:
Microsoft Edge, Chrome, Internet Explorer
Algorithms:
aes
Functions:
Bandook, in
Languages:
python
Platforms:
x86
Fortinet Blog
Bandook - A Persistent Threat That Keeps Evolving
FortiGuard Labs has uncovered a fresh threat - the latest generation of Bandook is being distributed via a Spanish PDF file. Learn more.…
CTT Report Hub
#ParsedReport #CompletenessLow 21-12-2023 Bandook - A Persistent Threat That Keeps Evolving https://www.fortinet.com/blog/threat-research/bandook-persistent-threat-that-keeps-evolving Report completeness: Low Threats: Bandok Avemaria_rat ChatGPT TTPs:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Компания FortiGuard Labs обнаружила новый вариант троянца удаленного доступа (RAT) Bandook, который раскрыл подробности о своем механизме командования и управления (C2) и новые возможности. Новый вариант имеет два дополнительных кода управления и поддерживает 139 различных действий. FortiGuard продолжит обеспечивать надлежащую защиту от этого вредоносного ПО.
-----
Bandook - это троянец удаленного доступа (RAT), который был активен с момента своего первого обнаружения в 2007 году. Недавно специалисты FortiGuard Labs обнаружили новый вариант Bandook, распространяющийся через PDF-файл, содержащий сокращенный URL-адрес, по которому загружается защищенный паролем файл .7z. После того как пользователь извлекает файл, вредоносная программа внедряет свою полезную нагрузку в процесс msinfo32.exe.
Перед внедрением вредоносная программа создает ключ реестра для управления поведением полезной нагрузки, причем имя ключа - это идентификатор процесса (PID) msinfo32.exe, а значение - управляющий код для полезной нагрузки. Новый вариант, обнаруженный в октябре 2023 года, имеет два дополнительных управляющих кода, которые не создают реестры. Один из этих кодов приказывает полезной нагрузке загрузить fcd.dll, которая загружается другим внедренным процессом и вызывает функцию Init из fcd.dll. Другой устанавливает постоянство и выполняет копию Bandook.
Когда управляющим кодом является GUM, Bandook помещает свою копию в папку SMC в папке appdata в виде SMC.exe или SMC.cpl и создает ключ реестра для автоматического выполнения этой копии. Для запуска SMC.exe используются три разных ключа реестра. Когда управляющим кодом является ACG, полезная нагрузка может загружать различные файлы, включая fcd.dll, pcd.dll, исполняемый файл и другие. При необходимости эти файлы также могут быть загружены с сервера командования и управления (C2).
Bandook поддерживает 139 различных действий, некоторые из которых используются только для отправки результатов на сервер C2. Эти действия включают в себя манипуляции с файлами, записями реестра, загрузку файлов, кражу информации, выполнение файлов, вызов функций в DLL, управление компьютером жертвы, убийство процессов и удаление вредоносной программы. Она также может читать и записывать файлы с сервера C2, выполнять файлы Python, контролировать компьютер жертвы, перезаписывая Firefox pref.js и отключая защитные механизмы Microsoft Edge, следить за экраном жертвы и отправлять скриншоты на сервер C2.
Новый вариант Bandook раскрыл подробности о механизме C2 и новых возможностях. Несмотря на большое количество команд, доступных для C2-коммуникаций, на самом деле выполняется меньше задач, поскольку для одного действия требуется несколько команд, некоторые команды вызывают функции в других модулях, а некоторые используются исключительно для ответа серверу. Несмотря на это, FortiGuard будет продолжать отслеживать варианты вредоносного ПО и обеспечивать соответствующую защиту.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Компания FortiGuard Labs обнаружила новый вариант троянца удаленного доступа (RAT) Bandook, который раскрыл подробности о своем механизме командования и управления (C2) и новые возможности. Новый вариант имеет два дополнительных кода управления и поддерживает 139 различных действий. FortiGuard продолжит обеспечивать надлежащую защиту от этого вредоносного ПО.
-----
Bandook - это троянец удаленного доступа (RAT), который был активен с момента своего первого обнаружения в 2007 году. Недавно специалисты FortiGuard Labs обнаружили новый вариант Bandook, распространяющийся через PDF-файл, содержащий сокращенный URL-адрес, по которому загружается защищенный паролем файл .7z. После того как пользователь извлекает файл, вредоносная программа внедряет свою полезную нагрузку в процесс msinfo32.exe.
Перед внедрением вредоносная программа создает ключ реестра для управления поведением полезной нагрузки, причем имя ключа - это идентификатор процесса (PID) msinfo32.exe, а значение - управляющий код для полезной нагрузки. Новый вариант, обнаруженный в октябре 2023 года, имеет два дополнительных управляющих кода, которые не создают реестры. Один из этих кодов приказывает полезной нагрузке загрузить fcd.dll, которая загружается другим внедренным процессом и вызывает функцию Init из fcd.dll. Другой устанавливает постоянство и выполняет копию Bandook.
Когда управляющим кодом является GUM, Bandook помещает свою копию в папку SMC в папке appdata в виде SMC.exe или SMC.cpl и создает ключ реестра для автоматического выполнения этой копии. Для запуска SMC.exe используются три разных ключа реестра. Когда управляющим кодом является ACG, полезная нагрузка может загружать различные файлы, включая fcd.dll, pcd.dll, исполняемый файл и другие. При необходимости эти файлы также могут быть загружены с сервера командования и управления (C2).
Bandook поддерживает 139 различных действий, некоторые из которых используются только для отправки результатов на сервер C2. Эти действия включают в себя манипуляции с файлами, записями реестра, загрузку файлов, кражу информации, выполнение файлов, вызов функций в DLL, управление компьютером жертвы, убийство процессов и удаление вредоносной программы. Она также может читать и записывать файлы с сервера C2, выполнять файлы Python, контролировать компьютер жертвы, перезаписывая Firefox pref.js и отключая защитные механизмы Microsoft Edge, следить за экраном жертвы и отправлять скриншоты на сервер C2.
Новый вариант Bandook раскрыл подробности о механизме C2 и новых возможностях. Несмотря на большое количество команд, доступных для C2-коммуникаций, на самом деле выполняется меньше задач, поскольку для одного действия требуется несколько команд, некоторые команды вызывают функции в других модулях, а некоторые используются исключительно для ответа серверу. Несмотря на это, FortiGuard будет продолжать отслеживать варианты вредоносного ПО и обеспечивать соответствующую защиту.
#ParsedReport #CompletenessMedium
20-12-2023
Star Blizzard increases sophistication and evasion in ongoing attacks
https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks
Report completeness: Medium
Actors/Campaigns:
Seaborgium (motivation: cyber_espionage)
Threats:
Spear-phishing_technique
Evilginx_tool
Lockdown
Victims:
Individuals and organizations involved in international affairs, defense, and logistics support to ukraine, as well as academia, information security companies, and other entities aligning with russian state interests
Industry:
Telco, Logistic, Government
Geo:
Russia, Ukraine, Russian
TTPs:
Tactics: 1
Technics: 0
IOCs:
Domain: 249
Soft:
Microsoft Defender, Microsoft Defender for Endpoint, Selenium, PhantomJS, HubSpot, MailerLite, Microsoft OneDrive, Office 365, Microsoft Edge, Microsoft 365 Defender, have more...
Functions:
pluginsEmpty, isAutomationTool, eval
Languages:
javascript
20-12-2023
Star Blizzard increases sophistication and evasion in ongoing attacks
https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks
Report completeness: Medium
Actors/Campaigns:
Seaborgium (motivation: cyber_espionage)
Threats:
Spear-phishing_technique
Evilginx_tool
Lockdown
Victims:
Individuals and organizations involved in international affairs, defense, and logistics support to ukraine, as well as academia, information security companies, and other entities aligning with russian state interests
Industry:
Telco, Logistic, Government
Geo:
Russia, Ukraine, Russian
TTPs:
Tactics: 1
Technics: 0
IOCs:
Domain: 249
Soft:
Microsoft Defender, Microsoft Defender for Endpoint, Selenium, PhantomJS, HubSpot, MailerLite, Microsoft OneDrive, Office 365, Microsoft Edge, Microsoft 365 Defender, have more...
Functions:
pluginsEmpty, isAutomationTool, eval
Languages:
javascript
Microsoft News
Star Blizzard increases sophistication and evasion in ongoing attacks
Russian state-sponsored threat actor Star Blizzard improved detection evasion capabilities while remaining focused on email credential theft.
CTT Report Hub
#ParsedReport #CompletenessMedium 20-12-2023 Star Blizzard increases sophistication and evasion in ongoing attacks https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея текста заключается в том, что Microsoft отслеживает и пресекает вредоносную активность, приписываемую российскому государственному актору под названием Star Blizzard, и предоставляет клиентам необходимую информацию для защиты их учетных записей. Microsoft выявила пять новых методов уклонения, используемых Star Blizzard, и частные лица и организации должны знать, на кого направлены эти атаки и как они выглядят, чтобы избежать дальнейших атак.
-----
Специалисты Microsoft Threat Intelligence отслеживают и пресекают вредоносную деятельность, приписываемую российскому агенту, спонсируемому государством, под названием Star Blizzard.
Microsoft напрямую уведомляет клиентов, ставших жертвами атаки Star Blizzard, и предоставляет им необходимую информацию для защиты своих учетных записей.
Деятельность Star Blizzard по-прежнему направлена на кражу учетных данных электронной почты, преимущественно у провайдеров "облачной" электронной почты, где размещаются организационные и/или личные учетные записи электронной почты.
Microsoft обнаружила пять новых методов уклонения от Star Blizzard.
Компания Star Blizzard была замечена в использовании двух сервисов, HubSpot и MailerLite, для создания почтовых кампаний по краже учетных данных.
Пользователи и организации с большей вероятностью могут стать потенциальной целью Star Blizzard, если они связаны со следующими областями: Правительство или дипломатия (как действующие, так и бывшие); исследования в области оборонной политики или международных отношений, связанные с Россией; помощь Украине в связи с продолжающимся конфликтом с Россией.
Microsoft Defender для Office предлагает усовершенствованные решения для блокирования и выявления вредоносных писем.
Пользователям следует быть особенно бдительными при получении писем от отправителей с учетных записей Proton (@proton.me, @protonmail.com), поскольку они часто используются компанией Star Blizzard.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея текста заключается в том, что Microsoft отслеживает и пресекает вредоносную активность, приписываемую российскому государственному актору под названием Star Blizzard, и предоставляет клиентам необходимую информацию для защиты их учетных записей. Microsoft выявила пять новых методов уклонения, используемых Star Blizzard, и частные лица и организации должны знать, на кого направлены эти атаки и как они выглядят, чтобы избежать дальнейших атак.
-----
Специалисты Microsoft Threat Intelligence отслеживают и пресекают вредоносную деятельность, приписываемую российскому агенту, спонсируемому государством, под названием Star Blizzard.
Microsoft напрямую уведомляет клиентов, ставших жертвами атаки Star Blizzard, и предоставляет им необходимую информацию для защиты своих учетных записей.
Деятельность Star Blizzard по-прежнему направлена на кражу учетных данных электронной почты, преимущественно у провайдеров "облачной" электронной почты, где размещаются организационные и/или личные учетные записи электронной почты.
Microsoft обнаружила пять новых методов уклонения от Star Blizzard.
Компания Star Blizzard была замечена в использовании двух сервисов, HubSpot и MailerLite, для создания почтовых кампаний по краже учетных данных.
Пользователи и организации с большей вероятностью могут стать потенциальной целью Star Blizzard, если они связаны со следующими областями: Правительство или дипломатия (как действующие, так и бывшие); исследования в области оборонной политики или международных отношений, связанные с Россией; помощь Украине в связи с продолжающимся конфликтом с Россией.
Microsoft Defender для Office предлагает усовершенствованные решения для блокирования и выявления вредоносных писем.
Пользователям следует быть особенно бдительными при получении писем от отправителей с учетных записей Proton (@proton.me, @protonmail.com), поскольку они часто используются компанией Star Blizzard.
#ParsedReport #CompletenessLow
21-12-2023
Cisco Talos Blog. Intellexa and Cytrox: From fixer-upper to Intel Agency-grade spyware
https://blog.talosintelligence.com/intellexa-and-cytrox-intel-agency-grade-spyware
Report completeness: Low
Threats:
Intellexa
Cytrox
Psoa_actor
Predator_spyware
Lighthouse
Industry:
Government, Aerospace, Transport, Military
Geo:
Israel, French, Sudan, Mexico, Macedonia
ChatGPT TTPs:
T1055.006, T1114, T1518.002, T1071.001, T1545.003, T1574
Soft:
Android
Languages:
python
Platforms:
intel, apple
21-12-2023
Cisco Talos Blog. Intellexa and Cytrox: From fixer-upper to Intel Agency-grade spyware
https://blog.talosintelligence.com/intellexa-and-cytrox-intel-agency-grade-spyware
Report completeness: Low
Threats:
Intellexa
Cytrox
Psoa_actor
Predator_spyware
Lighthouse
Industry:
Government, Aerospace, Transport, Military
Geo:
Israel, French, Sudan, Mexico, Macedonia
ChatGPT TTPs:
do not use without manual checkT1055.006, T1114, T1518.002, T1071.001, T1545.003, T1574
Soft:
Android
Languages:
python
Platforms:
intel, apple
Cisco Talos
Intellexa and Cytrox: From fixer-upper to Intel Agency-grade spyware
Talos revealed that rebooting an iOS or Android device may not remove the Predator spyware produced by Intellexa. Intellexa knows if their customers intend to perform surveillance operations on foreign soil.
CTT Report Hub
#ParsedReport #CompletenessLow 21-12-2023 Cisco Talos Blog. Intellexa and Cytrox: From fixer-upper to Intel Agency-grade spyware https://blog.talosintelligence.com/intellexa-and-cytrox-intel-agency-grade-spyware Report completeness: Low Threats: Intellexa…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Intellexa - коммерческая компания, предлагающая клиентам сложные и незаметные шпионские программы для слежки. Несмотря на публичную огласку, компании удается вести и развивать свой бизнес по всему миру. Однако, чтобы предотвратить злоупотребление шпионскими технологиями и защитить уязвимые слои населения от нападений, необходимо публичное раскрытие технических анализов мобильного шпионского ПО и реальных образцов, позволяющих проводить общественный контроль.
-----
Intellexa - это коммерческая компания, которая продает клиентам незаметные и сложные шпионские решения для операций наблюдения. В 2021 году шпионская программа Predator компании Intellexa не могла пережить перезагрузку зараженной системы Android, но к апрелю 2022 года эта возможность была добавлена. Она по-прежнему не выдерживает сброса настроек до заводских, но вполне вероятно, что такая возможность появится. Intellexa Alliance - это коммерческая компания по производству шпионского ПО, созданная в Северной Македонии в 2017 году, в которую входят Nexa Technologies, WiSpear, Senpai Technologies и Cytrox. Предлагаемое шпионское ПО стоит дорого: фреймворк Predator - 13,6 миллиона евро, а платформа Nova - 8 миллионов евро.
Доставка Intellexa осуществляется через терминал или аэропорт по системе Cost Insurance and Freight (CIF), и компания утверждает, что у нее нет информации о том, где развернуты ее системы. Intellexa также нанимает высокоспециализированных инженеров, о чем свидетельствуют профили нескольких сотрудников в LinkedIn. Новые версии операционных систем, похоже, не оказывают существенного влияния на решение Predator, поскольку Intellexa поддерживает версии с 18-месячным сроком для Android и 12-месячным для iOS.
Публичное разоблачение коммерческих компаний, производящих шпионские программы, практически не повлияло на их способность вести и развивать свой бизнес по всему миру. Разоблачение режимов, проводящих вредоносные операции, мало повлияло на способность компаний, производящих шпионское ПО, зарабатывать деньги. Необходимо публичное раскрытие результатов технического анализа мобильных шпионских программ и реальных образцов, позволяющих общественности изучать их. Это позволит провести более глубокий анализ и потребует от производителей затрат на разработку, чтобы постоянно совершенствовать свои импланты.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея: Intellexa - коммерческая компания, предлагающая клиентам сложные и незаметные шпионские программы для слежки. Несмотря на публичную огласку, компании удается вести и развивать свой бизнес по всему миру. Однако, чтобы предотвратить злоупотребление шпионскими технологиями и защитить уязвимые слои населения от нападений, необходимо публичное раскрытие технических анализов мобильного шпионского ПО и реальных образцов, позволяющих проводить общественный контроль.
-----
Intellexa - это коммерческая компания, которая продает клиентам незаметные и сложные шпионские решения для операций наблюдения. В 2021 году шпионская программа Predator компании Intellexa не могла пережить перезагрузку зараженной системы Android, но к апрелю 2022 года эта возможность была добавлена. Она по-прежнему не выдерживает сброса настроек до заводских, но вполне вероятно, что такая возможность появится. Intellexa Alliance - это коммерческая компания по производству шпионского ПО, созданная в Северной Македонии в 2017 году, в которую входят Nexa Technologies, WiSpear, Senpai Technologies и Cytrox. Предлагаемое шпионское ПО стоит дорого: фреймворк Predator - 13,6 миллиона евро, а платформа Nova - 8 миллионов евро.
Доставка Intellexa осуществляется через терминал или аэропорт по системе Cost Insurance and Freight (CIF), и компания утверждает, что у нее нет информации о том, где развернуты ее системы. Intellexa также нанимает высокоспециализированных инженеров, о чем свидетельствуют профили нескольких сотрудников в LinkedIn. Новые версии операционных систем, похоже, не оказывают существенного влияния на решение Predator, поскольку Intellexa поддерживает версии с 18-месячным сроком для Android и 12-месячным для iOS.
Публичное разоблачение коммерческих компаний, производящих шпионские программы, практически не повлияло на их способность вести и развивать свой бизнес по всему миру. Разоблачение режимов, проводящих вредоносные операции, мало повлияло на способность компаний, производящих шпионское ПО, зарабатывать деньги. Необходимо публичное раскрытие результатов технического анализа мобильных шпионских программ и реальных образцов, позволяющих общественности изучать их. Это позволит провести более глубокий анализ и потребует от производителей затрат на разработку, чтобы постоянно совершенствовать свои импланты.
#ParsedReport #CompletenessLow
21-12-2023
Android Banking Trojan Chameleon is Back in Action
https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action
Report completeness: Low
Actors/Campaigns:
Zombinder
Threats:
Chameleon
Securidropper
Industry:
Financial
Geo:
Italy, Poland, Australia, Australian
IOCs:
Hash: 2
Soft:
Android, Google Chrome, Opera, Chrome
Algorithms:
exhibit
Platforms:
intel
21-12-2023
Android Banking Trojan Chameleon is Back in Action
https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action
Report completeness: Low
Actors/Campaigns:
Zombinder
Threats:
Chameleon
Securidropper
Industry:
Financial
Geo:
Italy, Poland, Australia, Australian
IOCs:
Hash: 2
Soft:
Android, Google Chrome, Opera, Chrome
Algorithms:
exhibit
Platforms:
intel
ThreatFabric
Android Banking Trojan Chameleon can now bypass any Biometric Authentication
ThreatFabric discovers a new variant of the Chameleon banking trojan distributed via Zombinder with features to bypass any biometric authentication.
CTT Report Hub
#ParsedReport #CompletenessLow 21-12-2023 Android Banking Trojan Chameleon is Back in Action https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action Report completeness: Low Actors/Campaigns: Zombinder Threats: Chameleon…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея этого текста заключается в том, что банковский троян Chameleon - это постоянно развивающаяся и изощренная угроза, которая нацелена на пользователей Android в разных странах, и важно понимать все тонкости нового варианта, чтобы защититься от нее.
-----
Банковский троян Chameleon - это сложная форма вредоносного ПО, которое с января 2023 года атакует пользователей Android в Австралии и Польше. Он распространяется через фишинговые страницы, замаскированные под легитимные приложения, и способен выполнять атаки захвата устройства (DTO) с использованием службы доступности. Образцы Zombinder, относящиеся к обновленной версии Chameleon, используют сложный двухэтапный процесс создания полезной нагрузки. Этот обновленный вариант Chameleon расширил целевой регион и получил новые расширенные функции и возможности, встроенные в его вредоносную полезную нагрузку.
Новый вариант Chameleon нацелен на пользователей Android в Великобритании и Италии и даже способен обходить биометрические меры безопасности. Он использует API KeyguardManager и AccessibilityEvent для оценки состояния экрана и клавиатуры и выдает себя за приложение Google Chrome, чтобы распространяться через Zombinder. Кроме того, в новом варианте Chameleon появилась возможность планировать задачи с помощью API AlarmManager, чего не было в его более раннем "рабочем" варианте.
Появление нового банковского трояна Chameleon - пример постоянно развивающегося и изощренного ландшафта угроз в экосистеме Android. Благодаря повышенной устойчивости и расширенным возможностям важно понимать тонкости нового варианта Chameleon, чтобы разработать эффективную стратегию защиты от киберугроз. Для этого ThreatFabric's Fraud Risk Suite предоставляет лучшие в отрасли данные о мобильных угрозах, поведенческую аналитику, расширенный анализ отпечатков пальцев устройств и более 10 000 адаптивных индикаторов мошенничества. Это позволит пользователям и специалистам по безопасности быть спокойными в эпоху постоянно меняющегося мошенничества.
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)
------
Основная идея этого текста заключается в том, что банковский троян Chameleon - это постоянно развивающаяся и изощренная угроза, которая нацелена на пользователей Android в разных странах, и важно понимать все тонкости нового варианта, чтобы защититься от нее.
-----
Банковский троян Chameleon - это сложная форма вредоносного ПО, которое с января 2023 года атакует пользователей Android в Австралии и Польше. Он распространяется через фишинговые страницы, замаскированные под легитимные приложения, и способен выполнять атаки захвата устройства (DTO) с использованием службы доступности. Образцы Zombinder, относящиеся к обновленной версии Chameleon, используют сложный двухэтапный процесс создания полезной нагрузки. Этот обновленный вариант Chameleon расширил целевой регион и получил новые расширенные функции и возможности, встроенные в его вредоносную полезную нагрузку.
Новый вариант Chameleon нацелен на пользователей Android в Великобритании и Италии и даже способен обходить биометрические меры безопасности. Он использует API KeyguardManager и AccessibilityEvent для оценки состояния экрана и клавиатуры и выдает себя за приложение Google Chrome, чтобы распространяться через Zombinder. Кроме того, в новом варианте Chameleon появилась возможность планировать задачи с помощью API AlarmManager, чего не было в его более раннем "рабочем" варианте.
Появление нового банковского трояна Chameleon - пример постоянно развивающегося и изощренного ландшафта угроз в экосистеме Android. Благодаря повышенной устойчивости и расширенным возможностям важно понимать тонкости нового варианта Chameleon, чтобы разработать эффективную стратегию защиты от киберугроз. Для этого ThreatFabric's Fraud Risk Suite предоставляет лучшие в отрасли данные о мобильных угрозах, поведенческую аналитику, расширенный анализ отпечатков пальцев устройств и более 10 000 адаптивных индикаторов мошенничества. Это позволит пользователям и специалистам по безопасности быть спокойными в эпоху постоянно меняющегося мошенничества.
#technique
Cryptocurrency Miner Leveraging Microsoft Azure
https://www.safebreach.com/blog/cryptocurrency-miner-microsoft-azure/
Cryptocurrency Miner Leveraging Microsoft Azure
https://www.safebreach.com/blog/cryptocurrency-miner-microsoft-azure/
#ParsedReport #CompletenessLow
22-12-2023
MageCart WordPress Plugin Injects Malicious User & Credit Card Skimmer
https://blog.sucuri.net/2023/12/magecart-wordpress-plugin-injects-malicious-user-credit-card-skimmer.html
Report completeness: Low
Actors/Campaigns:
Magecart
Threats:
Balada_injector
Socgholish_loader
Victims:
Wordpress / woocommerce ecommerce website
Industry:
E-commerce, Financial
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1083, T1090, T1140, T1486, T1566, T1574, T1590, T1614, T1618
IOCs:
Url: 1
Domain: 2
IP: 1
Soft:
WordPress
Algorithms:
base64
Languages:
php, javascript
22-12-2023
MageCart WordPress Plugin Injects Malicious User & Credit Card Skimmer
https://blog.sucuri.net/2023/12/magecart-wordpress-plugin-injects-malicious-user-credit-card-skimmer.html
Report completeness: Low
Actors/Campaigns:
Magecart
Threats:
Balada_injector
Socgholish_loader
Victims:
Wordpress / woocommerce ecommerce website
Industry:
E-commerce, Financial
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1083, T1090, T1140, T1486, T1566, T1574, T1590, T1614, T1618
IOCs:
Url: 1
Domain: 2
IP: 1
Soft:
WordPress
Algorithms:
base64
Languages:
php, javascript
Sucuri Blog
MageCart WordPress Plugin Injects Malicious User & Credit Card Skimmer
Explore our detailed analysis of a malicious WordPress plugin that injects a sophisticated MageCart credit card skimming script into a WooCommerce e-commerce website. Discover how it works, creates and hides a fake admin user, and rlearn how to protect your…