#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что банковский троян Chameleon - это постоянно развивающаяся и изощренная угроза, которая нацелена на пользователей Android в разных странах, и важно понимать все тонкости нового варианта, чтобы защититься от нее.
-----

Банковский троян Chameleon - это сложная форма вредоносного ПО, которое с января 2023 года атакует пользователей Android в Австралии и Польше. Он распространяется через фишинговые страницы, замаскированные под легитимные приложения, и способен выполнять атаки захвата устройства (DTO) с использованием службы доступности. Образцы Zombinder, относящиеся к обновленной версии Chameleon, используют сложный двухэтапный процесс создания полезной нагрузки. Этот обновленный вариант Chameleon расширил целевой регион и получил новые расширенные функции и возможности, встроенные в его вредоносную полезную нагрузку.

Новый вариант Chameleon нацелен на пользователей Android в Великобритании и Италии и даже способен обходить биометрические меры безопасности. Он использует API KeyguardManager и AccessibilityEvent для оценки состояния экрана и клавиатуры и выдает себя за приложение Google Chrome, чтобы распространяться через Zombinder. Кроме того, в новом варианте Chameleon появилась возможность планировать задачи с помощью API AlarmManager, чего не было в его более раннем "рабочем" варианте.

Появление нового банковского трояна Chameleon - пример постоянно развивающегося и изощренного ландшафта угроз в экосистеме Android. Благодаря повышенной устойчивости и расширенным возможностям важно понимать тонкости нового варианта Chameleon, чтобы разработать эффективную стратегию защиты от киберугроз. Для этого ThreatFabric's Fraud Risk Suite предоставляет лучшие в отрасли данные о мобильных угрозах, поведенческую аналитику, расширенный анализ отпечатков пальцев устройств и более 10 000 адаптивных индикаторов мошенничества. Это позволит пользователям и специалистам по безопасности быть спокойными в эпоху постоянно меняющегося мошенничества.

#technique

Cryptocurrency Miner Leveraging Microsoft Azure

https://www.safebreach.com/blog/cryptocurrency-miner-microsoft-azure/

#ParsedReport #CompletenessLow
22-12-2023

MageCart WordPress Plugin Injects Malicious User & Credit Card Skimmer

https://blog.sucuri.net/2023/12/magecart-wordpress-plugin-injects-malicious-user-credit-card-skimmer.html

Report completeness: Low

Actors/Campaigns:
Magecart

Threats:
Balada_injector
Socgholish_loader

Victims:
Wordpress / woocommerce ecommerce website

Industry:
E-commerce, Financial

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1083, T1090, T1140, T1486, T1566, T1574, T1590, T1614, T1618

IOCs:
Url: 1
Domain: 2
IP: 1

Soft:
WordPress

Algorithms:
base64

Languages:
php, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Владельцы сайтов электронной коммерции должны знать о рисках, связанных с вредоносным ПО MageCart, которое может внедрять на сайты сложные вредоносные программы для считывания данных с кредитных карт, и должны обратиться за помощью к аналитикам по безопасности, чтобы защитить свои сайты от вредоносных атак.
-----

Владельцы сайтов электронной коммерции должны знать, что вредоносные плагины могут использоваться для внедрения на их сайты сложного вредоносного ПО для считывания данных кредитных карт. Этот конкретный плагин, обнаруженный недавно на сайте WordPress / WooCommerce, создавал и скрывал фиктивного пользователя-администратора, внедряя код, предназначенный для кражи данных кредитных карт клиентов. Вредоносный код был помещен в файл mu-plugins/wp_services.php и содержал обманчивую информацию в верхней части файла, чтобы придать ему видимость легитимности.

Кроме того, вредоносная программа отключала функции обратного вызова для некоторых плагинов, таких как Advanced File Manager, чтобы предотвратить удаление вредоносной программы. Кроме того, она создавала и скрывала учетную запись администратора, предоставляя злоумышленникам постоянный доступ к среде.

Вредоносный код был сильно обфусцирован и при расшифровке приводил на сторонний сервер. Этот код обладал несколькими сложными функциями, включая условия, когда он будет выводить данные карты, и использование логотипов кредитных карт самого сайта при наложении на фальшивую страницу оформления заказа. Кроме того, он отправлял украденные данные карты на удаленный сервер, контролируемый злоумышленниками.

Вредоносная программа MageCart адаптировалась к экосистеме WordPress и теперь является одним из самых распространенных способов распространения этого типа вредоносного ПО. Владельцы сайтов должны следить за признаками заражения и обращаться к аналитикам безопасности, если они считают, что их сайт был взломан. Аналитики по безопасности доступны 24 часа в сутки 7 дней в неделю, чтобы оказать помощь и помочь защитить сайты от вредоносных атак.

#ParsedReport #CompletenessMedium
22-12-2023

Akira, again: The ransomware that keeps on taking

https://news.sophos.com/en-us/2023/12/21/akira-again-the-ransomware-that-keeps-on-taking

Report completeness: Medium

Threats:
Akira_ransomware
Megazord
Minidump_tool
Ntdsutil_tool
Credential_dumping_technique
Mimikatz_tool
Netscan_tool
Impacket_tool
Ligolo-ng
Nssm_tool
Anydesk_tool
Dwagent_tool

Victims:
Small to medium-sized businesses, government, manufacturing, technology, education, consulting, pharmaceuticals, and telecommunication sectors

Industry:
Education, Government, Telco, Healthcare

Geo:
America, Australia

CVEs:
CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: 7.5
X-Force: Patch: Official fix
Soft:
- veeam backup \& replication (11.0.1.1261, 12.0.0.1420)

CVE-2023-20269 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: 5
X-Force: Patch: Official fix
Soft:
- cisco adaptive security appliance software (6.2.3, 6.2.3.1, 6.2.3.2, 6.2.3.3, 6.2.3.4, 6.2.3.5, 6.2.3.6, 6.2.3.7, 6.2.3.8, 6.2.3.9, have more...)


TTPs:
Tactics: 7
Technics: 0

IOCs:
Command: 3
Path: 22
File: 25
Registry: 1
IP: 4

Soft:
AnyConnect, Active Directory, Chrome, Google Chrome, KeePass, VmConnect, Hyper-V, Windows Defender, WinSCP

Algorithms:
zip

Languages:
powershell

Links:
https://github.com/sadshade/veeam-creds/blob/main/Veeam-Get-Creds.ps1
https://github.com/sophoslabs/IoCs

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея текста заключается в том, что команда Sophos MDR Threat Intelligence недавно опубликовала блог о группе разработчиков вымогательского ПО Akira, которая атаковала малые и средние предприятия в Европе, Северной Америке и Австралии. Они используют различные тактики, такие как несанкционированный вход в VPN, использование известных уязвимостей, утечка данных и развертывание программ-вымогателей. Sophos продолжает внимательно следить за активностью Akira ransomware и разрабатывать средства защиты для организаций, чтобы обнаружить и предотвратить подобные действия.
-----

Группа вымогателей Akira стала грозной угрозой в сфере кибербезопасности для малого и среднего бизнеса в мае 2023 года.

В первую очередь Akira нацелилась на организации, расположенные в Европе, Северной Америке и Австралии и работающие в правительственных, производственных, технологических, образовательных, консалтинговых, фармацевтических и телекоммуникационных отраслях.

Агенты Akira получают доступ к целевым средам в основном через несанкционированный вход в VPN без многофакторной аутентификации (MFA).

Они также используют известные уязвимости в самом программном обеспечении VPN и получают учетные данные, хранящиеся в базе данных Active Directory, или кэшированные учетные данные браузера Chrome.

Они используют протокол удаленных рабочих столов (RDP) с действительными учетными записями локальных администраторов и SMB для перемещения по целевым средам.

Чтобы сохранить постоянство и повысить уровень привилегий в скомпрометированной системе, агенты добавляют вновь созданного пользователя в ключ реестра Special Accounts.

Для управления и контроля (C2) субъекты угрозы используют популярный агент двойного назначения AnyDesk, а также установщик DWAgent для удаленного доступа.

Почти все наблюдаемые инциденты связаны с попытками агентов Akira вывести данные из целевых сред.

Время пребывания действующих лиц с момента первой замеченной активности до начала воздействия варьировалось от менее чем одного дня до 25 дней.

#ParsedReport #CompletenessMedium
21-12-2023

"NextPHP" Phishing Campaign

https://www.esentire.com/blog/nextphp-phishing-campaign

Report completeness: Medium

Threats:
Aitm_technique
Redrum
Dadsec_tool

Victims:
Esentire employees

Geo:
Emea, Japan, Apac, America, Africa

ChatGPT TTPs:
do not use without manual check
T1566.002, T1566.003, T1556.001, T1553.003

IOCs:
IP: 3
Domain: 1
File: 7
Url: 154

Algorithms:
xor

Languages:
javascript

Links:
https://github.com/esThreatIntelligence/phishing\_iocs/blob/main/NextPHP\_Campaign-11-2023.txt

#ParsedReport #CompletenessLow
22-12-2023

Microsoft: Hackers target defense firms with new FalseFont malware

https://www.bleepingcomputer.com/news/security/microsoft-hackers-target-defense-firms-with-new-falsefont-malware

Report completeness: Low

Actors/Campaigns:
Apt33 (motivation: cyber_espionage)
Dev-0343

Threats:
Falsefont
Password_spray_technique

Victims:
Individuals in the defense industrial base sector, thousands of organizations worldwide, defense agencies and contractors around the world

Industry:
Government, Military, Healthcare, Financial

Geo:
Chinese, Korean, Russian, Iran, Iranian, Korea

ChatGPT TTPs:
do not use without manual check
T1110, T1003

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что Microsoft заметила, как иранский государственный актор, известный как APT33, пытается доставить новый бэкдор под названием FalseFont лицам из сектора оборонно-промышленной базы, и посоветовала защитникам сетей сбросить учетные данные учетных записей, на которые направлены атаки с распылением паролей.
-----

Компания Microsoft обнаружила, что иранский государственный субъект, известный как APT33 (также известный как Peach Sandstorm, HOLMIUM или Refined Kitten), пытается передать недавно разработанный бэкдор под названием FalseFont лицам, работающим в секторе оборонно-промышленной базы. FalseFont обеспечивает удаленный доступ, выполнение файлов и передачу файлов на командно-контрольные серверы. Эта группа угроз активна с 2013 года и нацелена на различные отрасли промышленности в США, Саудовской Аравии и Южной Корее.

Впервые FalseFont был замечен в дикой природе в начале ноября 2023 года. Чтобы уменьшить площадь атаки хакеров APT33, Microsoft рекомендовала защитникам сетей сбросить учетные данные учетных записей, ставших объектом атак с использованием паролей.

В сентябре Microsoft предупредила о кампании, координируемой угрожающей группой APT33, которая с февраля 2023 года атаковала тысячи организаций по всему миру. Атаки привели к краже данных у ограниченного числа жертв в оборонном, спутниковом и фармацевтическом секторах.

Два года назад исследователи из Microsoft Threat Intelligence Center (MSTIC) обнаружили еще одну хакерскую группу DEV-0343, связанную с Ираном. В последние годы оборонные ведомства и подрядчики по всему миру стали мишенью для российских, северокорейских и китайских государственных хакеров.

#ParsedReport #CompletenessHigh
22-12-2023

Operation RusticWeb targets Indian Govt: From Rust-based malware to Web-service exfiltration

https://www.seqrite.com/blog/operation-rusticweb-targets-indian-govt-from-rust-based-malware-to-web-service-exfiltration

Report completeness: High

Actors/Campaigns:
Rusticweb (motivation: cyber_espionage)
Transparenttribe
Sidecopy
Armor_piercer

Threats:
Spear-phishing_technique
Ares_rat
Emotet
Kamran

Industry:
Education, Government

Geo:
India, Indian, Pakistan

TTPs:
Tactics: 9
Technics: 23

IOCs:
Command: 2
Path: 15
Domain: 8
File: 13
Url: 14
Hash: 24

Soft:
Telegram, curl, BinDiff, AnyConnect

Algorithms:
zip

Languages:
powershell, golang, rust

Links:
https://github.com/danielbohannon/Invoke-Obfuscation/tree/master
https://github.com/somenonymous/OshiUpload

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 2, code: 7, table: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года, в которой использовались полезные нагрузки на основе Rust, поддельные домены и зашифрованные команды PowerShell для утечки конфиденциальных документов. Предполагается, что эта кампания связана с APT-угрозой и направлена на индийских государственных служащих, связанных с детскими фондами или обществами.
-----

APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года.

Кампания отслеживается как Operation RusticWeb и, предположительно, связана с APT-угрозой.

Поддельные домены использовались для размещения вредоносных полезных нагрузок и файлов-обманок.

Он использует новые полезные нагрузки на основе Rust и зашифрованные команды PowerShell для утечки конфиденциальных документов на веб-сервис.

Цепочка заражения начинается с фишингового письма, содержащего архивный файл.

Открывшийся файл-обманка представляет собой форму заявления о возврате недвижимого имущества, где служба указана как Индийская административная служба.

Полезная нагрузка EXE оказывается скомпилированным в Rust двоичным файлом, который проверяет основную информацию о системе, похищает файлы, собирает имя и IP системы и загружает отдельные файлы вместе с логами.

Еще одна похожая цепочка заражения была замечена в декабре с использованием maldocs, где для перечисления и эксфильтрации использовался скрипт PowerShell, а не полезная нагрузка на основе Rust.

Предполагается, что эта фишинговая кампания направлена на индийских государственных служащих, особенно тех, кто связан с детскими фондами или обществами.

Угрозы переключились на вредоносное ПО, разработанное на новых компилируемых языках, таких как Golang, Rust и Nim.

#ParsedReport #CompletenessHigh
21-12-2023

PhantomControl returns with Ande Loader and SwaetRAT

https://www.esentire.com/blog/phantomcontrol-returns-with-ande-loader-and-swaetrat

Report completeness: High

Actors/Campaigns:
Phantomcontrol
Blindeagle

Threats:
Ande_loader
Swaetrat
Process_hollowing_technique
Antivm
Screenconnect_tool

Victims:
Latin american countries

Industry:
Financial

Geo:
American, Emea, America, Africa, Apac

TTPs:

ChatGPT TTPs:
do not use without manual check
T1055.012

IOCs:
Domain: 5
File: 9
Hash: 5
IP: 1

Crypto:
binance

Algorithms:
base64, gzip, md5

Functions:
GetHashT, ReadPacket

Win Services:
WebClient

Languages:
powershell

Links:
https://github.com/RussianPanda95/Yara-Rules/blob/main/AndeLoader/ande\_loader.yar
https://github.com/RussianPanda95/Yara-Rules/blob/main/SwaetRAT/swaetrat.yar

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Недавно команда TRU столкнулась с вредоносным VBS-скриптом, который обнаружил бинарную полезную нагрузку .NET, названную командой Ande Loader, используемую угрожающими субъектами Blind Eagle для доставки RAT в страны Латинской Америки. SwaetRAT, 32-битная RAT, написанная на .NET и обладающая возможностями кейлоггинга, ищет упоминания Paypal и Binance в файле Log.tmp и отправляет информацию в C2, а также способна выполнять различные команды. Кроме того, он создает постоянство с помощью папок запуска и методов встраивания в процессы.-----

Недавно команда TRU столкнулась с вредоносным VBS-скриптом, который содержал мусорные строки для скрытия кода. Очистив скрипт, команда обнаружила ссылку на домен paste .ee. Дальнейшая деобфускация выявила фрагмент PowerShell в обратном base64-кодировании. Декодирование сценария PowerShell выявило бинарную полезную нагрузку .NET, которую команда назвала Ande Loader. Загрузчик Ande Loader ранее использовался угрозами Blind Eagle для доставки RAT в страны Латинской Америки. Он содержит 7 параметров, передаваемых методу VAI, и основную полезную нагрузку, названную SwaetRAT на основе имени/идентификатора группы.

SwaetRAT - это 32-битный RAT, написанный на .NET, с возможностью кейлоггинга. Он ищет упоминания Paypal и Binance в файле Log.tmp и отправляет информацию в C2. RAT способен выполнять такие команды, как "Sendfile", "Memory", "Web", "Close", "Restart", "Uninstall", "$Cap", "RemoteDesktop", "RD+", "DeskDrop", "UAC" и "OfflineGet". Он также создает мьютекс qVnqcuDNS5fGFGb. Кроме того, он использует для вредоносной деятельности легитимный инструмент удаленного доступа ScreenConnect, а также создает постоянство с помощью папок запуска и методов дублирования процессов.

#ParsedReport #CompletenessHigh
22-12-2023

Analysis of Kimsuky Group's AppleSeed malware attack trends

https://asec.ahnlab.com/ko/59933

Report completeness: High

Actors/Campaigns:
Kimsuky (motivation: information_theft)

Threats:
Appleseed
Spear-phishing_technique
Alphaseed
Meterpreter_tool
Metasploit_tool
Tightvnc_tool
Hvnc_tool
Tinynuke
Avemaria_rat
Sbit_rat
Malware/win.agent.r628198
Trojan/win.vnc.c5563987
Backdoor/win.iedoor.r626024
Backdoor/win.iedoor.r625563

Industry:
Government, Financial, Energy

Geo:
Korea

IOCs:
Path: 3
File: 2
Hash: 29
Url: 11
IP: 6

Soft:
Chrome, Google Chrome

Algorithms:
md5

Languages:
javascript, golang