#ParsedReport #CompletenessLow
22-12-2023

MageCart WordPress Plugin Injects Malicious User & Credit Card Skimmer

https://blog.sucuri.net/2023/12/magecart-wordpress-plugin-injects-malicious-user-credit-card-skimmer.html

Report completeness: Low

Actors/Campaigns:
Magecart

Threats:
Balada_injector
Socgholish_loader

Victims:
Wordpress / woocommerce ecommerce website

Industry:
E-commerce, Financial

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1083, T1090, T1140, T1486, T1566, T1574, T1590, T1614, T1618

IOCs:
Url: 1
Domain: 2
IP: 1

Soft:
WordPress

Algorithms:
base64

Languages:
php, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Владельцы сайтов электронной коммерции должны знать о рисках, связанных с вредоносным ПО MageCart, которое может внедрять на сайты сложные вредоносные программы для считывания данных с кредитных карт, и должны обратиться за помощью к аналитикам по безопасности, чтобы защитить свои сайты от вредоносных атак.
-----

Владельцы сайтов электронной коммерции должны знать, что вредоносные плагины могут использоваться для внедрения на их сайты сложного вредоносного ПО для считывания данных кредитных карт. Этот конкретный плагин, обнаруженный недавно на сайте WordPress / WooCommerce, создавал и скрывал фиктивного пользователя-администратора, внедряя код, предназначенный для кражи данных кредитных карт клиентов. Вредоносный код был помещен в файл mu-plugins/wp_services.php и содержал обманчивую информацию в верхней части файла, чтобы придать ему видимость легитимности.

Кроме того, вредоносная программа отключала функции обратного вызова для некоторых плагинов, таких как Advanced File Manager, чтобы предотвратить удаление вредоносной программы. Кроме того, она создавала и скрывала учетную запись администратора, предоставляя злоумышленникам постоянный доступ к среде.

Вредоносный код был сильно обфусцирован и при расшифровке приводил на сторонний сервер. Этот код обладал несколькими сложными функциями, включая условия, когда он будет выводить данные карты, и использование логотипов кредитных карт самого сайта при наложении на фальшивую страницу оформления заказа. Кроме того, он отправлял украденные данные карты на удаленный сервер, контролируемый злоумышленниками.

Вредоносная программа MageCart адаптировалась к экосистеме WordPress и теперь является одним из самых распространенных способов распространения этого типа вредоносного ПО. Владельцы сайтов должны следить за признаками заражения и обращаться к аналитикам безопасности, если они считают, что их сайт был взломан. Аналитики по безопасности доступны 24 часа в сутки 7 дней в неделю, чтобы оказать помощь и помочь защитить сайты от вредоносных атак.

#ParsedReport #CompletenessMedium
22-12-2023

Akira, again: The ransomware that keeps on taking

https://news.sophos.com/en-us/2023/12/21/akira-again-the-ransomware-that-keeps-on-taking

Report completeness: Medium

Threats:
Akira_ransomware
Megazord
Minidump_tool
Ntdsutil_tool
Credential_dumping_technique
Mimikatz_tool
Netscan_tool
Impacket_tool
Ligolo-ng
Nssm_tool
Anydesk_tool
Dwagent_tool

Victims:
Small to medium-sized businesses, government, manufacturing, technology, education, consulting, pharmaceuticals, and telecommunication sectors

Industry:
Education, Government, Telco, Healthcare

Geo:
America, Australia

CVEs:
CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: 7.5
X-Force: Patch: Official fix
Soft:
- veeam backup \& replication (11.0.1.1261, 12.0.0.1420)

CVE-2023-20269 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: 5
X-Force: Patch: Official fix
Soft:
- cisco adaptive security appliance software (6.2.3, 6.2.3.1, 6.2.3.2, 6.2.3.3, 6.2.3.4, 6.2.3.5, 6.2.3.6, 6.2.3.7, 6.2.3.8, 6.2.3.9, have more...)


TTPs:
Tactics: 7
Technics: 0

IOCs:
Command: 3
Path: 22
File: 25
Registry: 1
IP: 4

Soft:
AnyConnect, Active Directory, Chrome, Google Chrome, KeePass, VmConnect, Hyper-V, Windows Defender, WinSCP

Algorithms:
zip

Languages:
powershell

Links:
https://github.com/sadshade/veeam-creds/blob/main/Veeam-Get-Creds.ps1
https://github.com/sophoslabs/IoCs

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея текста заключается в том, что команда Sophos MDR Threat Intelligence недавно опубликовала блог о группе разработчиков вымогательского ПО Akira, которая атаковала малые и средние предприятия в Европе, Северной Америке и Австралии. Они используют различные тактики, такие как несанкционированный вход в VPN, использование известных уязвимостей, утечка данных и развертывание программ-вымогателей. Sophos продолжает внимательно следить за активностью Akira ransomware и разрабатывать средства защиты для организаций, чтобы обнаружить и предотвратить подобные действия.
-----

Группа вымогателей Akira стала грозной угрозой в сфере кибербезопасности для малого и среднего бизнеса в мае 2023 года.

В первую очередь Akira нацелилась на организации, расположенные в Европе, Северной Америке и Австралии и работающие в правительственных, производственных, технологических, образовательных, консалтинговых, фармацевтических и телекоммуникационных отраслях.

Агенты Akira получают доступ к целевым средам в основном через несанкционированный вход в VPN без многофакторной аутентификации (MFA).

Они также используют известные уязвимости в самом программном обеспечении VPN и получают учетные данные, хранящиеся в базе данных Active Directory, или кэшированные учетные данные браузера Chrome.

Они используют протокол удаленных рабочих столов (RDP) с действительными учетными записями локальных администраторов и SMB для перемещения по целевым средам.

Чтобы сохранить постоянство и повысить уровень привилегий в скомпрометированной системе, агенты добавляют вновь созданного пользователя в ключ реестра Special Accounts.

Для управления и контроля (C2) субъекты угрозы используют популярный агент двойного назначения AnyDesk, а также установщик DWAgent для удаленного доступа.

Почти все наблюдаемые инциденты связаны с попытками агентов Akira вывести данные из целевых сред.

Время пребывания действующих лиц с момента первой замеченной активности до начала воздействия варьировалось от менее чем одного дня до 25 дней.

#ParsedReport #CompletenessMedium
21-12-2023

"NextPHP" Phishing Campaign

https://www.esentire.com/blog/nextphp-phishing-campaign

Report completeness: Medium

Threats:
Aitm_technique
Redrum
Dadsec_tool

Victims:
Esentire employees

Geo:
Emea, Japan, Apac, America, Africa

ChatGPT TTPs:
do not use without manual check
T1566.002, T1566.003, T1556.001, T1553.003

IOCs:
IP: 3
Domain: 1
File: 7
Url: 154

Algorithms:
xor

Languages:
javascript

Links:
https://github.com/esThreatIntelligence/phishing\_iocs/blob/main/NextPHP\_Campaign-11-2023.txt

#ParsedReport #CompletenessLow
22-12-2023

Microsoft: Hackers target defense firms with new FalseFont malware

https://www.bleepingcomputer.com/news/security/microsoft-hackers-target-defense-firms-with-new-falsefont-malware

Report completeness: Low

Actors/Campaigns:
Apt33 (motivation: cyber_espionage)
Dev-0343

Threats:
Falsefont
Password_spray_technique

Victims:
Individuals in the defense industrial base sector, thousands of organizations worldwide, defense agencies and contractors around the world

Industry:
Government, Military, Healthcare, Financial

Geo:
Chinese, Korean, Russian, Iran, Iranian, Korea

ChatGPT TTPs:
do not use without manual check
T1110, T1003

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что Microsoft заметила, как иранский государственный актор, известный как APT33, пытается доставить новый бэкдор под названием FalseFont лицам из сектора оборонно-промышленной базы, и посоветовала защитникам сетей сбросить учетные данные учетных записей, на которые направлены атаки с распылением паролей.
-----

Компания Microsoft обнаружила, что иранский государственный субъект, известный как APT33 (также известный как Peach Sandstorm, HOLMIUM или Refined Kitten), пытается передать недавно разработанный бэкдор под названием FalseFont лицам, работающим в секторе оборонно-промышленной базы. FalseFont обеспечивает удаленный доступ, выполнение файлов и передачу файлов на командно-контрольные серверы. Эта группа угроз активна с 2013 года и нацелена на различные отрасли промышленности в США, Саудовской Аравии и Южной Корее.

Впервые FalseFont был замечен в дикой природе в начале ноября 2023 года. Чтобы уменьшить площадь атаки хакеров APT33, Microsoft рекомендовала защитникам сетей сбросить учетные данные учетных записей, ставших объектом атак с использованием паролей.

В сентябре Microsoft предупредила о кампании, координируемой угрожающей группой APT33, которая с февраля 2023 года атаковала тысячи организаций по всему миру. Атаки привели к краже данных у ограниченного числа жертв в оборонном, спутниковом и фармацевтическом секторах.

Два года назад исследователи из Microsoft Threat Intelligence Center (MSTIC) обнаружили еще одну хакерскую группу DEV-0343, связанную с Ираном. В последние годы оборонные ведомства и подрядчики по всему миру стали мишенью для российских, северокорейских и китайских государственных хакеров.

#ParsedReport #CompletenessHigh
22-12-2023

Operation RusticWeb targets Indian Govt: From Rust-based malware to Web-service exfiltration

https://www.seqrite.com/blog/operation-rusticweb-targets-indian-govt-from-rust-based-malware-to-web-service-exfiltration

Report completeness: High

Actors/Campaigns:
Rusticweb (motivation: cyber_espionage)
Transparenttribe
Sidecopy
Armor_piercer

Threats:
Spear-phishing_technique
Ares_rat
Emotet
Kamran

Industry:
Education, Government

Geo:
India, Indian, Pakistan

TTPs:
Tactics: 9
Technics: 23

IOCs:
Command: 2
Path: 15
Domain: 8
File: 13
Url: 14
Hash: 24

Soft:
Telegram, curl, BinDiff, AnyConnect

Algorithms:
zip

Languages:
powershell, golang, rust

Links:
https://github.com/danielbohannon/Invoke-Obfuscation/tree/master
https://github.com/somenonymous/OshiUpload

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 2, code: 7, table: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года, в которой использовались полезные нагрузки на основе Rust, поддельные домены и зашифрованные команды PowerShell для утечки конфиденциальных документов. Предполагается, что эта кампания связана с APT-угрозой и направлена на индийских государственных служащих, связанных с детскими фондами или обществами.
-----

APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года.

Кампания отслеживается как Operation RusticWeb и, предположительно, связана с APT-угрозой.

Поддельные домены использовались для размещения вредоносных полезных нагрузок и файлов-обманок.

Он использует новые полезные нагрузки на основе Rust и зашифрованные команды PowerShell для утечки конфиденциальных документов на веб-сервис.

Цепочка заражения начинается с фишингового письма, содержащего архивный файл.

Открывшийся файл-обманка представляет собой форму заявления о возврате недвижимого имущества, где служба указана как Индийская административная служба.

Полезная нагрузка EXE оказывается скомпилированным в Rust двоичным файлом, который проверяет основную информацию о системе, похищает файлы, собирает имя и IP системы и загружает отдельные файлы вместе с логами.

Еще одна похожая цепочка заражения была замечена в декабре с использованием maldocs, где для перечисления и эксфильтрации использовался скрипт PowerShell, а не полезная нагрузка на основе Rust.

Предполагается, что эта фишинговая кампания направлена на индийских государственных служащих, особенно тех, кто связан с детскими фондами или обществами.

Угрозы переключились на вредоносное ПО, разработанное на новых компилируемых языках, таких как Golang, Rust и Nim.

#ParsedReport #CompletenessHigh
21-12-2023

PhantomControl returns with Ande Loader and SwaetRAT

https://www.esentire.com/blog/phantomcontrol-returns-with-ande-loader-and-swaetrat

Report completeness: High

Actors/Campaigns:
Phantomcontrol
Blindeagle

Threats:
Ande_loader
Swaetrat
Process_hollowing_technique
Antivm
Screenconnect_tool

Victims:
Latin american countries

Industry:
Financial

Geo:
American, Emea, America, Africa, Apac

TTPs:

ChatGPT TTPs:
do not use without manual check
T1055.012

IOCs:
Domain: 5
File: 9
Hash: 5
IP: 1

Crypto:
binance

Algorithms:
base64, gzip, md5

Functions:
GetHashT, ReadPacket

Win Services:
WebClient

Languages:
powershell

Links:
https://github.com/RussianPanda95/Yara-Rules/blob/main/AndeLoader/ande\_loader.yar
https://github.com/RussianPanda95/Yara-Rules/blob/main/SwaetRAT/swaetrat.yar

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Недавно команда TRU столкнулась с вредоносным VBS-скриптом, который обнаружил бинарную полезную нагрузку .NET, названную командой Ande Loader, используемую угрожающими субъектами Blind Eagle для доставки RAT в страны Латинской Америки. SwaetRAT, 32-битная RAT, написанная на .NET и обладающая возможностями кейлоггинга, ищет упоминания Paypal и Binance в файле Log.tmp и отправляет информацию в C2, а также способна выполнять различные команды. Кроме того, он создает постоянство с помощью папок запуска и методов встраивания в процессы.-----

Недавно команда TRU столкнулась с вредоносным VBS-скриптом, который содержал мусорные строки для скрытия кода. Очистив скрипт, команда обнаружила ссылку на домен paste .ee. Дальнейшая деобфускация выявила фрагмент PowerShell в обратном base64-кодировании. Декодирование сценария PowerShell выявило бинарную полезную нагрузку .NET, которую команда назвала Ande Loader. Загрузчик Ande Loader ранее использовался угрозами Blind Eagle для доставки RAT в страны Латинской Америки. Он содержит 7 параметров, передаваемых методу VAI, и основную полезную нагрузку, названную SwaetRAT на основе имени/идентификатора группы.

SwaetRAT - это 32-битный RAT, написанный на .NET, с возможностью кейлоггинга. Он ищет упоминания Paypal и Binance в файле Log.tmp и отправляет информацию в C2. RAT способен выполнять такие команды, как "Sendfile", "Memory", "Web", "Close", "Restart", "Uninstall", "$Cap", "RemoteDesktop", "RD+", "DeskDrop", "UAC" и "OfflineGet". Он также создает мьютекс qVnqcuDNS5fGFGb. Кроме того, он использует для вредоносной деятельности легитимный инструмент удаленного доступа ScreenConnect, а также создает постоянство с помощью папок запуска и методов дублирования процессов.

#ParsedReport #CompletenessHigh
22-12-2023

Analysis of Kimsuky Group's AppleSeed malware attack trends

https://asec.ahnlab.com/ko/59933

Report completeness: High

Actors/Campaigns:
Kimsuky (motivation: information_theft)

Threats:
Appleseed
Spear-phishing_technique
Alphaseed
Meterpreter_tool
Metasploit_tool
Tightvnc_tool
Hvnc_tool
Tinynuke
Avemaria_rat
Sbit_rat
Malware/win.agent.r628198
Trojan/win.vnc.c5563987
Backdoor/win.iedoor.r626024
Backdoor/win.iedoor.r625563

Industry:
Government, Financial, Energy

Geo:
Korea

IOCs:
Path: 3
File: 2
Hash: 29
Url: 11
IP: 6

Soft:
Chrome, Google Chrome

Algorithms:
md5

Languages:
javascript, golang

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Угрожающая группа Kimsuky, связанная с Северной Кореей, действует с 2013 года и использует для проведения кибератак фишинг, вредоносные программы JavaScript, AppleSeed, AlphaSeed и TinyNuke. Пользователям следует принять меры предосторожности, чтобы защититься от этих атак.
-----

Угрожающая группа Kimsuky, связанная с Северной Кореей, активна с 2013 года и осуществляет фишинговые атаки на объекты национальной обороны, оборонной промышленности, СМИ, дипломатии, правительственных учреждений и научных кругов. В основном группа использует фишинговые атаки в качестве первоначального пути проникновения, но в последнее время во многих случаях атаки проводятся с использованием вредоносных программ в формате LNK. Кроме того, они используют вредоносные программы на JavaScript или вредоносные файлы документов для распространения вредоносного ПО AppleSeed, о котором говорится в отчете Kimsuky Groups APT Attack Analysis Report (AppleSeed, PebbleDash). AppleSeed - это вредоносная программа с бэкдором, которая может выполнять команды злоумышленника, полученные с C&C-сервера, и часто распространяется с помощью вредоносных программ-дропперов на JavaScript.

AlphaSeed - это вредоносная программа, разработанная на языке Go и имеющая схожие с AppleSeed функции, такие как выполнение команд и кража информации. Он используется в дополнение к AppleSeed и распространяется в основном через вредоносные программы-дропперы на JavaScript. Он также отличается от AppleSeed по способу C&C-коммуникации, поскольку использует ChromeDP вместо прямого использования ID/PW для входа в систему.

Группа Kimsuky также использует Metasploit и Meterpreter для контроля над зараженными системами. Meterpreter - это вредоносный бэкдор, предоставляемый Metasploit и используемый для контроля над зараженными системами. Он часто использовался во время атак с помощью AppleSeed, а в первой половине 2023 года было подтверждено наличие Meterpreter Stager, разработанного на языке Go. В последнее время используется версия Meterpreter на языке C++. Группа Kimsuky также создает и использует вредоносные программы VNC в дополнение к RDP для управления зараженными системами, такие как TightVNC и HVNC. Группой также используется TinyNuke, вредоносная программа для банковской сферы, которая включает такие функции, как HVNC (HiddenDesktop/VNC), обратный SOCKS4-прокси и захват форм веб-браузера.

Пользователям следует знать об этих способах атак и принимать меры предосторожности, например, детально проверять отправителя писем и воздерживаться от просмотра файлов неизвестного происхождения. Кроме того, следует обновлять патчи и антивирусное программное обеспечение до последней версии, чтобы предотвратить заражение вредоносным ПО.

#ParsedReport #CompletenessLow
23-12-2023

Threat Actor 'UAC-0099' Continues to Target Ukraine

https://www.deepinstinct.com/blog/threat-actor-uac-0099-continues-to-target-ukraine

Report completeness: Low

Actors/Campaigns:
Uac0099

Threats:
Lonepage

Victims:
Ukrainian employees working for companies outside of ukraine

Geo:
Russian, Ukraine, Ukrainian

CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- rarlab winrar (<6.23)


ChatGPT TTPs:
do not use without manual check
T1053, T1086, T1122, T1193, T1204, T1218, T1221, T1486

IOCs:
IP: 3
File: 2
Hash: 25

Soft:
WordPad

Algorithms:
base64, zip

Languages:
powershell

Links:
https://github.com/deepinstinct/UAC-0099-Targeting\_UA