#ParsedReport #CompletenessMedium
21-12-2023

"NextPHP" Phishing Campaign

https://www.esentire.com/blog/nextphp-phishing-campaign

Report completeness: Medium

Threats:
Aitm_technique
Redrum
Dadsec_tool

Victims:
Esentire employees

Geo:
Emea, Japan, Apac, America, Africa

ChatGPT TTPs:
do not use without manual check
T1566.002, T1566.003, T1556.001, T1553.003

IOCs:
IP: 3
Domain: 1
File: 7
Url: 154

Algorithms:
xor

Languages:
javascript

Links:
https://github.com/esThreatIntelligence/phishing\_iocs/blob/main/NextPHP\_Campaign-11-2023.txt

#ParsedReport #CompletenessLow
22-12-2023

Microsoft: Hackers target defense firms with new FalseFont malware

https://www.bleepingcomputer.com/news/security/microsoft-hackers-target-defense-firms-with-new-falsefont-malware

Report completeness: Low

Actors/Campaigns:
Apt33 (motivation: cyber_espionage)
Dev-0343

Threats:
Falsefont
Password_spray_technique

Victims:
Individuals in the defense industrial base sector, thousands of organizations worldwide, defense agencies and contractors around the world

Industry:
Government, Military, Healthcare, Financial

Geo:
Chinese, Korean, Russian, Iran, Iranian, Korea

ChatGPT TTPs:
do not use without manual check
T1110, T1003

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что Microsoft заметила, как иранский государственный актор, известный как APT33, пытается доставить новый бэкдор под названием FalseFont лицам из сектора оборонно-промышленной базы, и посоветовала защитникам сетей сбросить учетные данные учетных записей, на которые направлены атаки с распылением паролей.
-----

Компания Microsoft обнаружила, что иранский государственный субъект, известный как APT33 (также известный как Peach Sandstorm, HOLMIUM или Refined Kitten), пытается передать недавно разработанный бэкдор под названием FalseFont лицам, работающим в секторе оборонно-промышленной базы. FalseFont обеспечивает удаленный доступ, выполнение файлов и передачу файлов на командно-контрольные серверы. Эта группа угроз активна с 2013 года и нацелена на различные отрасли промышленности в США, Саудовской Аравии и Южной Корее.

Впервые FalseFont был замечен в дикой природе в начале ноября 2023 года. Чтобы уменьшить площадь атаки хакеров APT33, Microsoft рекомендовала защитникам сетей сбросить учетные данные учетных записей, ставших объектом атак с использованием паролей.

В сентябре Microsoft предупредила о кампании, координируемой угрожающей группой APT33, которая с февраля 2023 года атаковала тысячи организаций по всему миру. Атаки привели к краже данных у ограниченного числа жертв в оборонном, спутниковом и фармацевтическом секторах.

Два года назад исследователи из Microsoft Threat Intelligence Center (MSTIC) обнаружили еще одну хакерскую группу DEV-0343, связанную с Ираном. В последние годы оборонные ведомства и подрядчики по всему миру стали мишенью для российских, северокорейских и китайских государственных хакеров.

#ParsedReport #CompletenessHigh
22-12-2023

Operation RusticWeb targets Indian Govt: From Rust-based malware to Web-service exfiltration

https://www.seqrite.com/blog/operation-rusticweb-targets-indian-govt-from-rust-based-malware-to-web-service-exfiltration

Report completeness: High

Actors/Campaigns:
Rusticweb (motivation: cyber_espionage)
Transparenttribe
Sidecopy
Armor_piercer

Threats:
Spear-phishing_technique
Ares_rat
Emotet
Kamran

Industry:
Education, Government

Geo:
India, Indian, Pakistan

TTPs:
Tactics: 9
Technics: 23

IOCs:
Command: 2
Path: 15
Domain: 8
File: 13
Url: 14
Hash: 24

Soft:
Telegram, curl, BinDiff, AnyConnect

Algorithms:
zip

Languages:
powershell, golang, rust

Links:
https://github.com/danielbohannon/Invoke-Obfuscation/tree/master
https://github.com/somenonymous/OshiUpload

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 2, code: 7, table: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года, в которой использовались полезные нагрузки на основе Rust, поддельные домены и зашифрованные команды PowerShell для утечки конфиденциальных документов. Предполагается, что эта кампания связана с APT-угрозой и направлена на индийских государственных служащих, связанных с детскими фондами или обществами.
-----

APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года.

Кампания отслеживается как Operation RusticWeb и, предположительно, связана с APT-угрозой.

Поддельные домены использовались для размещения вредоносных полезных нагрузок и файлов-обманок.

Он использует новые полезные нагрузки на основе Rust и зашифрованные команды PowerShell для утечки конфиденциальных документов на веб-сервис.

Цепочка заражения начинается с фишингового письма, содержащего архивный файл.

Открывшийся файл-обманка представляет собой форму заявления о возврате недвижимого имущества, где служба указана как Индийская административная служба.

Полезная нагрузка EXE оказывается скомпилированным в Rust двоичным файлом, который проверяет основную информацию о системе, похищает файлы, собирает имя и IP системы и загружает отдельные файлы вместе с логами.

Еще одна похожая цепочка заражения была замечена в декабре с использованием maldocs, где для перечисления и эксфильтрации использовался скрипт PowerShell, а не полезная нагрузка на основе Rust.

Предполагается, что эта фишинговая кампания направлена на индийских государственных служащих, особенно тех, кто связан с детскими фондами или обществами.

Угрозы переключились на вредоносное ПО, разработанное на новых компилируемых языках, таких как Golang, Rust и Nim.

#ParsedReport #CompletenessHigh
21-12-2023

PhantomControl returns with Ande Loader and SwaetRAT

https://www.esentire.com/blog/phantomcontrol-returns-with-ande-loader-and-swaetrat

Report completeness: High

Actors/Campaigns:
Phantomcontrol
Blindeagle

Threats:
Ande_loader
Swaetrat
Process_hollowing_technique
Antivm
Screenconnect_tool

Victims:
Latin american countries

Industry:
Financial

Geo:
American, Emea, America, Africa, Apac

TTPs:

ChatGPT TTPs:
do not use without manual check
T1055.012

IOCs:
Domain: 5
File: 9
Hash: 5
IP: 1

Crypto:
binance

Algorithms:
base64, gzip, md5

Functions:
GetHashT, ReadPacket

Win Services:
WebClient

Languages:
powershell

Links:
https://github.com/RussianPanda95/Yara-Rules/blob/main/AndeLoader/ande\_loader.yar
https://github.com/RussianPanda95/Yara-Rules/blob/main/SwaetRAT/swaetrat.yar

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Недавно команда TRU столкнулась с вредоносным VBS-скриптом, который обнаружил бинарную полезную нагрузку .NET, названную командой Ande Loader, используемую угрожающими субъектами Blind Eagle для доставки RAT в страны Латинской Америки. SwaetRAT, 32-битная RAT, написанная на .NET и обладающая возможностями кейлоггинга, ищет упоминания Paypal и Binance в файле Log.tmp и отправляет информацию в C2, а также способна выполнять различные команды. Кроме того, он создает постоянство с помощью папок запуска и методов встраивания в процессы.-----

Недавно команда TRU столкнулась с вредоносным VBS-скриптом, который содержал мусорные строки для скрытия кода. Очистив скрипт, команда обнаружила ссылку на домен paste .ee. Дальнейшая деобфускация выявила фрагмент PowerShell в обратном base64-кодировании. Декодирование сценария PowerShell выявило бинарную полезную нагрузку .NET, которую команда назвала Ande Loader. Загрузчик Ande Loader ранее использовался угрозами Blind Eagle для доставки RAT в страны Латинской Америки. Он содержит 7 параметров, передаваемых методу VAI, и основную полезную нагрузку, названную SwaetRAT на основе имени/идентификатора группы.

SwaetRAT - это 32-битный RAT, написанный на .NET, с возможностью кейлоггинга. Он ищет упоминания Paypal и Binance в файле Log.tmp и отправляет информацию в C2. RAT способен выполнять такие команды, как "Sendfile", "Memory", "Web", "Close", "Restart", "Uninstall", "$Cap", "RemoteDesktop", "RD+", "DeskDrop", "UAC" и "OfflineGet". Он также создает мьютекс qVnqcuDNS5fGFGb. Кроме того, он использует для вредоносной деятельности легитимный инструмент удаленного доступа ScreenConnect, а также создает постоянство с помощью папок запуска и методов дублирования процессов.

#ParsedReport #CompletenessHigh
22-12-2023

Analysis of Kimsuky Group's AppleSeed malware attack trends

https://asec.ahnlab.com/ko/59933

Report completeness: High

Actors/Campaigns:
Kimsuky (motivation: information_theft)

Threats:
Appleseed
Spear-phishing_technique
Alphaseed
Meterpreter_tool
Metasploit_tool
Tightvnc_tool
Hvnc_tool
Tinynuke
Avemaria_rat
Sbit_rat
Malware/win.agent.r628198
Trojan/win.vnc.c5563987
Backdoor/win.iedoor.r626024
Backdoor/win.iedoor.r625563

Industry:
Government, Financial, Energy

Geo:
Korea

IOCs:
Path: 3
File: 2
Hash: 29
Url: 11
IP: 6

Soft:
Chrome, Google Chrome

Algorithms:
md5

Languages:
javascript, golang

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Угрожающая группа Kimsuky, связанная с Северной Кореей, действует с 2013 года и использует для проведения кибератак фишинг, вредоносные программы JavaScript, AppleSeed, AlphaSeed и TinyNuke. Пользователям следует принять меры предосторожности, чтобы защититься от этих атак.
-----

Угрожающая группа Kimsuky, связанная с Северной Кореей, активна с 2013 года и осуществляет фишинговые атаки на объекты национальной обороны, оборонной промышленности, СМИ, дипломатии, правительственных учреждений и научных кругов. В основном группа использует фишинговые атаки в качестве первоначального пути проникновения, но в последнее время во многих случаях атаки проводятся с использованием вредоносных программ в формате LNK. Кроме того, они используют вредоносные программы на JavaScript или вредоносные файлы документов для распространения вредоносного ПО AppleSeed, о котором говорится в отчете Kimsuky Groups APT Attack Analysis Report (AppleSeed, PebbleDash). AppleSeed - это вредоносная программа с бэкдором, которая может выполнять команды злоумышленника, полученные с C&C-сервера, и часто распространяется с помощью вредоносных программ-дропперов на JavaScript.

AlphaSeed - это вредоносная программа, разработанная на языке Go и имеющая схожие с AppleSeed функции, такие как выполнение команд и кража информации. Он используется в дополнение к AppleSeed и распространяется в основном через вредоносные программы-дропперы на JavaScript. Он также отличается от AppleSeed по способу C&C-коммуникации, поскольку использует ChromeDP вместо прямого использования ID/PW для входа в систему.

Группа Kimsuky также использует Metasploit и Meterpreter для контроля над зараженными системами. Meterpreter - это вредоносный бэкдор, предоставляемый Metasploit и используемый для контроля над зараженными системами. Он часто использовался во время атак с помощью AppleSeed, а в первой половине 2023 года было подтверждено наличие Meterpreter Stager, разработанного на языке Go. В последнее время используется версия Meterpreter на языке C++. Группа Kimsuky также создает и использует вредоносные программы VNC в дополнение к RDP для управления зараженными системами, такие как TightVNC и HVNC. Группой также используется TinyNuke, вредоносная программа для банковской сферы, которая включает такие функции, как HVNC (HiddenDesktop/VNC), обратный SOCKS4-прокси и захват форм веб-браузера.

Пользователям следует знать об этих способах атак и принимать меры предосторожности, например, детально проверять отправителя писем и воздерживаться от просмотра файлов неизвестного происхождения. Кроме того, следует обновлять патчи и антивирусное программное обеспечение до последней версии, чтобы предотвратить заражение вредоносным ПО.

#ParsedReport #CompletenessLow
23-12-2023

Threat Actor 'UAC-0099' Continues to Target Ukraine

https://www.deepinstinct.com/blog/threat-actor-uac-0099-continues-to-target-ukraine

Report completeness: Low

Actors/Campaigns:
Uac0099

Threats:
Lonepage

Victims:
Ukrainian employees working for companies outside of ukraine

Geo:
Russian, Ukraine, Ukrainian

CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- rarlab winrar (<6.23)


ChatGPT TTPs:
do not use without manual check
T1053, T1086, T1122, T1193, T1204, T1218, T1221, T1486

IOCs:
IP: 3
File: 2
Hash: 25

Soft:
WordPad

Algorithms:
base64, zip

Languages:
powershell

Links:
https://github.com/deepinstinct/UAC-0099-Targeting\_UA

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 1, code: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: UAC-0099 использовал различные тактические приемы против Украины, включая эксплуатацию уязвимости WinRAR, рассылку вредоносных писем и использование PowerShell для создания запланированного задания, выполняющего VBS-файл. Чтобы предотвратить подобные атаки, организациям следует быть в курсе последних угроз и уязвимостей и регулярно обновлять системы.
-----

С середины 2022 года угрожающий агент UAC-0099 атаковал Украину, используя CVE-2023-38831. В мае 2023 года украинский CERT опубликовал совет #6710 об этой группе с подробным описанием ее деятельности и инструментов. С тех пор лаборатория Deep Instinct Threat Lab выявила новые атаки UAC-0099 на украинские цели.

Злоумышленники отправили письмо, выдавая себя за представителя Львовского городского суда, на корпоративный электронный ящик украинского сотрудника, работающего удаленно в компании за пределами Украины. Файл выглядел как обычный файл документа, но на самом деле представлял собой LNK-ярлык, замаскированный под файл DOCX. При открытии специально созданный LNK-файл запускал PowerShell с вредоносным содержимым, которое декодировало два блоба base64 и записывало результат в файлы VBS и DOCX. Документ DOCX был приманкой, чтобы обмануть жертву и заставить ее думать, что она открывает легитимный файл DOCX, содержащий повестку в суд, а не вредоносный файл. Вредоносная программа для VBS была названа CERT-UA LonePage и создавала скрытый процесс PowerShell, который связывался с жестко закодированным URL-адресом C2 для получения текстового файла.

В начале ноября был замечен еще один экземпляр этой кампании с использованием другого адреса C2; ответ полезной нагрузки от сервера содержал код, отвечающий за создание скриншота. В конце ноября 2023 года был замечен еще один экземпляр кампании, использующий C2-адрес 2.59.222 . 98; в атаке использовались HTA и запланированная задача, которая запускалась каждые четыре минуты вместо трех в предыдущих случаях.

UAC-0099 также использовал известную уязвимость WinRAR, выявленную Group-IB и отслеженную до апреля 2023 года. Эта уязвимость особенно эффективна, поскольку атаки так хорошо замаскированы; даже подкованные в вопросах безопасности жертвы могут попасться на обман. Два ZIP-файла, созданных UAC-0099, были обнаружены 5 августа 2023 года, каждый из которых содержал различный путь C2 URI.

Тактика, используемая UAC-0099, проста, но эффективна. Несмотря на разные векторы первоначального заражения, суть заражения одинакова - они опираются на PowerShell и создание запланированной задачи, выполняющей VBS-файл. Мониторинг и ограничение функциональности этих компонентов может снизить риск атак UAC-0099 - и/или быстро выявить их в случае компрометации. Информация о присвоении CVE и блог Group-IB об уязвимости были опубликованы уже после того, как UAC-0099 использовал эту технику атаки, что свидетельствует об уровне их изощренности.

Лаборатория Deep Instinct Threat Lab выявила несколько угроз от UAC-0099, все они направлены на Украину. Чтобы предотвратить эти атаки, организациям следует быть в курсе последних угроз и уязвимостей и следить за регулярным обновлением систем. Ограничение функциональности PowerShell и мониторинг выполнения подозрительных VBS-файлов также могут снизить риск заражения. IOC и POC для CVE-2023-38831 можно найти на GitHub компании Deep Instinct.

#ParsedReport #CompletenessLow
22-12-2023

Stealth Backdoor Android/Xamalicious Actively Infecting Devices

https://www.mcafee.com/blogs/other-blogs/mcafee-labs/stealth-backdoor-android-xamalicious-actively-infecting-devices

Report completeness: Low

Threats:
Xamalicious_backdoor
Androspy

Victims:
Android users

Industry:
E-commerce, Financial, Healthcare, Retail, Telco

Geo:
Spain, Usa, Argentina, American, Germany, Brazil

ChatGPT TTPs:
do not use without manual check
T1036, T1053, T1090, T1071, T1036, T1113, T1045, T1041, T1082, T1059, have more...

IOCs:
File: 4
Hash: 38

Soft:
Android, Flutter

Algorithms:
base64, cbc, aes

Functions:
GetURL, Send, encrypt, decrypt

Languages:
java

#ParsedReport #ExtractedSchema

Classified images:
schema: 3, code: 1, windows: 1, chats: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4