#ParsedReport #CompletenessHigh
22-12-2023

Operation RusticWeb targets Indian Govt: From Rust-based malware to Web-service exfiltration

https://www.seqrite.com/blog/operation-rusticweb-targets-indian-govt-from-rust-based-malware-to-web-service-exfiltration

Report completeness: High

Actors/Campaigns:
Rusticweb (motivation: cyber_espionage)
Transparenttribe
Sidecopy
Armor_piercer

Threats:
Spear-phishing_technique
Ares_rat
Emotet
Kamran

Industry:
Education, Government

Geo:
India, Indian, Pakistan

TTPs:
Tactics: 9
Technics: 23

IOCs:
Command: 2
Path: 15
Domain: 8
File: 13
Url: 14
Hash: 24

Soft:
Telegram, curl, BinDiff, AnyConnect

Algorithms:
zip

Languages:
powershell, golang, rust

Links:
https://github.com/danielbohannon/Invoke-Obfuscation/tree/master
https://github.com/somenonymous/OshiUpload

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 2, code: 7, table: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года, в которой использовались полезные нагрузки на основе Rust, поддельные домены и зашифрованные команды PowerShell для утечки конфиденциальных документов. Предполагается, что эта кампания связана с APT-угрозой и направлена на индийских государственных служащих, связанных с детскими фондами или обществами.
-----

APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года.

Кампания отслеживается как Operation RusticWeb и, предположительно, связана с APT-угрозой.

Поддельные домены использовались для размещения вредоносных полезных нагрузок и файлов-обманок.

Он использует новые полезные нагрузки на основе Rust и зашифрованные команды PowerShell для утечки конфиденциальных документов на веб-сервис.

Цепочка заражения начинается с фишингового письма, содержащего архивный файл.

Открывшийся файл-обманка представляет собой форму заявления о возврате недвижимого имущества, где служба указана как Индийская административная служба.

Полезная нагрузка EXE оказывается скомпилированным в Rust двоичным файлом, который проверяет основную информацию о системе, похищает файлы, собирает имя и IP системы и загружает отдельные файлы вместе с логами.

Еще одна похожая цепочка заражения была замечена в декабре с использованием maldocs, где для перечисления и эксфильтрации использовался скрипт PowerShell, а не полезная нагрузка на основе Rust.

Предполагается, что эта фишинговая кампания направлена на индийских государственных служащих, особенно тех, кто связан с детскими фондами или обществами.

Угрозы переключились на вредоносное ПО, разработанное на новых компилируемых языках, таких как Golang, Rust и Nim.

#ParsedReport #CompletenessHigh
21-12-2023

PhantomControl returns with Ande Loader and SwaetRAT

https://www.esentire.com/blog/phantomcontrol-returns-with-ande-loader-and-swaetrat

Report completeness: High

Actors/Campaigns:
Phantomcontrol
Blindeagle

Threats:
Ande_loader
Swaetrat
Process_hollowing_technique
Antivm
Screenconnect_tool

Victims:
Latin american countries

Industry:
Financial

Geo:
American, Emea, America, Africa, Apac

TTPs:

ChatGPT TTPs:
do not use without manual check
T1055.012

IOCs:
Domain: 5
File: 9
Hash: 5
IP: 1

Crypto:
binance

Algorithms:
base64, gzip, md5

Functions:
GetHashT, ReadPacket

Win Services:
WebClient

Languages:
powershell

Links:
https://github.com/RussianPanda95/Yara-Rules/blob/main/AndeLoader/ande\_loader.yar
https://github.com/RussianPanda95/Yara-Rules/blob/main/SwaetRAT/swaetrat.yar

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Недавно команда TRU столкнулась с вредоносным VBS-скриптом, который обнаружил бинарную полезную нагрузку .NET, названную командой Ande Loader, используемую угрожающими субъектами Blind Eagle для доставки RAT в страны Латинской Америки. SwaetRAT, 32-битная RAT, написанная на .NET и обладающая возможностями кейлоггинга, ищет упоминания Paypal и Binance в файле Log.tmp и отправляет информацию в C2, а также способна выполнять различные команды. Кроме того, он создает постоянство с помощью папок запуска и методов встраивания в процессы.-----

Недавно команда TRU столкнулась с вредоносным VBS-скриптом, который содержал мусорные строки для скрытия кода. Очистив скрипт, команда обнаружила ссылку на домен paste .ee. Дальнейшая деобфускация выявила фрагмент PowerShell в обратном base64-кодировании. Декодирование сценария PowerShell выявило бинарную полезную нагрузку .NET, которую команда назвала Ande Loader. Загрузчик Ande Loader ранее использовался угрозами Blind Eagle для доставки RAT в страны Латинской Америки. Он содержит 7 параметров, передаваемых методу VAI, и основную полезную нагрузку, названную SwaetRAT на основе имени/идентификатора группы.

SwaetRAT - это 32-битный RAT, написанный на .NET, с возможностью кейлоггинга. Он ищет упоминания Paypal и Binance в файле Log.tmp и отправляет информацию в C2. RAT способен выполнять такие команды, как "Sendfile", "Memory", "Web", "Close", "Restart", "Uninstall", "$Cap", "RemoteDesktop", "RD+", "DeskDrop", "UAC" и "OfflineGet". Он также создает мьютекс qVnqcuDNS5fGFGb. Кроме того, он использует для вредоносной деятельности легитимный инструмент удаленного доступа ScreenConnect, а также создает постоянство с помощью папок запуска и методов дублирования процессов.

#ParsedReport #CompletenessHigh
22-12-2023

Analysis of Kimsuky Group's AppleSeed malware attack trends

https://asec.ahnlab.com/ko/59933

Report completeness: High

Actors/Campaigns:
Kimsuky (motivation: information_theft)

Threats:
Appleseed
Spear-phishing_technique
Alphaseed
Meterpreter_tool
Metasploit_tool
Tightvnc_tool
Hvnc_tool
Tinynuke
Avemaria_rat
Sbit_rat
Malware/win.agent.r628198
Trojan/win.vnc.c5563987
Backdoor/win.iedoor.r626024
Backdoor/win.iedoor.r625563

Industry:
Government, Financial, Energy

Geo:
Korea

IOCs:
Path: 3
File: 2
Hash: 29
Url: 11
IP: 6

Soft:
Chrome, Google Chrome

Algorithms:
md5

Languages:
javascript, golang

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Угрожающая группа Kimsuky, связанная с Северной Кореей, действует с 2013 года и использует для проведения кибератак фишинг, вредоносные программы JavaScript, AppleSeed, AlphaSeed и TinyNuke. Пользователям следует принять меры предосторожности, чтобы защититься от этих атак.
-----

Угрожающая группа Kimsuky, связанная с Северной Кореей, активна с 2013 года и осуществляет фишинговые атаки на объекты национальной обороны, оборонной промышленности, СМИ, дипломатии, правительственных учреждений и научных кругов. В основном группа использует фишинговые атаки в качестве первоначального пути проникновения, но в последнее время во многих случаях атаки проводятся с использованием вредоносных программ в формате LNK. Кроме того, они используют вредоносные программы на JavaScript или вредоносные файлы документов для распространения вредоносного ПО AppleSeed, о котором говорится в отчете Kimsuky Groups APT Attack Analysis Report (AppleSeed, PebbleDash). AppleSeed - это вредоносная программа с бэкдором, которая может выполнять команды злоумышленника, полученные с C&C-сервера, и часто распространяется с помощью вредоносных программ-дропперов на JavaScript.

AlphaSeed - это вредоносная программа, разработанная на языке Go и имеющая схожие с AppleSeed функции, такие как выполнение команд и кража информации. Он используется в дополнение к AppleSeed и распространяется в основном через вредоносные программы-дропперы на JavaScript. Он также отличается от AppleSeed по способу C&C-коммуникации, поскольку использует ChromeDP вместо прямого использования ID/PW для входа в систему.

Группа Kimsuky также использует Metasploit и Meterpreter для контроля над зараженными системами. Meterpreter - это вредоносный бэкдор, предоставляемый Metasploit и используемый для контроля над зараженными системами. Он часто использовался во время атак с помощью AppleSeed, а в первой половине 2023 года было подтверждено наличие Meterpreter Stager, разработанного на языке Go. В последнее время используется версия Meterpreter на языке C++. Группа Kimsuky также создает и использует вредоносные программы VNC в дополнение к RDP для управления зараженными системами, такие как TightVNC и HVNC. Группой также используется TinyNuke, вредоносная программа для банковской сферы, которая включает такие функции, как HVNC (HiddenDesktop/VNC), обратный SOCKS4-прокси и захват форм веб-браузера.

Пользователям следует знать об этих способах атак и принимать меры предосторожности, например, детально проверять отправителя писем и воздерживаться от просмотра файлов неизвестного происхождения. Кроме того, следует обновлять патчи и антивирусное программное обеспечение до последней версии, чтобы предотвратить заражение вредоносным ПО.

#ParsedReport #CompletenessLow
23-12-2023

Threat Actor 'UAC-0099' Continues to Target Ukraine

https://www.deepinstinct.com/blog/threat-actor-uac-0099-continues-to-target-ukraine

Report completeness: Low

Actors/Campaigns:
Uac0099

Threats:
Lonepage

Victims:
Ukrainian employees working for companies outside of ukraine

Geo:
Russian, Ukraine, Ukrainian

CVEs:
CVE-2023-38831 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- rarlab winrar (<6.23)


ChatGPT TTPs:
do not use without manual check
T1053, T1086, T1122, T1193, T1204, T1218, T1221, T1486

IOCs:
IP: 3
File: 2
Hash: 25

Soft:
WordPad

Algorithms:
base64, zip

Languages:
powershell

Links:
https://github.com/deepinstinct/UAC-0099-Targeting\_UA

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 1, code: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: UAC-0099 использовал различные тактические приемы против Украины, включая эксплуатацию уязвимости WinRAR, рассылку вредоносных писем и использование PowerShell для создания запланированного задания, выполняющего VBS-файл. Чтобы предотвратить подобные атаки, организациям следует быть в курсе последних угроз и уязвимостей и регулярно обновлять системы.
-----

С середины 2022 года угрожающий агент UAC-0099 атаковал Украину, используя CVE-2023-38831. В мае 2023 года украинский CERT опубликовал совет #6710 об этой группе с подробным описанием ее деятельности и инструментов. С тех пор лаборатория Deep Instinct Threat Lab выявила новые атаки UAC-0099 на украинские цели.

Злоумышленники отправили письмо, выдавая себя за представителя Львовского городского суда, на корпоративный электронный ящик украинского сотрудника, работающего удаленно в компании за пределами Украины. Файл выглядел как обычный файл документа, но на самом деле представлял собой LNK-ярлык, замаскированный под файл DOCX. При открытии специально созданный LNK-файл запускал PowerShell с вредоносным содержимым, которое декодировало два блоба base64 и записывало результат в файлы VBS и DOCX. Документ DOCX был приманкой, чтобы обмануть жертву и заставить ее думать, что она открывает легитимный файл DOCX, содержащий повестку в суд, а не вредоносный файл. Вредоносная программа для VBS была названа CERT-UA LonePage и создавала скрытый процесс PowerShell, который связывался с жестко закодированным URL-адресом C2 для получения текстового файла.

В начале ноября был замечен еще один экземпляр этой кампании с использованием другого адреса C2; ответ полезной нагрузки от сервера содержал код, отвечающий за создание скриншота. В конце ноября 2023 года был замечен еще один экземпляр кампании, использующий C2-адрес 2.59.222 . 98; в атаке использовались HTA и запланированная задача, которая запускалась каждые четыре минуты вместо трех в предыдущих случаях.

UAC-0099 также использовал известную уязвимость WinRAR, выявленную Group-IB и отслеженную до апреля 2023 года. Эта уязвимость особенно эффективна, поскольку атаки так хорошо замаскированы; даже подкованные в вопросах безопасности жертвы могут попасться на обман. Два ZIP-файла, созданных UAC-0099, были обнаружены 5 августа 2023 года, каждый из которых содержал различный путь C2 URI.

Тактика, используемая UAC-0099, проста, но эффективна. Несмотря на разные векторы первоначального заражения, суть заражения одинакова - они опираются на PowerShell и создание запланированной задачи, выполняющей VBS-файл. Мониторинг и ограничение функциональности этих компонентов может снизить риск атак UAC-0099 - и/или быстро выявить их в случае компрометации. Информация о присвоении CVE и блог Group-IB об уязвимости были опубликованы уже после того, как UAC-0099 использовал эту технику атаки, что свидетельствует об уровне их изощренности.

Лаборатория Deep Instinct Threat Lab выявила несколько угроз от UAC-0099, все они направлены на Украину. Чтобы предотвратить эти атаки, организациям следует быть в курсе последних угроз и уязвимостей и следить за регулярным обновлением систем. Ограничение функциональности PowerShell и мониторинг выполнения подозрительных VBS-файлов также могут снизить риск заражения. IOC и POC для CVE-2023-38831 можно найти на GitHub компании Deep Instinct.

#ParsedReport #CompletenessLow
22-12-2023

Stealth Backdoor Android/Xamalicious Actively Infecting Devices

https://www.mcafee.com/blogs/other-blogs/mcafee-labs/stealth-backdoor-android-xamalicious-actively-infecting-devices

Report completeness: Low

Threats:
Xamalicious_backdoor
Androspy

Victims:
Android users

Industry:
E-commerce, Financial, Healthcare, Retail, Telco

Geo:
Spain, Usa, Argentina, American, Germany, Brazil

ChatGPT TTPs:
do not use without manual check
T1036, T1053, T1090, T1071, T1036, T1113, T1045, T1041, T1082, T1059, have more...

IOCs:
File: 4
Hash: 38

Soft:
Android, Flutter

Algorithms:
base64, cbc, aes

Functions:
GetURL, Send, encrypt, decrypt

Languages:
java

#ParsedReport #ExtractedSchema

Classified images:
schema: 3, code: 1, windows: 1, chats: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Xamalicious - это вредоносный бэкдор для Android, который использует фреймворк Xamarin, чтобы избежать обнаружения и оставаться незамеченным в течение длительного времени. Он распространяется в 25 вредоносных приложениях в Google Play с середины 2020 года и может получить доступ к данным пользователя. Продукты McAfee Mobile Security предоставляют пользователям возможность защиты от этой угрозы.
-----

Команда McAfee Mobile Research Team обнаружила вредоносный бэкдор для Android, который использует фреймворк Xamarin, чтобы оставаться активным и незамеченным в течение длительного времени. Бэкдор, получивший название Xamalicious, был связан с приложением для мошенничества с рекламой Cash Magnet. Он распространяется в 25 вредоносных приложениях в Google Play с середины 2020 года.

С помощью социальной инженерии Xamalicious пытается получить привилегии доступа, а затем загружает полезную нагрузку второго этапа, чтобы получить полный контроль над устройством. Вредоносный код обычно доступен в двух разных файлах сборок в каталоге /assemblies apk. Обычно DLL-сборки обфусцированы, чтобы избежать обнаружения и анализа.

После получения разрешений на доступ Xamalicious начинает взаимодействие с вредоносным сервером для динамической загрузки полезной нагрузки второго этапа. Он собирает многочисленные данные об устройстве, такие как информация о местоположении, операторе и сети, а также статус рутирования, чтобы определить, является ли зараженная жертва подходящей целью для полезной нагрузки. Все сообщения и данные, передаваемые между C2 и зараженным устройством, шифруются с помощью токена JSON Web Encryption (JWE) с использованием RSA-OAEP с алгоритмом 128CBC-HS256.

Если C&C-сервер определит, что устройство является подходящей целью для получения вредоносной библиотеки, он зашифрует DLL с помощью расширенного стандарта шифрования (AES) в цепочке блоков шифра (CBC), используя пользовательский ключ для клиента. После загрузки полезной нагрузки второго этапа устройство может быть полностью скомпрометировано, поскольку вредоносная программа может наблюдать и взаимодействовать с любой активностью, открывая черный ход для любого типа вредоносной деятельности.

Продукты McAfee Mobile Security предоставляют пользователям возможность защиты от этой угрозы. Android/Xamalicious распространялся в Google Play в таких приложениях, как LetterLink и Dots: One Line Connector. Большинство пострадавших пользователей находятся на американском континенте, причем наибольшая активность наблюдается в США, Бразилии и Аргентине. В Европе клиенты также сообщали о заражении, особенно в Великобритании, Испании и Германии.

Использование таких фреймворков, как Flutter, React Native и Xamarin, может обеспечить авторам вредоносных программ дополнительный уровень обфускации, чтобы избежать обнаружения и остаться на рынке приложений. Поэтому пользователям важно установить на свои устройства защитное ПО и поддерживать его в актуальном состоянии. Это поможет снизить риски, связанные с этими видами вредоносного ПО, и обеспечить более безопасную и надежную работу.

#technique

Terrapin Attack - Terrapin is a prefix truncation attack targeting the SSH protocol. More precisely, Terrapin breaks the integrity. The truncation can lead to using less secure client authentication algorithms and deactivating specific countermeasures against keystroke timing attacks in OpenSSH 9.5

https://terrapin-attack.com/

#technique

Reflective x64 PE/DLL Loader implemented using Dynamic Indirect Syscalls

https://github.com/Krypteria/AtlasLdr

#technique

DLL Unlinking from InLoadOrderModuleList, InMemoryOrderModuleList, InInitializationOrderModuleList, and LdrpHashTable

P.s. Кстати, написано на nim

https://github.com/frkngksl/UnlinkDLL