#ParsedReport #CompletenessLow
22-01-2024
Enter The Gates: An Analysis of the DarkGate AutoIt Loader
https://www.splunk.com/en_us/blog/security/enter-the-gates-an-analysis-of-the-darkgate-autoit-loader.html
Report completeness: Low
Threats:
Darkgate
Dll_sideloading_technique
Basupportvnc_tool
Cobalt_strike
Victims:
Russian government organizations, Splunk
TTPs:
ChatGPT TTPs:
T1078, T1486, T1485, T1059, T1552, T1027, T1107, T1060, T1118, T1170, have more...
IOCs:
File: 14
Path: 1
Hash: 3
Soft:
PSEXEC, Windows Security, Windows PowerShell, Windows registry, Windows Error Reporting, Slack
Algorithms:
base64, xor, zip
Win API:
EnumWindows
Languages:
autoit, powershell
Links:
22-01-2024
Enter The Gates: An Analysis of the DarkGate AutoIt Loader
https://www.splunk.com/en_us/blog/security/enter-the-gates-an-analysis-of-the-darkgate-autoit-loader.html
Report completeness: Low
Threats:
Darkgate
Dll_sideloading_technique
Basupportvnc_tool
Cobalt_strike
Victims:
Russian government organizations, Splunk
TTPs:
ChatGPT TTPs:
do not use without manual checkT1078, T1486, T1485, T1059, T1552, T1027, T1107, T1060, T1118, T1170, have more...
IOCs:
File: 14
Path: 1
Hash: 3
Soft:
PSEXEC, Windows Security, Windows PowerShell, Windows registry, Windows Error Reporting, Slack
Algorithms:
base64, xor, zip
Win API:
EnumWindows
Languages:
autoit, powershell
Links:
https://github.com/splunk/security-content/releases/tag/v3.12.0https://github.com/splunk/attack\_data/https://github.com/splunk/security\_contentSplunk
Enter The Gates: An Analysis of the DarkGate AutoIt Loader | Splunk
The Splunk Threat Research Team (STRT) provides a deep dive analysis of the DarkGate malware and its use of AutoIt.
CTT Report Hub
#ParsedReport #CompletenessLow 22-01-2024 Enter The Gates: An Analysis of the DarkGate AutoIt Loader https://www.splunk.com/en_us/blog/security/enter-the-gates-an-analysis-of-the-darkgate-autoit-loader.html Report completeness: Low Threats: Darkgate D…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что исследовательская группа Splunk Threat сосредоточена на понимании и анализе угроз кибербезопасности, таких как вредоносное ПО DarkGate, с целью улучшения предложений Splunk по обеспечению безопасности. Они предоставляют результаты исследований, которые могут быть использованы службами безопасности с целью стать отраслевым стандартом для обнаружения SIEM. DarkGate - это сложное вредоносное ПО, представляющее значительную угрозу из-за своих методов обхода и сохранения в скомпрометированных системах. Для защиты от DarkGate команда разработала и протестировала средства обнаружения Splunk и поощряет совместный обмен информацией об угрозах между сообществами безопасности. Раннее обнаружение и непрерывный мониторинг имеют решающее значение для эффективного смягчения последствий и защиты от DarkGate.
-----
Команда исследователей угроз Splunk фокусируется на понимании и анализе угроз, действующих лиц и уязвимостей для улучшения предложений Splunk по обеспечению безопасности.
DarkGate - это вредоносная программа, которая используется с 2008 года и представляет значительную угрозу из-за своих методов обхода и сохранения в скомпрометированных системах.
DarkGate использует многоступенчатую полезную нагрузку и запутанные сценарии автоматического запуска, что затрудняет их обнаружение традиционными методами, основанными на сигнатурах.
Были выявлены кампании, использующие загрузчик для запуска DarkGate на скомпрометированных хостингах, часто использующие вредоносные PDF-файлы и CAB-файлы.
DarkGate использует несколько компонентов, включая wndbg.exe, модуль DLL и два файла .BIN, для выполнения полезной нагрузки вредоносного ПО.
DarkGate использует различные тактики и приемы, такие как кейлоггинг, удаленные подключения, сохранение с помощью ключей запуска реестра, кража информации из браузера, передача команд и контроля, повышение привилегий, боковое перемещение, установка вредоносного ПО CryptoMiner и манипулирование конфигурациями RDP.
Исследовательская группа Splunk Threat проанализировала соответствующие обнаружения и пометила их в аналитической статье DarkGate, чтобы помочь аналитикам безопасности выявлять действия DarkGate.
Раннее обнаружение имеет решающее значение для сдерживания и устранения последствий DarkGate, и поощряется сотрудничество и обмен информацией об угрозах между сообществами безопасности.
Постоянный мониторинг и обновленные защитные механизмы необходимы, чтобы идти в ногу с эволюционирующей тактикой DarkGate и обеспечивать надежную защиту.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что исследовательская группа Splunk Threat сосредоточена на понимании и анализе угроз кибербезопасности, таких как вредоносное ПО DarkGate, с целью улучшения предложений Splunk по обеспечению безопасности. Они предоставляют результаты исследований, которые могут быть использованы службами безопасности с целью стать отраслевым стандартом для обнаружения SIEM. DarkGate - это сложное вредоносное ПО, представляющее значительную угрозу из-за своих методов обхода и сохранения в скомпрометированных системах. Для защиты от DarkGate команда разработала и протестировала средства обнаружения Splunk и поощряет совместный обмен информацией об угрозах между сообществами безопасности. Раннее обнаружение и непрерывный мониторинг имеют решающее значение для эффективного смягчения последствий и защиты от DarkGate.
-----
Команда исследователей угроз Splunk фокусируется на понимании и анализе угроз, действующих лиц и уязвимостей для улучшения предложений Splunk по обеспечению безопасности.
DarkGate - это вредоносная программа, которая используется с 2008 года и представляет значительную угрозу из-за своих методов обхода и сохранения в скомпрометированных системах.
DarkGate использует многоступенчатую полезную нагрузку и запутанные сценарии автоматического запуска, что затрудняет их обнаружение традиционными методами, основанными на сигнатурах.
Были выявлены кампании, использующие загрузчик для запуска DarkGate на скомпрометированных хостингах, часто использующие вредоносные PDF-файлы и CAB-файлы.
DarkGate использует несколько компонентов, включая wndbg.exe, модуль DLL и два файла .BIN, для выполнения полезной нагрузки вредоносного ПО.
DarkGate использует различные тактики и приемы, такие как кейлоггинг, удаленные подключения, сохранение с помощью ключей запуска реестра, кража информации из браузера, передача команд и контроля, повышение привилегий, боковое перемещение, установка вредоносного ПО CryptoMiner и манипулирование конфигурациями RDP.
Исследовательская группа Splunk Threat проанализировала соответствующие обнаружения и пометила их в аналитической статье DarkGate, чтобы помочь аналитикам безопасности выявлять действия DarkGate.
Раннее обнаружение имеет решающее значение для сдерживания и устранения последствий DarkGate, и поощряется сотрудничество и обмен информацией об угрозах между сообществами безопасности.
Постоянный мониторинг и обновленные защитные механизмы необходимы, чтобы идти в ногу с эволюционирующей тактикой DarkGate и обеспечивать надежную защиту.
#ParsedReport #CompletenessLow
22-01-2024
Cracked software beats gold: new macOS backdoor stealing cryptowallets
https://securelist.com/new-macos-backdoor-crypto-stealer/111778
Report completeness: Low
Actors/Campaigns:
Sea_turtle
Threats:
Trojan-proxy
Omni
Applescript
Victims:
Macos ventura 13.6 and later users
ChatGPT TTPs:
T1071, T1204, T1190, T1071.001, T1008, T1068, T1220, T1550.004, T1082, T1539, have more...
IOCs:
Coin: 1
Domain: 4
Hash: 47
Soft:
macOS
Wallets:
exodus_wallet
Crypto:
bitcoin
Algorithms:
cbc, base64, aes, md5, zip
Functions:
check_exodus_and_hash, check_btccore_and_hash
Languages:
python, javascript
Platforms:
intel, apple
22-01-2024
Cracked software beats gold: new macOS backdoor stealing cryptowallets
https://securelist.com/new-macos-backdoor-crypto-stealer/111778
Report completeness: Low
Actors/Campaigns:
Sea_turtle
Threats:
Trojan-proxy
Omni
Applescript
Victims:
Macos ventura 13.6 and later users
ChatGPT TTPs:
do not use without manual checkT1071, T1204, T1190, T1071.001, T1008, T1068, T1220, T1550.004, T1082, T1539, have more...
IOCs:
Coin: 1
Domain: 4
Hash: 47
Soft:
macOS
Wallets:
exodus_wallet
Crypto:
bitcoin
Algorithms:
cbc, base64, aes, md5, zip
Functions:
check_exodus_and_hash, check_btccore_and_hash
Languages:
python, javascript
Platforms:
intel, apple
Securelist
A backdoor with a cryptowallet stealer inside cracked macOS software
We review a new macOS backdoor that piggybacks on cracked software to replace Bitcoin and Exodus wallets with malware.
CTT Report Hub
#ParsedReport #CompletenessLow 22-01-2024 Cracked software beats gold: new macOS backdoor stealing cryptowallets https://securelist.com/new-macos-backdoor-crypto-stealer/111778 Report completeness: Low Actors/Campaigns: Sea_turtle Threats: Trojan-proxy…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что аналитики по кибербезопасности обнаружили взломанные приложения, зараженные вредоносными программами, включая новое семейство вредоносных программ для macOS. Вредоносное ПО использовало различные методы, такие как скрытие скриптов Python в текстовых записях DNS и использование агентов запуска, для заражения и компрометации компьютеров пользователей. Вредоносная программа нацелилась на популярные криптовалютные кошельки, похитив конфиденциальную информацию и отправив ее на сервер управления. Кампания все еще продолжается и развивается.
-----
Взломанные приложения, зараженные троянским прокси, были обнаружены на пиратских сайтах.
Предварительно взломанные приложения были переупакованы в PKG-файлы со встроенным троянским прокси и постустановочным скриптом.
Было обнаружено новое семейство вредоносных программ для macOS, нацеленных на пользователей более новых версий операционной системы на процессорах Intel и компьютерах Apple silicon.
Вредоносная программа использовала программу под названием Activator и установщик Python, а также файл Mach-O с именем "tool".
Активатор использовал AuthorizationExecuteWithPrivileges для запроса пароля администратора и установки Python, если он не найден.
Вредоносная программа исправила загруженное приложение, чтобы оно выглядело так, как будто оно работает, но на самом деле оно было отключено.
Вредоносная программа обратилась к серверу управления (C2) за зашифрованным сценарием.
URL-адрес C2 был получен путем объединения слов из жестко закодированных списков и добавления случайной последовательности в качестве домена третьего уровня.
Вредоносная программа сделала запрос DNS, чтобы получить текстовую запись для домена, и собрала полное сообщение.
Основной целью вредоносного ПО было выполнение команд с помощью закодированных скриптов Python, полученных с сервера C2.
Вредоносная программа не получала никаких команд в ходе расследования, что указывает на продолжающуюся кампанию.
Вредоносная программа скомпрометировала кошельки Exodus и Bitcoin-Qt, похитив пользовательские данные и отправив их в C2.
Злоумышленники использовали взломанные приложения для получения привилегий пользователя во время установки.
Вредоносная программа использовала хитроумные методы, такие как сокрытие скриптов Python внутри доменных TXT-записей на DNS-серверах.
Вредоносная программа добавляла себя в startup agents для доставки обновлений и действовала как бэкдор с правами администратора.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что аналитики по кибербезопасности обнаружили взломанные приложения, зараженные вредоносными программами, включая новое семейство вредоносных программ для macOS. Вредоносное ПО использовало различные методы, такие как скрытие скриптов Python в текстовых записях DNS и использование агентов запуска, для заражения и компрометации компьютеров пользователей. Вредоносная программа нацелилась на популярные криптовалютные кошельки, похитив конфиденциальную информацию и отправив ее на сервер управления. Кампания все еще продолжается и развивается.
-----
Взломанные приложения, зараженные троянским прокси, были обнаружены на пиратских сайтах.
Предварительно взломанные приложения были переупакованы в PKG-файлы со встроенным троянским прокси и постустановочным скриптом.
Было обнаружено новое семейство вредоносных программ для macOS, нацеленных на пользователей более новых версий операционной системы на процессорах Intel и компьютерах Apple silicon.
Вредоносная программа использовала программу под названием Activator и установщик Python, а также файл Mach-O с именем "tool".
Активатор использовал AuthorizationExecuteWithPrivileges для запроса пароля администратора и установки Python, если он не найден.
Вредоносная программа исправила загруженное приложение, чтобы оно выглядело так, как будто оно работает, но на самом деле оно было отключено.
Вредоносная программа обратилась к серверу управления (C2) за зашифрованным сценарием.
URL-адрес C2 был получен путем объединения слов из жестко закодированных списков и добавления случайной последовательности в качестве домена третьего уровня.
Вредоносная программа сделала запрос DNS, чтобы получить текстовую запись для домена, и собрала полное сообщение.
Основной целью вредоносного ПО было выполнение команд с помощью закодированных скриптов Python, полученных с сервера C2.
Вредоносная программа не получала никаких команд в ходе расследования, что указывает на продолжающуюся кампанию.
Вредоносная программа скомпрометировала кошельки Exodus и Bitcoin-Qt, похитив пользовательские данные и отправив их в C2.
Злоумышленники использовали взломанные приложения для получения привилегий пользователя во время установки.
Вредоносная программа использовала хитроумные методы, такие как сокрытие скриптов Python внутри доменных TXT-записей на DNS-серверах.
Вредоносная программа добавляла себя в startup agents для доставки обновлений и действовала как бэкдор с правами администратора.
#ParsedReport #CompletenessMedium
22-01-2024
Pakistan-based Threat Actor Targets Indians with Fake Loan Android Application
https://www.cyfirma.com/outofband/pakistan-based-threat-actor-targets-indians-with-fake-loan-android-application
Report completeness: Medium
Threats:
Screengrab
Victims:
Individuals in desperate need of quick loans
Industry:
Financial, Government
Geo:
Pakistan, India, Indian
TTPs:
Tactics: 3
Technics: 2
IOCs:
Domain: 2
Hash: 2
Soft:
Android, Instagram
Algorithms:
sha256
22-01-2024
Pakistan-based Threat Actor Targets Indians with Fake Loan Android Application
https://www.cyfirma.com/outofband/pakistan-based-threat-actor-targets-indians-with-fake-loan-android-application
Report completeness: Medium
Threats:
Screengrab
Victims:
Individuals in desperate need of quick loans
Industry:
Financial, Government
Geo:
Pakistan, India, Indian
TTPs:
Tactics: 3
Technics: 2
IOCs:
Domain: 2
Hash: 2
Soft:
Android, Instagram
Algorithms:
sha256
CYFIRMA
Pakistan-based Threat Actor Targets Indians with Fake Loan Android Application - CYFIRMA
EXECUTIVE SUMMARY The team at CYFIRMA recently identified a pattern where unknown threat actors utilize Android malware to target individuals...
CTT Report Hub
#ParsedReport #CompletenessMedium 22-01-2024 Pakistan-based Threat Actor Targets Indians with Fake Loan Android Application https://www.cyfirma.com/outofband/pakistan-based-threat-actor-targets-indians-with-fake-loan-android-application Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что неизвестный исполнитель угроз использует вредоносные приложения для Android, замаскированные под кредитные приложения, для нацеливания на людей, которым срочно нужны деньги. Эти исполнители угроз заманивают жертв обещаниями быстрых займов и минимальных формальностей, но как только приложение установлено, они получают доступ к личным данным жертвы. Компания CYFIRMA, занимающаяся кибербезопасностью, расследовала это дело и обнаружила, что приложение минимизировало разрешения, чтобы избежать обнаружения, и использовало методы социальной инженерии для сбора дополнительной информации. Рост вымогательства с помощью вредоносных кредитных приложений представляет серьезную проблему, особенно для уязвимых лиц, отчаянно нуждающихся в финансовой поддержке.
-----
Компания CYFIRMA, занимающаяся кибербезопасностью, недавно обнаружила закономерность, при которой неизвестные злоумышленники используют вредоносное ПО для Android для нацеливания на людей, которые срочно нуждаются в деньгах. Эти финансово мотивированные злоумышленники заманивают жертв обещаниями быстрых займов и минимальными формальностями. Как только жертва устанавливает поддельное кредитное приложение, ей предлагается предоставить разрешения и предоставить свои личные данные, включая селфи, для целей "Знай своего клиента" (KYC). Затем приложение предоставляет жертве список сумм кредита и, выбрав одну из них, запрашивает небольшую комиссию, которую необходимо внести для получения кредита. На данный момент исполнители угроз имеют доступ к основным данным жертвы, государственному удостоверению личности, селфи, а также к данным из их списка контактов и текстовым сообщениям.
В ходе своего расследования CYFIRMA проанализировала вредоносный пакет Android, используемый в схеме вымогательства. Они обнаружили, что приложение использовало минимальные разрешения, чтобы избежать обнаружения антивирусным программным обеспечением и платформами онлайн-сканирования. Ограничив свое исследование страницей регистрации, CYFIRMA избежала раскрытия своей собственной информации. Они также обнаружили доказательства использования социальной инженерии злоумышленниками для сбора дополнительной информации. Это привело к обнаружению неизвестной компании в Пакистане, которая нанимала людей на определенные должности, предоставляя им ресурсы для распространения вредоносных пакетов Android. Затем эти лица вымогали деньги у скомпрометированных жертв. Также были обнаружены связи между субъектом угрозы и частными лицами в Индии, что потенциально объясняет, почему субъект угрозы использовал Единый платежный интерфейс (UPI), способ оплаты, обычно используемый гражданами Индии.
Рост вымогательства с помощью вредоносных кредитных приложений представляет серьезную проблему, особенно для физических лиц, которые могут быть не знакомы с новейшими тактиками, используемыми злоумышленниками. Уязвимые люди, особенно те, кто отчаянно нуждается в финансовой поддержке, часто становятся жертвами подобных видов мошенничества.
Расследование CYFIRMA показало, что исполнитель угрозы намеренно минимизировал разрешения приложений, чтобы обойти антивирусные программы. Они использовали список контактов жертвы и ее селфи-изображение для отправки сообщений с угрозами вымогательства. Это демонстрирует опыт злоумышленника в использовании методов социальной инженерии для организации своей кампании, вместо того чтобы полагаться исключительно на более обнаруживаемое и опасное вредоносное приложение для Android.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что неизвестный исполнитель угроз использует вредоносные приложения для Android, замаскированные под кредитные приложения, для нацеливания на людей, которым срочно нужны деньги. Эти исполнители угроз заманивают жертв обещаниями быстрых займов и минимальных формальностей, но как только приложение установлено, они получают доступ к личным данным жертвы. Компания CYFIRMA, занимающаяся кибербезопасностью, расследовала это дело и обнаружила, что приложение минимизировало разрешения, чтобы избежать обнаружения, и использовало методы социальной инженерии для сбора дополнительной информации. Рост вымогательства с помощью вредоносных кредитных приложений представляет серьезную проблему, особенно для уязвимых лиц, отчаянно нуждающихся в финансовой поддержке.
-----
Компания CYFIRMA, занимающаяся кибербезопасностью, недавно обнаружила закономерность, при которой неизвестные злоумышленники используют вредоносное ПО для Android для нацеливания на людей, которые срочно нуждаются в деньгах. Эти финансово мотивированные злоумышленники заманивают жертв обещаниями быстрых займов и минимальными формальностями. Как только жертва устанавливает поддельное кредитное приложение, ей предлагается предоставить разрешения и предоставить свои личные данные, включая селфи, для целей "Знай своего клиента" (KYC). Затем приложение предоставляет жертве список сумм кредита и, выбрав одну из них, запрашивает небольшую комиссию, которую необходимо внести для получения кредита. На данный момент исполнители угроз имеют доступ к основным данным жертвы, государственному удостоверению личности, селфи, а также к данным из их списка контактов и текстовым сообщениям.
В ходе своего расследования CYFIRMA проанализировала вредоносный пакет Android, используемый в схеме вымогательства. Они обнаружили, что приложение использовало минимальные разрешения, чтобы избежать обнаружения антивирусным программным обеспечением и платформами онлайн-сканирования. Ограничив свое исследование страницей регистрации, CYFIRMA избежала раскрытия своей собственной информации. Они также обнаружили доказательства использования социальной инженерии злоумышленниками для сбора дополнительной информации. Это привело к обнаружению неизвестной компании в Пакистане, которая нанимала людей на определенные должности, предоставляя им ресурсы для распространения вредоносных пакетов Android. Затем эти лица вымогали деньги у скомпрометированных жертв. Также были обнаружены связи между субъектом угрозы и частными лицами в Индии, что потенциально объясняет, почему субъект угрозы использовал Единый платежный интерфейс (UPI), способ оплаты, обычно используемый гражданами Индии.
Рост вымогательства с помощью вредоносных кредитных приложений представляет серьезную проблему, особенно для физических лиц, которые могут быть не знакомы с новейшими тактиками, используемыми злоумышленниками. Уязвимые люди, особенно те, кто отчаянно нуждается в финансовой поддержке, часто становятся жертвами подобных видов мошенничества.
Расследование CYFIRMA показало, что исполнитель угрозы намеренно минимизировал разрешения приложений, чтобы обойти антивирусные программы. Они использовали список контактов жертвы и ее селфи-изображение для отправки сообщений с угрозами вымогательства. Это демонстрирует опыт злоумышленника в использовании методов социальной инженерии для организации своей кампании, вместо того чтобы полагаться исключительно на более обнаруживаемое и опасное вредоносное приложение для Android.
#ParsedReport #CompletenessMedium
22-01-2024
Keyhole Analysis. Technical Overview
https://medium.com/walmartglobaltech/keyhole-analysis-60302922aa03
Report completeness: Medium
Threats:
Keyhole_tool
Icedid
Anubis
Industry:
Financial
ChatGPT TTPs:
T1082, T1076, T1059, T1112, T1123, T1125, T1135, T1041, T1005, T1179, have more...
IOCs:
File: 14
Hash: 3
IP: 1
Path: 3
Command: 1
Soft:
Chrome, Internet Explorer
Algorithms:
xor
Win API:
NtCreateUserProcess
Languages:
python, powershell
22-01-2024
Keyhole Analysis. Technical Overview
https://medium.com/walmartglobaltech/keyhole-analysis-60302922aa03
Report completeness: Medium
Threats:
Keyhole_tool
Icedid
Anubis
Industry:
Financial
ChatGPT TTPs:
do not use without manual checkT1082, T1076, T1059, T1112, T1123, T1125, T1135, T1041, T1005, T1179, have more...
IOCs:
File: 14
Hash: 3
IP: 1
Path: 3
Command: 1
Soft:
Chrome, Internet Explorer
Algorithms:
xor
Win API:
NtCreateUserProcess
Languages:
python, powershell
Medium
Keyhole Analysis
By: Joshua Platt, Jonathan McCay and Jason Reaves
CTT Report Hub
#ParsedReport #CompletenessMedium 22-01-2024 Keyhole Analysis. Technical Overview https://medium.com/walmartglobaltech/keyhole-analysis-60302922aa03 Report completeness: Medium Threats: Keyhole_tool Icedid Anubis Industry: Financial ChatGPT TTPs: do…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Keyhole - это универсальный компонент, который активно используется вредоносной программой IcedID/Anubis. Он обладает широким спектром возможностей, включая сбор системной информации, операции VNC, манипулирование браузером, поиск файлов и перечисление сетей. Компонент загрузки Keyhole может обрабатывать как PE-файлы, так и версии шеллкода, с алгоритмом декодирования, соответствующим образцу 2017 года. Связь с сервером управления (C2) включает обмен необходимой информацией, и вредоносное ПО может быть активировано с помощью команд powershell или cmd. Однако имеется ограниченная техническая информация о его расширенной функциональности.
-----
Keyhole - это универсальный компонент, активно используемый вредоносной программой IcedID/Anubis, известной своими возможностями VNC/Backconnect. Хотя о некоторых ее функциях сообщалось ранее, имеется ограниченная техническая информация о ее расширенной функциональности.
Основной компонент Keyhole обладает функциональными возможностями, сравнимыми с функциями самого IcedID. Он обладает способностью собирать системную информацию, выполнять операции VNC (виртуальные сетевые вычисления), манипулировать HDESK (обращаться к рабочему столу), устанавливать соединения Socks/Backconnect, выполнять консольные команды с помощью cmd.exe или powershell, вводить explorer.exe , выполнять запросы LDAP, извлекать файлы из зараженных систем, перехватывать профили браузера, удалять профили браузера , манипулировать запущенными браузерами с помощью манипуляций командной строки, проверять наличие веб-камеры, делать снимки с помощью веб-камер, разрешать использование микрофона для приложений через настройки реестра и перечислять серверы и сетевые ресурсы.
Компонент загрузки Keyhole может обрабатывать как PE-файлы, так и версии шеллкода. Его основная функция заключается в декодировании и загрузке основного модуля. Основной модуль Keyhole содержит закодированные строки, а используемый алгоритм декодирования соответствует образцу, наблюдавшемуся в июне 2017 года. После декодирования результирующий двоичный объект служит конфигурацией для основного компонента Keyhole.
Связь с сервером командования и контроля (C2) включает в себя обмен такой информацией, как адрес C2, маркер трафика C2 и номер порта 8080.
Вредоносная программа извлекает основную информацию о зараженной системе, вероятно, для целей профилирования. Она также манипулирует браузерами и использует перехватчики, такие как NtCreateUserProcess, для запуска новых процессов браузера и взаимодействия с ними. Кроме того, Keyhole может внедряться во вновь запущенные процессы explorer.
Чтобы инициировать вредоносные действия, Keyhole можно детонировать с помощью команд powershell или cmd.
Таким образом, Keyhole - это многофункциональный компонент, используемый совместно с вредоносным ПО IcedID/Anubis. Он обладает широким спектром возможностей, включая сбор системной информации, операции VNC, манипулирование браузером, поиск файлов и перечисление сетей. Его компонент загрузки обрабатывает как PE-файлы, так и версии шеллкода с алгоритмом декодирования, который соответствует образцу 2017 года. Связь C2 предполагает существенный обмен информацией, и вредоносное ПО может быть активировано с помощью команд powershell или cmd.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Keyhole - это универсальный компонент, который активно используется вредоносной программой IcedID/Anubis. Он обладает широким спектром возможностей, включая сбор системной информации, операции VNC, манипулирование браузером, поиск файлов и перечисление сетей. Компонент загрузки Keyhole может обрабатывать как PE-файлы, так и версии шеллкода, с алгоритмом декодирования, соответствующим образцу 2017 года. Связь с сервером управления (C2) включает обмен необходимой информацией, и вредоносное ПО может быть активировано с помощью команд powershell или cmd. Однако имеется ограниченная техническая информация о его расширенной функциональности.
-----
Keyhole - это универсальный компонент, активно используемый вредоносной программой IcedID/Anubis, известной своими возможностями VNC/Backconnect. Хотя о некоторых ее функциях сообщалось ранее, имеется ограниченная техническая информация о ее расширенной функциональности.
Основной компонент Keyhole обладает функциональными возможностями, сравнимыми с функциями самого IcedID. Он обладает способностью собирать системную информацию, выполнять операции VNC (виртуальные сетевые вычисления), манипулировать HDESK (обращаться к рабочему столу), устанавливать соединения Socks/Backconnect, выполнять консольные команды с помощью cmd.exe или powershell, вводить explorer.exe , выполнять запросы LDAP, извлекать файлы из зараженных систем, перехватывать профили браузера, удалять профили браузера , манипулировать запущенными браузерами с помощью манипуляций командной строки, проверять наличие веб-камеры, делать снимки с помощью веб-камер, разрешать использование микрофона для приложений через настройки реестра и перечислять серверы и сетевые ресурсы.
Компонент загрузки Keyhole может обрабатывать как PE-файлы, так и версии шеллкода. Его основная функция заключается в декодировании и загрузке основного модуля. Основной модуль Keyhole содержит закодированные строки, а используемый алгоритм декодирования соответствует образцу, наблюдавшемуся в июне 2017 года. После декодирования результирующий двоичный объект служит конфигурацией для основного компонента Keyhole.
Связь с сервером командования и контроля (C2) включает в себя обмен такой информацией, как адрес C2, маркер трафика C2 и номер порта 8080.
Вредоносная программа извлекает основную информацию о зараженной системе, вероятно, для целей профилирования. Она также манипулирует браузерами и использует перехватчики, такие как NtCreateUserProcess, для запуска новых процессов браузера и взаимодействия с ними. Кроме того, Keyhole может внедряться во вновь запущенные процессы explorer.
Чтобы инициировать вредоносные действия, Keyhole можно детонировать с помощью команд powershell или cmd.
Таким образом, Keyhole - это многофункциональный компонент, используемый совместно с вредоносным ПО IcedID/Anubis. Он обладает широким спектром возможностей, включая сбор системной информации, операции VNC, манипулирование браузером, поиск файлов и перечисление сетей. Его компонент загрузки обрабатывает как PE-файлы, так и версии шеллкода с алгоритмом декодирования, который соответствует образцу 2017 года. Связь C2 предполагает существенный обмен информацией, и вредоносное ПО может быть активировано с помощью команд powershell или cmd.
#ParsedReport #CompletenessLow
22-01-2024
Parrot TDS: A Persistent and Evolving Malware Campaign
https://unit42.paloaltonetworks.com/parrot-tds-javascript-evolution-analysis
Report completeness: Low
Threats:
Parrot_tds
Wildfire
Victims:
Multiple global websites across various industries, A compromised website based in brazil
Geo:
Brazilian, Brazil
ChatGPT TTPs:
T1189, T1064, T1027, T1505, T1204, T1195
IOCs:
File: 1
Hash: 200
Soft:
WordPress, Joomla
Algorithms:
sha256
Win API:
Pie
Languages:
javascript
22-01-2024
Parrot TDS: A Persistent and Evolving Malware Campaign
https://unit42.paloaltonetworks.com/parrot-tds-javascript-evolution-analysis
Report completeness: Low
Threats:
Parrot_tds
Wildfire
Victims:
Multiple global websites across various industries, A compromised website based in brazil
Geo:
Brazilian, Brazil
ChatGPT TTPs:
do not use without manual checkT1189, T1064, T1027, T1505, T1204, T1195
IOCs:
File: 1
Hash: 200
Soft:
WordPress, Joomla
Algorithms:
sha256
Win API:
Pie
Languages:
javascript
Unit 42
Parrot TDS: A Persistent and Evolving Malware Campaign
Traffic detection system Parrot has infected tens of thousands of websites worldwide. We outline the scripting evolution of this injection campaign and its scope.
CTT Report Hub
#ParsedReport #CompletenessLow 22-01-2024 Parrot TDS: A Persistent and Evolving Malware Campaign https://unit42.paloaltonetworks.com/parrot-tds-javascript-evolution-analysis Report completeness: Low Threats: Parrot_tds Wildfire Victims: Multiple global…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Parrot TDS - это система направления трафика, которая внедряет вредоносные скрипты в существующий код JavaScript на серверах. Внедренный скрипт включает в себя целевой скрипт, который профилирует жертв, и сценарий полезной нагрузки, который направляет их браузеры на вредоносный контент. Идентификаторы Parrot TDS можно идентифицировать по определенным ключевым словам, найденным во встроенном JavaScript. Кампания проводится с 2019 года и со временем эволюционировала. Цепочка атак следует последовательной схеме, при которой скомпрометированные веб-серверы вводят сценарии посадки с ключевыми словами, и если условия выполняются, браузер жертвы запрашивает сервер полезной нагрузки, который возвращает полезную нагрузку JavaScript. Анализ показывает, что существует четыре основных версии сценария посадки и девять версий сценария полезной нагрузки. Кампания нацелена на жертв по всему миру и компрометирует веб-сайты с использованием различных систем управления контентом. Администраторы веб-сайтов могут проверить, были ли их сайты скомпрометированы, выполнив поиск по соответствующим ключевым словам и проведя аудит контента.
-----
Parrot TDS - это система направления трафика, которая активна с октября 2021 года. Она включает внедрение вредоносных скриптов в существующий код JavaScript, размещенный на серверах. Внедренный скрипт состоит из целевого скрипта, который профилирует жертву, и сценария полезной нагрузки, который может перенаправлять браузер жертвы на вредоносный контент. Parrot TDS легко идентифицировать по ключевым словам, найденным во встроенном JavaScript. Кампания проводится как минимум с 2019 года и со временем эволюционировала.
Цепочка атак Parrot TDS следует последовательной схеме. Скомпрометированный веб-сервер внедряет в существующие файлы JavaScript фрагмент целевого кода JavaScript, который содержит ключевые слова, такие как "ndsw" или "ndsj". При выполнении определенных условий браузер жертвы запрашивает сервер полезной нагрузки, который возвращает полезную нагрузку JavaScript, содержащую ключевые слова, такие как "ndsx". Затем скрипт полезной нагрузки может перенаправлять браузер жертвы на вредоносные веб-страницы или вредоносный контент.
Анализ более 10 000 сценариев лендинга Parrot TDS показывает, что четыре версии представляют большую часть собранных данных. В этих версиях используются ключевые слова, такие как "ndsw" или "ndsj", причем в последнем используется больше методов запутывания. Более поздние версии сценария посадки имеют ту же функциональность, что и более ранние версии, но могут иметь незначительные различия в методах запутывания и индексах массивов. С августа 2022 года увеличилось количество сценариев посадки с несколькими строками внедренного кода.
Сценарии полезной нагрузки Parrot TDS, идентифицируемые ключевым словом "ndsx", выпускаются в девяти версиях. Наиболее распространенная версия, V2, является вредоносной, в то время как версия 1 - нет. Различные версии скрипта полезной нагрузки включают запутывание и нацелены на конкретные операционные системы или подключают интерактивные ссылки на целевых страницах.
Кампания Parrot TDS нацелена на жертв по всему миру и компрометирует веб-сайты, использующие различные системы управления контентом, такие как WordPress или Joomla. Администраторы веб-сайтов могут определить, были ли их сайты скомпрометированы, выполнив поиск по соответствующим ключевым словам в содержимом сервера и проведя аудит, чтобы найти любые дополнительные файлы .php.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Parrot TDS - это система направления трафика, которая внедряет вредоносные скрипты в существующий код JavaScript на серверах. Внедренный скрипт включает в себя целевой скрипт, который профилирует жертв, и сценарий полезной нагрузки, который направляет их браузеры на вредоносный контент. Идентификаторы Parrot TDS можно идентифицировать по определенным ключевым словам, найденным во встроенном JavaScript. Кампания проводится с 2019 года и со временем эволюционировала. Цепочка атак следует последовательной схеме, при которой скомпрометированные веб-серверы вводят сценарии посадки с ключевыми словами, и если условия выполняются, браузер жертвы запрашивает сервер полезной нагрузки, который возвращает полезную нагрузку JavaScript. Анализ показывает, что существует четыре основных версии сценария посадки и девять версий сценария полезной нагрузки. Кампания нацелена на жертв по всему миру и компрометирует веб-сайты с использованием различных систем управления контентом. Администраторы веб-сайтов могут проверить, были ли их сайты скомпрометированы, выполнив поиск по соответствующим ключевым словам и проведя аудит контента.
-----
Parrot TDS - это система направления трафика, которая активна с октября 2021 года. Она включает внедрение вредоносных скриптов в существующий код JavaScript, размещенный на серверах. Внедренный скрипт состоит из целевого скрипта, который профилирует жертву, и сценария полезной нагрузки, который может перенаправлять браузер жертвы на вредоносный контент. Parrot TDS легко идентифицировать по ключевым словам, найденным во встроенном JavaScript. Кампания проводится как минимум с 2019 года и со временем эволюционировала.
Цепочка атак Parrot TDS следует последовательной схеме. Скомпрометированный веб-сервер внедряет в существующие файлы JavaScript фрагмент целевого кода JavaScript, который содержит ключевые слова, такие как "ndsw" или "ndsj". При выполнении определенных условий браузер жертвы запрашивает сервер полезной нагрузки, который возвращает полезную нагрузку JavaScript, содержащую ключевые слова, такие как "ndsx". Затем скрипт полезной нагрузки может перенаправлять браузер жертвы на вредоносные веб-страницы или вредоносный контент.
Анализ более 10 000 сценариев лендинга Parrot TDS показывает, что четыре версии представляют большую часть собранных данных. В этих версиях используются ключевые слова, такие как "ndsw" или "ndsj", причем в последнем используется больше методов запутывания. Более поздние версии сценария посадки имеют ту же функциональность, что и более ранние версии, но могут иметь незначительные различия в методах запутывания и индексах массивов. С августа 2022 года увеличилось количество сценариев посадки с несколькими строками внедренного кода.
Сценарии полезной нагрузки Parrot TDS, идентифицируемые ключевым словом "ndsx", выпускаются в девяти версиях. Наиболее распространенная версия, V2, является вредоносной, в то время как версия 1 - нет. Различные версии скрипта полезной нагрузки включают запутывание и нацелены на конкретные операционные системы или подключают интерактивные ссылки на целевых страницах.
Кампания Parrot TDS нацелена на жертв по всему миру и компрометирует веб-сайты, использующие различные системы управления контентом, такие как WordPress или Joomla. Администраторы веб-сайтов могут определить, были ли их сайты скомпрометированы, выполнив поиск по соответствующим ключевым словам в содержимом сервера и проведя аудит, чтобы найти любые дополнительные файлы .php.
#ParsedReport #CompletenessLow
22-01-2024
Dark Web Profile: WereWolves Ransomware
https://socradar.io/dark-web-profile-werewolves-ransomware
Report completeness: Low
Threats:
Lockbit
Industry:
Financial
Geo:
German, Russian
22-01-2024
Dark Web Profile: WereWolves Ransomware
https://socradar.io/dark-web-profile-werewolves-ransomware
Report completeness: Low
Threats:
Lockbit
Industry:
Financial
Geo:
German, Russian
SOCRadar® Cyber Intelligence Inc.
Dark Web Profile: WereWolves Ransomware
Emerging as a new group in the cybercrime landscape, this Russian-speaking group, WereWolves Ransomware, has gained notoriety recently for...
CTT Report Hub
#ParsedReport #CompletenessLow 22-01-2024 Dark Web Profile: WereWolves Ransomware https://socradar.io/dark-web-profile-werewolves-ransomware Report completeness: Low Threats: Lockbit Industry: Financial Geo: German, Russian
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что русскоязычная киберпреступная организация WereWolves Ransomware group стала серьезной угрозой в сфере киберпреступности. Они используют программу-вымогатель LockBit3, применяют тактику двойного вымогательства, нацелены на широкий спектр отраслей и сосредоточены на средних и малых предприятиях и организациях. Их присутствие в Интернете, включая веб-сайт пропаганды и подбора персонала, вызывает вопросы об их деятельности и потенциальных связях с LockBit group. Выбор отраслей предполагает мотивацию, выходящую за рамки финансовой выгоды, и потенциальную возможность значительных операционных и финансовых проблем. Существуют сомнения в подлинности их атак, и необходимы постоянная бдительность и мониторинг, чтобы понять их операции и намерения. Организациям необходимо поддерживать бдительную и адаптивную киберзащиту для смягчения угрозы.
-----
Группа вымогателей WereWolves, русскоязычная киберпреступная организация, появилась недавно и привлекла к себе внимание своим быстрым ростом в сфере киберпреступности. Они используют разновидность программы-вымогателя LockBit3 и применяют тактику двойного вымогательства, шифруя данные и угрожая обнародовать их, если выкуп не будет выплачен. Они нацелились на широкий спектр отраслей и предприятий по всему миру, сосредоточившись в основном на средних и малых предприятиях и организациях.
По состоянию на 9 января 2024 года программа-вымогатель WereWolves нацелилась на 23 жертвы. Их присутствие в Сети примечательно: веб-сайт используется для пропаганды, распространения информации и вербовки. Интересно, что один из их веб-сайтов имеет немецкое название, что поднимает оставшиеся без ответа вопросы об их деятельности и потенциальных связях с LockBit group, поскольку на них перечислены одни и те же жертвы.
Хотя их цели кажутся случайными, выбор отраслей предполагает, что они нацелены на сектора, которые легко атаковать, но которые оказывают сильное воздействие, потенциально вызывая значительные операционные и финансовые проблемы. Это указывает на мотивацию, выходящую за рамки финансовой выгоды, с потенциалом разрушительных последствий в большем масштабе. В отличие от традиционных российских групп вымогателей, они нацелены не только на Россию и бывшие советские страны, но и на страны, близкие к Советскому Союзу.
Существуют сомнения в подлинности атак WereWolves, поскольку проверка или опровержение их деятельности имеет решающее значение для понимания истинной угрозы, которую они представляют. Одновременное проведение шести атак наряду с деятельностью LockBit повышает вероятность связи между этими двумя киберпреступными группами. Постоянная бдительность и мониторинг необходимы для полного понимания операций и намерений оборотней.
Учитывая, что WereWolves - относительно молодая группа, использование ими опасного варианта LockBit Black подчеркивает важность поддержания бдительной и адаптивной киберзащиты для смягчения таких угроз. Даже незначительные инциденты могут привести к дальнейшим кибератакам, что делает крайне важным для организаций оставаться активными в защите своих систем и данных.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что русскоязычная киберпреступная организация WereWolves Ransomware group стала серьезной угрозой в сфере киберпреступности. Они используют программу-вымогатель LockBit3, применяют тактику двойного вымогательства, нацелены на широкий спектр отраслей и сосредоточены на средних и малых предприятиях и организациях. Их присутствие в Интернете, включая веб-сайт пропаганды и подбора персонала, вызывает вопросы об их деятельности и потенциальных связях с LockBit group. Выбор отраслей предполагает мотивацию, выходящую за рамки финансовой выгоды, и потенциальную возможность значительных операционных и финансовых проблем. Существуют сомнения в подлинности их атак, и необходимы постоянная бдительность и мониторинг, чтобы понять их операции и намерения. Организациям необходимо поддерживать бдительную и адаптивную киберзащиту для смягчения угрозы.
-----
Группа вымогателей WereWolves, русскоязычная киберпреступная организация, появилась недавно и привлекла к себе внимание своим быстрым ростом в сфере киберпреступности. Они используют разновидность программы-вымогателя LockBit3 и применяют тактику двойного вымогательства, шифруя данные и угрожая обнародовать их, если выкуп не будет выплачен. Они нацелились на широкий спектр отраслей и предприятий по всему миру, сосредоточившись в основном на средних и малых предприятиях и организациях.
По состоянию на 9 января 2024 года программа-вымогатель WereWolves нацелилась на 23 жертвы. Их присутствие в Сети примечательно: веб-сайт используется для пропаганды, распространения информации и вербовки. Интересно, что один из их веб-сайтов имеет немецкое название, что поднимает оставшиеся без ответа вопросы об их деятельности и потенциальных связях с LockBit group, поскольку на них перечислены одни и те же жертвы.
Хотя их цели кажутся случайными, выбор отраслей предполагает, что они нацелены на сектора, которые легко атаковать, но которые оказывают сильное воздействие, потенциально вызывая значительные операционные и финансовые проблемы. Это указывает на мотивацию, выходящую за рамки финансовой выгоды, с потенциалом разрушительных последствий в большем масштабе. В отличие от традиционных российских групп вымогателей, они нацелены не только на Россию и бывшие советские страны, но и на страны, близкие к Советскому Союзу.
Существуют сомнения в подлинности атак WereWolves, поскольку проверка или опровержение их деятельности имеет решающее значение для понимания истинной угрозы, которую они представляют. Одновременное проведение шести атак наряду с деятельностью LockBit повышает вероятность связи между этими двумя киберпреступными группами. Постоянная бдительность и мониторинг необходимы для полного понимания операций и намерений оборотней.
Учитывая, что WereWolves - относительно молодая группа, использование ими опасного варианта LockBit Black подчеркивает важность поддержания бдительной и адаптивной киберзащиты для смягчения таких угроз. Даже незначительные инциденты могут привести к дальнейшим кибератакам, что делает крайне важным для организаций оставаться активными в защите своих систем и данных.