#ParsedReport #CompletenessLow
25-01-2024
Cisco Talos Blog. Why is the cost of cyber insurance rising?
https://blog.talosintelligence.com/threat-source-newsletter-jan-25-2024
Report completeness: Low
Threats:
Ars_loader
Cactus
Blacksuit
Noescape
Netsupportmanager_rat
Scar
Industry:
Education, Energy, Media, Petroleum, Government
CVEs:
CVE-2023-42916 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: 6.5
X-Force: Patch: Official fix
Soft:
- apple safari (<17.1.2)
- apple ipados (<17.1.2)
- apple iphone os (<17.1.2)
- apple macos (<14.1.2)
CVE-2024-23222 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: True
X-Force: Risk: 8.8
X-Force: Patch: Official fix
CVE-2023-42917 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: 8.8
X-Force: Patch: Official fix
Soft:
- apple safari (<17.1.2)
- apple ipados (<17.1.2)
- apple iphone os (<17.1.2)
- apple macos (<14.1.2)
ChatGPT TTPs:
T1078, T1486, T1485, T1105, T1110, T1539
IOCs:
Hash: 10
File: 5
Soft:
Roblox, macOS
Algorithms:
md5
Platforms:
apple
25-01-2024
Cisco Talos Blog. Why is the cost of cyber insurance rising?
https://blog.talosintelligence.com/threat-source-newsletter-jan-25-2024
Report completeness: Low
Threats:
Ars_loader
Cactus
Blacksuit
Noescape
Netsupportmanager_rat
Scar
Industry:
Education, Energy, Media, Petroleum, Government
CVEs:
CVE-2023-42916 [Vulners]
CVSS V3.1: 6.5,
Vulners: Exploitation: True
X-Force: Risk: 6.5
X-Force: Patch: Official fix
Soft:
- apple safari (<17.1.2)
- apple ipados (<17.1.2)
- apple iphone os (<17.1.2)
- apple macos (<14.1.2)
CVE-2024-23222 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: True
X-Force: Risk: 8.8
X-Force: Patch: Official fix
CVE-2023-42917 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: 8.8
X-Force: Patch: Official fix
Soft:
- apple safari (<17.1.2)
- apple ipados (<17.1.2)
- apple iphone os (<17.1.2)
- apple macos (<14.1.2)
ChatGPT TTPs:
do not use without manual checkT1078, T1486, T1485, T1105, T1110, T1539
IOCs:
Hash: 10
File: 5
Soft:
Roblox, macOS
Algorithms:
md5
Platforms:
apple
Cisco Talos Blog
Why is the cost of cyber insurance rising?
Cyber insurance premiums are expected to rise this year after leveling out in 2023.
CTT Report Hub
#ParsedReport #CompletenessLow 25-01-2024 Cisco Talos Blog. Why is the cost of cyber insurance rising? https://blog.talosintelligence.com/threat-source-newsletter-jan-25-2024 Report completeness: Low Threats: Ars_loader Cactus Blacksuit Noescape Netsu…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что растущая активность атак программ-вымогателей способствует росту стоимости автострахования и сказывается на бюджетах компаний. В тексте также освещаются другие проблемы кибербезопасности, такие как утечка учетных данных для входа в систему, обмен данными на Facebook, уязвимости в программном обеспечении Apple и рост числа новых операций с программами-вымогателями.
-----
Рост стоимости автострахования обусловлен не только рыночным спросом, инфляцией и растущими издержками бизнеса, но и растущей активностью атак программ-вымогателей. Согласно опросу, проведенному Databarracks, 24 процента простоев ИТ-служб были вызваны киберинцидентами, что на 14 процентов больше, чем в предыдущем году. Кроме того, 37 процентов компаний сообщили, что в 2023 году подверглись атакам программ-вымогателей, и более половины компаний столкнулись с той или иной формой инцидента с безопасностью. Атаки с использованием программ-вымогателей были самой распространенной угрозой в четвертом квартале 2023 года, на их долю пришлось 28 процентов случаев.
Растущая распространенность атак программ-вымогателей может привести к удорожанию полисов киберстрахования, что скажется на бюджетах компаний любого размера. Кроме того, на онлайн-форуме был обнаружен дамп паролей, содержащий более 25 миллионов учетных данных для входа. Эти учетные данные, полученные с помощью вредоносной программы, крадущей информацию, включают имена пользователей и пароли для различных веб-сайтов, таких как Roblox, Yahoo, Facebook и eBay. Данные, вероятно, циркулировали на онлайн-форумах в течение нескольких месяцев.
Исследование показало, что пользователи Facebook могут неосознанно делиться личными данными с тысячами компаний. Этот обмен данными происходит посредством отслеживания от сервера к серверу, которое сложнее обнаружить, чем традиционные методы отслеживания. Брокеры данных часто были связаны с учетными записями участников исследования. Consumer Reports рекомендовала улучшить защиту данных Facebook, включая прозрачность, варианты отказа и законы о минимизации данных.
Apple выпустила обновления для системы безопасности, устраняющие три уязвимости, включая ту, которая уже использовалась в iOS. Эти уязвимости, особенно в браузерном движке WebKit, могут позволить удаленное выполнение кода на целевых устройствах. Одна из уязвимостей была добавлена в список известных эксплуатируемых уязвимостей Агентства США по кибербезопасности и инфраструктурной безопасности.
Что касается операций с программами-вымогателями, Cisco Talos Incident Response (Talos IR) отметила рост числа новых операций с программами-вымогателями в четвертом квартале 2023 года, таких как Play, Cactus, BlackSuit и NoEscape. Это ознаменовало первое увеличение числа атак программ-вымогателей во время IR-атак в 2023 году. Образование и производство были наиболее уязвимыми секторами, на долю которых приходилось почти 50 процентов мероприятий по реагированию на инциденты.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что растущая активность атак программ-вымогателей способствует росту стоимости автострахования и сказывается на бюджетах компаний. В тексте также освещаются другие проблемы кибербезопасности, такие как утечка учетных данных для входа в систему, обмен данными на Facebook, уязвимости в программном обеспечении Apple и рост числа новых операций с программами-вымогателями.
-----
Рост стоимости автострахования обусловлен не только рыночным спросом, инфляцией и растущими издержками бизнеса, но и растущей активностью атак программ-вымогателей. Согласно опросу, проведенному Databarracks, 24 процента простоев ИТ-служб были вызваны киберинцидентами, что на 14 процентов больше, чем в предыдущем году. Кроме того, 37 процентов компаний сообщили, что в 2023 году подверглись атакам программ-вымогателей, и более половины компаний столкнулись с той или иной формой инцидента с безопасностью. Атаки с использованием программ-вымогателей были самой распространенной угрозой в четвертом квартале 2023 года, на их долю пришлось 28 процентов случаев.
Растущая распространенность атак программ-вымогателей может привести к удорожанию полисов киберстрахования, что скажется на бюджетах компаний любого размера. Кроме того, на онлайн-форуме был обнаружен дамп паролей, содержащий более 25 миллионов учетных данных для входа. Эти учетные данные, полученные с помощью вредоносной программы, крадущей информацию, включают имена пользователей и пароли для различных веб-сайтов, таких как Roblox, Yahoo, Facebook и eBay. Данные, вероятно, циркулировали на онлайн-форумах в течение нескольких месяцев.
Исследование показало, что пользователи Facebook могут неосознанно делиться личными данными с тысячами компаний. Этот обмен данными происходит посредством отслеживания от сервера к серверу, которое сложнее обнаружить, чем традиционные методы отслеживания. Брокеры данных часто были связаны с учетными записями участников исследования. Consumer Reports рекомендовала улучшить защиту данных Facebook, включая прозрачность, варианты отказа и законы о минимизации данных.
Apple выпустила обновления для системы безопасности, устраняющие три уязвимости, включая ту, которая уже использовалась в iOS. Эти уязвимости, особенно в браузерном движке WebKit, могут позволить удаленное выполнение кода на целевых устройствах. Одна из уязвимостей была добавлена в список известных эксплуатируемых уязвимостей Агентства США по кибербезопасности и инфраструктурной безопасности.
Что касается операций с программами-вымогателями, Cisco Talos Incident Response (Talos IR) отметила рост числа новых операций с программами-вымогателями в четвертом квартале 2023 года, таких как Play, Cactus, BlackSuit и NoEscape. Это ознаменовало первое увеличение числа атак программ-вымогателей во время IR-атак в 2023 году. Образование и производство были наиболее уязвимыми секторами, на долю которых приходилось почти 50 процентов мероприятий по реагированию на инциденты.
#ParsedReport #CompletenessLow
25-01-2024
Malicious ads for restricted messaging applications target Chinese users
https://www.malwarebytes.com/blog/threat-intelligence/2024/01/malicious-ads-for-restricted-messaging-applications-target-chinese-users
Report completeness: Low
Threats:
Dll_sideloading_technique
Plugx_rat
Gh0st_rat
Victims:
Chinese-speaking users
Geo:
Asia, Chinese, Nigeria, China
ChatGPT TTPs:
T1189, T1204, T1073, T1071, T1219, T1213, T1048
IOCs:
Domain: 6
IP: 3
Hash: 5
Soft:
Telegram
Platforms:
cross-platform
25-01-2024
Malicious ads for restricted messaging applications target Chinese users
https://www.malwarebytes.com/blog/threat-intelligence/2024/01/malicious-ads-for-restricted-messaging-applications-target-chinese-users
Report completeness: Low
Threats:
Dll_sideloading_technique
Plugx_rat
Gh0st_rat
Victims:
Chinese-speaking users
Geo:
Asia, Chinese, Nigeria, China
ChatGPT TTPs:
do not use without manual checkT1189, T1204, T1073, T1071, T1219, T1213, T1048
IOCs:
Domain: 6
IP: 3
Hash: 5
Soft:
Telegram
Platforms:
cross-platform
Malwarebytes
Malicious ads for restricted messaging applications target Chinese users
Chinese speaking users looking for Telegram, or LINE are being targeted with malicious ads. Instead of downloading the legitimate application, they install malware.
CTT Report Hub
#ParsedReport #CompletenessLow 25-01-2024 Malicious ads for restricted messaging applications target Chinese users https://www.malwarebytes.com/blog/threat-intelligence/2024/01/malicious-ads-for-restricted-messaging-applications-target-chinese-users Report…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что существует вредоносная рекламная кампания, нацеленная на китайскоязычных пользователей, использующая их интерес к популярным приложениям для обмена сообщениями, таким как Telegram и LINE, которые ограничены или запрещены в Китае. Злоумышленник использует аккаунты рекламодателей Google для создания рекламы, которая побуждает пользователей загружать троянские программы удаленного администрирования (RATS), предоставляя злоумышленнику контроль над компьютером жертвы и позволяя им развертывать дополнительные вредоносные программы. Акцент на приложениях с ограниченным доступом предполагает сбор данных и шпионаж в качестве возможных мотивов. Анализ выявляет используемые методы, такие как сторонняя загрузка DLL, и упоминает об участии форумов по отслеживанию вредоносных программ, а также сообщает о кампании соответствующим сторонам. Упоминается, что Malwarebytes способна обнаруживать и идентифицировать вредоносную полезную нагрузку.
-----
Вредоносная рекламная кампания нацелена на китайскоязычных пользователей, заманивая их популярными приложениями для обмена сообщениями, такими как Telegram и LINE, несмотря на то, что эти приложения ограничены или запрещены в Китае. Злоумышленник использует аккаунты рекламодателей Google для создания вредоносной рекламы, которая побуждает пользователей загружать трояны удаленного администрирования (RATs). RATs дает злоумышленнику полный контроль над компьютером жертвы и возможность развертывать дополнительные вредоносные программы. Акцент на ограниченные или запрещенные приложения позволяет предположить, что сбор данных и шпионаж могут быть мотивами этих вредоносных кампаний.
Конкретное объявление, упомянутое в тексте, рекламирует загрузку китайской версии Telegram по ссылке в документах Google. Оно претендует на статус официального приложения и подчеркивает его популярность, насчитывая более 700 миллионов активных пользователей по всему миру. Однако и реклама, и связанные с ней профили пользователей связаны с Нигерией, что вызывает подозрения относительно их истинных намерений.
Полезные данные, собранные в ходе этой кампании, представлены в формате MSI и используют метод, называемый боковой загрузкой DLL. Этот метод предполагает объединение законного приложения с вредоносной библиотекой DLL, которая загружается автоматически. В приведенном примере библиотека DLL подписана отозванным сертификатом от Sharp Brilliance Communication Technology Co., Ltd., который также использовался для подписи образца PlugX RAT. PlugX - это RAT из Китая, который также использует стороннюю загрузку DLL. Некоторые из удаленных вредоносных программ в этой кампании являются вариантами Gh0st RAT, которые использовались в предыдущих кампаниях.
Существует веб-сайт и форум, часто посещаемый китайскими пользователями, известный как bbs.kafan.cn, который отслеживает вредоносные программы из этих кампаний и называет их FakeApp. Полезная нагрузка, наблюдаемая в этих кампаниях, совпадает с угрозами, наблюдаемыми в регионе Южной Азии, и использует аналогичные методы, такие как боковая загрузка DLL, которая обычно используется RATs. Такое вредоносное ПО идеально подходит для скрытого сбора информации и обладает способностью незаметно внедрять дополнительные компоненты по мере необходимости.
Исследователи, участвовавшие в этом анализе, сообщили о вредоносной рекламе и поддерживающей инфраструктуре Google и другим соответствующим сторонам. Они также отметили, что Malwarebytes способен обнаруживать и идентифицировать вредоносную полезную нагрузку при выполнении.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что существует вредоносная рекламная кампания, нацеленная на китайскоязычных пользователей, использующая их интерес к популярным приложениям для обмена сообщениями, таким как Telegram и LINE, которые ограничены или запрещены в Китае. Злоумышленник использует аккаунты рекламодателей Google для создания рекламы, которая побуждает пользователей загружать троянские программы удаленного администрирования (RATS), предоставляя злоумышленнику контроль над компьютером жертвы и позволяя им развертывать дополнительные вредоносные программы. Акцент на приложениях с ограниченным доступом предполагает сбор данных и шпионаж в качестве возможных мотивов. Анализ выявляет используемые методы, такие как сторонняя загрузка DLL, и упоминает об участии форумов по отслеживанию вредоносных программ, а также сообщает о кампании соответствующим сторонам. Упоминается, что Malwarebytes способна обнаруживать и идентифицировать вредоносную полезную нагрузку.
-----
Вредоносная рекламная кампания нацелена на китайскоязычных пользователей, заманивая их популярными приложениями для обмена сообщениями, такими как Telegram и LINE, несмотря на то, что эти приложения ограничены или запрещены в Китае. Злоумышленник использует аккаунты рекламодателей Google для создания вредоносной рекламы, которая побуждает пользователей загружать трояны удаленного администрирования (RATs). RATs дает злоумышленнику полный контроль над компьютером жертвы и возможность развертывать дополнительные вредоносные программы. Акцент на ограниченные или запрещенные приложения позволяет предположить, что сбор данных и шпионаж могут быть мотивами этих вредоносных кампаний.
Конкретное объявление, упомянутое в тексте, рекламирует загрузку китайской версии Telegram по ссылке в документах Google. Оно претендует на статус официального приложения и подчеркивает его популярность, насчитывая более 700 миллионов активных пользователей по всему миру. Однако и реклама, и связанные с ней профили пользователей связаны с Нигерией, что вызывает подозрения относительно их истинных намерений.
Полезные данные, собранные в ходе этой кампании, представлены в формате MSI и используют метод, называемый боковой загрузкой DLL. Этот метод предполагает объединение законного приложения с вредоносной библиотекой DLL, которая загружается автоматически. В приведенном примере библиотека DLL подписана отозванным сертификатом от Sharp Brilliance Communication Technology Co., Ltd., который также использовался для подписи образца PlugX RAT. PlugX - это RAT из Китая, который также использует стороннюю загрузку DLL. Некоторые из удаленных вредоносных программ в этой кампании являются вариантами Gh0st RAT, которые использовались в предыдущих кампаниях.
Существует веб-сайт и форум, часто посещаемый китайскими пользователями, известный как bbs.kafan.cn, который отслеживает вредоносные программы из этих кампаний и называет их FakeApp. Полезная нагрузка, наблюдаемая в этих кампаниях, совпадает с угрозами, наблюдаемыми в регионе Южной Азии, и использует аналогичные методы, такие как боковая загрузка DLL, которая обычно используется RATs. Такое вредоносное ПО идеально подходит для скрытого сбора информации и обладает способностью незаметно внедрять дополнительные компоненты по мере необходимости.
Исследователи, участвовавшие в этом анализе, сообщили о вредоносной рекламе и поддерживающей инфраструктуре Google и другим соответствующим сторонам. Они также отметили, что Malwarebytes способен обнаруживать и идентифицировать вредоносную полезную нагрузку при выполнении.
👍1
#ParsedReport #CompletenessLow
26-01-2024
Midnight Blizzard: Guidance for responders on nation-state attack
https://www.microsoft.com/en-us/security/blog/2024/01/25/midnight-blizzard-guidance-for-responders-on-nation-state-attack
Report completeness: Low
Actors/Campaigns:
Duke (motivation: cyber_espionage)
Threats:
Supply_chain_technique
Password_spray_technique
Gozi
Victims:
Microsoft corporation, Governments, Diplomatic entities, Ngos, It service providers
Industry:
Ngo, Government
Geo:
Russian, Russia
ChatGPT TTPs:
T1078, T1539, T1521, T1110.003, T1222, T1068
IOCs:
File: 1
Soft:
Microsoft Defender, Office 365, Microsoft Exchange, Active Directory Domain Services
Algorithms:
exhibit
Languages:
powershell
26-01-2024
Midnight Blizzard: Guidance for responders on nation-state attack
https://www.microsoft.com/en-us/security/blog/2024/01/25/midnight-blizzard-guidance-for-responders-on-nation-state-attack
Report completeness: Low
Actors/Campaigns:
Duke (motivation: cyber_espionage)
Threats:
Supply_chain_technique
Password_spray_technique
Gozi
Victims:
Microsoft corporation, Governments, Diplomatic entities, Ngos, It service providers
Industry:
Ngo, Government
Geo:
Russian, Russia
ChatGPT TTPs:
do not use without manual checkT1078, T1539, T1521, T1110.003, T1222, T1068
IOCs:
File: 1
Soft:
Microsoft Defender, Office 365, Microsoft Exchange, Active Directory Domain Services
Algorithms:
exhibit
Languages:
powershell
Microsoft News
Midnight Blizzard: Guidance for responders on nation-state attack
Microsoft detected a nation-state attack on our corporate systems and immediately activated response process to disrupt and mitigate.
CTT Report Hub
#ParsedReport #CompletenessLow 26-01-2024 Midnight Blizzard: Guidance for responders on nation-state attack https://www.microsoft.com/en-us/security/blog/2024/01/25/midnight-blizzard-guidance-for-responders-on-nation-state-attack Report completeness: Low…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Microsoft подверглась атаке со стороны национального государства, проведенной злоумышленником, известным как Midnight Blizzard, который связан с спонсируемой российским государством группой NOBELIUM. Атака включала компрометацию учетных записей пользователей, создание несанкционированных приложений OAuth и использование доступа к корпоративным учетным записям электронной почты. Microsoft смогла обнаружить и смягчить атаку благодаря анализу активности веб-служб Exchange (EWS) и использованию функций ведения журнала аудита. Чтобы предотвратить подобные атаки, Корпорация Майкрософт рекомендует проводить аудит уровней привилегий, отслеживать приложения с чрезмерно привилегированным доступом, исследовать рискованные приложения OAuth, внедрять управление приложениями с условным доступом, обучать пользователей действиям при входе в систему и использовать решения для обнаружения, такие как Microsoft Entra ID Protection.
-----
Ключевые факты из текста:.
12 января 2024 года корпоративные системы Microsoft были атакованы субъектом национальной угрозы, известным как Midnight Blizzard, связанным с спонсируемой российским государством группой NOBELIUM.
Корпорация Майкрософт обнаружила атаку и активировала процесс реагирования, сократив дальнейший доступ к субъекту угрозы.
С начала 2018 года Midnight Blizzard в первую очередь нацелена на правительства, дипломатические учреждения, НПО и поставщиков ИТ-услуг для сбора разведывательной информации.
Методы первоначального доступа, используемые Midnight Blizzard, включают кражу учетных данных, атаки на цепочки поставок и использование локальных и облачных сред.
Они используют атаки с использованием спрея паролей для компрометации учетных записей, адаптируя атаки к малому количеству попыток и используя распределенную инфраструктуру локальных прокси-серверов для уклонения.
В ходе атаки на Microsoft Midnight Blizzard скомпрометировала устаревшее тестовое приложение OAuth и создала дополнительные вредоносные приложения OAuth для несанкционированного доступа.
Корпорация Майкрософт рекомендует проводить аудит уровней привилегий, обращать внимание на приложения с избыточными привилегиями, исследовать рискованные приложения OAuth, внедрять управление приложениями с условным доступом и регулярно проверять разрешения.
Для обнаружения атак и реагирования на них рекомендуется обучение пользователей, сброс пароля и использование решений Microsoft Entra ID Protection и Microsoft Purview Audit.
Активность веб-служб Exchange (EWS) и ведение журнала аудита сыграли решающую роль в выявлении атак.
Соответствующие средства обнаружения, предлагаемые Microsoft Entra ID Protection, включают незнакомые свойства входа, атаки с использованием спрея паролей, подозрительные входы в систему и несанкционированный доступ к приложениям.
Клиенты Майкрософт могут получить доступ к отчетам в Microsoft Defender Threat Intelligence для получения обновлений об участнике угрозы и рекомендуемых действиях.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Microsoft подверглась атаке со стороны национального государства, проведенной злоумышленником, известным как Midnight Blizzard, который связан с спонсируемой российским государством группой NOBELIUM. Атака включала компрометацию учетных записей пользователей, создание несанкционированных приложений OAuth и использование доступа к корпоративным учетным записям электронной почты. Microsoft смогла обнаружить и смягчить атаку благодаря анализу активности веб-служб Exchange (EWS) и использованию функций ведения журнала аудита. Чтобы предотвратить подобные атаки, Корпорация Майкрософт рекомендует проводить аудит уровней привилегий, отслеживать приложения с чрезмерно привилегированным доступом, исследовать рискованные приложения OAuth, внедрять управление приложениями с условным доступом, обучать пользователей действиям при входе в систему и использовать решения для обнаружения, такие как Microsoft Entra ID Protection.
-----
Ключевые факты из текста:.
12 января 2024 года корпоративные системы Microsoft были атакованы субъектом национальной угрозы, известным как Midnight Blizzard, связанным с спонсируемой российским государством группой NOBELIUM.
Корпорация Майкрософт обнаружила атаку и активировала процесс реагирования, сократив дальнейший доступ к субъекту угрозы.
С начала 2018 года Midnight Blizzard в первую очередь нацелена на правительства, дипломатические учреждения, НПО и поставщиков ИТ-услуг для сбора разведывательной информации.
Методы первоначального доступа, используемые Midnight Blizzard, включают кражу учетных данных, атаки на цепочки поставок и использование локальных и облачных сред.
Они используют атаки с использованием спрея паролей для компрометации учетных записей, адаптируя атаки к малому количеству попыток и используя распределенную инфраструктуру локальных прокси-серверов для уклонения.
В ходе атаки на Microsoft Midnight Blizzard скомпрометировала устаревшее тестовое приложение OAuth и создала дополнительные вредоносные приложения OAuth для несанкционированного доступа.
Корпорация Майкрософт рекомендует проводить аудит уровней привилегий, обращать внимание на приложения с избыточными привилегиями, исследовать рискованные приложения OAuth, внедрять управление приложениями с условным доступом и регулярно проверять разрешения.
Для обнаружения атак и реагирования на них рекомендуется обучение пользователей, сброс пароля и использование решений Microsoft Entra ID Protection и Microsoft Purview Audit.
Активность веб-служб Exchange (EWS) и ведение журнала аудита сыграли решающую роль в выявлении атак.
Соответствующие средства обнаружения, предлагаемые Microsoft Entra ID Protection, включают незнакомые свойства входа, атаки с использованием спрея паролей, подозрительные входы в систему и несанкционированный доступ к приложениям.
Клиенты Майкрософт могут получить доступ к отчетам в Microsoft Defender Threat Intelligence для получения обновлений об участнике угрозы и рекомендуемых действиях.
#ParsedReport #CompletenessLow
29-01-2024
PixPirate: The Brazilian financial malware you can t see
https://securityintelligence.com/posts/pixpirate-brazilian-financial-malware
Report completeness: Low
Threats:
Pixpirate
Fake-trusteer
Flubot
Victims:
Banks in brazil
Industry:
Financial
Geo:
Brazilian, Brazil
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1078, T1105, T1213, T1114, T1114, T1486, T1485, T1107
IOCs:
File: 1
Soft:
Android, WhatsApp
Functions:
SetComponentEnabeldSetting, SetComponentEnabledSetting, sendBalance, inputPix, continue2Password, waitUntilPassword
29-01-2024
PixPirate: The Brazilian financial malware you can t see
https://securityintelligence.com/posts/pixpirate-brazilian-financial-malware
Report completeness: Low
Threats:
Pixpirate
Fake-trusteer
Flubot
Victims:
Banks in brazil
Industry:
Financial
Geo:
Brazilian, Brazil
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1078, T1105, T1213, T1114, T1114, T1486, T1485, T1107
IOCs:
File: 1
Soft:
Android, WhatsApp
Functions:
SetComponentEnabeldSetting, SetComponentEnabledSetting, sendBalance, inputPix, continue2Password, waitUntilPassword
Ibm
PixPirate: The Brazilian financial malware you can't see, part one | IBM
Malicious software always aims to stay hidden so victims cannot detect it. PixPirate malware has taken that strategy to a new extreme.
CTT Report Hub
#ParsedReport #CompletenessLow 29-01-2024 PixPirate: The Brazilian financial malware you can t see https://securityintelligence.com/posts/pixpirate-brazilian-financial-malware Report completeness: Low Threats: Pixpirate Fake-trusteer Flubot Victims: Banks…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что PixPirate - это сложный троян для удаленного доступа к финансовым ресурсам (RAT), который в первую очередь нацелен на банки в Бразилии. Он обладает уникальными возможностями скрытия, позволяющими оставаться незамеченным на зараженных устройствах, и использует для работы загрузчик APK и droppee APK. PixPirate злоупотребляет сервисом специальных возможностей для получения возможностей удаленного доступа и крадет учетные данные онлайн-банкинга, данные кредитной карты и информацию для входа в систему. Он также может обходить процессы двухфакторной аутентификации и совершать мошеннические действия на устройстве. Вредоносная программа распространяется по вредоносным ссылкам и выдает себя за законное приложение для аутентификации. PixPirate в основном нацелен на бразильский платежный сервис Pix и может перехватывать денежные переводы Pix и манипулировать ими. Он представляет значительную угрозу из-за своих передовых методов сокрытия и опасных возможностей.
-----
PixPirate - это вредоносный троян для удаленного доступа к финансовым ресурсам (RAT), который в первую очередь нацелен на банки в Бразилии.
Вредоносная программа обладает уникальными возможностями скрытия, позволяющими оставаться незамеченной на зараженных устройствах.
PixPirate работает с помощью двух компонентов - загрузчика APK и droppee APK - оба созданы одним и тем же участником.
Компонент droppee не имеет основного действия, что означает, что его значок не существует на главном экране жертвы.
PixPirate злоупотребляет службой специальных возможностей, чтобы получить возможности удаленного доступа.
Он крадет учетные данные онлайн-банкинга, данные кредитной карты, информацию для входа в систему и может обходить процессы двухфакторной аутентификации.
Загрузчик APK распространяется по вредоносным ссылкам, отправляемым через WhatsApp или SMS-фишинг, выдавая себя за законное приложение для аутентификации.
PixPirate может запускать droppee при возникновении определенных событий на устройстве.
Основной целью кампаний PixPirate является бразильский платежный сервис Pix.
Вредоносная программа может перехватывать денежные переводы Pix и манипулировать ими, а также перехватывать SMS-сообщения для двухфакторной аутентификации.
PixPirate представляет значительную угрозу из-за своих передовых методов сокрытия и опасных возможностей.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что PixPirate - это сложный троян для удаленного доступа к финансовым ресурсам (RAT), который в первую очередь нацелен на банки в Бразилии. Он обладает уникальными возможностями скрытия, позволяющими оставаться незамеченным на зараженных устройствах, и использует для работы загрузчик APK и droppee APK. PixPirate злоупотребляет сервисом специальных возможностей для получения возможностей удаленного доступа и крадет учетные данные онлайн-банкинга, данные кредитной карты и информацию для входа в систему. Он также может обходить процессы двухфакторной аутентификации и совершать мошеннические действия на устройстве. Вредоносная программа распространяется по вредоносным ссылкам и выдает себя за законное приложение для аутентификации. PixPirate в основном нацелен на бразильский платежный сервис Pix и может перехватывать денежные переводы Pix и манипулировать ими. Он представляет значительную угрозу из-за своих передовых методов сокрытия и опасных возможностей.
-----
PixPirate - это вредоносный троян для удаленного доступа к финансовым ресурсам (RAT), который в первую очередь нацелен на банки в Бразилии.
Вредоносная программа обладает уникальными возможностями скрытия, позволяющими оставаться незамеченной на зараженных устройствах.
PixPirate работает с помощью двух компонентов - загрузчика APK и droppee APK - оба созданы одним и тем же участником.
Компонент droppee не имеет основного действия, что означает, что его значок не существует на главном экране жертвы.
PixPirate злоупотребляет службой специальных возможностей, чтобы получить возможности удаленного доступа.
Он крадет учетные данные онлайн-банкинга, данные кредитной карты, информацию для входа в систему и может обходить процессы двухфакторной аутентификации.
Загрузчик APK распространяется по вредоносным ссылкам, отправляемым через WhatsApp или SMS-фишинг, выдавая себя за законное приложение для аутентификации.
PixPirate может запускать droppee при возникновении определенных событий на устройстве.
Основной целью кампаний PixPirate является бразильский платежный сервис Pix.
Вредоносная программа может перехватывать денежные переводы Pix и манипулировать ими, а также перехватывать SMS-сообщения для двухфакторной аутентификации.
PixPirate представляет значительную угрозу из-за своих передовых методов сокрытия и опасных возможностей.
#technique
Utilizing SSPI datagram context bypass UAC
https://paper-seebug-org.translate.goog/3112/?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp
Utilizing SSPI datagram context bypass UAC
https://paper-seebug-org.translate.goog/3112/?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ru&_x_tr_pto=wapp
#technique
Ultimate-RAT-Collection
For educational purposes only, samples of old & new malware builders including screenshots!
https://github.com/yuankong666/Ultimate-RAT-Collection
Ultimate-RAT-Collection
For educational purposes only, samples of old & new malware builders including screenshots!
https://github.com/yuankong666/Ultimate-RAT-Collection
GitHub
GitHub - Cryakl/Ultimate-RAT-Collection: For educational purposes only, exhaustive samples of 500+ classic/modern trojan builders…
For educational purposes only, exhaustive samples of 500+ classic/modern trojan builders including screenshots. - Cryakl/Ultimate-RAT-Collection
Unveiling TeleBoyi: Chinese APT Group
Targeting Critical Infrastructure Worldwide
https://jsac.jpcert.or.jp/archive/2024/pdf/JSAC2024_1_8_yi-chin_yu-tung_en.pdf
Targeting Critical Infrastructure Worldwide
https://jsac.jpcert.or.jp/archive/2024/pdf/JSAC2024_1_8_yi-chin_yu-tung_en.pdf
#technique
Modern implant design: position independent malware development
https://5pider.net/blog/2024/01/27/modern-shellcode-implant-design/
Modern implant design: position independent malware development
https://5pider.net/blog/2024/01/27/modern-shellcode-implant-design/
5pider.net
/5pider.net
Hello friend, friendly neighborhood 5pider here
#technique
A Deep Dive into V8 Sandbox Escape Technique Used in In-The-Wild Exploit
https://blog.theori.io/a-deep-dive-into-v8-sandbox-escape-technique-used-in-in-the-wild-exploit-d5dcf30681d4
A Deep Dive into V8 Sandbox Escape Technique Used in In-The-Wild Exploit
https://blog.theori.io/a-deep-dive-into-v8-sandbox-escape-technique-used-in-in-the-wild-exploit-d5dcf30681d4
Medium
A Deep Dive into V8 Sandbox Escape Technique Used in In-The-Wild Exploit
The details of how we achieved arbitrary write and code execution primitives using a raw pointer in WasmIndirectFunctionTable object.
#ParsedReport #CompletenessLow
29-01-2024
Analysis of phishing cases disguised as login pages of famous domestic portals
https://asec.ahnlab.com/ko/60952
Report completeness: Low
Geo:
Vietnamese
ChatGPT TTPs:
T1566, T1213, T1056, T1590
IOCs:
File: 1
Hash: 1
Algorithms:
md5
Languages:
php
29-01-2024
Analysis of phishing cases disguised as login pages of famous domestic portals
https://asec.ahnlab.com/ko/60952
Report completeness: Low
Geo:
Vietnamese
ChatGPT TTPs:
do not use without manual checkT1566, T1213, T1056, T1590
IOCs:
File: 1
Hash: 1
Algorithms:
md5
Languages:
php
ASEC BLOG
국내 유명 포탈 로그인 페이지로 위장한 피싱 사례 분석 - ASEC BLOG
AhnLab SEcurity intelligence Center(ASEC)은 최근 국내 유명 포탈 N사의 로그인 페이지로 위장한 피싱 사례를 분석하였으며, 공격자에 대한 일부 정보를 확보하였다. 피싱 메일 등에 첨부된 하이퍼링크 형태로 유포되었을 것으로 추정되는 가짜 로그인 페이지는 실제 N사의 로그인 페이지와 매우 흡사한 것으로 확인되며, 육안으로는 피싱 사이트라는 사실을 구분하기 어렵다. 해당 페이지에 로그인 정보를 입력하면 아래와 같이 공격자가 설정한…
CTT Report Hub
#ParsedReport #CompletenessLow 29-01-2024 Analysis of phishing cases disguised as login pages of famous domestic portals https://asec.ahnlab.com/ko/60952 Report completeness: Low Geo: Vietnamese ChatGPT TTPs: do not use without manual check T1566, T1213…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что недавний анализ, проведенный Аналитическим центром безопасности AhnLab, выявил случай фишинга, связанный с поддельной страницей входа в систему известной отечественной портальной компании. Фишинговая страница очень похожа на законную страницу входа, что затрудняет ее обнаружение пользователями. Когда пользователи вводят свои регистрационные данные на поддельной странице, они передаются на сервер командования и контроля злоумышленника. Злоумышленник собирает украденные регистрационные данные, а также другие данные, такие как IP-адрес пользователя и географическое местоположение. Эти результаты подчеркивают риски фишинговой деятельности и подчеркивают необходимость осторожности и надлежащих мер безопасности при обнаружении страниц входа в систему из неизвестных источников.
-----
Недавний анализ, проведенный Аналитическим центром безопасности AhnLab (ASEC), выявил случай фишинга, связанный с поддельной страницей входа в систему известной отечественной портальной компании под названием Company N. Фишинговая страница очень напоминала законную страницу входа в систему, что затрудняло пользователям различать их. Есть подозрение, что фишинговая страница была распространена через гиперссылку, прикрепленную к фишинговому электронному письму.
После ввода регистрационных данных на поддельной странице данные передаются на сервер командования и контроля (C2) злоумышленника. ASEC смогла проанализировать домен злоумышленника и получила PHP-код, который показал, как украденные регистрационные данные обрабатывались сервером фишинговой страницы. Код собирал информацию об электронной почте пользователя и пароль, введенные с помощью пакетов POST-метода, отправленных с фишинговой страницы. Кроме того, для определения операционной системы клиента и среды браузера использовались регулярные выражения.
Злоумышленник также пытался собрать дополнительную информацию об IP-адресе пользователя. Запросив на сайте geoplugin информацию об IP-адресе источника, включенную в пакет, они смогли определить страну, регион и город пользователя. Сайт geoplugin обычно используется в качестве законного подключаемого сервиса, который предоставляет информацию о введенном IP-адресе в формате JSON. Однако в данном случае фишинга злоумышленник использовал его в своих целях.
Основываясь на собранной информации, злоумышленник заполнил переменную под названием "$message". Эта переменная включала украденную информацию для входа (адрес электронной почты и пароль), IP-адрес, географическое местоположение и сведения о браузере и операционной системе клиента. В ходе анализа было обнаружено несколько электронных писем, предположительно от злоумышленника, в основном написанных на вьетнамском языке. Эти результаты демонстрируют, как регистрационная информация, полученная с помощью фишинговых действий, может быть доставлена злоумышленнику, подвергая украденную пользовательскую информацию риску использования для дополнительных вредоносных действий.
Чтобы снизить такие риски, рекомендуется соблюдать осторожность при обнаружении страниц входа в систему из неизвестных источников, особенно по электронной почте. Пользователям следует внимательно относиться к управлению информацией своей учетной записи и учитывать периодические обновления и меры безопасности.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что недавний анализ, проведенный Аналитическим центром безопасности AhnLab, выявил случай фишинга, связанный с поддельной страницей входа в систему известной отечественной портальной компании. Фишинговая страница очень похожа на законную страницу входа, что затрудняет ее обнаружение пользователями. Когда пользователи вводят свои регистрационные данные на поддельной странице, они передаются на сервер командования и контроля злоумышленника. Злоумышленник собирает украденные регистрационные данные, а также другие данные, такие как IP-адрес пользователя и географическое местоположение. Эти результаты подчеркивают риски фишинговой деятельности и подчеркивают необходимость осторожности и надлежащих мер безопасности при обнаружении страниц входа в систему из неизвестных источников.
-----
Недавний анализ, проведенный Аналитическим центром безопасности AhnLab (ASEC), выявил случай фишинга, связанный с поддельной страницей входа в систему известной отечественной портальной компании под названием Company N. Фишинговая страница очень напоминала законную страницу входа в систему, что затрудняло пользователям различать их. Есть подозрение, что фишинговая страница была распространена через гиперссылку, прикрепленную к фишинговому электронному письму.
После ввода регистрационных данных на поддельной странице данные передаются на сервер командования и контроля (C2) злоумышленника. ASEC смогла проанализировать домен злоумышленника и получила PHP-код, который показал, как украденные регистрационные данные обрабатывались сервером фишинговой страницы. Код собирал информацию об электронной почте пользователя и пароль, введенные с помощью пакетов POST-метода, отправленных с фишинговой страницы. Кроме того, для определения операционной системы клиента и среды браузера использовались регулярные выражения.
Злоумышленник также пытался собрать дополнительную информацию об IP-адресе пользователя. Запросив на сайте geoplugin информацию об IP-адресе источника, включенную в пакет, они смогли определить страну, регион и город пользователя. Сайт geoplugin обычно используется в качестве законного подключаемого сервиса, который предоставляет информацию о введенном IP-адресе в формате JSON. Однако в данном случае фишинга злоумышленник использовал его в своих целях.
Основываясь на собранной информации, злоумышленник заполнил переменную под названием "$message". Эта переменная включала украденную информацию для входа (адрес электронной почты и пароль), IP-адрес, географическое местоположение и сведения о браузере и операционной системе клиента. В ходе анализа было обнаружено несколько электронных писем, предположительно от злоумышленника, в основном написанных на вьетнамском языке. Эти результаты демонстрируют, как регистрационная информация, полученная с помощью фишинговых действий, может быть доставлена злоумышленнику, подвергая украденную пользовательскую информацию риску использования для дополнительных вредоносных действий.
Чтобы снизить такие риски, рекомендуется соблюдать осторожность при обнаружении страниц входа в систему из неизвестных источников, особенно по электронной почте. Пользователям следует внимательно относиться к управлению информацией своей учетной записи и учитывать периодические обновления и меры безопасности.
#ParsedReport #CompletenessMedium
29-01-2024
Russian APT Operation: Star Blizzard
https://socradar.io/russian-apt-operation-star-blizzard
Report completeness: Medium
Actors/Campaigns:
Seaborgium
Tag-53
Threats:
Spear-phishing_technique
Evilginx_tool
Credential_stealing_technique
Victims:
Academia, Defense, Governmental organizations, Ngos, Think-tanks
Industry:
Ngo, Government
Geo:
Ukraine, Russia, Russian
TTPs:
Tactics: 5
Technics: 13
IOCs:
Domain: 69
Soft:
Outlook, Gmail, Office 365
Algorithms:
exhibit
29-01-2024
Russian APT Operation: Star Blizzard
https://socradar.io/russian-apt-operation-star-blizzard
Report completeness: Medium
Actors/Campaigns:
Seaborgium
Tag-53
Threats:
Spear-phishing_technique
Evilginx_tool
Credential_stealing_technique
Victims:
Academia, Defense, Governmental organizations, Ngos, Think-tanks
Industry:
Ngo, Government
Geo:
Ukraine, Russia, Russian
TTPs:
Tactics: 5
Technics: 13
IOCs:
Domain: 69
Soft:
Outlook, Gmail, Office 365
Algorithms:
exhibit
SOCRadar® Cyber Intelligence Inc.
Russian APT Operation: Star Blizzard - SOCRadar® Cyber Intelligence Inc.
Within the continuously changing cyber threat landscape, the strategies of Star Blizzard unfold with a calculated precision, resembling...