#ParsedReport #CompletenessLow
05-02-2024

BlueShell malware used to attack domestic Linux systems (2)

https://asec.ahnlab.com/ko/61293

Report completeness: Low

Actors/Campaigns:
Dalbit

Threats:
Blueshell

Geo:
Thailand, Chinese, Korea

ChatGPT TTPs:
do not use without manual check
T1016, T1059, T1083, T1071, T1213, T1022, T1485, T1219

IOCs:
File: 1
Hash: 12
IP: 2

Algorithms:
base64, xor, md5

Functions:
ReadMe, init

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что вредоносная программа BlueShell использовалась в целевых атаках на системы Linux в Таиланде и Корее. Злоумышленник настроил BlueShell для работы только на определенных системах и продолжает создавать новые варианты вредоносного ПО. BlueShell - это вредоносная программа с бэкдором, которая может получать команды с сервера управления и выполнять вредоносные действия в зараженных системах. Вредоносная программа использует данные конфигурации, включая IP-адрес, номер порта и время ожидания. Настроенный вариант BlueShell не раскрывает командно-контрольный адрес или целевую систему, поскольку эта информация содержится в дроппере, который запускает вредоносное ПО. Была обнаружена новая вредоносная программа-дроппер под названием "top dropper", которая маскируется под команду Linux id и устанавливает как BlueShell dropper, так и бэкдор-вредоносное ПО. В блоге подчеркивается важность проверки уязвимостей, поддержания систем в актуальном состоянии и использования современного антивирусного программного обеспечения для предотвращения подобных угроз безопасности.
-----

Вредоносная программа BlueShell нацелена на системы Linux в Таиланде и Корее.

Вредоносная программа настроена для работы в определенных системах.

Злоумышленник продолжает создавать вариации вредоносного ПО BlueShell после публикации в блоге.

Вредоносная программа разработана на языке Go и поддерживает системы Windows, Linux и Mac.

Файл ReadMe указывает на китайского создателя.

BlueShell используется несколькими атакующими группами против внутренних целей.

BlueShell - это вредоносная программа с бэкдором, которая получает команды с сервера управления.

Функциональность включает удаленное выполнение команд, загрузку файлов и прокси-сервер Socks5.

BlueShell использует шифрование TLS, чтобы избежать обнаружения сети.

Данные конфигурации (IP-адрес сервера C&C, номер порта, время ожидания) обычно жестко закодированы, но вместо этого при недавних атаках декодируются из переменных окружения.

Имя хоста системы Linux используется для определения условий работы.

C&C-адрес BlueShell и информация о целевой системе содержатся в дроппере, который запускает вредоносную программу.

Новый дроппер под названием "top dropper" маскируется под команду Linux id и устанавливает как BlueShell dropper, так и вредоносное ПО с бэкдором.

Злоумышленник изменил двоичный файл команды id для сохранения.

Злоумышленник часто оставляет информацию о пути к исходному коду в двоичных файлах BlueShell, раскрывая свой рабочий путь.

С 2022 года в атаках использовались многочисленные экземпляры настроенной вредоносной программы BlueShell, в основном нацеленной на Южную Корею.

Поддержание систем в актуальном состоянии и использование обновленного антивирусного программного обеспечения имеет решающее значение для предотвращения заражения вредоносными программами.

Интересная штука (уже не уникальная) про С2 и смарт-контракты.

#ParsedReport #CompletenessMedium
06-02-2024

Python Info-stealer Distributed by Malicious Excel Document

https://www.fortinet.com/blog/threat-research/python-info-stealer-malicious-excel-document

Report completeness: Medium

Threats:
Abobus_tool
Pyobfuscate_tool
Xworm_rat
Venomrat
Redline_stealer

Geo:
Vietnamese

ChatGPT TTPs:
do not use without manual check
T1193, T1140, T1204, T1064, T1070, T1086, T1486, T1485

IOCs:
File: 5
Registry: 1
IP: 5
Hash: 12

Soft:
Chrome, telegram

Algorithms:
zip, base64

Languages:
powershell, python

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, code: 6, windows: 2, chats: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что FortiGuard Labs обнаружила программу-похититель информации в документе Excel, связанном с хакерской группой из Вьетнама. В статье подробно рассказывается об этапах атаки, целевых браузерах и наличии других связанных вредоносных кампаний. Хакеры используют простые загрузчики и эксплуатируют открытые платформы для распространения вредоносного ПО, оставляя "хлебные крошки" для идентификации.
-----

В январе 2024 года FortiGuard Labs обнаружила документ Excel, содержащий программу для кражи информации. Атака была связана с базирующейся во Вьетнаме группой, о которой ранее сообщалось в августе и сентябре 2023 года. В этой статье дается представление о различных этапах атаки и проливается свет на основную кампанию вредоносного ПО.

Начальный этап включает в себя документ Excel со скриптом VBA, который выполняет команду PowerShell для загрузки файла Windows Update.bat из filebin.net. Для облегчения правильного выполнения запутанного script.py загружаются дополнительные модули в виде Document.zip.

В отличие от предыдущей версии этого похитителя информации, о которой сообщалось в августе 2023 года, текущая script.py фокусируется только на сборе файлов cookie и данных для входа в систему из различных браузеров. Он ориентирован на широкий спектр браузеров, включая популярные, такие как Chrome и Edge, а также браузеры, специфичные для местного вьетнамского рынка, такие как Cc Cc browser.

Более того, помимо файлов, используемых в качестве переносчиков инфекции, несколько других файлов имеют общие характеристики с этой кампанией. К ним относятся запутанные пакетные файлы и файлы VBScript, которые выполняют код PowerShell, аналогичный файлам Windows Update.bat и test.vbs. Эти дополнительные загрузчики привели к обнаружению большего количества репозиториев, связанных с хакерской группой. Некоторые из этих репозиториев также содержали вредоносное ПО, используемое в других кампаниях, таких как XWorm, VenomRat, RedLine и другие.

Хотя конкретный файл, упомянутый на рисунке 10, получить не удалось, его название дало ключ к использованию файлов cookie в качестве приманки. Кроме того, был найден другой документ Word, который содержал файлы cookie Facebook и вредоносный макрос в истории чата. Полезной нагрузкой в данном случае был XWorm, и его варианты также были идентифицированы в репозиториях GitHub, упомянутых в разделе "Злоупотребляемые открытые платформы".

Злоумышленники, стоящие за этой кампанией, используют стратегию использования простых загрузчиков и открытых платформ, чтобы избежать обнаружения. Однако эта тактика непреднамеренно дает "хлебные крошки" для идентификации хакерской группы. Информация, извлеченная из файлов, выявила существование других файлов, используемых в связанных кампаниях, а также платформ социальных сетей, используемых для распространения вредоносных программ. Такие платформы не только обеспечивают удобство для пользователей, но и часто используются злоумышленниками.

#ParsedReport #CompletenessLow
06-02-2024

Dark Web Profile: CyberNiggers

https://socradar.io/dark-web-profile-cyberniggers

Report completeness: Low

Actors/Campaigns:
Cyberniggers (motivation: financially_motivated, hacktivism)

Threats:
Credential_dumping_technique

Industry:
Aerospace, Financial, Energy, Military, Government

Geo:
Serbian, Turkey, Africa, Russia, India, Russian

TTPs:
Tactics: 12
Technics: 12

Soft:
MSSQL

Algorithms:
exhibit

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что расистская группа CyberNiggers, набирают силу и участвуют в кибератаках и потенциальных нарушениях. Группа, возглавляемая известным членом IntelBroker, нацелилась на различные организации и скомпрометировала их, создавая угрозы национальной безопасности и вызывая такие последствия, как репутационный ущерб и юридические последствия. Понимание этих угроз и реагирование на них имеет решающее значение для защиты критически важной инфраструктуры, национальной безопасности и личной неприкосновенности частной жизни.
-----

CyberNiggers, расистская группа угроз, вновь появилась с возросшей активностью на обновленных форумах. Их деятельность, включая кибератаки и потенциальные нарушения, подчеркивает эволюционирующий характер цифровых угроз.

Группа привлекла к себе внимание за продажу доступа к скомпрометированным системам и кражу конфиденциальных данных. IntelBroker, видный участник, играет значительную роль в деятельности киберпреступников. Они нацелены на такие организации, как General Electric, Агентство перспективных исследовательских проектов в области обороны (DARPA), Weee Grocery Service, Colonial Pipeline, Autotrader, Volvo, отели Hilton и AT&T.

Последствия их взломов варьируются от ущерба репутации до юридических последствий и проблем национальной безопасности. Понимание тактики киберпреступников и роли IntelBroker имеет решающее значение для организаций, имеющих дело с этими угрозами. Мотивы группы в первую очередь финансовые, но причастность IntelBroker к громким атакам поднимает вопросы об их возможностях и мотивации.

Взлом General Electric потенциально раскрыл критически важные оборонные проекты и сотрудничество с DARPA, что представляет прямую угрозу национальной безопасности.

Пострадавшие организации могут столкнуться с различными последствиями, включая репутационный ущерб, финансовые потери, судебные иски и штрафные санкции регулирующих органов. Киберпреступники в первую очередь нацелены на США, но также включают другие страны, такие как Великобритания, Южная Африка, Индия и Турция. Россия, похоже, исключена из их целей.

Поскольку ландшафт кибербезопасности требует бдительности, сотрудничества и надежных мер безопасности, понимание таких групп, как киберугрозники, и реагирование на них становится решающим для защиты критически важной инфраструктуры, национальной безопасности и конфиденциальности личности.

#ParsedReport #CompletenessLow
06-02-2024

Revenge RAT malware that operates fileless

https://asec.ahnlab.com/ko/61288

Report completeness: Low

Threats:
Revenge_rat
Trojan/win.generic.c4223332
Trojan/win.generic.c5583117
Dropper/win.generic.c5445718
Dropper/win.generic.r634030

TTPs:
Tactics: 2
Technics: 1

ChatGPT TTPs:
do not use without manual check
T1564, T1107, T1059.001, T1023, T1553.002, T1550.002, T1105, T1083, T1082, T1113, have more...

IOCs:
File: 10
Domain: 1
Hash: 10

Soft:
Windows Explorer, Windows Defender

Algorithms:
base64, md5, des

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
code: 5, schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея из текста заключается в том, что ASEC обнаружила новое вредоносное ПО под названием Revenge RAT, которое распространяется злоумышленниками. Злоумышленники используют методы обмана, такие как обертывание вредоносного ПО вокруг обычных инструментов и сокрытие его от обнаружения. Они также используют маскировку, методы уклонения и операции без файлов, чтобы обойти антивирусное обнаружение. Вредоносная программа собирает пользовательские данные и передает их на сервер управления. Это открытие подчеркивает необходимость принятия строгих мер кибербезопасности для обнаружения таких угроз и противодействия им.
-----

ASEC обнаружила новую вредоносную программу под названием Revenge RAT.

Злоумышленник маскирует вредоносную программу, оборачивая ее вокруг обычного инструмента.

Во время атаки злоумышленник одновременно запускает обычные инструменты и вредоносные файлы.

Вредоносный файл Setup.exe скрыт из проводника Windows, чтобы сделать его невидимым для пользователя.

Злоумышленник создает блог, содержащий скрытый вредоносный файл для обмена данными между командами и контролем (C2).

Злоумышленник извлекает и декодирует значения из HTML-файла, чтобы получить дополнительный вредоносный код.

Альтернативный адрес C2 подготавливается на случай, если исходный адрес заблокирован.

Вредоносная программа Revenge RAT работает в памяти, собирая и передавая пользовательские данные на C2.

Злоумышленник использует методы уклонения, чтобы обойти антивирусное обнаружение, включая уклонение от CMSTP.

Файлы исключений защитника Windows используются для регистрации вредоносных файлов в процессе атаки.

Было идентифицировано несколько файловых хэшей, связанных с атакой.

Это открытие подчеркивает важность эффективных мер кибербезопасности для обнаружения и смягчения возникающих угроз со стороны вредоносных программ.

#ParsedReport #CompletenessHigh
06-02-2024

Pacific Rim: RedCurl cyber spies target Australia, Singapore and Hong Kong

https://www.facct.ru/blog/redcurl-2024

Report completeness: High

Actors/Campaigns:
Red_wolf (motivation: cyber_espionage, information_theft)

Threats:
Ad_explorer_tool
Spear-phishing_technique
Motw_bypass_technique

Industry:
Government, Logistic, Transport

Geo:
Pacific, Norway, Germany, Australia, Ukraine, Russian, Singapore, Asian, Canada, Russia, Asia, Australian

TTPs:
Tactics: 7
Technics: 13

IOCs:
File: 41
Url: 17
Path: 13
Domain: 13
Hash: 41

Soft:
Windows task scheduler, Active Directory, Telegram, Viber, WhatsApp

Algorithms:
md5, sha256, sha1, base64

Platforms:
x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что русскоязычная хакерская группа под названием RedCurl проводит кибершпионажные атаки с 2018 года, причем их недавние атаки были нацелены на компании в Австралии, Сингапуре и Гонконге. Они используют фишинг электронной почты в качестве точки входа, но внедрили использование SVG-файлов, замаскированных под службу безопасной передачи почты, чтобы обманом заставить пользователей загружать вредоносный контент. Процесс атаки включает в себя несколько этапов, при этом для получения контроля над скомпрометированными системами используются различные вредоносные компоненты. RedCurl также использует моментальный снимок базы данных Active Directory для эксфильтрации данных через облачные диски, контролируемые злоумышленниками.
-----

Русскоязычная хакерская группа RedCurl проводит кибершпионажные атаки с 2018 года. Их недавние атаки в октябре 2023 года были нацелены на компании в Австралии, Сингапуре и Гонконге, в частности, в сфере строительства, логистики, авиаперевозок и горнодобывающей промышленности. Злоумышленники стремятся собрать ценную информацию, такую как деловая переписка, личные файлы и юридические документы, в течение периода от 2 до 6 месяцев.

Точка входа RedCurl остается неизменной, используя фишинг электронной почты для нацеливания на сотрудников атакованной компании. Однако они внедрили обновленный этап в своей цепочке заражения, используя файлы SVG для имитации службы безопасной передачи почты. Эти файлы предназначены для того, чтобы обманом заставить пользователей загружать вредоносный контент.

Процесс атаки включает в себя несколько этапов. Сначала RedCurl отправляет электронное письмо с файлом SVG, замаскированным под службу безопасной передачи. При нажатии на файл выполняются команды, запускающие RedCurl.LNK, DLL-файл, ответственный за загрузку следующего этапа и отображение сайта honeypot. На этом этапе в планировщике задач Windows создается задача для подключения RedCurl.Загрузчик к системе. Загрузчик собирает системную информацию и отправляет ее на сервер управления (C2).

RedCurl.Загрузчик использует два адреса C2 при загрузке данных и получении следующего этапа. Он отправляет собранные данные на каждый адрес C2 с помощью POST-запросов. Однако подробности следующего этапа (RedCurl.Extractor) были недоступны во время расследования.

В прошлых атаках RedCurl.Extractor использовался для извлечения и закрепления следующего этапа (RedCurl.FSABIN) в зараженной системе. RedCurl.FSABIN предоставляет злоумышленникам удаленный контроль над скомпрометированной системой и позволяет выполнять BAT-скрипты (RedCurl.Commands). Этап связывается с сервером C2 для получения ключей дешифрования и зашифрованных BAT-скриптов, которые затем расшифровываются и выполняются в зараженной системе.

В блоге также упоминается дополнительный RedCurl.ISO-файл без компонента SVG. Этот файл имитировал электронное письмо с информацией о резюме в LinkedIn, что указывает на потенциальную атаку, направленную против австралийской компании. RedCurl.SimpleDownloader, связанный с этой атакой, загружается и выполняется с помощью утилиты pcalua.exe.

В ходе расследования также был обнаружен снимок базы данных Active Directory, принадлежащей австралийской логистической компании. Это указывает на то, что RedCurl использует AD Explorer для создания снимков базы данных и их эксфильтрации через облачные диски, контролируемые злоумышленниками.

#ParsedReport #CompletenessHigh
06-02-2024

Dead-end job

https://www.group-ib.com/blog/resumelooters

Report completeness: High

Actors/Campaigns:
Resumelooters (motivation: cyber_criminal)
Gambleforce
Lazarus
Dream_job

Threats:
Beef_framework_tool
Sqlmap_tool
Acunetix_tool
X-ray_tool
Metasploit_tool
Lighthouse
Dirsearch_tool
Powerplant
Cerberus
Opendir

Industry:
Financial, Entertainment, Logistic, Retail

Geo:
India, Russia, Turkey, Asia-pacific, Taiwan, Mexico, Brazil, Italy, Spanish, Apac, Thailand, Usa, Chinese, Vietnam

TTPs:
Tactics: 2
Technics: 7

IOCs:
IP: 4
File: 33
Domain: 15
Url: 17

Soft:
Telegram, Microsoft Office, Photoshop, Chrome, Opera

Algorithms:
base64

Functions:
login, loadcanvas, createXmlHttp, XMLHttpRequest, vg_time

Languages:
php, powershell, javascript, java, python

Links:
https://github.com/chaitin/xray

#ParsedReport #GeneratedSchema
Generated with GPT-4