#ParsedReport #CompletenessMedium
26-02-2024

To Russia With Love: Assessing a KONNI-Backdoored Suspected Russian Consular Software Installer. The Backdoored Installer

https://medium.com/@DCSO_CyTec/to-russia-with-love-assessing-a-konni-backdoored-suspected-russian-consular-software-installer-ce618ea4b8f3?source=rss-7c32125308fc------2

Report completeness: Medium

Actors/Campaigns:
Scarcruft (motivation: politically_motivated, cyber_espionage)
Kimsuky
Andariel

Threats:
Nokki
Credential_harvesting_technique

Victims:
Russian ministry of foreign affairs, Russian aerospace research institute, Russian university, Npo mashinostroyeniya

Industry:
Government, Education, Aerospace

Geo:
Korean, Dprk, Ukraine, Asia, Russia, Korea, Russian

ChatGPT TTPs:
do not use without manual check
T1195, T1059, T1566, T1105, T1027, T1071, T1082, T1056

IOCs:
Hash: 3
File: 3
Domain: 22

Soft:
Windows service, Windows image Acquisition Service

Algorithms:
aes-ctr

Languages:
php, ruby

Links:
https://github.com/DCSO/Blog\_CyTec/blob/main/2024\_02\_\_gosniias\_konni/konni\_decrypt.py

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста - обнаружение образца вредоносного по KONNI, предположительно связанного с Северной Кореей и нацеленного на Министерство иностранных дел России. В тексте подчеркиваются продолжающиеся усилия Северной Кореи по кибершпионажу против российского правительства и оборонных структур, несмотря на развивающиеся отношения между двумя странами. Злоумышленники интегрировали вредоносное ПО в программу установки программного обеспечения на русском языке, замаскировав его под процесс безопасной установки, а возможности вредоносного ПО включают в себя сбор информации и связь по протоколу HTTP с зашифрованными серверами C2.
-----

В тексте обсуждается обнаружение образца вредоносного ПО, предположительно связанного с Северной Кореей и нацеленного на Министерство иностранных дел России. Вредоносное ПО, идентифицированное как KONNI, было обнаружено в программе установки программного обеспечения на русском языке с бэкдором под названием Statistika KZU. Предполагается, что этот установщик предназначен для внутреннего использования в Министерстве иностранных дел России, в частности, для передачи файлов годовых отчетов из зарубежных консульских учреждений в Консульский департамент МИД. Компания KONNI известна своими возможностями по утечке информации и была связана с нексусными участниками из КНДР, в частности с Konni Group и APT37.

В тексте подчеркиваются продолжающиеся усилия КНДР по кибершпионажу, направленные против чувствительных российских секторов, особенно правительственных и оборонных структур. Несмотря на развивающиеся стратегические отношения между Россией и Северной Кореей, кибершпионажная деятельность КНДР против российских объектов продолжается. Эти действия включают нарушения в российских аэрокосмических исследовательских институтах и дипломатических учреждениях, что указывает на сохраняющийся интерес к планированию внешней политики России.

Злоумышленники интегрировали вредоносное ПО в процесс безопасной установки установщика программного обеспечения, который распространялся в виде файла MSI. Файл конфигурации вредоносного ПО содержит зашифрованные серверы C2, и один из идентифицированных доменов, используемых для связи, был victory-2024.mywebcommunity.org, следуя последовательной схеме именования, наблюдавшейся в предыдущих кампаниях, нацеленных на российский МИД.

Коммуникационный протокол для KONNI использует HTTP, и последние версии позволяют операторам выполнять команды, передавать файлы и устанавливать интервалы ожидания. Набор команд вредоносного ПО практически не изменился, сосредоточившись на выполнении команд, передаче файлов и указании интервалов для проверки подключения.

В тексте также упоминаются прошлые случаи развертывания KONNI, направленные против внешнеполитических интересов России, включая политически мотивированные жертвы в Евразии, российско-корейские торговые вопросы и заседание российско-монгольской межправительственной комиссии. В этих кампаниях использовались русскоязычные приманки, и они показали сходство с обнаруженным образцом вредоносного ПО, нацеленного на Министерство иностранных дел России.

#ParsedReport #CompletenessLow
25-02-2024

Update now! ConnectWise ScreenConnect vulnerability needs your attention

https://www.malwarebytes.com/blog/news/2024/02/update-now-connectwise-screenconnect-vulnerability-needs-your-attention

Report completeness: Low

Threats:
Connectwise_rat
Screenconnect_tool

CVEs:
CVE-2024-1709 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 10
X-Force: Patch: Official fix
Soft:
- connectwise screenconnect (<23.9.8)


ChatGPT TTPs:
do not use without manual check
T1190, T1068, T1210, T1547, T1105, T1059, T1199

IOCs:
IP: 3

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Компания ConnectWise выпустила предупреждение о критической уязвимости в своем программном обеспечении для удаленного рабочего стола ScreenConnect, создающем значительный риск несанкционированного доступа и потенциального удаленного выполнения кода. Они настоятельно призвали клиентов, размещенных самостоятельно и локально, немедленно обновиться до версии 23.9.8, чтобы смягчить эту угрозу и защитить свои системы.
-----

Компания ConnectWise выпустила предупреждение для своих клиентов, размещенных самостоятельно и локально, относительно критической уязвимости в их программном обеспечении для удаленного рабочего стола ScreenConnect, обычно используемом в центрах обработки данных и для удаленной помощи. Партнеры ConnectWise управляют миллионами конечных точек для клиентов, и недавнее сканирование Shadowserver выявило около 3800 уязвимых экземпляров в США. Агентство по кибербезопасности и защите инфраструктуры (CISA) включило эту уязвимость в свой каталог известных эксплуатируемых уязвимостей.

Конкретная уязвимость, идентифицированная как CVE-2024-1709, представляет собой ошибку обхода аутентификации с оценкой CVSS 10, потенциально предоставляющую злоумышленнику административный доступ к скомпрометированной системе. Обладая правами администратора, злоумышленники могут использовать эту уязвимость для создания и загрузки вредоносного расширения ScreenConnect, что приводит к удаленному выполнению кода (RCE). Уязвимыми версиями являются ScreenConnect 23.9.7 и более ранние.

ConnectWise уже обновила свои серверы ScreenConnect, размещенные на screenconnect.com и hostedrmm.com , чтобы устранить проблему для облачных партнеров. Однако клиентам, размещенным самостоятельно и локально, настоятельно рекомендуется немедленно обновить свои серверы до версии 23.9.8, чтобы применить необходимое исправление. ConnectWise также предлагает обновленные версии для выпусков с 22.4 по 23.9.7, но настоятельно рекомендует партнерам перейти на ScreenConnect версии 23.9.8, чтобы устранить критическую уязвимость.

Партнерам, использующим уязвимые версии, настоятельно рекомендуется принять немедленные меры для защиты своих систем от потенциального использования злоумышленниками. Неприменение необходимого исправления может привести к серьезным последствиям, включая несанкционированный доступ и потенциальное удаленное выполнение кода на скомпрометированных экземплярах. ConnectWise подчеркивает важность оперативного обновления до рекомендуемой версии для защиты от киберугроз и поддержания безопасности своих систем.

#ParsedReport #CompletenessLow
25-02-2024

ConnectWise ScreenConnect attacks deliver malware

https://news.sophos.com/en-us/2024/02/23/connectwise-screenconnect-attacks-deliver-malware

Report completeness: Low

Threats:
Connectwise_rat
Screenconnect_tool
Asyncrat
Cobalt_strike
Lockbit
Vidar_stealer
Redline_stealer
Redcap
Beacon
Xworm_rat

Geo:
America

CVEs:
CVE-2024-1708 [Vulners]
CVSS V3.1: 8.4,
Vulners: Exploitation: Unknown
X-Force: Risk: 8.4
X-Force: Patch: Official fix
Soft:
- connectwise screenconnect (<23.9.8)

CVE-2024-1709 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: 10
X-Force: Patch: Official fix
Soft:
- connectwise screenconnect (<23.9.8)


TTPs:

ChatGPT TTPs:
do not use without manual check
T1190, T1068, T1210, T1486, T1105, T1027, T1555, T1547, T1059, T1070, have more...

IOCs:
Hash: 3
File: 8
Path: 1

Soft:
Windows Defender

Algorithms:
sha256

Languages:
rust, powershell

Platforms:
x86

Links:
https://github.com/SophosRapidResponse/OSQuery/tree/main/Vulnerabilities/ScreenConnect
https://github.com/SophosRapidResponse/OSQuery/blob/main/Vulnerabilities/ScreenConnect/ScreenConnect.05.0%20-%20Evidence%20of%20temporary%20User%20File%20creation.sql
https://github.com/SophosRapidResponse/OSQuery/blob/main/Vulnerabilities/ScreenConnect/ScreenConnect.06.0%20-%20Check%20for%20.ASPX%20.ASHX%20files%20in%20App\_Extensions%20folder.sql
https://github.com/SophosRapidResponse/OSQuery/blob/main/Vulnerabilities/ScreenConnect/ScreenConnect.04.0%20-%20Checks%20user.xml%20file%20for%20new%20users%20created.sql
https://github.com/SophosRapidResponse/OSQuery/blob/main/Vulnerabilities/ScreenConnect/ScreenConnect.03.0%20-%20SetupWizard.aspx%20in%20IIS%20logs.sql
https://github.com/SophosRapidResponse/OSQuery/blob/main/Vulnerabilities/ScreenConnect/ScreenConnect.01.1%20-%20Check%20version%20of%20ScreenConnect%20Server.sql
https://github.com/SophosRapidResponse/OSQuery/blob/main/Vulnerabilities/ScreenConnect/ScreenConnect.02.0%20-%20ScreenConnect%20Relay%20IP.sql
https://github.com/SophosRapidResponse/OSQuery/blob/main/Vulnerabilities/ScreenConnect/ScreenConnect.07.0%20-%20Identify%20shells%20being%20spawned%20from%20ScreenConnect.sql
https://github.com/SophosRapidResponse/OSQuery/blob/main/Vulnerabilities/ScreenConnect/ScreenConnect.01.0%20-%20Check%20version%20of%20ScreenConnect%20Server.sql

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что существует значительная и растущая угроза, исходящая от использования уязвимостей в установках ConnectWise ScreenConnect, которые приводят к различным атакам, включающим развертывание вредоносных программ, программ-вымогателей, кражу данных и другие вредоносные действия. В нем подчеркивается важность оперативного исправления уязвимых систем, проведения тщательных расследований и внедрения усиленных мер безопасности для снижения рисков, связанных с этими уязвимостями, с целью защиты от развивающихся киберугроз.
-----

Sophos X-Ops отслеживает растущую тенденцию использования уязвимостей, нацеленных на незарегистрированные установки ConnectWise ScreenConnect. 19 февраля 2024 года ConnectWise выпустила рекомендации по безопасности, в которых выделяются две критические уязвимости, затрагивающие более старые версии ScreenConnect. Эти уязвимости, CVE-2024-1709 и CVE-2024-1708, могут позволить удаленное выполнение кода или повлиять на конфиденциальные данные. Злоумышленники использовали эти уязвимости для развертывания вредоносного ПО на серверах или рабочих станциях с установленным клиентским программным обеспечением. Исправление сервера не приводит к удалению развернутого вредоносного ПО, поэтому необходимо тщательно исследовать скомпрометированные среды. Реализации, размещенные в облаке, быстро получили меры по устранению неполадок, в то время как экземпляры, размещенные самостоятельно, остаются в зоне риска до тех пор, пока вручную не будет обновлено до версии 23.9.8.

21 февраля 2024 года на GitHub был опубликован тестовый код, использующий эти уязвимости, что привело к наблюдаемой активной эксплуатации в дикой природе. Sophos выявила атаки, связанные с программой-вымогателем LockBit, созданной с использованием просочившегося инструмента создания вредоносных программ. Кроме того, в связи с атаками ScreenConnect были обнаружены варианты вредоносных программ, такие как buhtiRansom и Xworm. Злоумышленники использовали эти эксплойты для запуска различных атак и доставки вредоносных программ, таких как AsyncRAT и Vidar/Redline data stealer, через ScreenConnect.

Анализируя данные телеметрии, Sophos обнаружила рост угроз, связанных с ScreenConnect, после раскрытия уязвимостей. Злоумышленники использовали ScreenConnect для развертывания программ-вымогателей, кражи данных и распространения вредоносных программ, таких как Redcap. Были обнаружены инциденты, связанные с доставкой маяка Cobalt Strike и RATs, таких как Xworm, нацеленные на компьютеры с клиентским программным обеспечением ScreenConnect. Эти атаки подчеркивают необходимость тщательного расследования и немедленного исправления уязвимых установок ScreenConnect.

Sophos рекомендует предпринять шаги для идентификации и обеспечения безопасности установок ScreenConnect, включая определение местоположения всех экземпляров в сети, временную изоляцию или деинсталляцию клиентского программного обеспечения, проведение подробного анализа подозрительных действий и инициирование реагирования на инциденты, если это необходимо. Организациям рекомендуется отслеживать появление новых пользователей, необычную активность программного обеспечения, системную разведку и отключение средств контроля безопасности. Кроме того, следует внимательно отслеживать показатели возможного использования, такие как IP-адреса, подключающиеся к серверам ScreenConnect, SetupWizard.aspx в журналах IIS и user.xml изменения файлов, для обнаружения потенциальных угроз.

В ответ на растущую волну атак, нацеленных на ScreenConnect, организациям крайне важно оперативно исправлять свои серверы, выявлять признаки компрометации и усиливать меры безопасности для снижения рисков, связанных с этими уязвимостями. Постоянная бдительность и упреждающие меры безопасности необходимы для защиты от развивающихся киберугроз в современном цифровом ландшафте.

#ParsedReport #CompletenessMedium
23-02-2024

Widespread exploitation of recently disclosed Ivanti vulnerabilities

https://securityintelligence.com/x-force/exploitation-of-exposed-ivanti-vulnerabilities

Report completeness: Medium

Actors/Campaigns:
Uta0178
Unc5221

Threats:
Dslog
Framesting_shell
Wirefire
Chainline_shell
Credential_harvesting_technique
Warpwire
Giftedvisitor

Industry:
Ics

Geo:
Chinese

CVEs:
CVE-2024-21893 [Vulners]
CVSS V3.1: 8.2,
Vulners: Exploitation: True
X-Force: Risk: 8.2
X-Force: Patch: Official fix
Soft:
- ivanti connect secure (9.0, 9.1, 21.9, 21.12, 22.1, 22.2, 22.3, 22.4, 22.6)
- ivanti neurons for zero-trust access (-)
- ivanti policy secure (9.0, 9.1, 22.1, 22.2, 22.3, 22.4, 22.5, 22.6)

CVE-2024-21887 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: 9.1
X-Force: Patch: Official fix
Soft:
- ivanti connect secure (9.0, 9.1, 22.1, 22.2, 22.3, 22.4, 22.5, 22.6)
- ivanti policy secure (9.0, 9.1, 22.1, 22.2, 22.3, 22.4, 22.5, 22.6)

CVE-2023-46805 [Vulners]
CVSS V3.1: 8.2,
Vulners: Exploitation: True
X-Force: Risk: 8.2
X-Force: Patch: Official fix
Soft:
- ivanti connect secure (9.0, 9.1, 22.1, 22.2, 22.3, 22.4, 22.5, 22.6)
- ivanti policy secure (9.0, 9.1, 22.1, 22.2, 22.3, 22.4, 22.5, 22.6)

CVE-2024-21888 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 8.8
X-Force: Patch: Official fix
Soft:
- ivanti connect secure (9.0, 9.1, 21.9, 21.12, 22.1, 22.2, 22.3, 22.4, 22.6)
- ivanti policy secure (9.0, 9.1, 22.1, 22.2, 22.3, 22.4, 22.5, 22.6)

CVE-2024-22024 [Vulners]
CVSS V3.1: 8.3,
Vulners: Exploitation: Unknown
X-Force: Risk: 8.3
X-Force: Patch: Official fix
Soft:
- ivanti connect secure (9.1, 22.4, 22.5)


ChatGPT TTPs:
do not use without manual check
T1190, T1550, T1505, T1574, T1505.003, T1099, T1027, T1070.004, T1041, T1059.001, have more...

IOCs:
File: 2
Hash: 6
Url: 1
IP: 6

Soft:
Ivanti

Algorithms:
sha256, rot47

Languages:
perl, python

Links:
https://gist.github.com/rxwx/03a036d8982c9a3cead0c053cf334605

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что IBM X-Force активно реагирует на успешные компрометации, связанные с уязвимостями устройств Ivanti, выявляя конкретные методы атаки, такие как кража данных токена аутентификации, и предоставляя подробную информацию, помогающую организациям защитить себя от этих угроз. Исследование, проведенное IBM X-Force, выявило ключевые выводы, касающиеся уязвимостей, эксплуатации злоумышленниками и использования вредоносных методов, таких как модификации файлов и веб-оболочек, для действий после компрометации. Организациям рекомендуется внедрять меры сдерживания, использовать инструменты для выявления признаков компрометации и сотрудничать со службой поддержки Ivanti для расшифровки и анализа скомпрометированных систем, чтобы смягчить текущую угрозу.
-----

IBM X-Force участвовала в реагировании на компрометации, связанные с уязвимостями в устройствах Ivanti, раскрытыми в январе 2024 года.

Конкретные методы атаки, выявленные исследователями IBM, включают кражу данных токена аутентификации.

Уязвимости нулевого дня CVE-2023-46805 и CVE-2024-21887 были использованы для обхода аутентификации и удаленного выполнения кода.

Злоумышленник UTA0178 (UNC5221) подозревался в использовании этих уязвимостей в декабре 2023 года, за чем последовало широкомасштабное сканирование и эксплуатация.

Код эксплойта, подтверждающий концепцию, привел к раскрытию Иванти дополнительных уязвимостей.

Злоумышленники модифицировали определенные файлы в устройствах Ivanti, чтобы отфильтровать данные токена аутентификации.

Вредоносный код был вставлен в законные файлы Ivanti для создания бэкдоров и манипулирования системными функциями.

Использование веб-оболочек, таких как FRAMESTING, WIREFIRE и CHAINLINE, позволило субъектам угроз поддерживать постоянство и извлекать данные.

X-Force рекомендует организациям внедрять меры сдерживания и использовать такие инструменты, как Ivanti Integrity Check Tool (ICT) для обнаружения компрометации.

Организациям рекомендуется следовать рекомендациям поставщиков по устранению неполадок, уделять приоритетное внимание сохранению доказательств и сотрудничать со службой поддержки Ivanti для расшифровки и анализа скомпрометированных систем.

#ParsedReport #CompletenessLow
26-02-2024

US-related APT organization analysis report - APT-C-40(NSA)

https://www.ctfiot.com/162892.html

Report completeness: Low

Actors/Campaigns:
Apt_c_40 (motivation: information_theft, cyber_espionage)

Threats:
Shadow_brokers_tool
Eternalblue_vuln
Wannacry
Submarine
Foxacid_tool
Mitm_technique
Quantum_locker
Quantumcookie_tool
Quantumsquirrel_tool
Stuxnet
Cobalt_strike

Victims:
Northwestern polytechnical university, China's leading enterprises, Governments, Universities, Medical institutions, Scientific research institutions, Information infrastructure operation and maintenance units, Organization of the petroleum exporting countries, Mexican secretariat of public security, European politicians and people, have more...

Industry:
Government, Aerospace, Military, Petroleum, Healthcare, Financial, Education, Telco, Transport

Geo:
Pakistan, Emirates, Colombia, Israel, Iraq, Venezuela, Germany, Norway, Mexican, Korea, Russia, Congo, Nigeria, India, Libya, Chinese, Ukrainian, Angola, Guinea, China, Kuwait, Usa, Iran, Gabon, American, Georgia, France, Danish, Sweden, Russian, Algeria

ChatGPT TTPs:
do not use without manual check
T1588, T1190, T1027, T1547, T1562, T1110, T1555, T1140, T1573, T1105, have more...

IOCs:
File: 4

Soft:
Android, JunOS, ChatGPT, WeChat

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в разоблачении киберугроз, исходящих от Агентства национальной безопасности (АНБ) Соединенных Штатов, с особым акцентом на деятельность конкретной хакерской группы, известной как APT-C-40, предположительно связанной с АНБ. Это включает в себя подробную информацию о скрытых кибератаках, использовании просочившегося кибероружия, такого как Eternal Blue, организационную структуру Оперативного управления АНБ по технологиям доступа (TAO), конкретное кибероружие, используемое АНБ, инциденты, связанные с киберактивностью АНБ, и ссылки на разоблачения Эдварда Сноудена о программах слежки АНБ.
-----

В тексте подробно рассказывается о киберугрозах, исходящих от Агентства национальной безопасности (АНБ) Соединенных Штатов, в первую очередь о деятельности конкретной хакерской группы, известной как APT-C-40, предположительно связанной с АНБ. В тексте подчеркивается, что с 2008 года АНБ участвовало в скрытых и неизбирательных кибератаках против различных организаций по всему миру, включая Китай. АНБ обвинялось в использовании просочившегося кибероружия, такого как Eternal Blue, которое использовалось при атаках, подобных WannaCry. Кроме того, в тексте раскрывается существование конкретной хакерской группы в АНБ, получившей название APT-C-40, которая, как сообщается, более десяти лет проводила секретные хакерские операции против китайских предприятий, правительств, университетов и других учреждений, что привело к краже значительных объемов конфиденциальной информации.

Более того, в тексте подробно описывается организационная структура АНБ, проливающая свет на его Управление по операциям с технологиями доступа (TAO), в состав которого входят более 1000 сотрудников, ответственных за кибератаки и шпионские операции. В нем упоминается Центр удаленных операций (ROC) в рамках TAO, который обрабатывает отчеты со всего мира и крадет конфиденциальную информацию. Дальнейшие подробности объясняют функции различных отделов в рамках TAO, включая разработку средств кибератак, обслуживание глобальной инфраструктуры кибератак и осуществление тайных операций, таких как "Операция вне сети", по внедрению оборудования наблюдения в зарубежные сети.

В тексте содержится информация о конкретном кибероружии, используемом АНБ, таком как системы "Quantum" атак, предназначенные для перехвата сетевого трафика и проведения сложных эксплойтов. Это оружие, включая "Quantum locker" и "Quantum cookie", используется для нацеливания на конкретные регионы и отдельных лиц в целях шпионажа. Кибер-арсенал АНБ также включает в себя различные трояны, бэкдоры и инструменты внедрения, такие как троян "валидатор", которые облегчают удаленный доступ, кражу данных и контроль над сетью.

Кроме того, в тексте освещаются различные инциденты, связанные с киберактивностью АНБ, включая мониторинг европейских лидеров, вирусную атаку Stuxnet на ядерный объект Ирана в Натанзе и развертывание средств кибершпионажа в Гонконге и материковом Китае. В нем упоминается, как АНБ использует передовые технологии и разведывательные ресурсы для доминирования в кибервойне, проводя неизбирательные атаки по всему миру.

В тексте также упоминаются откровения разоблачителя Эдварда Сноудена о крупномасштабных программах слежки АНБ, таких как Prism, которые были нацелены как на граждан США, так и на иностранные организации. Кроме того, в нем затрагиваются просочившиеся документы, разоблачающие операции АНБ по кибершпионажу, и упоминается инцидент с кибератакой на Северо-Западный политехнический университет, приписывающий эту деятельность АНБ.

#ParsedReport #CompletenessLow
26-02-2024

CharmingKittenAPT technical means analysis

https://www.ctfiot.com/162600.html

Report completeness: Low

Actors/Campaigns:
Charming_kitten (motivation: cyber_espionage)

Threats:
Beacon

Victims:
People related to iranian academic research, Human rights and media personnel, Political consultants on iran

Geo:
Iran, Iranian, Denmark, Israel, Switzerland, India

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1071, T1105, T1568, T1583

IOCs:
File: 5
Hash: 1
Url: 4
Domain: 3

Win API:
CreateThread

Languages:
powershell

#ParsedReport #ExtractedSchema

Classified images:
schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста такова: CharmingKitten, иранская организация кибершпионажа, связанная с Бехзадом Месри, нацелена на лиц, занимающихся иранскими академическими исследованиями, правами человека, средствами массовой информации, а также на тех, кто выступает против деятельности Ирана внутри страны и на международном уровне. Они используют уникальные методы, такие как WinClass, для обнаружения вредоносных подключений и используют вводящие в заблуждение доменные имена, чтобы избежать обнаружения при тестировании доступности сети.
-----

Организация кибершпионажа Charming Kitten родом из Ирана и связана с Бехзадом Месри, иранцем, ранее обвиняемым в нападении на телеканал HBO. Эта группа в первую очередь нацелена на лиц, занимающихся иранскими академическими исследованиями, правами человека и средствами массовой информации, а также на тех, кто выступает против деятельности Ирана внутри страны и на международном уровне. Они также фокусируются на журналистах, освещающих иранские дела, и политических консультантах, выступающих в дискуссиях СМИ об Иране. Хотя большинство их жертв проживают в Иране, Израиле и Соединенных Штатах, были также мишени в Швейцарии, Индии, Дании и других регионах.

Одним из отличительных приемов, используемых Charming Kitten, является использование WinClass для регистрации обратных вызовов окна для установления вредоносных подключений. Этот процесс включает в себя подключение к серверу с использованием обратных вызовов window, получение сообщения об успешном ответе, обозначенного как 0x200, а затем выполнение командно-контрольных операций (C2) наряду с манипуляцией данными.

Вредоносные доменные имена группы были определены как важнейший аспект их деятельности. При изучении сетевой инфраструктуры было обнаружено, что вредоносное ПО, используемое CharmingKitten, часто проверяет подключение с помощью, казалось бы, безобидных доменных имен, таких как schmas.microsoft.com-google.com. Эта тактика направлена на то, чтобы избежать обнаружения и проверить доступность сети с помощью доменов, которые ничего не подозревающим пользователям могут показаться законными.

Должен быть интересный AM-Live про ИИ в ИБ.
Посмотрим что расскажут коллеги, ну а мы делимся своими экспериментами в этом канале :)
Кажется, придумали способ как повысить качество поиска релевантных фрагментов TI-отчетов при использовании RAG.
https://live.anti-malware.ru/am-live/primenenie-ii-v-ib/

#technique

Unveiling custom packers: A comprehensive guide

https://estr3llas.github.io/unveiling-custom-packers-a-comprehensive-guide/