#ParsedReport #CompletenessLow
27-02-2024

SVR cyber actors adapt tactics for initial cloud access

https://www.ncsc.gov.uk/news/svr-cyber-actors-adapt-tactics-for-initial-cloud-access

Report completeness: Low

Actors/Campaigns:
Duke (motivation: cyber_espionage)

Threats:
Password_spray_technique
Mfa_bombing_technique
Supply_chain_technique
Magicweb

Victims:
Governmental, Think tank, Healthcare, Energy, Aviation, Education, Law enforcement, Local and state councils, Government financial departments, Military organisations, have more...

Industry:
Education, Military, Financial, Energy, Aerospace, Healthcare, Telco, Government

Geo:
Canadian, Australian, Russian

TTPs:
Tactics: 4
Technics: 5

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста - подробное руководство с изложением тактики, методов и процедур, используемых APT29 (Midnight Blizzard, the Dukes или Cozy Bear), группой кибершпионажа, вероятно, связанной с российской разведывательной службой СВР. В рекомендации освещается историческая ориентация SVR на различные секторы, адаптация к облачным средам, использование TTP, таких как распыление паролей и аутентификация токенами, а также стратегии защиты от их атак на начальном этапе доступа. Рекомендации включают внедрение надежных основ кибербезопасности и использование многофакторной аутентификации для усиления защиты от угроз SVR.
-----

В консультативном заключении обсуждаются недавние тактики, методы и процедуры (TTP), используемые APT29, также известной как Midnight Blizzard, the Dukes или Cozy Bear, которая, по оценкам, является группой кибершпионажа, почти наверняка входящей в состав СВР, российской разведывательной службы. Различные международные партнеры, включая Национальный центр кибербезопасности Великобритании (NCSC), Агентство национальной безопасности США (NSA), CISA, ФБР, Австралийское управление сигналов, Канадский центр кибербезопасности и Новозеландский национальный центр кибербезопасности, согласны с этим утверждением.

СВР исторически нацеливалась на правительственный сектор, аналитические центры, здравоохранение и энергетику для получения разведывательной информации, но расширила сферу своей деятельности, включив авиацию, образование, правоохранительные органы, финансовые ведомства и военные организации. В связи с переходом организаций на облачную инфраструктуру служба СВР адаптировала свою тактику в соответствии с этими изменениями. Аутентификация облачных провайдеров служит важной точкой входа для участников службы СВР, и отказ им в первоначальном доступе может помешать их способности компрометировать цели. В локальных системах большая часть сети подвержена угрозам по сравнению с облачными средами.

Участники SVR в прошлом году использовали различные TTP, включая грубый взлом и распыление паролей для доступа к учетным записям служб, которые имеют высокие привилегии и обычно используются для управления приложениями и службами. Они нацелились на неактивные учетные записи в организациях-жертвах и, как было замечено, использовали инциденты со сбросом пароля для восстановления доступа. Более того, они использовали токены доступа для аутентификации в учетных записях жертв, не требуя паролей.

Чтобы обойти аутентификацию по паролю, участники SVR использовали такие тактики, как распыление паролей, повторное использование учетных данных и бомбардировка MFA, чтобы обойти многофакторную аутентификацию. Оказавшись в облачной среде, они зарегистрировали свое собственное устройство для получения доступа к сети. Субъекты SVR также использовали локальные прокси-серверы, чтобы вредоносный трафик выглядел так, как будто он исходит из законных локальных источников, что затрудняет его обнаружение и отличие от обычного трафика.

В рекомендации предполагается, что организации могут защититься от TTP SVR, внедрив надежные основы кибербезопасности, уделяя особое внимание смягчению первоначальных факторов доступа. Рекомендации включают использование многофакторной аутентификации, отключение учетных записей, когда это не требуется, реализацию принципа наименьших привилегий для системных учетных записей, мониторинг и оповещение об использовании учетной записи, сокращение времени сеанса, настройку политик регистрации устройств и использование различных источников информации для обнаружения подозрительных действий.

Защита от угроз, исходящих от SVR, на начальном этапе доступа имеет решающее значение, поскольку, как только они закрепятся, они смогут использовать сложные возможности, такие как MagicWeb. Следуя рекомендациям, изложенным в рекомендации, организации могут усилить свою защиту от СВР и снизить риск стать жертвами кибершпионажа.

#cyberthreattech

Сам не ожидал сколько у нас накопилось интеграций и кейсов с загрузкой IoC в разные решения

#technique

Navigating the Cloud: Exploring Lateral Movement Techniques

https://unit42.paloaltonetworks.com/cloud-lateral-movement-techniques/

#ParsedReport #CompletenessHigh
27-02-2024

European diplomats targeted by SPIKEDWINE with WINELOADER

https://www.zscaler.com/blogs/security-research/european-diplomats-targeted-spikedwine-wineloader

Report completeness: High

Threats:
Spikedwine_actor
Wineloader
Dll_sideloading_technique
Process_injection_technique
Beacon

Industry:
Government

Geo:
Indian, Latvia, India

TTPs:

IOCs:
File: 19
Hash: 9
Url: 4
Registry: 1
Path: 6

Soft:
LibreOffice, MS SQL

Algorithms:
base64, exhibit, zip, rc4

Win Services:
sqlwriter, writer.exe

Languages:
javascript, php

Platforms:
x64

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, dump: 2, code: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея: ThreatLabZ от Zscaler обнаружил сложную киберугрозу, нацеленную на индийских и европейских дипломатов с помощью вредоносного PDF-файла, замаскированного под письмо-приглашение, что привело к цепочке заражения с использованием модульного бэкдора WINELOADER. Исполнитель угроз, известный как SPIKEDWINE, продемонстрировал продвинутую тактику, методы уклонения и значительный интерес к использованию дипломатических отношений, что побудило Zscaler продолжать расследование и мониторинг для защиты от таких угроз.
-----

ThreatLabZ от Zscaler выявил подозрительный PDF-файл из Латвии на VirusTotal, что привело к обнаружению аналогичного файла с июля 2023 года.

PDF-файл маскировался под письмо-приглашение от посла Индии, что приводило к вредоносному ZIP-архиву через поддельную ссылку на анкету, перенаправляющую пользователей.

В атаке был задействован бэкдор под названием WINELOADER, известный как SPIKEDWINE, с признаками угрозы со стороны национального государства, нацеленной на индийско-европейские дипломатические отношения.

WINELOADER использовал продвинутую тактику уклонения, включая зашифрованные модули, защиту данных в памяти, скомпрометированные веб-сайты для C2 и стороннюю загрузку DLL.

Злоумышленник продемонстрировал заинтересованность в использовании дипломатических отношений, использовал методы шифрования, удаление библиотеки DLL, код рандомизации и модуль сохранения для продолжения работы.

Zscaler продолжает расследования, мониторинг и усилия по защите от этой угрозы, включая выявление связанных индикаторов на нескольких уровнях безопасности.

#ParsedReport #CompletenessMedium
28-02-2024

Lazarus and the FudModule Rootkit: Beyond BYOVD with an Admin-to-Kernel Zero-Day

https://decoded.avast.io/janvojtesek/lazarus-and-the-fudmodule-rootkit-beyond-byovd-with-an-admin-to-kernel-zero-day

Report completeness: Medium

Actors/Campaigns:
Lazarus
Kimsuky

Threats:
Fudmodule_rootkit
Byovd_technique
Carbon
Candiru
Windbg_tool

Geo:
Japanese, Korean, Korea

CVEs:
CVE-2024-21338 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft windows 10 1809 (<10.0.17763.5458)
- microsoft windows 10 21h2 (<10.0.19044.4046)
- microsoft windows 10 22h2 (<10.0.19045.4046)
- microsoft windows 11 21h2 (<10.0.22000.2777)
- microsoft windows 11 22h2 (<10.0.22621.3155)
have more...

ChatGPT TTPs:
do not use without manual check
T1068, T1547.014, T1055, T1070.004, T1550.002, T1564.001, T1036.005, T1562.001, T1056.003

IOCs:
File: 70
Command: 1
Coin: 1

Soft:
Event Tracing for Windows, Microsoft Defender, Windows security, Windows Defender

Algorithms:
xor

Functions:
CreateFile, FudModule

Win API:
ZwDeviceIoControlFile, ZwQueryInformationFile, ZwReadFile, ExGetPreviousMode, NtQuerySystemInformation, NtSetInformationThread, NtDeviceIoControlFile, NtWriteVirtualMemory, NtReadVirtualMemory, CmRegisterCallbackEx, have more...

Win Services:
bits, MsMpEng

Links:
https://github.com/reactos/reactos/blob/e0c17c3f462e3b62bf0c4ca2479c1e5c6b8ff496/sdk/include/ndk/extypes.h#L535
https://github.com/wavestone-cdt/EDRSandblast
https://github.com/avast/ioc/tree/master/FudModule#targeted-etw-provider-guids
https://github.com/avast/ioc/tree/master/FudModule#yara

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в обнаружении и использовании группой Lazarus критического эксплойта для доступа администратора к ядру, который был активирован с помощью уязвимости нулевого дня в драйвере appid.sys AppLocker. Этот эксплойт позволил установить примитив чтения/записи ядра, расширяющий вредоносные возможности группы. Последующий анализ варианта руткита FudModule выявил значительные улучшения в скрытых функциях и функциональности, выявив текущие угрозы модели безопасности Microsoft. В тексте подчеркивается важность своевременного внесения исправлений для срыва наступательных операций таких участников угроз, как Lazarus, и необходимость постоянного мониторинга для отслеживания их реакции и адаптации.
-----

Avast обнаружила критический эксплойт для доступа администратора к ядру, связанный с уязвимостью нулевого дня (CVE-2024-21338) в драйвере appid.sys AppLocker, используемом группой Lazarus для примитивного чтения/записи ядра.

Корпорация Майкрософт оперативно устранила уязвимость в своем февральском обновлении Patch Tuesday.

Вариант руткита FudModule обладает расширенной функциональностью и скрытыми функциями, включая манипулирование записями таблицы дескрипторов для приостановки процессов, защищенных PPL, что приводит к увеличению возможностей скрытности.

Avast выявила нового троянца удаленного доступа (RAT), связанного с группой Lazarus.

Модель безопасности Microsoft сталкивается с проблемами, связанными с предотвращением доступа злоумышленников на уровне администратора к ядру, при этом используются уязвимости в сторонних драйверах.

Уязвимость нулевого дня, используемая Lazarus, затрагивает Windows версий с 10 по 11, требуя предоставления доступа на запись учетной записи локальной службы.

Руткит FudModule использует множество методов для подрыва механизмов безопасности и нарушения работы программного обеспечения безопасности, а строки отладки указывают на возможное корейское происхождение.

Руткит нацелен на различные функциональные возможности ядра, такие как обратные вызовы реестра, объектные обратные вызовы и минифильтры файловой системы, чтобы избежать обнаружения и эффективно нарушить работу системы безопасности.

Руткит использует тактику отключения определенного программного обеспечения безопасности, манипулируя записями в таблице дескрипторов и нарушая их работу, что значительно повышает скрытность его атаки.

Несмотря на свою техническую изощренность, группа Lazarus должна адаптироваться к разоблачению своего эксплойта нулевого дня, что потенциально требует от них обнаружения новых эксплойтов или возврата к предыдущим методам.

#ParsedReport #CompletenessLow
28-02-2024

JPCERT/CC Eyes

https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html

Report completeness: Low

Actors/Campaigns:
Lazarus

Threats:
Comebacker
Blindingcan

Geo:
Usa

ChatGPT TTPs:
do not use without manual check
T1195, T1059.006, T1027, T1204.002, T1547.012, T1055, T1105, T1573.002

IOCs:
File: 3
Path: 5
Hash: 16

Algorithms:
md5, xor, base64

Languages:
python, javascript

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, code: 3, schema: 1, dump: 2, chart: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что аналитик cyber threat intelligence выявил новые вредоносные пакеты Python в репозитории PyPI, созданном группой Lazarus threat actor group. Пакеты, pycryptoenv и pycryptoconf, содержат определенный тип вредоносного ПО под названием Comebacker, которое взаимодействует с серверами управления для получения и запуска исполняемых файлов Windows. Аналитик предупреждает пользователей о необходимости соблюдать осторожность при установке пакета и предоставляет информацию о поведении и характеристиках вредоносного ПО.
-----

Аналитик по анализу киберугроз из JPCERT/CC подтвердил, что Lazarus, печально известная группа исполнителей угроз, выпустила новые вредоносные пакеты Python в репозитории PyPI. Два идентифицированных пакета называются pycryptoenv и pycryptoconf, что напоминает законный пакет pycrypto, используемый для алгоритмов шифрования в Python. Злоумышленник, вероятно, создал эти пакеты, чтобы использовать опечатки пользователей во время установки. Статья посвящена подробностям этих вредоносных пакетов, в качестве примера приводится pycryptoenv, поскольку его файловая структура схожа с другими подтвержденными пакетами.

Основным вредоносным компонентом в вредоносных пакетах Python является файл с именем test.py, который является не скриптом Python, а закодированными двоичными данными в виде DLL-файла. Этот специфический тип вредоносного ПО, известный как Comebacker, соответствует вредоносному ПО, использованному Lazarus в предыдущей атаке на исследователей безопасности, о чем сообщила Google в январе 2021 года. Несмотря на отсутствие кода в pycryptoenv для непосредственного запуска вредоносного ПО, злоумышленник, вероятно, использует скрипт на Python для запуска функции crypt, ответственной за выполнение test.py в целевой системе.

Анализ углубляется в поведение, запускаемое при инициировании процесса декодирования и выполнения для test.py. Путь выполнения от pycryptoenv к основной части вредоносного ПО включает создание и выполнение DLL-файлов, таких как IconCache.db и NTUSER.DAT, что приводит к активации Comebacker. Примечательно, что идентифицируемые шаблоны кода NOP в образце вредоносного ПО совпадают с характеристиками, обнаруженными в других вариантах вредоносного ПО, связанных с Lazarus, таких как BLINDINGCAN.

Comebacker устанавливает связь со своими серверами Command and Control (C2), отправляя HTTP POST-запросы, получая взамен исполняемые файлы Windows, которые затем выполняет в памяти. Этот механизм связи подразумевает командно-управляемый подход, при котором вредоносная программа управляется злоумышленниками удаленно. Аналогичный вектор атаки с использованием пакета npm для распространения Comebacker наблюдался в прошлом, что еще больше вовлекает Lazarus в проведение этих многоплановых кампаний по распространению вредоносного ПО в различных репозиториях пакетов.

Вредоносные пакеты Python были загружены от 300 до 1200 раз, что свидетельствует об активной ориентации пользователей, которые могут не заметить незначительные опечатки во время установки пакета. Пользователям рекомендуется проявлять осторожность при установке модулей и программного обеспечения, чтобы предотвратить непреднамеренную загрузку вредоносных пакетов. Приложение, вероятно, содержит дополнительную информацию об инфраструктуре C2 и другие соответствующие детали, относящиеся к проанализированным образцам вредоносных программ.

Аналитик, участвовавший в этом исследовании, обладает значительным опытом в анализе вредоносных программ и криминалистических расследованиях, уделяя особое внимание инцидентам с целенаправленными атаками. Имея опыт мониторинга и анализа безопасности в ИТ-компании, аналитик выступал с докладами на различных престижных конференциях по безопасности, демонстрируя глубокое понимание развивающихся киберугроз и стратегий защиты.

#ParsedReport #CompletenessMedium
28-02-2024

One year later, Rhadamanthys is still dropped via malvertising

https://www.malwarebytes.com/blog/threat-intelligence/2024/02/one-year-later-rhadamanthys-is-still-dropped-via-malvertising

Report completeness: Medium

Threats:
Rhadamanthys
Parsec_tool
Fakebat
Nitrogen
Hijackloader
Netsupportmanager_rat
Cloaking_technique
Putty_tool

Geo:
Poland

ChatGPT TTPs:
do not use without manual check
T1204, T1566, T1027, T1071, T1553.002, T1046, T1588.002

IOCs:
Domain: 4
Hash: 3
IP: 2
Email: 2

Soft:
WinSCP, Slack

Languages:
javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея: В тексте обсуждается устойчивость вредоносной программы Rhadamanthys stealer в рекламных кампаниях, нацеленных на загрузку программного обеспечения, особенно ориентированных на бизнес-пользователей, используя популярные программные продукты, такие как Parsec, FreeCAD, WinSCP, Slack и Notion. Злоумышленники используют различные тактики, включая поддельную рекламу и веб-сайты-приманки, для распространения Rhadamanthys, целью которого является кража конфиденциальной информации из таких приложений, как PuTTY и WinSCP. Несмотря на принятые меры безопасности, предприятия продолжают сталкиваться с рисками, связанными с этими вредоносными рекламными кампаниями, что приводит к потенциальным нарушениям или атакам программ-вымогателей.
-----

Rhadamanthys stealer, вредоносная программа, которая первоначально появилась в виде вредоносной рекламы, продолжает проводить кампании по вредоносной рекламе, нацеленные на загрузку программного обеспечения. Даже в 2024 году эти кампании продолжаются, причем недавний всплеск произошел после затишья прошлым летом. В настоящее время эти атаки направлены на такие программные продукты, как Parsec, FreeCAD, WinSCP, Advanced IP Scanner, Slack и Notion. Субъекты угроз в первую очередь нацелены на бизнес-пользователей, развертывая полезные приложения, такие как FakeBat, Nitrogen, Hijackloader и Rhadamanthys.

Rhadamanthys в основном распространяется через malspam и malvertising, при этом злоумышленники используют веб-сайты-приманки, чтобы заманить жертв на загрузку вредоносного ПО. Первоначальным переносчиком заражения является дроппер, который извлекает Rhadamanthys с URL-адреса, размещенного в Интернете. Поисковые запросы Google, связанные с понятиями, возвращали вредоносную рекламу, указывая на то, как злоумышленники используют популярное программное обеспечение для обмана пользователей. Сайт TexBin paste зафиксировал значительный трафик, связанный с URL-адресом, на котором размещен Rhadamanthys.

Примечательным аспектом этих вредоносных кампаний является использование поддельной рекламы, часто создаваемой, казалось бы, законными лицами. Например, реклама, связанная с BUDNIK PAWE из Польши, использовалась для распространения вредоносного ПО в недавней кампании. Эта конкретная рекламная кампания, обнаруженная в начале 2024 года, первоначально привела к загрузке NetSupport RAT, но с тех пор эволюционировала для доставки Rhadamanthys в качестве конечной полезной нагрузки с помощью серии перенаправлений, направленных на то, чтобы избежать обнаружения.

Двоичный файл Windows для Rhadamanthys подписан, но цифровая подпись кажется недействительной. Лицо, подписавшее сертификат, связано с PuTTY inventor, что указывает на потенциальный обман или отзыв сертификата. Поведение Rhadamanthys связано с попытками кражи учетных данных из таких приложений, как PuTTY, WinSCP и почтовые программы, что подчеркивает его нацеленность на извлечение конфиденциальной информации.

Несмотря на знакомство с этими тактиками вредоносной рекламы, картина угроз остается тревожной, поскольку компании сообщают об инцидентах, когда сотрудники были скомпрометированы после взаимодействия с вредоносной рекламой. Последующие действия после заражения обычно включают развертывание инструментов пентестинга, предшествующих крупномасштабным нарушениям или атакам программ-вымогателей. Хотя об инфраструктуре, используемой при атаках, сообщается, а программное обеспечение безопасности, такое как Malwarebytes и ThreatDown, обеспечивает защиту, упреждающие меры, такие как фильтрация DNS для онлайн-рекламы, могут помочь эффективно предотвратить вредоносную рекламу в организациях.

#ParsedReport #CompletenessMedium
28-02-2024

z0Miner attacker exploits domestic web servers to attack WebLogic servers

https://asec.ahnlab.com/ko/62166

Report completeness: Medium

Threats:
Z0miner
Netcat_tool
Anydesk_tool
Behinder
Zubin
Godzilla_webshell
Chinachopper
Frpc_tool
Xmrig_miner
Trojan/win.frp

Geo:
China

CVEs:
CVE-2021-26084 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- atlassian confluence server (<7.12.5, <7.4.11, <7.11.6, <6.13.23)
- atlassian confluence data center (<7.12.5, <7.11.6, <7.4.11, <6.13.23)

CVE-2023-46604 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.4
X-Force: Patch: Official fix
Soft:
- apache activemq (<5.15.16, <5.16.7, <5.17.6, <5.18.3)

CVE-2020-14882 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- oracle weblogic server (12.1.3.0.0, 10.3.6.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0)


ChatGPT TTPs:
do not use without manual check
T1190, T1071, T1505, T1100, T1547

IOCs:
File: 20
IP: 3
Domain: 2
Coin: 2
Hash: 21

Soft:
confluence, activemq, curl

Crypto:
monero

Algorithms:
md5

Languages:
powershell

Links:
https://github.com/theralfbrown/WebShell-2/blob/master/jsp/SJavaWebManageV1.4.jsp
https://github.com/NS-Sp4ce/CVE-2021-21972/blob/main/payload/Linux/shell.jsp

#ParsedReport #GeneratedSchema
Generated with GPT-4