CTT Report Hub
#ParsedReport #CompletenessHigh 27-02-2024 European diplomats targeted by SPIKEDWINE with WINELOADER https://www.zscaler.com/blogs/security-research/european-diplomats-targeted-spikedwine-wineloader Report completeness: High Threats: Spikedwine_actor Wineloader…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея: ThreatLabZ от Zscaler обнаружил сложную киберугрозу, нацеленную на индийских и европейских дипломатов с помощью вредоносного PDF-файла, замаскированного под письмо-приглашение, что привело к цепочке заражения с использованием модульного бэкдора WINELOADER. Исполнитель угроз, известный как SPIKEDWINE, продемонстрировал продвинутую тактику, методы уклонения и значительный интерес к использованию дипломатических отношений, что побудило Zscaler продолжать расследование и мониторинг для защиты от таких угроз.
-----
ThreatLabZ от Zscaler выявил подозрительный PDF-файл из Латвии на VirusTotal, что привело к обнаружению аналогичного файла с июля 2023 года.
PDF-файл маскировался под письмо-приглашение от посла Индии, что приводило к вредоносному ZIP-архиву через поддельную ссылку на анкету, перенаправляющую пользователей.
В атаке был задействован бэкдор под названием WINELOADER, известный как SPIKEDWINE, с признаками угрозы со стороны национального государства, нацеленной на индийско-европейские дипломатические отношения.
WINELOADER использовал продвинутую тактику уклонения, включая зашифрованные модули, защиту данных в памяти, скомпрометированные веб-сайты для C2 и стороннюю загрузку DLL.
Злоумышленник продемонстрировал заинтересованность в использовании дипломатических отношений, использовал методы шифрования, удаление библиотеки DLL, код рандомизации и модуль сохранения для продолжения работы.
Zscaler продолжает расследования, мониторинг и усилия по защите от этой угрозы, включая выявление связанных индикаторов на нескольких уровнях безопасности.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея: ThreatLabZ от Zscaler обнаружил сложную киберугрозу, нацеленную на индийских и европейских дипломатов с помощью вредоносного PDF-файла, замаскированного под письмо-приглашение, что привело к цепочке заражения с использованием модульного бэкдора WINELOADER. Исполнитель угроз, известный как SPIKEDWINE, продемонстрировал продвинутую тактику, методы уклонения и значительный интерес к использованию дипломатических отношений, что побудило Zscaler продолжать расследование и мониторинг для защиты от таких угроз.
-----
ThreatLabZ от Zscaler выявил подозрительный PDF-файл из Латвии на VirusTotal, что привело к обнаружению аналогичного файла с июля 2023 года.
PDF-файл маскировался под письмо-приглашение от посла Индии, что приводило к вредоносному ZIP-архиву через поддельную ссылку на анкету, перенаправляющую пользователей.
В атаке был задействован бэкдор под названием WINELOADER, известный как SPIKEDWINE, с признаками угрозы со стороны национального государства, нацеленной на индийско-европейские дипломатические отношения.
WINELOADER использовал продвинутую тактику уклонения, включая зашифрованные модули, защиту данных в памяти, скомпрометированные веб-сайты для C2 и стороннюю загрузку DLL.
Злоумышленник продемонстрировал заинтересованность в использовании дипломатических отношений, использовал методы шифрования, удаление библиотеки DLL, код рандомизации и модуль сохранения для продолжения работы.
Zscaler продолжает расследования, мониторинг и усилия по защите от этой угрозы, включая выявление связанных индикаторов на нескольких уровнях безопасности.
#ParsedReport #CompletenessMedium
28-02-2024
Lazarus and the FudModule Rootkit: Beyond BYOVD with an Admin-to-Kernel Zero-Day
https://decoded.avast.io/janvojtesek/lazarus-and-the-fudmodule-rootkit-beyond-byovd-with-an-admin-to-kernel-zero-day
Report completeness: Medium
Actors/Campaigns:
Lazarus
Kimsuky
Threats:
Fudmodule_rootkit
Byovd_technique
Carbon
Candiru
Windbg_tool
Geo:
Japanese, Korean, Korea
CVEs:
CVE-2024-21338 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft windows 10 1809 (<10.0.17763.5458)
- microsoft windows 10 21h2 (<10.0.19044.4046)
- microsoft windows 10 22h2 (<10.0.19045.4046)
- microsoft windows 11 21h2 (<10.0.22000.2777)
- microsoft windows 11 22h2 (<10.0.22621.3155)
have more...
ChatGPT TTPs:
T1068, T1547.014, T1055, T1070.004, T1550.002, T1564.001, T1036.005, T1562.001, T1056.003
IOCs:
File: 70
Command: 1
Coin: 1
Soft:
Event Tracing for Windows, Microsoft Defender, Windows security, Windows Defender
Algorithms:
xor
Functions:
CreateFile, FudModule
Win API:
ZwDeviceIoControlFile, ZwQueryInformationFile, ZwReadFile, ExGetPreviousMode, NtQuerySystemInformation, NtSetInformationThread, NtDeviceIoControlFile, NtWriteVirtualMemory, NtReadVirtualMemory, CmRegisterCallbackEx, have more...
Win Services:
bits, MsMpEng
Links:
28-02-2024
Lazarus and the FudModule Rootkit: Beyond BYOVD with an Admin-to-Kernel Zero-Day
https://decoded.avast.io/janvojtesek/lazarus-and-the-fudmodule-rootkit-beyond-byovd-with-an-admin-to-kernel-zero-day
Report completeness: Medium
Actors/Campaigns:
Lazarus
Kimsuky
Threats:
Fudmodule_rootkit
Byovd_technique
Carbon
Candiru
Windbg_tool
Geo:
Japanese, Korean, Korea
CVEs:
CVE-2024-21338 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
X-Force: Risk: 7.8
X-Force: Patch: Official fix
Soft:
- microsoft windows 10 1809 (<10.0.17763.5458)
- microsoft windows 10 21h2 (<10.0.19044.4046)
- microsoft windows 10 22h2 (<10.0.19045.4046)
- microsoft windows 11 21h2 (<10.0.22000.2777)
- microsoft windows 11 22h2 (<10.0.22621.3155)
have more...
ChatGPT TTPs:
do not use without manual checkT1068, T1547.014, T1055, T1070.004, T1550.002, T1564.001, T1036.005, T1562.001, T1056.003
IOCs:
File: 70
Command: 1
Coin: 1
Soft:
Event Tracing for Windows, Microsoft Defender, Windows security, Windows Defender
Algorithms:
xor
Functions:
CreateFile, FudModule
Win API:
ZwDeviceIoControlFile, ZwQueryInformationFile, ZwReadFile, ExGetPreviousMode, NtQuerySystemInformation, NtSetInformationThread, NtDeviceIoControlFile, NtWriteVirtualMemory, NtReadVirtualMemory, CmRegisterCallbackEx, have more...
Win Services:
bits, MsMpEng
Links:
https://github.com/reactos/reactos/blob/e0c17c3f462e3b62bf0c4ca2479c1e5c6b8ff496/sdk/include/ndk/extypes.h#L535https://github.com/wavestone-cdt/EDRSandblasthttps://github.com/avast/ioc/tree/master/FudModule#targeted-etw-provider-guidshttps://github.com/avast/ioc/tree/master/FudModule#yaraGendigital
Lazarus and the FudModule Rootkit: Beyond BYOVD with an Admin-to-Kernel Zero-Day
Zero-Day Exploit Powers Advanced Rootkit
CTT Report Hub
#ParsedReport #CompletenessMedium 28-02-2024 Lazarus and the FudModule Rootkit: Beyond BYOVD with an Admin-to-Kernel Zero-Day https://decoded.avast.io/janvojtesek/lazarus-and-the-fudmodule-rootkit-beyond-byovd-with-an-admin-to-kernel-zero-day Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении и использовании группой Lazarus критического эксплойта для доступа администратора к ядру, который был активирован с помощью уязвимости нулевого дня в драйвере appid.sys AppLocker. Этот эксплойт позволил установить примитив чтения/записи ядра, расширяющий вредоносные возможности группы. Последующий анализ варианта руткита FudModule выявил значительные улучшения в скрытых функциях и функциональности, выявив текущие угрозы модели безопасности Microsoft. В тексте подчеркивается важность своевременного внесения исправлений для срыва наступательных операций таких участников угроз, как Lazarus, и необходимость постоянного мониторинга для отслеживания их реакции и адаптации.
-----
Avast обнаружила критический эксплойт для доступа администратора к ядру, связанный с уязвимостью нулевого дня (CVE-2024-21338) в драйвере appid.sys AppLocker, используемом группой Lazarus для примитивного чтения/записи ядра.
Корпорация Майкрософт оперативно устранила уязвимость в своем февральском обновлении Patch Tuesday.
Вариант руткита FudModule обладает расширенной функциональностью и скрытыми функциями, включая манипулирование записями таблицы дескрипторов для приостановки процессов, защищенных PPL, что приводит к увеличению возможностей скрытности.
Avast выявила нового троянца удаленного доступа (RAT), связанного с группой Lazarus.
Модель безопасности Microsoft сталкивается с проблемами, связанными с предотвращением доступа злоумышленников на уровне администратора к ядру, при этом используются уязвимости в сторонних драйверах.
Уязвимость нулевого дня, используемая Lazarus, затрагивает Windows версий с 10 по 11, требуя предоставления доступа на запись учетной записи локальной службы.
Руткит FudModule использует множество методов для подрыва механизмов безопасности и нарушения работы программного обеспечения безопасности, а строки отладки указывают на возможное корейское происхождение.
Руткит нацелен на различные функциональные возможности ядра, такие как обратные вызовы реестра, объектные обратные вызовы и минифильтры файловой системы, чтобы избежать обнаружения и эффективно нарушить работу системы безопасности.
Руткит использует тактику отключения определенного программного обеспечения безопасности, манипулируя записями в таблице дескрипторов и нарушая их работу, что значительно повышает скрытность его атаки.
Несмотря на свою техническую изощренность, группа Lazarus должна адаптироваться к разоблачению своего эксплойта нулевого дня, что потенциально требует от них обнаружения новых эксплойтов или возврата к предыдущим методам.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении и использовании группой Lazarus критического эксплойта для доступа администратора к ядру, который был активирован с помощью уязвимости нулевого дня в драйвере appid.sys AppLocker. Этот эксплойт позволил установить примитив чтения/записи ядра, расширяющий вредоносные возможности группы. Последующий анализ варианта руткита FudModule выявил значительные улучшения в скрытых функциях и функциональности, выявив текущие угрозы модели безопасности Microsoft. В тексте подчеркивается важность своевременного внесения исправлений для срыва наступательных операций таких участников угроз, как Lazarus, и необходимость постоянного мониторинга для отслеживания их реакции и адаптации.
-----
Avast обнаружила критический эксплойт для доступа администратора к ядру, связанный с уязвимостью нулевого дня (CVE-2024-21338) в драйвере appid.sys AppLocker, используемом группой Lazarus для примитивного чтения/записи ядра.
Корпорация Майкрософт оперативно устранила уязвимость в своем февральском обновлении Patch Tuesday.
Вариант руткита FudModule обладает расширенной функциональностью и скрытыми функциями, включая манипулирование записями таблицы дескрипторов для приостановки процессов, защищенных PPL, что приводит к увеличению возможностей скрытности.
Avast выявила нового троянца удаленного доступа (RAT), связанного с группой Lazarus.
Модель безопасности Microsoft сталкивается с проблемами, связанными с предотвращением доступа злоумышленников на уровне администратора к ядру, при этом используются уязвимости в сторонних драйверах.
Уязвимость нулевого дня, используемая Lazarus, затрагивает Windows версий с 10 по 11, требуя предоставления доступа на запись учетной записи локальной службы.
Руткит FudModule использует множество методов для подрыва механизмов безопасности и нарушения работы программного обеспечения безопасности, а строки отладки указывают на возможное корейское происхождение.
Руткит нацелен на различные функциональные возможности ядра, такие как обратные вызовы реестра, объектные обратные вызовы и минифильтры файловой системы, чтобы избежать обнаружения и эффективно нарушить работу системы безопасности.
Руткит использует тактику отключения определенного программного обеспечения безопасности, манипулируя записями в таблице дескрипторов и нарушая их работу, что значительно повышает скрытность его атаки.
Несмотря на свою техническую изощренность, группа Lazarus должна адаптироваться к разоблачению своего эксплойта нулевого дня, что потенциально требует от них обнаружения новых эксплойтов или возврата к предыдущим методам.
#ParsedReport #CompletenessLow
28-02-2024
JPCERT/CC Eyes
https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html
Report completeness: Low
Actors/Campaigns:
Lazarus
Threats:
Comebacker
Blindingcan
Geo:
Usa
ChatGPT TTPs:
T1195, T1059.006, T1027, T1204.002, T1547.012, T1055, T1105, T1573.002
IOCs:
File: 3
Path: 5
Hash: 16
Algorithms:
md5, xor, base64
Languages:
python, javascript
28-02-2024
JPCERT/CC Eyes
https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html
Report completeness: Low
Actors/Campaigns:
Lazarus
Threats:
Comebacker
Blindingcan
Geo:
Usa
ChatGPT TTPs:
do not use without manual checkT1195, T1059.006, T1027, T1204.002, T1547.012, T1055, T1105, T1573.002
IOCs:
File: 3
Path: 5
Hash: 16
Algorithms:
md5, xor, base64
Languages:
python, javascript
JPCERT/CC Eyes
New Malicious PyPI Packages used by Lazarus - JPCERT/CC Eyes
JPCERT/CC has confirmed that Lazarus has released malicious Python packages to PyPI, the official Python package repository (Figure 1). The Python packages confirmed this time are as follows: * pycryptoenv * pycryptoconf * quasarlib * swapmempool The package…
CTT Report Hub
#ParsedReport #CompletenessLow 28-02-2024 JPCERT/CC Eyes https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html Report completeness: Low Actors/Campaigns: Lazarus Threats: Comebacker Blindingcan Geo: Usa ChatGPT TTPs: do not use without manual check…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что аналитик cyber threat intelligence выявил новые вредоносные пакеты Python в репозитории PyPI, созданном группой Lazarus threat actor group. Пакеты, pycryptoenv и pycryptoconf, содержат определенный тип вредоносного ПО под названием Comebacker, которое взаимодействует с серверами управления для получения и запуска исполняемых файлов Windows. Аналитик предупреждает пользователей о необходимости соблюдать осторожность при установке пакета и предоставляет информацию о поведении и характеристиках вредоносного ПО.
-----
Аналитик по анализу киберугроз из JPCERT/CC подтвердил, что Lazarus, печально известная группа исполнителей угроз, выпустила новые вредоносные пакеты Python в репозитории PyPI. Два идентифицированных пакета называются pycryptoenv и pycryptoconf, что напоминает законный пакет pycrypto, используемый для алгоритмов шифрования в Python. Злоумышленник, вероятно, создал эти пакеты, чтобы использовать опечатки пользователей во время установки. Статья посвящена подробностям этих вредоносных пакетов, в качестве примера приводится pycryptoenv, поскольку его файловая структура схожа с другими подтвержденными пакетами.
Основным вредоносным компонентом в вредоносных пакетах Python является файл с именем test.py, который является не скриптом Python, а закодированными двоичными данными в виде DLL-файла. Этот специфический тип вредоносного ПО, известный как Comebacker, соответствует вредоносному ПО, использованному Lazarus в предыдущей атаке на исследователей безопасности, о чем сообщила Google в январе 2021 года. Несмотря на отсутствие кода в pycryptoenv для непосредственного запуска вредоносного ПО, злоумышленник, вероятно, использует скрипт на Python для запуска функции crypt, ответственной за выполнение test.py в целевой системе.
Анализ углубляется в поведение, запускаемое при инициировании процесса декодирования и выполнения для test.py. Путь выполнения от pycryptoenv к основной части вредоносного ПО включает создание и выполнение DLL-файлов, таких как IconCache.db и NTUSER.DAT, что приводит к активации Comebacker. Примечательно, что идентифицируемые шаблоны кода NOP в образце вредоносного ПО совпадают с характеристиками, обнаруженными в других вариантах вредоносного ПО, связанных с Lazarus, таких как BLINDINGCAN.
Comebacker устанавливает связь со своими серверами Command and Control (C2), отправляя HTTP POST-запросы, получая взамен исполняемые файлы Windows, которые затем выполняет в памяти. Этот механизм связи подразумевает командно-управляемый подход, при котором вредоносная программа управляется злоумышленниками удаленно. Аналогичный вектор атаки с использованием пакета npm для распространения Comebacker наблюдался в прошлом, что еще больше вовлекает Lazarus в проведение этих многоплановых кампаний по распространению вредоносного ПО в различных репозиториях пакетов.
Вредоносные пакеты Python были загружены от 300 до 1200 раз, что свидетельствует об активной ориентации пользователей, которые могут не заметить незначительные опечатки во время установки пакета. Пользователям рекомендуется проявлять осторожность при установке модулей и программного обеспечения, чтобы предотвратить непреднамеренную загрузку вредоносных пакетов. Приложение, вероятно, содержит дополнительную информацию об инфраструктуре C2 и другие соответствующие детали, относящиеся к проанализированным образцам вредоносных программ.
Аналитик, участвовавший в этом исследовании, обладает значительным опытом в анализе вредоносных программ и криминалистических расследованиях, уделяя особое внимание инцидентам с целенаправленными атаками. Имея опыт мониторинга и анализа безопасности в ИТ-компании, аналитик выступал с докладами на различных престижных конференциях по безопасности, демонстрируя глубокое понимание развивающихся киберугроз и стратегий защиты.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что аналитик cyber threat intelligence выявил новые вредоносные пакеты Python в репозитории PyPI, созданном группой Lazarus threat actor group. Пакеты, pycryptoenv и pycryptoconf, содержат определенный тип вредоносного ПО под названием Comebacker, которое взаимодействует с серверами управления для получения и запуска исполняемых файлов Windows. Аналитик предупреждает пользователей о необходимости соблюдать осторожность при установке пакета и предоставляет информацию о поведении и характеристиках вредоносного ПО.
-----
Аналитик по анализу киберугроз из JPCERT/CC подтвердил, что Lazarus, печально известная группа исполнителей угроз, выпустила новые вредоносные пакеты Python в репозитории PyPI. Два идентифицированных пакета называются pycryptoenv и pycryptoconf, что напоминает законный пакет pycrypto, используемый для алгоритмов шифрования в Python. Злоумышленник, вероятно, создал эти пакеты, чтобы использовать опечатки пользователей во время установки. Статья посвящена подробностям этих вредоносных пакетов, в качестве примера приводится pycryptoenv, поскольку его файловая структура схожа с другими подтвержденными пакетами.
Основным вредоносным компонентом в вредоносных пакетах Python является файл с именем test.py, который является не скриптом Python, а закодированными двоичными данными в виде DLL-файла. Этот специфический тип вредоносного ПО, известный как Comebacker, соответствует вредоносному ПО, использованному Lazarus в предыдущей атаке на исследователей безопасности, о чем сообщила Google в январе 2021 года. Несмотря на отсутствие кода в pycryptoenv для непосредственного запуска вредоносного ПО, злоумышленник, вероятно, использует скрипт на Python для запуска функции crypt, ответственной за выполнение test.py в целевой системе.
Анализ углубляется в поведение, запускаемое при инициировании процесса декодирования и выполнения для test.py. Путь выполнения от pycryptoenv к основной части вредоносного ПО включает создание и выполнение DLL-файлов, таких как IconCache.db и NTUSER.DAT, что приводит к активации Comebacker. Примечательно, что идентифицируемые шаблоны кода NOP в образце вредоносного ПО совпадают с характеристиками, обнаруженными в других вариантах вредоносного ПО, связанных с Lazarus, таких как BLINDINGCAN.
Comebacker устанавливает связь со своими серверами Command and Control (C2), отправляя HTTP POST-запросы, получая взамен исполняемые файлы Windows, которые затем выполняет в памяти. Этот механизм связи подразумевает командно-управляемый подход, при котором вредоносная программа управляется злоумышленниками удаленно. Аналогичный вектор атаки с использованием пакета npm для распространения Comebacker наблюдался в прошлом, что еще больше вовлекает Lazarus в проведение этих многоплановых кампаний по распространению вредоносного ПО в различных репозиториях пакетов.
Вредоносные пакеты Python были загружены от 300 до 1200 раз, что свидетельствует об активной ориентации пользователей, которые могут не заметить незначительные опечатки во время установки пакета. Пользователям рекомендуется проявлять осторожность при установке модулей и программного обеспечения, чтобы предотвратить непреднамеренную загрузку вредоносных пакетов. Приложение, вероятно, содержит дополнительную информацию об инфраструктуре C2 и другие соответствующие детали, относящиеся к проанализированным образцам вредоносных программ.
Аналитик, участвовавший в этом исследовании, обладает значительным опытом в анализе вредоносных программ и криминалистических расследованиях, уделяя особое внимание инцидентам с целенаправленными атаками. Имея опыт мониторинга и анализа безопасности в ИТ-компании, аналитик выступал с докладами на различных престижных конференциях по безопасности, демонстрируя глубокое понимание развивающихся киберугроз и стратегий защиты.
#ParsedReport #CompletenessMedium
28-02-2024
One year later, Rhadamanthys is still dropped via malvertising
https://www.malwarebytes.com/blog/threat-intelligence/2024/02/one-year-later-rhadamanthys-is-still-dropped-via-malvertising
Report completeness: Medium
Threats:
Rhadamanthys
Parsec_tool
Fakebat
Nitrogen
Hijackloader
Netsupportmanager_rat
Cloaking_technique
Putty_tool
Geo:
Poland
ChatGPT TTPs:
T1204, T1566, T1027, T1071, T1553.002, T1046, T1588.002
IOCs:
Domain: 4
Hash: 3
IP: 2
Email: 2
Soft:
WinSCP, Slack
Languages:
javascript
28-02-2024
One year later, Rhadamanthys is still dropped via malvertising
https://www.malwarebytes.com/blog/threat-intelligence/2024/02/one-year-later-rhadamanthys-is-still-dropped-via-malvertising
Report completeness: Medium
Threats:
Rhadamanthys
Parsec_tool
Fakebat
Nitrogen
Hijackloader
Netsupportmanager_rat
Cloaking_technique
Putty_tool
Geo:
Poland
ChatGPT TTPs:
do not use without manual checkT1204, T1566, T1027, T1071, T1553.002, T1046, T1588.002
IOCs:
Domain: 4
Hash: 3
IP: 2
Email: 2
Soft:
WinSCP, Slack
Languages:
javascript
ThreatDown by Malwarebytes
One year later, Rhadamanthys is still dropped via malvertising - ThreatDown by Malwarebytes
Infostealers like Rhadamanthys continue to be a favorite among malware distributors who leverage search engine ads to lure victims.
CTT Report Hub
#ParsedReport #CompletenessMedium 28-02-2024 One year later, Rhadamanthys is still dropped via malvertising https://www.malwarebytes.com/blog/threat-intelligence/2024/02/one-year-later-rhadamanthys-is-still-dropped-via-malvertising Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея: В тексте обсуждается устойчивость вредоносной программы Rhadamanthys stealer в рекламных кампаниях, нацеленных на загрузку программного обеспечения, особенно ориентированных на бизнес-пользователей, используя популярные программные продукты, такие как Parsec, FreeCAD, WinSCP, Slack и Notion. Злоумышленники используют различные тактики, включая поддельную рекламу и веб-сайты-приманки, для распространения Rhadamanthys, целью которого является кража конфиденциальной информации из таких приложений, как PuTTY и WinSCP. Несмотря на принятые меры безопасности, предприятия продолжают сталкиваться с рисками, связанными с этими вредоносными рекламными кампаниями, что приводит к потенциальным нарушениям или атакам программ-вымогателей.
-----
Rhadamanthys stealer, вредоносная программа, которая первоначально появилась в виде вредоносной рекламы, продолжает проводить кампании по вредоносной рекламе, нацеленные на загрузку программного обеспечения. Даже в 2024 году эти кампании продолжаются, причем недавний всплеск произошел после затишья прошлым летом. В настоящее время эти атаки направлены на такие программные продукты, как Parsec, FreeCAD, WinSCP, Advanced IP Scanner, Slack и Notion. Субъекты угроз в первую очередь нацелены на бизнес-пользователей, развертывая полезные приложения, такие как FakeBat, Nitrogen, Hijackloader и Rhadamanthys.
Rhadamanthys в основном распространяется через malspam и malvertising, при этом злоумышленники используют веб-сайты-приманки, чтобы заманить жертв на загрузку вредоносного ПО. Первоначальным переносчиком заражения является дроппер, который извлекает Rhadamanthys с URL-адреса, размещенного в Интернете. Поисковые запросы Google, связанные с понятиями, возвращали вредоносную рекламу, указывая на то, как злоумышленники используют популярное программное обеспечение для обмана пользователей. Сайт TexBin paste зафиксировал значительный трафик, связанный с URL-адресом, на котором размещен Rhadamanthys.
Примечательным аспектом этих вредоносных кампаний является использование поддельной рекламы, часто создаваемой, казалось бы, законными лицами. Например, реклама, связанная с BUDNIK PAWE из Польши, использовалась для распространения вредоносного ПО в недавней кампании. Эта конкретная рекламная кампания, обнаруженная в начале 2024 года, первоначально привела к загрузке NetSupport RAT, но с тех пор эволюционировала для доставки Rhadamanthys в качестве конечной полезной нагрузки с помощью серии перенаправлений, направленных на то, чтобы избежать обнаружения.
Двоичный файл Windows для Rhadamanthys подписан, но цифровая подпись кажется недействительной. Лицо, подписавшее сертификат, связано с PuTTY inventor, что указывает на потенциальный обман или отзыв сертификата. Поведение Rhadamanthys связано с попытками кражи учетных данных из таких приложений, как PuTTY, WinSCP и почтовые программы, что подчеркивает его нацеленность на извлечение конфиденциальной информации.
Несмотря на знакомство с этими тактиками вредоносной рекламы, картина угроз остается тревожной, поскольку компании сообщают об инцидентах, когда сотрудники были скомпрометированы после взаимодействия с вредоносной рекламой. Последующие действия после заражения обычно включают развертывание инструментов пентестинга, предшествующих крупномасштабным нарушениям или атакам программ-вымогателей. Хотя об инфраструктуре, используемой при атаках, сообщается, а программное обеспечение безопасности, такое как Malwarebytes и ThreatDown, обеспечивает защиту, упреждающие меры, такие как фильтрация DNS для онлайн-рекламы, могут помочь эффективно предотвратить вредоносную рекламу в организациях.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея: В тексте обсуждается устойчивость вредоносной программы Rhadamanthys stealer в рекламных кампаниях, нацеленных на загрузку программного обеспечения, особенно ориентированных на бизнес-пользователей, используя популярные программные продукты, такие как Parsec, FreeCAD, WinSCP, Slack и Notion. Злоумышленники используют различные тактики, включая поддельную рекламу и веб-сайты-приманки, для распространения Rhadamanthys, целью которого является кража конфиденциальной информации из таких приложений, как PuTTY и WinSCP. Несмотря на принятые меры безопасности, предприятия продолжают сталкиваться с рисками, связанными с этими вредоносными рекламными кампаниями, что приводит к потенциальным нарушениям или атакам программ-вымогателей.
-----
Rhadamanthys stealer, вредоносная программа, которая первоначально появилась в виде вредоносной рекламы, продолжает проводить кампании по вредоносной рекламе, нацеленные на загрузку программного обеспечения. Даже в 2024 году эти кампании продолжаются, причем недавний всплеск произошел после затишья прошлым летом. В настоящее время эти атаки направлены на такие программные продукты, как Parsec, FreeCAD, WinSCP, Advanced IP Scanner, Slack и Notion. Субъекты угроз в первую очередь нацелены на бизнес-пользователей, развертывая полезные приложения, такие как FakeBat, Nitrogen, Hijackloader и Rhadamanthys.
Rhadamanthys в основном распространяется через malspam и malvertising, при этом злоумышленники используют веб-сайты-приманки, чтобы заманить жертв на загрузку вредоносного ПО. Первоначальным переносчиком заражения является дроппер, который извлекает Rhadamanthys с URL-адреса, размещенного в Интернете. Поисковые запросы Google, связанные с понятиями, возвращали вредоносную рекламу, указывая на то, как злоумышленники используют популярное программное обеспечение для обмана пользователей. Сайт TexBin paste зафиксировал значительный трафик, связанный с URL-адресом, на котором размещен Rhadamanthys.
Примечательным аспектом этих вредоносных кампаний является использование поддельной рекламы, часто создаваемой, казалось бы, законными лицами. Например, реклама, связанная с BUDNIK PAWE из Польши, использовалась для распространения вредоносного ПО в недавней кампании. Эта конкретная рекламная кампания, обнаруженная в начале 2024 года, первоначально привела к загрузке NetSupport RAT, но с тех пор эволюционировала для доставки Rhadamanthys в качестве конечной полезной нагрузки с помощью серии перенаправлений, направленных на то, чтобы избежать обнаружения.
Двоичный файл Windows для Rhadamanthys подписан, но цифровая подпись кажется недействительной. Лицо, подписавшее сертификат, связано с PuTTY inventor, что указывает на потенциальный обман или отзыв сертификата. Поведение Rhadamanthys связано с попытками кражи учетных данных из таких приложений, как PuTTY, WinSCP и почтовые программы, что подчеркивает его нацеленность на извлечение конфиденциальной информации.
Несмотря на знакомство с этими тактиками вредоносной рекламы, картина угроз остается тревожной, поскольку компании сообщают об инцидентах, когда сотрудники были скомпрометированы после взаимодействия с вредоносной рекламой. Последующие действия после заражения обычно включают развертывание инструментов пентестинга, предшествующих крупномасштабным нарушениям или атакам программ-вымогателей. Хотя об инфраструктуре, используемой при атаках, сообщается, а программное обеспечение безопасности, такое как Malwarebytes и ThreatDown, обеспечивает защиту, упреждающие меры, такие как фильтрация DNS для онлайн-рекламы, могут помочь эффективно предотвратить вредоносную рекламу в организациях.
#ParsedReport #CompletenessMedium
28-02-2024
z0Miner attacker exploits domestic web servers to attack WebLogic servers
https://asec.ahnlab.com/ko/62166
Report completeness: Medium
Threats:
Z0miner
Netcat_tool
Anydesk_tool
Behinder
Zubin
Godzilla_webshell
Chinachopper
Frpc_tool
Xmrig_miner
Trojan/win.frp
Geo:
China
CVEs:
CVE-2021-26084 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- atlassian confluence server (<7.12.5, <7.4.11, <7.11.6, <6.13.23)
- atlassian confluence data center (<7.12.5, <7.11.6, <7.4.11, <6.13.23)
CVE-2023-46604 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.4
X-Force: Patch: Official fix
Soft:
- apache activemq (<5.15.16, <5.16.7, <5.17.6, <5.18.3)
CVE-2020-14882 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- oracle weblogic server (12.1.3.0.0, 10.3.6.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0)
ChatGPT TTPs:
T1190, T1071, T1505, T1100, T1547
IOCs:
File: 20
IP: 3
Domain: 2
Coin: 2
Hash: 21
Soft:
confluence, activemq, curl
Crypto:
monero
Algorithms:
md5
Languages:
powershell
Links:
28-02-2024
z0Miner attacker exploits domestic web servers to attack WebLogic servers
https://asec.ahnlab.com/ko/62166
Report completeness: Medium
Threats:
Z0miner
Netcat_tool
Anydesk_tool
Behinder
Zubin
Godzilla_webshell
Chinachopper
Frpc_tool
Xmrig_miner
Trojan/win.frp
Geo:
China
CVEs:
CVE-2021-26084 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- atlassian confluence server (<7.12.5, <7.4.11, <7.11.6, <6.13.23)
- atlassian confluence data center (<7.12.5, <7.11.6, <7.4.11, <6.13.23)
CVE-2023-46604 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.4
X-Force: Patch: Official fix
Soft:
- apache activemq (<5.15.16, <5.16.7, <5.17.6, <5.18.3)
CVE-2020-14882 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- oracle weblogic server (12.1.3.0.0, 10.3.6.0.0, 12.2.1.3.0, 12.2.1.4.0, 14.1.1.0.0)
ChatGPT TTPs:
do not use without manual checkT1190, T1071, T1505, T1100, T1547
IOCs:
File: 20
IP: 3
Domain: 2
Coin: 2
Hash: 21
Soft:
confluence, activemq, curl
Crypto:
monero
Algorithms:
md5
Languages:
powershell
Links:
https://github.com/theralfbrown/WebShell-2/blob/master/jsp/SJavaWebManageV1.4.jsphttps://github.com/NS-Sp4ce/CVE-2021-21972/blob/main/payload/Linux/shell.jspASEC BLOG
z0Miner 공격자, 국내 웹 서버를 악용하여 WebLogic 서버 공격 - ASEC BLOG
AhnLab SEcurity intelligence Center(ASEC)에서는 국내의 취약한 서버를 대상으로 공격하는 사례를 확인하고 있다. 해당 포스팅에서는 최근 ‘z0Miner’ 공격자가 국내 WebLogic 서버를 대상으로 공격한 사례를 소개한다. z0Miner 공격자는 중국의 Tencent Security에서 처음으로 소개되었다. 이들은 과거부터 국내외 취약한 서버(Atlassian Confluence, Apache ActiveMQ, Log4J…
CTT Report Hub
#ParsedReport #CompletenessMedium 28-02-2024 z0Miner attacker exploits domestic web servers to attack WebLogic servers https://asec.ahnlab.com/ko/62166 Report completeness: Medium Threats: Z0miner Netcat_tool Anydesk_tool Behinder Zubin Godzilla_webshell…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в идентификации злоумышленника z0Miner, нацеленного на серверы WebLogic с использованием конкретных уязвимостей, их методах распространения и выполнения вредоносного кода, а также важности исправления уязвимых систем и поддержания программного обеспечения в актуальном состоянии для предотвращения кибератак.
-----
Был идентифицирован злоумышленник z0Miner, нацелившийся на серверы WebLogic с использованием уязвимостей CVE-2020-14882 и CVE-2020-14883, распространяющий вредоносный код в отечественных системах. Злоумышленник использует powershell.exe и certutil.exe в Windows и команду curl в Linux для загрузки вредоносных файлов на скомпрометированные серверы. Используя уязвимости, такие как CVE-2020-14882, злоумышленник загружает веб-оболочки JSP, чтобы получить постоянный контроль над системами. Используются три различные веб-оболочки, включая JSP File Browser, Shack2 и Behinder, причем JSP File Browser версии 1.2 настраивается злоумышленником. Эта веб-оболочка JSP позволяет злоумышленнику незаметно управлять системами, соответственно устанавливая названия и пароли.
Более того, злоумышленник использует Frpc как в базовой, так и в настраиваемой формах для установления соединений. Netcat, сетевая утилита, облегчающая чтение и запись данных, загружается под именем userinit.exe, позволяя удаленный доступ к оболочке, обход брандмауэра и управление системой. Кроме того, после установки Netcat наблюдается, что злоумышленник устанавливает AnyDesk в системах, уязвимых к уязвимости Apache ActiveMQ (CVE-2023-46604). Злоумышленник распространяет Windows XMRig версии 6.18.0 и Linux XMRig версии 6.18.1, обеспечивая постоянство с помощью различных методов, таких как фильтр событий WMI и регистрация пользователя или регистрация планировщика (schtasks) для выполнения вредоносных скриптов.
Способ действия злоумышленника включает в себя нацеливание на незащищенные серверы WebLogic, проникновение в системы с целью кражи данных или развертывания программ-вымогателей, подчеркивая важность мониторинга неуправляемых портов и серверных сред. Системным администраторам рекомендуется поддерживать службы WebLogic в актуальном состоянии для устранения известных уязвимостей, в то время как пользователям рекомендуется обновляться до последних версий программного обеспечения, чтобы предотвратить заражение вредоносными программами.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в идентификации злоумышленника z0Miner, нацеленного на серверы WebLogic с использованием конкретных уязвимостей, их методах распространения и выполнения вредоносного кода, а также важности исправления уязвимых систем и поддержания программного обеспечения в актуальном состоянии для предотвращения кибератак.
-----
Был идентифицирован злоумышленник z0Miner, нацелившийся на серверы WebLogic с использованием уязвимостей CVE-2020-14882 и CVE-2020-14883, распространяющий вредоносный код в отечественных системах. Злоумышленник использует powershell.exe и certutil.exe в Windows и команду curl в Linux для загрузки вредоносных файлов на скомпрометированные серверы. Используя уязвимости, такие как CVE-2020-14882, злоумышленник загружает веб-оболочки JSP, чтобы получить постоянный контроль над системами. Используются три различные веб-оболочки, включая JSP File Browser, Shack2 и Behinder, причем JSP File Browser версии 1.2 настраивается злоумышленником. Эта веб-оболочка JSP позволяет злоумышленнику незаметно управлять системами, соответственно устанавливая названия и пароли.
Более того, злоумышленник использует Frpc как в базовой, так и в настраиваемой формах для установления соединений. Netcat, сетевая утилита, облегчающая чтение и запись данных, загружается под именем userinit.exe, позволяя удаленный доступ к оболочке, обход брандмауэра и управление системой. Кроме того, после установки Netcat наблюдается, что злоумышленник устанавливает AnyDesk в системах, уязвимых к уязвимости Apache ActiveMQ (CVE-2023-46604). Злоумышленник распространяет Windows XMRig версии 6.18.0 и Linux XMRig версии 6.18.1, обеспечивая постоянство с помощью различных методов, таких как фильтр событий WMI и регистрация пользователя или регистрация планировщика (schtasks) для выполнения вредоносных скриптов.
Способ действия злоумышленника включает в себя нацеливание на незащищенные серверы WebLogic, проникновение в системы с целью кражи данных или развертывания программ-вымогателей, подчеркивая важность мониторинга неуправляемых портов и серверных сред. Системным администраторам рекомендуется поддерживать службы WebLogic в актуальном состоянии для устранения известных уязвимостей, в то время как пользователям рекомендуется обновляться до последних версий программного обеспечения, чтобы предотвратить заражение вредоносными программами.
#ParsedReport #CompletenessMedium
28-02-2024
CACTUS: Analyzing a Coordinated Ransomware Attack on Corporate Networks. VictimA - Initial Compromise
https://www.bitdefender.com/blog/businessinsights/cactus-analyzing-a-coordinated-ransomware-attack-on-corporate-networks
Report completeness: Medium
Threats:
Cactus
Kinsing_miner
Meterpreter_tool
Password_spray_technique
Anydesk_tool
Psnmap_tool
Dwagent_tool
Dwservice_tool
Passthehash_technique
Blackbasta
CVEs:
CVE-2023-38035 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- ivanti mobileiron sentry (le9.18.0)
TTPs:
Tactics: 4
Technics: 0
IOCs:
Path: 11
IP: 9
Hash: 14
File: 11
Command: 2
Registry: 1
Soft:
ESXi, Hyper-V, Ivanti, Ubuntu, Local Security Authority, Process Explorer, PsExec, Task Scheduler, Active Directory, Chrome, have more...
Crypto:
monero
Algorithms:
md5
Functions:
PsExec, setsid, excve
Win API:
LsaRegisterLogonProcess
Languages:
powershell
Links:
28-02-2024
CACTUS: Analyzing a Coordinated Ransomware Attack on Corporate Networks. VictimA - Initial Compromise
https://www.bitdefender.com/blog/businessinsights/cactus-analyzing-a-coordinated-ransomware-attack-on-corporate-networks
Report completeness: Medium
Threats:
Cactus
Kinsing_miner
Meterpreter_tool
Password_spray_technique
Anydesk_tool
Psnmap_tool
Dwagent_tool
Dwservice_tool
Passthehash_technique
Blackbasta
CVEs:
CVE-2023-38035 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- ivanti mobileiron sentry (le9.18.0)
TTPs:
Tactics: 4
Technics: 0
IOCs:
Path: 11
IP: 9
Hash: 14
File: 11
Command: 2
Registry: 1
Soft:
ESXi, Hyper-V, Ivanti, Ubuntu, Local Security Authority, Process Explorer, PsExec, Task Scheduler, Active Directory, Chrome, have more...
Crypto:
monero
Algorithms:
md5
Functions:
PsExec, setsid, excve
Win API:
LsaRegisterLogonProcess
Languages:
powershell
Links:
https://github.com/horizon3ai/CVE-2023-38035Bitdefender Blog
CACTUS: Analyzing a Coordinated Ransomware Attack on Corporate Networks
Bitdefender Labs recently helped with an investigation that unfortunately aligns with two key predictions we made for 2024: the rapid rise of opportunistic ransomware and the growing risk of coordinated attacks.
CTT Report Hub
#ParsedReport #CompletenessMedium 28-02-2024 CACTUS: Analyzing a Coordinated Ransomware Attack on Corporate Networks. VictimA - Initial Compromise https://www.bitdefender.com/blog/businessinsights/cactus-analyzing-a-coordinated-ransomware-attack-on-corporate…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в изощренной атаке с использованием программ-вымогателей, осуществленной злоумышленником CACTUS, который использовал уязвимости программного обеспечения для одновременной атаки на несколько компаний. Злоумышленники продемонстрировали синхронизацию и многогранные аспекты атаки, подчеркнув тенденцию нацеливания на уязвимости, а не на конкретные отрасли или компании. Злоумышленники использовали различные методы, включая развертывание средств удаленного доступа, эксфильтрацию данных и внедрение программ-вымогателей на конечных точках и виртуальных машинах. График атак раскрывает методический подход CACTUS, подчеркивающий важность быстрого исправления уязвимостей и надежных возможностей обнаружения и реагирования для организаций при защите от таких сложных угроз.
-----
Bitdefender Labs оказала помощь в расследовании, связанном с скоординированной атакой вымогателей со стороны threat actor CACTUS на две компании, которые быстро использовали уязвимости программного обеспечения после их раскрытия.
CACTUS нацелился на инфраструктуру виртуализации, зашифрованные виртуальные машины и продемонстрировал синхронизацию в своих атаках.
С 2022 года киберпреступники переходят к атакам на уязвимые места, а не на конкретные отрасли, и ожидается, что атаки будут усиливаться.
Атака началась с использования критической уязвимости в Ivanti MobileIron Sentry, которая позволила обойти средства аутентификации и привела к удаленному выполнению кода.
CACTUS использовал различные полезные нагрузки и методы, включая XMR-майнеры и веб-оболочки, что указывает на сотрудничество с такими субъектами угроз, как Kinsing.
Злоумышленники устанавливали соединения, сбрасывали пароли учетных записей, устанавливали средства удаленного доступа, извлекали данные и запускали атаки с использованием программ-вымогателей на конечные точки и виртуальные машины.
CACTUS использовал PsExec и пользовательские двоичные файлы, нацеленные на хосты Windows и ESXi, шифруя файлы с определенными расширениями и нарушая доступ к гипервизору.
После компрометации VictimA злоумышленники перешли к следующей цели, использовали пользовательские скрипты для обнаружения сети и эксфильтрации данных и получили учетные данные системного администратора для доступа к VPN.
Временная шкала атак программ-вымогателей продемонстрировала методичный подход от первоначального компрометации до эксфильтрации и шифрования данных, подчеркнув важность быстрого исправления уязвимостей и возможностей эффективного реагирования для организаций.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в изощренной атаке с использованием программ-вымогателей, осуществленной злоумышленником CACTUS, который использовал уязвимости программного обеспечения для одновременной атаки на несколько компаний. Злоумышленники продемонстрировали синхронизацию и многогранные аспекты атаки, подчеркнув тенденцию нацеливания на уязвимости, а не на конкретные отрасли или компании. Злоумышленники использовали различные методы, включая развертывание средств удаленного доступа, эксфильтрацию данных и внедрение программ-вымогателей на конечных точках и виртуальных машинах. График атак раскрывает методический подход CACTUS, подчеркивающий важность быстрого исправления уязвимостей и надежных возможностей обнаружения и реагирования для организаций при защите от таких сложных угроз.
-----
Bitdefender Labs оказала помощь в расследовании, связанном с скоординированной атакой вымогателей со стороны threat actor CACTUS на две компании, которые быстро использовали уязвимости программного обеспечения после их раскрытия.
CACTUS нацелился на инфраструктуру виртуализации, зашифрованные виртуальные машины и продемонстрировал синхронизацию в своих атаках.
С 2022 года киберпреступники переходят к атакам на уязвимые места, а не на конкретные отрасли, и ожидается, что атаки будут усиливаться.
Атака началась с использования критической уязвимости в Ivanti MobileIron Sentry, которая позволила обойти средства аутентификации и привела к удаленному выполнению кода.
CACTUS использовал различные полезные нагрузки и методы, включая XMR-майнеры и веб-оболочки, что указывает на сотрудничество с такими субъектами угроз, как Kinsing.
Злоумышленники устанавливали соединения, сбрасывали пароли учетных записей, устанавливали средства удаленного доступа, извлекали данные и запускали атаки с использованием программ-вымогателей на конечные точки и виртуальные машины.
CACTUS использовал PsExec и пользовательские двоичные файлы, нацеленные на хосты Windows и ESXi, шифруя файлы с определенными расширениями и нарушая доступ к гипервизору.
После компрометации VictimA злоумышленники перешли к следующей цели, использовали пользовательские скрипты для обнаружения сети и эксфильтрации данных и получили учетные данные системного администратора для доступа к VPN.
Временная шкала атак программ-вымогателей продемонстрировала методичный подход от первоначального компрометации до эксфильтрации и шифрования данных, подчеркнув важность быстрого исправления уязвимостей и возможностей эффективного реагирования для организаций.
#ParsedReport #CompletenessMedium
28-02-2024
When Cats Fly: Suspected Iranian Threat Actor UNC1549 Targets Israeli and Middle East Aerospace and Defense Sectors. Prepare for 2024's cybersecurity landscape.
https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east
Report completeness: Medium
Actors/Campaigns:
Unc1549 (motivation: cyber_espionage)
Dev-0343 (motivation: cyber_espionage)
Tortoiseshell (motivation: cyber_espionage)
Irgc
Threats:
Supply_chain_technique
Minibike
Minibus
Smokeloader
Credential_harvesting_technique
Spear-phishing_technique
Lightrail
Beacon
Victims:
Aerospace companies, Aviation companies, Defense contractors, It providers, Dji
Industry:
Aerospace, Education
Geo:
Iran, German, Iranian, Emirates, Albania, Turkey, India, Israelis, Israeli, Israel
ChatGPT TTPs:
T1566, T1110, T1566.002, T1190, T1547.001, T1071, T1027, T1574.002, T1047, T1090, have more...
IOCs:
Domain: 141
Hash: 45
File: 26
Path: 6
Registry: 3
IP: 1
Soft:
outlook, Microsoft SharePoint, Microsoft OneDrive, Android
Algorithms:
zip, md5
Platforms:
x64
Links:
28-02-2024
When Cats Fly: Suspected Iranian Threat Actor UNC1549 Targets Israeli and Middle East Aerospace and Defense Sectors. Prepare for 2024's cybersecurity landscape.
https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east
Report completeness: Medium
Actors/Campaigns:
Unc1549 (motivation: cyber_espionage)
Dev-0343 (motivation: cyber_espionage)
Tortoiseshell (motivation: cyber_espionage)
Irgc
Threats:
Supply_chain_technique
Minibike
Minibus
Smokeloader
Credential_harvesting_technique
Spear-phishing_technique
Lightrail
Beacon
Victims:
Aerospace companies, Aviation companies, Defense contractors, It providers, Dji
Industry:
Aerospace, Education
Geo:
Iran, German, Iranian, Emirates, Albania, Turkey, India, Israelis, Israeli, Israel
ChatGPT TTPs:
do not use without manual checkT1566, T1110, T1566.002, T1190, T1547.001, T1071, T1027, T1574.002, T1047, T1090, have more...
IOCs:
Domain: 141
Hash: 45
File: 26
Path: 6
Registry: 3
IP: 1
Soft:
outlook, Microsoft SharePoint, Microsoft OneDrive, Android
Algorithms:
zip, md5
Platforms:
x64
Links:
https://github.com/codewhitesec/LastenzugGoogle Cloud Blog
When Cats Fly: Suspected Iranian Threat Actor UNC1549 Targets Israeli and Middle East Aerospace and Defense Sectors | Google Cloud…
Suspected Iran-nexus espionage activity targeting the aerospace, aviation and defense industries in Middle East countries.