#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в обнаружении разрушительной вредоносной программы WinDestroyer, которая, по-видимому, была разработана в хактивистских целях с геополитической целью, ориентированной на разрушение, а не на финансовую выгоду. Вредоносное ПО представляет значительный риск для организаций, особенно малого и среднего бизнеса, и организациям рекомендуется внедрить базовые средства обнаружения конечных точек и реагирования, а также уделять приоритетное внимание международному сотрудничеству и обмену информацией для защиты от возникающих киберугроз, таких как WinDestroyer.
-----

Исследовательская группа CYFIRMA обнаружила вредоносное ПО под названием WinDestroyer, которое шифрует файлы и делает системы непригодными для использования без требования выкупа, что указывает на нефинансовую мотивацию. Эта сложная угроза использует передовые методы, такие как атаки с перезагрузкой библиотеки DLL, взлом API и возможности бокового перемещения. Разработчик вредоносного ПО, идентифицированный как житель Санкт-Петербурга, Россия, похоже, создал WinDestroyer в хактивистских целях, о чем свидетельствует канал YouTube, восхваляющий российского президента, связанного с вредоносным ПО. Вредоносная программа предназначена для выполнения вызовов API, заражения загрузочной записи тома, внедрения процессов, создания бэкдоров, мониторинга активности пользователей, снятия скриншотов, предотвращения локальной отладки и компрометации исполняемых файлов.

Отсутствие финансовых мотивов у WinDestroyer наводит на мысль о геополитической повестке дня, причем его намерения совпадают с целями хактивистов, сосредоточенными на разрушении, а не на финансовой выгоде. В условиях российско-украинского конфликта вредоносное ПО потенциально может быть использовано в качестве цифрового оружия, создавая значительный риск для организаций, особенно малого и среднего бизнеса, не имеющих надлежащего контроля безопасности. Нарушая работу критически важных систем, отключая каналы связи и компрометируя конфиденциальные данные, WinDestroyer может оказать серьезное воздействие на целевую инфраструктуру.

Чтобы снизить риск, связанный с WinDestroyer и подобными угрозами, организациям рекомендуется внедрить базовые средства обнаружения конечных точек и реагирования. Кроме того, специалистам по анализу киберугроз (CTI) следует уделять приоритетное внимание международному сотрудничеству и обмену информацией для улучшения понимания возникающих киберугроз. Работая сообща и обмениваясь разведданными, сообщество кибербезопасности может лучше подготовиться к таким угрозам, как WinDestroyer, и защититься от них.

#ParsedReport #CompletenessMedium
05-03-2024

Cisco Talos Blog. GhostSec s joint ransomware operation and evolution of their arsenal

https://blog.talosintelligence.com/ghostsec-ghostlocker2-ransomware

Report completeness: Medium

Actors/Campaigns:
Ghostsec (motivation: financially_motivated, hacktivism, cyber_criminal)
Stormous (motivation: financially_motivated)
Stmx_ghostlocker
Stormousx (motivation: financially_motivated)
Siegedsec
Threatsec
Blackforums

Threats:
Ghostlocker
Ghostpresser_tool
Cuba_ransomware

Industry:
Transport, Financial, Energy

Geo:
Lebanon, Israel, Uzbekistan, Egypt, Poland, China, Africa, Russia, Brazil, Vietnam, Indonesia, Canada, Moscow, Qatar, India, Morocco, Argentina, Thailand

ChatGPT TTPs:
do not use without manual check
T1588.002, T1190, T1485, T1496, T1027, T1071.001, T1566.001, T1583.001, T1119, T1132.001, have more...

IOCs:
IP: 1
Url: 3
File: 3

Soft:
Telegram, WordPress

Algorithms:
aes

Win Services:
bits

Languages:
golang, python

Links:
https://github.com/Cisco-Talos/IOCs/tree/main/2024/03/

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея:.
Cisco Talos наблюдала рост вредоносной активности хакерской группы GhostSec и их сотрудничество с Stormous ransomware group, что привело к разработке новых вариантов программ-вымогателей и инструментов для кибератак. Эти группы осуществляли атаки с двойным вымогательством на предприятия во многих странах, уделяя особое внимание программам "программа-вымогатель как услуга" (RaaS) и нацеливаясь на различные отрасли с помощью изощренной киберпреступной деятельности.
-----

GhostSec активизировала вредоносную активность, представив новый вариант программы-вымогателя под названием GhostLocker 2.0, вариант GhostLocker на языке Golang.

GhostSec и Stormous сотрудничали в проведении атак с двойным вымогательством в нескольких странах с использованием таких программ, как GhostLocker и StormousX.

Эти группы используют программу-вымогатель как услугу под названием STMX_GhostLocker.

В GhostSec есть такие инструменты, как GhostSec Deep Scan для сканирования веб-сайтов и GhostPresser для использования уязвимостей сайта WordPress.

Киберпреступная группировка стремится собирать средства с помощью кибердеятельности, участвуя в одиночных и двойных атаках с вымогательством, DoS-атаках и удалении веб-сайтов.

GhostSec нацелена на промышленные системы Израиля, критически важные объекты инфраструктуры и технологические компании и является частью группы, включающей ThreatSec, Stormous, Blackforums и SiegedSec.

#cyberthreattech

Интеграция Noise Control c OpenCTI уже в процессе :)

Noise Control - это такой прикольный сервис, который может проверить IP, Domain, URL по нашим базам и сказать насколько вероятен false-positive, если он выстрелит.

Его можно использовать для очистки фидов от любых поставщиков :)

#ParsedReport #CompletenessHigh
06-03-2024

The NGC2180 group spies on high-ranking targets using the DFKRAT implant

https://rt-solar.ru/solar-4rays/blog/4124

Report completeness: High

Actors/Campaigns:
Ngc2180 (motivation: cyber_espionage)

Threats:
Dfkrat
Dll_sideloading_technique
Timestomp_technique
Winrm_tool

Victims:
Executive authorities, National center for scientific research, Ottodigital group

Geo:
Greece, Indonesian, Russian

ChatGPT TTPs:
do not use without manual check
T1566, T1566.001, T1547.009, T1055, T1574, T1027, T1071, T1560, T1112, T1036, have more...

IOCs:
Path: 5
File: 12
Hash: 14
Url: 4
Registry: 1
Domain: 3
IP: 2

Soft:
Microsoft Word

Algorithms:
rc4, sha1, sha256, rsa-4096, sha384, md5

Functions:
WriteHost, WriteSDat

Win API:
ZwAllocateVirtualMemory, ZwWriteVirtualMemory, ZwQueueApcThread, ZwResumeThread, D3D10CreateDevice1, CreateProcessW, NtAllocateVirtualMemory, NtWriteVirtualMemory, GetThreadContext, SetThreadContext, have more...

Platforms:
apple, x86, x64, intel

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, code: 6, chats: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в обнаружении и анализе вредоносного ПО DFKRAT, его функциональных возможностей, механизмов доставки и деятельности группы исполнителей киберугроз, идентифицированной как NGC2180. В тексте подчеркивается изощренность и тактика, применяемые злоумышленниками, эволюция вредоносного ПО, тактика, используемая для избежания обнаружения, а также важность бдительности и обмена разведданными в сообществе кибербезопасности для смягчения угроз, исходящих от этой группы.
-----

В конце 2023 года команда Solar 4RAYS, проводившая оценку компрометации, обнаружила атаку на исполнительный орган с использованием многоступенчатого вредоносного ПО, приведшую к внедрению имплантата, известного как DFKRAT. Это вредоносное ПО, ориентированное на шпионаж, позволяет злоумышленникам извлекать данные из файловых систем жертв. Обширное исследование выявило другие образцы, использовавшиеся той же группой злоумышленников с маркировкой NGC2180 с 2021 по 2023 год против русскоязычных целей. Вредоносная программа DFKRAT облегчает эксфильтрацию файлов, поддержку интерактивной оболочки и потенциальную загрузку дополнительных вредоносных программ с сервера управления C2. Скомпрометированные серверы в Греции и Индонезии использовались в качестве C2 для внедрения. Основная функциональность вредоносного ПО включает в себя использование сторонней загрузки DLL для доставки полезной нагрузки и поддержания постоянства на хосте жертвы.

В развертывании вредоносного ПО использовались законные исполняемые файлы, вредоносные библиотеки, внедряющие шелл-код, и двоичные файлы, содержащие полезную нагрузку. Вредоносное ПО использовало различные методы, такие как сторонняя загрузка библиотеки DLL, использование уникальных законных процессов для сокрытия вредоносных действий и расшифровка шелл-кода с использованием пользовательских алгоритмов и ключей.

Имплантат DFKRAT, идентифицированный в нескольких вариантах в разных образцах, взаимодействует с сервером C2 посредством зашифрованных POST-запросов, использует определенное значение User-Agent и использует оболочку функции ожидания для маскировки сетевых действий. Последняя версия DFKRAT использует стороннюю загрузку DLL с улучшениями, позволяющими избежать обнаружения решениями безопасности.

Исторические примеры 2021-2022 годов, связанные с кластером NGC2180, выявили различные версии имплантата DFKRAT и механизмов доставки. Злоумышленники использовали OLE-объекты, встроенные в документы, для активации исполняемых файлов, доставляя полезную нагрузку с удаленных серверов. Злоумышленники продемонстрировали операционную изощренность, используя скомпрометированную инфраструктуру для C2, обеспечивая ограниченную видимость и затрудняя отслеживание их действий.

Анализ изменений инфраструктуры группы NGC2180 показал изменения в серверах C2 и тактике с течением времени. Злоумышленники скомпрометировали законные хосты для размещения своей инфраструктуры C2, что позволило обойти решения по обеспечению безопасности. Системный подход злоумышленников и нацеливание на высокопоставленные организации предполагают потенциальные политические мотивы. Постоянный и эволюционирующий характер группы NGC2180 подчеркивает важность постоянной бдительности и обмена разведданными в сообществе кибербезопасности.

Показатели компрометации (IOCs), представленные в исследовании, включая хэши вредоносных программ и сведения о сервере C2, могут помочь идентифицировать и смягчить угрозы, связанные с кластером NGC2180. Сообществу рекомендуется использовать эти IOC для расширения возможностей обнаружения угроз и реагирования на них в отношении этой группы участников угроз.

#ParsedReport #CompletenessLow
06-03-2024

New APT Group 'Lotus Bane' Behind Recent Attacks on Vietnam's Financial Entities

https://thehackernews.com/2024/03/new-apt-group-lotus-bane-behind-recent.html

Report completeness: Low

Actors/Campaigns:
Lotus_bane (motivation: financially_motivated, cyber_criminal)
Oceanlotus
Blindeagle
Lazarus
Lightbasin (motivation: financially_motivated)
Unc2891

Threats:
Dll_sideloading_technique
Pipedance
Caketap

Victims:
Financial organizations in apac, europe, latam, north america

Industry:
Financial

Geo:
America, Asia-pacific, Latam, Apac, Vietnam, Vietnamese

ChatGPT TTPs:
do not use without manual check
T1574.002, T1095, T1053.005, T1105, T1555.003, T1053

Soft:
Kitty

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в появлении и деятельности субъекта угроз Lotus Bane, их нацеливании на финансовый сектор Вьетнама и Азиатско-Тихоокеанского региона, их сходстве с OceanLotus (APT32) и более широком спектре продвинутых групп постоянных угроз, создающих киберугрозы финансовым организациям по всему миру, подчеркивая важность необходимость в усиленных мерах кибербезопасности.
-----

Lotus Bane, ранее недокументированный исполнитель угроз, атаковал финансовую организацию во Вьетнаме в марте 2023 года. Конкретные детали цепочки заражения неизвестны, но она предполагает использование вредоносных артефактов для перемещения в сторону. Методы, используемые Lotus Bane, такие как боковая загрузка DLL и именованные каналы для обмена данными, пересекаются с методами OceanLotus, также известными как APT32. Использование Lotus Bane вредоносного ПО, такого как PIPEDANCE, для связи по именованным каналам было впервые задокументировано в связи с кибератакой на вьетнамскую организацию в конце декабря 2022 года.

Сходство между Lotus Bane и OceanLotus наводит на мысль о возможных связях или вдохновении, хотя их разные целевые отрасли указывают на то, что они могут быть отдельными организациями. Lotus Bane в первую очередь нацелена на банковский сектор в Азиатско-Тихоокеанском регионе (APAC), демонстрируя сложные методы, которые намекают на более широкие географические операции внутри APAC. Продолжительность деятельности Lotus Bane до обнаружения остается неясной, и ожидается, что продолжающиеся расследования позволят лучше понять их историю.

Финансовые организации в Азиатско-Тихоокеанском регионе, Европе, Латинской Америке (LATAM) и Северной Америке сталкивались с угрозами со стороны продвинутых групп постоянных угроз, таких как Blind Eagle, the Lazarus Group и UNC1945. UNC1945, известный тем, что нацеливает на серверы коммутаторов ATM пользовательское вредоносное ПО под названием CAKETAP, перехватывает и изменяет данные, передаваемые между серверами ATM и серверами аппаратных модулей безопасности, в вредоносных целях. Присутствие Lotus Bane и UNC1945 в регионе Азиатско-Тихоокеанского региона подчеркивает важность поддержания бдительности и принятия надежных мер кибербезопасности для защиты от различных финансовых киберугроз в современном цифровом мире.

Сложность защиты от финансовых киберугроз подчеркивается особой тактикой и целями таких групп, как Lotus Bane и UNC1945. Постоянные усилия по пониманию и устранению этих угроз имеют решающее значение для защиты финансовых систем и сетей перед лицом развивающихся киберугроз.

#ParsedReport #CompletenessHigh
06-03-2024

SapphireStealer Sneaks In: Deceptive Legal Documents Prey on Russians

https://cyble.com/blog/sapphirestealer-sneaks-in-deceptive-legal-documents-prey-on-russians

Report completeness: High

Threats:
Sapphirestealer
Sapphire
Credential_dumping_technique

Victims:
Russians

Industry:
Government

Geo:
Russian, Russia

TTPs:
Tactics: 6
Technics: 10

IOCs:
Domain: 1
Url: 1
File: 9
IP: 1
Hash: 2

Soft:
Telegram

Algorithms:
base64, sha256, sha1, md5, aes, zip

Functions:
Main, Decryptasdfasdfasdfs, Log2, InstanseOfClass

Links:
https://github.com/0day2/SapphireStealer/

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста - подробный анализ Cyble Research and Intelligence Labs (CRIL) вредоносной кампании, нацеленной на российских граждан с использованием вредоносного ПО SapphireStealer, распространяемого обманными способами, такими как поддельные правительственные веб-сайты и замаскированные под документы PDF. Кампания предполагает кражу конфиденциальной информации с устройств жертв и отправку ее на сервер управления (C&C). Злоумышленники, стоящие за кампанией, используют тактику социальной инженерии, включая использование вводящих в заблуждение юридических документов, для повышения успеха своих атак. CRIL уделяет особое внимание техническим аспектам вредоносного ПО и тактике обмана, чтобы повысить осведомленность специалистов по кибербезопасности и пользователей об эффективной защите от таких угроз.
-----

Cyble Research and Intelligence Labs (CRIL) проанализировала вредоносную кампанию, направленную против российских граждан с использованием вредоносного ПО SapphireStealer, замаскированного под PDF-документ с поддельного веб-сайта российского правительства.

SapphireStealer собирает конфиденциальную информацию, такую как учетные данные для входа в систему, веб-данные, файлы cookie и т.д., и отправляет ее на сервер управления в сжатом ZIP-файле.

Источник угрозы, ответственный за кампанию, остается неустановленным.

Кампания была замечена в конце февраля и направлена на российские цели путем распространения SapphireStealer через спам-письма со ссылками на поддельные URL-адреса правительственных веб-сайтов.

Вводящие в заблуждение PDF-файлы заманивают жертв, напоминая юридические документы, связанные с судебными постановлениями и делами об административных правонарушениях, создавая ощущение срочности и страха, требующих немедленных действий.

Вредоносная программа использует методы социальной инженерии и вредоносные тактики для манипулирования эмоциями, создания аутентичности и увеличения числа успешных заражений.

Использование контента на родном языке и вводящих в заблуждение юридических документов повышает эффективность кампании, направленной против российских граждан.

CRIL сохраняет бдительность в мониторинге развивающихся вредоносных угроз и стремится повысить осведомленность специалистов по кибербезопасности и пользователей о мерах защиты от таких вредоносных действий.

#ParsedReport #CompletenessMedium
06-03-2024

Resurgence of BlackCat Ransomware

https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/resurgence-of-blackcat-ransomware

Report completeness: Medium

Threats:
Blackcat
Screenconnect_tool
Credential_dumping_technique
Shadow_copies_delete_technique
Process_injection_technique

Victims:
Change healthcare

Industry:
Financial, Healthcare

TTPs:
Tactics: 8
Technics: 30

IOCs:
File: 6
Path: 1
Command: 7
Registry: 1

Soft:
ESXi, Windows Defender, Component Object Model, MSExchange, mysql, Windows Service

Win API:
LookupPrivilegeValueW, SeRestorePrivilege, SeBackupPrivilege, CreateNamedPipeW

Languages:
powershell, rust

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что BlackCat group, группа киберугроз, которая вновь появилась после взлома, запустила масштабную атаку с использованием программ-вымогателей на Change Healthcare, в результате которой было украдено 6 ТБ данных. Атака нарушила обработку платежей, вынудив клиентов платить из своего кармана и предотвратив заполнение рецептов. Группа использовала сложную тактику, законные инструменты удаленного доступа и уникальные токены, подчеркивая необходимость постоянного совершенствования безопасности для борьбы с развивающимися киберугрозами, такими как BlackCat. Вариант программы-вымогателя использовал передовые методы, позволяющие избежать обнаружения, настраивать атаки и требовать выкуп за зашифрованные файлы, подчеркивая важность непрерывного мониторинга, анализа поведения и подхода к безопасности с нулевым доверием для эффективного обнаружения и реагирования.
-----

В быстро меняющемся киберпространстве Trustwave отметила возрождение группы BlackCat после того, как в декабре 2023 года Министерство юстиции США прекратило ее деятельность. 21 февраля группа предприняла масштабную атаку на Change Healthcare, часть Optum, принадлежащую UnitedHealth Group, где, как они утверждали, было украдено 6 ТБ данных. Эта атака нарушила обработку платежей, вынудив клиентов платить из своего кармана и предотвратив выполнение рецептов. BlackCat использовала законные инструменты удаленного доступа и уникальные токены для развертывания сложного варианта программы-вымогателя, подчеркивая важность постоянного совершенствования безопасности для борьбы с такими угрозами. Группа устанавливает первоначальный доступ, используя широко используемые инструменты удаленного управления, такие как Total Software Deployment и ScreenConnect, маскируя свои действия в рамках обычного административного поведения. После отключения продукта безопасности злоумышленник запустил двоичный файл программы-вымогателя BlackCat update.exe, для выполнения которого требовался шестнадцатеричный токен доступа из 64 символов для обеспечения скрытности. В отличие от предыдущих версий, этот двоичный файл нельзя обойти с помощью случайных токенов. Программа-вымогатель фокусируется на снижении шума, чтобы предотвратить поведение, подобное червеобразному, с командами, направленными на настройку атак в зависимости от жертв и предотвращение распространения по общим дискам. Программа-вымогатель, написанная на Rust, создает проблемы с анализом, поскольку возможности ведения журнала помогают при первоначальной сортировке. Попытки повышения привилегий включают сброс учетных данных для горизонтального перемещения внутри сети, использование хэшей NT для обхода домена. Шифрование файлов распространяется на скрытые разделы, в то время как такие действия, как остановка служб IIS и удаление теневых копий, еще больше нарушают работу. Зашифрованные файлы получают уведомление о выкупе и уникальное расширение, при этом дешифратор доступен, но требует определенного закрытого ключа. Чтобы избежать эвристического обнаружения, программа-вымогатель исключает указанные каталоги из шифрования, демонстрируя продвинутую тактику, которая требует постоянного мониторинга, анализа поведения и подхода к безопасности с нулевым доверием для эффективного обнаружения и реагирования на развивающиеся киберугрозы, такие как BlackCat.

#ParsedReport #CompletenessMedium
06-03-2024

Spinning YARN - A New Linux Malware Campaign Targets Docker, Apache Hadoop, Redis and Confluence

https://www.cadosecurity.com/spinning-yarn-a-new-linux-malware-campaign-targets-docker-apache-hadoop-redis-and-confluence

Report completeness: Medium

Actors/Campaigns:
Spinning_yarn
Teamtnt
Commando_cat

Threats:
Platypus
Xmrig_miner
Netstat_tool
Masscan_tool
Libprocesshider_rootkit
Diamorphine_rootkit
Migo
Libpcap_tool
Zgrab_scanner_tool
Pnscan_tool
Kinsing_miner
Log4shell_vuln

Victims:
Misconfigured servers

Industry:
Government

Geo:
Asian

CVEs:
CVE-2022-26134 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- atlassian confluence data center (7.18.0, <7.17.4, <7.16.4, <7.15.2, <7.14.3, <7.13.7, <7.4.17)
- atlassian confluence server (7.18.0, <7.17.4, <7.16.4, <7.15.2, <7.14.3, <7.13.7, <7.4.17)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1190, T1059.004, T1133, T1543.003, T1027, T1070.004, T1574.001, T1059.006, T1112, T1046, have more...

IOCs:
IP: 5
Url: 8
Hash: 9

Soft:
Docker, Hadoop, Redis, Confluence, Alpine, firewalld, SELinux, systemd, Ubuntu, UNIX, have more...

Algorithms:
base64

Functions:
check_exist, env_set, main, DeleteImagesByRepo, AddEntryToHost, time_Now, generateRandomOctets, executeDockerCommand, executeYARNCommand, setrlimit, have more...

Win API:
lockfile

Languages:
golang, python

Links:
https://github.com/gianlucaborello/libprocesshider
https://github.com/zmap/zgrab2
https://github.com/m0nad/Diamorphine
https://github.com/cado-security
https://github.com/WangYihang/Platypus

#ParsedReport #GeneratedSchema
Generated with GPT-4