#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея:.
В тексте подробно описывается обнаружение и анализ Atomic macOS Stealer (AMOS), сложной вредоносной программы, нацеленной на пользователей macOS с помощью вредоносного файла Slack.dmg. Программа stealer, доступная для покупки на подпольных форумах, извлекает конфиденциальные данные и использует методы обхода подписей XProtect, демонстрируя необходимость постоянной бдительности и упреждающих мер безопасности со стороны пользователей и организаций для защиты от развивающихся киберугроз.
-----

В тексте описывается инцидент, когда аналитик по анализу киберугроз столкнулся с вредоносным программным обеспечением macOS stealer, известным как Atomic macOS Stealer (AMOS), через образец файла Slack.dmg. Первоначально предполагалось, что это полезная нагрузка red teaming, дальнейший анализ выявил сложную природу похитителя и его методы обхода существующих сигнатур XProtect. AMOS - это вредоносное ПО, предназначенное для пользователей macOS и доступное для продажи на подпольных форумах и каналах Telegram.

Slack.Файл DMG является распространенным способом распространения приложений для Mac, и при проверке было обнаружено, что он содержит двоичный файл Mach-O, подписанный adhoc, что означает отсутствие криптографической защиты. Двоичный файл является универсальным, содержит архитектуры как для x86_64, так и для arm64, что указывает на его совместимость как с чипами Intel, так и с Apple. Функциональность вредоносного ПО включает в себя извлечение конфиденциальных данных, таких как пароли для входа пользователей, автозаполнения, пароли, файлы cookie и кошельки из различных браузеров, таких как Chrome, Brave, Edge, и приложений для крипто-кошельков, таких как Coinbase, Exodus и Coinomi.

Одной из уникальных особенностей Atomic Stealer является его способность маскироваться под помощника по привилегиям, используя Apple Script, чтобы обманом заставить жертв предоставить свои пароли для входа. Он создает поддельное диалоговое окно, напоминающее системные настройки, чтобы обмануть пользователей. Затем украденные данные отправляются на сервер управления (C2) в формате, закодированном в base64. Адрес C2 зашифрован XOR, что обеспечивает скрытую связь между вредоносной программой и сервером.

Кроме того, вредоносная программа включает в себя новую функциональность, известную как File Grabber, которая представляет собой AppleScript, предназначенный для сбора определенных файлов из системы жертвы. Это включает файлы cookie Safari, Cookies.binarycookies, базу данных macOS Notes и файлы с определенными расширениями, такими как txt, docx или файлы, связанные с кошельком. Atomic Stealer постоянно отслеживает строки, связанные с программным обеспечением для виртуализации, таким как VirtualBox, Parallels и виртуальная машина Apple, и при обнаружении завершает работу самостоятельно.

Поскольку угрозы, нацеленные на пользователей macOS, продолжают развиваться, в тексте подчеркивается, что пользователям и организациям необходимо сохранять бдительность и принимать упреждающие меры безопасности для защиты от потенциальных нарушений. Текущие исследования и анализ имеют решающее значение для того, чтобы опережать киберпреступников и защищать конфиденциальную информацию от компрометации. Аналитик также отмечает, что мониторинг выполнения AppleScript может оказаться полезным для действий по обнаружению и охоте, предполагая проактивный подход к обнаружению угроз и реагированию на них.

#ParsedReport #CompletenessLow
11-03-2024

Profiling : KZ Team Reborn. Heads - The interview

https://g0njxa.medium.com/profiling-%D1%82%D1%80%D0%B0%D1%84%D1%84%D0%B5%D1%80%D1%8B-kz-team-reborn-f5da607bca2d

Report completeness: Low

Threats:
Traffer
Lumma_stealer
Redline_stealer
Cuba_ransomware
Findzip
Anydesk_tool

Industry:
Financial

Geo:
Monaco, Ethiopia, Mozambique, Iceland, Qatar, Tajikistan, Vietnam, France, Guatemala, Mayotte, Bermuda, Lebanon, China, Mauritania, Djibouti, Libya, Italy, Luxembourg, Poland, Bahamas, Croatia, Afghanistan, Macedonia, Jamaica, Kyrgyzstan, Georgia, Germany, Angola, Pakistan, French, Kosovo, Slovenia, Paraguay, Comoros, Mongolia, Africa, Botswana, Zambia, Venezuela, Rwanda, Namibia, Kiribati, Belize, Morocco, Ireland, Zimbabwe, Ghana, Haiti, Hungary, Uruguay, Fiji, Uzbekistan, Panama, Seychelles, Czechia, Indonesia, Israel, Kazakhstan, Sweden, Bulgaria, Russian, Netherlands, Gambia, Peru, Spain, Russia, Suriname, Cambodia, Malta, Senegal, Mali, Korea, Serbia, India, Montenegro, Guinea-bissau, Guyana, Uganda, Denmark, Argentina, Belgium, Burundi, Oman, Iraq, Bolivia, Mauritius, Guinea, Andorra, Jordan, Egypt, Lesotho, Slovakia, Micronesia, Niger, Barbados, Nigeria, Sudan, Samoa, Bahrain, Reunion, Tanzania, Liechtenstein, Austria, Malawi, Kuwait, Emirates, Greenland, Somalia, Benin, Moldova, Vanuatu, Cyprus, Palestinian, Switzerland, Singapore, Malaysia, Honduras, Estonia, Aruba, Ukraine, Albania, Belarus, Brazil, Philippines, Norway, Greece, Gibraltar, Cameroon, Chile, Kenya, Syria, Armenia, Japan, Canada, Grenada, Liberia, Romania, Bhutan, Iran, Guadeloupe, Taiwan, Nicaragua, Algeria, Australia, Maldives, Azerbaijan, Bangladesh, Tunisia, Lithuania, Portugal, Mexico, Guam, Colombia, Thailand, Turkey, Ecuador, Madagascar, Chad, Myanmar, Togo, Latvia, Yemen, Laos, Gabon, Dominica, Nepal, Congo, Martinique, Finland

ChatGPT TTPs:
do not use without manual check
T1583, T1584, T1585, T1589, T1595, T1027, T1071

IOCs:
IP: 3
Hash: 3

Soft:
Telegram, Discord, Tiktok

Wallets:
bitcoincore, coinbase, metamask, electrum, yoroi, terra_station, keplr, venom_wallet, ronin_wallet, binancechain, have more...

Crypto:
binance

Links:
https://github.com/g0njxa/ProfilingTraffers/raw/main/KZ%20TEAM%20REBORN.txt

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста - углубленное исследование операций, тактики и стимулов конкретной команды инфокрадов, известной как KZ Team Reborn, с акцентом на их организационную структуру, используемые инструменты, механизмы стимулирования, географическое происхождение и общую изощренность вредоносных действий.
-----

Серия блогов посвящена запутанному миру экосистемы infostealer, проливая свет на деятельность различных операторов вредоносных программ, объединенных в команды. Одной из таких команд, находящихся в центре внимания, является KZ Team Reborn, группа, специализирующаяся на infostealers. Эта команда начала свою деятельность 28 сентября 2022 года и продолжает действовать по сей день, возглавляемая человеком, известным как TOKAEFFF.

Команда KZ Team Reborn предлагает частным лицам заманчивую возможность сотрудничать в создании и распространении вредоносных сборок. Члены команды имеют возможность работать со взломщиками и бесплатно получать зашифрованные сборки. Кроме того, команда предоставляет бесплатные услуги SEO и вознаграждает тех, кто публикует логи. Операторы вредоносных программ, входящие в команду, могут получить 70% украденных криптовалют, что стимулирует их к активному участию в операции.

Функционал бота, используемый KZ Team Reborn, преимущественно написан на русском языке, что отражает возможное географическое происхождение или преобладающие языковые навыки членов команды. Примечательно, что команда является инклюзивной и приветствует людей с опытом работы с вредоносными программами или без него. В функции бота регулярно вносятся обновления и исправления, гарантирующие, что инструменты остаются эффективными и актуальными. Команда использует различные шифровальщики и сборщики для создания сборок infostealer, расширяя их возможности и избегая обнаружения.

Кроме того, KZ Team Reborn предлагает планы подписки и стимулы для поощрения вовлеченности и постоянной вовлеченности своих членов. Значительный объем журналов распределен по различным категориям, что указывает на широкий спектр мероприятий, проводимых командой. Есть упоминания о частных лицах, сотрудничающих с инфокрадами и использующих частные панели, что свидетельствует о сложном и организованном подходе к их деятельности.

В центре внимания команды находятся не только общие кибератаки, но и упоминания о конкретных криптовалютах, инструментах и платформах, предназначенных для кражи учетных данных. Например, сообщалось, что пользователь "wanwap" заработал 4007 долларов в качестве оператора вредоносного ПО, что иллюстрирует потенциально прибыльный характер такой незаконной деятельности. IP-адрес управления и команды (C2) для KZ Team Reborn раскрывается как 147.45.47.39:80, предоставляя ключевой идентификатор для отслеживания и мониторинга их деятельности.

Что касается технических аспектов, команда использует Lumma и PackLab Crypt для целей разработки, указывая инструменты и технологии, используемые в их работе. Есть намеки на прошлые C2s, используемые командой, что указывает на степень эволюции и адаптации в ответ на меры безопасности. Даны рекомендации по анализу раскрытых C2s с использованием таких платформ, как Anyrun, чтобы получить более глубокое представление об их тактике и инфраструктуре.

В сообщении в блоге содержатся ссылки на нераскрытые имена пользователей-трафикеров, намекающие на потенциальные возможности для будущего расследования и сбора разведданных. В целом, предоставленная информация дает представление о внутренней работе KZ Team Reborn и более широком спектре операций infostealer, подчеркивая сложность, адаптивность и прибыльность этих вредоносных начинаний.

#ParsedReport #CompletenessLow
11-03-2024

Cloud Threats deploying Crypto CDN

https://sysdig.com/blog/cloud-threats-deploying-crypto-cdn

Report completeness: Low

Industry:
Financial, E-commerce

CVEs:
CVE-2021-3129 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 7.3
X-Force: Patch: Official fix
Soft:
- facade ignition (<2.5.2)


ChatGPT TTPs:
do not use without manual check
T1190, T1583, T1078, T1119, T1046, T1082, T1049

IOCs:
IP: 1

Soft:
WordPress, Ubuntu

Languages:
javascript, perl

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что команда Sysdig по исследованию угроз раскрыла вредоносную кампанию, которая использовала сервис Meson в среде, основанной на блокчейне, для нацеливания на предстоящее событие разблокировки крипто-токена. Злоумышленник установил значительное количество узлов сети Meson, используя скомпрометированные облачные учетные записи, подчеркнув уязвимость облачных сред и важность надежных мер безопасности. Кроме того, в тексте обсуждается цель сети Meson революционизировать рынок пропускной способности в среде Web3 и необходимость эффективных мер безопасности для обнаружения и предотвращения вредоносных действий.
-----

Исследовательская группа Sysdig Threat Research Team (TRT) недавно обнаружила вредоносную кампанию, использующую основанный на блокчейне сервис Meson для использования предстоящей разблокировки крипто-токена, назначенной примерно на 15 марта. Злоумышленник быстро попытался установить 6000 узлов сети Meson, используя скомпрометированную облачную учетную запись. Сеть Meson работает как децентрализованная сеть доставки контента в среде Web3, используя протокол блокчейна для упрощения рынка пропускной способности.

26 февраля системный администратор TRT отреагировал на тревожные предупреждения, адресованные нескольким пользователям AWS, подключенным к открытым сервисам в их инфраструктуре honeynet. Злоумышленник воспользовался CVE-2021-3129 в приложении Laveral и неправильной конфигурацией в WordPress, чтобы получить первоначальный доступ к облачной учетной записи. Впоследствии злоумышленник использовал автоматизированные методы разведки, чтобы быстро составить карту скомпрометированной среды. Используя привилегии скомпрометированных пользователей, злоумышленник создал значительное количество экземпляров EC2. Изучение журналов Cloudtrail показало, что злоумышленник исходил с определенного IP-адреса (13.208.251.175), а скомпрометированная учетная запись была свидетелем вредоносной активности, охватывающей многочисленные регионы AWS.

Злоумышленник развернул общедоступный AMI (Ubuntu 22.04) и создал несколько наборов по 500 экземпляров микроразмеров на регион. Примечательно, что из-за ограничений, ограничивающих новые экземпляры EC2 микроразмерами, злоумышленник парадоксальным образом придерживался этих спецификаций. Этот инцидент проливает свет на уязвимость облачных сред к эксплуатации и подчеркивает важность надежных мер безопасности для защиты от подобных угроз.

Блокчейн-инициатива Meson Network направлена на революционизацию рынка пропускной способности в Web3 путем внедрения протокола на основе блокчейна, который заменит традиционные облачные решения для хранения данных, такие как Google Drive и Amazon S3. Этот шаг направлен на то, чтобы предложить пользователям более экономичную альтернативу, заботящуюся о конфиденциальности. Web3 представляет собой усовершенствование по сравнению с предыдущими итерациями web, в котором особое внимание уделяется децентрализации, интеграции криптовалют и NFT для создания более справедливой цифровой экосистемы. Майнеры, поддерживающие сеть Meson, будут вознаграждены токенами Meson в зависимости от их вклада в пропускную способность и хранение в сети.

После ICO Meson Network, состоявшегося 8 февраля 2024 года, интерес к проекту в блокчейн-сообществе возрос. Однако TRT отметил сетевую активность во время выполнения во время выполнения, включая подключения к вредоносным IP-адресам с помощью "gaganode". Примечательно, что традиционных методов обнаружения вредоносных майнеров, основанных на скачках производительности процессора, может быть недостаточно в этом контексте. Вместо этого мониторинг ресурсов, таких как использование трафика и места для хранения, может служить эффективными индикаторами потенциальных нарушений безопасности. Инструменты обнаружения во время выполнения, такие как Falco, могут помочь в отслеживании исходящих подключений и выявлении любого подозрительного поведения.

#ParsedReport #CompletenessMedium
11-03-2024

BianLian GOs for PowerShell After TeamCity Exploitation

https://www.guidepointsecurity.com/blog/bianlian-gos-for-powershell-after-teamcity-exploitation

Report completeness: Medium

Actors/Campaigns:
Bianlian

Threats:
Nltest_tool
Bitsadmin
Credential_dumping_technique
Scriptblock

Industry:
Healthcare, Education

CVEs:
CVE-2023-42793 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- jetbrains teamcity (<2023.05.4)

CVE-2024-27198 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- jetbrains teamcity (<2023.11.4)


ChatGPT TTPs:
do not use without manual check
T1190, T1059, T1071, T1043, T1573, T1027, T1547, T1003, T1132

IOCs:
File: 3
IP: 13
Url: 2
Hash: 1

Soft:
TeamCity

Algorithms:
sha256, md5, sha1

Functions:
GetCertHashString

Languages:
powershell

Links:
https://github.com/rprichard/winpty
https://github.com/drb-ra/C2IntelFeeds
https://github.com/FuzzySecurity/PowerShell-Suite

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в эволюционирующей тактике группы вымогателей BianLian, в частности, в их переходе к операциям, основанным на вымогательстве, и использовании бэкдора PowerShell для проведения действий после эксплуатации в сетях жертв. В тексте подчеркивается адаптивность группы при использовании уязвимостей, важность готовности и упреждающих мер защиты, а также необходимость для организаций оставаться в курсе событий, проводить пентесты и адаптироваться к меняющимся угрозам, чтобы усилить защиту от распространенных субъектов угроз, таких как BianLian, в ландшафте киберугроз.
-----

В январе 2023 года Avast выпустила дешифратор для группы вымогателей BianLian, что привело к переходу группы к операциям, основанным на вымогательстве.

Команда DFIR обнаружила вредоносную активность в сети клиента, исходящую от скомпрометированного сервера TeamCity, используя CVE-2024-27198 / CVE-2023-42793.

Threat actor использовал различные тактики, включая использование команд Windows, развертывание законных файлов и использование пакета PowerShell от FuzzySecurity для сброса учетных данных.

Threat actor использовал бэкдор PowerShell для связи с сервером C2 через потоки SSL, TCP-сокеты и пулы Runspace для удаленных операций.

Бэкдор PowerShell ссылался на IP-адрес, связанный с бэкдором BianLian GO, подтверждая, что это реализация PowerShell.

Компания BianLian продемонстрировала адаптивность в использовании уязвимостей и разработке тактики на период с 2023 по 2024 год, подчеркивая важность готовности, исправления уязвимостей и использования информации об угрозах для защиты.

Рекомендации включают в себя постоянное информирование, проведение пентестов на основе анализа угроз и адаптацию к меняющимся угрозам для усиления защиты от таких субъектов угрозы, как BianLian.

Интересная статья по разбору прошивки FortiGate. В конце рассказывают как сделать свою кастомку с "доп нагрузкой"

https://www.optistream.io/blogs/tech/fortigate-firmware-analysis

#ParsedReport #CompletenessMedium
12-03-2024

BIPClip: Malicious PyPI packages target crypto wallet recovery passwords

https://www.reversinglabs.com/blog/bipclip-malicious-pypi-packages-target-crypto-wallet-recovery-passwords

Report completeness: Medium

Actors/Campaigns:
Bipclip (motivation: cyber_criminal)

Threats:
Typosquatting_technique
Supply_chain_technique

Victims:
Developers working on projects related to generating and securing cryptocurrency wallets

Industry:
Financial, Healthcare

Geo:
Dprk, Korea, Korean

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1195, T1566.001, T1552, T1583, T1547.001, T1071, T1027, T1105, T1036, T1589, have more...

IOCs:
Url: 2
Registry: 1
Hash: 38
IP: 3

Crypto:
bitcoin, ethereum

Algorithms:
base64

Languages:
python

Links:
https://github.com/ethereum/eth-account
hxxps://github.com/HashSnake/hCrypto
https://github.com/ethereum
https://github.com/HashSnake
https://github.com/bitcoin/bips/blob/master/bip-0039.mediawiki#user-content-Abstract

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея: ReversingLabs выявила новую вредоносную кампанию под названием BIPClip, которая нацелена на криптовалютные кошельки путем кражи мнемонических фраз для восстановления. Кампания включает в себя несколько замаскированных пакетов в индексе пакетов Python, используя такие тактики, как использование зависимостей вредоносных файлов и присвоение имен, чтобы избежать обнаружения. Злоумышленники стратегически распределили вредоносную функциональность по взаимосвязанным пакетам, сосредоточившись на краже криптовалютных активов без более широкого контроля над системой. Этот инцидент подчеркивает сохраняющуюся угрозу атак на цепочки поставок программного обеспечения, подчеркивая необходимость усиленных мер безопасности, бдительности и тщательной проверки зависимостей в экосистеме криптовалют.
-----

ReversingLabs обнаружила вредоносную кампанию под названием BIPClip, нацеленную на криптовалютные кошельки путем кражи мнемонических фраз, используемых для восстановления.

В кампании участвуют семь пакетов с открытым исходным кодом и 19 версиями в индексе пакетов Python, начиная с декабря 2022 года.

Вредоносная активность включает в себя маскировку внутри кажущихся законными пакетов с использованием таких методов, как вредоносные файловые зависимости и присвоение имен.

Кампания нацелена на разработчиков, работающих над проектами, связанными с криптовалютными кошельками, особенно на тех, кто использует стандарт BIP39 для создания детерминированных биткоин-кошельков.

Первоначальный пакет, mnemonic_to_address, взаимодействует с проектом eth-account для генерации исходных данных кошелька и включает в себя функцию с явно вредоносной функциональностью из второго пакета, bip39_mnemonic_decrypt.

Еще три вредоносных пакета были идентифицированы в марте 2023 года по той же схеме поведения, что и первоначальная пара.

Злоумышленники стратегически распределили вредоносный функционал по взаимосвязанным пакетам, чтобы избежать проверки.

Несмотря на то, что некоторые пакеты были обнаружены и удалены из PyPI, им все же удалось набрать количество загрузок с умеренным эффектом.

Злоумышленники сосредоточились на краже криптовалюты, не пытаясь осуществлять более широкий контроль или боковое перемещение внутри скомпрометированных систем.

Инцидент подчеркивает сохраняющуюся угрозу атак на цепочки поставок программного обеспечения, особенно в отношении криптовалютных активов.

Разработчикам и организациям рекомендуется повысить безопасность цепочки поставок программного обеспечения путем проведения регулярных оценок и проверки сторонних инструментов.

Индивидуальная бдительность имеет решающее значение для защиты крипто-кошельков и конфиденциальной информации от использования киберпреступниками.

#ParsedReport #CompletenessLow
12-03-2024

Ransomware: Attacks Continue to Rise as Operators Adapt to Disruption

https://symantec-enterprise-blogs.security.com/threat-intelligence/ransomware-attacks-exploits

Report completeness: Low

Actors/Campaigns:
Syrphid

Threats:
Qakbot
Lockbit
Blackcat
Clop
Citrix_bleed_vuln
Byovd_technique
Hoptodesk_tool
Conti
Atera_tool
Anydesk_tool
Splashtop_tool
Truesightkiller_tool
Ghostdriver_tool
Stealbit

CVEs:
CVE-2023-4966 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: 9.4
X-Force: Patch: Official fix
Soft:
- citrix netscaler application delivery controller (<12.1-55.300, <13.0-92.19, <13.1-37.164, <13.1-49.15, <14.1-8.50)
- citrix netscaler gateway (<13.0-92.19, <13.1-49.15, <14.1-8.50)

CVE-2023-20269 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: 5
X-Force: Patch: Official fix
Soft:
- cisco adaptive security appliance software (6.2.3, 6.2.3.1, 6.2.3.2, 6.2.3.3, 6.2.3.4, 6.2.3.5, 6.2.3.6, 6.2.3.7, 6.2.3.8, 6.2.3.9, 6.2.3.10, 6.2.3.11, 6.2.3.12, 6.2.3.13, 6.2.3.14, 6.2.3.15, 6.2.3.16, 6.2.3.17, 6.2.3.18, 6.4.0, 6.4.0.1, 6.4.0.2, 6.4.0.3, 6.4.0.4, 6.4.0.5, 6.4.0.6, 6.4.0.7, 6.4.0.8, 6.4.0.9, 6.4.0.10, 6.4.0.11, 6.4.0.12, 6.4.0.13, 6.4.0.14, 6.4.0.15, 6.4.0.16, 6.6.0, 6.6.0.1, 6.6.1, 6.6.3, 6.6.4, 6.6.5, 6.6.5.1, 6.6.5.2, 6.6.7, 6.6.7.1, 6.7.0, 6.7.0.1, 6.7.0.2, 6.7.0.3, 7.0.0, 7.0.0.1, 7.0.1, 7.0.1.1, 7.0.2, 7.0.2.1, 7.0.3, 7.0.4, 7.0.5, 7.0.6, 7.1.0, 7.1.0.1, 7.1.0.2, 7.1.0.3, 7.2.0, 7.2.0.1, 7.2.1, 7.2.2, 7.2.3, 7.2.4, 7.2.4.1, 7.2.5, 7.3.0, 7.3.1, 7.3.1.1, 9.8.1, 9.8.1.5, 9.8.1.7, 9.8.2, 9.8.2.8, 9.8.2.14, 9.8.2.15, 9.8.2.17, 9.8.2.20, 9.8.2.24, 9.8.2.26, 9.8.2.28, 9.8.2.33, 9.8.2.35, 9.8.2.38, 9.8.3, 9.8.3.8, 9.8.3.11, 9.8.3.14, 9.8.3.16, 9.8.3.18, 9.8.3.21, 9.8.3.26, 9.8.3.29, 9.8.4, 9.8.4.3, 9.8.4.7, 9.8.4.8, 9.8.4.10, 9.8.4.12, 9.8.4.15, 9.8.4.17, 9.8.4.20, 9.8.4.22, 9.8.4.25, 9.8.4.26, 9.8.4.29, 9.8.4.32, 9.8.4.33, 9.8.4.34, 9.8.4.35, 9.8.4.39, 9.8.4.40, 9.8.4.41, 9.8.4.43, 9.8.4.44, 9.8.4.45, 9.8.4.46, 9.8.4.48, 9.12.1, 9.12.1.2, 9.12.1.3, 9.12.2, 9.12.2.1, 9.12.2.4, 9.12.2.5, 9.12.2.9, 9.12.3, 9.12.3.2, 9.12.3.7, 9.12.3.9, 9.12.3.12, 9.12.4, 9.12.4.2, 9.12.4.4, 9.12.4.7, 9.12.4.8, 9.12.4.10, 9.12.4.13, 9.12.4.18, 9.12.4.24, 9.12.4.26, 9.12.4.29, 9.12.4.30, 9.12.4.35, 9.12.4.37, 9.12.4.38, 9.12.4.39, 9.12.4.40, 9.12.4.41, 9.12.4.47, 9.12.4.48, 9.12.4.50, 9.12.4.52, 9.12.4.54, 9.12.4.55, 9.12.4.56, 9.12.4.58, 9.14.1, 9.14.1.6, 9.14.1.10, 9.14.1.15, 9.14.1.19, 9.14.1.30, 9.14.2, 9.14.2.4, 9.14.2.8, 9.14.2.13, 9.14.2.15, 9.14.3, 9.14.3.1, 9.14.3.9, 9.14.3.11, 9.14.3.13, 9.14.3.15, 9.14.3.18, 9.14.4, 9.14.4.6, 9.14.4.7, 9.14.4.12, 9.14.4.13, 9.14.4.14, 9.14.4.15, 9.14.4.17, 9.14.4.22, 9.14.4.23, 9.15.1, 9.15.1.1, 9.15.1.7, 9.15.1.10, 9.15.1.15, 9.15.1.16, 9.15.1.17, 9.15.1.21, 9.16.1, 9.16.1.28, 9.16.2, 9.16.2.3, 9.16.2.7, 9.16.2.11, 9.16.2.13, 9.16.2.14, 9.16.3, 9.16.3.3, 9.16.3.14, 9.16.3.15, 9.16.3.19, 9.16.3.23, 9.16.4, 9.16.4.9, 9.16.4.14, 9.16.4.18, 9.16.4.19, 9.16.4.27, 9.16.4.38, 9.17.1, 9.17.1.7, 9.17.1.9, 9.17.1.10, 9.17.1.11, 9.17.1.13, 9.17.1.15, 9.17.1.20, 9.17.1.30, 9.18.1, 9.18.1.3, 9.18.2, 9.18.2.5, 9.18.2.7, 9.18.2.8, 9.18.3, 9.18.3.39, 9.18.3.46, 9.18.3.53, 9.18.3.55, 9.19.1, 9.19.1.5, 9.19.1.9, 9.19.1.12, 9.19.1.18)

CVE-2022-47966 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: 9.8
X-Force: Patch: Official fix
Soft:
- zohocorp manageengine access manager plus (4.3)
- zohocorp manageengine ad360 (<4.3)
- zohocorp manageengine adaudit plus (7.0)
- zohocorp manageengine admanager plus (7.1)
- zohocorp manageengine adselfservice plus (6.2)
have more...

ChatGPT TTPs:
do not use without manual check
T1588.006, T1203, T1210, T1129, T1027, T1557, T1112, T1490, T1567

IOCs:
Hash: 10

Soft:
Microsoft Exchange Server

Links:
https://github.com/MaorSabag/TrueSightKiller

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что, несмотря на небольшое снижение числа публично заявленных атак программ-вымогателей в четвертом квартале 2023 года, активность программ-вымогателей в целом растет, поскольку злоумышленники адаптируют и совершенствуют свою тактику. В статье освещается переход к использованию уязвимостей в качестве основного метода атак программ-вымогателей, обсуждаются известные угрозы программ-вымогателей, такие как LockBit, Noberus и Clop, и подчеркивается важность программ-вымогателей как постоянной и прибыльной угрозы для организаций в 2024 году и в последующий период.
-----

Активность программ-вымогателей неуклонно растет, несмотря на небольшое снижение числа публично заявленных атак со стороны программ-вымогателей в четвертом квартале 2023 года. Злоумышленники быстро адаптировали и усовершенствовали свою тактику, находя новые способы заражения жертв. Анализ данных с сайтов утечки программ-вымогателей показывает, что в 2023 году злоумышленники нацелились на значительно большее число жертв (4700) по сравнению с предыдущим годом (2800). Хотя отключение ботнета Qakbot в июне 2023 года нарушило основной канал распространения вредоносного ПО, злоумышленники переключились на использование уязвимостей в качестве основного вектора атак программ-вымогателей.

LockBit, управляемый киберпреступной группой Syrphid (Bitwise Spider), оставался самой заметной угрозой вымогательства в 2023 году, на долю которой приходится 21% всех заявленных атак на сайты с утечкой данных. За LockBit последовали Noberus (BlackCat, ALPHV) с 9% заявленных атак и Clop с 8%. И LockBit, и Noberus недавно стали мишенями операций правоохранительных органов, что вызывает вопросы о потенциальных долгосрочных последствиях для их деятельности. Интересно, что существует заметная разница между публично заявляемыми уровнями атак и активностью программ-вымогателей, исследованных Symantec. Например, в то время как LockBit был признан ответственным за более чем 21% заявленных атак в 2023 году, Symantec выявила их только примерно в 17% расследованных ими атак.

Недавние расследования программ-вымогателей показывают, что использование известных уязвимостей в общедоступных приложениях в настоящее время является основным методом атак программ-вымогателей. Некоторые из распространенных эксплойтов, использованных в недавних атаках, включают уязвимости в ZOHO ManageEngine, Microsoft Exchange Server, Citrix NetScaler ADC, Citrix NetScaler Gateway, Cisco Adaptive Security Appliance (ASA) и Cisco Firepower Threat Defense (FTD) VPN. Злоумышленники все чаще используют в своих операциях различные инструменты, включая инструменты двойного назначения, такие как BYOVD (Принесите свой собственный уязвимый драйвер), и недавно появившиеся инструменты, такие как HopToDesk, TrueSightKiller, GhostDriver и StealBit.

Заслуживающие внимания методы, используемые злоумышленниками-вымогателями, включают Esentutl для сброса учетных данных и DPAPI для извлечения и расшифровки конфиденциальных учетных данных пользователя. Ожидается, что программы-вымогатели останутся серьезной угрозой для организаций в 2024 году и в последующий период, что обусловлено прибыльным характером атак программ-вымогателей и постоянной адаптивной природой злоумышленников, которые постоянно совершенствуют свою тактику для преодоления сбоев.

#ParsedReport #CompletenessHigh
12-03-2024

Xehook Stealer: Evolution of Cinoshi s Project Targeting Over 100 Cryptocurrencies and 2FA Extensions

https://cyble.com/blog/xehook-stealer-evolution-of-cinoshis-project-targeting-over-100-cryptocurrencies-and-2fa-extensions

Report completeness: High

Threats:
Xehook
Cinoshi
Agniane
Smokeloader
Process_injection_technique
Process_hacker_tool
Netstat_tool
Credential_dumping_technique

Industry:
Telco

Geo:
Moldova, Kyrgyzstan, Uzbekistan, Tajikistan, Azerbaijan, Armenia, Belarus, Russia, Kazakhstan

TTPs:
Tactics: 6
Technics: 10

IOCs:
Url: 6
Hash: 3
File: 7
Coin: 9

Soft:
Chromium, Telegram, Discord, Component object model, VirtualBox, Authy, Aegis, LastPass, KeePass, KeePassXC, have more...

Wallets:
iwallet, wombat, mew_cx, neoline, terra_station, keplr, sollet, iconex, tezbox, byone, have more...

Algorithms:
sha256, zip, xor, exhibit, base64

Functions:
FreeConsole, DownloadString, GetProcesses

Win API:
GetProcAddress, LoadLibraryA, CreateThread, WaitForSingleObject, VirtualProtect, VirtualAlloc, WriteProcessMemory

Win Services:
WebClient

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)

------
Основная идея текста - обнаружение и анализ Xehook Stealer, сложного вредоносного ПО, нацеленного на системы Windows, с такими возможностями, как сбор данных из браузеров и платформ обмена сообщениями, модель ценообразования на основе подписки, связи с Agniane и проектом Cinoshi, распространение через двоичные файлы SmokeLoader, тактика уклонения и взаимосвязанность с другими приложениями. варианты вредоносных программ, такие как Agniane и Cinoshi, подчеркивают необходимость в стратегиях проактивной защиты перед лицом развивающихся киберугроз.
-----

CRIL обнаружила новую угрозу под названием Xehook Stealer, сложную вредоносную программу на базе .NET, нацеленную на системы Windows.

Xehook Stealer собирает данные из популярных браузеров, поддерживает широкий спектр криптовалют, имеет API для пользовательских ботов трафика и может восстанавливать просроченные файлы cookie Google.

Существуют потенциальные связи между Xehook Stealer, Agniane и проектом Cinoshi, что указывает на прогресс в разработке вредоносного программного обеспечения.

Распространение Xehook Stealer связано с двоичными файлами SmokeLoader, что указывает на активную деятельность по распространению.

Xehook Stealer может собирать пароли, файлы cookie, данные кредитной карты и многое другое из браузеров и платформ обмена сообщениями.

Цены на Xehook Stealer варьируются от 50 до 600 долларов, при наличии дополнительного доступа к API.

Xehook Stealer демонстрирует тактику уклонения, позволяющую избежать обнаружения, включая временные ограничения и методы внедрения процессов.

Взаимосвязь между Xehook Stealer, Agniane и Cinoshi подчеркивает необходимость проактивных стратегий защиты в области кибербезопасности.