#ParsedReport #CompletenessHigh
15-03-2024
Inside the Rabbit Hole: BunnyLoader 3.0 Unveiled
https://unit42.paloaltonetworks.com/analysis-of-bunnyloader-malware
Report completeness: High
Actors/Campaigns:
Player_bunny
Threats:
Bunnyloader
Purecryptor
Upx_tool
Themida_tool
Nanocore_rat
Qakbot
Purelogs
Meduza
Nextronsystems_tool
Httpflood_technique
Tron
Industry:
Financial, Entertainment, Healthcare
Geo:
Russian, America, Korean
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1566, T1204, T1027, T1140, T1071, T1105, T1112, T1059, T1547, T1562, have more...
IOCs:
IP: 8
File: 11
Url: 1
Command: 1
Path: 9
Hash: 16
Coin: 1
Soft:
Telegram, Windows Defender, Google Chrome, chromium, Chrome, Discord
Wallets:
zcash, jaxx, coinomi, guarda_wallet, bitapp, coin98, iconex, mobox, xinpay, metamask, have more...
Crypto:
bitcoin, monero, ethereum, litecoin, dogecoin, tether, binance, starcoin
Algorithms:
zip, rc4
Win API:
CreateProcessA, GetForegroundWindow, GetWindowTextA
Languages:
php, powershell
15-03-2024
Inside the Rabbit Hole: BunnyLoader 3.0 Unveiled
https://unit42.paloaltonetworks.com/analysis-of-bunnyloader-malware
Report completeness: High
Actors/Campaigns:
Player_bunny
Threats:
Bunnyloader
Purecryptor
Upx_tool
Themida_tool
Nanocore_rat
Qakbot
Purelogs
Meduza
Nextronsystems_tool
Httpflood_technique
Tron
Industry:
Financial, Entertainment, Healthcare
Geo:
Russian, America, Korean
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1566, T1204, T1027, T1140, T1071, T1105, T1112, T1059, T1547, T1562, have more...
IOCs:
IP: 8
File: 11
Url: 1
Command: 1
Path: 9
Hash: 16
Coin: 1
Soft:
Telegram, Windows Defender, Google Chrome, chromium, Chrome, Discord
Wallets:
zcash, jaxx, coinomi, guarda_wallet, bitapp, coin98, iconex, mobox, xinpay, metamask, have more...
Crypto:
bitcoin, monero, ethereum, litecoin, dogecoin, tether, binance, starcoin
Algorithms:
zip, rc4
Win API:
CreateProcessA, GetForegroundWindow, GetWindowTextA
Languages:
php, powershell
Unit 42
Inside the Rabbit Hole: BunnyLoader 3.0 Unveiled
We analyze recent samples of BunnyLoader 3.0 to illuminate this malware’s evolved and upscaled capabilities, including its new downloadable module system.
👍1
CTT Report Hub
#ParsedReport #CompletenessHigh 15-03-2024 Inside the Rabbit Hole: BunnyLoader 3.0 Unveiled https://unit42.paloaltonetworks.com/analysis-of-bunnyloader-malware Report completeness: High Actors/Campaigns: Player_bunny Threats: Bunnyloader Purecryptor Upx_tool…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста - это подробное исследование вредоносной программы BunnyLoader, охватывающее сроки ее разработки, эволюционирующую тактику, возможности, инфраструктуру и последние обновления.
-----
В статье представлен подробный обзор вредоносной программы BunnyLoader с акцентом на историю ее разработки, возможности, инфраструктуру и последние обновления. BunnyLoader - это динамическая вредоносная программа, которая может красть информацию, учетные данные и криптовалюту, а также доставлять дополнительные вредоносные программы своим жертвам. Вредоносная программа претерпела множество обновлений и преобразований с момента своего первоначального обнаружения в сентябре 2023 года, эволюционируя в функциональности и тактике, чтобы избежать обнаружения и усилить свои вредоносные операции.
Ключевые моменты, выделенные в статье, включают:.
** График разработки BunnyLoader**:.
BunnyLoader впервые был замечен в сентябре 2023 года как ботнет MaaS и вредоносная программа-загрузчик, написанная на C/C++.
Автор вредоносного ПО, известный как "Player" или "Player_Bunny", первоначально предлагал BunnyLoader 1.0 за 250 долларов, а последующие версии быстро развивались с новыми функциями и улучшениями.
BunnyLoader 2.0 был представлен в сентябре, за ним последовала "частная" версия в октябре и значительные обновления, приведшие к выпуску BunnyLoader 3.0 11 февраля 2024 года.
** Эволюция тактики BunnyLoader**:.
Вредоносная программа подвергалась постоянному переоснащению с добавлением новых функций, таких как пути к браузеру, функциональность кейлоггера, методы восстановления данных, защита от антивируса и дополнительные средства защиты.
Злоумышленники, стоящие за BunnyLoader, часто меняли свою тактику доставки и выполнения вредоносного ПО, используя такие методы, как упакованные двоичные файлы, новые инжекторы и запутывание имен файлов для имитации законных приложений.
**Возможности BunnyLoader 3.0**:.
Последняя версия, BunnyLoader 3.0, отличалась 90%-ным редизайном и улучшениями, предлагая улучшенную полезную нагрузку с отдельными модулями для таких функций, как кейлоггинг, кража данных и атаки типа "отказ в обслуживании".
BunnyLoader 3.0 использует зашифрованную связь с помощью шифрования RC4 для связи C2 и позволяет операторам развертывать настраиваемые модули в зависимости от их задач.
**Инфраструктура и тактика**:.
BunnyLoader использовал различные серверы C2 и схемы связи, адаптируя свои методы доставки с помощью замаскированных файлов и различных структур URL с использованием конечных точек PHP API.
Операторы вредоносного ПО использовали названия легальных программ и игр, чтобы обмануть пользователей и избежать подозрений.
**Функциональность новых модулей**:.
В BunnyLoader 3.0 были представлены отдельные модули для кейлоггинга, кражи данных, клипперинга и DoS-атак, каждый из которых обладает определенными функциями и поведением для выполнения вредоносных действий на целевых компьютерах.
**Смягчение угроз и защита**:.
В статье упоминается использование таких инструментов безопасности, как Cortex XDR, Prisma Cloud, Advanced WildFire, DNS Security и расширенная фильтрация URL-адресов Palo Alto Networks для защиты клиентов от атак BunnyLoader.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста - это подробное исследование вредоносной программы BunnyLoader, охватывающее сроки ее разработки, эволюционирующую тактику, возможности, инфраструктуру и последние обновления.
-----
В статье представлен подробный обзор вредоносной программы BunnyLoader с акцентом на историю ее разработки, возможности, инфраструктуру и последние обновления. BunnyLoader - это динамическая вредоносная программа, которая может красть информацию, учетные данные и криптовалюту, а также доставлять дополнительные вредоносные программы своим жертвам. Вредоносная программа претерпела множество обновлений и преобразований с момента своего первоначального обнаружения в сентябре 2023 года, эволюционируя в функциональности и тактике, чтобы избежать обнаружения и усилить свои вредоносные операции.
Ключевые моменты, выделенные в статье, включают:.
** График разработки BunnyLoader**:.
BunnyLoader впервые был замечен в сентябре 2023 года как ботнет MaaS и вредоносная программа-загрузчик, написанная на C/C++.
Автор вредоносного ПО, известный как "Player" или "Player_Bunny", первоначально предлагал BunnyLoader 1.0 за 250 долларов, а последующие версии быстро развивались с новыми функциями и улучшениями.
BunnyLoader 2.0 был представлен в сентябре, за ним последовала "частная" версия в октябре и значительные обновления, приведшие к выпуску BunnyLoader 3.0 11 февраля 2024 года.
** Эволюция тактики BunnyLoader**:.
Вредоносная программа подвергалась постоянному переоснащению с добавлением новых функций, таких как пути к браузеру, функциональность кейлоггера, методы восстановления данных, защита от антивируса и дополнительные средства защиты.
Злоумышленники, стоящие за BunnyLoader, часто меняли свою тактику доставки и выполнения вредоносного ПО, используя такие методы, как упакованные двоичные файлы, новые инжекторы и запутывание имен файлов для имитации законных приложений.
**Возможности BunnyLoader 3.0**:.
Последняя версия, BunnyLoader 3.0, отличалась 90%-ным редизайном и улучшениями, предлагая улучшенную полезную нагрузку с отдельными модулями для таких функций, как кейлоггинг, кража данных и атаки типа "отказ в обслуживании".
BunnyLoader 3.0 использует зашифрованную связь с помощью шифрования RC4 для связи C2 и позволяет операторам развертывать настраиваемые модули в зависимости от их задач.
**Инфраструктура и тактика**:.
BunnyLoader использовал различные серверы C2 и схемы связи, адаптируя свои методы доставки с помощью замаскированных файлов и различных структур URL с использованием конечных точек PHP API.
Операторы вредоносного ПО использовали названия легальных программ и игр, чтобы обмануть пользователей и избежать подозрений.
**Функциональность новых модулей**:.
В BunnyLoader 3.0 были представлены отдельные модули для кейлоггинга, кражи данных, клипперинга и DoS-атак, каждый из которых обладает определенными функциями и поведением для выполнения вредоносных действий на целевых компьютерах.
**Смягчение угроз и защита**:.
В статье упоминается использование таких инструментов безопасности, как Cortex XDR, Prisma Cloud, Advanced WildFire, DNS Security и расширенная фильтрация URL-адресов Palo Alto Networks для защиты клиентов от атак BunnyLoader.
#ParsedReport #CompletenessMedium
15-03-2024
Malware analysis report: Smoke Loader. Technical AnalysisPermalink
https://mssplab.github.io/threat-hunting/2024/03/15/malware-analysis-smoke.html
Report completeness: Medium
Threats:
Smokeloader
Spear-phishing_technique
Geo:
Ukraine, Russia
ChatGPT TTPs:
T1566, T1059, T1055, T1071, T1027, T1112, T1003, T1110, T1620, T1573, have more...
IOCs:
File: 5
Hash: 2
Path: 1
Url: 5
Soft:
Win32 Cabinet Self-Extractor, Qemu, Virtualbox
Algorithms:
sha1, xor, rc4
Functions:
mw_decrypt_code, mw_Build_IAT_0, NtOpenProcess, NtCreateSection
Win API:
Isdebuggerpresent, NtQueryInformationProcess, OpenProcessToken, ShellExecuteExW, NtQuerySystemInformation, NtAllocateVirtualMemory, decompress, GetShellWindow, GetWindowThreadProcessId, NtMapViewOfSection, have more...
Languages:
python
Platforms:
x64, x86
Links:
15-03-2024
Malware analysis report: Smoke Loader. Technical AnalysisPermalink
https://mssplab.github.io/threat-hunting/2024/03/15/malware-analysis-smoke.html
Report completeness: Medium
Threats:
Smokeloader
Spear-phishing_technique
Geo:
Ukraine, Russia
ChatGPT TTPs:
do not use without manual checkT1566, T1059, T1055, T1071, T1027, T1112, T1003, T1110, T1620, T1573, have more...
IOCs:
File: 5
Hash: 2
Path: 1
Url: 5
Soft:
Win32 Cabinet Self-Extractor, Qemu, Virtualbox
Algorithms:
sha1, xor, rc4
Functions:
mw_decrypt_code, mw_Build_IAT_0, NtOpenProcess, NtCreateSection
Win API:
Isdebuggerpresent, NtQueryInformationProcess, OpenProcessToken, ShellExecuteExW, NtQuerySystemInformation, NtAllocateVirtualMemory, decompress, GetShellWindow, GetWindowThreadProcessId, NtMapViewOfSection, have more...
Languages:
python
Platforms:
x64, x86
Links:
https://github.com/emmanuel-marty/lzsahttps://github.com/FarghlyMal/Decryptors-and-Extractors/blob/main/Smoke%20Loader/Confighttps://github.com/FarghlyMal/Config-Extractors/tree/main/Smoke%20LoaderMSSP Research Lab
Malware analysis report: Smoke Loader
Smoke Loader, software introduced in 2011, is primarily utilized for loading subsequent stages of malware onto systems, particularly information stealers designed to extract credentials through various means.
CTT Report Hub
#ParsedReport #CompletenessMedium 15-03-2024 Malware analysis report: Smoke Loader. Technical AnalysisPermalink https://mssplab.github.io/threat-hunting/2024/03/15/malware-analysis-smoke.html Report completeness: Medium Threats: Smokeloader Spear-phishing_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста - о Smoke Loader, сложном и популярном вредоносном ПО, известном своей продвинутой тактикой уклонения и скрытным поведением. Оно использовалось в основном для загрузки последующих этапов вредоносного ПО, особенно похитителей информации, нацеленных на извлечение учетных данных. Smoke Loader использует различные методы, чтобы запутать свои операции, имитировать законные схемы трафика, уклоняться от обнаружения и сохранять скрытность. Его возможности представляют значительную угрозу для систем и организаций, требуя передовых средств защиты для борьбы с его сложными функциями.
-----
Smoke Loader - это сложная вредоносная программа, представленная в 2011 году, которая в основном используется для загрузки последующих этапов вредоносного ПО, особенно похитителей информации, нацеленных на извлечение учетных данных.
Он использует передовые методы антианализа и анти-отладки, что затрудняет его обнаружение, и использует тактику для запутывания своих операций командования и контроля (C2).
Smoke Loader изначально продавался как SmokeLdr на платформах даркнета и с 2014 года был доступен исключительно участникам угроз, базирующимся в России.
Вредоносное ПО обычно распространяется через вредоносные документы, рассылаемые по электронной почте со спамом, или целенаправленные кампании фишинга, активируясь при взаимодействии с ними пользователей и внедряя вредоносный код в скомпрометированные системные процессы.
В одной кампании Smoke Loader поставляется в комплекте с Wextract, самоэкстрактором Win32 Cabinet, и использует сильно запутанный код, чтобы ввести в заблуждение механизмы дизассемблера и усложнить анализ.
Smoke Loader использует сложные методы уклонения, такие как расшифровка и повторное шифрование своего кода во время выполнения, и использует алгоритмы хэширования для разрешения API, необходимых для его работы.
Вредоносная программа проверяет местоположение зараженных компьютеров на основе языка клавиатуры, избегает заражения компьютеров в определенных странах и повышает привилегии в зависимости от уровня целостности токена.
Он тщательно проверяет загруженные модули и процессы, сравнивает их с известными антивирусными решениями и средами виртуализации, внедряет в систему следующий этап вредоносного ПО и шифрует его конфигурационные данные с помощью RC4 в формате таблицы строк.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста - о Smoke Loader, сложном и популярном вредоносном ПО, известном своей продвинутой тактикой уклонения и скрытным поведением. Оно использовалось в основном для загрузки последующих этапов вредоносного ПО, особенно похитителей информации, нацеленных на извлечение учетных данных. Smoke Loader использует различные методы, чтобы запутать свои операции, имитировать законные схемы трафика, уклоняться от обнаружения и сохранять скрытность. Его возможности представляют значительную угрозу для систем и организаций, требуя передовых средств защиты для борьбы с его сложными функциями.
-----
Smoke Loader - это сложная вредоносная программа, представленная в 2011 году, которая в основном используется для загрузки последующих этапов вредоносного ПО, особенно похитителей информации, нацеленных на извлечение учетных данных.
Он использует передовые методы антианализа и анти-отладки, что затрудняет его обнаружение, и использует тактику для запутывания своих операций командования и контроля (C2).
Smoke Loader изначально продавался как SmokeLdr на платформах даркнета и с 2014 года был доступен исключительно участникам угроз, базирующимся в России.
Вредоносное ПО обычно распространяется через вредоносные документы, рассылаемые по электронной почте со спамом, или целенаправленные кампании фишинга, активируясь при взаимодействии с ними пользователей и внедряя вредоносный код в скомпрометированные системные процессы.
В одной кампании Smoke Loader поставляется в комплекте с Wextract, самоэкстрактором Win32 Cabinet, и использует сильно запутанный код, чтобы ввести в заблуждение механизмы дизассемблера и усложнить анализ.
Smoke Loader использует сложные методы уклонения, такие как расшифровка и повторное шифрование своего кода во время выполнения, и использует алгоритмы хэширования для разрешения API, необходимых для его работы.
Вредоносная программа проверяет местоположение зараженных компьютеров на основе языка клавиатуры, избегает заражения компьютеров в определенных странах и повышает привилегии в зависимости от уровня целостности токена.
Он тщательно проверяет загруженные модули и процессы, сравнивает их с известными антивирусными решениями и средами виртуализации, внедряет в систему следующий этап вредоносного ПО и шифрует его конфигурационные данные с помощью RC4 в формате таблицы строк.
#ParsedReport #CompletenessLow
15-03-2024
Navigating the Maze of SocGholish with Huntress: A Practical Guide
https://www.huntress.com/blog/navigating-the-maze-of-socgholish-with-huntress-a-practical-guide
Report completeness: Low
Threats:
Maze
Socgholish_loader
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1566, T1204, T1595, T1190, T1583
IOCs:
File: 2
Url: 2
Domain: 1
Soft:
Google Chrome, Chrome, WordPress
Languages:
javascript
15-03-2024
Navigating the Maze of SocGholish with Huntress: A Practical Guide
https://www.huntress.com/blog/navigating-the-maze-of-socgholish-with-huntress-a-practical-guide
Report completeness: Low
Threats:
Maze
Socgholish_loader
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1566, T1204, T1595, T1190, T1583
IOCs:
File: 2
Url: 2
Domain: 1
Soft:
Google Chrome, Chrome, WordPress
Languages:
javascript
Huntress
Navigate SocGholish with Huntress | Huntress
In an era where cyber threats like SocGholish are becoming increasingly sophisticated, understanding and combating these attacks is crucial for digital safety. This post delves into leveraging Huntress for effectively handling SocGholish threats, outlining…
CTT Report Hub
#ParsedReport #CompletenessLow 15-03-2024 Navigating the Maze of SocGholish with Huntress: A Practical Guide https://www.huntress.com/blog/navigating-the-maze-of-socgholish-with-huntress-a-practical-guide Report completeness: Low Threats: Maze Socgholish_loader…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в появлении и угрозе сложных атак, подобных SocGholish, в киберпространстве, использовании платформы Huntress для борьбы с этими атаками, а также в подробном руководстве, предоставленном для понимания и смягчения последствий вредоносной активности, связанной с SocGholish.
-----
В современном ландшафте развивающихся киберугроз появление изощренных атак, подобных SocGholish, представляет значительный риск для цифровой безопасности. Для ИТ-специалистов эффективное понимание таких угроз и противодействие им имеет первостепенное значение для защиты цифровой среды. В этом посте рассматривается использование платформы Huntress для борьбы с атаками SocGholish, а также приводится подробное руководство по навигации и смягчению последствий этой вредоносной активности. В следующем кратком изложении будут рассмотрены практические шаги, описанные в руководстве, для эффективного устранения угроз SocGholish.
SocGholish работает как вредоносный фреймворк, который хитроумно использует методы социальной инженерии для обмана пользователей. Киберпреступники используют этот метод, принимая облик законных организаций, чтобы манипулировать людьми, заставляя их выполнять вредоносные действия, такие как переход по вредоносным ссылкам или загрузка зараженных обновлений. Успех SocGholish заключается в его способности эффективно обманывать пользователей, что часто приводит к существенным нарушениям безопасности.
Первоначальным признаком потенциальной угрозы SocGholish является обнаружение пользователем подозрительного файла JavaScript с именем "Update.js" в своем браузере. При ближайшем рассмотрении выясняется, что используемый браузер - Google Chrome. Важным открытием в ходе расследования является идентификация недавней истории браузера пользователя, позволяющая точно определить момент, когда пользователь неосознанно загрузил вредоносный файл с сомнительного домена. Расследование показало, что вредоносный файл был загружен со взломанного сайта WordPress, в частности с личного блога, который был взломан для перенаправления пользователей на сайт, на котором размещен вредоносный файл JavaScript, ответственный за доставку вредоносного ПО SocGholish. Идентифицированный URL-адрес, на котором размещен вредоносный файл, - это assay.porchlightcommunity.org/03j7jahamOS3WsG/5UDXr6ARn6/pT8m/, что служит ключевым ориентиром для дальнейшего анализа.
Чтобы углубить расследование и расширить понимание ландшафта угроз, проводится дополнительное исследование путем запроса идентифицированного домена, assay.porchlightcommunity.org, на URLScan.io. Этот шаг раскрывает полный список потенциально скомпрометированных доменов, которые могут быть связаны с размещением того же вредоносного контента. Благодаря этому анализу было идентифицировано более 100 потенциально скомпрометированных доменов, что указывает на повсеместный характер угрозы SocGholish. Совместные усилия, связанные с обнаружением второго этапа и дополнительных скомпрометированных доменов, приписываются Джаю Минтону, старшему аналитику из команды AUS в Huntress, который использовал сканирование URL-адресов для усиления расследования.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в появлении и угрозе сложных атак, подобных SocGholish, в киберпространстве, использовании платформы Huntress для борьбы с этими атаками, а также в подробном руководстве, предоставленном для понимания и смягчения последствий вредоносной активности, связанной с SocGholish.
-----
В современном ландшафте развивающихся киберугроз появление изощренных атак, подобных SocGholish, представляет значительный риск для цифровой безопасности. Для ИТ-специалистов эффективное понимание таких угроз и противодействие им имеет первостепенное значение для защиты цифровой среды. В этом посте рассматривается использование платформы Huntress для борьбы с атаками SocGholish, а также приводится подробное руководство по навигации и смягчению последствий этой вредоносной активности. В следующем кратком изложении будут рассмотрены практические шаги, описанные в руководстве, для эффективного устранения угроз SocGholish.
SocGholish работает как вредоносный фреймворк, который хитроумно использует методы социальной инженерии для обмана пользователей. Киберпреступники используют этот метод, принимая облик законных организаций, чтобы манипулировать людьми, заставляя их выполнять вредоносные действия, такие как переход по вредоносным ссылкам или загрузка зараженных обновлений. Успех SocGholish заключается в его способности эффективно обманывать пользователей, что часто приводит к существенным нарушениям безопасности.
Первоначальным признаком потенциальной угрозы SocGholish является обнаружение пользователем подозрительного файла JavaScript с именем "Update.js" в своем браузере. При ближайшем рассмотрении выясняется, что используемый браузер - Google Chrome. Важным открытием в ходе расследования является идентификация недавней истории браузера пользователя, позволяющая точно определить момент, когда пользователь неосознанно загрузил вредоносный файл с сомнительного домена. Расследование показало, что вредоносный файл был загружен со взломанного сайта WordPress, в частности с личного блога, который был взломан для перенаправления пользователей на сайт, на котором размещен вредоносный файл JavaScript, ответственный за доставку вредоносного ПО SocGholish. Идентифицированный URL-адрес, на котором размещен вредоносный файл, - это assay.porchlightcommunity.org/03j7jahamOS3WsG/5UDXr6ARn6/pT8m/, что служит ключевым ориентиром для дальнейшего анализа.
Чтобы углубить расследование и расширить понимание ландшафта угроз, проводится дополнительное исследование путем запроса идентифицированного домена, assay.porchlightcommunity.org, на URLScan.io. Этот шаг раскрывает полный список потенциально скомпрометированных доменов, которые могут быть связаны с размещением того же вредоносного контента. Благодаря этому анализу было идентифицировано более 100 потенциально скомпрометированных доменов, что указывает на повсеместный характер угрозы SocGholish. Совместные усилия, связанные с обнаружением второго этапа и дополнительных скомпрометированных доменов, приписываются Джаю Минтону, старшему аналитику из команды AUS в Huntress, который использовал сканирование URL-адресов для усиления расследования.
#ParsedReport #CompletenessMedium
15-03-2024
From Delivery To Execution: An Evasive Azorult Campaign Smuggled Through Google Sites
https://www.netskope.com/blog/from-delivery-to-execution-an-evasive-azorult-campaign-smuggled-through-google-sites
Report completeness: Medium
Threats:
Azorult
Smuggling_technique
Nokoyawa
Amsi_bypass_technique
Industry:
Financial, Healthcare
ChatGPT TTPs:
T1566.002, T1027, T1059.001, T1059.007, T1003, T1555, T1112, T1218.011, T1027.002, T1071.001, have more...
IOCs:
Domain: 2
File: 18
Soft:
Windows Defender, Chrome, Google Chrome
Wallets:
safepal, trezor
Algorithms:
gzip, base64, xor, curve25519
Win API:
VirtualAlloc, CreateThread, WaitForSingleObject, GetDeviceCaps, CopyFile
Languages:
powershell, php, javascript
Links:
15-03-2024
From Delivery To Execution: An Evasive Azorult Campaign Smuggled Through Google Sites
https://www.netskope.com/blog/from-delivery-to-execution-an-evasive-azorult-campaign-smuggled-through-google-sites
Report completeness: Medium
Threats:
Azorult
Smuggling_technique
Nokoyawa
Amsi_bypass_technique
Industry:
Financial, Healthcare
ChatGPT TTPs:
do not use without manual checkT1566.002, T1027, T1059.001, T1059.007, T1003, T1555, T1112, T1218.011, T1027.002, T1071.001, have more...
IOCs:
Domain: 2
File: 18
Soft:
Windows Defender, Chrome, Google Chrome
Wallets:
safepal, trezor
Algorithms:
gzip, base64, xor, curve25519
Win API:
VirtualAlloc, CreateThread, WaitForSingleObject, GetDeviceCaps, CopyFile
Languages:
powershell, php, javascript
Links:
https://github.com/netskopeoss/NetskopeThreatLabsIOCs/tree/main/Malware/Azorult/IOCsNetskope
From Delivery To Execution: An Evasive Azorult Campaign Smuggled Through Google Sites
Summary Netskope Threat Labs has observed an evasive Azorult campaign in the wild that employs multiple defense evasion techniques from delivery through
CTT Report Hub
#ParsedReport #CompletenessMedium 15-03-2024 From Delivery To Execution: An Evasive Azorult Campaign Smuggled Through Google Sites https://www.netskope.com/blog/from-delivery-to-execution-an-evasive-azorult-campaign-smuggled-through-google-sites Report…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста - о сложной кампании Azorult, обнаруженной Netskope Threat Labs, которая использует методы обхода защиты, такие как контрабанда HTML, загрузка отражающего кода и обход AMSI, для незамеченной фильтрации конфиденциальных данных. Злоумышленники используют различные методы, чтобы обойти решения по обеспечению безопасности и успешно украсть конфиденциальную информацию у жертв, подчеркивая постоянную угрозу, исходящую от вредоносных программ, таких как Azorult, и необходимость постоянного мониторинга и упреждающих методов анализа угроз.
-----
Лаборатория угроз Netskope недавно обнаружила сложную кампанию Azorult в дикой природе, которая использует различные методы обхода защиты, чтобы оставаться незамеченной при эксфильтрации конфиденциальных данных. Azorult, программа-похититель информации, обнаруженная в 2016 году, стала одной из главных вредоносных программ, нацеленных на отрасль здравоохранения. В этой конкретной кампании злоумышленники используют контрабанду HTML, загрузку отражающего кода и методы обхода AMSI, чтобы избежать обнаружения решениями безопасности.
Кампания начинается с использования HTML-контрабанды, метода, который обходит веб-средства контроля, блокирующие опасные типы файлов, путем создания вредоносных полезных нагрузок на стороне клиента с использованием законных атрибутов загрузки HTML5 и больших двоичных объектов Javascript. В этом случае злоумышленники создают поддельные страницы Google Docs на сайтах Google, чтобы обманом заставить жертв загружать вредоносную полезную нагрузку. Полезная нагрузка, встроенная в отдельный файл JSON на внешнем домене, загружается на компьютер жертвы после прохождения проверки с помощью CAPTCHA для дополнительной защиты. Эта полезная нагрузка маскируется под файл быстрого доступа LNK с использованием значка PDF, инициируя цепочку событий, которая в конечном итоге загружает несколько сценариев Powershell и инициирует выполнение Azorult infostealer.
Чтобы обойти обнаружение, злоумышленники запускают Azorult infostealer в памяти, используя отражающую загрузку кода, загружая как шеллкод, так и исполняемые файлы в память процесса. В этом процессе злоумышленники используют сценарии Powershell для обхода интерфейса проверки на наличие вредоносных программ (AMSI) и загрузки загрузчика Azorult из скомпрометированного домена. Затем загрузчик сохраняется в памяти и выполняется вместе с шелл-кодом для дальнейшего выполнения вредоносных действий.
После запуска Azorult infostealer собирает множество конфиденциальных данных от жертвы. Он делает снимки экрана, извлекает данные браузера из Chrome, Edge и Firefox, крадет информацию о криптокошельке и выполняет поиск конфиденциальных документов на рабочем столе жертвы. Эти украденные данные сжимаются, шифруются и отправляются на сервер командования и контроля (C2) по протоколу HTTPS для эксфильтрации. Infostealer использует различные методы шифрования для защиты украденных данных во время транспортировки.
Использование множества методов уклонения, таких как контрабанда HTML, загрузка отражающего кода и шифрование, подчеркивает изощренность этой кампании. Используя эту тактику, злоумышленники успешно избегают обнаружения решениями безопасности и беспрепятственно осуществляют свои операции по краже данных. Этот анализ подчеркивает постоянную угрозу, исходящую от Azorult и аналогичных инфокрадов, подчеркивая важность постоянного мониторинга и упреждающих методов анализа угроз для защиты от развивающихся киберугроз.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста - о сложной кампании Azorult, обнаруженной Netskope Threat Labs, которая использует методы обхода защиты, такие как контрабанда HTML, загрузка отражающего кода и обход AMSI, для незамеченной фильтрации конфиденциальных данных. Злоумышленники используют различные методы, чтобы обойти решения по обеспечению безопасности и успешно украсть конфиденциальную информацию у жертв, подчеркивая постоянную угрозу, исходящую от вредоносных программ, таких как Azorult, и необходимость постоянного мониторинга и упреждающих методов анализа угроз.
-----
Лаборатория угроз Netskope недавно обнаружила сложную кампанию Azorult в дикой природе, которая использует различные методы обхода защиты, чтобы оставаться незамеченной при эксфильтрации конфиденциальных данных. Azorult, программа-похититель информации, обнаруженная в 2016 году, стала одной из главных вредоносных программ, нацеленных на отрасль здравоохранения. В этой конкретной кампании злоумышленники используют контрабанду HTML, загрузку отражающего кода и методы обхода AMSI, чтобы избежать обнаружения решениями безопасности.
Кампания начинается с использования HTML-контрабанды, метода, который обходит веб-средства контроля, блокирующие опасные типы файлов, путем создания вредоносных полезных нагрузок на стороне клиента с использованием законных атрибутов загрузки HTML5 и больших двоичных объектов Javascript. В этом случае злоумышленники создают поддельные страницы Google Docs на сайтах Google, чтобы обманом заставить жертв загружать вредоносную полезную нагрузку. Полезная нагрузка, встроенная в отдельный файл JSON на внешнем домене, загружается на компьютер жертвы после прохождения проверки с помощью CAPTCHA для дополнительной защиты. Эта полезная нагрузка маскируется под файл быстрого доступа LNK с использованием значка PDF, инициируя цепочку событий, которая в конечном итоге загружает несколько сценариев Powershell и инициирует выполнение Azorult infostealer.
Чтобы обойти обнаружение, злоумышленники запускают Azorult infostealer в памяти, используя отражающую загрузку кода, загружая как шеллкод, так и исполняемые файлы в память процесса. В этом процессе злоумышленники используют сценарии Powershell для обхода интерфейса проверки на наличие вредоносных программ (AMSI) и загрузки загрузчика Azorult из скомпрометированного домена. Затем загрузчик сохраняется в памяти и выполняется вместе с шелл-кодом для дальнейшего выполнения вредоносных действий.
После запуска Azorult infostealer собирает множество конфиденциальных данных от жертвы. Он делает снимки экрана, извлекает данные браузера из Chrome, Edge и Firefox, крадет информацию о криптокошельке и выполняет поиск конфиденциальных документов на рабочем столе жертвы. Эти украденные данные сжимаются, шифруются и отправляются на сервер командования и контроля (C2) по протоколу HTTPS для эксфильтрации. Infostealer использует различные методы шифрования для защиты украденных данных во время транспортировки.
Использование множества методов уклонения, таких как контрабанда HTML, загрузка отражающего кода и шифрование, подчеркивает изощренность этой кампании. Используя эту тактику, злоумышленники успешно избегают обнаружения решениями безопасности и беспрепятственно осуществляют свои операции по краже данных. Этот анализ подчеркивает постоянную угрозу, исходящую от Azorult и аналогичных инфокрадов, подчеркивая важность постоянного мониторинга и упреждающих методов анализа угроз для защиты от развивающихся киберугроз.
#ParsedReport #CompletenessLow
15-03-2024
Ransomware Roundup RA World
https://www.fortinet.com/blog/threat-research/ransomware-roundup-ra-world
Report completeness: Low
Actors/Campaigns:
Ra-group
Threats:
Shadow_copies_delete_technique
Victims:
23 victims
Geo:
Netherlands, Czech, Japan, India, Colombia, Poland, Taiwan, Korea, France, Mexico, Italy, Thailand, Germany
ChatGPT TTPs:
T1486, T1490, T1485, T1020, T1567, T1102, T1071
IOCs:
Hash: 4
File: 26
Command: 1
Soft:
DefWatch, onenote, outlook, thebat, wordpad, Telegram, Internet Explorer, Opera, Mozilla Firefox
Algorithms:
sha2
Win Services:
GxVss, GxBlr, GxFWD, GxCVD, GxCIMgr, ccEvtMgr, ccSetMgr, SavRoam, RTVscan, QBFCService, have more...
Platforms:
intel, x86
15-03-2024
Ransomware Roundup RA World
https://www.fortinet.com/blog/threat-research/ransomware-roundup-ra-world
Report completeness: Low
Actors/Campaigns:
Ra-group
Threats:
Shadow_copies_delete_technique
Victims:
23 victims
Geo:
Netherlands, Czech, Japan, India, Colombia, Poland, Taiwan, Korea, France, Mexico, Italy, Thailand, Germany
ChatGPT TTPs:
do not use without manual checkT1486, T1490, T1485, T1020, T1567, T1102, T1071
IOCs:
Hash: 4
File: 26
Command: 1
Soft:
DefWatch, onenote, outlook, thebat, wordpad, Telegram, Internet Explorer, Opera, Mozilla Firefox
Algorithms:
sha2
Win Services:
GxVss, GxBlr, GxFWD, GxCVD, GxCIMgr, ccEvtMgr, ccSetMgr, SavRoam, RTVscan, QBFCService, have more...
Platforms:
intel, x86
Fortinet Blog
Ransomware Roundup – RA World
The RA World ransomware, which debuted late last year, claims to be holding more than 20 organizations worldwide hostage for financial gain. Learn more.…
CTT Report Hub
#ParsedReport #CompletenessLow 15-03-2024 Ransomware Roundup RA World https://www.fortinet.com/blog/threat-research/ransomware-roundup-ra-world Report completeness: Low Actors/Campaigns: Ra-group Threats: Shadow_copies_delete_technique Victims: 23 victims…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в появлении варианта программы-вымогателя RA World в качестве значительной угрозы в ландшафте киберугроз, подчеркивающей его тактику, воздействие на жертв, векторы заражения, географическое распространение, характеристики, методы коммуникации с жертвами и необходимость принятия упреждающих мер кибербезопасности для снижения связанных с ним рисков.
-----
В последнем выпуске отчета FortiGuard Labs Roundup о программах-вымогателях основное внимание уделяется RA World ransomware, варианту, который набирает обороты в сфере киберугроз. Это ПО-вымогательски было впервые идентифицировано в декабре 2023 года, когда оно было отправлено в общедоступную службу сканирования файлов. Исполнитель угроз, стоящий за RA World, занимается кражей данных у жертв, прежде чем внедрить свою программу-вымогатель для шифрования файлов. Они также используют сайты TOR и не-TOR для утечки украденных данных и препятствуют восстановлению системы, удаляя теневые копии томов и резервные копии резервных копий.
Конкретный вектор заражения, используемый RA World ransomware group, в настоящее время неизвестен, но считается, что он аналогичен тактике других групп вымогателей. Образцы этой программы-вымогателя были выявлены в различных странах, включая Нидерланды, Францию, Великобританию, Чешскую Республику, Польшу, Колумбию и Японию. На сайтах утечки данных программы-вымогателя указаны 23 жертвы, расположенные в таких странах, как Германия, Великобритания, США, Италия и других.
Проанализированный исходный образец RA World (SHA2: 4866d6994c2f8b4dadfaabc2e2b81bd86c12f68fdf0da13d41d7b0e30bea0801) демонстрирует такие характеристики, как шифрование файлов, удаление теневых копий томов и добавление определенного расширения к зашифрованным файлам. Исполнитель угроз предоставляет жертвам способы связи через Tox и Telegram, последствия несоблюдения которых приводят к публикации украденных файлов в файлообменной службе. Уведомление о выкупе включает жестко запрограммированный список неоплаченных жертв и исключает определенные типы файлов из шифрования. Выборка предполагает, что группа программ-вымогателей начала свою деятельность примерно в ноябре 2023 года, причем даты компиляции указывают на временные рамки активности. Последующие варианты программы-вымогателя RA World, такие как SHA2: 51da3acc6c7089bd0f1df9d9902e183db0d1342552404c3c1b898b168399b0bc и SHA2: 9479a5dc61284ccc3f063ebb38da9f63400d8b25d8bca8d04b1832f02fac24de, были идентифицированы с аналогичным поведением, но незначительными вариациями.
Группа программ-вымогателей использует как сайты TOR, так и сайты, не связанные с TOR, для публикации данных, что добавляет дополнительный уровень сложности усилиям по отслеживанию и смягчению последствий. В целом, программа-вымогатель RA World представляет значительную угрозу для организаций и частных лиц, подчеркивая важность упреждающих мер кибербезопасности и протоколов реагирования на инциденты для защиты от эволюционирующей тактики программ-вымогателей.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в появлении варианта программы-вымогателя RA World в качестве значительной угрозы в ландшафте киберугроз, подчеркивающей его тактику, воздействие на жертв, векторы заражения, географическое распространение, характеристики, методы коммуникации с жертвами и необходимость принятия упреждающих мер кибербезопасности для снижения связанных с ним рисков.
-----
В последнем выпуске отчета FortiGuard Labs Roundup о программах-вымогателях основное внимание уделяется RA World ransomware, варианту, который набирает обороты в сфере киберугроз. Это ПО-вымогательски было впервые идентифицировано в декабре 2023 года, когда оно было отправлено в общедоступную службу сканирования файлов. Исполнитель угроз, стоящий за RA World, занимается кражей данных у жертв, прежде чем внедрить свою программу-вымогатель для шифрования файлов. Они также используют сайты TOR и не-TOR для утечки украденных данных и препятствуют восстановлению системы, удаляя теневые копии томов и резервные копии резервных копий.
Конкретный вектор заражения, используемый RA World ransomware group, в настоящее время неизвестен, но считается, что он аналогичен тактике других групп вымогателей. Образцы этой программы-вымогателя были выявлены в различных странах, включая Нидерланды, Францию, Великобританию, Чешскую Республику, Польшу, Колумбию и Японию. На сайтах утечки данных программы-вымогателя указаны 23 жертвы, расположенные в таких странах, как Германия, Великобритания, США, Италия и других.
Проанализированный исходный образец RA World (SHA2: 4866d6994c2f8b4dadfaabc2e2b81bd86c12f68fdf0da13d41d7b0e30bea0801) демонстрирует такие характеристики, как шифрование файлов, удаление теневых копий томов и добавление определенного расширения к зашифрованным файлам. Исполнитель угроз предоставляет жертвам способы связи через Tox и Telegram, последствия несоблюдения которых приводят к публикации украденных файлов в файлообменной службе. Уведомление о выкупе включает жестко запрограммированный список неоплаченных жертв и исключает определенные типы файлов из шифрования. Выборка предполагает, что группа программ-вымогателей начала свою деятельность примерно в ноябре 2023 года, причем даты компиляции указывают на временные рамки активности. Последующие варианты программы-вымогателя RA World, такие как SHA2: 51da3acc6c7089bd0f1df9d9902e183db0d1342552404c3c1b898b168399b0bc и SHA2: 9479a5dc61284ccc3f063ebb38da9f63400d8b25d8bca8d04b1832f02fac24de, были идентифицированы с аналогичным поведением, но незначительными вариациями.
Группа программ-вымогателей использует как сайты TOR, так и сайты, не связанные с TOR, для публикации данных, что добавляет дополнительный уровень сложности усилиям по отслеживанию и смягчению последствий. В целом, программа-вымогатель RA World представляет значительную угрозу для организаций и частных лиц, подчеркивая важность упреждающих мер кибербезопасности и протоколов реагирования на инциденты для защиты от эволюционирующей тактики программ-вымогателей.
#ParsedReport #CompletenessMedium
15-03-2024
BlackCat Ransomware Affiliate TTPs
https://www.huntress.com/blog/blackcat-ransomware-affiliate-ttps
Report completeness: Medium
Threats:
Blackcat
Connectwise_rat
Screenconnect_tool
Shadow_copies_delete_technique
Industry:
Healthcare
TTPs:
IOCs:
Url: 1
Path: 3
File: 3
Command: 1
Registry: 1
Hash: 1
IP: 1
Soft:
curl, Windows Defender, psexec
Win API:
NetBIOS
15-03-2024
BlackCat Ransomware Affiliate TTPs
https://www.huntress.com/blog/blackcat-ransomware-affiliate-ttps
Report completeness: Medium
Threats:
Blackcat
Connectwise_rat
Screenconnect_tool
Shadow_copies_delete_technique
Industry:
Healthcare
TTPs:
IOCs:
Url: 1
Path: 3
File: 3
Command: 1
Registry: 1
Hash: 1
IP: 1
Soft:
curl, Windows Defender, psexec
Win API:
NetBIOS
Huntress
BlackCat Ransomware Affiliate TTPs | Huntress
This blog post provides a detailed look at the TTPs of a ransomware affiliate operator. In this case, the endpoint had been moved to another infrastructure (as illustrated by various command lines, and confirmed by the partner), so while Huntress SOC analysts…
CTT Report Hub
#ParsedReport #CompletenessMedium 15-03-2024 BlackCat Ransomware Affiliate TTPs https://www.huntress.com/blog/blackcat-ransomware-affiliate-ttps Report completeness: Medium Threats: Blackcat Connectwise_rat Screenconnect_tool Shadow_copies_delete_technique…
#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в расследовании и реагировании на инцидент с атакой программы-вымогателя, осуществленной субъектом угрозы, использующим вариант программы-вымогателя ALPHV/BlackCat в качестве сервиса, нацеленного на конечную точку, связанную со здравоохранением, через скомпрометированный экземпляр ScreenConnect. Инцидент подчеркивает угрозу, исходящую от вариантов RaaS, и важность надежной защиты от кибербезопасности.
-----
19 декабря 2023 года ФБР объявило о прекращении использования варианта программы-вымогателя ALPHV/BlackCat, предлагаемого как "программа-вымогатель как услуга" (RaaS). Для оказания помощи пострадавшим организациям был предоставлен инструмент дешифрования. Позже ConnectWise выявила уязвимости в ScreenConnect версии 23.9.8, что привело к появлению рекомендаций по безопасности. 21 февраля Huntress отправила предупреждение от конечной точки, связанной со здравоохранением, с измененными файлами программы-вымогателя Canary и попыткой развертывания программы-вымогателя. Расследование выявило скомпрометированный экземпляр ScreenConnect и нерегулярный перенос конечной точки. Журналы указывали на законную установку ScreenConnect в ноябре 2021 года, в то время как подозрительная установка была прослежена до марта 2022 года. Последний подключился к REDACTED.ddns.net. Злоумышленник получил доступ к конечной точке, используя скомпрометированный экземпляр ScreenConnect, с журналами, показывающими несанкционированную активность до начала 2024 года. Новый пользователь, chlsln14, выполнял команды для облегчения развертывания программ-вымогателей и их перемещения по сети. Программа-вымогатель содержала встроенные команды для отключения мер безопасности и распространения по всей инфраструктуре. Платформа Huntress обнаружила вредоносные действия, но ни на каких других конечных точках не было обнаружено признаков компрометации или шифрования. Злоумышленник успешно запустил исполняемый файл программы-вымогателя после обхода защитника Windows и предпринял боковое распространение в сети, нацеливаясь на конкретные конечные точки, с которыми была знакома инфраструктура. Инцидент высветил сложность и опасность, которые представляют варианты RaaS, а также необходимость принятия надежных мер кибербезопасности для защиты от таких угроз.
Autotext: (RSTReportsAnalyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в расследовании и реагировании на инцидент с атакой программы-вымогателя, осуществленной субъектом угрозы, использующим вариант программы-вымогателя ALPHV/BlackCat в качестве сервиса, нацеленного на конечную точку, связанную со здравоохранением, через скомпрометированный экземпляр ScreenConnect. Инцидент подчеркивает угрозу, исходящую от вариантов RaaS, и важность надежной защиты от кибербезопасности.
-----
19 декабря 2023 года ФБР объявило о прекращении использования варианта программы-вымогателя ALPHV/BlackCat, предлагаемого как "программа-вымогатель как услуга" (RaaS). Для оказания помощи пострадавшим организациям был предоставлен инструмент дешифрования. Позже ConnectWise выявила уязвимости в ScreenConnect версии 23.9.8, что привело к появлению рекомендаций по безопасности. 21 февраля Huntress отправила предупреждение от конечной точки, связанной со здравоохранением, с измененными файлами программы-вымогателя Canary и попыткой развертывания программы-вымогателя. Расследование выявило скомпрометированный экземпляр ScreenConnect и нерегулярный перенос конечной точки. Журналы указывали на законную установку ScreenConnect в ноябре 2021 года, в то время как подозрительная установка была прослежена до марта 2022 года. Последний подключился к REDACTED.ddns.net. Злоумышленник получил доступ к конечной точке, используя скомпрометированный экземпляр ScreenConnect, с журналами, показывающими несанкционированную активность до начала 2024 года. Новый пользователь, chlsln14, выполнял команды для облегчения развертывания программ-вымогателей и их перемещения по сети. Программа-вымогатель содержала встроенные команды для отключения мер безопасности и распространения по всей инфраструктуре. Платформа Huntress обнаружила вредоносные действия, но ни на каких других конечных точках не было обнаружено признаков компрометации или шифрования. Злоумышленник успешно запустил исполняемый файл программы-вымогателя после обхода защитника Windows и предпринял боковое распространение в сети, нацеливаясь на конкретные конечные точки, с которыми была знакома инфраструктура. Инцидент высветил сложность и опасность, которые представляют варианты RaaS, а также необходимость принятия надежных мер кибербезопасности для защиты от таких угроз.
#ParsedReport #CompletenessLow
14-03-2024
Cisco Talos Blog. Not everything has to be a massive, global cyber attack
https://blog.talosintelligence.com/threat-source-newsletter-march-14-2024
Report completeness: Low
Actors/Campaigns:
Yorotrooper (motivation: cyber_espionage)
Threats:
Spectre_rat
Predator_spyware
Intellexa
Chrysaor
Supershell
Scar
Victims:
Change healthcare
Industry:
Financial, Government, Media, Healthcare
Geo:
Israel, Greece, China, America, Americans, California, France, Canada
CVEs:
CVE-2024-2193 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: 7.1
X-Force: Patch: Official fix
ChatGPT TTPs:
T1190, T1566, T1059, T1583, T1588, T1021, T1110, T1195
IOCs:
Hash: 10
File: 4
Soft:
Instagram, TikTok, Internet Explorer
Algorithms:
md5
Platforms:
intel, arm
14-03-2024
Cisco Talos Blog. Not everything has to be a massive, global cyber attack
https://blog.talosintelligence.com/threat-source-newsletter-march-14-2024
Report completeness: Low
Actors/Campaigns:
Yorotrooper (motivation: cyber_espionage)
Threats:
Spectre_rat
Predator_spyware
Intellexa
Chrysaor
Supershell
Scar
Victims:
Change healthcare
Industry:
Financial, Government, Media, Healthcare
Geo:
Israel, Greece, China, America, Americans, California, France, Canada
CVEs:
CVE-2024-2193 [Vulners]
CVSS V3.1: Unknown,
Vulners: Exploitation: Unknown
X-Force: Risk: 7.1
X-Force: Patch: Official fix
ChatGPT TTPs:
do not use without manual checkT1190, T1566, T1059, T1583, T1588, T1021, T1110, T1195
IOCs:
Hash: 10
File: 4
Soft:
Instagram, TikTok, Internet Explorer
Algorithms:
md5
Platforms:
intel, arm
Cisco Talos Blog
Not everything has to be a massive, global cyber attack
There are a few reasons why we’re so ready to jump to the “it’s a cyber attack!”