#ParsedReport #CompletenessMedium
12-04-2024

Zero-Day Exploitation of Unauthenticated Remote Code Execution Vulnerability in GlobalProtect (CVE-2024-3400)

https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400

Report completeness: Medium

Actors/Campaigns:
Uta0218 (motivation: information_theft)

Threats:
Upstyle_backdoor
Winrm_tool

CVEs:
CVE-2024-3400 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1190, T1059, T1105, T1530, T1021.002, T1210, T1573.001, T1083, T1552.001, T1133, have more...

IOCs:
File: 3
Url: 3
Path: 11
IP: 8
Domain: 1
Hash: 10

Soft:
active directory, Chrome, Microsoft Edge, Google Chrome

Algorithms:
md5, gzip, sha1, base64, sha256

Functions:
Volexity

Languages:
python, golang

Links:
https://github.com/Fahrj/reverse-ssh
https://github.com/volexity/threat-intel/blob/main/2024/2024-04-12%20Palo%20Alto%20Networks%20GlobalProtect/indicators/iocs.csv
https://github.com/ginuerzh/gost
https://github.com/volexity/threat-intel/blob/main/2024/2024-04-12%20Palo%20Alto%20Networks%20GlobalProtect/indicators/rules.yar

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея:.
Компания Volexity обнаружила злоумышленника, идентифицированного как UTA0218, который использует уязвимость нулевого дня в устройствах брандмауэра Palo Alto Global Protect для удаленного выполнения кода без проверки подлинности. Злоумышленник использовал специальный бэкдор на Python под названием UPSTYLE для выполнения команд, извлечения данных и перемещения по целевым организациям с целью кражи конфиденциальных учетных данных и информации. Было зафиксировано множество успешных эксплойтов, что указывает на целенаправленный подход с признаками разведывательной деятельности по выявлению уязвимых систем. Palo Alto Networks выпустила рекомендацию для CVE-2024-3400, в которой подчеркивается острая необходимость для организаций применять исправления и усиливать свои меры безопасности для устранения уязвимости, используемой UTA0218.
-----

Volexity выявила злоумышленника UTA0218, использующего уязвимость нулевого дня в устройствах брандмауэра Palo Alto Global Protect для удаленного выполнения кода без проверки подлинности.

UTA0218 успешно создал обратную оболочку, загрузил инструменты, отфильтровал данные и предпринял попытку горизонтального перемещения внутри целевых организаций.

Злоумышленник намеревался установить пользовательский бэкдор Python под названием UPSTYLE на устройствах брандмауэра для дальнейших вредоносных действий.

UTA0218 нацелен на конфиденциальные учетные данные, файлы и данные, такие как учетные данные Active Directory и ключи резервного копирования домена, для целей фильтрации данных.

Злоумышленник использовал учетные записи с высокими привилегиями и методы объединения сетей для обеспечения широкого доступа к сети.

UTA0218 развернул инфраструктуру, такую как серверы управления, скомпрометированные маршрутизаторы и виртуальные частные серверы для проведения операций, продемонстрировав уникальный способ работы.

Организациям крайне важно применять исправления и усиливать меры безопасности для снижения рисков, связанных с уязвимостью CVE-2024-3400, используемой UTA0218.

#ParsedReport #CompletenessLow
12-04-2024

Abusing search permissions on Docker directories for privilege escalation

https://labs.withsecure.com/publications/abusing-search-permissions-on-docker-directories-for-privilege-escalation.html

Report completeness: Low

CVEs:
CVE-2021-41091 [Vulners]
CVSS V3.1: 6.3,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- mobyproject moby (<20.10.9)
- fedoraproject fedora (34, 35)


TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1059, T1078, T1550, T1548

Soft:
Docker

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в выявленной CyberArk уязвимости повышения привилегий (CVE-2021-41091) в Docker, при которой злоумышленники могли манипулировать файлами для внедрения вредоносного кода и получения несанкционированного доступа к системам, используя избыточные разрешения в старых версиях Docker.
-----

Исследование выявило ранее известную проблему, связанную с повышением привилегий, с присвоением CVE-2021-41091 от CyberArk. CyberArk опубликовал эту уязвимость, исследуя методы получения двоичных файлов SUID. Получив доступ к определенным файловым системам, исследователи смогли провести дальнейший анализ и сделать интересные выводы. Примечательно, что некоторые контейнеры содержали файлы приложений, принадлежащие тому же UID, что и у пользователя с низкими привилегиями, что предоставляло права на чтение/запись этих файлов. Изменение этих файлов позволило добавить вредоносный код, который при выполнении обеспечивал доступ к контейнерам. Был предоставлен пример команды для идентификации всех файлов, принадлежащих UID 1000, во всех контейнерах. Однако для активации нового вредоносного кода потребовалась перезагрузка контейнера. К счастью, у пользователя с низкими привилегиями были разрешения на перезагрузку хоста, что привело к перезапуску процессов контейнера и выполнению нового кода.

Дальнейшее расследование показало, что проблема была связана с использованием более старой версии Docker. Проект Docker обратил внимание на эти чрезмерные разрешения, в результате чего CyberArk присвоил этой уязвимости идентификатор CVE-2021-41091. Впоследствии уязвимость была устранена в версии Docker 20.10.9.

#ParsedReport #CompletenessMedium
13-04-2024

Threat Brief: Operation MidnightEclipse, Post-Exploitation Activity Related to CVE-2024-3400

https://unit42.paloaltonetworks.com/cve-2024-3400

Report completeness: Medium

Actors/Campaigns:
Midnight_eclipse

Threats:
Upstyle_backdoor

CVEs:
CVE-2024-3400 [Vulners]
CVSS V3.1: 9.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1059, T1064, T1105, T1574, T1562, T1041, T1070

IOCs:
Url: 3
Domain: 1
IP: 3
Hash: 2
File: 3

Soft:
nginx, Ubuntu, crontab

Algorithms:
base64, sha256

Languages:
python

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что Palo Alto Networks и Unit 42 активно отслеживают критическую уязвимость при внедрении команд, CVE-2024-3400, в программном обеспечении Palo Alto Networks PAN-OS. Уязвимость позволяет злоумышленникам выполнять произвольный код с правами суперпользователя на брандмауэре. В тексте также обсуждается использование этой уязвимости в ходе операции MidnightEclipse, связанной с внедрением бэкдора, известного как UPSTYLE. Кроме того, в нем освещаются действия, предпринятые злоумышленником, функциональность бэкдора и шаги, предпринятые Palo Alto Networks для устранения проблемы и защиты клиентов.
-----

Palo Alto Networks и подразделение 42 активно отслеживают действия, связанные с критической уязвимостью при внедрении команд, идентифицированной как CVE-2024-3400 в программном обеспечении Palo Alto Networks PAN-OS. Эта уязвимость позволяет злоумышленнику, не прошедшему проверку подлинности, выполнить произвольный код с правами суперпользователя на брандмауэре и имеет оценку CVSS 10,0. Команда Palo Alto Networks сотрудничает с внешними исследователями, партнерами и клиентами, чтобы быстро и прозрачно обмениваться информацией по этой проблеме.

Эксплуатация CVE-2024-3400 наблюдалась в ходе так называемой операции MidnightEclipse. До сих пор считалось, что к использованию этой уязвимости был причастен один субъект угрозы, но существует вероятность того, что в будущем другие субъекты угрозы могут попытаться использовать эту уязвимость. После взлома брандмауэра злоумышленник, участвовавший в операции MidnightEclipse, создал cronjob, который запускался каждую минуту для доступа к командам, размещенным на внешнем сервере. Есть подозрение, что эти команды использовались для развертывания второго бэкдора на основе Python, известного как UPSTYLE. Был обнаружен бэкдор UPSTYLE, размещенный по другим URL-адресам, и дата последнего изменения была указана 7 апреля 2024 года.

Файл update.py, который является частью бэкдора UPSTYLE, имеет несколько уровней функциональности. Он записывает другой скрипт на Python в определенное место, которое, в свою очередь, декодирует и выполняет встроенный скрипт на Python с двумя функциями protect и check. Функция защиты, скорее всего, используется для сохранения работоспособности, в то время как функция проверки определяет, запущен ли скрипт, прежде чем запускать функциональный бэкдор. Этот бэкдор может выполнять команды и маскировать свои действия, изменяя файлы журнала. Злоумышленник, запустивший этот бэкдор, также использовал автоматизацию для быстрой перезаписи выходных файлов, чтобы избежать обнаружения.

Анализ команд, выполняемых злоумышленником, выявил такие действия, как копирование файлов конфигурации в папки веб-приложений для последующей фильтрации. Кроме того, было замечено, что злоумышленник получал команды с URL-адреса через бэкдор cronjob. Впоследствии исполнитель очистил систему, удалив все файлы, связанные с бэкдорами, и удалив cronjobs.

Компания Palo Alto Networks поделилась этими выводами с членами Альянса по борьбе с киберугрозами (CTA), чтобы помочь им защитить своих клиентов и обезвредить злоумышленников в киберпространстве. Клиентам Palo Alto Networks рекомендуется использовать средства защиты продуктов и обновления для эффективной защиты от этой угрозы.

#ParsedReport #CompletenessHigh
13-04-2024

eXotic Visit campaign: Tracing the footprints of Virtual Invaders

https://www.welivesecurity.com/en/eset-research/exotic-visit-campaign-tracing-footprints-virtual-invaders

Report completeness: High

Actors/Campaigns:
Exotic_visit (motivation: cyber_espionage)
Transparenttribe

Threats:
Xsploit_tool
L3mon_tool
Ahmyth_rat

Victims:
Android users

Industry:
Telco, Foodtech

Geo:
Pakistan, Ukraine, Pakistani, India, Asia, Chinese

TTPs:
Tactics: 7
Technics: 17

IOCs:
File: 22
Domain: 6
Url: 1
IP: 4

Soft:
Android, Telegram, WhatsApp, WeChat

Algorithms:
base64

Languages:
java

Platforms:
cross-platform

Links:
https://github.com/AhMyth/AhMyth-Android-RAT
https://github.com/D3VL/L3MON
https://github.com/XploitWizer-Community/XploitSPY

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста - о шпионской кампании под названием eXotic Visit, нацеленной на пользователей Android в Индии, Пакистане и других регионах. Кампания использует, казалось бы, безобидные приложения, содержащие вредоносное ПО XploitSPY, для извлечения конфиденциальной информации с устройств жертв. За этой операцией стоит группа злоумышленников, известная как Virtual Invaders, которая использует сложную тактику, позволяющую избежать обнаружения и сохранить контроль над зараженными устройствами. Конечная цель кампании - шпионаж путем обмана пользователей с целью загрузки вредоносных приложений, замаскированных под законные функции.
-----

Исследователи ESET обнаружили шпионскую кампанию под названием eXotic Visit, направленную против пользователей Android в Индии и Пакистане.

Кампания использует, казалось бы, безобидные приложения, поставляемые в комплекте с вредоносной программой XploitSPY, и приписывается группе Virtual Invaders.

Она началась в конце 2021 года и продолжалась до конца 2023 года, ориентируясь на южноазиатских пользователей Android, особенно в Пакистане и Индии.

Вредоносные приложения распространялись через специальные веб-сайты и Google Play, но были удалены из-за низкого уровня установки.

Вредоносная программа извлекает конфиденциальную информацию, такую как списки контактов, местоположение по GPS и данные приложения для обмена сообщениями.

XploitSPY RAT включает в себя такие функции, как обфускация и обнаружение эмулятора, позволяющие избежать обнаружения.

Встроенная библиотека скрывает важную информацию, такую как адреса серверов C&C, что затрудняет анализ для средств обеспечения безопасности.

Команда MalwareHunterTeam обнаружила приложения, выдающие себя за популярные приложения, зараженные XploitSPY, которые взаимодействуют с общим C&C-сервером.

Чтобы избежать обнаружения, использовались различные тактики, включая обнаружение эмулятора и поддельные C&C адреса.

В Украине были обнаружены вредоносные приложения, но нет никаких указаний на конкретную цель.

Для получения конкретной информации в кампании использовались такие приложения, как Sim Info, Telco DB, Shah jee Foods и Specialist Hospital.

Основная цель кампании - шпионаж, нацеленный на ничего не подозревающих пользователей Android с целью получения конфиденциальной информации.

Виртуальные захватчики управляют сетью вредоносных приложений, использующих ngrok в качестве сервера управления и контроля, которая развивается от специализированных веб-сайтов до магазина Google Play.

#ParsedReport #CompletenessLow
13-04-2024

Blogs

https://www.trellix.com/blogs/research/the-lockbits-attempt-to-stay-relevant-its-imposters-and-new-opportunistic-ransomware-groups

Report completeness: Low

Actors/Campaigns:
Dragonforce (motivation: financially_motivated)
Werewolves
Lockbit

Threats:
Lockbit
Blackhunt

Victims:
Western organizations, Russian organizations

Industry:
Entertainment

Geo:
Russian, Russia

ChatGPT TTPs:
do not use without manual check
T1583.001, T1588.002, T1595, T1486, T1105, T1027, T1204

IOCs:
Hash: 1

Algorithms:
sha256

Languages:
swift

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что существует растущая тенденция к тому, что банды вымогателей используют утечку LockBit builder для создания и распространения программ-вымогателей, причем различные группы создают свои собственные версии на основе этого утекшего исходного кода. Кроме того, в тексте освещаются усилия LockBit по восстановлению своего бизнеса после частичного восстановления инфраструктуры RaaS, сложности в динамике экосистемы программ-вымогателей и проблемы, с которыми сталкиваются исследователи в области кибербезопасности и правоохранительные органы при выявлении и пресечении этих атак программ-вымогателей.
-----

Компания Trellix отмечает увеличение числа новых банд программ-вымогателей, использующих утечку LockBit Black builder. Эти группы либо используют его в качестве основы для своих собственных программ-вымогателей, либо вносят незначительные изменения для создания собственных версий. Актер по имени blackhunt представил на подпольном форуме новую программу-вымогательницу Wing, которая, как было установлено, основана на модифицированной версии LockBit. Хакер TheShadowHacker проанализировал демоверсию программы-вымогателя Wing и подтвердил эту связь. Банда программ-вымогателей Dragonforce, занимающаяся двойным вымогательством, также использовала программу-вымогатель LockBit Black в своих кампаниях по атакам в 2023 году. Было обнаружено, что образцы программ-вымогателей Dragonforce были созданы с использованием просочившегося конструктора LockBit 3.0. Российская компания, занимающаяся кибербезопасностью, обнаружила группу программ-вымогателей Werewolves, которая использовала LockBit 3.0 Black для атак на организации в России. Похоже, что между бандой Werewolves и аффилированными лицами LockBit существует связь, основанная на общих данных о жертвах и названиях компаний, зарегистрированных в реестре.

RaaS-инфраструктура LockBit была частично восстановлена после "операции Cronos", что привело к значительным изменениям, таким как отключение доступа к панели RaaS для некоторых партнеров. Партнеры с солидной историей заработка могли присоединиться бесплатно, в то время как другие должны были внести BTC, чтобы доказать свою надежность. На подпольных форумах появились жалобы на эти изменения. LockBit стремилась повысить устойчивость, размещая названия компаний на своем веб-сайте, но добавление и удаление имен жертв на их сайте с утечкой данных указывало на сомнительные операции. LockBit также предприняла шаги по снижению рисков, таких как потенциальная проверка исходного кода панели своих партнеров, путем децентрализации его на нескольких серверах.

Динамика экосистемы программ-вымогателей стала сложной после частичного восстановления LockBit. В то время как LockBit пытается восстановить свой бизнес, существует неопределенность в отношении информации LE о своих операциях и аффилированных лицах, что создает риски для безопасности OPSEC. Появились самозванцы LockBit и группы программ-вымогателей, использующие утечку LockBit builder, что усложняет идентификацию участников угроз. Тенденция использования утечек исходного кода для организации операций RaaS создает проблемы для исследователей в области кибербезопасности и агентств по защите данных. Сотрудничество, обмен информацией об угрозах и превентивные меры защиты имеют решающее значение для смягчения последствий атак программ-вымогателей, учитывая меняющийся ландшафт угроз.

К спору о актуальности/неактуальности международного TI для России.

🥷 Хакерская группировка TA558, с 2018 года действующая в странах Латинской Америки, добралась до России

Специалисты экспертного центра безопасности Positive Technologies (PT Expert Security Center) обнаружили серию атак по всему миру, проанализировав множество семплов, направленных на различные секторы и страны, а также изучив фишинговые письма, отправленные в том числе компаниям из России, Румынии и Турции. Особый «почерк» злоумышленников позволяет утверждать, что вероятнее всего эти атаки связаны с группировкой TA558.

💬 «В исследованных нами атаках группировка активно использовала технику стеганографии: файлы полезной нагрузки передавались внутри картинок. Помимо стеганографии, группировка таким же образом использовала текстовые сервисы. Интересно, что в цепочках одновременно применялись сразу оба метода для лучшей защиты от обнаружения», — отметил Александр Бадаев, специалист отдела исследования угроз ИБ.

👾 Какое вредоносное ПО использует группировка

Для хранения строчек ВПО и картинок с вредоносным кодом TA558 использует легитимные сервисы. Злоумышленники применяют в атаках широко известное ПО, среди которого трояны Agent Tesla, Remcos, XWorm и LokiBot, стилер FormBook, загрузчик GuLoader, кейлоггер Snake Keylogger и другие.

💘 Операция SteganoAmor

Большинство названий вредоносных файлов TA558 содержали слово love (то есть, «любовь»), поэтому эксперты назвали операцию по обнаружению атак группировки SteganoAmor. Они смогли обнаружить связи между различными элементами атаки и установить, что они относятся к одной и той же группировке.

⚡️ Какие страны и отрасли атаковали

Всего в ходе исследования зафиксировано 320 атак, направленных на компании из 31 страны, а том числе США, Германии, Индии. Среди наиболее пострадавших отраслей — промышленность (21%), сфера услуг (16%), государственный сектор (16%), электроэнергетика (8%) и строительство (8%).

Подробнее об атаках, инструментах ТА558 и ее особенностях читайте в исследовании на нашем сайте.

#PositiveЭксперты
@Posiitve_Technologies

#ParsedReport #CompletenessMedium
15-04-2024

Using the LockBit builder to generate targeted ransomware

https://securelist.com/lockbit-3-0-based-custom-targeted-ransomware/112375

Report completeness: Medium

Threats:
Lockbit
Cobalt_strike
Sessiongopher_tool
Putty_tool
Credential_dumping_technique
Ransom.win32.generic

Geo:
Russia, Italy, Chile, Guinea-bissau, Francesco

TTPs:
Tactics: 6
Technics: 6

IOCs:
File: 10

Soft:
Windows Defender, PsExec, WinSCP

Algorithms:
base64, gzip

Languages:
powershell

Links:
https://github.com/Arvanaghi/SessionGopher

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в анализе и влиянии разработчика программ-вымогателей LockBit 3.0, его возможностях настройки, использовании привилегированных учетных данных и угрозах, связанных с индивидуальными атаками программ-вымогателей. В тексте рассматриваются функциональные возможности LockBit builder, эффективность настраиваемых вариантов программ-вымогателей, недавние инциденты, связанные с программами-вымогателями, операции правоохранительных органов, направленные против LockBit, а также важность надежных мер безопасности и культуры кибербезопасности для снижения рисков, связанных с программами-вымогателями.
-----

Утечка LockBit 3.0 builder, произошедшая в 2022 году, позволила злоумышленникам настраивать программу-вымогателя для расширенных атак, включая настройку параметров распространения по сети и функций защиты от взлома.

Использование действительных привилегированных учетных данных, полученных в результате утечки данных, усиливало угрозу, что было продемонстрировано в случаях, когда злоумышленники получали учетные данные администратора для создания пользовательских программ-вымогателей.

Ключевыми элементами конструктора LockBit 3.0 являются keygen.exe для генерации ключей шифрования и builder.exe для создания вариантов программ-вымогателей на основе настроек в файле config.json.

Пользовательские варианты программ-вымогателей могут включать в себя такие функции, как олицетворение, шифрование сетевого ресурса, отключение мер безопасности, распространение с помощью таких инструментов, как PsExec, и сокрытие следов путем удаления журналов событий.

Адаптация программ-вымогателей к конкретным конфигурациям сети представляет серьезную угрозу, позволяя злоумышленникам шифровать данные, отключать меры безопасности и скрывать свою деятельность.

Операция правоохранительных органов Operation Cronos в феврале 2024 года ненадолго прервала работу LockBit, но группа вымогателей быстро возобновила свою деятельность, используя пользовательские сборки.

Во всем мире наблюдаются заметные случаи использования кастомизированных программ-вымогателей LockBit, которые нацелены на компании путем использования серверов, подключенных к Интернету, привилегированных учетных данных и автоматического распространения по сети.

Анализ уязвимых систем выявил тактику злоумышленников, например, использование Cobalt Strike и SessionGopher для удаленного доступа и извлечения учетных данных, что привело к принятию мер быстрого реагирования по изменению учетных данных и усилению контроля безопасности.

Для снижения рисков, связанных с программами-вымогателями, требуются надежные меры безопасности, методы, не зависящие от инфраструктуры, тщательный мониторинг сети и культура, ориентированная на кибербезопасность в организациях.

#ParsedReport #CompletenessHigh
15-04-2024

Operation SteganoAmor: TA558 massively attacks companies and government agencies around the world

https://www.ptsecurity.com/ru-ru/research/pt-esc-threat-intelligence/operaciya-steganoamor-ta558-massovo-atakuet-kompanii-i-gosudarstvennye-uchrezhdeniya-po-vsemu-miru

Report completeness: High

Actors/Campaigns:
Steganoamor
Ta558
Duke
Comment_crew

Threats:
Agent_tesla
Steganography_technique
Remcos_rat
Xworm_rat
Lokibot_stealer
Cloudeye
Formbook
Snake_keylogger
Xwo
Njrat
Ekipa_rat
Mimicry
Quasar_rat
Spear-phishing_technique
Dead_drop_technique
Amadey
Privateloader
Smokeloader
Socks5_systemz
Zhark
Banjori
Dropper.win32.generic.e
Dropper.win32.generic.i
Lolbin_technique
Danabot
Record_breaker_stealer
Redline_stealer
Riseprostealer
Vidar_stealer
Spy.win32.generic.a
Spy.win32.generic.b
Spy.win32.generic.c
Sysupdate
Defenseimpair
Evader_tool
Trojan.win32.evasion.a
Emotet
Trojan.win32.generic.a
Trojan.win32.generic.c
Trojan.win32.generic.d
Trojan.win32.generic.f
Trojan.win32.generic.g
Trojan.win32.generic.i
Heavens_gate_technique
Trojan.win32.inject.a
Trojan.win32.recon.a
Trojan.win32.recon.c
Glupteba

Victims:
Hospitality and tourism organizations, Government organizations, Local small companies

Industry:
Financial, Healthcare, Energy, Transport, Education, Government

Geo:
Korea, Chinese, Slovenia, Turkish, Lebanon, Russia, Macedonia, Pakistan, Russian, Czech, Germany, Uruguay, Poland, India, Algeria, Mexico, Spain, Spanish, Romania, Portugal, Romanian, Bulgarian, Chile, Argentina, Brazil, Usa, Morocco, Ecuador, Guatemala, Thailand, Portuguese, American, Colombia, America, Turkey, Bulgaria, Serbia, Indonesia, Peru

CVEs:
CVE-2017-0199 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2013, 2010, 2016)
- microsoft windows 7 (*)
- microsoft windows server 2008 (r2, *)
- microsoft windows vista (*)
- microsoft windows server 2012 (-)
have more...
CVE-2017-11882 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft office (2007, 2013, 2010, 2016)


TTPs:
Tactics: 11
Technics: 44

IOCs:
IP: 95
Domain: 28
File: 67
Hash: 406
Url: 2

Soft:
Outlook, Metabase, Windows registry, Google Chrome

Algorithms:
base64, zip, sha256

Win API:
SetThreadContext, GetCursorPos, BitBlt, ResumeThread

Languages:
visual_basic, powershell, swift, php