CTT Report Hub
#ParsedReport #CompletenessLow 01-05-2024 Analysis of the xz-utils backdoor code https://paper.seebug.org/3158 Report completeness: Low Threats: Xz_backdoor Supply_chain_technique Jiat75_actor Geo: Chinese CVEs: CVE-2024-3094 [Vulners] CVSS V3.1:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в раскрытии уязвимости бэкдора в проекте с открытым исходным кодом xz-utils, которая влияет на основные дистрибутивы Linux посредством атаки на цепочку поставок, позволяя обходить аутентификацию и удаленно выполнять команды. В нем подробно описывается проникновение злоумышленника, сокрытие вредоносного кода и манипулирование сценариями компиляции, а также использование алгоритмов шифрования и тактики уклонения. В нем содержится призыв к дальнейшему изучению методов и мотивов злоумышленника, подчеркивается необходимость усиления мер кибербезопасности для предотвращения подобных инцидентов.
-----
В тексте описывается раскрытие уязвимости в проекте с открытым исходным кодом xz-utils, идентифицированной как CVE-2024-3094, инженером Microsoft по имени Андрес Фройнд 29 марта 2024 года. Уязвимость была использована в ходе атаки на цепочку поставок, которая нарушила логику аутентификации службы sshd и позволила обойти аутентификацию и удаленно выполнить команду. Бэкдор повлиял на версии liblzma.so 5.6.0 и 5.6.1, затронув несколько основных дистрибутивов Linux, таких как Debian, Ubuntu, Fedora, CentOS, RedHat и openSUSE, особенно в их тестовых и экспериментальных версиях.
Злоумышленник, идентифицированный как пользователь Github JiaT75, в течение двух лет проникал в проект xz-utils и получал разрешения на обслуживание хранилища, чтобы внедрить бэкдор. Нацелившись на службу sshd, злоумышленник обеспечил скрытую атаку. Некоторые дистрибутивы, такие как Debian, косвенно связывали sshd и xz-utils через зависимости от libsystemd0, которые, в свою очередь, зависели от liblzma5, обеспечивая путь для создания бэкдора.
Процесс внедрения бэкдора включал сокрытие вредоносного кода в исходном коде xz-utils и манипулирование сценарием компиляции для внедрения бэкдор-кода в liblzma5.so во время компиляции. Затем злоумышленник использовал механизмы аудита IFUNC и rtdl во время запуска sshd, чтобы перехватить и заменить функцию RSA_public_decrypt() на свою собственную, запустив бэкдор при успешной аутентификации.
Анализ кода бэкдора выявил сложные методы, такие как обфускация кода, меры по предотвращению отладки и сокрытие журнала SSHD, реализованные злоумышленником. Злоумышленник продемонстрировал высокий уровень технического мастерства в использовании алгоритмов шифрования, таких как ChaCha20, для расшифровки и тщательной разработки кода бэкдора, чтобы избежать обнаружения.
В тексте подчеркивается важность дальнейшего изучения методов и мотиваций злоумышленников, а также профессионализма, проявленного при выборе целей и завоевании доверия для проникновения в хранилища кода. В заключение в статье подчеркивается сложность атаки и необходимость принятия усиленных мер кибербезопасности для обнаружения и предотвращения подобных инцидентов в будущем.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в раскрытии уязвимости бэкдора в проекте с открытым исходным кодом xz-utils, которая влияет на основные дистрибутивы Linux посредством атаки на цепочку поставок, позволяя обходить аутентификацию и удаленно выполнять команды. В нем подробно описывается проникновение злоумышленника, сокрытие вредоносного кода и манипулирование сценариями компиляции, а также использование алгоритмов шифрования и тактики уклонения. В нем содержится призыв к дальнейшему изучению методов и мотивов злоумышленника, подчеркивается необходимость усиления мер кибербезопасности для предотвращения подобных инцидентов.
-----
В тексте описывается раскрытие уязвимости в проекте с открытым исходным кодом xz-utils, идентифицированной как CVE-2024-3094, инженером Microsoft по имени Андрес Фройнд 29 марта 2024 года. Уязвимость была использована в ходе атаки на цепочку поставок, которая нарушила логику аутентификации службы sshd и позволила обойти аутентификацию и удаленно выполнить команду. Бэкдор повлиял на версии liblzma.so 5.6.0 и 5.6.1, затронув несколько основных дистрибутивов Linux, таких как Debian, Ubuntu, Fedora, CentOS, RedHat и openSUSE, особенно в их тестовых и экспериментальных версиях.
Злоумышленник, идентифицированный как пользователь Github JiaT75, в течение двух лет проникал в проект xz-utils и получал разрешения на обслуживание хранилища, чтобы внедрить бэкдор. Нацелившись на службу sshd, злоумышленник обеспечил скрытую атаку. Некоторые дистрибутивы, такие как Debian, косвенно связывали sshd и xz-utils через зависимости от libsystemd0, которые, в свою очередь, зависели от liblzma5, обеспечивая путь для создания бэкдора.
Процесс внедрения бэкдора включал сокрытие вредоносного кода в исходном коде xz-utils и манипулирование сценарием компиляции для внедрения бэкдор-кода в liblzma5.so во время компиляции. Затем злоумышленник использовал механизмы аудита IFUNC и rtdl во время запуска sshd, чтобы перехватить и заменить функцию RSA_public_decrypt() на свою собственную, запустив бэкдор при успешной аутентификации.
Анализ кода бэкдора выявил сложные методы, такие как обфускация кода, меры по предотвращению отладки и сокрытие журнала SSHD, реализованные злоумышленником. Злоумышленник продемонстрировал высокий уровень технического мастерства в использовании алгоритмов шифрования, таких как ChaCha20, для расшифровки и тщательной разработки кода бэкдора, чтобы избежать обнаружения.
В тексте подчеркивается важность дальнейшего изучения методов и мотиваций злоумышленников, а также профессионализма, проявленного при выборе целей и завоевании доверия для проникновения в хранилища кода. В заключение в статье подчеркивается сложность атаки и необходимость принятия усиленных мер кибербезопасности для обнаружения и предотвращения подобных инцидентов в будущем.
#ParsedReport #CompletenessLow
01-05-2024
Zloader Learns Old Tricks
https://www.zscaler.com/blogs/security-research/zloader-learns-old-tricks
Report completeness: Low
Threats:
Z_loader
Zeus
ChatGPT TTPs:
T1027, T1568, T1573, T1497, T1112
IOCs:
Hash: 4
Url: 4
Soft:
Windows registry
Algorithms:
crc-32, rc4
Languages:
python
01-05-2024
Zloader Learns Old Tricks
https://www.zscaler.com/blogs/security-research/zloader-learns-old-tricks
Report completeness: Low
Threats:
Z_loader
Zeus
ChatGPT TTPs:
do not use without manual checkT1027, T1568, T1573, T1497, T1112
IOCs:
Hash: 4
Url: 4
Soft:
Windows registry
Algorithms:
crc-32, rc4
Languages:
python
Zscaler
Zloader | ThreatLabz
Technical Analysis | Zloader revives an old ZeuS-inspired anti-analysis feature, implementing unique execution restrictions.
CTT Report Hub
#ParsedReport #CompletenessLow 01-05-2024 Zloader Learns Old Tricks https://www.zscaler.com/blogs/security-research/zloader-learns-old-tricks Report completeness: Low Threats: Z_loader Zeus ChatGPT TTPs: do not use without manual check T1027, T1568, T1573…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Zloader, модульный троян, созданный на основе утекшего исходного кода ZeuS, недавно был обновлен в новых версиях, отличающихся улучшенными механизмами защиты от анализа и более скрытыми методами заражения. Эти обновления создают проблемы для исследователей в области безопасности из-за преднамеренного и избирательного подхода трояна к заражению систем.
-----
Zloader, также известный как Terdot, DELoader или Silent Night, представляет собой модульный троян, созданный на основе утечки исходного кода ZeuS, датируемой 2015 годом. После значительного периода бездействия Zloader появился с новыми итерациями, включающими изменения в методах обфускации, алгоритме генерации домена и методах сетевого взаимодействия. Примечательно, что в последних версиях Zloader вновь появилась функция антианализа, напоминающая оригинальный код ZeuS 2.x, в котором троянец ограничивает свое двоичное выполнение изначально зараженной машиной.
Последние версии Zloader, такие как 2.4.1_0 и 2.5.1_0, включают механизм антианализа, который приводит к внезапному завершению работы троянца при копировании и запуске в другой системе после первоначального заражения. Такое поведение вызывается проверкой реестра Windows на наличие определенного ключа и значения. Манипулирование парой ключ/значение реестра или исправление проверки может позволить Zloader временно внедриться в новый процесс, но в конечном итоге троянец завершит работу из-за повторной проверки в заголовке MZ Zloader.
Важным аспектом этой функции защиты от анализа является DWORD, расположенный в заголовке MZ, который действует как указатель на начальное смещение. Используя этот дополнительный заголовок DWORD, разработчики вредоносных программ используют его в качестве проверки правильности среды выполнения, прежде чем продолжить. Неправильные значения заголовка MZ или отсутствующая начальная информация препятствуют запуску или установке Zloader на другом компьютере, если не будут внесены специальные изменения для точного воспроизведения исходной среды жертвы.
В предыдущих версиях Zloader информация об установке хранилась в паре ключ/значение реестра, зашифрованной с использованием алгоритма ZeuS VisualEncrypt и RC4. Аналогичным образом, в ZeuS v2 использовались такие методы, как наложение раздела с именем PeSettings, для хранения данных об установке вместо использования реестра. Сравнение Zloader и ZeuS показывает сходство в хранении информации, относящейся к конкретному компьютеру, для предотвращения выполнения в разных системах, хотя и реализовано несколько по-разному.
В последних версиях Zloader основное внимание уделяется более скрытным методам заражения, повышающим его устойчивость к обнаружению и анализу. Внедрение передовых тактик защиты от анализа в новых версиях Zloader создает проблемы для исследователей и аналитиков в области безопасности. Тенденция, наблюдаемая в проанализированных образцах Zloader, свидетельствует о целенаправленной стратегии распространения, что указывает на преднамеренный и избирательный подход к заражению систем.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Zloader, модульный троян, созданный на основе утекшего исходного кода ZeuS, недавно был обновлен в новых версиях, отличающихся улучшенными механизмами защиты от анализа и более скрытыми методами заражения. Эти обновления создают проблемы для исследователей в области безопасности из-за преднамеренного и избирательного подхода трояна к заражению систем.
-----
Zloader, также известный как Terdot, DELoader или Silent Night, представляет собой модульный троян, созданный на основе утечки исходного кода ZeuS, датируемой 2015 годом. После значительного периода бездействия Zloader появился с новыми итерациями, включающими изменения в методах обфускации, алгоритме генерации домена и методах сетевого взаимодействия. Примечательно, что в последних версиях Zloader вновь появилась функция антианализа, напоминающая оригинальный код ZeuS 2.x, в котором троянец ограничивает свое двоичное выполнение изначально зараженной машиной.
Последние версии Zloader, такие как 2.4.1_0 и 2.5.1_0, включают механизм антианализа, который приводит к внезапному завершению работы троянца при копировании и запуске в другой системе после первоначального заражения. Такое поведение вызывается проверкой реестра Windows на наличие определенного ключа и значения. Манипулирование парой ключ/значение реестра или исправление проверки может позволить Zloader временно внедриться в новый процесс, но в конечном итоге троянец завершит работу из-за повторной проверки в заголовке MZ Zloader.
Важным аспектом этой функции защиты от анализа является DWORD, расположенный в заголовке MZ, который действует как указатель на начальное смещение. Используя этот дополнительный заголовок DWORD, разработчики вредоносных программ используют его в качестве проверки правильности среды выполнения, прежде чем продолжить. Неправильные значения заголовка MZ или отсутствующая начальная информация препятствуют запуску или установке Zloader на другом компьютере, если не будут внесены специальные изменения для точного воспроизведения исходной среды жертвы.
В предыдущих версиях Zloader информация об установке хранилась в паре ключ/значение реестра, зашифрованной с использованием алгоритма ZeuS VisualEncrypt и RC4. Аналогичным образом, в ZeuS v2 использовались такие методы, как наложение раздела с именем PeSettings, для хранения данных об установке вместо использования реестра. Сравнение Zloader и ZeuS показывает сходство в хранении информации, относящейся к конкретному компьютеру, для предотвращения выполнения в разных системах, хотя и реализовано несколько по-разному.
В последних версиях Zloader основное внимание уделяется более скрытным методам заражения, повышающим его устойчивость к обнаружению и анализу. Внедрение передовых тактик защиты от анализа в новых версиях Zloader создает проблемы для исследователей и аналитиков в области безопасности. Тенденция, наблюдаемая в проанализированных образцах Zloader, свидетельствует о целенаправленной стратегии распространения, что указывает на преднамеренный и избирательный подход к заражению систем.
#ParsedReport #CompletenessLow
29-04-2024
The Darkgate Menace: Leveraging Autohotkey & Attempt to Evade Smartscreen
https://www.mcafee.com/blogs/other-blogs/mcafee-labs/the-darkgate-menace-leveraging-autohotkey-attempt-to-evade-smartscreen
Report completeness: Low
Threats:
Darkgate
Process_injection_technique
CVEs:
CVE-2023-36025 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (-)
- microsoft windows 10 1607 (-)
- microsoft windows 10 1809 (-)
- microsoft windows 10 21h2 (-)
- microsoft windows 10 22h2 (-)
have more...
CVE-2024-21412 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1809 (<10.0.17763.5458, 10.0.17763.1432, 10.0.17763.1613, 10.0.17763.2928, 10.0.17763.4645)
- microsoft windows 10 21h2 (<10.0.19044.4046, 10.0.19044.2486, 10.0.19044.1645, 10.0.19044.1865, 10.0.19044.1949)
- microsoft windows 10 22h2 (<10.0.19045.4046, 10.0.19045.3570, 10.0.19045.2130, 10.0.19045.2251, 10.0.19045.3271)
- microsoft windows 11 21h2 (<10.0.22000.2777, 10.0.22000.376, 10.0.22000.1100, 10.0.19044.2965, 10.0.22000.434)
- microsoft windows 11 22h2 (<10.0.22621.3155, 10.0.22621.1555, 10.0.22621.1344, 10.0.22621.2275, 10.0.22621.1265)
have more...
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
T1566, T1204, T1059, T1140, T1105, T1059.003, T1112, T1574
IOCs:
File: 5
Path: 1
IP: 2
Hash: 10
Soft:
Autohotkey, Microsoft Defender, Microsoft Windows Defender SmartScreen, Windows Defender SmartScreen, Windows Explorer
Algorithms:
base64, sha256, zip
Functions:
JavaScript
Languages:
delphi, javascript, powershell
29-04-2024
The Darkgate Menace: Leveraging Autohotkey & Attempt to Evade Smartscreen
https://www.mcafee.com/blogs/other-blogs/mcafee-labs/the-darkgate-menace-leveraging-autohotkey-attempt-to-evade-smartscreen
Report completeness: Low
Threats:
Darkgate
Process_injection_technique
CVEs:
CVE-2023-36025 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1507 (-)
- microsoft windows 10 1607 (-)
- microsoft windows 10 1809 (-)
- microsoft windows 10 21h2 (-)
- microsoft windows 10 22h2 (-)
have more...
CVE-2024-21412 [Vulners]
CVSS V3.1: 8.1,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1809 (<10.0.17763.5458, 10.0.17763.1432, 10.0.17763.1613, 10.0.17763.2928, 10.0.17763.4645)
- microsoft windows 10 21h2 (<10.0.19044.4046, 10.0.19044.2486, 10.0.19044.1645, 10.0.19044.1865, 10.0.19044.1949)
- microsoft windows 10 22h2 (<10.0.19045.4046, 10.0.19045.3570, 10.0.19045.2130, 10.0.19045.2251, 10.0.19045.3271)
- microsoft windows 11 21h2 (<10.0.22000.2777, 10.0.22000.376, 10.0.22000.1100, 10.0.19044.2965, 10.0.22000.434)
- microsoft windows 11 22h2 (<10.0.22621.3155, 10.0.22621.1555, 10.0.22621.1344, 10.0.22621.2275, 10.0.22621.1265)
have more...
TTPs:
Tactics: 1
Technics: 0
ChatGPT TTPs:
do not use without manual checkT1566, T1204, T1059, T1140, T1105, T1059.003, T1112, T1574
IOCs:
File: 5
Path: 1
IP: 2
Hash: 10
Soft:
Autohotkey, Microsoft Defender, Microsoft Windows Defender SmartScreen, Windows Defender SmartScreen, Windows Explorer
Algorithms:
base64, sha256, zip
Functions:
JavaScript
Languages:
delphi, javascript, powershell
McAfee Blog
The Darkgate Menace: Leveraging Autohotkey & Attempt to Evade Smartscreen | McAfee Blog
Authored by Yashvi Shah, Lakshya Mathur and Preksha Saxena McAfee Labs has recently uncovered a novel infection chain associated with DarkGate malware.
CTT Report Hub
#ParsedReport #CompletenessLow 29-04-2024 The Darkgate Menace: Leveraging Autohotkey & Attempt to Evade Smartscreen https://www.mcafee.com/blogs/other-blogs/mcafee-labs/the-darkgate-menace-leveraging-autohotkey-attempt-to-evade-smartscreen Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении и анализе вредоносного ПО DarkGate, сложного троянца удаленного доступа (RAT), разработанного с использованием Borland Delphi. Компания DarkGate, рекламируемая на российском форуме по киберпреступности как вредоносное ПО как услуга (MaaS), использует тактику уклонения, чтобы избежать обнаружения, распространяясь по нескольким начальным направлениям и используя различные вредоносные возможности. Постоянные обновления вредоносного ПО и усовершенствования методов защиты от него представляют серьезную угрозу, требуя от организаций усиления мер безопасности и сохранения бдительности для эффективного обнаружения потенциальных заражений и реагирования на них.
-----
Недавно McAfee Labs обнаружила сложную цепочку заражения, связанную с вредоносным ПО DarkGate, которое представляет собой троян удаленного доступа (RAT), разработанный с использованием Borland Delphi. DarkGate рекламируется как вредоносное ПО как услуга (MaaS) на российском форуме по киберпреступности с 2018 года. Это вредоносное программное обеспечение оснащено целым рядом возможностей, таких как внедрение процессов, загрузка и выполнение файлов, кража данных, выполнение команд оболочки, кейлоггинг и многое другое.
Одним из примечательных аспектов DarkGate является использование тактики уклонения от обнаружения, в том числе в обход Microsoft Defender SmartScreen. Это побудило Microsoft выпустить исправление для устранения уязвимости, используемой DarkGate. Вредоносная программа использует несколько методов уклонения, чтобы подорвать механизмы обнаружения.
DarkGate распространяется по двум различным начальным векторам - один из которых исходит из HTML-файла, а другой - из XLS-файла. Цепочка заражения включает в себя ряд этапов, включая фишинговую HTML-страницу, замаскированную под документ Word, чтобы побудить пользователей взаимодействовать с вредоносным контентом, манипулирование URL-адресами с помощью прикладного протокола "search-ms" для доступа к вредоносному ресурсу WebDAV, использование уязвимости (CVE-2023-36025), связанной с Microsoft. Умный экран защитника Windows, выполнение файлов VBScript для выполнения действий, расшифровка закодированного шелл-кода в файле с именем "test.txt ," что приводит к окончательной загрузке DarkGate, сетевым активностям, связанным с сайтом управления (C2), выполнению скрипта автозагрузки и шелл-кода, присутствующих в test.txt, и окончательному выполнению скомпилированного на Delphi исполняемого файла, служащего полезной нагрузкой DarkGate.
Стоит отметить, что данные телеметрии McAfee Labs о распространении DarkGate были зафиксированы в течение последних трех месяцев. Команда разработчиков вредоносного ПО постоянно обновляла и совершенствовала методы его защиты, что делает его серьезной угрозой в сфере киберпреступности. Киберпреступники, использующие DarkGate, стремятся скомпрометировать системы, отфильтровать данные и сохранить постоянный доступ к ним в злонамеренных целях.
Чтобы снизить риски, связанные с DarkGate и подобными угрозами, организациям рекомендуется усилить меры безопасности электронной почты, проверять информацию об отправителях, проявлять осторожность при обращении с содержимым электронной почты и регулярно обновлять свои системы последними исправлениями для системы безопасности. Кроме того, команды безопасности должны сохранять бдительность в отношении признаков компрометации, связанных с DarkGate, и внедрять соответствующие решения для обеспечения безопасности, чтобы эффективно обнаруживать потенциальные заражения и реагировать на них.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в обнаружении и анализе вредоносного ПО DarkGate, сложного троянца удаленного доступа (RAT), разработанного с использованием Borland Delphi. Компания DarkGate, рекламируемая на российском форуме по киберпреступности как вредоносное ПО как услуга (MaaS), использует тактику уклонения, чтобы избежать обнаружения, распространяясь по нескольким начальным направлениям и используя различные вредоносные возможности. Постоянные обновления вредоносного ПО и усовершенствования методов защиты от него представляют серьезную угрозу, требуя от организаций усиления мер безопасности и сохранения бдительности для эффективного обнаружения потенциальных заражений и реагирования на них.
-----
Недавно McAfee Labs обнаружила сложную цепочку заражения, связанную с вредоносным ПО DarkGate, которое представляет собой троян удаленного доступа (RAT), разработанный с использованием Borland Delphi. DarkGate рекламируется как вредоносное ПО как услуга (MaaS) на российском форуме по киберпреступности с 2018 года. Это вредоносное программное обеспечение оснащено целым рядом возможностей, таких как внедрение процессов, загрузка и выполнение файлов, кража данных, выполнение команд оболочки, кейлоггинг и многое другое.
Одним из примечательных аспектов DarkGate является использование тактики уклонения от обнаружения, в том числе в обход Microsoft Defender SmartScreen. Это побудило Microsoft выпустить исправление для устранения уязвимости, используемой DarkGate. Вредоносная программа использует несколько методов уклонения, чтобы подорвать механизмы обнаружения.
DarkGate распространяется по двум различным начальным векторам - один из которых исходит из HTML-файла, а другой - из XLS-файла. Цепочка заражения включает в себя ряд этапов, включая фишинговую HTML-страницу, замаскированную под документ Word, чтобы побудить пользователей взаимодействовать с вредоносным контентом, манипулирование URL-адресами с помощью прикладного протокола "search-ms" для доступа к вредоносному ресурсу WebDAV, использование уязвимости (CVE-2023-36025), связанной с Microsoft. Умный экран защитника Windows, выполнение файлов VBScript для выполнения действий, расшифровка закодированного шелл-кода в файле с именем "test.txt ," что приводит к окончательной загрузке DarkGate, сетевым активностям, связанным с сайтом управления (C2), выполнению скрипта автозагрузки и шелл-кода, присутствующих в test.txt, и окончательному выполнению скомпилированного на Delphi исполняемого файла, служащего полезной нагрузкой DarkGate.
Стоит отметить, что данные телеметрии McAfee Labs о распространении DarkGate были зафиксированы в течение последних трех месяцев. Команда разработчиков вредоносного ПО постоянно обновляла и совершенствовала методы его защиты, что делает его серьезной угрозой в сфере киберпреступности. Киберпреступники, использующие DarkGate, стремятся скомпрометировать системы, отфильтровать данные и сохранить постоянный доступ к ним в злонамеренных целях.
Чтобы снизить риски, связанные с DarkGate и подобными угрозами, организациям рекомендуется усилить меры безопасности электронной почты, проверять информацию об отправителях, проявлять осторожность при обращении с содержимым электронной почты и регулярно обновлять свои системы последними исправлениями для системы безопасности. Кроме того, команды безопасности должны сохранять бдительность в отношении признаков компрометации, связанных с DarkGate, и внедрять соответствующие решения для обеспечения безопасности, чтобы эффективно обнаруживать потенциальные заражения и реагировать на них.
#ParsedReport #CompletenessLow
01-05-2024
Be wary of new zombies Goldoon: a zombie family with the widest instruction set coverage and zero detection rate
https://paper.seebug.org/3159
Report completeness: Low
Threats:
Goldoon
Mirai
Bashlite
Victims:
Pc devices, Iot devices
Industry:
Iot
Geo:
Netherlands, Germany, Iran, Austria
CVEs:
CVE-2017-17215 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- huawei hg532 firmware (-)
ChatGPT TTPs:
T1027, T1566, T1090, T1496, T1059, T1571, T1082, T1569.002
IOCs:
IP: 2
File: 1
Hash: 13
Soft:
curl, wolfSSL
Functions:
SetInjectMethod
Languages:
powershell
Platforms:
x86, x64, arm, mips, m68k
01-05-2024
Be wary of new zombies Goldoon: a zombie family with the widest instruction set coverage and zero detection rate
https://paper.seebug.org/3159
Report completeness: Low
Threats:
Goldoon
Mirai
Bashlite
Victims:
Pc devices, Iot devices
Industry:
Iot
Geo:
Netherlands, Germany, Iran, Austria
CVEs:
CVE-2017-17215 [Vulners]
CVSS V3.1: 8.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- huawei hg532 firmware (-)
ChatGPT TTPs:
do not use without manual checkT1027, T1566, T1090, T1496, T1059, T1571, T1082, T1569.002
IOCs:
IP: 2
File: 1
Hash: 13
Soft:
curl, wolfSSL
Functions:
SetInjectMethod
Languages:
powershell
Platforms:
x86, x64, arm, mips, m68k
Vulners Database
CVE-2017-17215 - vulnerability database | Vulners.com
Huawei HG532/HG532d routers are consumer/home-office broadband devices that expose a UPnP service and management interfaces on the WAN/LAN edge. CVE-2017-17215 describes a remote code execution vulnerability where an authenticated attacker can send ...
CTT Report Hub
#ParsedReport #CompletenessLow 01-05-2024 Be wary of new zombies Goldoon: a zombie family with the widest instruction set coverage and zero detection rate https://paper.seebug.org/3159 Report completeness: Low Threats: Goldoon Mirai Bashlite Victims:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в открытии нового сложного IoT-ботнета под названием "Goldoon", который отличается высокой инновационностью, универсальностью и сложностью обнаружения. Уникальные функции Goldoon, модульная конструкция, поэтапное управление и совместимость с различными архитектурами делают его мощной угрозой в среде Интернета вещей. Возможности ботнета, включая инициализацию библиотеки шифрования и методы обхода, указывают на постоянное развитие и усовершенствование, подчеркивая необходимость повышения бдительности и мониторинга в отношении этой продвинутой угрозы.
-----
Компания Venustech ADLab обнаружила новый ботнет интернета вещей под названием "Goldoon", который отличается высокой сложностью и представляет серьезную угрозу для устройств Интернета вещей благодаря своему инновационному дизайну и возможностям.
Goldoon уникален тем, что это новый ботнет, разработанный с нуля, поддерживающий до 18 различных наборов команд, включая редкие архитектуры, такие как alpha и hppa, что делает его универсальным и трудноопределимым.
Модульная и поэтапная разработка Goldoon направлена на то, чтобы обойти программное обеспечение для обеспечения безопасности, позволяя ему работать с широким спектром устройств, работающих под управлением различных операционных систем и нишевых архитектур.
Было идентифицировано более 80 образцов, связанных с Goldoon, предназначенных как для традиционных ПК-устройств, так и для устройств Интернета вещей, а мероприятия по тестированию указывают на потенциал для быстрого создания и дальнейшего расширения.
Ботнет использует различные методы уклонения, включая изменение параметров выполнения команд, инкапсуляцию функций и кодовые факторы, чтобы избежать обнаружения.
Процесс атаки Goldoon включает в себя методы разделения модулей для платформ Linux и Windows, включая сканирование уязвимостей, выполнение скриптов, загрузчик, дроппер и окончательное выполнение программы-зомби.
Хотя библиотека шифрования Goldoon, wolfSSL, была инициализирована в ее кодовой базе, шифрование коммуникационного трафика еще не реализовано.
Постоянный мониторинг и анализ деятельности Goldoon имеют решающее значение для понимания всех его возможностей и снижения рисков, связанных с этой продвинутой IoT-ботнетом.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в открытии нового сложного IoT-ботнета под названием "Goldoon", который отличается высокой инновационностью, универсальностью и сложностью обнаружения. Уникальные функции Goldoon, модульная конструкция, поэтапное управление и совместимость с различными архитектурами делают его мощной угрозой в среде Интернета вещей. Возможности ботнета, включая инициализацию библиотеки шифрования и методы обхода, указывают на постоянное развитие и усовершенствование, подчеркивая необходимость повышения бдительности и мониторинга в отношении этой продвинутой угрозы.
-----
Компания Venustech ADLab обнаружила новый ботнет интернета вещей под названием "Goldoon", который отличается высокой сложностью и представляет серьезную угрозу для устройств Интернета вещей благодаря своему инновационному дизайну и возможностям.
Goldoon уникален тем, что это новый ботнет, разработанный с нуля, поддерживающий до 18 различных наборов команд, включая редкие архитектуры, такие как alpha и hppa, что делает его универсальным и трудноопределимым.
Модульная и поэтапная разработка Goldoon направлена на то, чтобы обойти программное обеспечение для обеспечения безопасности, позволяя ему работать с широким спектром устройств, работающих под управлением различных операционных систем и нишевых архитектур.
Было идентифицировано более 80 образцов, связанных с Goldoon, предназначенных как для традиционных ПК-устройств, так и для устройств Интернета вещей, а мероприятия по тестированию указывают на потенциал для быстрого создания и дальнейшего расширения.
Ботнет использует различные методы уклонения, включая изменение параметров выполнения команд, инкапсуляцию функций и кодовые факторы, чтобы избежать обнаружения.
Процесс атаки Goldoon включает в себя методы разделения модулей для платформ Linux и Windows, включая сканирование уязвимостей, выполнение скриптов, загрузчик, дроппер и окончательное выполнение программы-зомби.
Хотя библиотека шифрования Goldoon, wolfSSL, была инициализирована в ее кодовой базе, шифрование коммуникационного трафика еще не реализовано.
Постоянный мониторинг и анализ деятельности Goldoon имеют решающее значение для понимания всех его возможностей и снижения рисков, связанных с этой продвинутой IoT-ботнетом.
#ParsedReport #CompletenessMedium
29-04-2024
Analysis of Serwent loader: Old ways die hard. Code analysis
https://securite360.net/analysis-of-serwent-loadercaption-checking-if-common-security-tools-are-running-on-the-host-analysis-of-serwent-loader
Report completeness: Medium
Threats:
Sarwent
Victims:
Amnesty international
TTPs:
Tactics: 1
Technics: 1
ChatGPT TTPs:
T1053, T1055, T1063, T1497, T1012, T1082, T1001, T1105, T1569
IOCs:
Domain: 1
Hash: 1
File: 1
IP: 1
Url: 1
Command: 1
Soft:
Windows registry, VirtualBox
Algorithms:
sha1
Win API:
CreateMutexA, CreateToolhelp32Snapshot, CheckRemoteDebuggerPresent, VirtualAllocExNuma, GetSystemWow64DirectoryA
Win Services:
bits
Languages:
delphi, powershell
Links:
29-04-2024
Analysis of Serwent loader: Old ways die hard. Code analysis
https://securite360.net/analysis-of-serwent-loadercaption-checking-if-common-security-tools-are-running-on-the-host-analysis-of-serwent-loader
Report completeness: Medium
Threats:
Sarwent
Victims:
Amnesty international
TTPs:
Tactics: 1
Technics: 1
ChatGPT TTPs:
do not use without manual checkT1053, T1055, T1063, T1497, T1012, T1082, T1001, T1105, T1569
IOCs:
Domain: 1
Hash: 1
File: 1
IP: 1
Url: 1
Command: 1
Soft:
Windows registry, VirtualBox
Algorithms:
sha1
Win API:
CreateMutexA, CreateToolhelp32Snapshot, CheckRemoteDebuggerPresent, VirtualAllocExNuma, GetSystemWow64DirectoryA
Win Services:
bits
Languages:
delphi, powershell
Links:
https://github.com/silence-is-best/c2dbhttps://github.com/sandboxie-plus/Sandboxie
CTT Report Hub
#ParsedReport #CompletenessMedium 29-04-2024 Analysis of Serwent loader: Old ways die hard. Code analysis https://securite360.net/analysis-of-serwent-loadercaption-checking-if-common-security-tools-are-running-on-the-host-analysis-of-serwent-loader Report…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста посвящена загрузчику вредоносных программ, известному как Sarwent, с подробным описанием его характеристик, тактики и поведения, включая создание мьютекса для предотвращения повторного заражения, методы сохранения, меры по борьбе с анализом, взаимодействие с сервером управления, а также его эволюцию с Delphi на C/C++ в качестве программного обеспечения. загрузчик.
-----
Sarwent - это загрузчик вредоносных программ, который создает мьютекс (NnhqndT7TRPSJtt) с помощью функции CreateMutexA, чтобы предотвратить многократное заражение одного и того же хоста. Он известен как минимум с 2018 года и использовался в кампании, связанной с Amnesty International, в 2021 году. Аналитик наткнулся на ссылку на Sarwent в Twitter и решил изучить ее, хотя они признают, что плохо разбираются в обратном проектировании.
Анализируемый образец Sarwent представляет собой 32-разрядный исполняемый файл с хэшем SHA1 bc647a5b99428ca2e01c1172174f7e4da2de0f5d, предположительно скомпилированный 16 апреля 2024 года. Примечательно, что она больше не разрабатывается на Delphi. У вредоносной программы отсутствует упаковка, которая может относительно упростить анализ.
Для обеспечения постоянства Sarwent создает раздел реестра в HKEY_CURRENT_USER, позволяющий пользователям, не имеющим прав администратора, изменять подразделы. Он также выполняет поиск ключей, относящихся к Vmware или VirtualBox, и использует различные методы антианализа. К ним относятся проверка на наличие средств анализа безопасности, отладка, наличие изолированной среды и использование функции Windows API VirtualAllocExNuma для обнаружения эмуляции. Этот пример не содержит антивирусных строк, что является отличием от предыдущих известных примеров.
Sarwent распознает зараженный компьютер, собирая информацию о версии Windows, определяя 32- или 64-разрядную архитектуру и проверяя наличие прав администратора. Он использует GetSystemWow64DirectoryA для различения версий Windows и пытается создать раздел реестра в Software\\Microsoft для определения прав администратора.
Вредоносная программа взаимодействует с сервером управления (C2) по IPv4-адресу 81.19.141.173 по протоколу HTTP с помощью таких команд, как загрузка, обновление и удаление. Получив команду на удаление, Sarwent удаляет свой исходный файл и сообщает об этом C2. Он может загружать, выполнять файлы и отправлять отчеты C2, пока его панель C2 работает через порт 80. Недавний анализ показывает, что Sarwent был перепрограммирован на C/C++, поддерживает меры по предотвращению анализа и функционирует скорее как загрузчик, чем как загрузчица файлов.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста посвящена загрузчику вредоносных программ, известному как Sarwent, с подробным описанием его характеристик, тактики и поведения, включая создание мьютекса для предотвращения повторного заражения, методы сохранения, меры по борьбе с анализом, взаимодействие с сервером управления, а также его эволюцию с Delphi на C/C++ в качестве программного обеспечения. загрузчик.
-----
Sarwent - это загрузчик вредоносных программ, который создает мьютекс (NnhqndT7TRPSJtt) с помощью функции CreateMutexA, чтобы предотвратить многократное заражение одного и того же хоста. Он известен как минимум с 2018 года и использовался в кампании, связанной с Amnesty International, в 2021 году. Аналитик наткнулся на ссылку на Sarwent в Twitter и решил изучить ее, хотя они признают, что плохо разбираются в обратном проектировании.
Анализируемый образец Sarwent представляет собой 32-разрядный исполняемый файл с хэшем SHA1 bc647a5b99428ca2e01c1172174f7e4da2de0f5d, предположительно скомпилированный 16 апреля 2024 года. Примечательно, что она больше не разрабатывается на Delphi. У вредоносной программы отсутствует упаковка, которая может относительно упростить анализ.
Для обеспечения постоянства Sarwent создает раздел реестра в HKEY_CURRENT_USER, позволяющий пользователям, не имеющим прав администратора, изменять подразделы. Он также выполняет поиск ключей, относящихся к Vmware или VirtualBox, и использует различные методы антианализа. К ним относятся проверка на наличие средств анализа безопасности, отладка, наличие изолированной среды и использование функции Windows API VirtualAllocExNuma для обнаружения эмуляции. Этот пример не содержит антивирусных строк, что является отличием от предыдущих известных примеров.
Sarwent распознает зараженный компьютер, собирая информацию о версии Windows, определяя 32- или 64-разрядную архитектуру и проверяя наличие прав администратора. Он использует GetSystemWow64DirectoryA для различения версий Windows и пытается создать раздел реестра в Software\\Microsoft для определения прав администратора.
Вредоносная программа взаимодействует с сервером управления (C2) по IPv4-адресу 81.19.141.173 по протоколу HTTP с помощью таких команд, как загрузка, обновление и удаление. Получив команду на удаление, Sarwent удаляет свой исходный файл и сообщает об этом C2. Он может загружать, выполнять файлы и отправлять отчеты C2, пока его панель C2 работает через порт 80. Недавний анализ показывает, что Sarwent был перепрограммирован на C/C++, поддерживает меры по предотвращению анализа и функционирует скорее как загрузчик, чем как загрузчица файлов.
#ParsedReport #CompletenessHigh
29-04-2024
From IcedID to Dagon Locker Ransomware in 29 Days
https://thedfirreport.com/2024/04/29/from-icedid-to-dagon-locker-ransomware-in-29-days
Report completeness: High
Threats:
Dagon_locker
Icedid
Adfind_tool
Cobalt_strike
Awscollector_tool
Netscan_tool
Nbtscan_tool
Anydesk_tool
Seatbelt_tool
Sharefinder_tool
Nltest_tool
Shadow_copies_delete_technique
Process_injection_technique
Lokibot_stealer
Portproxy_tool
Mimikatz_tool
Conti
Netstat_tool
Bloodhound_tool
Winrm_tool
Meterpreter_tool
Revil
Quantum_locker
Cylance
Remoteexec_tool
Wmiexec_tool
Egregor
Mount_locker
TTPs:
Tactics: 12
Technics: 36
IOCs:
Domain: 10
Path: 14
Url: 2
Command: 4
File: 29
IP: 17
Hash: 13
Email: 1
Soft:
curl, Local Security Authority, active directory, Microsoft Defender, Chrome, Windows PowerShell, PsExec, Windows Security, telegram, Windows Defender, have more...
Algorithms:
7zip, base64, xor
Functions:
GetSystem, Invoke, PowerShell, FindHosts
Win API:
GetModuleHandleA, GetProcAddress, VirtualAlloc, InternetConnectA, NETBIOS, SetThreadContext, NtQueueApcThread-s, LoadLibraryA, CreateRemoteThread, RtlCreateUserThread, have more...
Win Services:
WebClient), eventlog, SntpService, ccEvtMgr, ccSetMgr, SavRoam, RTVscan, YooBackup, YooIT, VSNAPVSS, have more...
Languages:
powershell, javascript
Platforms:
x64, x86, apple
YARA: Found
SIGMA: Found
Links:
29-04-2024
From IcedID to Dagon Locker Ransomware in 29 Days
https://thedfirreport.com/2024/04/29/from-icedid-to-dagon-locker-ransomware-in-29-days
Report completeness: High
Threats:
Dagon_locker
Icedid
Adfind_tool
Cobalt_strike
Awscollector_tool
Netscan_tool
Nbtscan_tool
Anydesk_tool
Seatbelt_tool
Sharefinder_tool
Nltest_tool
Shadow_copies_delete_technique
Process_injection_technique
Lokibot_stealer
Portproxy_tool
Mimikatz_tool
Conti
Netstat_tool
Bloodhound_tool
Winrm_tool
Meterpreter_tool
Revil
Quantum_locker
Cylance
Remoteexec_tool
Wmiexec_tool
Egregor
Mount_locker
TTPs:
Tactics: 12
Technics: 36
IOCs:
Domain: 10
Path: 14
Url: 2
Command: 4
File: 29
IP: 17
Hash: 13
Email: 1
Soft:
curl, Local Security Authority, active directory, Microsoft Defender, Chrome, Windows PowerShell, PsExec, Windows Security, telegram, Windows Defender, have more...
Algorithms:
7zip, base64, xor
Functions:
GetSystem, Invoke, PowerShell, FindHosts
Win API:
GetModuleHandleA, GetProcAddress, VirtualAlloc, InternetConnectA, NETBIOS, SetThreadContext, NtQueueApcThread-s, LoadLibraryA, CreateRemoteThread, RtlCreateUserThread, have more...
Win Services:
WebClient), eventlog, SntpService, ccEvtMgr, ccSetMgr, SavRoam, RTVscan, YooBackup, YooIT, VSNAPVSS, have more...
Languages:
powershell, javascript
Platforms:
x64, x86, apple
YARA: Found
SIGMA: Found
Links:
https://github.com/DidierStevens/DidierStevensSuite/blob/master/1768.pyhttps://github.com/mkellerman/Invoke-CommandAshttps://github.com/Sentinel-One/CobaltStrikeParserhttps://github.com/EmpireProject/Empire/blob/master/data/module\_source/lateral\_movement/Invoke-DCOM.ps1https://github.com/GhostPack/Seatbelthttps://github.com/OneScripter/WmiExec/blob/main/WmiExec.ps1https://github.com/darkoperator/Veil-PowerView/blob/master/PowerView/functions/Invoke-ShareFinder.ps1https://github.com/search?q=repo%3ANeo23x0%2Fsignature-base%20cobalt%20strike&type=codehttps://github.com/Kevin-Robertson/Invoke-TheHash/blob/master/Invoke-SMBExec.ps1https://github.com/The-DFIR-Report/Sigma-Ruleshttps://github.com/BloodHoundAD/SharpHoundhttps://github.com/0xThiebaut/PCAPeek/https://github.com/SigmaHQ/sigmahttps://github.com/ufrisk/MemProcFShttps://github.com/EmpireProject/Empire/blob/master/data/module\_source/lateral\_movement/Invoke-PsExec.ps1https://github.com/elastic/protections-artifacts/blob/72fd8cad90189e9d145d22eb3d4fee2fe3d5902f/yara/rules/Windows\_Trojan\_CobaltStrike.yar#L1011The DFIR Report
From IcedID to Dagon Locker Ransomware in 29 Days - The DFIR Report
Key Takeaways In August 2023, we observed an intrusion that started with a phishing campaign using PrometheusTDS to distribute IcedID. IcedID dropped and executed a Cobalt Strike beacon, which was then used through-out the intrusion. The threat actor leveraged…
CTT Report Hub
#ParsedReport #CompletenessHigh 29-04-2024 From IcedID to Dagon Locker Ransomware in 29 Days https://thedfirreport.com/2024/04/29/from-icedid-to-dagon-locker-ransomware-in-29-days Report completeness: High Threats: Dagon_locker Icedid Adfind_tool Cobalt_strike…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Краткое содержание: В тексте описывается кибератака, произошедшая в конце августа 2023 года, инициированная с помощью фишинговой кампании с использованием PrometheusTDS для распространения вредоносного ПО IcedID. Атака включала в себя использование маяка Cobalt Strike beacon для таких вредоносных действий, как утечка данных, перемещение по сети и внедрение программ-вымогателей. Злоумышленник использовал различные инструменты, включая AWScollector, Rclone, Netscan и AnyDesk. Применяемые тактические приемы включали внедрение процессов, манипулирование токенами доступа и шифрование данных. Злоумышленник использовал функциональные возможности Cobalt Strike, сценарии PowerShell для разведки и реализовал различные варианты программ-вымогателей, такие как Dagon Locker. В результате вторжения срок действия программы-вымогателя составил 29 дней, при этом злоумышленник маскировал командный и контрольный трафик и пытался перемещаться в сторону, используя различные методы.
-----
В тексте подробно описывается кибератака, произошедшая в конце августа 2023 года, инициированная фишинговой кампанией с использованием PrometheusTDS для распространения вредоносного ПО IcedID. Атака привела к развертыванию маяка Cobalt Strike, который использовался для различных вредоносных действий, таких как обнаружение, боковое перемещение, утечка данных и внедрение программ-вымогателей. Злоумышленник использовал специально разработанный инструмент PowerShell под названием AWScollector, а также другие инструменты, такие как Rclone, Netscan, Nbtscan, AnyDesk, Seatbelt, Sharefinder и AdFind, для поддержки своей работы.
Вторжение началось с того, что жертвы загрузили вредоносный файл JavaScript с поддельного портала Azure, что привело к запуску вредоносной программы IcedID. Вредоносная программа установила постоянство с помощью запланированного задания, а затем развернула маяк Cobalt Strike для горизонтального перемещения по сети. Злоумышленник выполнял целый ряд действий, включая повышение привилегий, утечку данных и изучение общих сетевых ресурсов с использованием различных инструментов и методов. Кульминацией атаки стало развертывание программы-вымогателя Dagon Locker на нескольких системах, в результате чего время действия программы-вымогателя составило 29 дней.
Во время вторжения были применены различные тактики и приемы, включая внедрение процессов, манипулирование токенами доступа, шифрование данных, отключение мер безопасности, эксфильтрацию в облачное хранилище, создание запланированных задач и многое другое. Злоумышленник использовал функциональные возможности Cobalt Strike, такие как logonpassword, для извлечения учетных данных, WinRM для горизонтального перемещения и AnyDesk для удаленного доступа и взаимодействия с инструментами графического интерфейса.
Злоумышленник использовал скрипт awscollector.ps1 PowerShell, содержащий множество функций, таких как запуск SharpHound для разведки Active Directory, отключение продуктов безопасности, утечка данных и развертывание программ-вымогателей, таких как Revil, Xing, Quantum и Dagon Locker. Скрипт также облегчал обмен данными и выполнение команд между хостами, предоставляя возможность отправлять обновления через Telegram.
Во время вторжения злоумышленник получал доступ к файлам, связанным с ИТ, загружал журналы событий безопасности Windows с контроллера домена и проводил различные разведывательные действия с использованием таких инструментов, как Netscan, Sharefinder, AdFind и других. Злоумышленник замаскировал трафик управления Cobalt Strike, внедрил вредоносную полезную нагрузку в легитимные процессы и попытался обойти их, используя различные методы.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Краткое содержание: В тексте описывается кибератака, произошедшая в конце августа 2023 года, инициированная с помощью фишинговой кампании с использованием PrometheusTDS для распространения вредоносного ПО IcedID. Атака включала в себя использование маяка Cobalt Strike beacon для таких вредоносных действий, как утечка данных, перемещение по сети и внедрение программ-вымогателей. Злоумышленник использовал различные инструменты, включая AWScollector, Rclone, Netscan и AnyDesk. Применяемые тактические приемы включали внедрение процессов, манипулирование токенами доступа и шифрование данных. Злоумышленник использовал функциональные возможности Cobalt Strike, сценарии PowerShell для разведки и реализовал различные варианты программ-вымогателей, такие как Dagon Locker. В результате вторжения срок действия программы-вымогателя составил 29 дней, при этом злоумышленник маскировал командный и контрольный трафик и пытался перемещаться в сторону, используя различные методы.
-----
В тексте подробно описывается кибератака, произошедшая в конце августа 2023 года, инициированная фишинговой кампанией с использованием PrometheusTDS для распространения вредоносного ПО IcedID. Атака привела к развертыванию маяка Cobalt Strike, который использовался для различных вредоносных действий, таких как обнаружение, боковое перемещение, утечка данных и внедрение программ-вымогателей. Злоумышленник использовал специально разработанный инструмент PowerShell под названием AWScollector, а также другие инструменты, такие как Rclone, Netscan, Nbtscan, AnyDesk, Seatbelt, Sharefinder и AdFind, для поддержки своей работы.
Вторжение началось с того, что жертвы загрузили вредоносный файл JavaScript с поддельного портала Azure, что привело к запуску вредоносной программы IcedID. Вредоносная программа установила постоянство с помощью запланированного задания, а затем развернула маяк Cobalt Strike для горизонтального перемещения по сети. Злоумышленник выполнял целый ряд действий, включая повышение привилегий, утечку данных и изучение общих сетевых ресурсов с использованием различных инструментов и методов. Кульминацией атаки стало развертывание программы-вымогателя Dagon Locker на нескольких системах, в результате чего время действия программы-вымогателя составило 29 дней.
Во время вторжения были применены различные тактики и приемы, включая внедрение процессов, манипулирование токенами доступа, шифрование данных, отключение мер безопасности, эксфильтрацию в облачное хранилище, создание запланированных задач и многое другое. Злоумышленник использовал функциональные возможности Cobalt Strike, такие как logonpassword, для извлечения учетных данных, WinRM для горизонтального перемещения и AnyDesk для удаленного доступа и взаимодействия с инструментами графического интерфейса.
Злоумышленник использовал скрипт awscollector.ps1 PowerShell, содержащий множество функций, таких как запуск SharpHound для разведки Active Directory, отключение продуктов безопасности, утечка данных и развертывание программ-вымогателей, таких как Revil, Xing, Quantum и Dagon Locker. Скрипт также облегчал обмен данными и выполнение команд между хостами, предоставляя возможность отправлять обновления через Telegram.
Во время вторжения злоумышленник получал доступ к файлам, связанным с ИТ, загружал журналы событий безопасности Windows с контроллера домена и проводил различные разведывательные действия с использованием таких инструментов, как Netscan, Sharefinder, AdFind и других. Злоумышленник замаскировал трафик управления Cobalt Strike, внедрил вредоносную полезную нагрузку в легитимные процессы и попытался обойти их, используя различные методы.
#ParsedReport #CompletenessLow
01-05-2024
Latin America Under Threat: The Venom RAT Campaign s Cyber Invasion Initiative
https://socradar.io/latin-america-under-threat-the-venom-rat-campaigns-cyber-invasion-initiative
Report completeness: Low
Actors/Campaigns:
Ta558
Threats:
Venomrat
Geo:
Mexico, Portugal, Spain, Colombia, America, Latam, Brazil, Dominican, Argentina
ChatGPT TTPs:
T1569, T1548, T1078
Languages:
swift
01-05-2024
Latin America Under Threat: The Venom RAT Campaign s Cyber Invasion Initiative
https://socradar.io/latin-america-under-threat-the-venom-rat-campaigns-cyber-invasion-initiative
Report completeness: Low
Actors/Campaigns:
Ta558
Threats:
Venomrat
Geo:
Mexico, Portugal, Spain, Colombia, America, Latam, Brazil, Dominican, Argentina
ChatGPT TTPs:
do not use without manual checkT1569, T1548, T1078
Languages:
swift
SOCRadar® Cyber Intelligence Inc.
Latin America Under Threat: The Venom RAT Campaign's Cyber Invasion Initiative - SOCRadar® Cyber Intelligence Inc.
In Latin America, there is a significant cyber threat posed by the Venom RAT campaign, necessitating swift and decisive action.
CTT Report Hub
#ParsedReport #CompletenessLow 01-05-2024 Latin America Under Threat: The Venom RAT Campaign s Cyber Invasion Initiative https://socradar.io/latin-america-under-threat-the-venom-rat-campaigns-cyber-invasion-initiative Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что кампания Venom RAT, организованная злоумышленником TA558, представляет собой серьезную киберугрозу в Латинской Америке и других странах, нацеленную на различные сектора и подчеркивающую необходимость немедленных действий и превентивных мер для эффективной борьбы с вредоносным ПО.
-----
Кампания VenomRat, организованная печально известным злоумышленником TA558, представляет собой серьезную киберугрозу в Латинской Америке, требующую немедленных действий. Эта сложная кампания затронула различные сектора в таких странах, как Испания, Мексика и Соединенные Штаты, от жилищного строительства до государственного управления. VenomRAT - это троян удаленного доступа (RAT), специально разработанный для проникновения в системы незаконной финансовой деятельности, предоставления злоумышленникам удаленного контроля над скомпрометированными компьютерами и создания угрозы для конфиденциальных данных. Вредоносная программа использует методы повышения привилегий для получения разрешений более высокого уровня и продолжает свое существование, используя уязвимости системы и неправильные настройки.
Сфера действия VenomRAT распространяется за пределы Латинской Америки и затрагивает такие страны, как Испания, Мексика, Соединенные Штаты, Колумбия, Португалия, Бразилия, Доминиканская Республика и Аргентина. Для эффективной борьбы с VenomRAT и подобными вредоносными программами крайне важно предотвратить первоначальное заражение. Ключевые стратегии включают своевременное обновление системы безопасности, внедрение многофакторной аутентификации (MFA), использование передового антивирусного программного обеспечения с актуальными определениями угроз и надежных протоколов защиты электронной почты для блокирования попыток фишинга.
Скрытый доступ, предоставляемый Venom RAT злоумышленникам, позволяет осуществлять различные вредоносные действия, что подчеркивает важность для организаций сохранения бдительности и активного обновления средств защиты от этой развивающейся угрозы. Чтобы получить доступ к более подробной информации о кампании VenomRAT и других мероприятиях, пользователи могут посетить страницу кампаний на платформе SOCRadar.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что кампания Venom RAT, организованная злоумышленником TA558, представляет собой серьезную киберугрозу в Латинской Америке и других странах, нацеленную на различные сектора и подчеркивающую необходимость немедленных действий и превентивных мер для эффективной борьбы с вредоносным ПО.
-----
Кампания VenomRat, организованная печально известным злоумышленником TA558, представляет собой серьезную киберугрозу в Латинской Америке, требующую немедленных действий. Эта сложная кампания затронула различные сектора в таких странах, как Испания, Мексика и Соединенные Штаты, от жилищного строительства до государственного управления. VenomRAT - это троян удаленного доступа (RAT), специально разработанный для проникновения в системы незаконной финансовой деятельности, предоставления злоумышленникам удаленного контроля над скомпрометированными компьютерами и создания угрозы для конфиденциальных данных. Вредоносная программа использует методы повышения привилегий для получения разрешений более высокого уровня и продолжает свое существование, используя уязвимости системы и неправильные настройки.
Сфера действия VenomRAT распространяется за пределы Латинской Америки и затрагивает такие страны, как Испания, Мексика, Соединенные Штаты, Колумбия, Португалия, Бразилия, Доминиканская Республика и Аргентина. Для эффективной борьбы с VenomRAT и подобными вредоносными программами крайне важно предотвратить первоначальное заражение. Ключевые стратегии включают своевременное обновление системы безопасности, внедрение многофакторной аутентификации (MFA), использование передового антивирусного программного обеспечения с актуальными определениями угроз и надежных протоколов защиты электронной почты для блокирования попыток фишинга.
Скрытый доступ, предоставляемый Venom RAT злоумышленникам, позволяет осуществлять различные вредоносные действия, что подчеркивает важность для организаций сохранения бдительности и активного обновления средств защиты от этой развивающейся угрозы. Чтобы получить доступ к более подробной информации о кампании VenomRAT и других мероприятиях, пользователи могут посетить страницу кампаний на платформе SOCRadar.