#ParsedReport #CompletenessHigh
29-04-2024
From IcedID to Dagon Locker Ransomware in 29 Days
https://thedfirreport.com/2024/04/29/from-icedid-to-dagon-locker-ransomware-in-29-days
Report completeness: High
Threats:
Dagon_locker
Icedid
Adfind_tool
Cobalt_strike
Awscollector_tool
Netscan_tool
Nbtscan_tool
Anydesk_tool
Seatbelt_tool
Sharefinder_tool
Nltest_tool
Shadow_copies_delete_technique
Process_injection_technique
Lokibot_stealer
Portproxy_tool
Mimikatz_tool
Conti
Netstat_tool
Bloodhound_tool
Winrm_tool
Meterpreter_tool
Revil
Quantum_locker
Cylance
Remoteexec_tool
Wmiexec_tool
Egregor
Mount_locker
TTPs:
Tactics: 12
Technics: 36
IOCs:
Domain: 10
Path: 14
Url: 2
Command: 4
File: 29
IP: 17
Hash: 13
Email: 1
Soft:
curl, Local Security Authority, active directory, Microsoft Defender, Chrome, Windows PowerShell, PsExec, Windows Security, telegram, Windows Defender, have more...
Algorithms:
7zip, base64, xor
Functions:
GetSystem, Invoke, PowerShell, FindHosts
Win API:
GetModuleHandleA, GetProcAddress, VirtualAlloc, InternetConnectA, NETBIOS, SetThreadContext, NtQueueApcThread-s, LoadLibraryA, CreateRemoteThread, RtlCreateUserThread, have more...
Win Services:
WebClient), eventlog, SntpService, ccEvtMgr, ccSetMgr, SavRoam, RTVscan, YooBackup, YooIT, VSNAPVSS, have more...
Languages:
powershell, javascript
Platforms:
x64, x86, apple
YARA: Found
SIGMA: Found
Links:
29-04-2024
From IcedID to Dagon Locker Ransomware in 29 Days
https://thedfirreport.com/2024/04/29/from-icedid-to-dagon-locker-ransomware-in-29-days
Report completeness: High
Threats:
Dagon_locker
Icedid
Adfind_tool
Cobalt_strike
Awscollector_tool
Netscan_tool
Nbtscan_tool
Anydesk_tool
Seatbelt_tool
Sharefinder_tool
Nltest_tool
Shadow_copies_delete_technique
Process_injection_technique
Lokibot_stealer
Portproxy_tool
Mimikatz_tool
Conti
Netstat_tool
Bloodhound_tool
Winrm_tool
Meterpreter_tool
Revil
Quantum_locker
Cylance
Remoteexec_tool
Wmiexec_tool
Egregor
Mount_locker
TTPs:
Tactics: 12
Technics: 36
IOCs:
Domain: 10
Path: 14
Url: 2
Command: 4
File: 29
IP: 17
Hash: 13
Email: 1
Soft:
curl, Local Security Authority, active directory, Microsoft Defender, Chrome, Windows PowerShell, PsExec, Windows Security, telegram, Windows Defender, have more...
Algorithms:
7zip, base64, xor
Functions:
GetSystem, Invoke, PowerShell, FindHosts
Win API:
GetModuleHandleA, GetProcAddress, VirtualAlloc, InternetConnectA, NETBIOS, SetThreadContext, NtQueueApcThread-s, LoadLibraryA, CreateRemoteThread, RtlCreateUserThread, have more...
Win Services:
WebClient), eventlog, SntpService, ccEvtMgr, ccSetMgr, SavRoam, RTVscan, YooBackup, YooIT, VSNAPVSS, have more...
Languages:
powershell, javascript
Platforms:
x64, x86, apple
YARA: Found
SIGMA: Found
Links:
https://github.com/DidierStevens/DidierStevensSuite/blob/master/1768.pyhttps://github.com/mkellerman/Invoke-CommandAshttps://github.com/Sentinel-One/CobaltStrikeParserhttps://github.com/EmpireProject/Empire/blob/master/data/module\_source/lateral\_movement/Invoke-DCOM.ps1https://github.com/GhostPack/Seatbelthttps://github.com/OneScripter/WmiExec/blob/main/WmiExec.ps1https://github.com/darkoperator/Veil-PowerView/blob/master/PowerView/functions/Invoke-ShareFinder.ps1https://github.com/search?q=repo%3ANeo23x0%2Fsignature-base%20cobalt%20strike&type=codehttps://github.com/Kevin-Robertson/Invoke-TheHash/blob/master/Invoke-SMBExec.ps1https://github.com/The-DFIR-Report/Sigma-Ruleshttps://github.com/BloodHoundAD/SharpHoundhttps://github.com/0xThiebaut/PCAPeek/https://github.com/SigmaHQ/sigmahttps://github.com/ufrisk/MemProcFShttps://github.com/EmpireProject/Empire/blob/master/data/module\_source/lateral\_movement/Invoke-PsExec.ps1https://github.com/elastic/protections-artifacts/blob/72fd8cad90189e9d145d22eb3d4fee2fe3d5902f/yara/rules/Windows\_Trojan\_CobaltStrike.yar#L1011The DFIR Report
From IcedID to Dagon Locker Ransomware in 29 Days - The DFIR Report
Key Takeaways In August 2023, we observed an intrusion that started with a phishing campaign using PrometheusTDS to distribute IcedID. IcedID dropped and executed a Cobalt Strike beacon, which was then used through-out the intrusion. The threat actor leveraged…
CTT Report Hub
#ParsedReport #CompletenessHigh 29-04-2024 From IcedID to Dagon Locker Ransomware in 29 Days https://thedfirreport.com/2024/04/29/from-icedid-to-dagon-locker-ransomware-in-29-days Report completeness: High Threats: Dagon_locker Icedid Adfind_tool Cobalt_strike…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Краткое содержание: В тексте описывается кибератака, произошедшая в конце августа 2023 года, инициированная с помощью фишинговой кампании с использованием PrometheusTDS для распространения вредоносного ПО IcedID. Атака включала в себя использование маяка Cobalt Strike beacon для таких вредоносных действий, как утечка данных, перемещение по сети и внедрение программ-вымогателей. Злоумышленник использовал различные инструменты, включая AWScollector, Rclone, Netscan и AnyDesk. Применяемые тактические приемы включали внедрение процессов, манипулирование токенами доступа и шифрование данных. Злоумышленник использовал функциональные возможности Cobalt Strike, сценарии PowerShell для разведки и реализовал различные варианты программ-вымогателей, такие как Dagon Locker. В результате вторжения срок действия программы-вымогателя составил 29 дней, при этом злоумышленник маскировал командный и контрольный трафик и пытался перемещаться в сторону, используя различные методы.
-----
В тексте подробно описывается кибератака, произошедшая в конце августа 2023 года, инициированная фишинговой кампанией с использованием PrometheusTDS для распространения вредоносного ПО IcedID. Атака привела к развертыванию маяка Cobalt Strike, который использовался для различных вредоносных действий, таких как обнаружение, боковое перемещение, утечка данных и внедрение программ-вымогателей. Злоумышленник использовал специально разработанный инструмент PowerShell под названием AWScollector, а также другие инструменты, такие как Rclone, Netscan, Nbtscan, AnyDesk, Seatbelt, Sharefinder и AdFind, для поддержки своей работы.
Вторжение началось с того, что жертвы загрузили вредоносный файл JavaScript с поддельного портала Azure, что привело к запуску вредоносной программы IcedID. Вредоносная программа установила постоянство с помощью запланированного задания, а затем развернула маяк Cobalt Strike для горизонтального перемещения по сети. Злоумышленник выполнял целый ряд действий, включая повышение привилегий, утечку данных и изучение общих сетевых ресурсов с использованием различных инструментов и методов. Кульминацией атаки стало развертывание программы-вымогателя Dagon Locker на нескольких системах, в результате чего время действия программы-вымогателя составило 29 дней.
Во время вторжения были применены различные тактики и приемы, включая внедрение процессов, манипулирование токенами доступа, шифрование данных, отключение мер безопасности, эксфильтрацию в облачное хранилище, создание запланированных задач и многое другое. Злоумышленник использовал функциональные возможности Cobalt Strike, такие как logonpassword, для извлечения учетных данных, WinRM для горизонтального перемещения и AnyDesk для удаленного доступа и взаимодействия с инструментами графического интерфейса.
Злоумышленник использовал скрипт awscollector.ps1 PowerShell, содержащий множество функций, таких как запуск SharpHound для разведки Active Directory, отключение продуктов безопасности, утечка данных и развертывание программ-вымогателей, таких как Revil, Xing, Quantum и Dagon Locker. Скрипт также облегчал обмен данными и выполнение команд между хостами, предоставляя возможность отправлять обновления через Telegram.
Во время вторжения злоумышленник получал доступ к файлам, связанным с ИТ, загружал журналы событий безопасности Windows с контроллера домена и проводил различные разведывательные действия с использованием таких инструментов, как Netscan, Sharefinder, AdFind и других. Злоумышленник замаскировал трафик управления Cobalt Strike, внедрил вредоносную полезную нагрузку в легитимные процессы и попытался обойти их, используя различные методы.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Краткое содержание: В тексте описывается кибератака, произошедшая в конце августа 2023 года, инициированная с помощью фишинговой кампании с использованием PrometheusTDS для распространения вредоносного ПО IcedID. Атака включала в себя использование маяка Cobalt Strike beacon для таких вредоносных действий, как утечка данных, перемещение по сети и внедрение программ-вымогателей. Злоумышленник использовал различные инструменты, включая AWScollector, Rclone, Netscan и AnyDesk. Применяемые тактические приемы включали внедрение процессов, манипулирование токенами доступа и шифрование данных. Злоумышленник использовал функциональные возможности Cobalt Strike, сценарии PowerShell для разведки и реализовал различные варианты программ-вымогателей, такие как Dagon Locker. В результате вторжения срок действия программы-вымогателя составил 29 дней, при этом злоумышленник маскировал командный и контрольный трафик и пытался перемещаться в сторону, используя различные методы.
-----
В тексте подробно описывается кибератака, произошедшая в конце августа 2023 года, инициированная фишинговой кампанией с использованием PrometheusTDS для распространения вредоносного ПО IcedID. Атака привела к развертыванию маяка Cobalt Strike, который использовался для различных вредоносных действий, таких как обнаружение, боковое перемещение, утечка данных и внедрение программ-вымогателей. Злоумышленник использовал специально разработанный инструмент PowerShell под названием AWScollector, а также другие инструменты, такие как Rclone, Netscan, Nbtscan, AnyDesk, Seatbelt, Sharefinder и AdFind, для поддержки своей работы.
Вторжение началось с того, что жертвы загрузили вредоносный файл JavaScript с поддельного портала Azure, что привело к запуску вредоносной программы IcedID. Вредоносная программа установила постоянство с помощью запланированного задания, а затем развернула маяк Cobalt Strike для горизонтального перемещения по сети. Злоумышленник выполнял целый ряд действий, включая повышение привилегий, утечку данных и изучение общих сетевых ресурсов с использованием различных инструментов и методов. Кульминацией атаки стало развертывание программы-вымогателя Dagon Locker на нескольких системах, в результате чего время действия программы-вымогателя составило 29 дней.
Во время вторжения были применены различные тактики и приемы, включая внедрение процессов, манипулирование токенами доступа, шифрование данных, отключение мер безопасности, эксфильтрацию в облачное хранилище, создание запланированных задач и многое другое. Злоумышленник использовал функциональные возможности Cobalt Strike, такие как logonpassword, для извлечения учетных данных, WinRM для горизонтального перемещения и AnyDesk для удаленного доступа и взаимодействия с инструментами графического интерфейса.
Злоумышленник использовал скрипт awscollector.ps1 PowerShell, содержащий множество функций, таких как запуск SharpHound для разведки Active Directory, отключение продуктов безопасности, утечка данных и развертывание программ-вымогателей, таких как Revil, Xing, Quantum и Dagon Locker. Скрипт также облегчал обмен данными и выполнение команд между хостами, предоставляя возможность отправлять обновления через Telegram.
Во время вторжения злоумышленник получал доступ к файлам, связанным с ИТ, загружал журналы событий безопасности Windows с контроллера домена и проводил различные разведывательные действия с использованием таких инструментов, как Netscan, Sharefinder, AdFind и других. Злоумышленник замаскировал трафик управления Cobalt Strike, внедрил вредоносную полезную нагрузку в легитимные процессы и попытался обойти их, используя различные методы.
#ParsedReport #CompletenessLow
01-05-2024
Latin America Under Threat: The Venom RAT Campaign s Cyber Invasion Initiative
https://socradar.io/latin-america-under-threat-the-venom-rat-campaigns-cyber-invasion-initiative
Report completeness: Low
Actors/Campaigns:
Ta558
Threats:
Venomrat
Geo:
Mexico, Portugal, Spain, Colombia, America, Latam, Brazil, Dominican, Argentina
ChatGPT TTPs:
T1569, T1548, T1078
Languages:
swift
01-05-2024
Latin America Under Threat: The Venom RAT Campaign s Cyber Invasion Initiative
https://socradar.io/latin-america-under-threat-the-venom-rat-campaigns-cyber-invasion-initiative
Report completeness: Low
Actors/Campaigns:
Ta558
Threats:
Venomrat
Geo:
Mexico, Portugal, Spain, Colombia, America, Latam, Brazil, Dominican, Argentina
ChatGPT TTPs:
do not use without manual checkT1569, T1548, T1078
Languages:
swift
SOCRadar® Cyber Intelligence Inc.
Latin America Under Threat: The Venom RAT Campaign's Cyber Invasion Initiative - SOCRadar® Cyber Intelligence Inc.
In Latin America, there is a significant cyber threat posed by the Venom RAT campaign, necessitating swift and decisive action.
CTT Report Hub
#ParsedReport #CompletenessLow 01-05-2024 Latin America Under Threat: The Venom RAT Campaign s Cyber Invasion Initiative https://socradar.io/latin-america-under-threat-the-venom-rat-campaigns-cyber-invasion-initiative Report completeness: Low Actors/Campaigns:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что кампания Venom RAT, организованная злоумышленником TA558, представляет собой серьезную киберугрозу в Латинской Америке и других странах, нацеленную на различные сектора и подчеркивающую необходимость немедленных действий и превентивных мер для эффективной борьбы с вредоносным ПО.
-----
Кампания VenomRat, организованная печально известным злоумышленником TA558, представляет собой серьезную киберугрозу в Латинской Америке, требующую немедленных действий. Эта сложная кампания затронула различные сектора в таких странах, как Испания, Мексика и Соединенные Штаты, от жилищного строительства до государственного управления. VenomRAT - это троян удаленного доступа (RAT), специально разработанный для проникновения в системы незаконной финансовой деятельности, предоставления злоумышленникам удаленного контроля над скомпрометированными компьютерами и создания угрозы для конфиденциальных данных. Вредоносная программа использует методы повышения привилегий для получения разрешений более высокого уровня и продолжает свое существование, используя уязвимости системы и неправильные настройки.
Сфера действия VenomRAT распространяется за пределы Латинской Америки и затрагивает такие страны, как Испания, Мексика, Соединенные Штаты, Колумбия, Португалия, Бразилия, Доминиканская Республика и Аргентина. Для эффективной борьбы с VenomRAT и подобными вредоносными программами крайне важно предотвратить первоначальное заражение. Ключевые стратегии включают своевременное обновление системы безопасности, внедрение многофакторной аутентификации (MFA), использование передового антивирусного программного обеспечения с актуальными определениями угроз и надежных протоколов защиты электронной почты для блокирования попыток фишинга.
Скрытый доступ, предоставляемый Venom RAT злоумышленникам, позволяет осуществлять различные вредоносные действия, что подчеркивает важность для организаций сохранения бдительности и активного обновления средств защиты от этой развивающейся угрозы. Чтобы получить доступ к более подробной информации о кампании VenomRAT и других мероприятиях, пользователи могут посетить страницу кампаний на платформе SOCRadar.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что кампания Venom RAT, организованная злоумышленником TA558, представляет собой серьезную киберугрозу в Латинской Америке и других странах, нацеленную на различные сектора и подчеркивающую необходимость немедленных действий и превентивных мер для эффективной борьбы с вредоносным ПО.
-----
Кампания VenomRat, организованная печально известным злоумышленником TA558, представляет собой серьезную киберугрозу в Латинской Америке, требующую немедленных действий. Эта сложная кампания затронула различные сектора в таких странах, как Испания, Мексика и Соединенные Штаты, от жилищного строительства до государственного управления. VenomRAT - это троян удаленного доступа (RAT), специально разработанный для проникновения в системы незаконной финансовой деятельности, предоставления злоумышленникам удаленного контроля над скомпрометированными компьютерами и создания угрозы для конфиденциальных данных. Вредоносная программа использует методы повышения привилегий для получения разрешений более высокого уровня и продолжает свое существование, используя уязвимости системы и неправильные настройки.
Сфера действия VenomRAT распространяется за пределы Латинской Америки и затрагивает такие страны, как Испания, Мексика, Соединенные Штаты, Колумбия, Португалия, Бразилия, Доминиканская Республика и Аргентина. Для эффективной борьбы с VenomRAT и подобными вредоносными программами крайне важно предотвратить первоначальное заражение. Ключевые стратегии включают своевременное обновление системы безопасности, внедрение многофакторной аутентификации (MFA), использование передового антивирусного программного обеспечения с актуальными определениями угроз и надежных протоколов защиты электронной почты для блокирования попыток фишинга.
Скрытый доступ, предоставляемый Venom RAT злоумышленникам, позволяет осуществлять различные вредоносные действия, что подчеркивает важность для организаций сохранения бдительности и активного обновления средств защиты от этой развивающейся угрозы. Чтобы получить доступ к более подробной информации о кампании VenomRAT и других мероприятиях, пользователи могут посетить страницу кампаний на платформе SOCRadar.
#ParsedReport #CompletenessLow
01-05-2024
macOS Adload \| Prolific Adware Pivots Just Days After Apple s XProtect Clampdown
https://www.sentinelone.com/blog/macos-adload-prolific-adware-pivots-just-days-after-apples-xprotect-clampdown
Report completeness: Low
Threats:
Adload_loader
Pirrit
Bundlore
TTPs:
ChatGPT TTPs:
T1082
IOCs:
File: 5
Hash: 9
Domain: 9
Url: 1
Soft:
macOS
Algorithms:
gzip, sha1
Platforms:
apple, intel
Links:
01-05-2024
macOS Adload \| Prolific Adware Pivots Just Days After Apple s XProtect Clampdown
https://www.sentinelone.com/blog/macos-adload-prolific-adware-pivots-just-days-after-apples-xprotect-clampdown
Report completeness: Low
Threats:
Adload_loader
Pirrit
Bundlore
TTPs:
ChatGPT TTPs:
do not use without manual checkT1082
IOCs:
File: 5
Hash: 9
Domain: 9
Url: 1
Soft:
macOS
Algorithms:
gzip, sha1
Platforms:
apple, intel
Links:
https://github.com/denisbrodbeck/machineidhttps://github.com/SentineLabs/XProtect-Malware-FamiliesSentinelOne
macOS Adload | Prolific Adware Pivots Just Days After Apple’s XProtect Clampdown
Learn about the latest Adload adware variants, written in Go and intended to bypass Apple's recent XProtect updates.
CTT Report Hub
#ParsedReport #CompletenessLow 01-05-2024 macOS Adload \| Prolific Adware Pivots Just Days After Apple s XProtect Clampdown https://www.sentinelone.com/blog/macos-adload-prolific-adware-pivots-just-days-after-apples-xprotect-clampdown Report completeness:…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Apple выпустила обновления для своего списка сигнатур вредоносных программ XProtect, нацеленные на распространителя рекламного по Adload, атакующего устройства macOS, но, несмотря на их усилия, создатели Adload быстро адаптировались к новым вариантам, которые не были обнаружены. Это свидетельствует о продолжающейся игре в кошки-мышки между создателями вредоносных программ и решениями в области кибербезопасности, подчеркивая важность решений безопасности сторонних производителей для комплексной защиты от развивающихся угроз.
-----
Недавно Apple выпустила значительное обновление списка сигнатур вредоносных программ XProtect, включив в версию 2192 74 новых правила, а всего неделю спустя - еще 10 правил в версии 2193. Обновление было специально нацелено на распространителя рекламного ПО, известного как Adload, которое атакует устройства macOS. Несмотря на усилия Apple по пресечению деятельности Adload, создатели рекламного ПО быстро адаптировались, создав новые образцы, которые могли бы обойти новые сигнатуры.
До этого обновления существовало около двух десятков правил, ориентированных на предыдущие версии Adload. С добавлением новых правил их количество увеличилось до 279 в версии 2192 и еще больше - до 289 в версии 2193. Хотя количество правил может показаться скромным по сравнению с данными внешних поставщиков систем безопасности, увеличение на 24% за одно обновление отражает значительные усилия, затраченные на изучение и тестирование каждого правила для предотвращения ложных срабатываний.
В то время как Apple, вероятно, ожидала, что обновление приведет к сбоям в работе распространителя рекламного ПО, злоумышленники быстро отреагировали, внедрив новые варианты загрузки рекламы, которые не учитывали новые сигнатуры. Этим вариантам удалось обойти обнаружение как XProtect, так и другими системами VirusTotal.
Один из примечательных новых вариантов Adload был минимально обнаружен ядрами VirusTotal и был скомпилирован исключительно для архитектуры Intel x86_64. Эти двоичные файлы выполняли роль начальных загрузчиков для полезной нагрузки следующего этапа, но не имели связи с родительским исполняемым файлом или приложением. Методы распространения этих образцов оставались неясными, хотя в них был встроен уникальный пользовательский домен, соответствующий известным шаблонам загрузки рекламы.
После выполнения дропперы выполнили обнаружение системной информации с помощью утилиты ioreg, а затем разрешили жестко запрограммированное доменное имя для получения удаленного файла gzip с помощью HTTP-запроса. Ответ был записан в подкаталог в каталоге /tmp. Несмотря на то, что Apple отслеживала артефакты в своих сигнатурах, вредоносное ПО продолжало ускользать от обнаружения XProtect.
Несмотря на то, что XProtect успешно справился с этим обходом, решения безопасности, такие как SentinelOne Singularity, смогли обнаружить эти образцы Adload. Платформа использовала статические и динамические движки для комплексной защиты. Было предложено, чтобы предприятия использовали сторонние решения безопасности для защиты своих устройств macOS от новых угроз, таких как Adload.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что Apple выпустила обновления для своего списка сигнатур вредоносных программ XProtect, нацеленные на распространителя рекламного по Adload, атакующего устройства macOS, но, несмотря на их усилия, создатели Adload быстро адаптировались к новым вариантам, которые не были обнаружены. Это свидетельствует о продолжающейся игре в кошки-мышки между создателями вредоносных программ и решениями в области кибербезопасности, подчеркивая важность решений безопасности сторонних производителей для комплексной защиты от развивающихся угроз.
-----
Недавно Apple выпустила значительное обновление списка сигнатур вредоносных программ XProtect, включив в версию 2192 74 новых правила, а всего неделю спустя - еще 10 правил в версии 2193. Обновление было специально нацелено на распространителя рекламного ПО, известного как Adload, которое атакует устройства macOS. Несмотря на усилия Apple по пресечению деятельности Adload, создатели рекламного ПО быстро адаптировались, создав новые образцы, которые могли бы обойти новые сигнатуры.
До этого обновления существовало около двух десятков правил, ориентированных на предыдущие версии Adload. С добавлением новых правил их количество увеличилось до 279 в версии 2192 и еще больше - до 289 в версии 2193. Хотя количество правил может показаться скромным по сравнению с данными внешних поставщиков систем безопасности, увеличение на 24% за одно обновление отражает значительные усилия, затраченные на изучение и тестирование каждого правила для предотвращения ложных срабатываний.
В то время как Apple, вероятно, ожидала, что обновление приведет к сбоям в работе распространителя рекламного ПО, злоумышленники быстро отреагировали, внедрив новые варианты загрузки рекламы, которые не учитывали новые сигнатуры. Этим вариантам удалось обойти обнаружение как XProtect, так и другими системами VirusTotal.
Один из примечательных новых вариантов Adload был минимально обнаружен ядрами VirusTotal и был скомпилирован исключительно для архитектуры Intel x86_64. Эти двоичные файлы выполняли роль начальных загрузчиков для полезной нагрузки следующего этапа, но не имели связи с родительским исполняемым файлом или приложением. Методы распространения этих образцов оставались неясными, хотя в них был встроен уникальный пользовательский домен, соответствующий известным шаблонам загрузки рекламы.
После выполнения дропперы выполнили обнаружение системной информации с помощью утилиты ioreg, а затем разрешили жестко запрограммированное доменное имя для получения удаленного файла gzip с помощью HTTP-запроса. Ответ был записан в подкаталог в каталоге /tmp. Несмотря на то, что Apple отслеживала артефакты в своих сигнатурах, вредоносное ПО продолжало ускользать от обнаружения XProtect.
Несмотря на то, что XProtect успешно справился с этим обходом, решения безопасности, такие как SentinelOne Singularity, смогли обнаружить эти образцы Adload. Платформа использовала статические и динамические движки для комплексной защиты. Было предложено, чтобы предприятия использовали сторонние решения безопасности для защиты своих устройств macOS от новых угроз, таких как Adload.
#ParsedReport #CompletenessMedium
01-05-2024
Eight Arms to Hold You: The Cuttlefish Malware
https://blog.lumen.com/eight-arms-to-hold-you-the-cuttlefish-malware
Report completeness: Medium
Actors/Campaigns:
Duke
Storm-0558
Threats:
Cuttlefish
Credential_harvesting_technique
Hiatusrat
Moon_botnet
Dns_hijacking_technique
Netstat_tool
Libpcap_tool
Dns_hijack_technique
Zuo_rat
Vpnfilter
Attor
Victims:
Turkish telecommunications providers, Us-based data center, Global satellite phone providers
Industry:
Aerospace, Iot, Telco
Geo:
Turkish, China, Turkey
ChatGPT TTPs:
T1566, T1041, T1557, T1543, T1573, T1065, T1027, T1036, T1040, T1496, have more...
IOCs:
Url: 6
IP: 8
Domain: 3
Soft:
BinDiff
Algorithms:
gzip, base64
Platforms:
mips, arm
Links:
01-05-2024
Eight Arms to Hold You: The Cuttlefish Malware
https://blog.lumen.com/eight-arms-to-hold-you-the-cuttlefish-malware
Report completeness: Medium
Actors/Campaigns:
Duke
Storm-0558
Threats:
Cuttlefish
Credential_harvesting_technique
Hiatusrat
Moon_botnet
Dns_hijacking_technique
Netstat_tool
Libpcap_tool
Dns_hijack_technique
Zuo_rat
Vpnfilter
Attor
Victims:
Turkish telecommunications providers, Us-based data center, Global satellite phone providers
Industry:
Aerospace, Iot, Telco
Geo:
Turkish, China, Turkey
ChatGPT TTPs:
do not use without manual checkT1566, T1041, T1557, T1543, T1573, T1065, T1027, T1036, T1040, T1496, have more...
IOCs:
Url: 6
IP: 8
Domain: 3
Soft:
BinDiff
Algorithms:
gzip, base64
Platforms:
mips, arm
Links:
https://github.com/blacklotuslabs/IOCs/blob/main/Cuttlefish\_IOCs.txthttps://github.com/fgssfgss/socks\_proxy/tree/a40dceb86e3f2602dc9ba0e86f45887d16332d7ehttps://github.com/ntop/n2n/tree/devLumen
Blog & News Updates | Lumen Technologies
The Lumen blog and newsroom is your source for business technology news and insights, customer stories, press and media, and trending articles.
CTT Report Hub
#ParsedReport #CompletenessMedium 01-05-2024 Eight Arms to Hold You: The Cuttlefish Malware https://blog.lumen.com/eight-arms-to-hold-you-the-cuttlefish-malware Report completeness: Medium Actors/Campaigns: Duke Storm-0558 Threats: Cuttlefish Credent…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что команда Black Lotus Labs из Lumen Technologies обнаружила сложную вредоносную платформу под названием Cuttlefish, которая нацелена на маршрутизаторы small office/home office (SOHO), используемые предприятиями. Cuttlefish предназначен для кражи аутентификационных данных из веб-запросов, проходящих через локальную сеть маршрутизатора (LAN), что позволяет злоумышленникам создавать VPN или прокси-туннели для доступа к целевым ресурсам, используя украденные учетные данные. Вредоносная программа была активна в основном в Турции, но также затронула других жертв, таких как глобальные операторы спутниковой связи и центры обработки данных в США. Рекомендации по устранению угрозы включают шифрование сетевого трафика, регулярную проверку устройств SOHO на наличие аномалий и принятие мер безопасности, таких как смена паролей по умолчанию. Компания Lumen Technologies предприняла шаги по блокированию трафика, связанного с Cuttlefish, и распространению индикаторов компрометации для усиления усилий по анализу угроз.
-----
Команда Black Lotus Labs из Lumen Technologies обнаружила вредоносную платформу Cuttlefish, предназначенную для маршрутизаторов SOHO, используемых предприятиями для кражи аутентификационных данных из веб-запросов, проходящих через локальную сеть.
Компания Cuttlefish связана с Китаем и в основном принимала активное участие в кампаниях, направленных против Турции, жертвами которых стали мировые операторы спутниковой связи и центр обработки данных в США.
Вредоносные файлы, связанные с Cuttlefish, включают в себя bash-скрипт для сбора данных, сервер полезной нагрузки для поиска троянских программ и файл конфигурации для мониторинга сетевого трафика.
Вредоносная программа использует libpcap для прослушивания и перехвата диапазонов IP-адресов, нацеливаясь на определенный исходящий сетевой трафик, чтобы перехватить маркеры учетных данных для облачных сервисов.
Cuttlefish использует функциональность VPN на базе n2n и прокси-модуль для обратной маршрутизации трафика через скомпрометированные устройства.
Вредоносная программа способна перенаправлять соединения на частные IP-адреса, перехватывать трафик на таких портах, как 80 и 53, и использовать код ответа HTTP "302" для перенаправления внутреннего IP-адреса.
Среди известных жертв - турецкая авиакомпания, поставщики спутниковых услуг и центр обработки данных в США, которые подключались к серверам C2 в основном с турецких IP-адресов и двух турецких операторов сотовой связи.
Cuttlefish связан с кластером активности HiatusRat, что позволяет предположить, что за обоими семействами вредоносных программ стоят общие разработчики.
Рекомендации по устранению угрозы включают шифрование сетевого трафика, регулярную проверку устройств SOHO, использование закрепления сертификатов, изменение паролей по умолчанию, защиту интерфейсов управления устройствами и замену устаревших устройств.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в том, что команда Black Lotus Labs из Lumen Technologies обнаружила сложную вредоносную платформу под названием Cuttlefish, которая нацелена на маршрутизаторы small office/home office (SOHO), используемые предприятиями. Cuttlefish предназначен для кражи аутентификационных данных из веб-запросов, проходящих через локальную сеть маршрутизатора (LAN), что позволяет злоумышленникам создавать VPN или прокси-туннели для доступа к целевым ресурсам, используя украденные учетные данные. Вредоносная программа была активна в основном в Турции, но также затронула других жертв, таких как глобальные операторы спутниковой связи и центры обработки данных в США. Рекомендации по устранению угрозы включают шифрование сетевого трафика, регулярную проверку устройств SOHO на наличие аномалий и принятие мер безопасности, таких как смена паролей по умолчанию. Компания Lumen Technologies предприняла шаги по блокированию трафика, связанного с Cuttlefish, и распространению индикаторов компрометации для усиления усилий по анализу угроз.
-----
Команда Black Lotus Labs из Lumen Technologies обнаружила вредоносную платформу Cuttlefish, предназначенную для маршрутизаторов SOHO, используемых предприятиями для кражи аутентификационных данных из веб-запросов, проходящих через локальную сеть.
Компания Cuttlefish связана с Китаем и в основном принимала активное участие в кампаниях, направленных против Турции, жертвами которых стали мировые операторы спутниковой связи и центр обработки данных в США.
Вредоносные файлы, связанные с Cuttlefish, включают в себя bash-скрипт для сбора данных, сервер полезной нагрузки для поиска троянских программ и файл конфигурации для мониторинга сетевого трафика.
Вредоносная программа использует libpcap для прослушивания и перехвата диапазонов IP-адресов, нацеливаясь на определенный исходящий сетевой трафик, чтобы перехватить маркеры учетных данных для облачных сервисов.
Cuttlefish использует функциональность VPN на базе n2n и прокси-модуль для обратной маршрутизации трафика через скомпрометированные устройства.
Вредоносная программа способна перенаправлять соединения на частные IP-адреса, перехватывать трафик на таких портах, как 80 и 53, и использовать код ответа HTTP "302" для перенаправления внутреннего IP-адреса.
Среди известных жертв - турецкая авиакомпания, поставщики спутниковых услуг и центр обработки данных в США, которые подключались к серверам C2 в основном с турецких IP-адресов и двух турецких операторов сотовой связи.
Cuttlefish связан с кластером активности HiatusRat, что позволяет предположить, что за обоими семействами вредоносных программ стоят общие разработчики.
Рекомендации по устранению угрозы включают шифрование сетевого трафика, регулярную проверку устройств SOHO, использование закрепления сертификатов, изменение паролей по умолчанию, защиту интерфейсов управления устройствами и замену устаревших устройств.
#ParsedReport #CompletenessLow
02-05-2024
ViperSoftX steals information using deep learning-based Tesseract
https://asec.ahnlab.com/ko/64931
Report completeness: Low
Threats:
Vipersoftx
Tesseract_stealer
Quasar_rat
Venomsoftx
Trojan/win.generic.c5440564
Trojan/win32.agent.c2862808
Trojan/win32.rl_downeks.c4069173
Trojan/win32.subti.r285137
Malware/mdp.inject.m2907
ChatGPT TTPs:
T1059, T1140, T1547, T1083, T1113, T1027, T1574, T1566
IOCs:
File: 14
Hash: 15
Url: 5
Domain: 7
Soft:
KeePass, 1Password, task scheduler
Wallets:
electrum
Algorithms:
md5, base64
Languages:
powershell, javascript
02-05-2024
ViperSoftX steals information using deep learning-based Tesseract
https://asec.ahnlab.com/ko/64931
Report completeness: Low
Threats:
Vipersoftx
Tesseract_stealer
Quasar_rat
Venomsoftx
Trojan/win.generic.c5440564
Trojan/win32.agent.c2862808
Trojan/win32.rl_downeks.c4069173
Trojan/win32.subti.r285137
Malware/mdp.inject.m2907
ChatGPT TTPs:
do not use without manual checkT1059, T1140, T1547, T1083, T1113, T1027, T1574, T1566
IOCs:
File: 14
Hash: 15
Url: 5
Domain: 7
Soft:
KeePass, 1Password, task scheduler
Wallets:
electrum
Algorithms:
md5, base64
Languages:
powershell, javascript
ASEC
딥러닝 기반 Tesseract를 활용해 정보를 탈취하는 ViperSoftX - ASEC
AhnLab SEcurity intelligence Center(ASEC)에서는 최근 ViperSoftX 공격자가 Tesseract를 활용하여 사용자의 이미지 파일들을 탈취하고 있는 것을 확인하였다. ViperSoftX는 감염 시스템에 상주하면서 공격자의 명령을 실행하거나 암호 화폐 관련 정보를 탈취하는 기능을 담당하는 악성코드이다. 이번에 새롭게 확인된 악성코드는 오픈 소스 OCR 엔진인 Tesseract를 활용하였다. Tesseract는 딥러닝 방식으로…
CTT Report Hub
#ParsedReport #CompletenessLow 02-05-2024 ViperSoftX steals information using deep learning-based Tesseract https://asec.ahnlab.com/ko/64931 Report completeness: Low Threats: Vipersoftx Tesseract_stealer Quasar_rat Venomsoftx Trojan/win.generic.c5440564…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в развитии угрозы, исходящей от вредоносного ПО ViperSoftX, которое используется для распространения других вредоносных программ, таких как Quasar RAT и TesseractStealer. Злоумышленники используют тактику, подобную использованию Tesseract для извлечения текста из изображений, для кражи конфиденциальной информации и подчеркивают важность бдительности и активных мер кибербезопасности для снижения рисков, связанных с этими угрозами.
-----
Аналитический центр безопасности AhnLab (ASEC) недавно выявил новую тактику, применяемую злоумышленником ViperSoftX, который использовал Tesseract, распознавательный движок с открытым исходным кодом, для кражи файлов изображений пользователей. ViperSoftX - это стойкая вредоносная программа, которая работает в скомпрометированных системах, облегчая выполнение вредоносных команд и кражу данных, связанных с криптовалютой. Эта последняя версия ViperSoftX использовала Tesseract для извлечения текста из изображений, хранящихся в зараженных системах. Если бы извлеченный текст содержал ссылки на пароли или адреса криптовалютных кошельков, изображение было бы удалено злоумышленником.
ViperSoftX, вредоносное ПО, распространяющееся уже несколько лет, выполняет основные функции по выполнению команд и сбору информации, связанной с криптовалютой. Примечательно, что злоумышленники использовали ViperSoftX для внедрения новых вредоносных программ в различные системы. Некоторые примеры вредоносного программного обеспечения, распространяемого через ViperSoftX, включают Quasar RAT и TesseractStealer.
Quasar RAT, троян с открытым исходным кодом для удаленного доступа (RAT), разработанный в .NET, предоставляет широкий спектр функциональных возможностей, типичных для RATs, таких как системные операции, удаленное выполнение команд и утечка данных. Кроме того, он предлагает функции для ведения кейлоггинга и сбора информации об учетной записи для кражи данных из зараженных систем и позволяет осуществлять контроль в режиме реального времени с помощью удаленного доступа к рабочему столу. Было замечено, что злоумышленники распространяют Quasar RAT через ViperSoftX, внедряя это вредоносное ПО в многочисленные системы, а не нацеливаясь на конкретные объекты. Недавние случаи указывают на резкий рост числа установок Quasar RAT, причем в некоторых случаях используется сеть Tor для связи с серверами командования и контроля (C&C).
В дополнение к Quasar RAT злоумышленники внедрили TesseractStealer, вредоносную программу для кражи информации, которая использует Tesseract для извлечения текста из изображений. TesseractStealer инициализирует необходимые библиотечные файлы и файлы обучающих данных для извлечения строк из изображений, а затем тщательно проверяет содержимое на наличие определенных текстовых строк, связанных с конфиденциальной информацией. В случае обнаружения скомпрометированные изображения отправляются злоумышленником на сервер C&C.
Недавняя активизация деятельности ViperSoftX, приведшая к установке Quasar RAT и TesseractStealer, подчеркивает повышенный риск, связанный с этим меняющимся ландшафтом угроз. Пользователям рекомендуется проявлять осторожность при загрузке исполняемых файлов из ненадежных источников и приобретать программное обеспечение исключительно у официальных дистрибьюторов. Кроме того, поддержание актуальности программного обеспечения для обеспечения безопасности имеет решающее значение для превентивной защиты от заражения вредоносными программами.
Использование сценариев PowerShell, разработка командных структур для поддержки распространения вредоносных программ и установка дополнительных вредоносных кодов подчеркивают сложность и постоянство этих киберугроз. Бдительность и превентивные меры кибербезопасности имеют решающее значение для снижения рисков, связанных с ViperSoftX и связанными с ним вариантами вредоносных программ.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста заключается в развитии угрозы, исходящей от вредоносного ПО ViperSoftX, которое используется для распространения других вредоносных программ, таких как Quasar RAT и TesseractStealer. Злоумышленники используют тактику, подобную использованию Tesseract для извлечения текста из изображений, для кражи конфиденциальной информации и подчеркивают важность бдительности и активных мер кибербезопасности для снижения рисков, связанных с этими угрозами.
-----
Аналитический центр безопасности AhnLab (ASEC) недавно выявил новую тактику, применяемую злоумышленником ViperSoftX, который использовал Tesseract, распознавательный движок с открытым исходным кодом, для кражи файлов изображений пользователей. ViperSoftX - это стойкая вредоносная программа, которая работает в скомпрометированных системах, облегчая выполнение вредоносных команд и кражу данных, связанных с криптовалютой. Эта последняя версия ViperSoftX использовала Tesseract для извлечения текста из изображений, хранящихся в зараженных системах. Если бы извлеченный текст содержал ссылки на пароли или адреса криптовалютных кошельков, изображение было бы удалено злоумышленником.
ViperSoftX, вредоносное ПО, распространяющееся уже несколько лет, выполняет основные функции по выполнению команд и сбору информации, связанной с криптовалютой. Примечательно, что злоумышленники использовали ViperSoftX для внедрения новых вредоносных программ в различные системы. Некоторые примеры вредоносного программного обеспечения, распространяемого через ViperSoftX, включают Quasar RAT и TesseractStealer.
Quasar RAT, троян с открытым исходным кодом для удаленного доступа (RAT), разработанный в .NET, предоставляет широкий спектр функциональных возможностей, типичных для RATs, таких как системные операции, удаленное выполнение команд и утечка данных. Кроме того, он предлагает функции для ведения кейлоггинга и сбора информации об учетной записи для кражи данных из зараженных систем и позволяет осуществлять контроль в режиме реального времени с помощью удаленного доступа к рабочему столу. Было замечено, что злоумышленники распространяют Quasar RAT через ViperSoftX, внедряя это вредоносное ПО в многочисленные системы, а не нацеливаясь на конкретные объекты. Недавние случаи указывают на резкий рост числа установок Quasar RAT, причем в некоторых случаях используется сеть Tor для связи с серверами командования и контроля (C&C).
В дополнение к Quasar RAT злоумышленники внедрили TesseractStealer, вредоносную программу для кражи информации, которая использует Tesseract для извлечения текста из изображений. TesseractStealer инициализирует необходимые библиотечные файлы и файлы обучающих данных для извлечения строк из изображений, а затем тщательно проверяет содержимое на наличие определенных текстовых строк, связанных с конфиденциальной информацией. В случае обнаружения скомпрометированные изображения отправляются злоумышленником на сервер C&C.
Недавняя активизация деятельности ViperSoftX, приведшая к установке Quasar RAT и TesseractStealer, подчеркивает повышенный риск, связанный с этим меняющимся ландшафтом угроз. Пользователям рекомендуется проявлять осторожность при загрузке исполняемых файлов из ненадежных источников и приобретать программное обеспечение исключительно у официальных дистрибьюторов. Кроме того, поддержание актуальности программного обеспечения для обеспечения безопасности имеет решающее значение для превентивной защиты от заражения вредоносными программами.
Использование сценариев PowerShell, разработка командных структур для поддержки распространения вредоносных программ и установка дополнительных вредоносных кодов подчеркивают сложность и постоянство этих киберугроз. Бдительность и превентивные меры кибербезопасности имеют решающее значение для снижения рисков, связанных с ViperSoftX и связанными с ним вариантами вредоносных программ.
#ParsedReport #CompletenessLow
01-05-2024
Stories from the SOC - Combating "Security Alert" Scams
https://cybersecurity.att.com/blogs/security-essentials/stories-from-the-soc-combating-security-alert-scams
Report completeness: Low
Victims:
Windows users, Apple users
Industry:
Education
ChatGPT TTPs:
T1566, T1204, T1595, T1584, T1219
IOCs:
Domain: 2
Hash: 1
Soft:
Microsoft Teams
Algorithms:
zip
Platforms:
apple
01-05-2024
Stories from the SOC - Combating "Security Alert" Scams
https://cybersecurity.att.com/blogs/security-essentials/stories-from-the-soc-combating-security-alert-scams
Report completeness: Low
Victims:
Windows users, Apple users
Industry:
Education
ChatGPT TTPs:
do not use without manual checkT1566, T1204, T1595, T1584, T1219
IOCs:
Domain: 2
Hash: 1
Soft:
Microsoft Teams
Algorithms:
zip
Platforms:
apple
AT&T Cybersecurity
Stories from the SOC – Combating “Security Alert” Scams
Executive Summary The “Security Alert” scam is a prevalent tech-support fraud that threatens both Windows and Apple users. It exploits the trust of users by masquerading as an official support site, using fake pop-up warnings to lure users into dialing scam…
CTT Report Hub
#ParsedReport #CompletenessLow 01-05-2024 Stories from the SOC - Combating "Security Alert" Scams https://cybersecurity.att.com/blogs/security-essentials/stories-from-the-soc-combating-security-alert-scams Report completeness: Low Victims: Windows users…
#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - описание аферы "Security Alert", мошенничества с технической поддержкой, нацеленного на пользователей Windows и Apple с помощью поддельных всплывающих предупреждений и мошеннических телефонных номеров с целью кражи личных данных и вымогательства денег. В тексте подчеркиваются трудности борьбы с этим мошенничеством, важность обучения конечных пользователей и взаимодействия с ИТ-отделами, а также использования анализа угроз, индикаторов компрометации и мониторинга для предотвращения попадания в руки таких мошенников. В нем также освещаются конкретные меры и инструменты, рекомендуемые для защиты от растущей угрозы мошенничества "Security Alert" и аналогичных киберугроз.
-----
Мошенничество с "предупреждениями о безопасности" - это распространенное мошенничество с технической поддержкой, которое нацелено как на пользователей Windows, так и на Apple, выдавая себя за официальные сайты поддержки и используя поддельные всплывающие предупреждения, чтобы вызвать срочность и подтолкнуть пользователей звонить по мошенническим телефонным номерам. Мошенники стремятся получить удаленный доступ к системе жертвы, чтобы украсть личные данные и вымогать деньги. Борьба с этим мошенничеством является сложной задачей из-за того, что злоумышленники используют недавно зарегистрированные домены, что затрудняет их обнаружение. Они часто устанавливают средства протокола удаленного рабочего стола (RDP) после того, как пользователи обращаются в службу поддержки мошенников, обходя традиционные методы обнаружения.
Обучение конечных пользователей и взаимодействие с ИТ-подразделениями имеют решающее значение для эффективной борьбы с фишингом и мошенничеством. Компания AT&T Cybersecurity активно оповещает о вредоносных доменах и предоставляет аналитическую информацию об угрозах через сообщество Open Threat Exchange (OTX), чтобы помочь организациям защитить себя. Индикаторы компрометации (IOCs), связанные с мошенничеством, включают поддельные страницы McAfee, размещение мошеннических веб-сайтов и конкретные хэши файлов, которые могут быть использованы для обнаружения потенциальных угроз.
Поисковики угроз сосредотачиваются на выявлении URL-запросов, связанных с мошенническими страницами поддержки, и отфильтровывают законные домены, используемые организацией. Использование таких инструментов, как изолированные среды, помогает выявлять вредоносные домены. Возможности инвентаризации приложений SentinelOne позволяют отслеживать успешные совпадения URL-адресов и отслеживать скомпрометированные системы. Постоянный мониторинг и оповещение о вредоносных доменах, а также обучение пользователей и блокировка брандмауэром являются рекомендуемыми мерами для предотвращения попадания в руки подобных мошенников.
Команда Alien Labs по анализу угроз добавила выявленные вредоносные домены в OTX pulse для непрерывного мониторинга. Важно сохранять бдительность, поскольку злоумышленники могут менять тактику, сохраняя те же активные домены. Регулярное обучение пользователей, мониторинг сетевой активности и блокировка вредоносных доменов являются ключевыми шагами в защите от растущего числа мошеннических действий "Security Alert" и аналогичных угроз.
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)
------
Основная идея текста - описание аферы "Security Alert", мошенничества с технической поддержкой, нацеленного на пользователей Windows и Apple с помощью поддельных всплывающих предупреждений и мошеннических телефонных номеров с целью кражи личных данных и вымогательства денег. В тексте подчеркиваются трудности борьбы с этим мошенничеством, важность обучения конечных пользователей и взаимодействия с ИТ-отделами, а также использования анализа угроз, индикаторов компрометации и мониторинга для предотвращения попадания в руки таких мошенников. В нем также освещаются конкретные меры и инструменты, рекомендуемые для защиты от растущей угрозы мошенничества "Security Alert" и аналогичных киберугроз.
-----
Мошенничество с "предупреждениями о безопасности" - это распространенное мошенничество с технической поддержкой, которое нацелено как на пользователей Windows, так и на Apple, выдавая себя за официальные сайты поддержки и используя поддельные всплывающие предупреждения, чтобы вызвать срочность и подтолкнуть пользователей звонить по мошенническим телефонным номерам. Мошенники стремятся получить удаленный доступ к системе жертвы, чтобы украсть личные данные и вымогать деньги. Борьба с этим мошенничеством является сложной задачей из-за того, что злоумышленники используют недавно зарегистрированные домены, что затрудняет их обнаружение. Они часто устанавливают средства протокола удаленного рабочего стола (RDP) после того, как пользователи обращаются в службу поддержки мошенников, обходя традиционные методы обнаружения.
Обучение конечных пользователей и взаимодействие с ИТ-подразделениями имеют решающее значение для эффективной борьбы с фишингом и мошенничеством. Компания AT&T Cybersecurity активно оповещает о вредоносных доменах и предоставляет аналитическую информацию об угрозах через сообщество Open Threat Exchange (OTX), чтобы помочь организациям защитить себя. Индикаторы компрометации (IOCs), связанные с мошенничеством, включают поддельные страницы McAfee, размещение мошеннических веб-сайтов и конкретные хэши файлов, которые могут быть использованы для обнаружения потенциальных угроз.
Поисковики угроз сосредотачиваются на выявлении URL-запросов, связанных с мошенническими страницами поддержки, и отфильтровывают законные домены, используемые организацией. Использование таких инструментов, как изолированные среды, помогает выявлять вредоносные домены. Возможности инвентаризации приложений SentinelOne позволяют отслеживать успешные совпадения URL-адресов и отслеживать скомпрометированные системы. Постоянный мониторинг и оповещение о вредоносных доменах, а также обучение пользователей и блокировка брандмауэром являются рекомендуемыми мерами для предотвращения попадания в руки подобных мошенников.
Команда Alien Labs по анализу угроз добавила выявленные вредоносные домены в OTX pulse для непрерывного мониторинга. Важно сохранять бдительность, поскольку злоумышленники могут менять тактику, сохраняя те же активные домены. Регулярное обучение пользователей, мониторинг сетевой активности и блокировка вредоносных доменов являются ключевыми шагами в защите от растущего числа мошеннических действий "Security Alert" и аналогичных угроз.
#ParsedReport #CompletenessLow
02-05-2024
Dissecting REMCOS RAT: An in- depth analysis of a widespread 2024 malware, Part Three
https://www.elastic.co/security-labs/dissecting-remcos-rat-part-three
Report completeness: Low
Threats:
Remcos_rat
Uac_bypass_technique
ChatGPT TTPs:
T1092, T1562, T1059, T1012, T1548, T1113, T1041, T1555, T1552
IOCs:
Coin: 2
Command: 1
File: 1
Registry: 1
Soft:
FoxMail
Algorithms:
rc4
Functions:
GetHostGeolocation, GetOfflineKeyloggerInformation, DeleteKeyloggerDataThenUploadIfAnythingNewInbetween, SetClipboardToSpecificData, SetBotnetName, SetWindowTextThenListProcessesWindow
Win API:
TerminateProcess, CloseWindow, DeleteFile, MessageBox, ShowWindow, ReadFile, WriteFile, ShellExecuteW
Languages:
visual_basic
Links:
02-05-2024
Dissecting REMCOS RAT: An in- depth analysis of a widespread 2024 malware, Part Three
https://www.elastic.co/security-labs/dissecting-remcos-rat-part-three
Report completeness: Low
Threats:
Remcos_rat
Uac_bypass_technique
ChatGPT TTPs:
do not use without manual checkT1092, T1562, T1059, T1012, T1548, T1113, T1041, T1555, T1552
IOCs:
Coin: 2
Command: 1
File: 1
Registry: 1
Soft:
FoxMail
Algorithms:
rc4
Functions:
GetHostGeolocation, GetOfflineKeyloggerInformation, DeleteKeyloggerDataThenUploadIfAnythingNewInbetween, SetClipboardToSpecificData, SetBotnetName, SetWindowTextThenListProcessesWindow
Win API:
TerminateProcess, CloseWindow, DeleteFile, MessageBox, ShowWindow, ReadFile, WriteFile, ShellExecuteW
Languages:
visual_basic
Links:
https://github.com/jacobsoo/FoxmailRecoveryhttps://github.com/elastic/labs-releases/tree/main/extractors/remcoswww.elastic.co
Dissecting REMCOS RAT: An in-depth analysis of a widespread 2024 malware, Part Three — Elastic Security Labs
In previous articles in this multipart series, malware researchers on the Elastic Security Labs team dove into the REMCOS execution flow. In this article, you’ll learn more about REMCOS configuration structure and its C2 commands.