#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: Scattered Spider, финансово мотивированная группа злоумышленников, известная тем, что нацеливается на организации в различных отраслях с помощью таких тактик, как фишинговые атаки и подмена SIM-карт, представляет серьезную угрозу кибербезопасности бизнеса. Они используют передовые технологии и сотрудничают с другими группами для проведения успешных атак на крупные компании, подчеркивая необходимость принятия упреждающих мер кибербезопасности и постоянного мониторинга информации об угрозах для защиты от развивающихся киберугроз.
-----

Scattered Spider, финансово мотивированная группа злоумышленников, также известная как 0ktapus, UNC3944, Roasted Oktapus, Scatter Swine, Octo Tempest и Muddled Libra, активно атакует организации в различных отраслях с мая 2022 года. Группа приобрела дурную славу благодаря своим успешным взломам крупных компаний, таких как MGM и Caesars casino, которые были приписаны им. Считается, что компания Scattered Spider, связанная с BlackCat/AlphV, использует в своих кампаниях такие тактики, как "противник посередине" (AiTM), социальную инженерию и методы обмена симами.

В последние годы Scattered Spider расширила сферу своей деятельности, сосредоточившись на таких секторах, как общественное питание, страхование, розничная торговля, технологии и видеоигры. Они используют домены-двойники и поддельные страницы входа для проведения фишинговых атак, что представляет серьезную угрозу для организаций во многих секторах. Их атаки характеризуются быстрым развертыванием инфраструктуры и слаженной работой, длящейся всего несколько часов. После нападения на компании группа может продолжить атаки с использованием sim-карт, чтобы получить полный доступ к конфиденциальным корпоративным данным и активам.

Аналитики связывают Scattered Spider с использованием фишинговых доменов в определенных форматах, таких как "victimname-sso.com` и `victimname-okta.com`. Группа размещает фишинговые страницы, содержащие ключевые данные, такие как ссылки на поддомены Okta для получения помощи, и формирует запросы POST на указанные URL-адреса. Было замечено, что разрозненные члены Spider, предположительно молодые люди, связанные с мошеннической группой Star и преступным сообществом Com, используют фишинговый набор, который извлекает данные и отправляет их в указанный чат Telegram.

Более того, Scattered Spider предпочитает нападать на конкретных жертв, а не на организации, совершающие случайные нападения. Они также сотрудничали с BlackCat/ALPHV для получения выкупа у крупных корпораций, таких как Caesars Entertainment и MGM Resorts, что указывает на стратегический сдвиг в их деятельности. Группа использует фишинговые кампании с использованием поддельных страниц входа в систему CMS, которые очень похожи на законные платформы, что повышает эффективность их атак.

Для борьбы с растущей угрозой, исходящей от Spider Spider и других подобных злоумышленников, организациям рекомендуется регулярно отслеживать домены-двойники, обучать сотрудников выявлению попыток фишинга и информировать их о целенаправленных атаках, таких как фишинг, рассылка по электронной почте и лов рыбы. Используя такие инструменты, как dnstwist(), аналитики безопасности и системные администраторы смогут эффективно обнаруживать и отслеживать потенциально опасных доменов. При реализации оптимальной стратегии управления уязвимости и планов реагирования на инциденты, предприятия могут повысить их устойчивость против сложных кибер-угроз, как и те, которые возникали рассеянные паук.

Таким образом, Scattered Spider представляет собой серьезную киберугрозу для организаций, использующих передовые методы обхода мер безопасности и получения несанкционированного доступа к конфиденциальным данным и активам. Их постоянная ориентация на различные отрасли подчеркивает важность упреждающих мер кибербезопасности и постоянного мониторинга информации об угрозах, чтобы опережать появление новых угроз в цифровом пространстве.

Ежегодная независимая премия для пентестеров — Pentest award возвращается!

Раз в году у этичных хакеров появляется шанс громко заявить о своих достижениях, показать свой вклад в развитие российского рынка ИБ и обменяться лучшими историями из практики на церемонии награждения Pentest award.

В этот раз вас ждут 6 номинаций, по три призовых места в каждой:

— Пробив WEB 🆕
— Пробив инфраструктуры 🆕
— Девайс 🆕
— Hack the logic
— Раз bypass, два bypass
— Ловись рыбка

Главный приз — тяжеленная стеклянная именная статуэтка за первое место. Не менее главные призы: макбуки, айфоны, смарт-часы, умные колонки, а также бесценные подарки от партнеров проекта BI.ZONE Bug Bounty и VK Bug Bounty.

Сбор заявок уже открыт на сайте — https://award.awillix.ru/
Давайте покажем, на что способны этичные хакеры!
#pentestaward

#cyberthreattech
Итого, по автоматическому построению описания угроз удалось запустить движочек и обработать все отчеты с 2022 года.
Получился механизм, в который можно подать строку (пока не более 50 символов и ^[a-zA-Z0-9 _-]+$, т.к. наш продакшен токенайзер я не смог пока вытащить отдельным микросервисом, а он уже умеет разбирать любой текст) и движочек найдет в ней названия угроз.
По каждой угрозе из текста он попробует найти описание.
Встал вопрос, как вытаскивать в паблик: допилить бота в ТГ, или добавить REST API. Опрос будет ниже.

{
  "data": {
    "summary": [
      {
        "id": "inc_ransomware",
        "found": true,
        "generation": {
          "date": "20240513 02:37:12",
          "sources": {
            "begin": "20231121",
            "end": "20240417",
            "urls": [
              "https://mp.weixin.qq.com/s/_KuFPPs6XFOICNpRjzn5AA",
              "https://www.secureworks.com/blog/gold-ionic-deploys-inc-ransomware",
              "https://www.cybereason.com/blog/threat-alert-inc-ransomware",
              "https://socradar.io/dark-web-profile-donutleaks",
              "https://socradar.io/dark-web-profile-inc-ransom"
            ]
          }
        },
        "text": "INC Ransomware, also known as INC Ransom, is a newly emerged ransomware group first observed by security researchers in early August 2023. This group primarily targets the United States and European countries, with a few victims from other Western countries such as Singapore. The majority of the victims are private sector businesses, but the group has also targeted a government organization and a charity association.\nThe INC Ransomware operates by employing partial encryption combined with a multi-threading approach to accelerate the encryption process. The group does not charge for the leaked data, unlike some other ransomware groups like LockBit 3.0. Instead, they follow a double and triple extortion strategy.\nAfter gaining access to the network, the attacker drops an executable (p443x64.exe) that installs a Meterpreter shell. They then use the AdFind command-line Active Directory query tool to enumerate the environment, WinRAR to archive files and folders, and the Megasync cloud hosting solution to exfiltrate more than 70 GB of data. After exfiltrating the data, the threat actor copies the INC ransomware executable to over 500 other systems and then runs it remotely via PsExec. The executed binary encrypts files, adds a .inc file extension to the encrypted files, and drops the INC ransom note (INC-README.txt).\nThe INC ransom note includes a Tor .onion address along with a personal ID, and it instructs the victim to contact the threat actor within 72 hours or sensitive data will be published to the leak site. The structure and design of the INC Ransom leak site are similar to the LockBit leak site, but there are no other indications that the groups are related.\nThe INC Ransomware group, tracked by Secureworks Counter Threat Unit (CTU) researchers as GOLD IONIC, uses the common double extortion method: they exfiltrate data before encrypting systems and then threaten public exposure as leverage in ransom negotiations with victims."
      }
    ]
  }
}

#technique

Unorthodox and stealthy way to inject a DLL into the explorer using icons

https://github.com/0xda568/IconJector

Russia-Linked CopyCop Uses LLMs to Weaponize Influence Content at Scale

https://go.recordedfuture.com/hubfs/reports/cta-2024-0509.pdf

Kinsing Demystified - A Comprehensive Technical Guide

https://1665891.fs1.hubspotusercontent-na1.net/hubfs/1665891/Threat%20reports/AquaSecurity_Kinsing_Demystified_Technical_Guide.pdf

Analysing a NSO iOS Spyware Sample

https://i.blackhat.com/Asia-24/Asia-24-Frielingsdorf-YouShallNotPassAnalysing.pdf

#technique

Side-by-Side with HelloJackHunter: Unveiling the Mysteries of WinSxS

https://blog.zsec.uk/hellojackhunter-exploring-winsxs/

#technique

Techniques Learned from the XZ Backdoor

https://medium.com/@knownsec404team/techniques-learned-from-the-xz-backdoor-74b0a8d45c30

API, так API :) Запилю.
Спасибо, всем, кто поучаствовал в опросе.

#ParsedReport #CompletenessMedium
13-05-2024

[Advanced Threat Tracking (APT)\] Beware of attacks from Timitator organization RUST

https://www.ctfiot.com/181035.html

Report completeness: Medium

Actors/Campaigns:
Timitator (motivation: cyber_criminal)
Duke
Oceanlotus

Threats:
Harpoon
Cobalt_strike
Vmprotect_tool

Victims:
Energy, Universities, Scientific research institutions, Military industry

Industry:
Energy, Military, Education

ChatGPT TTPs:
do not use without manual check
T1566, T1204, T1105, T1059, T1553, T1574, T1529, T1070, T1027, T1012, have more...

IOCs:
Hash: 13
IP: 7
File: 8

Soft:
trycloudflare, WeChat

Algorithms:
sha256, xor, md5

Win API:
loadlibrary

Languages:
golang, rust

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Организация Timitator планирует кибератаки на несколько секторов, используя такие тактики, как атаки с использованием гарпуна, эксплойты nday и другие методы. Они имитируют тактику атак других организаций, переключившись с CobaltStrike на инструмент дистанционного управления под названием RUST Tema. Их фишинговые образцы оснащены защитой от виртуальной оболочки VMP и используют методы обмана, которые выдаются за законное программное обеспечение. Все более широкое использование Timitator средств дистанционного управления и усовершенствованных тактик фишинга представляет собой серьезную угрозу в киберпространстве, что требует постоянной бдительности в отношении потенциальных целенаправленных атак.
-----

Организация Timitator планирует кибератаки на множество секторов, включая энергетику, университеты, научно-исследовательские институты и военную промышленность, в 2022-2023 годах. Они используют такие тактические приемы, как атаки гарпунами, эксплойты в режиме реального времени и другие методы проникновения в свои цели. Атаки harpoon от Timitator включают доставку вредоносной полезной нагрузки в таких форматах, как exe, chm, iso (img) и lnk. После успешного выполнения вредоносных вложений на первом этапе выполняется загрузка CobaltStrike для установления соединения, а на втором этапе загружается пользовательская специальная лошадь через CobaltStrike. Этот специальный инструмент позволяет им определять ценность скомпрометированных объектов в сети, разрабатывать индивидуальные последующие атаки и красть ценные данные и файлы.

Группа Timitator известна тем, что имитирует тактику атак других организаций, за что получила название Tactical Imitator (Тимитатор- имитатор ttps). Другие исследователи также называют их apt-q-77 и mutant rat, а некоторые связывают их деятельность с OceanLotus. Однако их истинная принадлежность остается сложной и неопределенной. Недавние выводы аналитической лаборатории Sangfor Deep View показали, что организация Timitator перешла от использования CobaltStrike к использованию для своих атак инструмента дистанционного управления, написанного на RUST, под названием RUST Tema. Кроме того, в их фишинговых образцах использовалась защита виртуальной оболочки VMP.

Дальнейший анализ показал, что после 28 марта 2024 года фишинговые образцы организации адаптировали новый подход, используя инструмент удаленного управления в RUST вместо CobaltStrike. Эти файлы были замаскированы поддельной подписью Microsoft и описательной информацией от местной компании, чтобы выглядеть как законные программы. После запуска эти образцы запускают несколько исполняемых файлов в каталоге %temp%, что приводит к загрузке вредоносных программ, таких как Log.dll и SogouInput.библиотека dll для выполнения шелл-кода и получения контроля над системой. Эти программы способны выполнять удаленные команды, операции с файлами и удаленное выполнение кода, при этом данные конфигурации расшифровываются с помощью ключа "p@sswor!kS@mk$y".

Использование Timitator различных средств дистанционного управления, таких как CobaltStrike, golang special horse и RUST special horse, свидетельствует о постоянном совершенствовании методов атаки, позволяющих избежать обнаружения и перехвата программным обеспечением безопасности. Используя специальные механизмы и совершенствуя тактику фишинга с помощью сложных сигнатур файлов, организация стремится повысить уровень успеха и сохранить оперативную секретность. Рекомендуется сохранять бдительность в отношении потенциальных целенаправленных атак со стороны группы Timitator, поскольку они по-прежнему представляют серьезную угрозу в киберпространстве.

#ParsedReport #CompletenessLow
13-05-2024

Emerging Identity Threats: The Muddy Waters of Residential Proxies

https://www.obsidiansecurity.com/blog/emerging-identity-threats-the-muddy-waters-of-residential-proxies

Report completeness: Low

Actors/Campaigns:
Muddywater

Threats:
Residential_proxy_technique

Industry:
Telco

ChatGPT TTPs:
do not use without manual check
T1566, T1090, T1078, T1110

IOCs:
File: 1

Soft:
Chrome

Platforms:
x64

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в растущем использовании локальных прокси-серверов для фишинговых атак с использованием личных данных, когда злоумышленники используют локальные прокси-сети, чтобы избежать обнаружения, использовать уязвимости в системе безопасности и нацеливаться на конкретные приложения. В статье подчеркиваются трудности обнаружения этих атак, дается представление о тактике, используемой злоумышленниками, и рекомендуется применять более комплексный подход к обнаружению для борьбы с фишинговыми атаками, проводимыми с помощью локальных прокси-серверов.
-----

В сообщении в блоге рассказывается о растущем использовании локальных прокси-серверов при фишинговых атаках с использованием личных данных, освещаются конкретные тактики, применяемые злоумышленниками, и дается информация о стратегиях обнаружения. Злоумышленники все чаще используют локальные прокси-сети, используя IP-адреса крупных интернет-провайдеров, таких как Comcast, Cox, T-Mobile и Verizon, чтобы обойти меры безопасности и избежать обнаружения. Инцидент с участием Zscaler Inc. Интернет-провайдер предполагает потенциальную уязвимость в системе безопасности, связанную со скомпрометированными последовательностями входа через IP-адреса локального прокси-сервера.

Одной из серьезных проблем, с которыми сталкиваются злоумышленники, является использование устаревших пользовательских агентов Chrome 2019 года выпуска в сочетании с локальными прокси-серверами, что затрудняет обнаружение. Однако использование таких пользовательских агентов может служить ценным индикатором компрометации (IOCs). Кроме того, в ходе нескольких атак была выявлена закономерность в последовательности фишинговых входов в систему, при этом злоумышленники обычно использовали Chrome agent версий 78 и 105 в определенной последовательности.

Злоумышленники также используют интеграцию OAuth, уделяя особое внимание таким приложениям, как "eM Client" и "PERFECTDATA SOFTWARE", которые часто ассоциируются с вредоносными действиями. В сообщении подчеркивается, что полагаться исключительно на обнаружение географических аномалий для определения активности злоумышленников может быть уже недостаточно, поскольку локальные прокси-серверы могут маскировать истинное местоположение злоумышленников.

Читателям рекомендуется проверить свои среды на наличие определенных IOCs, указанных в статье, таких как упомянутый пользовательский агент и целевые приложения. В блоге предлагается использовать стратегию сортировки на основе идентификации, группируя телеметрию оповещений от продуктов безопасности по отдельным пользователям для расширения возможностей обнаружения. Такие инструменты, как Obsidian, могут помочь восполнить пробелы в обнаружении на случай, если фишинговая атака останется незамеченной.

Чтобы справиться с растущим использованием вредоносных локальных прокси-серверов, в статье рекомендуется адаптировать методы обнаружения и реагирования на инциденты. В статье содержится предостережение от игнорирования подозрительных действий, исходящих из мест, которые традиционно ассоциируются с безобидным поведением, поскольку злоумышленники теперь используют такие места. Вместо этого рекомендуется использовать более комплексный подход к обнаружению, выходящий за рамки географических аномалий, для эффективной борьбы с фишинговыми атаками, проводимыми с помощью локальных прокси-серверов.

#ParsedReport #CompletenessLow
13-05-2024

Darkness is coming: a new group of MorLock ransomware has increased the intensity of attacks on Russian businesses

https://www.facct.ru/blog/morlock-ransomware

Report completeness: Low

Actors/Campaigns:
Morlock (motivation: financially_motivated)

Threats:
Lockbit
Babuk
Sliver_c2_tool
Pingcastle_tool
Facefish
Godzilla_webshell
Anydesk_tool
Putty_tool
Nssm_tool

Victims:
Russian companies

Geo:
Ukraine, Russia, Russian

ChatGPT TTPs:
do not use without manual check
T1486, T1133, T1566, T1069, T1078, T1059, T1489, T1021, T1105

Soft:
Zimbra, SoftPerfect Network Scanner, PsExec, ESXi

Languages:
powershell

Links:
https://github.com/facct-ransomware/Ransomware/blob/main/MorLock

#ParsedReport #GeneratedSchema
Generated with GPT-4