#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея:.
Анализ, проведенный Cyble Research and Intelligence Labs (CRIL), раскрывает киберстратегии, применяемые группой SideCopy APT group в отношении Индии, в частности студентов университетов, посредством сложной кампании с использованием вредоносных веб-сайтов, спам-рассылок по электронной почте и вредоносных программ, таких как Reverse RAT и Action RAT. Расследование также выявляет потенциальную связь между SideCopy и Transparent Tribe, подчеркивая необходимость понимания скоординированных стратегий защиты от развивающихся киберугроз.
-----

В недавнем анализе, проведенном Cyble Research and Intelligence Labs (CRIL), было выявлено тщательное изучение киберстратегий, используемых группами Transparent Tribe и SideCopy APT, нацеленными на Индию. С 2019 года SideCopy APT group активно работает в странах Южной Азии, уделяя особое внимание Индии. В ходе расследования был обнаружен вредоносный веб-сайт, связанный с SideCopy group, который выявил сложную кампанию с использованием различных файлов, предназначенных для запуска вредоносного ПО. Судя по всему, группа была нацелена на студентов университетов, о чем свидетельствует документ-приманка, использованный в кампании.

Вектор атаки, используемый SideCopy, включал спам-рассылки, содержащие гиперссылки на вредоносный веб-сайт, на котором размещен архивный файл с ярлыком (LNK), запускающий процесс заражения. Файлы LNK инициировали серию действий по заражению с использованием HTAS и библиотек-загрузчиков DLL, что привело к развертыванию полезных программ, таких как Reverse RAT и Action RAT. Эти вредоносные программы подключались к серверу управления для выполнения вредоносных действий на устройстве жертвы. Анализ также показал потенциальную связь между SideCopy и Transparent Tribe, которые известны своей ориентацией на университеты и государственные учреждения, соответственно.

В ходе расследования CRIL выявила вредоносный веб-сайт, на котором размещались файлы, связанные с кампанией SideCopy. Веб-сайт содержал каталоги с надписями "экономика", "информационные технологии" и "опрос", причем каталог "опрос" ранее использовался для привлечения клиентов. Подробный анализ показал, как группа SideCopy APT использовала файлы быстрого доступа LNK в своей кампании. Взаимосвязь между SideCopy и Transparent Tribe, когда SideCopy была идентифицирована как подгруппа Transparent Tribe, еще раз подчеркнула необходимость понимания их скоординированных стратегий.

Процесс заражения обычно начинался со спам-рассылки, которая приводила к появлению вредоносного архивного файла, содержащего LNK-файл с именем "IT Trends.docx.lnk". Выполнение HTA-файлов приводило к развертыванию вредоносных DLL-файлов, инициирующих цепочку заражения. Дальнейшие действия включали создание пакетных файлов и ярлыков, запускающих выполнение вредоносных программ для сохранения данных, таких как MSFTEDIT.dll и Action RAT. Также были выявлены возможности мониторинга USB, позволяющие группе автоматически копировать определенные типы файлов с подключенных USB-устройств для передачи на удаленный сервер.

В ходе анализа были выявлены PHP-файлы, размещенные на вредоносном веб-сайте, который перенаправлял пользователей в зависимости от их операционных систем для загрузки вредоносных HTA-файлов. Сходство SideCopy с тактикой Sidewinder представляло серьезную угрозу для Индии, что требовало принятия надежных мер кибербезопасности. Использование ими сложных цепочек заражения и разнообразных средств атаки подчеркнуло необходимость в адаптируемых стратегиях защиты. Понимание новых технологий SideCopy и потенциального сотрудничества с Transparent Tribe имеет решающее значение для эффективной защиты и реагирования на инциденты, чтобы защитить критически важную инфраструктуру и данные от постоянных угроз.

#ParsedReport #CompletenessLow
16-05-2024

Ebury is alive but unseen: 400k Linux servers compromised for cryptocurrency theft and financial gain

https://www.welivesecurity.com/en/eset-research/ebury-alive-unseen-400k-linux-servers-compromised-cryptotheft-financial-gain

Report completeness: Low

Threats:
Ebury
Windigo
Aitm_technique

Victims:
Hosting providers

Geo:
Ukraine, Dutch

ChatGPT TTPs:
do not use without manual check
T1071, T1557, T1552, T1547, T1068, T1070, T1047

IOCs:
File: 1

Soft:
OpenSSH

Crypto:
bitcoin, ethereum

Links:
https://github.com/eset/malware-research/tree/master/ebury
https://github.com/eset/malware-ioc/tree/master/windigo

#ParsedReport #ExtractedSchema

Classified images:
code: 2, schema: 3, chart: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в обсуждении эволюции и деятельности кампании по борьбе с вредоносным ПО Ebury, освещении ее роста и сложности, сотрудничестве между ESET и Национальным подразделением по борьбе с преступностью в сфере высоких технологий Нидерландов, тактике, используемой Ebury group для распространения вредоносного ПО на новые серверы, а также постоянной угрозе, исходящей от Ebury, включая кражу финансовых данных и внедрение новых семейств вредоносных программ.
-----

В тексте рассказывается об эволюции и деятельности вредоносной кампании Ebury, которая является одной из самых продвинутых серверных вредоносных кампаний, число которых продолжает расти. Десять лет назад компания Ebury, впервые упомянутая в официальном документе под названием Operation Windigo, с тех пор диверсифицировалась, включив кражу кредитных карт и криптовалют. Несмотря на арест и осуждение одного из злоумышленников Ebury после операции Windigo, ботнет продолжал расширяться, используя бэкдор OpenSSH и программу для кражи учетных данных. ESET отслеживает действия Ebury с помощью honeypots, но вредоносное ПО становится все более изощренным, что затрудняет наблюдение за ним.

Сотрудничество между ESET и Национальным подразделением Нидерландов по борьбе с преступностью в сфере высоких технологий (NHTCU) в 2021 году позволило получить представление о недавней деятельности Ebury group и используемом ими вредоносном ПО. В документе раскрываются новые методы, используемые группой для распространения Ebury на новые серверы, с акцентом на хостинг-провайдеров. Подвергая риску инфраструктуру хостинг-провайдеров, группа устанавливает Ebury на серверы, арендуемые провайдерами. Эта тактика была продемонстрирована, когда ESET арендовала виртуальный сервер и установила Ebury в течение семи дней. Кроме того, группа использует злоумышленника в центре для перехвата SSH-трафика в центрах обработки данных и кражи учетных данных, в частности, для узлов Bitcoin и Ethereum.

Об эффективности кампании свидетельствует компрометация примерно 400 000 серверов с 2009 года, причем по состоянию на конец 2023 года более 100 000 серверов все еще были скомпрометированы. Временная шкала серверов, добавляемых в ботнет каждый месяц, показывает крупные инциденты, когда десятки тысяч серверов были одновременно скомпрометированы. В документе также раскрываются новые семейства вредоносных программ, используемых для использования ботнета Ebury, позволяющего красть финансовые данные с веб-сайтов, связанных с транзакциями, с помощью спама, перенаправления веб-трафика и HTTP POST-запросов.

Кроме того, само семейство вредоносных программ Ebury было обновлено до новой основной версии 1.8, представленной в конце 2023 года. Это обновление включает в себя новые методы обфускации, алгоритм генерации домена (DGA) и улучшения в рутките userland, используемом для сокрытия Ebury от системных администраторов. Вредоносная программа предназначена для сокрытия своих процессов, файлов, сокетов и подключенной памяти, когда она активна.

#ParsedReport #CompletenessLow
16-05-2024

APT41s concealment and hiding methods

https://www.ctfiot.com/181184.html

Report completeness: Low

Actors/Campaigns:
Winnti

ChatGPT TTPs:
do not use without manual check
T1564.004, T1574.002, T1112, T1053.005, T1027

IOCs:
File: 2

Soft:
Windows Installer, Component Object Model

#ParsedReport #ExtractedSchema

Classified images:
schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что APT41, опытный злоумышленник, использует передовые и запутанные методы, такие как манипулирование COM-объектами, хранение рекламы и шифрование, для сокрытия и выполнения своих вредоносных действий, что затрудняет специалистам по кибербезопасности обнаружение и устранение угроз.
-----

APT41, опытный злоумышленник, использует скрытый метод для внедрения вредоносного кода, подделывая пакетный файл, расположенный в папке разработки игры на общем сетевом диске. Первоначальной целью этого пакетного файла было облегчить обновление игрового сервера. Когда разработчик по незнанию запускает измененный пакетный файл, он запускает загрузку вредоносного установочного файла MSI с помощью средства установки Microsoft Windows (MSIExec). Этот вредоносный MSI-файл состоит из вредоносной библиотеки DLL и скрипта, который обеспечивает сохранение библиотеки DLL в системе.

В отличие от обычных методов, при которых злоумышленники захватывают законные объекты компонентной объектной модели (COM), APT41 использует более сложный подход. Они генерируют два COM-объекта, один из которых указывает на подлинную библиотеку Windows DLL (AppLockerCSP.dll), а другой - на вредоносную библиотеку DLL. Настроив первый объект для перенаправления на второй, они гарантируют, что когда другие приложения будут запрашивать первый объект, вредоносный код из второго объекта будет выполнен. Этот метод в сочетании с созданием запланированной задачи, которая ежедневно вызывает кажущийся безобидным COM-объект, позволяет незаметно выполнить вредоносный код.

В описании запланированной задачи не указан путь к вредоносной библиотеке DLL, что затрудняет обнаружение аномалий с помощью рутинных проверок. Программное обеспечение для обеспечения безопасности должно уметь привязывать идентификатор GUID COM-объекта к фактическому пути к библиотеке DLL и понимать механизм перенаправления COM для эффективного выявления вредоносной активности. Использование APT41 скрытности посредством манипулирования COM-объектами и перенаправления значительно усложняет процесс обнаружения.

Дальнейший анализ показывает, что вредоносная библиотека DLL скрыта в системе с помощью функции переменного потока данных (ADS) NTFS, которая хранится в зоне с именем ADS.Идентификатор. Чтобы избежать использования обычных методов сканирования файлов, содержимое PE-файла в ADS шифруется с использованием алгоритма RC6. Исследователи приложили усилия к выявлению библиотеки шифрования CryptoCycle, используемой загрузчиком, и разработали сценарий для расшифровки конечного вредоносного кода — бэкдора.

Таким образом, APT41 демонстрирует высокий уровень сложности, используя сложные методы, такие как манипулирование COM-объектами, хранение рекламы и шифрование, для сокрытия и выполнения своих вредоносных действий. Их способность обходить обычные механизмы обнаружения подчеркивает постоянную проблему, с которой сталкивается сообщество кибербезопасности при выявлении и устранении продвинутых угроз.

#ParsedReport #CompletenessLow
16-05-2024

APT-C-08Replit. Analysis of attack activities by APT-C-08 (Manlinghua) organization using Replit platform

https://www.ctfiot.com/181253.html

Report completeness: Low

Actors/Campaigns:
Bitter
Dropping_elephant

Threats:
Harpoon_technique

Victims:
Governments, Military industries, Universities, Overseas institutions

Industry:
Government, Military, Education

Geo:
Asia

ChatGPT TTPs:
do not use without manual check
T1566.002, T1552.001, T1587.001, T1583.001

IOCs:
File: 4

Soft:
WeChat

Languages:
php

#ParsedReport #ExtractedSchema

Classified images:
schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в том, что APT-C-08, также известная как Manlinghua, является группой, действующей в Южной Азии при поддержке правительства. Группа осуществляет APT-атаки, нацеленные на различные организации, используя тактику фишинга, и в 2023 году в их методах произошли последние изменения. В тексте освещается эволюция организаций APT из Южной Азии в адаптации их методов для успешных атак, в частности, подчеркивается продолжающаяся и совершенствующаяся фишинговая деятельность Manlinghua и важность усиления мер безопасности аналитиками в ответ на эти атаки с использованием гарпуна.
-----

APT-C-08, также известная как Manlinghua, действует в Южной Азии при поддержке правительства. На протяжении многих лет эта группа проводила атаки APT на различные организации, такие как правительства, военные предприятия, университеты и зарубежные учреждения в соседних странах Южной Азии. Их тактика в основном заключается в фишинговых атаках, направленных на получение учетных данных пользователей через сайты загрузки вложений электронной почты.

В ходе недавней атаки 2023 года было замечено, что Manlinghua использовала онлайн-платформу Replit для создания фишингового веб-сайта, что ознаменовало изменение их методов фишинга. Это свидетельствует о том, что организации APT из Южной Азии адаптируют и развивают свои методы для проведения успешных атак. Ранее они использовали платформы, подобные GitHub-страницам, для аналогичных целей. Несмотря на изменение платформы, другие сторонние веб-сервисы, такие как netlify.app, остаются последовательными в своих действиях по атакам.

Фишинговая деятельность Manlinghua продолжается уже много лет и постоянно совершенствуется, что свидетельствует о том, что организация отдает предпочтение недорогим методам атаки с высокой вероятностью успеха. Аналитикам по безопасности крайне важно сохранять бдительность и усиливать меры безопасности в ответ на подобные атаки с использованием гарпуна. В операциях APT-атак все чаще используются общедоступные хостинговые платформы для сокрытия сетевых ресурсов, что подчеркивает важность проверки безопасности ссылок на ресурсы с общедоступных платформ.

В 2023 году не произошло существенных изменений в процедурах гарпунной атаки, организованных компанией Manlinghua. Организация использовала функциональные возможности онлайн-платформы Replit IDE для создания среды PHP для своего фишингового веб-сайта, специально предназначенной для проверки учетных данных электронной почты пользователей, имитируя знакомую страницу загрузки вложений электронной почты. Злоумышленники использовали такую тактику, как перенаправление с одного PHP-файла на HTML-файл и изменение адреса отправки формы, чтобы продолжить сбор информации о пользователях.

#ParsedReport #CompletenessLow
16-05-2024

QakBot attacks with Windows zero-day (CVE-2024-30051)

https://securelist.com/cve-2024-30051/112618

Report completeness: Low

Threats:
Qakbot
Trojan.win32.generic;
Trojan.win32.agent.gen
Cobalt_strike

CVEs:
CVE-2023-36033 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- microsoft windows 10 1809 (<10.0.17763.5122, 10.0.17763.529, 10.0.17763.404, 10.0.17763.1432, 10.0.17763.557)
- microsoft windows 10 21h2 (<10.0.19041.3693, 10.0.19041.3570, -)
- microsoft windows 10 22h2 (<10.0.19045.3693, 10.0.19045.3516, 10.0.19045.2311, 10.0.19045.3155, 10.0.19045.3086)
- microsoft windows 11 21h2 (<10.0.22000.2600, 10.0.22000.493, 10.0.22000.1880, 10.0.22000.258, 10.0.22000.318)
- microsoft windows 11 22h2 (<10.0.22621.2715, 10.0.22621.2134, 10.0.22621.1485, -, 10.0.22621.1194)
have more...
CVE-2024-30051 [Vulners]
CVSS V3.1: 7.8,
Vulners: Exploitation: Unknown
X-Force: Risk: Unknown
X-Force: Patch: Unknown


ChatGPT TTPs:
do not use without manual check
T1068, T1190, T1210, T1566

Soft:
Windows DWM Core Library

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: Команда специалистов по кибербезопасности исследует уязвимость нулевого дня в базовой библиотеке Windows DWM, выявляет новый эксплойт для повышения привилегий, сообщает об этом корпорации Майкрософт, отслеживает атаки и планирует опубликовать технические подробности после того, как пользователи обновят свои системы. Продукты Kaspersky были обновлены для обнаружения использования этой уязвимости и связанных с ней вредоносных программ.
-----

В начале апреля 2024 года команда специалистов по кибербезопасности исследовала уязвимость CVE-2023-36033, связанную с повышением прав доступа к базовой библиотеке Windows DWM, - эксплойт нулевого дня, обнаруженный в открытом доступе. Изучая соответствующие образцы, они наткнулись на подозрительный документ на сайте VirusTotal с подробным названием файла, указывающим на то, что в нем содержится информация об уязвимости операционной системы Windows. В документе описывалась другая уязвимость Windows Desktop Window Manager (DWM), которая позволяла повысить привилегии, но качество написания и отсутствующие детали вызывали сомнения в его достоверности.

Несмотря на первоначальный скептицизм, команда подтвердила существование новой уязвимости нулевого дня, способной к повышению привилегий. Они незамедлительно сообщили об этом как о CVE-2024-30051 в Microsoft, которая выпустила исправление 14 мая 2024 года, во вторник обновления. После этого команда провела мониторинг на предмет эксплойтов и атак, использующих эту уязвимость, и в середине апреля обнаружила эксплойт. Эксплойт был обнаружен в сочетании с QakBot и другими вредоносными программами, что позволяет предположить, что доступ к нему имели несколько участников угроз.

Команда намерена опубликовать технические подробности о CVE-2024-30051, как только у пользователей будет достаточно времени для обновления своих систем Windows. Продукты Kaspersky были обновлены для обнаружения использования этой уязвимости и связанных с ней вредоносных программ.

#ParsedReport #CompletenessLow
16-05-2024

Poll Vaulting: Cyber Threats to Global Elections

https://cloud.google.com/blog/topics/threat-intelligence/cyber-threats-global-elections

Report completeness: Low

Actors/Campaigns:
Cyberberkut (motivation: hacktivism)
Marnanbridge
Haienergy
Sandworm
Xaknet
Cyberarmyofrussia
Solntsepek
Seaborgium
Dcleaks
Fancy_bear
Killnet
Anonymous_sudans
Moldova_leaks
Noname057
Jokerdnr
Beregini
Frwl
Secondary_infektion
Rusponder
Ghostwriter
Unc2589
Unc5101
Duke
Charming_kitten
Irgc
Fox_kitten
Mosesstaff
Ta428 (motivation: cyber_espionage)
Winnti
Apt31
Leviathan
Unc3658
Unc4713
Dragonbridge
Kimsuky

Threats:
Log4shell_vuln
Sogu_sec
Brownspark
Airbreak
Spear-phishing_technique

Victims:
Ukrainian presidential election infrastructure, U.s. state voter registration websites, Ukrainian government agencies, Political parties, News and social media, Election-related targets

Industry:
Energy, Financial, Education, Government, Telco, Ngo, Transport, Military

Geo:
Africa, Palestinian, Georgia, Philippines, Korea, Iran, Russia, Indian, Italy, Philippine, Canadian, Indonesia, Canada, Ukrainians, Taiwanese, Myanmar, Singapore, India, France, American, Chinese, Asia, Indonesian, Ukrainian, Israel, Cambodia, Dprk, Tibet, Iranian, Belarusian, Oceania, Bahraini, Korean, Taiwan, Russian, Australian, China, Australia, Ukraine, America

CVEs:
CVE-2021-44228 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- apache log4j (2.0, <2.15.0, <2.3.1, <2.12.2)
- siemens sppa-t3000 ses3000 firmware (*)
- siemens logo\! soft comfort (*)
- siemens spectrum power 4 (4.70)
- siemens siveillance control pro (*)
have more...

ChatGPT TTPs:
do not use without manual check
T1566, T1190, T1486, T1498, T1105, T1567, T1204, T1491, T1573, T1565, have more...

IOCs:
File: 2

Soft:
Telegram, Windows Installer, TikTok

#ParsedReport #ExtractedSchema

Classified images:
schema: 4, table: 4, chart: 2, code: 2

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: Глобальная система кибербезопасности на выборах сложна и включает в себя широкий спектр участников, представляющих угрозы, таких как спонсируемые государством субъекты, киберпреступники, хактивисты и инсайдеры. Спонсируемые государством субъекты, особенно из России, Ирана, Китая и Северной Кореи, представляют значительный риск для безопасности выборов в результате кибератак, кампаний по дезинформации и подрывной деятельности. Обеспечение безопасности выборов требует комплексных стратегий, которые защищают машины для голосования, реестры, политические организации, средства массовой информации и социальные платформы. Сотрудничество, обмен разведывательными данными и активные меры безопасности имеют решающее значение для защиты от киберугроз и обеспечения честности выборов.
-----

Глобальный ландшафт кибербезопасности выборов сложен, поскольку различные субъекты, представляющие угрозу, нацелены на выборы.

Субъекты, финансируемые государством, представляют наиболее серьезную угрозу кибербезопасности, осуществляя кибервзломы, подрывные действия и информационные операции.

Злоумышленники используют такие тактики, как глубокие фейки и DDoS-атаки, чтобы повлиять на общественное восприятие и выбор избирателей.

Стратегии кибербезопасности на выборах должны включать понимание различных направлений угроз, таких как фишинг, кража данных и кампании по дезинформации.

Обеспечение безопасности выборов включает в себя защиту машин для голосования, реестров, политических организаций, новостных агентств и платформ социальных сетей.

Киберугрозы, спонсируемые государством, включают в себя такие примеры, как КиберБеркут российских хактивистов, нацеленный на президентские выборы в Украине в 2014 году.

Ожидается, что на будущих выборах спонсируемые государством субъекты из России, Ирана, Китая и Северной Кореи сосредоточат свое внимание на целях, связанных с выборами.

Mandiant оценивает киберугрозы со стороны России, Ирана, Китая и Северной Кореи как значительные риски для выборов в конкретных регионах.

Организациям рекомендуется заблаговременно подготовить инфраструктуру к потенциальным атакам и укрепить ее, а также использовать передовые средства обеспечения безопасности.

#ParsedReport #CompletenessLow
15-05-2024

Detecting Compromise of CVE-2024-3400 on Palo Alto Networks GlobalProtect Devices

https://www.volexity.com/blog/2024/05/15/detecting-compromise-of-cve-2024-3400-on-palo-alto-networks-globalprotect-devices

Report completeness: Low

Actors/Campaigns:
Uta0218

Geo:
Chinese

CVEs:
CVE-2024-3400 [Vulners]
CVSS V3.1: 10.0,
Vulners: Exploitation: True
X-Force: Risk: Unknown
X-Force: Patch: Unknown
Soft:
- paloaltonetworks pan-os (10.2.0, 10.2.1, 10.2.2, 10.2.3, 10.2.4)


ChatGPT TTPs:
do not use without manual check
T1190, T1070.004, T1039, T1059, T1069.001, T1562.001, T1552.001, T1053.005, T1041

IOCs:
File: 3
IP: 3

Soft:
PAN-OS, openssl, Volexity Volcano

Algorithms:
gzip, base64

Links:
https://github.com/volexity/threat-intel/blob/main/2024/2024-04-12%20Palo%20Alto%20Networks%20GlobalProtect/indicators/rules.yar