#ParsedReport #CompletenessMedium
18-05-2024

Recruitment Trap for Blockchain Practitioners: Analysis of Suspected Lazarus (APT-Q-1) Secret Stealing Operation

https://www.ctfiot.com/182141.html

Report completeness: Medium

Actors/Campaigns:
Lazarus
Contagious_interview

Threats:
Anydesk_tool
Beavertail
Invisibleferret

Victims:
Developers in the blockchain industry

Industry:
Financial, Government

Geo:
Asian

ChatGPT TTPs:
do not use without manual check
T1566, T1566.002, T1059, T1557, T1553, T1105, T1110

IOCs:
Domain: 1
Hash: 63
File: 1
IP: 4

Soft:
macOS, Chrome, Opera, , Android, WeChat

Algorithms:
md5, zip, base64

Languages:
python, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста - о группе Lazarus group, организации с развитой системой защиты от постоянных угроз (APT), происходящей из Северо-Восточной Азии, известной различными кибератаками, направленными против правительственных учреждений, финансовых институтов и частных лиц в таких отраслях, как блокчейн. Недавние действия включают использование поддельных аккаунтов в социальных сетях для фишинговых атак, использование вредоносного кода JavaScript в почтовых пакетах и поиск разработчиков с помощью поддельных вакансий для развертывания вредоносного ПО и кражи информации, особенно связанной с виртуальной валютой. В целях усиления мер безопасности пользователям рекомендуется проявлять осторожность в отношении неизвестных ссылок, вложений электронной почты и загрузок программного обеспечения из неофициальных источников, чтобы снизить риски, исходящие от таких групп, как Lazarus.
-----

Группа Lazarus, предположительно имеющая корни в Северо-Восточной Азии, является организацией с развитой системой защиты от постоянных угроз (APT), история атак которой восходит к 2007 году. В 2014 году они привлекли к себе внимание всего мира благодаря атаке Sony Pictures, и с тех пор расширили свои цели, включив в них глобальные финансовые учреждения и платформы для торговли виртуальной валютой.

Lazarus проводит фишинговые атаки через поддельные аккаунты в социальных сетях, в частности, нацеливаясь на представителей определенных отраслей, предлагая фиктивные вакансии. Они используют вредоносный JavaScript-код в ZIP-пакетах для развертывания вредоносного ПО, которое крадет конфиденциальную информацию, в основном связанную с виртуальной валютой.

Злоумышленники создают ложные идентификационные данные на таких платформах, как LinkedIn и Upwork, чтобы заманить жертв к запуску предоставленного кода, что приводит к установке вредоносного ПО. Они хранят вредоносный код на таких платформах, как GitHub, GitLab и Bitbucket, чтобы жертвы могли его загрузить.

Злоумышленники нацелились на разработчиков блокчейн-индустрии, похищая криптовалютные кошельки с помощью локальных сервисов. Внедренный вредоносный код часто скрывается, чтобы избежать обнаружения.

Вредоносный JS-код взаимодействует с сервером управления (C2), загружает скрипты на Python для кражи данных из браузеров и развертывает троянские программы для несанкционированного доступа и утечки данных.

Пользователям рекомендуется избегать открытия неизвестных ссылок, вложений электронной почты из подозрительных источников, неизвестных файлов и приложений из неофициальных источников. Они также должны обеспечивать своевременное резервное копирование важных файлов и обновлять программное обеспечение с помощью последних исправлений, чтобы снизить риски, связанные с APT-группами, такими как Lazarus.

🎉 Долгожданное приглашение на AI CTF! 🎉

📅 Дата и время: с 12:00 (GMT+3) 24 мая до 23:59 (GMT+3) 25 мая
👤 Формат: Индивидуальное (команда из 1 человека)
🌐 Участие: Онлайн

Привет всем! Мы рады наконец-то анонсировать наше традиционное соревнование AI CTF в рамках Positive Hack Days для тех, кому интересна тема безопасности машинного обучения и его применение для информационной безопасности.

Вас ждут десяток заданий разного уровня сложности и 36 часов на их решение.

🎁 Призы: смарт-очки Ray-Ban Meta, VR-гарнитура Quest 3 и переносная консоль Playdate. Победитель выбирает первым!

Если будете на площадке Positive Hack Days, отметьте это в регистрации — три лучших участника получат сувениры!

🌐 Играть тут: aictf.phdays.fun
❓ Вопросы сюда: t.me/aictf1337

Какие задания были в прошлые годы: 2019, 2021, 2022

#ParsedReport #CompletenessLow
18-05-2024

Positive Technologies experts discovered a series of attacks via Microsoft Exchange Server

https://www.ptsecurity.com/ru-ru/research/pt-esc-threat-intelligence/ehksperty-positive-technologies-obnaruzhili-seriyu-atak-cherez-microsoft-exchange-server

Report completeness: Low

Threats:
Proxyshell_vuln

Victims:
Government agencies, Banks, It companies, Educational institutions

Industry:
Government, Financial

Geo:
Kuwait, Lebanon, Mauritius, African, Ethiopia, Niger, Oman, Jordan, Russia, Nigeria

ChatGPT TTPs:
do not use without manual check
T1566.001, T1056.001, T1560.001

IOCs:
File: 2

Soft:
Microsoft Exchange Server

Functions:
clkLgn

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея: В тексте рассказывается о кибератаке с использованием кейлоггера, встроенного в сервер Microsoft Exchange, жертвами которой стали более 30 человек, в основном из правительственных учреждений в Африке и на Ближнем Востоке. Хакеры использовали известные уязвимости в серверах Exchange для внедрения кейлоггера и кражи данных учетной записи. Этот инцидент подчеркивает сохраняющуюся угрозу изощренных кибератак, нацеленных на критически важную инфраструктуру и организации по всему миру, что подчеркивает важность упреждающих мер безопасности и протоколов реагирования на инциденты.
-----

Группа реагирования на инциденты Экспертного центра безопасности Positive Technologies недавно обнаружила ранее неизвестный кейлоггер, встроенный в главную страницу Microsoft Exchange Server одного из их клиентов. Этот кейлоггер собирал данные учетной записи и сохранял их в файле, доступном по определенным путям в Интернете. После этого обнаружения группа по анализу угроз в PT ESC провела тщательный анализ и выявила более 30 жертв, пострадавших от этой атаки, в основном из правительственных учреждений в разных странах. Эти атаки были совершены в 2021 году, при этом большинство жертв приходилось на регионы Африки и Ближнего Востока.

Хакеры использовали известные уязвимости в серверах Exchange, в частности эксплойт ProxyShell, для внедрения кейлоггера на главную страницу. Кроме того, они вставили код в файл logon.aspx, позволяющий передавать украденные данные учетной записи во внешний файл для удаленного доступа.

Число жертв этой атаки превысило 30 человек, включая правительственные учреждения, банки, IT-компании и образовательные учреждения. Среди пострадавших были такие страны, как Россия, ОАЭ, Кувейт, Оман, Нигер, Нигерия, Эфиопия, Маврикий, Иордания и Ливан. Positive Technologies оперативно уведомила всех жертв о компрометации и посоветовала необходимые меры по исправлению положения.

Этот инцидент подчеркивает сохраняющуюся угрозу изощренных кибератак, нацеленных на критически важные объекты инфраструктуры и организации в различных секторах и географических регионах. Определение причин этих атак остается сложной задачей из-за отсутствия точных данных, хотя основное внимание, по-видимому, уделяется организациям в Африке и на Ближнем Востоке. Усилия по разведке киберугроз играют решающую роль в обнаружении и смягчении таких угроз, подчеркивая важность упреждающих мер безопасности и протоколов реагирования на инциденты.

#ParsedReport #CompletenessLow
18-05-2024

Analysis of attack activities by APT-C-08 (Manlinghua) organization using Replit platform

https://www.ctfiot.com/182126.html

Report completeness: Low

Actors/Campaigns:
Bitter
Operation_monsoon

Threats:
Harpoon_technique

Victims:
Governments, Military industries, Universities, Overseas institutions

Industry:
Education, Military, Government

Geo:
Asia

ChatGPT TTPs:
do not use without manual check
T1566, T1547, T1552

IOCs:
File: 4

Soft:
WeChat

Languages:
php

#ParsedReport #ExtractedSchema

Classified images:
schema: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста связана с APT-C-08, также известной как Manlinghua, передовой организацией по борьбе с постоянными угрозами, имеющей правительственный опыт в Южной Азии. Они активно проводят APT-атаки на соседние страны Южной Азии, главным образом посредством фишинговой деятельности, направленной на правительства, военную промышленность, университеты и зарубежные учреждения. Тактика организации эволюционировала и теперь включает в себя использование таких платформ, как Replit и netlify.app, для создания фишинговых веб-сайтов, уделяя особое внимание недорогостоящим атакам с высокой вероятностью успеха. Эксперты по безопасности предупреждают о растущем использовании общедоступных хостинговых платформ для проведения APT-атак, подчеркивая важность бдительности пользователей, чтобы не стать жертвами таких атак. Несмотря на развитие тактики, в 2023 году в действиях Manlinghua по проведению harpoon-атак существенных изменений не произошло.
-----

APT-C-08, также известная как Manlinghua, является передовой APT, атакующей правительства Южной Азии. В последние годы они проводят APT-атаки на соседние страны Южной Азии, нацеленные на различные организации, такие как правительства, военные предприятия, университеты и зарубежные учреждения. Организация активно занимается фишинговыми атаками, в частности, использует сайты для загрузки вложений электронной почты, чтобы обманом заставить пользователей раскрыть свои учетные данные.

Одним из примечательных открытий 2023 года стало использование платформы интегрированной онлайн-среды разработки (IDE) Replit by APT-C-08 для создания фишингового веб-сайта. Это знаменует собой изменение их тактики, поскольку ранее они использовали платформы, подобные GitHub-страницам на GitHub для аналогичных целей. Кроме того, на последующих этапах атак были задействованы сторонние веб-сервисы, такие как netlify.app. Было замечено, что эти фишинговые действия Manlinghua были сосредоточены в период с июля по сентябрь 2023 года.

Методы фишинга, применяемые в организации, постоянно совершенствуются и адаптируются. Похоже, что они отдают предпочтение недорогостоящим атакам с высокой вероятностью успеха с помощью фишинга, о чем свидетельствуют их постоянные усилия по совершенствованию этих методологий. Эксперты по безопасности предупреждают, что использование общедоступных хостинговых платформ, таких как Replit, для сокрытия сетевых ресурсов, становится все более распространенным явлением при атаках APT. Поэтому пользователям крайне важно сохранять бдительность при обнаружении ссылок на ресурсы с общедоступных платформ, чтобы не стать жертвами таких атак.

Несмотря на эволюцию тактики, в 2023 году в действиях Manlinghua по атакам harpoon не произошло существенных изменений. Организация использовала Replit для разработки среды PHP для своих фишинговых кампаний, создавая поддельные страницы загрузки вложений, напоминающие широко используемые почтовые платформы, такие как 163 mailbox. Предлагая пользователям ввести свои учетные данные электронной почты, злоумышленники намеревались похитить конфиденциальную информацию. Процесс фишинга состоял из нескольких этапов, включая перенаправление пользователей на разные веб-страницы для сбора данных, что выявляло незначительные ошибки в действиях злоумышленника.

#ParsedReport #CompletenessLow
18-05-2024

Threat actors misusing Quick Assist in social engineering attacks leading to ransomware

https://www.microsoft.com/en-us/security/blog/2024/05/15/threat-actors-misusing-quick-assist-in-social-engineering-attacks-leading-to-ransomware

Report completeness: Low

Actors/Campaigns:
Storm_1811 (motivation: financially_motivated, cyber_criminal)
Shathak

Threats:
Blackbasta
Cobalt_strike
Screenconnect_tool
Netsupportmanager_rat
Qakbot
Ransom:win32/basta
Trojan:win32/basta
Turtleloader

ChatGPT TTPs:
do not use without manual check
T1566.002, T1204.002, T1059.003, T1566.001, T1071.001, T1219, T1562.001, T1021.001, T1486, T1105, have more...

IOCs:
Domain: 8
Hash: 5

Soft:
Microsoft Defender for Endpoint, Microsoft Defender, macOS, cURL, OpenSSH, PsExec

Algorithms:
sha256, zip

Functions:
count

Languages:
powershell

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в описании киберугрозы, в которой злоумышленник Storm-1811 злоупотребляет тактикой социальной инженерии, в частности вишинговыми атаками, для развертывания программы-вымогателя Black Basta путем неправильного использования инструмента управления клиентами Quick Assist. Microsoft Threat Intelligence активно отслеживает эту угрозу и предоставляет информацию о том, как ее обнаружить и защититься от нее, подчеркивая важность раннего обнаружения и предотвращения развертывания программ-вымогателей.
-----

В тексте описывается киберугроза, нацеленная на пользователей посредством атак с использованием социальной инженерии, осуществляемая злоумышленником, известным как Storm-1811, который связан с развертыванием программы-вымогателя Black Basta. Злоумышленник злоупотребляет инструментом управления клиентами Quick Assist для этих атак. Наблюдаемая активность включает в себя олицетворение с помощью голосового фишинга (vishing) для обмана пользователей и предоставления вредоносных инструментов, таких как инструменты удаленного мониторинга и управления (RMM), такие как ScreenConnect и NetSupport Manager, а также вредоносных программ, таких как Qakbot и Cobalt Strike, кульминацией которых стало внедрение программы-вымогателя Black Basta.

Microsoft Threat Intelligence активно отслеживает эту угрозу и работает над защитой клиентов от подобных вредоносных действий. Они расследуют случаи неправомерного использования Quick Assist и повышают прозрачность и доверие между помощниками и пользователями. Кроме того, Microsoft Defender для конечных точек и антивирус оснащены для обнаружения компонентов, связанных с этой угрозой.

Тактика социальной инженерии, используемая злоумышленниками, включает в себя вишинг-атаки, когда они выдают себя за ИТ-специалистов, чтобы получить доступ к целевым устройствам. Они также могут инициировать атаки по электронной почте, за которыми следуют голосовые звонки с предложением помощи, в результате чего пользователи неосознанно предоставляют доступ к своим системам. Как только доступ предоставлен, злоумышленник загружает вредоносные программы, такие как Qakbot, ScreenConnect, NetSupport Manager и Cobalt Strike, с помощью скриптовых команд.

На протяжении многих лет Qakbot играл важную роль в доставке дополнительной вредоносной информации, и в данном случае он доставил ударный маяк Cobalt, приписываемый Storm-1811. ScreenConnect помогает обеспечить постоянство и обеспечивает возможность горизонтального перемещения в скомпрометированных средах, в то время как NetSupport Manager обеспечивает злоумышленникам удаленный доступ для управления скомпрометированными устройствами и выполнения произвольных команд.

После установки начальных инструментов и получения доступа Storm-1811 приступает к перечислению доменов, перемещению по горизонтали и использует PsExec для развертывания программы-вымогателя Black Basta по всей сети. Black Basta - это закрытое программное обеспечение-вымогатель, распространяемое избранной группой злоумышленников, которые используют другие вредоносные объекты для первоначального доступа. Это подчеркивает важность того, чтобы организации сосредоточились на ранних стадиях атаки, чтобы предотвратить развертывание программ-вымогателей.

Для защиты от этой угрозы Корпорация Майкрософт рекомендует рекомендации по использованию Quick Assist и предлагает меры по снижению воздействия Black Basta и других программ-вымогателей. Антивирус Microsoft Defender способен обнаруживать различные вредоносные компоненты, связанные с этой угрозой, включая компоненты Qakbot, Black Basta и Cobalt Strike. Предупреждения о подозрительном поведении, такие как возможная активность Qakbot, использование NetSupport Manager и текущая активность злоумышленников, являются важными показателями для обнаружения потенциальных угроз.

#ParsedReport #CompletenessHigh
18-05-2024

To the Moon and back(doors): Lunar landing in diplomatic missions

https://www.welivesecurity.com/en/eset-research/moon-backdoors-lunar-landing-diplomatic-missions

Report completeness: High

Actors/Campaigns:
Turla (motivation: cyber_espionage)
Hafnium

Threats:
Lunarweb
Lunarmail
Lunarloader
Steganography_technique
Spear-phishing_technique
Smskey
Gpg4win_tool
Reflectiveloader
Zipper
Kazuar
Lightneuron

Victims:
European ministry of foreign affairs, Diplomatic missions

Industry:
Government

Geo:
Russia, China, Asia, Ukraine, Russian

TTPs:
Tactics: 10
Technics: 46

IOCs:
File: 14
Path: 15
Command: 3
Domain: 1
IP: 12
Registry: 1

Soft:
Outlook, ASP.NET, Microsoft Exchange Server, Microsoft Exchange

Algorithms:
aes, base64, aes-256, zip, rc4, rsa-4096, md5, hmac, sha256

Win API:
ReadFile

Languages:
powershell, visual_basic, lua

Platforms:
x86, x64

Links:
https://github.com/GreyCorbel/admpwd
https://github.com/davidm/luacom
https://github.com/sebastiandev/zipper
https://github.com/Mbed-TLS/mbedtls
https://github.com/eset/malware-ioc/tree/master/turla#to-the-moon-and-back-doors-lunar-landing-in-diplomatic-missions-indicators-of-compromise
https://github.com/Mbed-TLS/mbedtls/blob/995c66f702db3a004be1e3d822ffad64b2ad125f/programs/aes/aescrypt2.c
https://github.com/eset/malware-ioc/tree/master/turla#to-the-moon-and-backdoors-lunar-landing-in-diplomatic-missionsindicators-of-compromise

#ParsedReport #ExtractedSchema

Classified images:
windows: 2, schema: 2, code: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Основная идея текста заключается в выявлении двух новых бэкдоров, LunarWeb и LunarMail, приписываемых связанной с Россией группе кибершпионажа Turla, которые использовались для компрометации европейского министерства иностранных дел и его дипломатических представительств за рубежом. Также обсуждается история работы группы с высокопоставленными объектами, передовые методы, используемые в наборе инструментов Lunar, методы первоначального доступа и подробные сведения о поведении и методах коммуникации бэкдоров.
-----

Исследователи ESET выявили два новых бэкдора, LunarWeb и LunarMail, которые использовались для взлома европейского министерства иностранных дел и его дипломатических представительств и которые приписываются связанной с Россией группе кибершпионажа Turla.

Turla, также известная как Snake, нацелена на высокопоставленные организации в Европе, Центральной Азии и на Ближнем Востоке, имеющие опыт взлома таких крупных организаций, как Министерство обороны США и швейцарская оборонная компания RUAG.

Набор лунных инструментов, который будет введен в эксплуатацию как минимум с 2020 года, включает в себя передовые технологии, такие как стеганография и уникальные методы коммуникации.

Первоначальная тактика доступа включает в себя скрытый поиск и использование неправильно настроенного программного обеспечения для мониторинга сети и приложений, такого как Zabbix.

LunarMail устанавливается как надстройка Outlook, обменивается данными с помощью сообщений электронной почты и выполняет Lua-скрипты, в то время как LunarWeb работает на серверах, использующих HTTP (ы) для связи C&C и стеганографии, чтобы скрывать команды в изображениях.

LunarLoader действует как начальный загрузчик для бэкдоров, расшифровывает полезную нагрузку и использует MD5-хэш DNS-доменного имени компьютера в качестве ключа расшифровки.

Ссылка IoC "system_web.aspx", обычно ассоциируемая с ориентированным на Китай APT Hafnium в соответствующем сценарии, считается либо совпадением, либо ложным сигналом.

#ParsedReport #CompletenessLow
19-05-2024

Payload Trends in Malicious OneNote Samples

https://unit42.paloaltonetworks.com/payloads-in-malicious-onenote-samples

Report completeness: Low

Geo:
Japanese

ChatGPT TTPs:
do not use without manual check
T1566, T1204, T1559, T1105

IOCs:
Hash: 2
File: 1

Soft:
OneNote, Microsoft OneNote, Microsoft Office

Algorithms:
sha256

Win API:
WSAStringToAddressA, WSASocketW

Languages:
javascript, powershell, python

Links:
https://github.com/PaloAltoNetworks/Unit42-Threat-Intelligence-Article-Information/blob/main/Payload\_Trends\_in\_Malcious\_OneNote\_Samples-SHA256-hashes.txt
https://github.com/PaloAltoNetworks/Unit42-Threat-Intelligence-Article-Information/blob/main/Payload\_Trends\_in\_Malcious\_OneNote\_Samples-OneNote\_To\_Payload\_Mapping.csv

#ParsedReport #GeneratedSchema
Generated with GPT-4