🎢 Триллер из Вегаса

Интересное чтение на выходные от WSJ: захватывающая история взлома знаменитых казино бандой молодых рансомварщиков.

Очень хочется, конечно, сопоставить расходы и потери бизнеса на разные планы реагирования, которые были у пострадавших казино, но для такого анализа недостаточно данных.

Ещё один важный момент, который должны учитывать CISO крупных организаций — злоумышленники всё чаще применяют гибридные схемы, в которых чисто технические приёмы вроде фишинга сочетаются с уловками из арсенала аферистов, например, весьма артистичными звонками.

Вот компоненты, которые порой сочетаются все вместе:
1️⃣ Фальшивые коллеги
2️⃣ Подмена номера телефона или клонирование SIM-карты
3️⃣ BEC и внедрение в переписку

#советы @П2Т

➡️ Интересные разборы APT и важные новости ИБ за неделю:

🐀 Разбор деятельности новой азиатской APT CoralRaider, которая является финансово мотивированной и ворует всё что плохо лежит: учётные данные, финансовую информацию, корпоративные соцмедиа-аккаунты и рекламные кабинеты. География APT довольно широка, а основными инструментами группировки являются переработанный троянец QuasarRAT и инфостилер XClient.

⏳ Анализ бэкдора в XZ utils продолжается, новые технические находки, включая троянизацию дополнительных функций в библиотеке перечислены в этом посте.

👩‍💻 Отчёт о новом семействе веб-скиммеров Shoplift, способном заражать сайты как на Magento, так и на Wordpress.

↪️ Подробный технический анализ ВПО UNAPIMON, применяемого группой APT41/Earth Freybug. Оно примечательно тем, что снимает перехваты API-вызовов для своего дочернего процесса (API unhooking), по сути избавляя его от мониторинга многими защитными решениями.

🌚 Новые версии Qbot/Qakbot — уже окончательно понятно, что прошлогодняя облава совсем не снизила энтузиазм разработчиков и их «клиентов».

👀 Эволюционирует и активно распространяется с вредоносным спамом и конкурирующее семейство PikaBot.

Разбор нового ВПО Latrodectus. Это сложный загрузчик с продвинутыми функциями обмана песочниц. Авторы считают, что он написан разработчиками IceID.

🗿 Детальный отчёт об инциденте с Nokoyawa ransomware: пошагово расписаны действия атакующих, начиная с отправки вредоносного вложения OneNote и разворачивания IceID, через неспешный сбор данных о сети, расширение присутствия при помощи AnyDesk и RDP, и вплоть до (не вполне успешного) шифрования.

✈️ Небольшой разбор процесса оптимизации детектов на примере APT Sidewinder.

#дайжест #APT @П2Т

➡️ Интересные разборы APT и важные новости ИБ за неделю:

😎 Обзор индустрии коммерческого шпионского ПО (stalkerware) за 2023-2024 год. Россия входит в топ стран, где обнаруживались жертвы такой слежки, а самым популярным ВПО стал TrackView.

⤵️ Использование LOTL не ограничивается повышением привилегий, перемещением по сети и шифрованием, для эксфильтрации данных всё чаще применяют легитимные инструменты резервного копирования, например restic.

⚙️ Хороший практический пример использования ATT&CK и STIX для анализа возможной угрозы в применении к инфраструктуре конкретной компании. Чтобы было интереснее, взяли ОТ-угрозу, а именно Pipedream/Incontroller.

🔓 Разбор новой многоэтапной разновидности ВПО STOPCRYPT, которая без лишней помпы в СМИ продолжает использоваться в ransomware-атаках на частных лиц (типичный выкуп 1-2 тыс. дол.).

🏪Тем временем китаеязычных пользователей атакуют троянизированными версиями текстовых редакторов. Распространение — через вредоносную рекламу.

⭐️Азиатские акторы продолжают оттачивать атаки на водопой — посетители тибетского фестиваля в Индии были заражены через сайт этого фестиваля. Атаку приписывают группе Evasive Panda.

♻️ Подробное исследование рынка домашних прокси, столь любимых APT в последнее время.

📧 Разбор шпионских атак RedCurl/RedWolf/EarthKapre, продолжающих эффективно применять фишинговые письма со вложенными файлами ISO и IMG. Цели атак находятся в России и многих странах Европы.

❗️ Новая версия Bunnyloader 3.0 — теперь с возможностью заражения без создания файла на диске, а также солидным набором функций стилера (перехват нажатий клавиатуры, кража паролей и буфера обмена).

🔓 Два обзора ВПО RA World (1, 2), ранее называвшегося RA Group. Одноименная группировка вымогателей преимущественно атакует организации в сфере финансов и здравоохранения.

#дайжест #APT @П2Т