What's new arround internet
| Src | Date (GMT) | Titre | Description | Tags | Stories | Notes |
 |
2024-07-08 20:38:00 | Les journaux de logiciels malveillants sombres exposent 3 300 utilisateurs liés aux sites de maltraitance des enfants Dark Web Malware Logs Expose 3,300 Users Linked to Child Abuse Sites (lien direct) |
Une analyse des journaux de logiciels malveillants de volée publié sur le Web Dark a conduit à la découverte de milliers de consommateurs de matériel d'abus sexuel pour enfants (CSAM), indiquant comment de telles informations pourraient être utilisées pour lutter contre les crimes graves.
"Environ 3 300 utilisateurs uniques ont été trouvés avec des comptes sur des sources CSAM connues", a déclaré Future Record, dans un rapport de preuve de concept (POC) publié la semaine dernière."
An analysis of information-stealing malware logs published on the dark web has led to the discovery of thousands of consumers of child sexual abuse material (CSAM), indicating how such information could be used to combat serious crimes. "Approximately 3,300 unique users were found with accounts on known CSAM sources," Recorded Future said in a proof-of-concept (PoC) report published last week. " |
Malware | ||
 |
2024-07-08 16:00:00 | Le nouveau logiciel malveillant des nuages APT frappe les cibles russes New APT CloudSorcerer Malware Hits Russian Targets (lien direct) |
Le malware Issues Commands via une table Charcode à code en dur et des interfaces d'objet Microsoft COM
The malware issues commands via a hardcoded charcode table and Microsoft COM object interfaces |
Malware | ||
|
2024-07-08 15:23:00 | Les experts mettent en garde contre le cheval de Troie bancaire Mekotio ciblant les pays d'Amérique latine Experts Warn of Mekotio Banking Trojan Targeting Latin American Countries (lien direct) |
Les institutions financières en Amérique latine sont menacées par un troyen bancaire appelé Mekotio (alias Melcoz).
Cela \\ est selon les résultats de Trend Micro, qui a déclaré avoir récemment observé une vague de cyberattaques distribuant le malware Windows.
Mekotio, connu pour être activement utilisé depuis 2015, est connu pour cibler les pays d'Amérique latine comme le Brésil, le Chili, le Mexique, l'Espagne, le Pérou et le Portugal
Financial institutions in Latin America are being threatened by a banking trojan called Mekotio (aka Melcoz). That\'s according to findings from Trend Micro, which said it recently observed a surge in cyber attacks distributing the Windows malware. Mekotio, known to be actively put to use since 2015, is known to target Latin American countries like Brazil, Chile, Mexico, Spain, Peru, and Portugal |
Malware Prediction | ||
 |
2024-07-08 15:06:59 | Faits saillants hebdomadaires, 8 juillet 2024 Weekly OSINT Highlights, 8 July 2024 (lien direct) |
## Instantané La semaine dernière, les rapports OSINT de \\ mettent en évidence une gamme de cyberattaques sophistiquées dirigés par des groupes APT alignés par l'État et des cybercriminels motivés par l'État, exploitant des vulnérabilités comme [CVE-2021-40444] (https://sip.security.microsoft.com/Intel-Profiles / CVE-2021-40444) et [CVE-2023-1389] (https://sip.security.microsoft.com/intel-explorer/cves/cve-2023-1389/) pour déployer des logiciels spy et des botnets.Des acteurs parrainés par l'État tels que la tribu transparente de Kimsuky et Pakistan de la Corée du Nord se sont concentrés sur l'espionnage, le ciblage du monde universitaire et le personnel militaire avec des logiciels malveillants comme Translatext et Caprarat.Pendant ce temps, des groupes à motivation financière comme le déploiement de la pruche ont mené de vastes campagnes de logiciels malveillants.Les réseaux sociaux et les menaces basés sur le téléphone étaient également proéminents, les attaques tirant parti des applications Android, du phishing SMS et du contenu généré par l'IA sur des plateformes comme YouTube. ## Description 1. ** [Exploitation de CVE-2021-40444 dans les attaques récentes] (https: // sip.security.microsoft.com/intel-explorer/articles/15df6ab5)**: Fortiguard Labs a identifié des attaques exploitant la vulnérabilité CVE-2021-40444Microsoft Office pour déployer les logiciels espions Merkspy.Le vecteur initial est un document Word malveillant qui, à l'ouverture, déclenche le téléchargement d'un fichier HTML contenant ShellCode intégré pour charger MerkSpy dans les processus système. 2. ** [Copycop Influence Network Ciblers 2024 Élections américaines] (https://sip.security.microsoft.com/intel-explorer/articles/fc24601e) **: enregistré les rapports futurs que le réseau Copycop lié à la russe utilise un générateur générateurAI pour créer de faux sites Web et des personnages pour influencer les élections américaines de 2024.Ce réseau emploie des fesses profondes et des contenus générés par l'IA pour cibler les dirigeants politiques de l'UE et de l'Ukraine, tirant parti de points de vente conservateurs et d'hôtes basés aux États-Unis pour obscurcir ses origines. 3. ** [Déplacement de la pruche \\ est étenduCampagne de distribution de logiciels malveillants] (https://sip.security.microsoft.com/intel-explorer/articles/7b39eb7e) **:Krakenlabs a découvert une campagne à grande échelle en dépassant la pruche, en distribuant des logiciels malveillants comme Redline et Amadey via des fichiers compressés imbriqués.Ce groupe motivé financièrement a utilisé des techniques d'obscurcissement sophistiquées et des organisations ciblées dans le monde entier, avec une activité importante retracée en Europe de l'Est. 4. ** [La nouvelle extension de Chrome de Kimsuky \\ cible le monde universitaire sud-coréen] (https://sip.security.microsoft.com/intel-explorer/articles/c58faf92) **: Zscaler KneareLabz a identifié le groupe nord-coréen APT Group APT GroupKimsuky (Emerald Sleet) utilisant une nouvelle extension chromée, tradlaxt, pour voler des données aux universitaires sud-coréens.Le malware, distribué via un fichier de leurre, rassemble des informations sensibles et communique avec un serveur C2, ciblant les chercheurs axés sur la Corée du Nord. 5. ** [Mises à jour de la campagne Caprarat de Transparent Tribe \'s] (https://sip.security.microsoft.com/intel-explorer/articles/d62a3110) **: Sentinellabs a trouvé de nouveaux packages Android Caprarat liés au Pakistan-Tribu transparent aligné, ciblant le gouvernement indien et le personnel militaire.Les APK mis à jour, déguisés en applications de navigation vidéo, ont augmenté la compatibilité avec les appareils Android plus récents et continuent l'accent du groupe \\ sur la surveillance et la collecte de données. 6. ** [BOTNETS EXPLOITIONS LINUX Cloud serveurs] (https://sip.security.Microsoft.com/intel-explorer/articles/36146b72)**: Fortiguard Labs observés de botnets comme instables e | Malware Tool Vulnerability Threat Mobile Cloud | APT 36 | |
 |
2024-07-08 15:02:49 | Les bases de la cybersécurité industrielle peuvent aider à protéger les opérateurs de technologie opérationnelle APAC: Dragos Industrial Cyber Security Basics Can Help Protect APAC Operational Technology Operators: Dragos (lien direct) |
Les utilisateurs de technologies opérationnels sont confrontés à des défis, notamment la communication entre l'ingénierie des processus et les équipes de cybersécurité, une croissance des logiciels malveillants et des ransomwares, et des initiés faisant des erreurs de technologie de base.
Operational technology users face challenges including communication between process engineering and cyber security teams, a growth in malware and ransomware, and insiders making basic technology mistakes. |
Ransomware Malware Industrial | ||
 |
2024-07-08 14:00:00 | Enhardi et évolutif: un instantané des cyber-menaces auxquelles l'OTAN est confrontée à l'OTAN Emboldened and Evolving: A Snapshot of Cyber Threats Facing NATO (lien direct) |
Written by: John Hultquist
As North Atlantic Treaty Organization (NATO) members and partners gather for a historic summit, it is important to take stock of one of its most pressing challenges-the cyber threat. The Alliance faces a barrage of malicious cyber activity from all over the globe, carried out by emboldened state-sponsored actors, hacktivists, and criminals who are willing to cross lines and carry out activity that was previously considered unlikely or inconceivable. In addition to military targets, NATO must consider the risks that hybrid threats like malicious cyber activity pose to hospitals, civil society, and other targets, which could impact resilience in a contingency. The war in Ukraine is undoubtedly linked to escalating cyber threat activity, but many of these threats will continue to grow separately and in parallel. NATO must contend with covert, aggressive malicious cyber actors that are seeking to gather intelligence, preparing to or currently attacking critical infrastructure, and working to undermine the Alliance with elaborate disinformation schemes. In order to protect its customers and clients, Google is closely tracking cyber threats, including those highlighted in this report; however, this is just a glimpse at a much larger and evolving landscape. Cyber Espionage NATO\'s adversaries have long sought to leverage cyber espionage to develop insight into the political, diplomatic, and military disposition of the Alliance and to steal its defense technologies and economic secrets. However, intelligence on the Alliance in the coming months will be of heightened importance. This year\'s summit is a transition period, with the appointment of Mark Rutte as the new Secretary General and a number of adaptations expected to be rolled out to shore up the Alliance\'s defense posture and its long-term support for Ukraine. Successful cyber espionage from threat actors could potentially undermine the Alliance\'s strategic advantage and inform adversary leadership on how to anticipate and counteract NATO\'s initiatives and investments. NATO is targeted by cyber espionage activity from actors around the world with varying capabilities. Many still rely on technically simple but operationally effective methods, like social engineering. Others have evolved and elevated their tradecraft to levels that distinguish themselves as formidable adversaries for even the most experienced defenders. APT29 (ICECAP) Publicly attributed to the Russian Foreign Intelligence Services (SVR) by several governments, APT29 is heavily focused on diplomatic and political intelligence collection, principally targeting Europe and NATO member states. APT29 has been involved in multiple high-profile breaches of technology firms that were designed to provide access to the public sector. In the past year, Mandiant has observed APT29 targeting technology companies and IT service providers in NATO member countries to facilitate third-party and software supply chain compromises of government and poli |
Ransomware Malware Tool Vulnerability Threat Legislation Medical Cloud Technical | APT 29 APT 28 | |
 |
2024-07-08 13:13:46 | Explorer l'utilisation de JavaScript V8 compilée dans les logiciels malveillants Exploring Compiled V8 JavaScript Usage in Malware (lien direct) |
> Auteur: Moshe Marelus Introduction Au cours des derniers mois, la RCR a enquêté sur l'utilisation de V8 JavaScript compilé par des auteurs de logiciels malveillants.Le V8 JavaScript compilé est une fonctionnalité moins connue du moteur JavaScript de Google \\, qui permet la compilation de JavaScript en bytecode de bas niveau.Cette technique aide les attaquants à échapper aux détections statiques et à cacher leur code source d'origine, [& # 8230;]
>Author: Moshe Marelus Introduction In recent months, CPR has been investigating the usage of compiled V8 JavaScript by malware authors. Compiled V8 JavaScript is a lesser-known feature in V8, Google\'s JavaScript engine, that enables the compilation of JavaScript into low-level bytecode. This technique assists attackers in evading static detections and hiding their original source code, […] |
Malware | ||
 |
2024-07-08 12:06:12 | Comment empêcher l'usurpation par e-mail avec DMARC How to Prevent Email Spoofing with DMARC (lien direct) |
Email-based attacks are the number one attack vector for cybercriminals. These attacks do not always require a high level of technical sophistication to carry out. And because the human factor is involved, there is almost no doubt they will endure as a favored tactic. One way bad actors can greatly increase their chances of a successful attack is when they can make a recipient believe that they are interacting with a person or a brand that they know or trust. “Email spoofing” plays a critical role in helping to create this illusion. In this blog post, we\'ll explain how email spoofing works, why it causes havoc, and how DMARC can protect your business. How bad actors use email spoofing When an attacker uses email spoofing, they are forging the sending address so that the message appears to come from a legitimate company, institution or person. Bad actors use spoofed domains to initiate attacks like phishing, malware and ransomware, and business email compromise (BEC). Here is a closer look at these strategies. Phishing attacks. A bad actor sends a spoofed email, pretending to be from a legitimate source like a bank, government agency or a known company. Their aim is to get the recipient to reveal sensitive information, like login credentials, financial information or personal data. Malware. Spoofed email can contain malicious attachments or links. When a user clicks on them, they trigger the delivery of viruses, ransomware, spyware or other types of malicious software. These tools help attackers to steal data, disrupt operations or take control of systems. Business email compromise (BEC). Many threat actors use spoofed email to trick employees, partners or customers into transferring money or giving up sensitive information. It can be a lucrative endeavor. Consider a recent report from the FBI\'s Internet Crime Complaint Center, which notes that losses from BEC attacks in 2023 alone were about $2.9 billion. Negative effects of email spoofing When an attacker spoofs legitimate domains and uses them in attacks, the negative repercussions for companies can be significant. Imagine if your best customer believed that they were communicating with you, but instead, they were interacting with an attacker and suffered a significant financial loss. Unfortunately, these scenarios play out daily. And they can lead to the following issues, among others. The loss of trust If attackers succeed in their efforts to spoof a company\'s domain and use it to send phishing emails or other malicious communications, recipients may lose trust in that business. When users receive spoofed emails that appear to come from a brand they trust, they may become wary of future communications from that brand. They will lose confidence in the company\'s ability to protect their information. Damage to brand image As noted earlier, a spoofed domain can tarnish a company\'s brand image and reputation. If recipients fall victim to phishing or other scams that involve spoofed domains, they may associate the business or brand with fraudulent or unethical behavior. Financial losses Spoofed domain attacks can result in financial losses for companies in two main ways. Direct financial losses. Such losses can occur when attackers use spoofed domains to carry out fraudulent activities like the theft of sensitive data or unauthorized transactions. Indirect financial losses. These losses take the form of costs associated with attack mitigation. They can stem from incident investigation, the implementation of security improvements, and efforts designed to help repair the company\'s damaged reputation. Customer dissatisfaction Customers who are victims of spoofed domain attacks may experience frustration and anger. They may be motivated to write negative reviews of a company or issue complaints. Certainly, their level of customer satisfaction will take a hit. Over time, repeated incidents of spoofing attacks | Ransomware Spam Malware Tool Threat Legislation Technical | ||
 |
2024-07-08 11:45:18 | ISP majeur accusé d'attaque de logiciels malveillants de masse contre les clients Major ISP Accused of Mass Malware Attack on Customers (lien direct) |
Un important ISP sud-coréen est accusé d'avoir installé des logiciels malveillants sur plus de 600 000 clients \\ 'PCS pour freiner Torrent & # 8230;
A major South Korean ISP is accused of installing malware on over 600,000 customers\' PCs to curb torrent… |
Malware | ||
 |
2024-07-08 11:00:00 | Comprendre Rafel Rat et son rôle dans les attaques de ransomwares mobiles Understanding Rafel RAT and Its Role in Mobile Ransomware Attacks (lien direct) |
> Rafel Rat est un type de logiciels malveillants qui permet aux attaquants de prendre un contrôle total sur un appareil mobile victime.Une fois installé, Rafel Rat peut effectuer une variété d'activités malveillantes, telles que le vol d'informations sensibles, l'accès aux fonctions de caméra et de microphone, et, de plus en plus, le déploiement de ransomwares. & # 160;Le ransomware mobile est un type de [& # 8230;]
>Rafel RAT is a type of malware that allows attackers to gain complete control over a victim’s mobile device. Once installed, Rafel RAT can perform a variety of malicious activities, such as stealing sensitive information, accessing camera and microphone functions, and, increasingly, deploying ransomware. Mobile ransomware is a type of […] |
Ransomware Malware Mobile | ||
|
2024-07-06 22:13:56 | Les chercheurs suivent les identités et les emplacements des utilisateurs de CSAM via des journaux de logiciels malveillants Researchers Track Identities and Locations of CSAM Users via Malware Logs (lien direct) |
Les nouvelles recherches alarmantes expose des milliers de consommateurs de CSAM (Child Sexual Abuse) par le biais de journaux malveillants des infostelleurs.Future enregistré & # 8230;
Alarming new research exposes thousands of CSAM (child sexual abuse material) consumers through infostealer malware logs. Recorded Future… |
Malware | ||
|
2024-07-05 21:45:05 | New Orcinius Trojan utilise la piétinement VBA pour masquer l'infection New Orcinius Trojan Uses VBA Stomping to Mask Infection (lien direct) |
## Instantané L'équipe de recherche sur les menaces de sonicwall Capture Labs a découvert un cheval de Troie à plusieurs étapes nommé Orcinius qui utilise Dropbox et Google Docs pour télécharger et mettre à jour les charges utiles de deuxième étape. ## Description L'équipe de recherche sur les menaces de sonicwall Capture Labs a découvert un cheval de Troie à plusieurs étapes nommé Orcinius qui utilise Dropbox et Google Docs pour télécharger et mettre à jour les charges utiles de deuxième étape.La méthode d'infection initiale du malware est une feuille de calcul Excel qui apparaît comme un calendrier italien avec trois feuilles de calcul discutant des cycles de facturation dans diverses villes.La feuille de Spreasds, contenant une macro VBA modifiée via \\ 'vba piétinant \', détruit le code source d'origine et laisse uniquement le code P compilé.Cet obscurcissement signifie que la visualisation de la macro ne révèle rien ou une version inoffensive du code, qui s'active lorsque le fichier est ouvert ou fermé.Lors de l'exécution, la macro effectue plusieurs actions: il vérifie et écrit des clés de registre pour masquer les avertissements, énumére l'exécution de fenêtres à l'aide d'Enumthreadwindows, établit la persistance en écrivant une clé de HkeStaruPitems, contacts URL codés pour télécharger des charges utiles supplémentaires à l'aide de wscript.shell, et surveille l'entrée du clavier via SetWindowShooKex.Le malware fait référence \\ 'synaptics.exe \' et \\ 'cache1.exe, \' le liant à d'autres menaces comme Remcos, AgentTesla, Neshta et HtmldRopper, qui se masquait comme \\ 'synaptics.exe \'et peut être trouvé sur Virustotal.Pendant l'analyse, les pages des URL énumérées n'étaient pas disponibles.Sonicwall a publié des signatures pour protéger les clients de l'exploitation potentielle par Orcinius. ## Recommandations Recommandations pour protéger contre les voleurs d'informations Microsoft recommande les atténuations suivantes pour réduire l'impact des menaces d'information sur les voleurs. - Vérifiez les paramètres de filtrage des e-mails Office 365 pour vous assurer de bloquer les e-mails, le spam et les e-mails avec des logiciels malveillants.Utilisez [Microsoft Defender pour Office 365] (https://learn.microsoft.com/microsoft-365/security/office-365-security/defender-forzice-365?ocid=Magicti_TA_Learnddoc) pour une protection et une couverture de phishing améliorées contrenouvelles menaces et variantes polymorphes.Configurez Microsoft Defender pour Office 365 à [Rechercher les liens sur Click] (https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-links-about?ocid=magicti_ta_learndoc) et [derete SenteMail] (https://learn.microsoft.com/microsoft-365/security/office-365-security/zero-hour-auto-purge?ocid=Magicti_ta_learndoc) en réponse à l'intelligence de menace nouvellement acquise.Allumez [les politiques de pièces jointes de sécurité] (https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-attachments-polies-configure?ocid=Magicti_TA_LearnDoc) pour vérifier les pièces jointes à l'e-mail entrant. - Encourager les utilisateurs à utiliser Microsoft Edge et d'autres navigateurs Web qui prennent en charge [SmartScreen] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/web-overview?ocid=Magicti_TA_LearnDDoc), qui identifieet bloque des sites Web malveillants, y compris des sites de phishing, des sites d'arnaque et des sites qui hébergent des logiciels malveillants. - Allumez [Protection en livraison du cloud] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/configure-lock-at-first-sight-microsoft-defender-asvirus?ocid=magicti_ta_learndoc)Dans Microsoft Defender Antivirus, ou l'équivalent de votre produit antivirus, pour couvrir les outils et techniques d'attaquant en évolution rapide.Les protections d'apprentissage automatique basées sur le cloud bloquent une majorité de variantes nouvelles et inconnues. | Ransomware Spam Malware Tool Threat | ||
|
2024-07-05 14:10:00 | Les logiciels malveillants de Gootloader sont toujours actifs, déploie de nouvelles versions pour des attaques améliorées GootLoader Malware Still Active, Deploys New Versions for Enhanced Attacks (lien direct) |
Le logiciel malveillant connu sous le nom de Gootloader continue d'être utilisé actif par les acteurs de la menace qui cherchent à livrer des charges utiles supplémentaires aux hôtes compromis.
"Les mises à jour de la charge utile de Gootloader ont abouti à plusieurs versions de GootLoader, avec Gootloader 3 actuellement en usage actif", a déclaré la société de cybersécurité Cybereason dans une analyse publiée la semaine dernière.
"Alors que certains des détails des charges utiles de Gootloader ont
The malware known as GootLoader continues to be in active use by threat actors looking to deliver additional payloads to compromised hosts. "Updates to the GootLoader payload have resulted in several versions of GootLoader, with GootLoader 3 currently in active use," cybersecurity firm Cybereason said in an analysis published last week. "While some of the particulars of GootLoader payloads have |
Malware Threat | ★★★ | |
 |
2024-07-05 11:40:28 | La nouvelle technique de phishing «coller et courir» fait de Ctrl-V un complice cyber-attaque New “Paste and Run” Phishing Technique Makes CTRL-V A Cyber Attack Accomplice (lien direct) |
Malware | |||
|
2024-07-05 10:59:20 | Obtenez des outils avancés de blocage d'annonces et de données supérieures pour seulement 11 $ jusqu'au 7/21 Get Advanced Ad Blocking and Superior Data Privacy Tools for Just $11 Until 7/21 (lien direct) |
Bloquer les fenêtres contextuelles, les bannières et les publicités vidéo tout en vous protégeant des trackers d'activités, des tentatives de phishing, des sites Web frauduleux et d'autres types de logiciels malveillants avec Adguard.
Block popups, banners and video ads while also protecting yourself from activity trackers, phishing attempts, fraudulent websites and other types of malware with AdGuard. |
Malware Tool | ||
|
2024-07-05 01:12:11 | La nouvelle porte dérobée du groupe Kimsuky apparaît (Happydoor) Kimsuky Group\\'s New Backdoor Appears (HappyDoor) (lien direct) |
Table des matières Ce rapport est une version résumée de & # 8220; Rapport d'analyse de Kimsuky Group & # 8217; s Happydoor Malware & # 8221;Introduit dans AHNLAB Threat Intelligence Platform (TIP), contenant des informations clés pour analyser les violations.Le rapport dans AhnLab Tip comprend des détails sur l'encodage & # 38;Méthodes de chiffrement, structure de paquets, et plus en plus des caractéristiques et des caractéristiques du malware.En particulier, il fournit également un plugin IDA et un serveur de test de porte dérobée développé par AHNLAB pour la commodité des analystes.À noter, le masqué ...
Table of Contents This report is a summarized version of “Analysis Report of Kimsuky Group’s HappyDoor Malware” introduced in AhnLab Threat Intelligence Platform (TIP), containing key information for analyzing breaches. The report in AhnLab TIP includes details on encoding & encryption methods, packet structure, and more in addition to the characteristics and features of the malware. In particular, it also provides an IDA plugin and a backdoor test server developed by AhnLab for the convenience of analysts. To note, the masked... |
Malware Threat | ★★★ | |
 |
2024-07-04 13:00:00 | Outils de productivité logicielle détournés pour livrer des infostelleurs Software Productivity Tools Hijacked to Deliver Infostealers (lien direct) |
Les programmes inoffensifs de Little Windows transportaient des logiciels malveillants bon marché pendant des semaines, exposant les clients du fournisseur de logiciel basé en Inde au vol de données.
Innocuous little Windows programs were carrying cheap malware for weeks, exposing customers of the India-based software vendor to data theft. |
Malware Tool | ★★★ | |
 |
2024-07-04 08:33:10 | Les pirates attaquent les serveurs HFS pour abandonner les logiciels malveillants et les mineurs Monero Hackers attack HFS servers to drop malware and Monero miners (lien direct) |
Les pirates ciblent les anciennes versions du serveur de fichiers HTTP (HFS) de REJETTO pour supprimer les logiciels malveillants et les logiciels d'exploration de crypto-monnaie.[...]
Hackers are targeting older versions of the HTTP File Server (HFS) from Rejetto to drop malware and cryptocurrency mining software. [...] |
Malware | ★★★ | |
|
2024-07-04 01:16:40 | New Medusa malware variants target Android users in seven countries (lien direct) | #### Géolocations ciblées - Espagne - France - Italie - Canada - États-Unis - Royaume-Uni - t & uuml; rkiye ## Instantané L'équipe de renseignement sur les menaces de Cleafy a identifié la résurgence de la Méduse Banking Trojan pour Android, ciblant des pays, notamment la France, l'Italie, les États-Unis, le Canada, l'Espagne, le Royaume-Uni et la Turquie. ## Description La nouvelle campagne, observée depuis mai 2024, présente des variantes compactes nécessitant moins d'autorisations et l'introduction de nouvelles capacités pour lancer des transactions directement à partir d'appareils compromis.Ces variantes ont été distribuées à travers 24 campagnes en utilisant le phishing SMS pour charger les logiciels malveillants via des applications compte-gouttes, attribuées à cinq botnets distincts.Notamment, l'infrastructure centrale du malware \\ récupère dynamiquement les URL du serveur de commande et de contrôle (C2) à partir de profils publics de médias sociaux. Le malware de Medusa, découvert pour la première fois en 2020, est connu pour ses capacités de rat, notamment le keylogging, les contrôles d'écran et la manipulation du SMS, permettant une fraude à dispositive sophistiquée (ODF).Dans les campagnes récentes, l'équipe de Cleafy \\ a identifié un changement dans la stratégie de distribution du malware \\, avec des acteurs de menace expérimentant des "dropsiers" pour diffuser le malware via de fausses procédures de mise à jour.L'évolution du malware \\ comprend un ensemble d'autorisation réduit et rationalisé, améliorant sa furtivité et son efficacité tout en ciblant de nouvelles régions géographiques.La dernière variante Medusa réduit son empreinte sur les appareils compromis, conserve les services d'accessibilité d'Android et ajoute de nouvelles commandes, y compris la possibilité de capturer des captures d'écran et d'effectuer des actions trompeuses avec une superposition d'écran noir. Dans les dernières campagnes, cinq botnets distincts ont été identifiés, chacun avec des caractéristiques uniques et des cibles géographiques.Le malware utilise des techniques avancées telles que l'utilisation de VNC pour un contrôle en temps réel, la récupération dynamique des URL du serveur C2 à partir des médias sociaux et l'utilisation des canaux de communication de sauvegarde pour une résilience accrue.L'analyse de Cleafy \\ a également noté des changements significatifs dans la structure de commande de la variante MEDUSA, avec l'introduction de nouvelles commandes telles que la définition de superpositions d'écran noir et les applications désinstallées à distance, améliorant encore ses capacités malveillantes.Bien qu'il ne soit pas encore observé sur Google Play, le nombre croissant de cybercriminels impliqués dans l'opération de logiciels malveillants en tant que service (MAAS) suggère que les stratégies de distribution sont susceptibles de se diversifier et de devenir plus sophistiquées. ## Détections / requêtes de chasse ### Microsoft Defender Antivirus Microsoft Defender Antivirus détecte les composants de la menace comme le MA suivantlware: - [Ransom: win32 / medusa.pa] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-dercription?name = rançon: win32 / medusa.pa! Mtb & menaceID = -2147079865) ### Microsoft Defender pour le point de terminaison Les alertes suivantes peuvent indiquer l'activité associée à cette menace.Ces alertes, cependant, peuvent être déclenchées par une activité de menace sans rapport et ne sont pas surveillées dans les cartes d'état fournies avec ce rapport. - Un ransomware actif \\ 'medusa \' a été détecté ## Recommandations Microsoft recommande que les développeurs et les analystes de sécurité se familiarisent avec les [excellentes directives de sécurité des applications Android] (https://developer.android.com/privacy-and-security/risks) fourn | Ransomware Malware Vulnerability Threat Mobile | ★★★ | |
|
2024-07-04 00:56:21 | Techniques d'évasion de la défense Linux détectées par Ahnlab EDR (2) Linux Defense Evasion Techniques Detected by AhnLab EDR (2) (lien direct) |
l'article de blog «Techniques d'évasion de la défense Linux détectées par Ahnlab EDR (1)» [1] Méthodes couverts par des méthodes couvertesLorsque les acteurs de la menace et les souches de logiciels malveillants ont attaqué les serveurs Linux avant d'incapacité des services de sécurité tels que des pare-feu et des modules de sécurité, puis de dissimuler les logiciels malveillants installés.Ce poste couvrira des techniques d'évasion de défense supplémentaires contre les systèmes Linux non couverts dans le dernier poste.Par exemple, les méthodes de dissimulation de logiciels malveillants incluent le fait que le malware en cours d'exécution se supprime pour ne pas être remarqué par un administrateur, ou supprimer ...
The blog post “Linux Defense Evasion Techniques Detected by AhnLab EDR (1)” [1] covered methods where the threat actors and malware strains attacked Linux servers before incapacitating security services such as firewalls and security modules and then concealing the installed malware. This post will cover additional defense evasion techniques against Linux systems not covered in the past post. For example, methods of concealing malware include having the running malware delete itself to not be noticed by an administrator, or deleting... |
Malware Threat | ★★ | |
|
2024-07-03 17:09:55 | Des pirates attaquant les serveurs de nuages Linux pour obtenir un contrôle complet Hackers Attacking Linux Cloud Servers to Gain Complete Control (lien direct) |
## Instantané Les chercheurs en sécurité de Fortiguard Labs ont récemment observé des botnets exploitant des serveurs de cloud Linux pour prendre le contrôle et le stockage des opérations d'acteurs de menace.Cette tendance implique l'exploitation de diverses vulnérabilités par des botnets comme Unstable et Condi. ** Pour plus de tendances dans les logiciels malveillants de Linux, voir Microsoft \'s [Tendances OSINT récentes dans Linux Malware] (https://security.microsoft.com/intel-explorer/articles/ccbece59). ** ## Description Unstable, une variante de Mirai Malware, utilise la vulnérabilité de Jaws Webserver RCE ([CVE-2016-20016] (https://security.microsoft.com/intel-explorer/cves/cve-2016-20016/)) comme entréeindiquer.La configuration de Botnet \\ est codée XOR et prend en charge treize architectures.Il analyse les vulnérabilités, les forces brutes utilisant des références à code dur et emploie à partir de neuf méthodes pour attaquer avec DDOStechniques. Condi DDOS BOTNET exploite les vulnérabilités dans TP-Link Archer AX21 ([CVE-2023-1389] (https://security.microsoft.com/intel-explorer/cves/cve-2023-1389/))et infecte des appareils pour distribuer des logiciels malveillants.Fortiguard Labs a identifié deux adresses IP principales impliquées dans ces attaques: une source d'attaque et un serveur C2 et un stockage de logiciels malveillants.Le botnet utilise divers outils DOS pour différentes architectures Linux et se connecte au serveur de commande et de contrôle (C2) pour collecter et transmettre des informations sur les processus en cours d'exécution. De plus, les logiciels malveillants de Skibidi exploitent les vulnérabilités dans CVE-2023-1389 et Ivanti Connect Secure ([CVE-2024-21887] (https://security.microsoft.com/intel-explorer/cves/2024-2187/))).Il utilise un script pour extraire l'architecture Linux appropriée pour l'attaque et utilise des tactiques comme la forking de processus, le codage des chaînes et la manipulation du nom de processus pour échapper à la détection.Le logiciel malveillant se connecte au serveur C2, surveille les événements système et renvoie les rapports aux attaquants. ## Détections / requêtes de chasse Microsoft Defender Antivirus détecte les composants de la menace comme le malware suivant: - [Virus: W97M / Unstable] (https://www.microsoft.com/en-us/wdsi/thereats/malware-encycopedia-description?name=virus:w97m/unstable.a& threatId=-2147375861) - [BackDoor: Linux / Mirai] (https://www.microsoft.com/en-us/wdsi/Thereats/Malware-encyClopedia-Description?name=backDoor:Linux/Mirai& ;thereatid=-2147248713) - [Trojan: Linux / Mirai] (https://www.microsoft.com/en-us/wdsi/thereats/malware-encycopedia-dercription?name=trojan:linux/Mirai&Thereatid=-2147239801) - [Trojandownloader: Linux / Mirai] (https://www.microsoft.com/en-us/wdsi/Threats/Malware-encyClopedia-Description?name=trojandownOader:linux/Mirai&Theretid=-2147226081) ## Recommandations Microsoft vous recommande de valider l'applicabilité avant de mettre en œuvre dans votre propre environnement: [CVE-2023-1389] (https://security.microsoft.com/intel-explorer/cves/cve-2023-1389/) • [Tenable] (https://www.tenable.com/security/research/tra-2023-11) Mentionne TP-Link a publié le micrologiciel version 1.1.4 build 20230219 qui résout le problème en supprimant le rappel vulnérable. [CVE-2024-21887] (https://security.microsoft.com/intel-explorer/cves/cve-2024-21887/) • Au 4 juin, 2024, [Ivanti] (https://forums.ivanti.com/s/article/kb-cve-2023-46805-authentication-bypass-cve-2024-21887-command-injection-for--Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways? Language = EN_US) a fourni un correctif pour Ivanti Connect Secure et Ivanti Secure (version 22.2R3).Suivez le Guide [du vendeur \\ »(https://forums.ivanti.com/s/article/how-to-the-complete-upgrade-guide) pour passer à une version corrigée. ## Les références [Les pirates attaquant les serveurs Cloud Linux pour obtenir | Malware Tool Vulnerability Threat Prediction Cloud | ★★★ | |
|
2024-07-03 16:41:09 | Ransomware Eruption: roman des logiciels malveillants de casier de \\ 'Volcano Demon \\' Ransomware Eruption: Novel Locker Malware Flows From \\'Volcano Demon\\' (lien direct) |
Les attaquants effacent les journaux avant l'exploitation et utilisent les nombres "pas d'identification de l'appelant" pour négocier les rançons, compliquant les efforts de détection et de criminalistique.
Attackers clear logs before exploitation and use "no caller ID" numbers to negotiate ransoms, complicating detection and forensics efforts. |
Ransomware Malware | ★★★ | |
 |
2024-07-03 15:27:11 | Nouvelle vulnérabilité ouverte SSH New Open SSH Vulnerability (lien direct) |
il & # 8217; s a Serious un :
La vulnérabilité, qui est une condition de course de gestionnaire de signaux dans le serveur d'OpenSSH & # 8217;qui présente un risque de sécurité important.Cette condition de course affecte SSHD dans sa configuration par défaut.
[& # 8230;]
Cette vulnérabilité, si elle est exploitée, pourrait entraîner un compromis complet du système lorsqu'un attaquant peut exécuter du code arbitraire avec les privilèges les plus élevés, ce qui entraîne une prise de contrôle complète du système, l'installation de logiciels malveillants, la manipulation des données et la création de résidences pour un accès persistant.Il pourrait faciliter la propagation du réseau, permettant aux attaquants d'utiliser un système compromis comme un point de vue pour traverser et exploiter d'autres systèmes vulnérables au sein de l'organisation ...
It’s a serious one: The vulnerability, which is a signal handler race condition in OpenSSH’s server (sshd), allows unauthenticated remote code execution (RCE) as root on glibc-based Linux systems; that presents a significant security risk. This race condition affects sshd in its default configuration. […] This vulnerability, if exploited, could lead to full system compromise where an attacker can execute arbitrary code with the highest privileges, resulting in a complete system takeover, installation of malware, data manipulation, and the creation of backdoors for persistent access. It could facilitate network propagation, allowing attackers to use a compromised system as a foothold to traverse and exploit other vulnerable systems within the organization... |
Malware Vulnerability Threat | ★★★ | |
|
2024-07-03 12:35:00 | Les logiciels malveillants FakeBat Loader se répandent largement via des attaques de téléchargement d'entraînement FakeBat Loader Malware Spreads Widely Through Drive-by Download Attacks (lien direct) |
Le chargeur en tant que service (LAAS) connu sous le nom de Fakebat est devenu l'une des familles de logiciels de logiciels de chargeur les plus répandues distribuées à l'aide de la technique de téléchargement du lecteur cette année, les résultats de Sekoia Reveal.
"FakeBat vise principalement à télécharger et à exécuter la charge utile à la prochaine étape, comme Icedid, Lumma, Redline, SmokeLoader, Sectoprat et Ursnif", a indiqué la société dans une analyse de mardi.
Attaques d'entraînement
The loader-as-a-service (LaaS) known as FakeBat has become one of the most widespread loader malware families distributed using the drive-by download technique this year, findings from Sekoia reveal. "FakeBat primarily aims to download and execute the next-stage payload, such as IcedID, Lumma, RedLine, SmokeLoader, SectopRAT, and Ursnif," the company said in a Tuesday analysis. Drive-by attacks |
Malware | ★★★ | |
|
2024-07-03 11:52:36 | Journaux malveillants de l'infosaler utilisé pour identifier les membres du site Web de maltraitance des enfants Infostealer malware logs used to identify child abuse website members (lien direct) |
Des milliers de pédophiles qui téléchargent et partagent du matériel d'abus sexuel d'enfants (CSAM) ont été identifiés grâce à des journaux de logiciels malveillants de volée d'informations divulgués sur le Web Dark, mettant en évidence une nouvelle dimension de l'utilisation des informations d'identification volées dans les enquêtes sur l'application de la loi.[...]
Thousands of pedophiles who download and share child sexual abuse material (CSAM) were identified through information-stealing malware logs leaked on the dark web, highlighting a new dimension of using stolen credentials in law enforcement investigations. [...] |
Malware Legislation | ★★★ | |
|
2024-07-03 09:03:00 | Le serveur du vendeur ERP sud-coréen \\ a piraté pour répandre les logiciels malveillants xctdoor South Korean ERP Vendor\\'s Server Hacked to Spread Xctdoor Malware (lien direct) |
Un serveur de produits de mise à jour de la planification des ressources d'entreprise (ERP) sans nom (ERP) s'est avéré être compromis pour livrer une porte dérobée basée sur GO surnommée XCTDOOR.
Le Ahnlab Security Intelligence Center (ASEC), qui a identifié l'attaque en mai 2024, ne l'a pas attribué à un acteur ou groupe de menace connue, mais a noté que la tactique chevauchait celle d'Andariel, un sous-cluster au sein du
An unnamed South Korean enterprise resource planning (ERP) vendor\'s product update server has been found to be compromised to deliver a Go-based backdoor dubbed Xctdoor. The AhnLab Security Intelligence Center (ASEC), which identified the attack in May 2024, did not attribute it to a known threat actor or group, but noted that the tactics overlap with that of Andariel, a sub-cluster within the |
Malware Threat | ★★★ | |
|
2024-07-02 21:54:47 | Capratube Remix - Transparent Tribe \\'s Android Spyware ciblant les joueurs, les passionnés d'armes CapraTube Remix - Transparent Tribe\\'s Android Spyware Targeting Gamers, Weapons Enthusiasts (lien direct) |
#### Géolocations ciblées - Inde ## Instantané Sentinellabs a identifié quatre nouveaux packages Android Caprarat (APK) liés au groupe soupçonné d'état pakistanais, Transparent Tribe (AKA APT 36, Operation C-Major).Ces APK continuent le modèle du groupe d'intégration de logiciels espions dans les applications de navigation vidéo, mais ont introduit de nouveaux thèmes pour cibler les joueurs mobiles, les amateurs d'armes et les utilisateurs de Tiktok.La fonctionnalité de ces APK malveillants est la même;Cependant, le code a été mis à jour pour un meilleur ciblage des appareils Android plus récents. ## Description La tribu transparente (également connue sous le nom d'APT 36) cible principalement le gouvernement indien et le personnel militaire par le biais d'attaques d'ingénierie sociale.Transparent Tribe a précédemment armé les APK, notamment lors d'une campagne de septembre 2023 surnommée ["The Capratube Campaign"] (https://www.sentinelone.com/labs/capratube-transparent-tribes-caprarat-micmics-youtube-to-hijack-Android-Phones /) où des APK malveillants ont été utilisés pour usurper l'identité de YouTube.Cette dernière campagne poursuit cette technique avec des prétextes d'ingénierie sociale mis à jour, une compatibilité accrue avec les versions plus anciennes du système d'exploitation Android (OS) et le ciblage élargi des versions Android plus récentes. Les nouvelles versions Caprarat utilisent WebView pour lancer des URL sur YouTube ou un site de jeu mobile appelé CrazyGames \ [. \] Com.Les URL sont obscurcies pour éviter la détection, et les applications invitent les utilisateurs à accorder plusieurs autorisations risquées, notamment: l'accès à l'emplacement GPS, lire et envoyer des SMS, lire des contacts, autoriser l'enregistrement audio et d'écran, le stockage de lecture et l'accès en écriture, d'utiliser la caméra etafficher l'historique des appels et passer des appels.Notamment, la nouvelle campagne Caprarat ne demande pas de persissions pour demander des packages d'installation, d'obtenir des comptes ou d'authentifier des comptes.Les analystes de Sentinellabs affirment que cela peut se passer de l'utilisation de Caprarat comme porte dérobée à un outil de surveillance davantage. D'autres modifications significatives de cette variante Caprarat comprennent une compatibilité accrue avec Android Oreo (8.0) et plus, assurant un fonctionnement en douceur sur les appareils Android modernes.Les versions précédentes nécessitaient Android Lollipop (5.1), ce qui est moins compatible avec les appareils actuels. La classe TCHPClient de Caprarat \\ stimule ses capacités malveillantes, collectant et envoyez des données au serveur C2 via des paramètres spécifiés.Le même nom d'hôte et l'adresse IP du serveur C2 est utilisé, lié aux activités précédentes de Transparent Tribe \\. Selon Sentinelabs, les mises à jour minimales du code Caprarat suggèrent l'accent mis sur la fiabilité et la stabilité et s'alignent sur le ciblage cohérent du groupe et l'armée indien par le groupe, qui est peu susceptible d'utiliser des versions obsolètes d'Android et peut être attirée par lesDe nouveaux thèmes APK, tels que les jeux mobiles et les armes. ## Détections / requêtes de chasse Microsoft Defender Antivirus détecte les composants de menace comme le folMALWODIQUE-LA LABILAGE: * [Trojan: Androidos / Androrat] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-desCription? Name = Trojan: Androidos / Androrat.A! Rfn & menaceID = -2147198280) * ## Recommandations ** Recommandations de Sentinelabs ** Sentinellabs note que les individus peuvent empêcher les compromis par Caprarat et d'autres malwares similaires en évaluant toujours les autorisations demandées par une application pour déterminer si elles sont nécessaires à la fonction prévue de l'application.Sentinellabs note que les individus peuvent empêcher les compromis par Caprarat et d'autres ma | Malware Tool Threat Mobile | APT 36 | ★★ |
|
2024-07-02 19:35:34 | Medusa Reborn: la défense robuste de Zimperium \\ Medusa Reborn: Zimperium\\'s Robust Defense (lien direct) |
> Au cours des deux dernières années, Zimperium a publié le rapport de bancs de banque mobile, offrant des recherches approfondies sur les dernières familles de logiciels malveillants, les nouvelles techniques d'attaque et l'impact mondial des chevaux de Troie bancaires.Cette recherche en cours nous permet de rester en avance sur les menaces émergentes et d'assurer une protection complète de nos utilisateurs.Sur [& # 8230;]
>For the past two years, Zimperium has released the Mobile Banking Heist Report, providing in-depth research on the latest malware families, new attack techniques, and the global impact of banking trojans. This ongoing research allows us to stay ahead of emerging threats and ensure comprehensive protection for our users. On […] |
Malware Mobile | ★★★ | |
|
2024-07-02 17:47:06 | L'acteur de menace nord-coréenne Kimsuky déploie une extension chromée malveillante pour l'espionnage académique North Korean Threat Actor Kimsuky Deploys Malicious Chrome Extension for Academic Espionage (lien direct) |
#### Géolocations ciblées
- Corée
#### Industries ciblées
- Éducation
## Instantané
Zscaler ManneyLabz a identifié de nouvelles activités par le groupe nord-coréen avancé de menace persistante (APT) Kimsuky, suivi par Microsof 9F41DD58E), ciblant le monde universitaire sud-coréen.
## Description
Connu pour son cyber-espionnage et ses attaques financières, Kimsuky cible principalement les organisations sud-coréennes, telles que les groupes de réflexion, les organismes gouvernementaux et le monde universitaire.Ils utilisent diverses tactiques, y compris les extensions malveillantes de Google Chrome, pour mener leurs opérations.
En juillet 2022, [Kimsuky a utilisé des extensions de chrome nocives] (https://www.volexity.com/blog/2022/07/28/sharptongue-deploys-clever-mail-staling-browser-extension-sharpext/) pour cibler les utilisateurs des utilisateurs pour cibler les utilisateursAux États-Unis, en Europe et en Corée du Sud.Récemment, ils ont introduit une nouvelle extension appelée "Translatext", conçue pour voler des informations sensibles comme les adresses e-mail, les noms d'utilisateur, les mots de passe, les cookies et les captures d'écran de navigateur.
Translatext a été téléchargé dans un référentiel Github contrôlé par l'attaquant le 7 mars 2024 et est capable de contourner les mesures de sécurité des principaux fournisseurs de messagerie comme Gmail et Kakao et Naver de la Corée du Sud.Les principaux objectifs étaient les universitaires sud-coréens impliqués dans la recherche politique sur les affaires nord-coréennes.
KimSuky Distributed Translatext via un fichier d'archive nommé«Revue de l'examen des arguments militaires coréens (1) .zip, qui traduit to "Revue d'une monographie sur l'histoire militaire coréenne", contenant des documents HWP leurres et un exécutable de Windows déguisé.Lorsqu'il est exécuté, le logiciel malveillant récupère un script PowerShell du serveur de l'acteur de menace, qui rassemble des informations sur la victime et crée des raccourcis pour récupérer plus de scripts.
Au cours de leur enquête, ThreatLabz a découvert un autre script PowerShell lié à un compte GitHub associé à l'acteur, montrant les données des victimes et une extension chromée précédemment supprimée.Translatext a été téléchargé par «googletranslate.crx», contenant un JavaScript malveillant pour voler des données et échapper aux mesures de sécurité.Le manifeste de l'extension \\ a demandé des autorisations excessives pour injecter des scripts dans les pages Web.
Translatext utilise des demandes de post HTTP pour les communications de commande et de contrôle (C2).Les commandes incluent la capture de captures d'écran du navigateur, la suppression des cookies et l'injection d'URL MS-PowerPoint pour initier des clics.Le script d'arrière-plan gère ces activités et envoie des données volées à un serveur C2 distant.
Les victimes connues de cette campagne sont les chercheurs universitaires sud-coréens axés sur les questions géopolitiques impliquant la Corée du Nord.Les caractéristiques du serveur C2 et la victimologie indiquent une implication de Kimsuk \\, le groupe utilisant la webshell B374K pour l'exfiltration des données.Les tactiques de redirection de la campagne s'alignent avec les stratégies connues de Kimsuky \\ pour éviter la détection.
## Les références
[L'acteur de menace nord-coréenne Kimsuky déploie une extension chromée malveillante pour l'espionnage académique] (https://www.zscaler.com/blogs/security-research/kimsuky-deploys-translatext-target-south-korean-academia#new_tab).Zscaler (consulté en 2024-07-02)
#### Targeted Geolocations - Korea #### Targeted Industries - Education ## Snapshot Zscaler ThreatLabz has identified new activities by the North Korean advanced persistent threat (APT) group Kimsuky, tracked by Microsoft as [Emerald Sleet](https://security |
Malware Threat | ★★★ | |
|
2024-07-02 16:41:02 | Hemlock Unfurling: un nouveau groupe de menaces utilise une campagne de bombes en cluster pour distribuer des logiciels malveillants Unfurling Hemlock: New threat Group Uses Cluster Bomb Campaign to Distribute Malware (lien direct) |
#### Targeted Geolocations - United States - Germany ## Snapshot During a review of last year\'s malware campaigns, KrakenLabs discovered a campaign where hundreds of thousands of malicious files were distributed using a "malware cluster bomb" technique. ## Description These findings were based on reports about malware like Amadey and Redline, indicating a massive, multi-month campaign likely orchestrated by a single group. This group, dubbed \'Unfurling Hemlock,\' utilized a complex nesting strategy within compressed cabinet files to distribute malware. The infection method involved compressed files named “WEXTRACT.EXE.MUI,” with layers of nested compressed files each containing malware samples. This technique led to the distribution of over 50,000 files worldwide, primarily featuring stealers like Redline, RisePro, and Mystic Stealer, and loaders such as Amadey and SmokeLoader. Despite the samples appearing from various sources, many were traced back to Eastern European hosting services, suggesting a centralized origin. Unfurling Hemlock\'s campaign aimed to maximize infection rates and financial gain by employing utilities to obfuscate malware, disable defenses, and enhance infection success. The group\'s operations seemed financially motivated, leveraging widespread malware distribution and possible partnerships with other cybercriminals for pay-per-infection schemes. The malware execution followed a specific order, where nested files unpacked malware samples, which then executed sequentially to ensure maximum infection impact. This method resulted in multiple malware strains infecting a single victim, posing significant risks to organizations. KrakenLabs\' analysis included over 2,100 samples, revealing distinct patterns and operational structures, confirming the campaign\'s extensive reach and sophistication. They observed multiple distribution methods, including email and compromised websites, and identified numerous command and control (C2) servers linked to the malware. The primary targets of this campaign were companies and private institutions across various countries, with a significant number of uploaded samples originating from the United States and Germany. Interestingly, Russia was also a notable source, despite typical avoidance of CIS countries by regional cybercriminals. KrakenLabs emphasized that while the malware itself was not highly sophisticated, the extensive distribution and redundancy in infection strategies posed substantial threats. The team also noted the potential for similar techniques to gain popularity among other threat actors in the future. ## Additional Analysis Infostealers are commodity malware used to steal information from a target device and send it to the threat actor. Read Microsoft\'s write-up on information stealers [here](https://security.microsoft.com/intel-profiles/2296d491ea381b532b24f2575f9418d4b6723c17b8a1f507d20c2140a75d16d6). ### **Redline** First observed in 2020, threat actors using Redline have leveraged the information stealer because of its availability and flexibility. It allows attackers to collect credentials from web browsers, cryptocurrency wallets, and applications, including passwords, cookies, browser history, and credit card information. Additionally, attackers can gather location information, screenshots, usernames, operating system details, User Account Control (UAC) settings, anti-virus tools, and file information from compromised devices. Redline is often advertised as a Malware-as-a-Service (MaaS) on a number of cybercriminal platforms like the dark web and Telegram, increasing its availability to both sophisticated and unsophisticated threat actors. ### RisePro According to [Security Week](https://www.securityweek.com/new-risepro-infostealer-increasingly-popular-among-cybercriminals/), RisePro was first detected in December 2022 being sold on Russian Market, but a sharp increase of activity surroundin | Ransomware Spam Malware Tool Threat | ★★★ | |
 |
2024-07-02 16:37:11 | Pas de repos pour les commutateurs NEXUS de Cisco Flip sur le dernier jour zéro No rest for the wiry as Cisco Nexus switches flip out over latest zero-day (lien direct) |
Bogue d'injection de commande est abusé par des espions chinois présumés & # 8211;Patch up Les propriétaires de commutateurs Cisco devraient probablement appliquer le correctif qui vient de laisser tomber pour une vulnérabilité qui a été exploitée en avril en tant que zéro jour pour installer des logiciels malveillants sur un tableau de ses commutateurs Nexus.…
Command injection bug being abused by suspected Chinese spies – patch up Cisco switch owners should probably apply the patch that just dropped for a vulnerability that was exploited in April as a zero-day to install malware on an array of its Nexus switches.… |
Malware Vulnerability Threat | ★★ | |
|
2024-07-02 13:18:22 | Patch maintenant: Cisco Zero-Day Under Fire de Chinese Apt Patch Now: Cisco Zero-Day Under Fire From Chinese APT (lien direct) |
L'acteur de menace "Velvet Ant" a exploité une vulnérabilité dans le logiciel NX-OS de Cisco \\ pour gérer une variété de commutateurs, exécuter des commandes et supprimer des logiciels malveillants personnalisés.
Threat actor "Velvet Ant" has been exploiting a vulnerability in Cisco\'s NX-OS Software for managing a variety of switches, executing commands and dropping custom malware. |
Malware Vulnerability Threat | ★★★ | |
|
2024-07-02 10:18:00 | Des pirates chinois exploitant Cisco commutant zéro-jour pour livrer des logiciels malveillants Chinese Hackers Exploiting Cisco Switches Zero-Day to Deliver Malware (lien direct) |
Un groupe de cyber-espionnage China-Nexus nommé Velvet Ant a été observé exploitant un défaut zéro jour dans le logiciel Cisco NX-OS utilisé dans ses commutateurs pour fournir des logiciels malveillants.
La vulnérabilité, suivie comme CVE-2024-20399 (score CVSS: 6.0), concerne un cas d'injection de commande qui permet à un attaquant local authentifié d'exécuter des commandes arbitraires en tant que racine sur le système d'exploitation sous-jacent d'un affecté affecté par une touche affectée
A China-nexus cyber espionage group named Velvet Ant has been observed exploiting a zero-day flaw in Cisco NX-OS Software used in its switches to deliver malware. The vulnerability, tracked as CVE-2024-20399 (CVSS score: 6.0), concerns a case of command injection that allows an authenticated, local attacker to execute arbitrary commands as root on the underlying operating system of an affected |
Malware Vulnerability Threat | ★★★ | |
|
2024-07-02 06:00:50 | Élection 2024 Le volume de spam politique mobile saute 3x par rapport à 2022 Midterms Election 2024 Mobile Political Spam Volume Jumps 3X Compared with 2022 Midterms (lien direct) |
U.S. voters\' appetite for digital information about the 2024 presidential election is growing. But as they consume news via digital media, including from mobile messaging channels, they must keep in mind that cybercriminals may be impersonating the sources that they trust. Research helps to explain why attackers are so focused on exploiting users via these channels. Most U.S. adults (60%) prefer to get their news through digital media. An even higher percentage (86%) will often or sometimes consume news via a smartphone, tablet or computer. And most of the U.S. voting population (97%) has access to mobile messaging. Many users have a high level of trust in mobile messaging. However, the effects of smishing, impersonation, unwanted spam and excessive political messaging puts this trust at risk. And while many voters today are aware of fake news and political impersonation in social media, they may not know that there\'s a heightened risk for harm from mobile messaging and email-based impersonation tactics. Election-related smishing tactics on the rise The use of mobile-based political messaging has skyrocketed as a way for campaigns and legitimate organizations and interest groups to reach voters. At the same time, bad actors are aggressively using the mobile messaging channel for impersonation, smishing, fraud and unwanted spam. Proofpoint research shows that U.S. smishing (text message-based phishing) attacks have increased more than 7% over the past nine months compared with the prior nine months. We compared the reported mobile political spam volumes for the first five months of the 2024 presidential election year to volumes in the same period of the 2022 midterm election year. The volumes in 2024 were 3X greater than those in 2022. Unwanted political messaging skyrockets after Trump guilty verdict In the 48-hour period after the guilty verdict in former President Donald J. Trump\'s “hush money” trial, Proofpoint threat engineers saw a 240% increase in subscriber reports of unwanted political messaging. Report volumes reached into the tens of millions. A sample of a Top 10 by volume, unwanted political message after the guilty verdict. A graph that shows the relative change in unwanted political messages after the guilty verdict. Simple steps to avoid risk This election season, voters need to proactively protect themselves against impersonation attacks. And mobile operators need to protect their end users, too. In fact, we must all maintain a healthy level of skepticism. We need to approach unsolicited messages across mobile, email and social media with extreme caution-especially when a sender asks us to take urgent action. To reduce your risk of exposure to malicious mobile messaging, follow some best practices. Do not open message attachments. And do not click on sent links. Instead, if you want to access a known website, enter the URL in your device\'s browser. Be sure to thoroughly examine all election-related digital messages to confirm that they do not pose a risk. How Proofpoint can help Proofpoint is committed to reducing the risk of fraud and unwanted messaging that falls outside acceptable use policies to help protect trust in the mobile channel. We have the world\'s most extensive threat intelligence. And we protect over 1.6 billion email and mobile accounts. For mobile network operators, we are uniquely positioned to provide automated and predictive mobile messaging protection with offerings from Cloudmark, a Proofpoint company. As a platform for mobile messaging security, it can be deployed in the operator\'s network or accessed in the cloud. When it is installed in the mobile operator\'s network, it serves as a high-performance, carrier-grade security and anti-fraud tool. It delivers a powerful, feature-rich foundation with granular controls for fine-tuning. When the platform is accessed in the cloud, our platform seamlessly protects | Spam Malware Tool Threat Mobile Cloud Commercial | ★★★★ | |
|
2024-07-02 05:31:07 | Baddies Hijack Korean Erp Vendor \\'s Update Systems to Cray Malware Baddies hijack Korean ERP vendor\\'s update systems to spew malware (lien direct) |
L'équipage notoire \\ 'Andariel \' prend une bouchée de porte dérobée de Hotcissant pour une nouvelle attaque Un serveur de mise à jour de produit de l'ERP de l'ERP a été attaqué et utilisé pour livrer des logiciels malveillants au lieu deMises à jour des produits, selon la tenue locale InfoSec Ahnlab.…
Notorious \'Andariel\' crew takes a bite of HotCroissant backdoor for fresh attack A South Korean ERP vendor\'s product update server has been attacked and used to deliver malware instead of product updates, according to local infosec outfit AhnLab.… |
Malware | ★★★ | |
|
2024-07-01 21:43:48 | Multi-Malware \\ 'Cluster Bomb \\' La campagne est répandue des cyber-ravages répandus Multi-Malware \\'Cluster Bomb\\' Campaign Drops Widespread Cyber Havoc (lien direct) |
"Unfurling Hemlock" a déployé des logiciels malveillants sur des dizaines de milliers de systèmes dans le monde en nichant plusieurs fichiers malveillants dans d'autres fichiers malveillants.
"Unfurling Hemlock" has deployed malware on tens of thousands of systems worldwide by nesting multiple malicious files inside other malicious files. |
Malware | ★★★ | |
|
2024-07-01 18:14:00 | Les produits de la société de logiciels indiens \\ sont piratés pour diffuser des logiciels malveillants de vol de données Indian Software Firm\\'s Products Hacked to Spread Data-Stealing Malware (lien direct) |
Les installateurs de trois produits logiciels différents développés par une entreprise indienne nommée ConceptWorld ont été trojanisés pour distribuer des logiciels malveillants de voleur d'informations.
Les installateurs correspondent à Notezilla, récentx et copywhiz, selon la société de cybersécurité Rapid7, qui a découvert le compromis de la chaîne d'approvisionnement le 18 juin 2024. Le problème a depuis été corrigé par ConceptWorld au 24 juin
Installers for three different software products developed by an Indian company named Conceptworld have been trojanized to distribute information-stealing malware. The installers correspond to Notezilla, RecentX, and Copywhiz, according to cybersecurity firm Rapid7, which discovered the supply chain compromise on June 18, 2024. The issue has since been remediated by Conceptworld as of June 24 |
Malware | ★★ | |
|
2024-07-01 17:54:27 | La nouvelle campagne de logiciels malveillants usurpe l'identité d'outils d'IA pour tromper les utilisateurs New Malware Campaign Impersonates AI Tools To Trick Users (lien direct) |
Malware Tool | ★★★ | ||
|
2024-07-01 16:29:33 | Les affirmations de Polyfill.io révèlent de nouvelles fissures dans la chaîne d'approvisionnement, mais à quelle profondeur vont-elles? Polyfill.io claims reveal new cracks in supply chain, but how deep do they go? (lien direct) |
Il y aura toujours de mauvais acteurs dans le système.Nous pouvons toujours apprendre du drame qu'ils créent Bibliothèques d'opinion .Temples étouffés au pouvoir civilisant de la connaissance, ou pads de lancement de la destruction mondiale?Oui, un autre mot technologique a emprunté et dégradé.Les bibliothèques de code sont essentielles pour ajouter uniquement la bonne fonctionnalité standard testée à un projet.Ils sont également un foyer naturel pour les attaques de chaîne d'approvisionnement qui matérialisent les logiciels malveillants au cœur de l'entreprise comme les troupes de choc de Klingons arrivant par faisceau de transporteur…
There will always be bad actors in the system. We can always learn from the drama they create Opinion Libraries. Hushed temples to the civilizing power of knowledge, or launchpads of global destruction? Yep, another word tech has borrowed and debased. Code libraries are essential for adding just the right standard tested functionality to a project. They\'re also a natural home for supply chain attacks that materialize malware in the heart of the enterprise like shock troops of Klingons arriving by transporter beam.… |
Malware | ★★★ | |
|
2024-07-01 14:18:18 | Les bogues Apple Cocoapods exposent des millions d'applications à l'injection de code Apple CocoaPods Bugs Expose Millions of Apps to Code Injection (lien direct) |
Les vulnérabilités de la chaîne d'approvisionnement du gestionnaire de dépendances critiques ont exposé des millions et des millions d'appareils à des logiciels malveillants arbitraires pendant une meilleure partie de la décennie.
Critical dependency manager supply chain vulnerabilities have exposed millions and millions of devices to arbitrary malware for the better part of decade. |
Malware Vulnerability | ★★ | |
|
2024-07-01 13:46:56 | Cisco met en garde contre NX-OS Zero-Day exploité pour déployer des logiciels malveillants personnalisés Cisco warns of NX-OS zero-day exploited to deploy custom malware (lien direct) |
Cisco a corrigé un NX-OS-Day exploité dans les attaques d'avril pour installer des logiciels malveillants précédemment inconnus sous le nom de Root sur les commutateurs vulnérables.[...]
Cisco has patched an NX-OS zero-day exploited in April attacks to install previously unknown malware as root on vulnerable switches. [...] |
Malware Vulnerability Threat | ★★★ | |
|
2024-07-01 11:03:12 | MerkSpy: Exploiting CVE-2021-40444 to Infiltrate Systems (lien direct) | #### Targeted Geolocations - India - North America ## Snapshot FortiGuard Labs Threat Research identified recent attacks exploiting the [CVE-2021-40444](https://security.microsoft.com/intel-profiles/CVE-2021-40444) vulnerability in Microsoft Office to deploy the spyware payload known as “MerkSpy.” ## Description The initial vector for this attack is a Microsoft Word document masquerading as a job description for a software developer position. Opening the document triggers the exploitation of CVE-2021-40444, a remote code execution vulnerability within the MSHTML component used by Internet Explorer in Microsoft Office. After the successful exploitation, the malicious document initiates the download of a HTML file from a remote server, which conceals JavaScript and embedded shellcode. This shellcode decodes the downloaded content to execute an injector responsible for loading the MerkSpy spyware into memory and integrating it with active system processes. The extracted payload is protected with VMProtect. Its primary function is seamlessly injecting the MerkSpy spyware into crucial system processes. This spyware operates covertly within systems, capturing sensitive information and exfiltrating data to remote servers controlled by malicious actors. ## Detections/Hunting Queries Microsoft Defender Antivirus detects threat components as the following malware: - [Trojan:Win32/Znyonm](https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Trojan:Win32/Znyonm&threatId=-2147076851) ##### Endpoint detection and response (EDR) Alerts with the following titles in the security center can indicate threat activity on your network: - Possible exploitation of CVE-2021-40444 (requires Defender Antivirus as the Active AV) The following alerts might also indicate threat activity associated with this threat. These alerts, however, can be triggered by unrelated threat activity and are not monitored in the status cards provided with this report. - Suspicious Behavior By Office Application (detects the anomalous process launches that happen in exploitation of this CVE, and other malicious behavior) - Suspicious use of Control Panel item ## Recommendations Apply the following mitigations to reduce the impact of this threat and follow-on actions taken by attackers. - Apply the security updates for [CVE-2021-40444](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444). Comprehensive updates addressing the vulnerabilities used in this campaign are available through the [September 2021 security updates](https://msrc.microsoft.com/update-guide/). While there are workarounds listed for customers, in [CVE-2021-40444](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40444) scenarios where patching is not yet feasible, we recommend customers to apply the patch for this vulnerability and act on the secure configurations highlighted in this report at the soonest time possible. - Run the latest version of your operating systems and applications. Turn on automatic updates or deploy the latest security updates as soon as they become available. - Use a supported platform, such as Windows 10, to take advantage of regular security updates. - Turn on [cloud-delivered protection](https://docs.microsoft.com/en-us/microsoft-365/security/defender-endpoint/configure-block-at-first-sight-microsoft-defender-antivirus?view=o365-worldwide) in Microsoft Defender Antivirus or the equivalent for your antivirus product to cover rapidly evolving attacker tools and techniques. Cloud-based machine learning protections block the majority of new and unknown variants. - Turn on [tamper protection](https://docs.microsoft.com/microsoft-365/security/defender-endpoint/prevent-changes-to-security-settings-with-tamper-protection?view=o365-worldwide) in Microsoft Defender for Endpoint, to prevent malicious changes to security settings. - Run [EDR in block mode](https://docs. | Malware Tool Vulnerability Threat Patching | ★★★ | |
|
2024-07-01 10:57:31 | Faits saillants hebdomadaires, 1er juillet 2024 Weekly OSINT Highlights, 1 July 2024 (lien direct) |
## Snapshot Last week\'s OSINT reporting reveals a landscape of diverse cyber threats characterized by sophisticated attack tactics and adaptable threat actors. Key themes include the proliferation of Remote Access Trojans (RATs) like Remcos and XWorm, as well as the deployment of ransomware in espionage campaigns by groups such as ChamelGang. The use of phishing, malicious documents, and social engineering tactics are prevalent attack vectors, often leading to the installation of malware, as seen with Fickle Stealer and StrelaStealer. Threat actors range from nation-state groups, including Chinese and Russian espionage teams targeting government and critical infrastructure, to cybercriminals employing Phishing-as-a-Service platforms like ONNX Store to target financial institutions. The targets of these attacks are diverse, encompassing telecom operators, government entities, academic institutions, and private sector organizations across various regions, highlighting the global and multifaceted nature of current cyber threats. ## Description 1. **[Chinese Espionage Group Targets Telecom Operators](https://sip.security.microsoft.com/intel-explorer/articles/e2de6dd7):** Symantec\'s Threat Hunter Team identified a prolonged espionage campaign by Chinese groups targeting telecom operators in an Asian country using tools like Coolclient and Rainyday. The attackers aimed to steal credentials and implant backdoors, suggesting motives ranging from intelligence gathering to infrastructure disruption. 2. **[Remcos RAT Distributed via Malicious Word Documents](https://sip.security.microsoft.com/intel-explorer/articles/f5983b2e):** Forcepoint analysts discovered the distribution of Remcos RAT through Word documents with shortened URLs, exploiting the Equation Editor vulnerability. The malware enables full system control for espionage and data theft, highlighting the importance of recognizing evolving cybercriminal tactics. 3. **[WordPress Plugins Compromised with Malicious PHP Scripts](https://sip.security.microsoft.com/intel-explorer/articles/d443398b):** Wordfence identified a threat actor tampering with five WordPress plugins to create new admin accounts and inject SEO spam. This breach affected over 35,000 websites, emphasizing the need for robust security measures and vigilant monitoring of plugin updates. 4. **[SugarGh0st Malware Campaign by SneakyChef](https://sip.security.microsoft.com/intel-explorer/articles/f1334283):** Cisco Talos uncovered "SneakyChef" using SugarGh0st malware to target government agencies in EMEA and Asia, employing decoy documents from foreign ministries. The group\'s infection chain involves SFX RAR files, with tactics suggesting a Chinese-speaking origin. 5. **[ChamelGang Uses Ransomware for Cyberespionage](https://sip.security.microsoft.com/intel-explorer/articles/b24f9fda):** SentinelLabs and Recorded Future reported on ChamelGang\'s use of CatB ransomware to target global high-profile organizations. The group, likely Chinese, uses ransomware to mislead attribution efforts and facilitate data exfiltration. 6. **[P2Pinfect Rust-based Malware Evolution](https://sip.security.microsoft.com/intel-explorer/articles/2238375c):** Cado Security highlighted the evolution of P2Pinfect, a Rust-based malware spreading via Redis with a botnet for pushing updated binaries. The malware includes a worm, miner, and ransomware payloads, demonstrating ongoing development for profit and network expansion. 7. **[UAC-0184 Targets Ukraine with XWorm RAT](https://sip.security.microsoft.com/intel-explorer/articles/1d853438):** CRIL reported on UAC-0184\'s malware campaign using XWorm RAT to target Ukrainian entities. The attack employs malicious LNK files and DLL sideloading to establish remote access, reflecting the group\'s evolving tactics. 8. **[Xctdoor Malware Targets Korean Companies](https://sip.security.microsoft.com/intel-explorer/articles/df357951):** AhnLab identified attacks on Korean companies using Xctdoor malware, initially infiltrating systems via an ERP update server. | Ransomware Spam Malware Tool Vulnerability Threat | ★★★ | |
 |
2024-07-01 09:30:00 | Détourné: comment les chaînes YouTube piratées répartissent les escroqueries et les logiciels malveillants Hijacked: How hacked YouTube channels spread scams and malware (lien direct) |
Voici comment les cybercriminels vont après les canaux YouTube et les utilisent comme conduits pour la fraude & # 8211;Et ce que vous devriez faire attention lorsque vous regardez des vidéos sur la plateforme
Here\'s how cybercriminals go after YouTube channels and use them as conduits for fraud – and what you should watch out for when watching videos on the platform |
Malware | ★★★ | |
|
2024-07-01 01:37:54 | Les logiciels malveillants XCTDOOOR utilisés dans les attaques contre les sociétés coréennes (Andariel) Xctdoor Malware Used in Attacks Against Korean Companies (Andariel) (lien direct) |
Ahnlab Security Intelligence Center (ASEC) a récemment découvert un cas où un acteur de menace non identifié a exploité un ERP coréen ERP à l'ERP coréenpour mener une attaque.Après avoir infiltré le système, l'acteur de menace aurait attaqué le serveur de mise à jour d'une solution ERP coréenne spécifique pour prendre le contrôle des systèmes au sein de l'entreprise.Dans un autre cas d'attaque, un serveur Web vulnérable a été attaqué pour distribuer des logiciels malveillants.Les cibles de ces attaques ont été identifiées comme la défense et la fabrication coréens ...
AhnLab SEcurity intelligence Center (ASEC) recently discovered a case where an unidentified threat actor exploited a Korean ERP solution to carry out an attack. After infiltrating the system, the threat actor is believed to have attacked the update server of a specific Korean ERP solution to take control of systems within the company. In another attack case, a vulnerable web server was attacked to distribute malware. The targets of these attacks have been identified as the Korean defense and manufacturing... |
Malware Threat | ★★★ | |
 |
2024-06-30 21:32:51 | L'IA générative est un nouveau vecteur d'attaque en danger des entreprises, explique CrowdStrike CTO Generative AI is new attack vector endangering enterprises, says CrowdStrike CTO (lien direct) |
Gen AI ouvre toutes sortes d'opportunités pour obtenir des données sensibles sans même construire des logiciels malveillants.
Gen AI opens up all kinds of opportunities to obtain sensitive data without even building malware. |
Malware | ★★★ | |
|
2024-06-30 10:21:42 | Faux sites de support informatique poussent les scripts PowerShell malveillants comme Windows fixe Fake IT support sites push malicious PowerShell scripts as Windows fixes (lien direct) |
Les sites de support informatique faux favorisent les "correctifs" malveillants de PowerShell pour les erreurs de fenêtres courantes, comme l'erreur 0x80070643, pour infecter les appareils avec des logiciels malveillants de vol d'informations.[...]
Fake IT support sites promote malicious PowerShell "fixes" for common Windows errors, like the 0x80070643 error, to infect devices with information-stealing malware. [...] |
Malware | ★★★ | |
|
2024-06-28 18:19:52 | Campagne soutenue en utilisant des outils d'espionnage chinois cible les opérateurs de télécommunications Sustained Campaign Using Chinese Espionage Tools Targets Telcos (lien direct) |
## Instantané
L'équipe de Hunter de menace de Symantec a identifié une campagne d'espionnage soutenue ciblant les opérateurs de télécommunications dans un seul pays asiatique.Les attaquants, en utilisant des outils associés aux groupes d'espionnage chinois, ont placé des délais sur les réseaux d'entreprises ciblées et ont tenté de voler des informations d'identification.
## Description
La campagne, en cours depuis au moins 2021, a impliqué l'utilisation de logiciels malveillants personnalisés tels que CoolClient, Quickheal et Rainyday, tous liés aux acteurs d'espionnage chinois.En plus des délais personnalisés, les attaquants ont utilisé des logiciels malveillants, des outils de balayage de port et des techniques de vol d'identification.Les outils utilisés dans cette campagne ont des associations solides avec plusieurs groupes chinois, notamment Fireant, Needleminer et Firefly, tous largement considérés comme opérant depuis la Chine.Le motif ultime de la campagne d'intrusion reste incertain, avec des possibilités, y compris la collecte de renseignements sur le secteur des télécommunications, l'écoute ou la création d'une capacité perturbatrice contre les infrastructures critiques dans le pays ciblé.
## Les références
["Campagne soutenue en utilisant des outils d'espionnage chinois cible les opérateurs de télécommunications"] (https://symantec-enterprise-blogs.security.com/thereat-intelligence/telecoms-espionage-asia) symantec.(consulté en 2024-06-20)
## Snapshot The Threat Hunter Team at Symantec identified a sustained espionage campaign targeting telecom operators in a single Asian country. The attackers, using tools associated with Chinese espionage groups, placed backdoors on the networks of targeted companies and attempted to steal credentials. ## Description The campaign, ongoing since at least 2021, involved the use of custom malware such as Coolclient, Quickheal, and Rainyday, all linked to Chinese espionage actors. In addition to the custom backdoors, the attackers employed keylogging malware, port scanning tools, and credential theft techniques. The tools used in this campaign have strong associations with multiple Chinese groups, including Fireant, Needleminer, and Firefly, all widely considered to be operating from China. The ultimate motive of the intrusion campaign remains unclear, with possibilities including intelligence gathering on the telecoms sector, eavesdropping, or building a disruptive capability against critical infrastructure in the targeted country. ## References ["Sustained Campaign Using Chinese Espionage Tools Targets Telcos"](https://symantec-enterprise-blogs.security.com/threat-intelligence/telecoms-espionage-asia) Symantec. (accessed 2024-06-20) |
Malware Tool Threat | ★★★ | |
|
2024-06-28 17:46:36 | Le raccourcissement d'URL dans un fichier Word Microsoft qui mène à Remcos Rat URL Shortener in a Microsoft Word File that Leads to Remcos RAT (lien direct) |
## Instantané Les analystes de ForcePoint ont identifié une nouvelle méthode de distribution des REMCO (télécommande et surveillance) à distance d'accès à distance (rat) via des documents de mots malveillants contenant des URL raccourcies. ## Description Le Remcos Rat malware accorde aux attaquants un contrôle total sur un système infecté, permettant le vol de données, l'espionnage et d'autres activités malveillantes.L'attaque commence lorsqu'un e-mail contenant une pièce jointe .docx est livré.L'attaque commence par un e-mail contenant une pièce jointe .Docx, qui conduit au téléchargement du Remcos Rat via une variante du malware d'éditeur d'équipement au format RTF.Le malware exploite la vulnérabilité de l'éditeur d'équation ([CVE-2017-11882] (https://security.microsoft.com/intel-explorer/cves/cve-2017-0199/)) pour télécharger un script VB, qui deobfuscats à PowerShellCode tentant de télécharger un binaire malveillant via l'image stéganographique et les chaînes encodées de base64 de base64.L'utilisation d'URL raccourcies dans des documents de mots pour distribuer le Remcos Rat met en évidence l'évolution des tactiques des cybercriminels, soulignant l'importance de comprendre la chaîne d'infection et de reconnaître les signes de telles attaques pour mieux protéger contre ces menaces. ## Analyse supplémentaire Remcos Rat est couramment déployé via le phishing en utilisant plusieurs types d'attachements malveillants.Par exemple, en 2023, [chercheurs de contrôle observés] (https://security.microsoft.com/intel-explorer/articles/12418076) Une campagne de phishing à grande échelle ciblant les organisations colombiennes utilisant des accessoires Zip, RAR ou TGZ pour distribuer les logiciels malveillants.[AhnLab Security Intelligence Center (ASEC) a également observé] (https://asec.ahnlab.com/ko/65790/) REMCOS RAT distribué via des fichiers Uue compressés. Remcos est un rat polyvalent car il fournit aux attaquants un contrôle étendu sur un système infectieux, facilitant une variété d'activités malveillantes.Les impacts clés d'une infection REMCOS peuvent inclure: - ** Takeover du compte: ** Remcos est apte à capturer les mots de passe et le keylogging à partir de systèmes compromis, permettant aux attaquants de contrôler Séeze des comptes en ligne et d'autres systèmes, de voler des informations sensibles, d'établir de la persistance et de dégénérer les privilèges. - ** Vol de données: ** Au-delà des touches de journalisation et des informations d'identification, les Remcos ont la capacité de collecter et de transmettre d'autres données d'une organisation, permettant aux attaquants de mener des violations de données. - ** Infections de suivi: ** REMCOS permet aux attaquants d'introduire des logiciels malveillants supplémentaires à un appareil infecté.Par conséquent, une infection par REMCOS pourrait entraîner des menaces plus réduites telles que des ransomwares ou une autre attaque de suivi. ## Détections / requêtes de chasse ** Microsoft Defender Antivirus ** Microsoft Defender Antivirus détecte les composants de la menace comme le malware suivant: - * [Backdoor: MSIL / REMCOS] (https://www.microsoft.com/en-us/wdsi/thereats/malware-encycopedia-dercription?name=backDoor:msil/remcos&Thereatid=-2147222251) * - * [BackDoor: Win32 / Remcos] (https://www.microsoft.com/en-us/wdsi/thereats/malware-encycopedia-dercription?name=backdoor:win32/remcos& ;theretid=-2147238996) * - * [Backdoor: JS / Remcos] (https://www.microsoft.com/en-us/wdsi/thereats/malware-encycopedia-dercription?name=backDoor:js/remcos&Thereatid=-214707070418) * * - * [Trojan: Win32 / Remcos] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-dercription?name=trojan:win32/remccOS & menaceID = -2147239341) * - * [Trojan: MSIL / Remcos] (https://www.microsoft.com/en-us/wdsi/thereats/malware-encyclopedia-dercription?name=trojan:msil/remcos.mbdk!mtb& ;troatid=-2147121620) * | Ransomware Malware Tool Vulnerability Threat | ★★★ | |
|
2024-06-28 17:29:00 | 8220 Gang exploite Oracle Weblogic Server Flaws for Cryptocurrence Mining 8220 Gang Exploits Oracle WebLogic Server Flaws for Cryptocurrency Mining (lien direct) |
Les chercheurs en sécurité ont mis en lumière l'opération d'extraction de crypto-monnaie menée par le gang 8220 en exploitant des défauts de sécurité connus dans le serveur Oracle Weblogic.
"L'acteur de menace utilise des techniques d'exécution sans réserve, en utilisant la réflexion sur la DLL et l'injection de processus, permettant au code de logiciel malveillant de s'exécuter uniquement en mémoire et d'éviter
Security researchers have shed more light on the cryptocurrency mining operation conducted by the 8220 Gang by exploiting known security flaws in the Oracle WebLogic Server. "The threat actor employs fileless execution techniques, using DLL reflective and process injection, allowing the malware code to run solely in memory and avoid disk-based detection mechanisms," Trend Micro researchers Ahmed |
Malware Threat Prediction | ★★★ |
To see everything:
Our RSS (filtrered)
