What's new arround internet
| Src | Date (GMT) | Titre | Description | Tags | Stories | Notes |
 |
2024-05-31 22:14:46 | Analysis of APT Attack Cases Using Dora RAT Against Korean Companies (Andariel Group) (lien direct) | #### Géolocations ciblées - Corée #### Industries ciblées - Éducation - Fabrication critique ## Instantané Ahnlab Security Intelligence Center (ASEC) a identifié des attaques par Andariel Group, suivis par Microsof une variété de logiciels malveillants pour cibler l'éducation sud-coréenneInstitutions et organisations de construction et de fabrication. Lire Microsoft \'s [écriture sur Onyx Sleet] (https://security.microsoft.com/intel-profiles/03ced82eecb35bdb459c47b7821b9b055d1dfa00b56dc1b06f59583bad8833c0). ## Description Les attaques analysées par l'ASEC ont impliqué plusieurs types de logiciels malveillants, tels que les keyloggers, les infostelleurs, les outils de proxy et les chevaux de Troie à distance à distance (rats). Nestdoor est un rat qui est utilisé depuis mai 2022. Il permet aux attaquants d'exécuter des commandes, de télécharger et de télécharger des fichiers et d'effectuer des opérations de shell inverse.Nestdoor a été utilisé dans diverses attaques, exploitant souvent des vulnérabilités comme Log4Shell.Dans un cas, les logiciels malveillants étaient déguisés en un installateur OpenVPN, qui, lors de l'exécution, a activé Nestdoor. Dora Rat est une souche malveillante personnalisée identifiée dans ces attaques.Développé par Andariel Group dans le langage Go, Dora Rat fournit des fonctionnalités de base telles que le transfert de shell et de fichiers inversé.Il peut soit s'exécuter en tant qu'exécutable autonome, soit être injecté dans le processus Explorer.exe.Certaines versions de Dora Rat ont été signées avec un certificat légitime, augmentant leur légitimité perçue. Les keyloggers et les journalistes du presse-papiers ont été déployés pour capturer des informations sensibles à partir de systèmes infectés, stockant les données capturées dans le répertoire "% temp%".De plus, divers outils proxy ont été utilisés pour l'exfiltration des données.Ces outils comprenaient des proxys développés sur mesure et des proxys de Socks5 open source.Un outil de proxy a partagé des similitudes avec ceux utilisés par le groupe Lazarus, suivi par Micross comme [Diamond Sleet] (https://security.microsoft.com/intel-profiles/b982c8daf198d93a2ff52b92b65c6284243aa6af91dda5edd1fe8ec5365918c5), ininte ## Détections / requêtes de chasse ** Microsoft Defender pour le point de terminaison ** Les alertes avec le titre suivant dans le centre de sécurité peuvent indiquer une activité de menace sur votre réseau: - * groupe d'activités de grésil Onyx * ## Recommandations Microsoft recommande les atténuations suivantes pour réduire l'impact de cette menace.Vérifiez la carte de recommandations pour l'état de déploiement des atténuations surveillées. - Utiliser [Microsoft Defender Vulnerabilité Management (MDVM] (https: //learn.microsoft.com/en-us/microsoft-365/security/defender-vulnerability-management/defender-vulnerabilité-management?view=o365-worldwide)) pour aider à identifier le potAssets entialement vulnérables Les acteurs de Sleet Onyx pourraient exploiter pour prendre pied dans le réseau. - Utiliser la gestion de l'exposition dans [Microsoft Defender XDR] (https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/microsoft-defender-endpoint?view=O365-Worldwide) pour identifier)Les actifs potentiellement vulnérables et remédier aux vulnérabilités potentielles de sécurité Les acteurs de goûts d'Onyx pourraient exploiter pour prendre pied dans le réseau. - Les clients de Microsoft Defender peuvent activer [Règles de réduction de la surface d'attaque] (https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/attack-surface-reduction?view=o365-worldwide&ocid = magicti_ta_learndoc) pour empêcher les techniques d'attaque courantes: - [Block] (https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/attack-surface-redulation-Rules-reference?view=o365-wor | Malware Tool Vulnerability Threat | APT 38 | |
|
2024-05-31 21:10:13 | THREAT ALERT: The XZ Backdoor - Supply Chaining Into Your SSH (lien direct) | ## Instantané La cyberéasie a émis une alerte de menace sur une porte dérobée découverte dans les versions XZ Utils 5.6.0 et 5.6.1, affectant les systèmes d'exploitation Linux.XZ Utils, une bibliothèque de compression utilisée dans diverses distributions Linux, a été compromise dans une attaque de chaîne d'approvisionnement ciblant l'intégrité du protocole SSH. ## Description Cette vulnérabilité, identifiée comme [CVE-2024-3094] (https://security.microsoft.com/intel-profiles/cve-2024-3094), a un score CVSS de 10 et permetMachines.La question affecte principalement les branches de développement de distributions comme Fedora, Debian, Alpine, Kali, OpenSuse et Arch Linux. La porte dérobée a été introduite par un contributeur nommé "Jiat75", qui a établi la crédibilité avant d'introduire des scripts malveillants et des fichiers de test au référentiel.Cet utilisateur a réduit les vérifications de sécurité dans des projets comme Oss-Fuzz dans le but de cacher la porte dérobée.La porte dérobée utilise des fonctions indirectes GNU et des crochets d'audit pour modifier le comportement SSH et est déclenché par un échange de certificat SSH malveillant, permettant l'exécution du code distant. Les modifications malveillantes comprenaient des modifications d'un tarball sur Github, non présentes dans le référentiel Git principal, facilitant l'installation de la porte dérobée.Un script M4 modifié, "M4 / build-to-host.m4", a été utilisé pour initier le chargement de la charge utile malveillante pendant le processus de construction. ## Analyse Microsoft Les menaces contre Linux (GNU / Linux OS) ont fait la une des journaux de SOINT ces derniers mois alors que les acteurs de la menace continuent d'évoluer les techniques d'attaque et de prioriser de plus en plus les cibles basées sur Linux.Bien que Linux OS ait longtemps été félicité pour son architecture de sécurité robuste par rapport à ses homologues à source fermée, les dernières années ont connu une augmentation significative des logiciels malveillants ciblant Linux, ce qui remet en question la notion de sa sécurité inhérente. Microsoft a suivi les tendances à travers les rapports récents de logiciels malveillants Linux dans la communauté de la sécurité.Ces tendances comprennent: l'exploitation des erreurs de configuration ou des versions de services précédentes, ciblant les vulnérabilités du service à 1 jour et l'exploitation des ransomwares et des crypto-monnaies. [En savoir plus sur les tendances récentes OSINT en LLinux malware ici.] (https://security.microsoft.com/intel-explorer/articles/ccbece59) ## Détections / requêtes de chasse ### mIcrosoft Defender Antivirus Microsoft Defender Antivirus détecte les composants de la menace comme le malware suivant: - [Comportement: Linux / CVE-2024-3094] (https://www.microsoft.com/en-us/wdsi/atherets/malware-encycopedia-description?name=bEhavior: Linux / CVE-2024-3094.c & menaceID = -2147061068) - [Exploit: Linux / CVE-2024-3094] (https://www.microsoft.com/en-us/wdsi/Therets/Malware-encyClopedia-Description?name=Exploit:linux/CVE-2024-3094.a& menaced = -2147061017) - [Trojan: Linux / Multiverze] (https://www.microsoft.com/en-us/wdsi/Thereats/MAlware-SencyClopedia-Description? Name = Trojan: Linux / Multiverze & menaceID = -2147183877) - Backdoor: Linux / XzBackdoorbuild ### Microsoft Defender pour le point de terminaison Les alertes avec les titres suivants dans le centre de sécurité peuvent indiquer une activité de menace sur votre réseau: - Exploitation possible CVE-2024-3094 ## Recommandations Microsoft recommande les atténuations suivantes pour réduire l'impact de cette menace.Vérifiez la carte de recommandations pour l'état de déploiement des atténuations surveillées. - Détrrader XZ utilise une version sans compromis comme 5.4.6 Stable. - Utilisez Defender pour des recommandations cloud pour détecter les ressources vuln | Ransomware Malware Tool Vulnerability Threat Cloud | ||
 |
2024-05-31 20:11:38 | Lilacsquid APT utilise des outils open source, Quasarrat LilacSquid APT Employs Open Source Tools, QuasarRAT (lien direct) |
L'acteur de menace inconnu utilise des outils similaires à ceux utilisés par les groupes d'APT nord-coréens, selon Cisco Talos.
The previously unknown threat actor uses tools similar to those used by North Korean APT groups, according to Cisco Talos. |
Tool Threat | ||
 |
2024-05-31 13:41:00 | Openai, Meta, Tiktok perturber plusieurs campagnes de désinformation alimentées par l'IA OpenAI, Meta, TikTok Disrupt Multiple AI-Powered Disinformation Campaigns (lien direct) |
Openai a révélé jeudi qu'il a fallu des mesures pour couper cinq opérations d'influence secrètes (IO) originaires de Chine, d'Iran, d'Israël et de Russie qui ont cherché à abuser de ses outils d'intelligence artificielle (IA) pour manipuler le discours public ou les résultats politiques en ligne tout en obscurcissant leurvéritable identité.
Ces activités, qui ont été détectées au cours des trois derniers mois, ont utilisé ses modèles d'IA pour
OpenAI on Thursday disclosed that it took steps to cut off five covert influence operations (IO) originating from China, Iran, Israel, and Russia that sought to abuse its artificial intelligence (AI) tools to manipulate public discourse or political outcomes online while obscuring their true identity. These activities, which were detected over the past three months, used its AI models to |
Tool | ★★★ | |
|
2024-05-30 21:10:58 | Perturber les utilisations trompeuses de l'IA par les opérations d'influence secrètes Disrupting deceptive uses of AI by covert influence operations (lien direct) |
## Instantané
OpenAI a réussi à perturber plusieurs opérations d'influence secrète (iOS) en tirant parti des modèles d'IA pour les activités trompeuses, présentant des tendances et des mesures défensives que les praticiens de la cybersécurité peuvent utiliser pour lutter contre ces menaces.
## Description
Au cours des trois derniers mois, Openai a contrecarré cinq iOS secrètes qui ont exploité ses modèles pour générer divers types de contenu, des commentaires sur les réseaux sociaux aux articles longs, dans plusieurs langues.Ces opérations proviennent de pays tels que la Russie, la Chine, l'Iran et Israël, et ont ciblé divers problèmes géopolitiques tels que l'invasion de l'Ukraine par la Russie, le conflit à Gaza et la politique en Europe et aux États-Unis.Malgré ces efforts, les campagnes d'influence n'ont pas atteint un engagement important du public, car aucun n'a marqué plus d'un 2 sur l'échelle de Brookings \\ ', indiquant un impact minimal.Les opérations ont combiné le contenu généré par l'IA avec des médias traditionnels et visaient à simuler l'engagement plutôt que d'attirer des interactions authentiques.
OpenAI a identifié quatre tendances clés dans la façon dont les opérations d'influence secrètes ont récemment utilisé des modèles d'IA.Premièrement, la génération de contenu: ces acteurs de menace ont utilisé des services OpenAI pour produire du texte (et parfois des images) dans des volumes plus importants et avec moins d'erreurs linguistiques que les opérateurs humains pourraient réaliser seuls.Deuxièmement, le mélange ancien et nouveau: Bien que l'IA ait été habituée dans une certaine mesure dans toutes les opérations, elle n'a pas été utilisée exclusivement.Au lieu de cela, le contenu généré par l'IA était l'un des nombreux types de contenu affichés, aux côtés de formats traditionnels comme des textes ou des mèmes écrits manuellement provenant d'Internet.Troisièmement, truquer l'engagement: certains réseaux ont utilisé les services d'Openai \\ pour simuler l'engagement des médias sociaux, générant des réponses à leurs propres messages.Cependant, cela ne s'est pas traduit par un véritable engagement, ce qu'aucun de ces réseaux n'a réussi à réaliser de manière significative.Enfin, les gains de productivité: de nombreux acteurs de menace ont utilisé les services d'Openai \\ pour stimuler l'efficacité, par exemple en résumant les publications sur les réseaux sociaux ou le code de débogage.
Pour les praticiens de la cybersécurité, il est crucial de comprendre les tendances opérationnelles de ces iOS.Les stratégies défensives contre une telle utilisation abusive comprennent la mise en œuvre de systèmes de sécurité robustes dans les modèles d'IA, qui peuvent empêcher la génération de contenu malveillant et exploiter des outils améliorés par l'IA pour rationaliser les enquêtes.Le partage des indicateurs de menaces et des informations au sein de l'industrie s'avère également vitaux pour amplifier l'impact des perturbations.Les praticiens doivent rester vigilants de l'élément humain de ces opérations, car les attaquants sont sujets à des erreurs qui peuvent être exploitées pour la détection et l'atténuation.En adoptant ces stratégies, les professionnels de la cybersécurité peuvent mieux se défendre contre les opérations sophistiquées d'influence sur l'IA.
En savoir plus sur la façon dont Microsoft est [rester en avance sur les acteurs de la menace à l'ère de l'IA] (https://security.microsoft.com/intel-explorer/articles/ed40fbef).
## Les références
[Perturbant les utilisations trompeuses de l'IA par les opérations d'influence secrètes] (https://openai.com/index/disrupting-deceptive-uses-of-ai-by-covert-influence-operations/).OpenAI (consulté en 2024-05-30)
## Snapshot OpenAI has successfully disrupted multiple covert influence operations (IOs) leveraging AI models for deceptive activities, showcasing trends and defensive |
Tool Threat | ★★ | |
|
2024-05-30 20:28:18 | Lilacsquid: La trilogie furtive de Purpleink, Inkbox et Inkloader LilacSquid: The stealthy trilogy of PurpleInk, InkBox and InkLoader (lien direct) |
## Snapshot Cisco Talos has disclosed a new suspected data theft campaign, active since at least 2021, attributed to an advanced persistent threat actor (APT) called "LilacSquid". ## Description The campaign uses MeshAgent, an open-source remote management tool, and a customized version of QuasarRAT called "PurpleInk" to serve as the primary implants after successfully compromising vulnerable application servers exposed to the internet. The campaign leverages vulnerabilities in public-facing application servers and compromised remote desktop protocol (RDP) credentials to orchestrate the deployment of a variety of open-source tools, such as MeshAgent and SSF, alongside customized malware, such as "PurpleInk," and two malware loaders called "InkBox" and "InkLoader." The campaign is geared toward establishing long-term access to compromised victim organizations to enable LilacSquid to siphon data of interest to attacker-controlled servers. LilacSquid\'s victimology includes a diverse set of victims consisting of information technology organizations building software for the research and industrial sectors in the United States, organizations in the energy sector in Europe, and the pharmaceutical sector in Asia, indicating that the threat actor may be agnostic of industry verticals and trying to steal data from a variety of sources. ## Detections/Hunting Queries # Recommendations to protect against Information Stealers Microsoft recommends the following mitigations to reduce the impact of Information stealer threats. - Check your Office 365 email filtering settings to ensure you block spoofed emails, spam, and emails with malware. Use [Microsoft Defender for Office 365](https://learn.microsoft.com/microsoft-365/security/office-365-security/defender-for-office-365?ocid=magicti_ta_learndoc) for enhanced phishing protection and coverage against new threats and polymorphic variants. Configure Microsoft Defender for Office 365 to [recheck links on click](https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-links-about?ocid=magicti_ta_learndoc) and [delete sent mail](https://learn.microsoft.com/microsoft-365/security/office-365-security/zero-hour-auto-purge?ocid=magicti_ta_learndoc) in response to newly acquired threat intelligence. Turn on [safe attachments policies](https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-attachments-policies-configure?ocid=magicti_ta_learndoc) to check attachments to inbound email. - Encourage users to use Microsoft Edge and other web browsers that support [SmartScreen](https://learn.microsoft.com/microsoft-365/security/defender-endpoint/web-protection-overview?ocid=magicti_ta_learndoc), which identifies and blocks malicious websites, including phishing sites, scam sites, and sites that host malware. - Turn on [cloud-delivered protection](https://learn.microsoft.com/microsoft-365/security/defender-endpoint/configure-block-at-first-sight-microsoft-defender-antivirus?ocid=magicti_ta_learndoc) in Microsoft Defender Antivirus, or the equivalent for your antivirus product, to cover rapidly evolving attacker tools and techniques. Cloud-based machine learning protections block a majority of new and unknown variants. - Enforce MFA on all accounts, remove users excluded from MFA, and strictly [require MFA](https://learn.microsoft.com/azure/active-directory/identity-protection/howto-identity-protection-configure-mfa-policy?ocid=magicti_ta_learndoc) from all devices, in all locations, at all times. - Enable passwordless authentication methods (for example, Windows Hello, FIDO keys, or Microsoft Authenticator) for accounts that support passwordless. For accounts that still require passwords, use authenticator apps like Microsoft Authenticator for MFA. [Refer to this article](https://learn.microsoft.com/azure/active-directory/authentication/concept-authentication-methods?ocid=magicti_ta_learndoc) for the different authentication methods and features. - For MFA that uses authenticator apps, ensure that the | Ransomware Spam Malware Tool Vulnerability Threat Industrial | ★★★ | |
|
2024-05-30 19:53:04 | Les outils d'IA défectueux créent des soucis pour les LLM privés, les chatbots Flawed AI Tools Create Worries for Private LLMs, Chatbots (lien direct) |
Les entreprises recherchent des modèles de langues importants pour aider leurs employés à glaner les informations à partir de données non structurées, mais les vulnérabilités pourraient conduire à une désinformation et, potentiellement, à des fuites de données.
Companies are looking to large language models to help their employees glean information from unstructured data, but vulnerabilities could lead to disinformation and, potentially, data leaks. |
Tool Vulnerability | ★★★ | |
|
2024-05-30 17:14:00 | Comment construire votre stratégie SOC autonome How to Build Your Autonomous SOC Strategy (lien direct) |
Les chefs de sécurité sont dans une position délicate en essayant de discerner la quantité de nouveaux outils de cybersécurité axés sur l'IA pourraient en fait bénéficier à un centre d'opérations de sécurité (SOC).Le battage médiatique sur l'IA génératrice est toujours partout, mais les équipes de sécurité doivent vivre dans la réalité.Ils sont confrontés à des alertes constamment entrantes à partir des plates-formes de sécurité des terminaux, des outils SIEM et des e-mails de phishing rapportés par les utilisateurs internes.Sécurité
Security leaders are in a tricky position trying to discern how much new AI-driven cybersecurity tools could actually benefit a security operations center (SOC). The hype about generative AI is still everywhere, but security teams have to live in reality. They face constantly incoming alerts from endpoint security platforms, SIEM tools, and phishing emails reported by internal users. Security |
Tool | ★★ | |
 |
2024-05-30 16:27:37 | Opération Endgame : Une frappe mondiale contre les botnets et la cybercriminalité (lien direct) | Entre le 27 et le 29 mai 2024, l'opération Endgame a ciblé des "droppers", des outils pirates. Ces actions ont visé à perturber les services criminels en arrêtant des hackers malveillants importants et en démantelant les infrastructures criminelles. L'un des pirates aurait gagné plus de 69 millions ... | Tool | ★★★ | |
 |
2024-05-30 13:27:10 | Ces 5 capacités critiques améliorent l'efficacité des Devsecops These 5 Critical Capabilities Enhance DevSecOps Effectiveness (lien direct) |
La mise en œuvre d'une approche DevSecops est le facteur clé le plus impactant dans le coût total d'une violation de données, selon le coût d'IBM \\ d'un rapport de violation de données 2023. DevseCops, des pratiques de sécurité intégrées dans DevOps, représente une pratique avancée dans laquelle le choixdes outils sont cruciaux pour une réduction du risque maximale.
Pour les organisations qui s'efforcent d'exceller dans DevseCops, il est essentiel de effectuer des tests complets et d'établir un processus de correction efficace qui priorise les problèmes en fonction de leur contexte.Soit \\ explorer cinq capacités critiques essentielles au succès et ce qu'il faut considérer lors de la mise en œuvre.
1. Capacités de test complètes automatisées
La bonne solution devrait offrir une variété de services de test, tels que l'analyse statique (SAST), l'analyse dynamique (DAST), les tests de pénétration (PTAAS) et l'analyse de composition logicielle (SCA).Ce large éventail de tests garantit que les applications sont entièrement évaluées dans divers scénarios et conditions,…
Implementation of a DevSecOps approach is the most impactful key factor in the total cost of a data breach, according to IBM\'s Cost of a Data Breach Report 2023. DevSecOps, security practices integrated in DevOps, represents an advanced practice where the choice of tools is crucial for maximum risk reduction. For organizations striving to excel in DevSecOps, it\'s essential to conduct comprehensive testing and establish an efficient remediation process that prioritizes issues based on their context. Let\'s explore five critical capabilities essential for success and what to consider when implementing them. 1. Automated Comprehensive Testing Capabilities The right solution should offer a variety of testing services, such as Static Analysis (SAST), Dynamic Analysis (DAST), Penetration Testing (PTaaS), and Software Composition Analysis (SCA). This broad spectrum of testing ensures that applications are thoroughly evaluated under various scenarios and conditions,… |
Data Breach Tool | ★★★ | |
 |
2024-05-30 10:00:00 | Transition du stockage sur site au cloud AWS: un guide stratégique pour les entreprises Transitioning from On-Premise Storage to AWS Cloud: A Strategic Guide for Companies (lien direct) |
The content of this post is solely the responsibility of the author. LevelBlue does not adopt or endorse any of the views, positions, or information provided by the author in this article. In today’s digital world, businesses face the challenge of managing ever-expanding volumes of data efficiently and securely. Traditional on-premise storage solutions often come with limitations in scalability, flexibility, and cost-effectiveness. Recognizing these drawbacks, many companies are turning to cloud computing platforms like Amazon Web Services (AWS) to harness the power of cloud storage solutions. Transitioning from on-premise storage to AWS cloud can be a transformative journey for businesses, enabling them to streamline operations and enhance data accessibility. In this article, we will explore the steps involved in this transition and the benefits it offers to businesses. Understanding the Need for Transition Before exploring the transition process, it’s crucial for businesses to understand the reasons behind their decision to migrate from on-premise storage to the AWS cloud. Several factors often drive this decision: Scalability: On-premise storage solutions have limited capacities, making it challenging for businesses to scale their storage infrastructure rapidly in response to growing amounts of data. AWS cloud offers virtually unlimited storage capacity, allowing businesses to scale up or down as needed without the hassle of physical hardware upgrades. Flexibility: Traditional storage architectures lack the ability to adapt to changing business requirements quickly. AWS cloud provides a wide range of storage services, such as Amazon S3, Amazon EBS, and Amazon Glacier, each tailored to specific use cases. This flexibility enables businesses to choose storage solutions that best suit their needs and easily adjust them as requirements evolve. Cost Efficiency: Maintaining on-premise storage infrastructure requires significant upfront investments in hardware, maintenance, and personnel. AWS cloud operates on a pay-as-you-go model, allowing businesses to pay only for the resources they consume. This cost-efficient approach eliminates the need for extraneous expenditures and reduces overall storage costs. Enhanced Security and Compliance: AWS offers robust security features and compliance certifications, ensuring data stored in the cloud remains protected against threats and meets regulatory requirements. By leveraging AWS security services like AWS Identity and Access Management (IAM) and Amazon Macie, businesses can enhance data security and ensure compliance. Strategic Steps in Transitioning to AWS Cloud Transitioning from on-premise storage to AWS cloud requires careful planning and execution to minimize disruption to business operations. Here are strategic steps involved in the transition process: Assessment and Planning: Begin by conducting a comprehensive assessment of your existing on-premise storage infrastructure, including data volumes, types, and access patterns. Identify workloads suitable for migration to the cloud and prioritize them based on business criticality. Develop a detailed migration plan outlining timelines, resource requirements, and potential challenges. Data Migration Strategy: Choose the appropriate migration strategy based on your business requirements and data characteristics. AWS offers several migration options, including: Rehosting: Migrate existing virtual machines or applications to AWS using services like AWS Server Migration Service (SMS). Replatforming: Optimize applications for cloud-native architectures while retaining core functionalities. Refactoring: Redesign applications to leverage cloud-native services and take full advantage of AWS capabilities. | Tool Cloud | ★★ | |
 |
2024-05-30 06:00:00 | Version macOS de l'outil insaisissable \\ 'LightSpy \\' Spyware découvert macOS version of elusive \\'LightSpy\\' spyware tool discovered (lien direct) |
Une version macOS du cadre de surveillance LightSpy a été découverte, confirmant la portée étendue d'un outil uniquement connu pour cibler les appareils Android et iOS.[...]
A macOS version of the LightSpy surveillance framework has been discovered, confirming the extensive reach of a tool only previously known for targeting Android and iOS devices. [...] |
Tool Mobile | ★★ | |
 |
2024-05-30 05:12:51 | Analyse des cas d'attaque APT utilisant Dora Rat contre les sociétés coréennes (Andariel Group) Analysis of APT Attack Cases Using Dora RAT Against Korean Companies (Andariel Group) (lien direct) |
Ahnlab Security Intelligence Center (ASEC) a récemment découvert les cas d'attaque Andariel APT contre les sociétés coréennes et les instituts.Les organisations ciblées comprenaient des établissements d'enseignement et des entreprises de fabrication et de construction en Corée.Keylogger, Infostaler et des outils de procuration au-dessus de la porte dérobée ont été utilisés pour les attaques.L'acteur de menace a probablement utilisé ces souches de logiciels malveillants pour contrôler et voler des données des systèmes infectés.Les attaques avaient des souches de logiciels malveillants identifiées dans les cas passés d'Andariel, dont le plus notable est Nestdoor, un ...
AhnLab SEcurity intelligence Center (ASEC) has recently discovered Andariel APT attack cases against Korean corporations and institutes. Targeted organizations included educational institutes and manufacturing and construction businesses in Korea. Keylogger, Infostealer, and proxy tools on top of the backdoor were utilized for the attacks. The threat actor probably used these malware strains to control and steal data from the infected systems. The attacks had malware strains identified in Andariel group’s past cases, the most notable of which is Nestdoor, a... |
Malware Tool Threat | ||
|
2024-05-30 04:36:51 | Distribution de logiciels malveillants sous le couvert de versions fissurées de MS Office (XMRIG, Orcusrat, etc.) Distribution of Malware Under the Guise of MS Office Cracked Versions (XMRig, OrcusRAT, etc.) (lien direct) |
par le biais d'un article intitulé & # 8220; rat orcus distribué déguisé en hangul processeur de mots crack & # 8221;[1], Ahnlab Security Intelligence Center (ASEC) a précédemment révélé un cas d'attaque dans lequel un acteur de menace distribuait des rats et des co -minoirs aux utilisateurs coréens.Jusqu'à récemment, l'attaquant a créé et distribué diverses souches de logiciels malveillants, tels que les téléchargeurs, Coinmin, Rat, Proxy et Antiav.De nombreux systèmes en Corée du Sud ont tendance à être infectés par des souches de logiciels malveillants qui sont distribuées sous le couvert de versions fissurées de programmes légitimes, tels que le traitement de texte hangul ou les outils d'activation pour Windows ou Microsoft Office.Les acteurs de la menace ont mis à niveau leurs logiciels malveillants en ajoutant une autre couche à ce processus, qui s'inscrit au planificateur de tâches dans le système infecté.Après la tâche ...
Through a post titled “Orcus RAT Being Distributed Disguised as a Hangul Word Processor Crack” [1], AhnLab SEcurity intelligence Center (ASEC) previously disclosed an attack case in which a threat actor distributed RAT and CoinMiner to Korean users. Until recently, the attacker created and distributed various malware strains, such as downloaders, CoinMiner, RAT, Proxy, and AntiAV. Numerous systems in South Korea tend to become infected by malware strains that are distributed under the guise of cracked versions of legitimate programs, such as Hangul Word Processor or activation tools for Windows or Microsoft Office. Threat actors have been upgrading their malware by adding another layer to this process, which is registering to the Task Scheduler in the infected system. After task... |
Malware Tool Threat | ||
|
2024-05-29 20:27:37 | Fichiers avec une extension TXZ utilisée comme pièces jointes Malspam Files with TXZ extension used as malspam attachments (lien direct) |
#### Géolocations ciblées - Croatie - Espagne - Slovaquie - Tchéchie ## Instantané Des chercheurs du SANS Internet Storm Center ont découvert que les acteurs de la menace utilisent des fichiers avec TXZ Extension comme pièces jointes Malspam dans des campagnes ciblées régionalement. ## Description L'utilisation de l'extension TXZ est relativement inhabituelle et les chercheurs en sécurité ont révélé que les fichiers malveillants étaient en fait renommés des archives RAR.Microsoft a ajouté la prise en charge native à Windows 11 pour les fichiers TXZ et RAR à la fin de l'année dernière, ce qui peut avoir facilité les destinataires potentiels des messages malveillants pour ouvrir les pièces jointes à l'aide de l'explorateur de fichiers Windows standard, même si l'extension et le type de fichier ont été incompatibles. Les messages malveillants faisaient partie de deux campagnes, l'une contenant des textes dans les langues espagnols et slovaques et distribuant un fichier de 464 kb PE avec Guloder Maleware, et l'autre contenant des textes dans les langues croate et tchèque et distribuant un téléchargement de fichiers par lots de 4 kb pour le Formbook Micware et la distribution d'un fichier de fichiers de 4 kb pour le FormBook Micware Formbook et la distribution d'un téléchargement de fichiers par lots de 4 kb pour le FormBook Micware FormBook. ## Analyse supplémentaire Guloader est un téléchargeur de shellcode proéminent qui a été utilisé dans un grand nombre d'attaques pour fournir une large gamme de logiciels malveillants.Découvert en 2019, Guloader a commencé comme une famille de logiciels malveillants écrite dans Visual Basic 6 (VB6), selon la sécurité [chercheurs de CrowdStrike] (https://security.microsoft.com/intel-explorer/articles/49c83a74).In 2023, [Researchers at CheckPoint](https://security.microsoft.com/intel-explorer/articles/661847be) discovered that more recent versions of GuLoader integrated new anti-analysis techniques and a payload that is fully encrypted, including PEen-têtes.Cela permet aux acteurs de la menace de stocker des charges utiles à l'aide de services de cloud public bien connues, de contourner les protections antivirus et de conserver les charges utiles disponibles en téléchargement pendant une longue période. FormBook, un voleur d'informations (InfoSteller) malware découvert en 2016, possède diverses capacités telles que le suivi des touches, l'accès aux fichiers, la capture de captures d'écran et le vol de mots de passe des navigateurs Web.Ces dernières années, [Microsoft a suivi le risque croissant que les infostateurs présentent à la sécurité des entreprises] (https://security.microsoft.com/intel-profiles/2296d491ea381b532b24f2575f9418d4b6723c17b8a1f507d20c2140a75d6d6).Les infostateurs sont des logiciels malveillants de marchandises utilisés pour voler des informations à un appareil cible et l'envoyer à l'acteur de menace.La popularité de cette classe de logiciels malveillants a conduit à l'émergence d'un écosystème d'infosteller et à une nouvelle classe d'acteurs de menace qui a exploité ces capacités pour mener leurs attaques.Les infostelleurs sont polyvalents et peuvent être distribués sous diverses formes, notamment par le biais de campagnes par e-mail de phishing, de malvertising et de logiciels, de jeux et d'outils maltraités. ## Détections / requêtes de chasse ### Microsoft Defender Antivirus Microsoft Defender Antivirus détecte les composants de la menace comme le malware suivant: - [Trojandownloader: MSIL / Formbook] (Https: //www.microsoft.com/en-us/wdsi/therets/malware-encyclopedia-dercription? name = trojandownloher: MSIL / Formbook.kan! Mtb & - [Trojan: Win32 / Guloader] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-dercription?n?Ame = Trojan: Win32 / Guloader.ss! Mtb) ### Microsoft Defender pour le point de terminaison Les alertes avec les titres suivants dans le cent | Malware Tool Threat Cloud | ||
 |
2024-05-29 15:15:00 | Le nouveau PYPI Malware «Pytoileur» vole la crypto et échappe à la détection New PyPI Malware “Pytoileur” Steals Crypto and Evades Detection (lien direct) |
Le package se faisait passer pour un outil de gestion de l'API et des binaires Windows Trojanisés téléchargés
The package posed as an API management tool and downloaded trojanized Windows binaries |
Malware Tool | ★★ | |
 |
2024-05-29 13:00:09 | Corée du Nord pour construire des réserves de trésorerie utilisant des ransomwares, jeux vidéo North Korea building cash reserves using ransomware, video games (lien direct) |
Microsoft dit que l'hermite de Kim \\ pivote les derniers outils à mesure qu'il évolue dans le cyberespace un tout nouveau groupe de cybercriminalité que Microsoft lie avec la Corée du Nord trompe des cibles en utilisant de fausses opportunités d'emploi à lancermalware et ransomware, le tout pour un gain financier…
Microsoft says Kim\'s hermit nation is pivoting to latest tools as it evolves in cyberspace A brand-new cybercrime group that Microsoft ties to North Korea is tricking targets using fake job opportunities to launch malware and ransomware, all for financial gain.… |
Ransomware Malware Tool | APT 37 | ★★ |
|
2024-05-29 10:00:00 | Acquisition de données volatiles sur les systèmes Linux à l'aide de FMEM Volatile Data Acquisition on Linux Systems Using fmem (lien direct) |
The content of this post is solely the responsibility of the author. LevelBlue does not adopt or endorse any of the views, positions, or information provided by the author in this article.
Memory forensics is a critical aspect of digital forensics, allowing investigators to analyze the volatile memory of a system to uncover evidence of malicious activity, detect hidden malware, and reconstruct system events. In this blog, we\'ll explore the world of memory forensics using two powerful tools: Fmem and LiME. We\'ll delve into the basics of memory forensics, explore the features and capabilities of Fmem and LiME, and provide a step-by-step guide on how to use these tools to analyze a memory dump.
What is Memory Forensics?
Memory forensics involves the analysis of a system\'s volatile memory to extract valuable information about system state, running processes, and network connections. This type of analysis is crucial in incident response, malware analysis, and digital forensics investigations. By analysing memory, investigators can:
1. Detect Hidden Malware and Rootkits:
Memory forensics enables investigators to uncover hidden malware and rootkits that may be actively running in a system\'s memory. Unlike traditional antivirus software that primarily scans the file system, memory forensics tools can identify malicious code and processes that attempt to evade detection by residing solely in memory.
2. Identify Malicious Processes and Network Connections:
By analyzing the contents of a system\'s memory, forensic analysts can identify suspicious processes and network connections. This includes processes that may be performing malicious activities such as data exfiltration, privilege escalation, or network reconnaissance. Identifying these malicious entities is crucial for understanding the scope and impact of a security incident.
3. Reconstruct System Events and Timelines:
Memory forensics allows investigators to reconstruct the sequence of events that occurred on a system leading up to and during a security incident. By analyzing memory artifacts such as process creation timestamps, network connection logs, and registry modifications stored in memory, investigators can create a detailed timeline of activities, which aids in understanding the tactics and techniques employed by attackers.
4. Extract Sensitive Data:
Volatile data, such as passwords, encryption keys, and other sensitive information, may be present in a system\'s memory during normal operation. Memory forensics tools can extract this data from memory dumps, providing valuable evidence for digital investigations. This information can be crucial for understanding how attackers gained access to sensitive resources and for mitigating potential security risks.
Using fmem for Memory Capture:
fmem is a kernel module that creates a virtual device, /dev/fmem, which allows direct access to the physical memory of a system. This module is particularly useful for acquiring memory dumps of a compromised system, even if the system is protected by Secure Boot or has disabled the ability to read physical memory directly.
Follow these steps to capture memory using fmem: Download the fmem source code from the official repository or package manager. The same can be found here.
Once cloned into the repository, change directory to fmem using cd command. You can use ls command to list the contents of the directory.
Compile and install fmem on the target Linux system:
Once you are i |
Malware Tool | ★★ | |
 |
2024-05-29 07:00:00 | Picotron, la nouvelle station de travail 8-bit pour créer des jeux et des outils (lien direct) | Picotron est une nouvelle workstation 8-bit conçue pour la création de jeux et d'outils. Similaire à Pico-8 mais plus flexible, elle offre un environnement de développement complet et personnalisable, avec un affichage et une capacité de stockage étendus. Découvrez ses fonctionnalités uniques et sa compatibilité avec Pico-8. | Tool | ★★★ | |
|
2024-05-28 19:40:48 | ShrinkLocker: transformer le bitlocker en ransomware ShrinkLocker: Turning BitLocker into Ransomware (lien direct) |
#### Géolocations ciblées
- Mexique
- Indonésie
- Jordan
## Instantané
Des chercheurs de Kapersky ont identifié un incident dans lequel les attaquants se sont déployés et un script de base visuel avancé (VBScript) qui a profité du bitlocker pour le cryptage de fichiers non autorisé.
## Description
Bitlocker a été initialement conçu pour protéger les données contre le vol ou l'exposition lorsque les appareils sont perdus, volés ou mal éliminés.Cependant, les attaquants ont découvert comment exploiter cette fonctionnalité à des fins malveillantes.Les chercheurs de Kapersky ont détecté ce script et ses versions modifiées au Mexique, en Indonésie et en Jordanie.
Initialement, le script utilise Windows Management Instrumentation (WMI) pour collecter des informations sur le système d'exploitation (OS).Il vérifie le domaine et la version du système d'exploitation actuels, se terminant s'il rencontre certaines conditions, telles que les anciennes versions Windows comme XP ou Vista.
Le script effectue des opérations de redimensionnement du disque uniquement sur des disques fixes pour éviter les outils de détection sur les lecteurs de réseau.Pour Windows Server 2008 et 2012, il rétrécit les partitions non-Boot, crée de nouvelles partitions, les formats et réinstalle les fichiers de démarrage à l'aide de DiskPart et BCDBoot.Pour d'autres versions Windows, des opérations similaires sont exécutées avec du code adapté à la compatibilité.
Les entrées de registre sont ajoutées par le script, qui vérifie si les outils de chiffrement BitLocker Drive sont actifs et démarre le service de cryptage BitLocker Drive s'il ne s'exécute pas déjà.Le script désactive et supprime ensuite les protecteurs de bitlocker par défaut, les remplaçant par un mot de passe numérique pour éviter la récupération des clés.
Une clé de chiffrement unique à 64 caractères est générée à l'aide d'éléments aléatoires et de données spécifiques au système, converti en une chaîne sécurisée et utilisé pour activer BitLocker sur les disques.Les attaquants utilisent le domaine trycloudflare.com pour envoyer des demandes de publication chiffrées avec des informations système et la clé de chiffrement de leur serveur.
Pour couvrir ses pistes, le script se supprime, efface les journaux et modifie les paramètres du système avant de forcer un arrêt.Lors du redémarrage, la victime est confrontée à un écran Bitlocker sans options de récupération, les verrouillant efficacement de leurs données.
## Les références
[ShrinkLocker: transformer Bitlocker en ransomware] (https://securelist.com/ransomware-abuses-bitlocker/112643/).Kapersky (consulté en 2024-05-28)
#### Targeted Geolocations - Mexico - Indonesia - Jordan ## Snapshot Researchers at Kapersky identified an incident where attackers deployed and an advanced Visual Basic Script (VBScript) that took advantage of BitLocker for unauthorized file encryption. ## Description BitLocker was originally designed to protect data from being stolen or exposed when devices are lost, stolen, or improperly disposed of. However, attackers have discovered how to exploit this feature for malicious purposes. Kapersky researchers have detected this script and its modified versions in Mexico, Indonesia, and Jordan. Initially, the script uses Windows Management Instrumentation (WMI) to gather operating system (OS) information. It checks the current domain and OS version, terminating itself if it encounters certain conditions, such as older Windows versions like XP or Vista. The script performs disk resizing operations only on fixed drives to avoid detection tools on network drives. For Windows Server 2008 and 2012, it shrinks non-boot partitions, creates new partitions, formats them, and reinstalls boot files using diskpart and bcdboot. For other Windows versions, similar operations are executed wit |
Ransomware Tool Threat | ★★★ | |
|
2024-05-28 17:37:40 | Faits saillants hebdomadaires, 28 mai 2024 Weekly OSINT Highlights, 28 May 2024 (lien direct) |
## Snapshot Last week\'s OSINT reporting reveals a diverse array of sophisticated cyber threats targeting various sectors, including financial institutions, government entities, and academic organizations. The reports highlight a variety of attack types such as banking trojans, stealers, crypto mining malware, ransomware, and remote access trojans (RATs). Attack vectors include malspam campaigns, spear-phishing emails, search engine advertisements, and trojanized software packages. Threat actors range from financially motivated groups like UAC-0006 and Ikaruz Red Team to state-sponsored entities such as the Chinese-linked "Unfading Sea Haze" and the Iranian Void Manticore. These actors employ advanced techniques like fileless malware, DLL sideloading, and custom keyloggers to achieve persistence and data exfiltration. The targets of these attacks are geographically widespread, encompassing North and South America, the South China Sea region, the Philippines, and South Korea, underscoring the global reach and impact of these threats. ## Description 1. **[Metamorfo Banking Trojan Targets North and South America](https://security.microsoft.com/intel-explorer/articles/72f52370)**: Forcepoint reports that the Metamorfo (Casbaneiro) banking trojan spreads through malspam campaigns, using HTML attachments to initiate system metadata collection and steal user data. This malware targets banking users in North and South America by employing PowerShell commands and various persistence mechanisms. 2. **[Unfading Sea Haze Targets South China Sea Military and Government Entities](https://security.microsoft.com/intel-explorer/articles/c95e7fd5)**: Bitdefender Labs identified a Chinese-linked threat actor, "Unfading Sea Haze," using spear-phishing emails and fileless malware to target military and government entities in the South China Sea region. The campaign employs tools like SerialPktdoor and Gh0stRAT to exfiltrate data and maintain persistence. 3. **[Acrid, ScarletStealer, and Sys01 Stealers](https://security.microsoft.com/intel-explorer/articles/8ca39741)**: Kaspersky describes three stealers-Acrid, ScarletStealer, and Sys01-targeting various global regions. These stealers focus on stealing browser data, cryptocurrency wallets, and credentials, posing significant financial risks by exfiltrating sensitive user information. 4. **[REF4578 Crypto Mining Campaign](https://security.microsoft.com/intel-explorer/articles/c2420a77)**: Elastic Security Labs reports on REF4578, an intrusion set leveraging vulnerable drivers to disable EDRs for deploying Monero crypto miners. The campaign\'s GHOSTENGINE module ensures persistence and termination of security agents, targeting systems for crypto mining. 5. **[SmokeLoader Malware Campaign in Ukraine](https://security.microsoft.com/intel-explorer/articles/7bef5f52)**: CERT-UA observed the UAC-0006 threat actor distributing SmokeLoader malware via phishing emails in Ukraine. The campaign downloads additional malware like Taleshot and RMS, targeting remote banking systems and increasing fraud schemes. 6. **[Ikaruz Red Team Targets Philippines with Modified Ransomware](https://security.microsoft.com/intel-explorer/articles/624f5ce1)**: The hacktivist group Ikaruz Red Team uses leaked LockBit 3 ransomware builders to attack Philippine organizations, aligning with other hacktivist groups like Turk Hack Team. The group engages in politically motivated data leaks and destructive actions. 7. **[Grandoreiro Banking Trojan Campaign](https://security.microsoft.com/intel-explorer/articles/bc072613)**: IBM X-Force tracks the Grandoreiro banking trojan, which operates as Malware-as-a-Service (MaaS) and targets over 1500 global banks. The malware uses advanced evasion techniques and spreads through phishing emails, aiming to commit banking fraud worldwide. 8. **[Void Manticore\'s Destructive Wiping Attacks](https://security.microsoft.com/intel-explorer/articles/d5d5c07f)**: Check Point Research analyzes the Iranian threat actor Void Manticore, conducting destructive wip | Ransomware Malware Hack Tool Threat | APT 34 | ★★★ |
 |
2024-05-28 12:33:03 | Calculatrice de prime de bug-frappez les nombres et optimisez votre VDP Bug Bounty Calculator-Crunch the numbers and optimize your VDP (lien direct) |
> Présentation de la calculatrice de primes de bug d'Initigriti \\!Dans un marché de primes de bogues en expansion rapide, rester compétitif est essentiel.Notre outil gratuit permet aux propriétaires de programmes de primes de bug à fixer des taux de paiement optimaux en toute confiance. Pourquoi avons-nous publié une calculatrice de primes de bogue?Avec la croissance rapide du marché de la prime des insectes, alimenté à la fois par une augmentation de [& # 8230;]
>Introducing Intigriti\'s enhanced Bug Bounty Calculator! In a rapidly expanding bug bounty marketplace, staying competitive is key. Our free-to-use tool empowers bug bounty program owners to set optimal payout rates with confidence. Why have we released a Bug Bounty Calculator? With the rapid growth of the bug bounty marketplace, fueled by both an increase in […] |
Tool | ★★★ | |
 |
2024-05-28 12:26:54 | L'augmentation des recherches des gestionnaires de mots de passe: comprendre la complexité et les drapeaux rouges de l'escroc The Rise in Searches for Password Managers: Understanding Complexity and Scammer Red Flags (lien direct) |
L'augmentation des recherches des gestionnaires de mots de passe: comprendre la complexité et les drapeaux rouges de l'escroc.
L'équipe de MaxContact a observé une augmentation significative des recherches de ces outils, avec plus de 466 000 recherches chaque mois.
-
opinion
The Rise in Searches for Password Managers: Understanding Complexity and Scammer Red Flags. The team at MaxContact, have observed a significant uptick in searches for these tools, with over 466,000 searches each month. - Opinion |
Tool | ★★★ | |
 |
2024-05-28 10:59:27 | Déballage statique pour la famille malveillante malveillante basée sur le NSIS Static Unpacking for the Widespread NSIS-based Malicious Packer Family (lien direct) |
> Les packers ou les cryptères sont largement utilisés pour protéger les logiciels malveillants contre la détection et l'analyse statique.Ces outils auxiliaires, grâce à l'utilisation d'algorithmes de compression et de chiffrement, permettent aux cybercriminels de préparer des échantillons uniques de logiciels malveillants pour chaque campagne ou même par victime, ce qui complique le travail des logiciels antivirus.Dans le cas de certains packers, [& # 8230;]
>Packers or crypters are widely used to protect malicious software from detection and static analysis. These auxiliary tools, through the use of compression and encryption algorithms, enable cybercriminals to prepare unique samples of malicious software for each campaign or even per victim, which complicates the work of antivirus software. In the case of certain packers, […] |
Tool | ★★★ | |
|
2024-05-28 10:00:00 | L'évolution des cybermenaces à l'ère de l'IA: défis et réponses The Evolution of Cyber Threats in the Age of AI: Challenges and Responses (lien direct) |
"In war, the importance of speed cannot be overstated. Swift and decisive actions often determine the outcome of battles, as delays can provide the enemy with opportunities to exploit weaknesses and gain advantages." - General Patton, "Leadership and Strategy in Warfare," Military Journal, 1945. Cybersecurity has become a battlefield where defenders and attackers engage in a constant struggle, mirroring the dynamics of traditional warfare. In this modern cyber conflict, the emergence of artificial intelligence (AI) has revolutionized the capabilities of traditionally asymmetric cyber attackers and threats, enabling them to pose challenges akin to those posed by near-peer adversaries.[1] This evolution in cyber threats demands a strategic response from organizations leveraging AI to ensure speed and intelligence in countering increasingly sophisticated attacks. AI provides force multiplication factors to both attackers and defenders. To wit, which ever side neglects the use of this new technology does so at its own peril. AI-Driven Evolution of Cyber Threats AI is playing a pivotal role in empowering cyber attackers and bridging the gap towards near-peer status with organizations in terms of cyber threats which, historically have been asymmetric in nature. The advancements in AI technologies have provided attackers with sophisticated tools and techniques that rival the defenses of many organizations. Several key areas highlight how AI is enabling the evolution of cyber threats: Sophisticated Attack Automation: AI-powered tools allow attackers to automate various stages of the attack lifecycle, from reconnaissance to exploitation.[2] This level of automation enables attackers to launch coordinated and sophisticated attacks at scale, putting organizations at risk of facing near-peer level threats in terms of attack complexity and coordination. Adaptive and Evolving Tactics: AI algorithms can analyze data and adapt attack tactics in real-time based on the defender\'s responses.[3] This adaptability makes it challenging for defenders to predict and defend against evolving attack strategies, mirroring the dynamic nature of near-peer adversaries who constantly adjust their tactics to overcome defenses. AI-Driven Social Engineering: AI algorithms can analyze vast amounts of data to craft highly convincing social engineering attacks, such as phishing emails or messages.[4] These AI-driven social engineering techniques exploit human vulnerabilities effectively, making it difficult for organizations to defend against such personalized and convincing attacks. AI-Powered Malware: Malware developers leverage AI to create sophisticated and polymorphic malware that can evade detection by traditional security solutions.[5] This level of sophistication in malware design and evasion techniques puts organizations at risk of facing near-peer level threats in terms of malware sophistication and stealthiness. AI-Enhanced Targeting: AI algorithms can analyze large datasets to identify specific targets within organizations, such as high-value assets or individuals with sensitive information.[6] This targeted approach allows attackers to focus their efforts on critical areas, increasing the effectiveness of their attacks and approaching the level of precision seen in near-peer threat actor operations. The combination of these AI-driven capabilities empowers cyber attackers to launch sophisticated, automated, and adaptive attacks that challenge organizations in ways previously seen only with near-peer adversaries in nation state attacks and warfare. Today, a single person, harnessing the power of AI can create a veritable army and provides force multiplication to the attackers. This puts organizations at an even greater defensive disadvantage than in years prior to the introduction of AI. AI\'s Role in Defenders\' Responses "Defense is not just about fortifying positions but also about reac | Malware Tool Vulnerability Threat Prediction Conference | ★★★ | |
 |
2024-05-28 03:07:33 | Mesurer l'efficacité des outils de surveillance de l'intégrité des fichiers Measuring the Effectiveness of File Integrity Monitoring Tools (lien direct) |
Un incident de sécurité peut être le résultat d'un seul changement non autorisé.Quelques-uns peuvent dire que \\ 'un changement est sans conséquence, ne transpire pas les petites choses. \' Mais en ce qui concerne la sécurité des infrastructures, le détail est d'une importance capitale!Un seul édition à un élément de ligne unique peut avoir un effet négatif sur un fichier entier ou un système d'exploitation.Il est essentiel d'être informé de tout changement de fichier non autorisé et d'être informé avec la hâte.Et alors que certains peuvent opter pour un outil de sécurité tout-en-un pour répondre à cette exigence, la meilleure approche consiste à déployer une surveillance dédiée à l'intégrité des fichiers (FIM) ...
A security incident can be the result of a single unauthorised change. A few may say, \'one change is inconsequential, don\'t sweat the small stuff.\' But when it comes to infrastructure security, the detail is of paramount importance! Just a single edit to a single line item can have a negative effect on an entire file or operating system. It\'s essential to be made aware of any unauthorised file change and to be made aware with haste. And whilst some may opt for an all-in-one security tool to meet this requirement, the best approach is to rollout a dedicated File Integrity Monitoring (FIM)... |
Tool | ★★★ | |
|
2024-05-27 03:30:55 | Comment les criminels tirent parti de l'IA pour créer des escroqueries convaincantes How Criminals Are Leveraging AI to Create Convincing Scams (lien direct) |
Les outils d'IA génératifs comme Chatgpt et Google Bard sont parmi les technologies les plus excitantes du monde.Ils ont déjà commencé à révolutionner la productivité, à suralimenter la créativité et à faire du monde un meilleur endroit.Mais comme pour toute nouvelle technologie, l'IA générative a provoqué de nouveaux risques - ou, plutôt, aggravant les anciens risques.Mis à part le potentiel très discuté "Ai apocalypse" qui a dominé les gros titres ces derniers mois, l'IA génératrice a un impact négatif plus immédiat: créer des escroqueries de phishing convaincantes.Les cybercriminels créent des escroqueries beaucoup plus sophistiquées avec une IA générative que ...
Generative AI tools like ChatGPT and Google Bard are some of the most exciting technologies in the world. They have already begun to revolutionize productivity, supercharge creativity, and make the world a better place. But as with any new technology, generative AI has brought about new risks-or, rather, made old risks worse. Aside from the much-discussed potential " AI apocalypse" that has dominated headlines in recent months, generative AI has a more immediate negative impact: creating convincing phishing scams. Cybercriminals create far more sophisticated scams with generative AI than... |
Tool | ChatGPT | ★★ |
|
2024-05-26 22:24:17 | Cyberattaque : rétablissement progressif pour la Ville de Saint-Nazaire (lien direct) | Un mois et demi après la cyberattaque, la remise en route des outils numériques de la Ville de Saint-Nazaire et de l'Agglomération se fait progressivement. ZATAZ a été poser quelques questions à Lockbit, l'instigateur de cette malveillance !... | Tool | ★★★ | |
|
2024-05-24 18:42:00 | (Déjà vu) Les pirates chinois se cachent sur les réseaux militaires et gouvernementaux pendant 6 ans Chinese hackers hide on military and govt networks for 6 years (lien direct) |
#### Targeted Industries - Government Agencies & Services ## Snapshot A previously unknown threat actor, Bitdefender Labs designated as "Unfading Sea Haze", has been targeting military and government entities in the South China Sea region since 2018, undetected until recently. Bitdefender researchers link its operations to Chinese geopolitical interests. ## Description "Unfading Sea Haze" attacks start with spear-phishing emails containing malicious ZIP archives and LNK files, deploying fileless malware via MSBuild. This fileless malware, named \'SerialPktdoor,\' serves as a backdoor program that provides the attackers with remote control over the compromised system. Additionally, the attackers employ scheduled tasks, local administrator account manipulation, and commercial Remote Monitoring and Management (RMM) tools like the Itarian RMM to gain a foothold on the compromised network. Once access is established, Unfading Sea Haze utilizes various tools such as a custom keylogger, info-stealer targeting data stored in web browsers, and Gh0stRAT malware variants to capture keystrokes, steal information, and maintain persistence. The threat actor also utilizes tools like Ps2dllLoader, \'SharpJSHandler,\' and a custom tool for monitoring and exfiltrating data from breached systems. More recent attacks have shown a shift to using the curl utility and the FTP protocol for data exfiltration, along with dynamically generated credentials that are changed frequently. ## Recommendations Recommendations to protect against Information stealers Microsoft recommends the following mitigations to reduce the impact of Information stealer threats. - Check your Office 365 email filtering settings to ensure you block spoofed emails, spam, and emails with malware. Use [Microsoft Defender for Office 365](https://learn.microsoft.com/microsoft-365/security/office-365-security/defender-for-office-365?ocid=magicti_ta_learndoc) for enhanced phishing protection and coverage against new threats and polymorphic variants. Configure Microsoft Defender for Office 365 to [recheck links on click](https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-links-about?ocid=magicti_ta_learndoc) and [delete sent mail](https://learn.microsoft.com/microsoft-365/security/office-365-security/zero-hour-auto-purge?ocid=magicti_ta_learndoc) in response to newly acquired threat intelligence. Turn on [safe attachments policies](https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-attachments-policies-configure?ocid=magicti_ta_learndoc) to check attachments to inbound email. - Encourage users to use Microsoft Edge and other web browsers that support [SmartScreen](https://learn.microsoft.com/microsoft-365/security/defender-endpoint/web-protection-overview?ocid=magicti_ta_learndoc), which identifies and blocks malicious websites, including phishing sites, scam sites, and sites that host malware. - Turn on [cloud-delivered protection](https://learn.microsoft.com/microsoft-365/security/defender-endpoint/configure-block-at-first-sight-microsoft-defender-antivirus?ocid=magicti_ta_learndoc) in Microsoft Defender Antivirus, or the equivalent for your antivirus product, to cover rapidly evolving attacker tools and techniques. Cloud-based machine learning protections block a majority of new and unknown variants. - Enforce MFA on all accounts, remove users excluded from MFA, and strictly [require MFA](https://learn.microsoft.com/azure/active-directory/identity-protection/howto-identity-protection-configure-mfa-policy?ocid=magicti_ta_learndoc) from all devices, in all locations, at all times. - Enable passwordless authentication methods (for example, Windows Hello, FIDO keys, or Microsoft Authenticator) for accounts that support passwordless. For accounts that still require passwords, use authenticator apps like Microsoft Authenticator for MFA. [Refer to this article](https://learn.microsoft.com/azure/active-directory/authentication/concept-authenticati | Ransomware Spam Malware Tool Threat Commercial | ★★★ | |
|
2024-05-24 17:17:36 | Longe de lune en utilisant un jeu de chars malveillant pour infecter les appareils Moonstone Sleet using malicious tank game to infect devices (lien direct) |
## Snapshot Since February 2024, Microsoft has observed Moonstone Sleet infecting devices using a malicious tank game called DeTankWar. In some cases, after gaining initial access via the tank game, Moonstone Sleet conducted lateral movement and extensive exfiltration of data from impacted organizations. The actor has shared the DeTankWar malware extensively via social media and through directly contacting organizations in the gaming, education, and software development sectors, suggesting the actor is putting intense effort behind this campaign. Customers can use Microsoft Defender XDR to detect activity related to this threat actor in their environments. Microsoft Defender for Endpoint detects many components of this activity, such as *Moonstone Sleet actor activity detected*, and Microsoft Defender Antivirus detects the malware execution with behavioral signatures. ## Activity Overview Since February 2024, Microsoft observed Moonstone Sleet infecting devices using a malicious tank game it developed. Moonstone Sleet sent the game to targets through messaging platforms such as LinkedIn and Telegram, phishing emails, and also spoofed the website of a well-known game maker to act as a download site. Once the ZIP file is downloaded, multiple malicious DLLs included in it are run upon launch of the game leading to connection to command-and-control (C2) infrastructure using Moonstone Sleet\'s YouieLoad, which is decrypted from one of the DLLs and in some cases subsequent hands-on-keyboard activity. Observed targets include employees of blockchain, trading, game development, and technology companies, as well as academics. These targets are globally located. #### Attack chain **Initial access** Moonstone Sleet often approaches its targets either through messaging platforms or by email. We have observed the threat actor presenting itself as a game developer seeking either investment or developer support. In these emails, Moonstone Sleet masquerades as a legitimate blockchain company or uses fake companies. Moonstone Sleet presents DeTankWar as a nonfungible token (NFT)-enabled, play-to-earn game available on Windows, Mac, and Linux.  *Figure 1. Example of a Moonstone Sleet DeTankWar spear phishing email* To bolster its superficial legitimacy, Moonstone Sleet has created a robust public campaign that includes the websites *detankwar\[.\]com* and *defitankzone\[.\]com*, Twitter accounts for the personas it uses to approach targets, and the game itself, which is alternately referred to as DeTankWar, DeFiTankWar, TankWarsZone, and DeTankLand.   *Figures 2 and 3. DeTankWar Twitter accounts*   *Figures 4 and 5. Pages from the DeTankWar website* In mid-March, Microsoft observed a homoglyph domain created by Moonstone Sleet to spoof a well-known game developer. This website offered a page on DeTankWar with both a download link and a link to the @detankwar1 X (Twitter) account.  *Figure 6. Elements on the page for DeTankWar on spoofed website* **Launch** Visitors to the DeTankWar website are prompted to download a compressed ZIP archive. When the user launches the game, the malicious payload *delfi-tank-unity.exe* or *DeTankWar.exe* also launches. The payload is cu | Malware Tool Threat | ★★★ | |
|
2024-05-24 01:09:17 | Rapport de CrimeWare: Acred, Scarletsaler et SYS01 Stealers Crimeware Report: Acrid, ScarletStealer, and Sys01 Stealers (lien direct) |
## Snapshot Kaspersky security researchers provide details on three distinct stealers: Acrid, ScarletStealer, and Sys01. These stealers exhibit varying levels of sophistication and global targeting, with specific geographic concentrations for each. ## Description Acrid is a new stealer that was found in December 2023. It is written in C++ for the 32-bit system and uses the "Heaven\'s Gate" technique to bypass certain security controls. ScarletStealer is a rather unique stealer as most of its stealing functionality is contained in other binaries that it downloads. ScarletStealer victims are mostly located in Brazil, Turkey, Indonesia, Algeria, Egypt, India, Vietnam, the USA, South Africa and Portugal. Sys01 (also known as “Album Stealer” or “S1deload Stealer”) is a relatively unknown stealer that has been around since at least 2022. Victims of this campaign were found all over the world, but most of them were located in Algeria. The stealer is distributed through a long chain of downloaders, where the last one is the Penguish downloader, and signed with a digital certificate. Unlike previous publicly disclosed versions of Sys01, the latest version of the stealer has split functionality. It now specifically steals Facebook-related data and sends stolen browser data to the C2. All three stealers have the typical functionality one might expect from a stealer, such as stealing browser data, stealing local cryptocurrency wallets, stealing files with specific names, and stealing credentials from installed applications. The danger posed by stealers lies in the consequences. This malware steals passwords and other sensitive information, which later can be used for further malicious activities causing great financial losses among other things. ## Microsoft Analysis In recent years, Microsoft has tracked the growing risk that infostealers pose to enterprise security. Infostealers are commodity malware used to steal information from a target device and send it to the threat actor. The popularity of this class of malware led to the emergence of an infostealer ecosystem and a new class of threat actors who leveraged these capabilities to conduct their attacks. Infostealers are advertised as a malware as a service (MaaS) offering – a business model where the developers lease the infostealer payload to distributers for a fee. Information stealers are versatile and can be distributed in various forms including through phishing email campaigns, malvertising, and trojanized software, games and tools. Typically, once the user downloads and launches the malicious payload, it establishes command and control (C2) connections with suspicious domains. Once infected, the infostealer attempts to collect and ultimately exfiltrate information from the system including files, browsers, internet-facing devices and applications to the C2 servers. ## Detections ### Microsoft Defender for Endpoint Alerts with the following titles in the security center can indicate threat activity on your network. These alerts, however, can be triggered by unrelated threat activity. - Information stealing malware activity - An executable loaded an unexpected dll - DLL search order hijack - Possible S1deload stealer activity ## Recommendations Microsoft recommends the following mitigations to reduce the impact of this threat. Check the recommendations card for the deployment status of monitored mitigations. - Check your Office 365 email filtering settings to ensure you block spoofed emails, spam, and emails with malware. Use Microsoft Defender for Office 365 for enhanced phishing protection and coverage against new threats and polymorphic variants. Configure [Microsoft Defender for Office 365](https://learn.microsoft.com/microsoft-365/security/office-365-security/defender-for-office-365?ocid=magicti_ta_learndoc) to [recheck links on click](https://learn.microsoft.com/microsoft-365/security/office-365-security/safe-links-about?ocid=magicti_ta_learn | Ransomware Spam Malware Tool Threat | ★★ | |
|
2024-05-23 21:56:44 | Saisir le contrôle du cockpit de sécurité du cloud Seizing Control of the Cloud Security Cockpit (lien direct) |
Tout comme un tableau de bord de l'avion, les configurations sont la façon dont nous contrôlons les applications cloud et les outils SaaS.Il est également le point d'entrée pour trop de menaces de sécurité.Voici quelques idées pour rendre le processus de configuration plus sécurisé.
Much like an airplane's dashboard, configurations are the way we control cloud applications and SaaS tools. It's also the entry point for too many security threats. Here are some ideas for making the configuration process more secure. |
Tool Cloud | ★★ | |
|
2024-05-23 20:38:07 | MIT Brothers chargé d'exploiter Ethereum pour voler 25 millions de dollars MIT Brothers Charged With Exploiting Ethereum to Steal $25 Million (lien direct) |
Les deux diplômés du MIT ont découvert une faille dans un outil de trading commun contre la blockchain Ethereum.Est-ce que cela prétend les problèmes à venir pour la crypto-monnaie?
The two MIT graduates discovered a flaw in a common trading tool for the Ethereum blockchain. Does it presage problems ahead for cryptocurrency? |
Tool | ★★★ | |
|
2024-05-23 19:20:00 | Nouvelles frontières, anciennes tactiques: le groupe d'espionnage chinois cible les gouvernements Afrique et Caraïbes New Frontiers, Old Tactics: Chinese Espionage Group Targets Africa & Caribbean Govts (lien direct) |
L'acteur de menace lié à la Chine connue sous le nom de Panda Sharp a élargi son ciblage pour inclure des organisations gouvernementales en Afrique et dans les Caraïbes dans le cadre d'une campagne de cyber-espionnage en cours.
"La campagne adopte Cobalt Strike Beacon comme charge utile, permettant des fonctionnalités de porte dérobée comme la communication C2 et l'exécution des commandes tout en minimisant l'exposition de leurs outils personnalisés", Check Point
The China-linked threat actor known as Sharp Panda has expanded their targeting to include governmental organizations in Africa and the Caribbean as part of an ongoing cyber espionage campaign. "The campaign adopts Cobalt Strike Beacon as the payload, enabling backdoor functionalities like C2 communication and command execution while minimizing the exposure of their custom tools," Check Point |
Tool Threat | ★★★ | |
|
2024-05-23 16:44:00 | Vos sauvegardes SaaS sont-elles aussi sécurisées que vos données de production? Are Your SaaS Backups as Secure as Your Production Data? (lien direct) |
Les conversations sur la sécurité des données ont tendance à diverger en trois threads principaux:
Comment protéger les données que nous stockons sur notre site sur site ou notre infrastructure cloud?
Quelles stratégies et outils ou plateformes peuvent-ils sauvegarder et restaurer de manière fiable les données?
Que nous coûterait toutes ces données, et à quelle vitesse pourrions-nous le récupérer?
Tous sont des conversations valides et nécessaires pour les organisations technologiques de toutes formes
Conversations about data security tend to diverge into three main threads: How can we protect the data we store on our on-premises or cloud infrastructure? What strategies and tools or platforms can reliably backup and restore data? What would losing all this data cost us, and how quickly could we get it back? All are valid and necessary conversations for technology organizations of all shapes |
Tool Cloud | ★★★ | |
|
2024-05-23 13:00:02 | La campagne d'espionnage chinoise s'étend pour cibler l'Afrique et les Caraïbes Chinese Espionage Campaign Expands to Target Africa and The Caribbean (lien direct) |
> La recherche sur les points de contrôle (RCR) voit une campagne de cyber-espionnage en cours se concentre sur le ciblage des organisations gouvernementales en Afrique et dans les Caraïbes.Attribué à un acteur de menace chinois Sharp Dragon (anciennement Sharp Panda), la campagne adopte Cobalt Strike Beacon en tant que charge utile, permettant des fonctionnalités de porte dérobée telles que la communication C2 et l'exécution des commandes tout en minimisant l'exposition de leurs outils personnalisés.Cette approche raffinée suggère une compréhension plus profonde de leurs cibles.Les principales constatations de Dragon Sharp \\ (anciennement appelées opérations de panda pointues) se poursuivent, élargissant maintenant leur objectif vers de nouvelles régions & # 8211;L'Afrique et les Caraïbes.Sharp Dragon utilise des entités gouvernementales de confiance pour infecter de nouvelles [& # 8230;]
>Check Point Research (CPR) sees an ongoing cyber espionage campaign focuses on targeting governmental organizations in Africa and the Caribbean. Attributed to a Chinese threat actor Sharp Dragon (formerly Sharp Panda), the campaign adopts Cobalt Strike Beacon as the payload, enabling backdoor functionalities like C2 communication and command execution while minimizing the exposure of their custom tools. This refined approach suggests a deeper understanding of their targets. Key Findings Sharp Dragon\'s (formerly referred to as Sharp Panda) operations continues, expanding their focus now to new regions – Africa and the Caribbean. Sharp Dragon utilizes trusted government entities to infect new […] |
Tool Threat | ★★ | |
|
2024-05-23 10:00:00 | La Chine APT a volé des secrets géopolitiques du Moyen-Orient, Afrique et amp; AMP;Asie China APT Stole Geopolitical Secrets From Middle East, Africa & Asia (lien direct) |
L'une des plus grandes opérations d'espionnage de la Chine doit son succès aux bogues de longue date de Microsoft Exchange, aux outils open source et aux vieux logiciels malveillants.
One of China's biggest espionage operations owes its success to longstanding Microsoft Exchange bugs, open source tools, and old malware. |
Malware Tool | ★★★ | |
 |
2024-05-23 09:30:00 | Présentation de NIMFilt: un outil d'ingénierie inverse pour les binaires compilés NIM Introducing Nimfilt: A reverse-engineering tool for Nim-compiled binaries (lien direct) |
Disponible à la fois en tant que plugin IDA et un script Python, NIMFilt aide à des binaires ingénieurs inverses compilés avec le compilateur de langage de programmation NIM en démamlant les noms de package et de fonction, et en appliquant des structures aux chaînes
Available as both an IDA plugin and a Python script, Nimfilt helps to reverse engineer binaries compiled with the Nim programming language compiler by demangling package and function names, and applying structs to strings |
Tool | ★★ | |
 |
2024-05-23 08:02:17 | Proofpoint vs sécurité anormale: une entreprise Fortune 500 explique pourquoi on est meilleur Proofpoint vs. Abnormal Security: A Fortune 500 Company Explains Why One Is Better (lien direct) |
Businesses that choose Proofpoint tend to stay with us. In fact, while many start by using our email threat detection tools, over time they often consolidate their other cybersecurity tools with us. They end up using Proofpoint for their other attack surfaces, like identity threats and information protection. But what happens if they\'re forced to adopt Abnormal Security by senior management? That\'s what happened to the Fortune 500 financial services corporation discussed in this blog post. They wanted to share their story but requested anonymity. As a customer of both Proofpoint and Abnormal, they have some key insights about what makes Proofpoint stand out from the competition. A defense-in-depth approach An existing Microsoft 365 E5 customer, the company deployed a defense-in-depth security approach because the native and Microsoft Defender email security capabilities were not good enough to detect and block phishing, malware and ransomware. They also used CrowdStrike and complemented these tools with Proofpoint Threat Protection. Proofpoint ensured that they could detect and block more sophisticated email threats like: Socially engineered attacks Business email compromise (BEC) Advanced credential phishing By combining Microsoft, Proofpoint and CrowdStrike, the customer had powerful email security. It could detect and block email threats and automate remediation across its offices worldwide. And it had a strong continuous detection model (predelivery, post-delivery and click-time) throughout its entire email delivery flow. End-to-end protection is why 87% of Fortune 100 companies trust Proofpoint to protect their people and business. Because the customer\'s senior executive management team truly believed in the defense-in-depth approach, it decided to add Abnormal Security as an additional layer of defense. Abnormal is an API-based, post-delivery, remediation-only tool that\'s positioned as easy to use. Featuring behavioral AI, it\'s sold as a “set it and forget it” tool that can detect and remediate email threats faster while improving operational efficiency. The company soon integrated Abnormal with its existing Microsoft 365 APIs so that Abnormal could receive emails from Microsoft. At the same time, the customer deactivated automated remediation in Proofpoint Threat Response Auto-Pull. The Abnormal tool was now in charge of analyzing emails post-delivery. “We were told it would be \'set it and forget it\' with Abnormal but found it couldn\'t be further from the truth.” - IT director, data security, Fortune 500 financial services company A head-to-head comparison: Proofpoint vs. Abnormal Once they started using Abnormal, the cybersecurity team watched what it could do and assessed how the company\'s new defense-in-depth approach was going. Here\'s what they observed. Predelivery efficacy: Proofpoint wins Unlike Proofpoint, Abnormal does not provide any predelivery detection or analysis capabilities; it has a 0% predelivery efficacy rate. Compare that to Proofpoint predelivery detection, which stops known and emerging threats before they are delivered to users\' inboxes. This prevents users from engaging with threats and reduces the downstream burden on security teams. Proofpoint uses a multilayered detection stack to accurately identify and catch the widest array of threats. Our broad set of detection technology means that we can apply the right technique for the right threat. This includes QR code scams, URL-based threats and BEC attacks. By combining our existing attachment defense with our new predelivery hold and sandboxing of suspicious messages with URLs, Proofpoint ensures that fewer malicious URLs and dangerous payloads are delivered to users\' inboxes. This includes QR codes or any malicious files that are attached to emails. And thanks to our new predelivery large language model (L | Ransomware Malware Tool Threat | ★★★ | |
 |
2024-05-22 19:27:49 | La FCC pousse de nouvelles exigences de divulgation pour l'IA dans les publicités politiques FCC pushes new disclosure requirements for AI in political ads (lien direct) |
> La proposition intervient alors que les campagnes et les super PAC ont cherché à tirer parti des outils d'IA génératifs dans les annonces d'attaque ce cycle électoral.
>The proposal comes as campaigns and super PACs have sought to leverage generative AI tools in attack ads this election cycle. |
Tool | ★★★ | |
 |
2024-05-22 16:40:47 | Les meilleurs services de protection contre le vol d'identité et de surveillance du crédit de 2024 The best identity theft protection and credit monitoring services of 2024 (lien direct) |
Les meilleurs services de vol d'identité et de surveillance du crédit offrent des outils antivirus, la surveillance des médias sociaux, les alertes et l'assistance en cas de problème.
The best identity theft and credit monitoring services offer antivirus tools, social media monitoring, alerts, and assistance if something goes wrong. |
Tool | ★★★ | |
|
2024-05-22 16:31:26 | Grandoreiro Banking Trojan Resurfaces dans Global Campaign Grandoreiro Banking Trojan Resurfaces in Global Campaign (lien direct) |
## Instantané Depuis mars 2024, IBM X-Force a suivi des campagnes de phishing à grande échelle distribuant le cheval de Troie bancaire Grandoreiro, considéré comme un logiciel malveillant en tant que service (MAAS). Lisez la rédaction de Microsoft \\ sur Grandoreiro [ici] (https://security.microsoft.com/intel-explorer/articles/f07d1d16). ## Description Grandoreiro a connu des mises à jour importantes, notamment le décryptage amélioré des chaînes et un nouvel algorithme générateur de domaine (DGA).Le malware exploite également les clients Microsoft Outlook sur les hôtes infectés pour diffuser des e-mails de phishing. Historiquement, les campagnes ont été principalement limitées à l'Amérique latine, à l'Espagne et au Portugal.Mais la dernière variante est conçue pour cibler spécifiquement plus de 1500 banques mondiales, permettant aux attaquants de commettre une fraude bancaire dans plus de 60 pays, élargissant la portée du malware à des régions comme l'Amérique centrale et du Sud, l'Afrique, l'Europe et l'Indo-Pacifique.Selon IBM, les logiciels malveillants évolués et le ciblage élargi peuvent être en réponse à des mesures d'application de la loi contre Grandoreiro. La chaîne d'infection de Grandoreiro \\ commence par un chargeur personnalisé, qui vérifie si la victime est une cible légitime et non un chercheur ou dans un bac à sable.Il rassemble des données de base de la victime, l'envoie au serveur de commandement et de contrôle (C2) et télécharge le Trojan.La variante récente du Malware \\ comprend un mécanisme de décryptage de chaîne retravaillé, en utilisant un processus complexe et en plusieurs étapes impliquant le cryptage Base64 et AES. Le Troie profil les victimes pour adapter les attaques, ciblant des applications bancaires spécifiques et des portefeuilles de crypto-monnaie.Son algorithme DGA avancé génère plusieurs domaines C2 quotidiennement, améliorant sa résilience.Grandoreiro peut exécuter un large éventail de commandes, de la télécommande et de la gestion des fichiers aux campagnes de spam de keylogging et d'Outlook.Cette capacité à envoyer des e-mails de phishing des clients Infected Outlook contribue à sa propagation. ## Microsoft Intelligence En plus de suivre l'activité de Grandoreiro en Europe, en Afrique et en Amérique latine, Microsoft Threat Intelligence a observé un ciblage de Grandoreiro aux États-Unis. ## Détections ** Microsoft Defender Antivirus ** Microsoft Defender Antivirus détecte les composants de menace comme le FOLlowing malware: - * [Trojanspy: Win32 / Grandoreiro] (https://www.microsoft.com/en-us/wdsi/Threats/Malware-encyClopedia-Description?name=trojanspy:win32/grandoreiro& ;TheRatid=-2147235291) * - * [Trojan: Win32 / Grandoreiro] (https://www.microsoft.com/en-us/wdsi/Threats/Malware-encyClopedia-Description?name=trojan:win32/Grandoreiro.MBJr!Mtb& ;heterid=-2147060695) * - * [Trojandownloader: VBS / Grandoreiro] (https://www.microsoft.com/en-us/wdssi/Therets/Malware-encyClopedia-Description?name=trojandownOader:win32/grandoreiro.zy!SMS& ;Thereatid=-2147059024) * - * [Trojan: Win64 / Grandoreiro] (https://www.microsoft.com/en-us/wdsi/Therets/Malware-encyClopedia-dercription?name=trojan:win64/grandoreiro.psye!mtb& ;theatid=-2147128454)* - * [Comportement: win32 / Grandoreiro] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-dercription?name=behavior:win32/grandoreiro.f & menaceId = -2147139055) * - * [Spyware: win32 / Grandoreiro] (https://www.microsoft.com/en-us/wdsi/Threats/Malware-encycopedia-dercription?naME = Spyware: Win32 / Grandoreiro! Mclg & menaceID = 325649) * ** Microsoft Defender pour le point de terminaison ** Les alertes avec les titres suivants dans le centre de sécurité peuvent indiquer une activité de menace sur votre réseau: - * Activité possible de Grandoreiro * ## Recommandations Microsoft recommande les atténuations sui | Spam Malware Tool Threat Legislation | ★★ | |
|
2024-05-22 15:53:10 | Snowflake & apos; s signaux d'investissement anvilogiques changent dans le marché SIEM Snowflake's Anvilogic Investment Signals Changes in SIEM Market (lien direct) |
Venant dans les talons de Cisco Buying Splunk, Palo Alto Networks acquérant IBM & APOS; s Qradar et Logrhythm fusionnant avec EXABEAM, l'investissement de Snowflake & apos; de Snowflake met en évidence la pression du marché en cours pour améliorer les outils SOC.
Coming on the heels of Cisco buying Splunk, Palo Alto Networks acquiring IBM's QRadar, and LogRhythm merging with Exabeam, Snowflake's investment highlights the ongoing market pressure to improve SOC tools. |
Tool | ★★★ | |
|
2024-05-22 15:21:21 | Bad Karma, No Justice: Void Manticore Destructive Activities in Israel (lien direct) | #### Géolocations ciblées - Israël ## Instantané Check Point Research a publié une analyse de l'acteur de menace iranien Void Manticore, l'acteur Microsoft suit en tant que Storm-0842.Affilié au ministère des Intelligences et de la Sécurité (MOIS), le vide Manticore effectue des attaques d'essuyage destructrices combinées à des opérations d'influence.L'acteur de menace exploite plusieurs personnages en ligne, les plus importants d'entre eux étant la justice de la patrie pour des attaques en Albanie et au Karma pour des attaques menées en Israël. ## Description Il y a des chevauchements clairs entre les cibles de vide manticore et de marminé marqué (aka Storm-0861), avec des indications de remise systématique des cibles entre ces deux groupes lorsqu'ils décident de mener des activités destructrices contre les victimes existantes de Manticore marqué.Les procédures de transfert documentées entre ces groupes suggèrent un niveau de planification cohérent et permettent à un accès vide de manticore à un ensemble plus large d'objectifs, facilité par leurs homologues \\ 'avancés.Les postes de collaboration ont annulé Manticore en tant qu'acteur exceptionnellement dangereux dans le paysage des menaces iraniennes. Void Manticore utilise cinq méthodes différentes pour mener des opérations perturbatrices contre ses victimes.Cela comprend plusieurs essuie-glaces personnalisés pour Windows et Linux, ainsi que la suppression manuelle de fichiers et de lecteurs partagés.Dans leurs dernières attaques, Void Manticore a utilisé un essuie-glace personnalisé appelé Bibi Wiper, faisant référence au surnom du Premier ministre d'Israël, Benjamin Netanyahu.L'essorage a été déployé dans plusieurs campagnes contre plusieurs entités en Israël et dispose de variantes pour Linux et Windows. ## Analyse Microsoft Microsoft Threat Intelligence Tracks void Manticore comme [Storm-0842] (https://security.microsoft.com/intel-profiles/0c1349b0f2bd0e545d4f741eeae18dd89888d3c0fbf99540b7cf623ff5bb2bf5) ministère du renseignement et de la sécurité (MOIS).Depuis 2022, Microsoft a observé plusieurs cas où Storm-0842 a déployé un outil destructeur dans un environnement précédemment compromis par [Storm-0861] (https://security.microsoft.com 8DE00), un autre groupe avec des liens avecLes Mois. Depuis 2022, Microsoft a observé que la majorité des opérations impliquant Storm-0842 ont affecté les organisations en [Albanie] (https://security.microsoft.com/intel-explorer/articles/5491ec4b) et en Israël.En particulier, Microsoft a observé des opérateurs associés à Storm-0842 de manière opportuniste [déploiez l'essuie-glace de Bibi en réponse à la guerre d'Israël-Hamas.] (Https://security.microsoft.com/intel-explorer/articles/cf205f30) ## Détections Microsoft Defender Antivirus détecte plusieurs variantes (Windows et Linux) de l'essuie-glace Bibi comme le malware suivant: - [DOS: WIN32 / WPRBLIGHTRE] (https://www.microsoft.com/en-us/wdsi/therets/malware-encyclopedia-description?name=dos:win32/wprblightre.b!dha& ;theratid=-2147072872)(Les fenêtres) - [dos: lINUX / WPRBLIGHTRE] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-dercription?name=dos:linux/wprblightre.a& ;threatid = -2147072991) (Linux) ## Recommandations Microsoft recommande les atténuations suivantes pour réduire l'impact de cette menace. - Lisez notre [Ransomware en tant que blog de service] (https://www.microsoft.com/security/blog/2022/05/09/ransomware-as-a-service-udentSanding-the-cybercrim-gig-ecoony-and-Comment-protect-vous-soi / # défendant-against-ransomware) pour des conseils sur le développement d'une posture de sécurité holistique pour prévenir les ransomwares, y compris l'hygiène des informations d'identification et les recommandations de durcissement. - Allumez [Protection en cloud-étirement] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/configure-lock-at-first-sigh | Ransomware Malware Tool Threat | APT 34 | ★★★ |
|
2024-05-22 14:20:38 | ALERTE NOUVELLES: AI Spera intègre son outil de renseignement Criminal IP \\ 'Criminal Ip dans AWS Marketplace News alert: AI SPERA integrates its \\'Criminal IP\\' threat intelligence tool into AWS Marketplace (lien direct) |
> Torrance, Californie, 22 mai 2024, CyberNewswire & # 8212;AI Spera, un leader des solutions de renseignement cyber-menace (CTI), a annoncé aujourd'hui que son moteur de recherche propriétaire, IP criminel , est maintenant disponible sur le AWS Marketplace .
Cette intégration garantit un achat de logiciel efficace & # 8230; (Plus…)
Le post News Alert: Ai Spera intègre son outil de renseignement Criminal ip \\ 'menace dans AWS Marketplace est apparu pour la première fois sur le dernier chien de garde .
>Torrance,Calif., May 22, 2024, CyberNewsWire — AI SPERA, a leader in Cyber Threat Intelligence (CTI) solutions, announced today that its proprietary search engine, Criminal IP, is now available on the AWS Marketplace. This integration ensures efficient software procurement … (more…) The post News alert: AI SPERA integrates its \'Criminal IP\' threat intelligence tool into AWS Marketplace first appeared on The Last Watchdog. |
Tool Threat | ★★★ | |
|
2024-05-22 14:18:49 | Pindrop dévoile Pindrop Pindrop Unveils 2024 Voice Intelligence Security Report & Groundbreaking Pulse Deepfake Warranty (lien direct) |
Pindrop dévoile 2024 Rapport de sécurité du renseignement vocal et révolutionnaire Pulse Deepfake Garantie
La propagation de la désinformation, des pertes financières et de la réputation endommagée figurent parmi les préoccupations critiques prévues pour dégénérer en raison de la prolifération des Fakes Deep et de l'avancement des outils génératifs de l'IA.
-
rapports spéciaux
Pindrop Unveils 2024 Voice Intelligence Security Report & Groundbreaking Pulse Deepfake Warranty The spread of misinformation, financial losses, and damaged reputations are among the critical concerns projected to escalate due to the proliferation of deepfakes and the advancement of generative AI tools. - Special Reports |
Tool | ★★★ | |
 |
2024-05-22 14:00:00 | Extinction de l'IOC?Les acteurs de cyber-espionnage de Chine-Nexus utilisent des réseaux orbes pour augmenter les coûts des défenseurs IOC Extinction? China-Nexus Cyber Espionage Actors Use ORB Networks to Raise Cost on Defenders (lien direct) |
Written by: Michael Raggi
Mandiant Intelligence is tracking a growing trend among China-nexus cyber espionage operations where advanced persistent threat (APT) actors utilize proxy networks known as “ORB networks” (operational relay box networks) to gain an advantage when conducting espionage operations. ORB networks are akin to botnets and are made up of virtual private servers (VPS), as well as compromised Internet of Things (IoT) devices, smart devices, and routers that are often end of life or unsupported by their manufacturers. Building networks of compromised devices allows ORB network administrators to easily grow the size of their ORB network with little effort and create a constantly evolving mesh network that can be used to conceal espionage operations. By using these mesh networks to conduct espionage operations, actors can disguise external traffic between command and control (C2) infrastructure and victim environments including vulnerable edge devices that are being exploited via zero-day vulnerabilities. These networks often use both rented VPS nodes in combination with malware designed to target routers so they can grow the number of devices capable of relaying traffic within compromised networks. Mandiant assesses with moderate confidence that this is an effort to raise the cost of defending an enterprise\'s network and shift the advantage toward espionage operators by evading detection and complicating attribution. Mandiant believes that if network defenders can shift the current enterprise defense paradigm away from treating adversary infrastructure like indicators of compromise (IOCs) and instead toward tracking ORB networks like evolving entities akin to APT groups, enterprises can contend with the rising challenge of ORB networks in the threat landscape. IOC Extinction and the Rise of ORB Networks The cybersecurity industry has reported on the APT practice of ORB network usage in the past as well as on the functional implementation of these networks. Less discussed are the implications of broad ORB network usage by a multitude of China-nexus espionage actors, which has become more common over recent years. The following are three key points and paradigm shifting implications about ORB networks that require enterprise network defenders to adapt the way they think about China-nexus espionage actors: ORB networks undermine the idea of “Actor-Controlled Infrastructure”: ORB networks are infrastructure networks administered by independent entities, contractors, or administrators within the People\'s Republic of China (PRC). They are not controlled by a single APT actor. ORB networks create a network interface, administer a network of compromised nodes, and contract access to those networks to multiple APT actors that will use the ORB networks to carry out their own distinct espionage and reconnaissance. These networks are not controlled by APT actors using them, but rather are temporarily used by these APT actors often to deploy custom tooling more conventionally attributable to known China-nexus adversaries. ORB network infrastructure has a short lifesp |
Malware Tool Vulnerability Threat Prediction Cloud Commercial | APT 15 APT 5 APT 31 | ★★★ |
 |
2024-05-22 13:24:31 | Aux États-Unis pour investir 50 millions de dollars dans la sécurisation des hôpitaux contre les cybermenaces US to Invest $50 Million in Securing Hospitals Against Cyber Threats (lien direct) |
> ARPA-H a annoncé un investissement de 50 millions de dollars dans des outils pour aider les équipes informatiques à mieux sécuriser les environnements hospitaliers.
>ARPA-H has announced a $50 million investment in tools to help IT teams better secure hospital environments. |
Tool | ★★ | |
|
2024-05-22 08:41:40 | Innovation grâce à la collaboration: les avantages mutuels des programmes de primes de bogues Innovation through collaboration: the mutual benefits of bug bounty programs (lien direct) |
> Les programmes de primes de bogues sont un outil charnière dans le paysage de la cybersécurité, offrant une situation gagnant-gagnant aux organisations qui cherchent à augmenter leur posture de sécurité.Mais ils fournissent également une source de revenus vitale à de nombreux professionnels de l'INFOSEC dans le monde entier.& # 160;Dans ce billet de blog, nous mettons en évidence & # 160; comment les initiatives de prime de bogue bénéficient aux organisations tout en autonomisant l'éthique [& # 8230;]
>Bug bounty programs are a pivotal tool in the cybersecurity landscape, offering a win-win situation for organizations looking to boost their security posture. But they also provide a vital source of income for many infosec professionals around the globe. In this blog post, we\'ll highlight how bug bounty initiatives benefit organizations while also empowering ethical […] |
Tool | ★★★ | |
|
2024-05-22 07:40:07 | Checkmarx lance AI Security (lien direct) | Checkmarx accélère la sécurité du code généré par IA avec sa nouvelle offre AI Security De nouveaux outils pour sécuriser le code généré par IA mais aussi pour empêcher la fuite de données et la propriété intellectuelle - Produits | Tool | ★★ |
To see everything:
Our RSS (filtrered)
