What's new arround internet
Last one

Src Date (GMT) Titre Description Tags Stories Notes
Mandiant.webp 2024-06-05 14:00:00 Phishing pour l'or: cyber-menaces auxquelles sont confrontés les Jeux olympiques de Paris 2024
Phishing for Gold: Cyber Threats Facing the 2024 Paris Olympics (lien direct)		 Written by: Michelle Cantos, Jamie Collier
  Executive Summary  Mandiant assesses with high confidence that the Paris Olympics faces an elevated risk of cyber threat activity, including cyber espionage, disruptive and destructive operations, financially-motivated activity, hacktivism, and information operations.  Olympics-related cyber threats could realistically impact various targets including event organizers and sponsors, ticketing systems, Paris infrastructure, and athletes and spectators traveling to the event.  Mandiant assesses with high confidence that Russian threat groups pose the highest risk to the Olympics. While China, Iran, and North Korea state sponsored actors also pose a moderate to low risk. To reduce the risk of cyber threats associated with the Paris Olympics, organizations should update their threat profiles, conduct security awareness training, and consider travel-related cyber risks. The security community is better prepared for the cyber threats facing the Paris Olympics than it has been for previous Games, thanks to the insights gained from past events. While some entities may face unfamiliar state-sponsored threats, many of the cybercriminal threats will be familiar. While the technical disruption caused by hacktivism and information operations is often temporary, these operations can have an outsized impact during high-profile events with a global audience. Introduction  The 2024 Summer Olympics taking place in Paris, France between July and August creates opportunities for a range of cyber threat actors to pursue profit, notoriety, and intelligence. For organizations involved in the event, understanding relevant threats is key to developing a resilient security posture. Defenders should prepare against a variety of threats that will likely be interested in targeting the Games for different reasons:  Cyber espionage groups are likely to target the 2024 Olympics for information gathering purposes, due to the volume of government officials and senior decision makers attending. Disruptive and destructive operations could potentially target the Games to cause negative psychological effects and reputational damage. This type of activity could take the form of website defacements, distributed denial of service (DDoS) attacks, the deployment of wiper malware, and operational technology (OT) targeting. As a high profile, large-scale sporting event with a global audience, the Olympics represents an ideal stage for such operations given that the impact of any disruption would be significantly magnified.  Information operations will likely leverage interest in the Olympics to spread narratives and disinformation to target audiences. In some cases, threat actors may leverage disruptive and destructive attacks to amplify the spread of particular narratives in hybrid operations. Financially-motivated actors are likely to target the Olympics in v		 Ransomware Malware Threat Studies Mobile Cloud Technical APT 15 APT 31 APT 42 ★★
RiskIQ.webp 2024-05-31 22:14:46 Analysis of APT Attack Cases Using Dora RAT Against Korean Companies (Andariel Group) (lien direct) #### Géolocations ciblées - Corée #### Industries ciblées - Éducation - Fabrication critique ## Instantané Ahnlab Security Intelligence Center (ASEC) a identifié des attaques par Andariel Group, suivis par Microsof une variété de logiciels malveillants pour cibler l'éducation sud-coréenneInstitutions et organisations de construction et de fabrication.  Lire Microsoft \'s [écriture sur Onyx Sleet] (https://security.microsoft.com/intel-profiles/03ced82eecb35bdb459c47b7821b9b055d1dfa00b56dc1b06f59583bad8833c0). ## Description Les attaques analysées par l'ASEC ont impliqué plusieurs types de logiciels malveillants, tels que les keyloggers, les infostelleurs, les outils de proxy et les chevaux de Troie à distance à distance (rats).  Nestdoor est un rat qui est utilisé depuis mai 2022. Il permet aux attaquants d'exécuter des commandes, de télécharger et de télécharger des fichiers et d'effectuer des opérations de shell inverse.Nestdoor a été utilisé dans diverses attaques, exploitant souvent des vulnérabilités comme Log4Shell.Dans un cas, les logiciels malveillants étaient déguisés en un installateur OpenVPN, qui, lors de l'exécution, a activé Nestdoor. Dora Rat est une souche malveillante personnalisée identifiée dans ces attaques.Développé par Andariel Group dans le langage Go, Dora Rat fournit des fonctionnalités de base telles que le transfert de shell et de fichiers inversé.Il peut soit s'exécuter en tant qu'exécutable autonome, soit être injecté dans le processus Explorer.exe.Certaines versions de Dora Rat ont été signées avec un certificat légitime, augmentant leur légitimité perçue. Les keyloggers et les journalistes du presse-papiers ont été déployés pour capturer des informations sensibles à partir de systèmes infectés, stockant les données capturées dans le répertoire "% temp%".De plus, divers outils proxy ont été utilisés pour l'exfiltration des données.Ces outils comprenaient des proxys développés sur mesure et des proxys de Socks5 open source.Un outil de proxy a partagé des similitudes avec ceux utilisés par le groupe Lazarus, suivi par Micross comme [Diamond Sleet] (https://security.microsoft.com/intel-profiles/b982c8daf198d93a2ff52b92b65c6284243aa6af91dda5edd1fe8ec5365918c5), ininte ## Détections / requêtes de chasse ** Microsoft Defender pour le point de terminaison ** Les alertes avec le titre suivant dans le centre de sécurité peuvent indiquer une activité de menace sur votre réseau: - * groupe d'activités de grésil Onyx * ## Recommandations Microsoft recommande les atténuations suivantes pour réduire l'impact de cette menace.Vérifiez la carte de recommandations pour l'état de déploiement des atténuations surveillées.  - Utiliser [Microsoft Defender Vulnerabilité Management (MDVM] (https: //learn.microsoft.com/en-us/microsoft-365/security/defender-vulnerability-management/defender-vulnerabilité-management?view=o365-worldwide)) pour aider à identifier le potAssets entialement vulnérables Les acteurs de Sleet Onyx pourraient exploiter pour prendre pied dans le réseau. - Utiliser la gestion de l'exposition dans [Microsoft Defender XDR] (https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/microsoft-defender-endpoint?view=O365-Worldwide) pour identifier)Les actifs potentiellement vulnérables et remédier aux vulnérabilités potentielles de sécurité Les acteurs de goûts d'Onyx pourraient exploiter pour prendre pied dans le réseau. - Les clients de Microsoft Defender peuvent activer [Règles de réduction de la surface d'attaque] (https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/attack-surface-reduction?view=o365-worldwide&ocid = magicti_ta_learndoc) pour empêcher les techniques d'attaque courantes: - [Block] (https://learn.microsoft.com/en-us/microsoft-365/security/defender-endpoint/attack-surface-redulation-Rules-reference?view=o365-wor Malware Tool Vulnerability Threat APT 38 ★★
The_Hackers_News.webp 2024-05-29 16:05:00 Microsoft Uncovers \\ 'Moonstone Sheet \\' - Nouveau groupe de pirates nord
Microsoft Uncovers \\'Moonstone Sleet\\' - New North Korean Hacker Group (lien direct)		 Un acteur de menace nord-coréen jamais vu auparavant, le nom de manche de Moonstone Sleet a été attribué comme derrière les cyberattaques ciblant les individus et les organisations dans les secteurs de base industrielle des technologies et des technologies de l'information, de l'éducation et de la défense avec un ransomware et un malware sur mesure auparavant associé au célèbre groupe Lazarus Lazare. "On observe que le grésil de la pierre de lune installe de fausses entreprises et
A never-before-seen North Korean threat actor codenamed Moonstone Sleet has been attributed as behind cyber attacks targeting individuals and organizations in the software and information technology, education, and defense industrial base sectors with ransomware and bespoke malware previously associated with the infamous Lazarus Group. "Moonstone Sleet is observed to set up fake companies and		 Ransomware Malware Threat Industrial APT 38 ★★
News.webp 2024-05-29 13:00:09 Corée du Nord pour construire des réserves de trésorerie utilisant des ransomwares, jeux vidéo
North Korea building cash reserves using ransomware, video games (lien direct)		 Microsoft dit que l'hermite de Kim \\ pivote les derniers outils à mesure qu'il évolue dans le cyberespace un tout nouveau groupe de cybercriminalité que Microsoft lie avec la Corée du Nord trompe des cibles en utilisant de fausses opportunités d'emploi à lancermalware et ransomware, le tout pour un gain financier…
Microsoft says Kim\'s hermit nation is pivoting to latest tools as it evolves in cyberspace A brand-new cybercrime group that Microsoft ties to North Korea is tricking targets using fake job opportunities to launch malware and ransomware, all for financial gain.…		 Ransomware Malware Tool APT 37 ★★
RiskIQ.webp 2024-05-28 17:37:40 Faits saillants hebdomadaires, 28 mai 2024
Weekly OSINT Highlights, 28 May 2024 (lien direct)		 ## Snapshot Last week\'s OSINT reporting reveals a diverse array of sophisticated cyber threats targeting various sectors, including financial institutions, government entities, and academic organizations. The reports highlight a variety of attack types such as banking trojans, stealers, crypto mining malware, ransomware, and remote access trojans (RATs). Attack vectors include malspam campaigns, spear-phishing emails, search engine advertisements, and trojanized software packages. Threat actors range from financially motivated groups like UAC-0006 and Ikaruz Red Team to state-sponsored entities such as the Chinese-linked "Unfading Sea Haze" and the Iranian Void Manticore. These actors employ advanced techniques like fileless malware, DLL sideloading, and custom keyloggers to achieve persistence and data exfiltration. The targets of these attacks are geographically widespread, encompassing North and South America, the South China Sea region, the Philippines, and South Korea, underscoring the global reach and impact of these threats. ## Description 1. **[Metamorfo Banking Trojan Targets North and South America](https://security.microsoft.com/intel-explorer/articles/72f52370)**: Forcepoint reports that the Metamorfo (Casbaneiro) banking trojan spreads through malspam campaigns, using HTML attachments to initiate system metadata collection and steal user data. This malware targets banking users in North and South America by employing PowerShell commands and various persistence mechanisms. 2. **[Unfading Sea Haze Targets South China Sea Military and Government Entities](https://security.microsoft.com/intel-explorer/articles/c95e7fd5)**: Bitdefender Labs identified a Chinese-linked threat actor, "Unfading Sea Haze," using spear-phishing emails and fileless malware to target military and government entities in the South China Sea region. The campaign employs tools like SerialPktdoor and Gh0stRAT to exfiltrate data and maintain persistence. 3. **[Acrid, ScarletStealer, and Sys01 Stealers](https://security.microsoft.com/intel-explorer/articles/8ca39741)**: Kaspersky describes three stealers-Acrid, ScarletStealer, and Sys01-targeting various global regions. These stealers focus on stealing browser data, cryptocurrency wallets, and credentials, posing significant financial risks by exfiltrating sensitive user information. 4. **[REF4578 Crypto Mining Campaign](https://security.microsoft.com/intel-explorer/articles/c2420a77)**: Elastic Security Labs reports on REF4578, an intrusion set leveraging vulnerable drivers to disable EDRs for deploying Monero crypto miners. The campaign\'s GHOSTENGINE module ensures persistence and termination of security agents, targeting systems for crypto mining. 5. **[SmokeLoader Malware Campaign in Ukraine](https://security.microsoft.com/intel-explorer/articles/7bef5f52)**: CERT-UA observed the UAC-0006 threat actor distributing SmokeLoader malware via phishing emails in Ukraine. The campaign downloads additional malware like Taleshot and RMS, targeting remote banking systems and increasing fraud schemes. 6. **[Ikaruz Red Team Targets Philippines with Modified Ransomware](https://security.microsoft.com/intel-explorer/articles/624f5ce1)**: The hacktivist group Ikaruz Red Team uses leaked LockBit 3 ransomware builders to attack Philippine organizations, aligning with other hacktivist groups like Turk Hack Team. The group engages in politically motivated data leaks and destructive actions. 7. **[Grandoreiro Banking Trojan Campaign](https://security.microsoft.com/intel-explorer/articles/bc072613)**: IBM X-Force tracks the Grandoreiro banking trojan, which operates as Malware-as-a-Service (MaaS) and targets over 1500 global banks. The malware uses advanced evasion techniques and spreads through phishing emails, aiming to commit banking fraud worldwide. 8. **[Void Manticore\'s Destructive Wiping Attacks](https://security.microsoft.com/intel-explorer/articles/d5d5c07f)**: Check Point Research analyzes the Iranian threat actor Void Manticore, conducting destructive wip Ransomware Malware Hack Tool Threat APT 34 ★★★
IndustrialCyber.webp 2024-05-27 17:59:53 Blackberry expose le cyber-espionnage par une tribu transparente ciblant le gouvernement indien, les secteurs de la défense
BlackBerry exposes cyber espionage by Transparent Tribe targeting Indian government, defense sectors (lien direct)		 > BlackBerry a révélé que le groupe de menaces persistant avancé basé à Pakistanais, la tribu transparente (APT36), a ciblé le gouvernement indien, la défense et ...
>BlackBerry disclosed that the Pakistani-based advanced persistent threat group Transparent Tribe (APT36) targeted the Indian government, defense, and... 		Threat APT 36 ★★★
RiskIQ.webp 2024-05-22 15:21:21 Bad Karma, No Justice: Void Manticore Destructive Activities in Israel (lien direct) #### Géolocations ciblées - Israël ## Instantané Check Point Research a publié une analyse de l'acteur de menace iranien Void Manticore, l'acteur Microsoft suit en tant que Storm-0842.Affilié au ministère des Intelligences et de la Sécurité (MOIS), le vide Manticore effectue des attaques d'essuyage destructrices combinées à des opérations d'influence.L'acteur de menace exploite plusieurs personnages en ligne, les plus importants d'entre eux étant la justice de la patrie pour des attaques en Albanie et au Karma pour des attaques menées en Israël. ## Description Il y a des chevauchements clairs entre les cibles de vide manticore et de marminé marqué (aka Storm-0861), avec des indications de remise systématique des cibles entre ces deux groupes lorsqu'ils décident de mener des activités destructrices contre les victimes existantes de Manticore marqué.Les procédures de transfert documentées entre ces groupes suggèrent un niveau de planification cohérent et permettent à un accès vide de manticore à un ensemble plus large d'objectifs, facilité par leurs homologues \\ 'avancés.Les postes de collaboration ont annulé Manticore en tant qu'acteur exceptionnellement dangereux dans le paysage des menaces iraniennes. Void Manticore utilise cinq méthodes différentes pour mener des opérations perturbatrices contre ses victimes.Cela comprend plusieurs essuie-glaces personnalisés pour Windows et Linux, ainsi que la suppression manuelle de fichiers et de lecteurs partagés.Dans leurs dernières attaques, Void Manticore a utilisé un essuie-glace personnalisé appelé Bibi Wiper, faisant référence au surnom du Premier ministre d'Israël, Benjamin Netanyahu.L'essorage a été déployé dans plusieurs campagnes contre plusieurs entités en Israël et dispose de variantes pour Linux et Windows.  ## Analyse Microsoft Microsoft Threat Intelligence Tracks void Manticore comme [Storm-0842] (https://security.microsoft.com/intel-profiles/0c1349b0f2bd0e545d4f741eeae18dd89888d3c0fbf99540b7cf623ff5bb2bf5) ministère du renseignement et de la sécurité (MOIS).Depuis 2022, Microsoft a observé plusieurs cas où Storm-0842 a déployé un outil destructeur dans un environnement précédemment compromis par [Storm-0861] (https://security.microsoft.com 8DE00), un autre groupe avec des liens avecLes Mois. Depuis 2022, Microsoft a observé que la majorité des opérations impliquant Storm-0842 ont affecté les organisations en [Albanie] (https://security.microsoft.com/intel-explorer/articles/5491ec4b) et en Israël.En particulier, Microsoft a observé des opérateurs associés à Storm-0842 de manière opportuniste [déploiez l'essuie-glace de Bibi en réponse à la guerre d'Israël-Hamas.] (Https://security.microsoft.com/intel-explorer/articles/cf205f30) ## Détections Microsoft Defender Antivirus détecte plusieurs variantes (Windows et Linux) de l'essuie-glace Bibi comme le malware suivant: - [DOS: WIN32 / WPRBLIGHTRE] (https://www.microsoft.com/en-us/wdsi/therets/malware-encyclopedia-description?name=dos:win32/wprblightre.b!dha& ;theratid=-2147072872)(Les fenêtres) - [dos: lINUX / WPRBLIGHTRE] (https://www.microsoft.com/en-us/wdsi/therets/malware-encycopedia-dercription?name=dos:linux/wprblightre.a& ;threatid = -2147072991) (Linux) ## Recommandations Microsoft recommande les atténuations suivantes pour réduire l'impact de cette menace. - Lisez notre [Ransomware en tant que blog de service] (https://www.microsoft.com/security/blog/2022/05/09/ransomware-as-a-service-udentSanding-the-cybercrim-gig-ecoony-and-Comment-protect-vous-soi / # défendant-against-ransomware) pour des conseils sur le développement d'une posture de sécurité holistique pour prévenir les ransomwares, y compris l'hygiène des informations d'identification et les recommandations de durcissement. - Allumez [Protection en cloud-étirement] (https://learn.microsoft.com/microsoft-365/security/defender-endpoint/configure-lock-at-first-sigh Ransomware Malware Tool Threat APT 34 ★★★
Mandiant.webp 2024-05-22 14:00:00 Extinction de l'IOC?Les acteurs de cyber-espionnage de Chine-Nexus utilisent des réseaux orbes pour augmenter les coûts des défenseurs
IOC Extinction? China-Nexus Cyber Espionage Actors Use ORB Networks to Raise Cost on Defenders (lien direct)		 Written by: Michael Raggi
  Mandiant Intelligence is tracking a growing trend among China-nexus cyber espionage operations where advanced persistent threat (APT) actors utilize proxy networks known as “ORB networks” (operational relay box networks) to gain an advantage when conducting espionage operations. ORB networks are akin to botnets and are made up of virtual private servers (VPS), as well as compromised Internet of Things (IoT) devices, smart devices, and routers that are often end of life or unsupported by their manufacturers. Building networks of compromised devices allows ORB network administrators to easily grow the size of their ORB network with little effort and create a constantly evolving mesh network that can be used to conceal espionage operations.  By using these mesh networks to conduct espionage operations, actors can disguise external traffic between command and control (C2) infrastructure and victim environments including vulnerable edge devices that are being exploited via zero-day vulnerabilities.  These networks often use both rented VPS nodes in combination with malware designed to target routers so they can grow the number of devices capable of relaying traffic within compromised networks.  Mandiant assesses with moderate confidence that this is an effort to raise the cost of defending an enterprise\'s network and shift the advantage toward espionage operators by evading detection and complicating attribution. Mandiant believes that if network defenders can shift the current enterprise defense paradigm away from treating adversary infrastructure like indicators of compromise (IOCs) and instead toward tracking ORB networks like evolving entities akin to APT groups, enterprises can contend with the rising challenge of ORB networks in the threat landscape. IOC Extinction and the Rise of ORB Networks The cybersecurity industry has reported on the APT practice of ORB network usage in the past as well as on the functional implementation of these networks. Less discussed are the implications of broad ORB network usage by a multitude of China-nexus espionage actors, which has become more common over recent years. The following are three key points and paradigm shifting implications about ORB networks that require enterprise network defenders to adapt the way they think about China-nexus espionage actors: ORB networks undermine the idea of “Actor-Controlled Infrastructure”: ORB networks are infrastructure networks administered by independent entities, contractors, or administrators within the People\'s Republic of China (PRC). They are not controlled by a single APT actor. ORB networks create a network interface, administer a network of compromised nodes, and contract access to those networks to multiple APT actors that will use the ORB networks to carry out their own distinct espionage and reconnaissance. These networks are not controlled by APT actors using them, but rather are temporarily used by these APT actors often to deploy custom tooling more conventionally attributable to known China-nexus adversaries. ORB network infrastructure has a short lifesp		 Malware Tool Vulnerability Threat Prediction Cloud Commercial APT 15 APT 5 APT 31 ★★★
News.webp 2024-05-22 13:30:12 Dans Debian, APT 3 Gains Features & # 8211;Mais keepassxc les perd
In Debian, APT 3 gains features – but KeepassXC loses them (lien direct)		 \\ 'Sid \' a l'air un peu maladif-temps, mais il passera Les utilisateurs intrépides de la branche "Testing" de Debian \\ ont juste découvert qu'un tas de leur mot de passeLes fonctionnalités du gestionnaire ont disparu… mais leur gestionnaire de packages va en obtenir de nouveaux.…
\'Sid\' is looking a little sickly of late, but it will pass The intrepid users of Debian\'s "testing" branch just discovered that a bunch of their password manager\'s features disappeared… but their package manager is going to get new ones.…		 APT 3 ★★
BlackBerry.webp 2024-05-22 08:01:00 La tribu transparente cible les secteurs du gouvernement indien, de la défense et de l'aérospatiale à tirer parti des langages de programmation multiplateforme
Transparent Tribe Targets Indian Government, Defense, and Aerospace Sectors Leveraging Cross-Platform Programming Languages (lien direct)		 Dans le cadre de nos efforts de chasse à la menace continue dans la région d'Asie-Pacifique, Blackberry a découvert la tribu transparente du groupe Pakistanais ciblant le gouvernement, la défense et l'aérospatiale de l'Inde.
As part of our continuous threat hunting efforts across the Asia-Pacific region, BlackBerry discovered Pakistani-based APT group Transparent Tribe targeting the government, defense and aerospace sectors of India. 		Threat APT 36 ★★★
DarkReading.webp 2024-05-21 20:47:21 Iran Apts Tag Team Espionage, Wiper Attacks contre Israël & amp; AMP;Albanie
Iran APTs Tag Team Espionage, Wiper Attacks Against Israel & Albania (lien direct)		 Scarred Manticore est le sophistiqué intelligent.Mais lorsque l'Iran a besoin de quelque chose de détruit, il remet les clés de vide Manticore.
Scarred Manticore is the smart, sophisticated one. But when Iran needs something destroyed, it hands the keys over to Void Manticore.		 APT 34 ★★
Blog.webp 2024-05-21 11:37:37 Les pirates d'État iraniens s'associent pour des attaques à grande échelle, rapport
Iranian State Hackers Partner Up for Large-Scale Attacks, Report (lien direct)		 > Par deeba ahmed Les chercheurs de point de contrôle ont détaillé un nouveau groupe de pirates parrainé par l'État iranien appelé Void Manticore, en partenariat avec Scarred Manticore, un autre groupe de menaces basé dans le ministère de l'Intension et de la Sécurité de l'Iran. . Ceci est un article de HackRead.com Lire le post original: Les pirates d'État iraniens s'associent pour des attaques à grande échelle, rapport
>By Deeba Ahmed Check Point researchers have detailed a new Iranian state-sponsored hacker group called Void Manticore, partnering with Scarred Manticore, another threat group based in Iran\'s Ministry of Intelligence and Security. This is a post from HackRead.com Read the original post: Iranian State Hackers Partner Up for Large-Scale Attacks, Report		 Threat APT 34 ★★
InfoSecurityMag.webp 2024-05-20 15:30:00 Vide lié à l'Iran Manticore intensifie les cyberattaques sur Israël
Iran-Linked Void Manticore Intensifies Cyber-Attacks on Israel (lien direct)		 La RCR a suggéré un chevauchement significatif des cibles entre le vide manticore et le mantecore marqué
CPR has suggested a significant overlap in targets between Void Manticore and Scarred Manticore		 APT 34 ★★★
TechWorm.webp 2024-05-01 23:25:26 Les logiciels malveillants ciblent les routeurs pour voler les mots de passe des demandes Web
Malware Targets Routers To Steal Passwords From Web Requests (lien direct)		 Les chercheurs ont récemment suivi un nouveau malware, "Sweetfish", qui cible les équipements de mise en réseau, en particulier les petits routeurs de bureau / bureau à domicile (SOHO), pour voler le matériel d'authentification trouvé dans les demandes Web qui transitent le routeur de la locale adjacenteréseau régional (LAN). Lumen Technologies & # 8217;Black Lotus Labs, qui a examiné les logiciels malveillants, a déclaré que la seiche crée un tunnel proxy ou VPN via un routeur compromis pour exfiltrer les données en contournant l'analyse basée sur la connexion anormale, puis utilise des informations d'identification volées pour accéder aux ressources ciblées. Le malware a également la capacité d'effectuer un détournement HTTP et DNS pour les connexions aux adresses IP privées, qui sont normalement associées aux communications dans un réseau interne. Les chercheurs déclarent que la plate-forme de logiciels malveillants de secteur offre une approche zéro clique pour capturer les données des utilisateurs et des appareils derrière le bord du réseau ciblé. «Toutes les données envoyées sur les équipements réseau infiltrés par ce malware sont potentiellement exposés.Ce qui rend cette famille de logiciels malveillants si insidie-the-cuttlefish-malware / "data-wpel-link =" external "rel =" nofollow nopenner noreferrer "> avertir dans un article de blog . «La seiche est en attente, reniflant passivement les paquets, n'agissant que lorsqu'il est déclenché par un ensemble de règles prédéfini.Le renifleur de paquets utilisé par la seiche a été conçu pour acquérir du matériel d'authentification, en mettant l'accent sur les services publics basés sur le cloud. » Malware Threat Cloud Technical APT 32 ★★★★
Mandiant.webp 2024-05-01 14:00:00 Uncharmed: Untangling Iran\'s APT42 Operations (lien direct) Written by: Ofir Rozmann, Asli Koksal, Adrian Hernandez, Sarah Bock, Jonathan Leathery
  APT42, an Iranian state-sponsored cyber espionage actor, is using enhanced social engineering schemes to gain access to victim networks, including cloud environments. The actor is targeting Western and Middle Eastern NGOs, media organizations, academia, legal services and activists. Mandiant assesses APT42 operates on behalf of the Islamic Revolutionary Guard Corps Intelligence Organization (IRGC-IO). APT42 was observed posing as journalists and event organizers to build trust with their victims through ongoing correspondence, and to deliver invitations to conferences or legitimate documents. These social engineering schemes enabled APT42 to harvest credentials and use them to gain initial access to cloud environments. Subsequently, the threat actor covertly exfiltrated data of strategic interest to Iran, while relying on built-in features and open-source tools to avoid detection. In addition to cloud operations, we also outline recent malware-based APT42 operations using two custom backdoors: NICECURL and TAMECAT. These backdoors are delivered via spear phishing, providing the attackers with initial access that might be used as a command execution interface or as a jumping point to deploy additional malware. APT42 targeting and missions are consistent with its assessed affiliation with the IRGC-IO, which is a part of the Iranian intelligence apparatus that is responsible for monitoring and preventing foreign threats to the Islamic Republic and domestic unrest. APT42 activities overlap with the publicly reported actors CALANQUE (Google Threat Analysis Group), Charming Kitten (ClearSky and CERTFA), Mint Sandstorm/Phosphorus (Microsoft), TA453 (Proofpoint), Yellow Garuda (PwC), and ITG18 (		 Malware Tool Threat Cloud Yahoo APT 35 APT 42 ★★
The_Hackers_News.webp 2024-04-25 22:17:00 Le groupe de Lazarus de la Corée du Nord déploie un nouveau rat Kaolin via de faux leurres d'emploi
North Korea\\'s Lazarus Group Deploys New Kaolin RAT via Fake Job Lures (lien direct)		 L'acteur des menaces en Corée du Nord & NBSP; connu sous le nom de Lazarus & NBSP; Group a utilisé ses leurres de travail fabriqués à l'épreuve pour livrer un nouveau troyen à distance appelé & NBSP; Kaolin Rat. Le malware pourrait: "En dehors de la fonctionnalité de rat standard, & nbsp; modifier le dernier horodatage d'écriture d'un fichier sélectionné et charger tout serveur de DLL reçu du serveur [Command and Control]"
The North Korea-linked threat actor known as Lazarus Group employed its time-tested fabricated job lures to deliver a new remote access trojan called Kaolin RAT. The malware could, "aside from standard RAT functionality, change the last write timestamp of a selected file and load any received DLL binary from [command-and-control] server," Avast security researcher Luigino		 Malware Threat APT 38 ★★
Mandiant.webp 2024-04-25 10:00:00 Pole Voûte: cyber-menaces aux élections mondiales
Poll Vaulting: Cyber Threats to Global Elections (lien direct)		 Written by: Kelli Vanderlee, Jamie Collier
  Executive Summary The election cybersecurity landscape globally is characterized by a diversity of targets, tactics, and threats. Elections attract threat activity from a variety of threat actors including: state-sponsored actors, cyber criminals, hacktivists, insiders, and information operations as-a-service entities. Mandiant assesses with high confidence that state-sponsored actors pose the most serious cybersecurity risk to elections. Operations targeting election-related infrastructure can combine cyber intrusion activity, disruptive and destructive capabilities, and information operations, which include elements of public-facing advertisement and amplification of threat activity claims. Successful targeting does not automatically translate to high impact. Many threat actors have struggled to influence or achieve significant effects, despite their best efforts.  When we look across the globe we find that the attack surface of an election involves a wide variety of entities beyond voting machines and voter registries. In fact, our observations of past cycles indicate that cyber operations target the major players involved in campaigning, political parties, news and social media more frequently than actual election infrastructure.   Securing elections requires a comprehensive understanding of many types of threats and tactics, from distributed denial of service (DDoS) to data theft to deepfakes, that are likely to impact elections in 2024. It is vital to understand the variety of relevant threat vectors and how they relate, and to ensure mitigation strategies are in place to address the full scope of potential activity.  Election organizations should consider steps to harden infrastructure against common attacks, and utilize account security tools such as Google\'s Advanced Protection Program to protect high-risk accounts. Introduction  The 2024 global election cybersecurity landscape is characterized by a diversity of targets, tactics, and threats. An expansive ecosystem of systems, administrators, campaign infrastructure, and public communications venues must be secured against a diverse array of operators and methods. Any election cybersecurity strategy should begin with a survey of the threat landscape to build a more proactive and tailored security posture.  The cybersecurity community must keep pace as more than two billion voters are expected to head to the polls in 2024. With elections in more than an estimated 50 countries, there is an opportunity to dynamically track how threats to democracy evolve. Understanding how threats are targeting one country will enable us to better anticipate and prepare for upcoming elections globally. At the same time, we must also appreciate the unique context of different countries. Election threats to South Africa, India, and the United States will inevitably differ in some regard. In either case, there is an opportunity for us to prepare with the advantage of intelligence.  		Ransomware Malware Hack Tool Vulnerability Threat Legislation Cloud Technical APT 40 APT 29 APT 28 APT 43 APT 31 APT 42 ★★★
DarkReading.webp 2024-04-24 16:27:13 La Corée du Nord, le triumvirat apte espionné de l'industrie sud-coréenne de la défense pendant des années
North Korea APT Triumvirate Spied on South Korean Defense Industry For Years (lien direct)		 Lazarus, Kimsuky et Andariel ont tous pris l'action, volant des données "importantes" aux entreprises responsables de la défense de leurs voisins du Sud (d'eux).
Lazarus, Kimsuky, and Andariel all got in on the action, stealing "important" data from firms responsible for defending their southern neighbors (from them).		 APT 38 ★★
Blog.webp 2024-04-18 07:46:32 Analyse du rat nautique utilisé dans les attaques contre les systèmes Linux
Analysis of Pupy RAT Used in Attacks Against Linux Systems (lien direct)		 Pupy est une souche malveillante de rat qui offre un soutien à la plate-forme croisée.Parce qu'il s'agit d'un programme open-source publié sur GitHub, il est continuellement utilisé par divers acteurs de menace, y compris des groupes APT.Par exemple, il est connu pour avoir été utilisé par APT35 (qui aurait des liens avec l'Iran) [1] et a également été utilisé dans l'opération Earth Berberoka [2] qui ciblait les sites de jeux en ligne.Récemment, une souche de logiciels malveillante nommée Disy Dog a été découverte, qui est une version mise à jour de Pupy Rat ....
Pupy is a RAT malware strain that offers cross-platform support. Because it is an open-source program published on GitHub, it is continuously being used by various threat actors including APT groups. For example, it is known to have been used by APT35 (said to have ties to Iran) [1] and was also used in Operation Earth Berberoka [2] which targeted online gambling websites. Recently, a malware strain named Decoy Dog was discovered, which is an updated version of Pupy RAT.... 		Malware Threat APT 35 ★★
ProofPoint.webp 2024-04-16 06:00:54 De l'ingénierie sociale aux abus DMARC: Ta427 \\'s Art of Information Gathering
From Social Engineering to DMARC Abuse: TA427\\'s Art of Information Gathering (lien direct)		 Key takeaways   TA427 regularly engages in benign conversation starter campaigns to establish contact with targets for long-term exchanges of information on topics of strategic importance to the North Korean regime.  In addition to using specially crafted lure content, TA427 heavily leverages think tank and non-governmental organization-related personas to legitimize its emails and increase the chances that targets will engage with the threat actor.   To craftily pose as its chosen personas, TA427 uses a few tactics including DMARC abuse in concert with free email addresses, typosquatting, and private email account spoofing.   TA427 has also incorporated web beacons for initial reconnaissance of its targets, establishing basic information like that the email account is active.   Overview   Proofpoint researchers track numerous state-sponsored and state-aligned threat actors. TA427 (also known as Emerald Sleet, APT43, THALLIUM or Kimsuky), a Democratic People\'s Republic of Korea (DPRK or North Korea) aligned group working in support of the Reconnaissance General Bureau, is particularly prolific in email phishing campaigns targeting experts for insight into US and the Republic of Korea (ROK or South Korea) foreign policy.   Since 2023, TA427 has directly solicited foreign policy experts for their opinions on nuclear disarmament, US-ROK policies, and sanction topics via benign conversation starting emails. In recent months, Proofpoint researchers have observed (Figure 1) a steady, and at times increasing, stream of this activity. While our researchers have consistently observed TA427 rely on social engineering tactics and regularly rotating its email infrastructure, in December 2023 the threat actor began to abuse lax Domain-based Message Authentication, Reporting and Conformance (DMARC) policies to spoof various personas and, in February 2024, began incorporating web beacons for target profiling.  It is this initial engagement, and the tactics successfully leveraged by TA427, which this blog is focused on.  Figure 1. Volume of TA427 phishing campaigns observed between January 2023 and March 2024.  Social engineering  TA427 is a savvy social engineering expert whose campaigns are likely in support of North Korea\'s strategic intelligence collection efforts on US and ROK foreign policy initiatives. Based on the targets identified and the information sought, it is believed that TA427\'s goal is to augment North Korean intelligence and inform its foreign policy negotiation tactics (example Figure 2). TA427 is known to engage its targets for extended periods of time through a series of benign conversations to build a rapport with targets that can occur over weeks to months. They do so by constantly rotating which aliases are used to engage with the targets on similar subject matter.   Figure 2. Example of TA427 campaign focused on US policy during an election year.  Using timely, relevant lure content (as seen in Figure 3) customized for each victim, and often spoofing individuals in the DPRK research space with whom the victim is familiar to encourage engagement, targets are often requested to share their thoughts on these topics via email or a formal research paper or article. Malware or credential harvesting are never directly sent to the targets without an exchange of multiple messages, and based on Proofpoint visibility, rarely utilized by the threat actor. It is possible that TA427 can fulfill its intelligence requirements by directly asking targets for their opinions or analysis rather than from an infection. Additionally, insight gained from the correspondence is likely used to improve targeting of the victim organization and establish rapport for later questions and engagement.   Figure 3. Timeline of real-world events based on international press reporting, side-by-side with Proofpoint observed subject lures.  Lure content often includes invitations to attend events about North Korean policies regarding international affairs, questions regarding topics such as how deterr Malware Tool Threat Conference APT 37 APT 43 ★★
Checkpoint.webp 2024-04-01 08:18:43 1er avril & # 8211;Rapport de renseignement sur les menaces
1st April – Threat Intelligence Report (lien direct)		 > Pour les dernières découvertes de cyber-recherche pour la semaine du 1er avril, veuillez télécharger notre bulletin Threat_Intelligence.Les meilleures attaques et violations que les gouvernements américains et britanniques ont annoncé un acte d'accusation criminel et des sanctions contre l'APT31, un groupe de pirates chinois, pour leur rôle dans les attaques prétendument contre des entreprises aux États-Unis, ainsi que [& # 8230;]
>For the latest discoveries in cyber research for the week of 1st April, please download our Threat_Intelligence Bulletin. TOP ATTACKS AND BREACHES The US and UK governments have announced a criminal indictment and sanctions against APT31, a group of Chinese hackers, for their role in allegedly conducting attacks against companies in the US, as well […] 		Threat APT 31 ★★
The_Hackers_News.webp 2024-03-28 22:20:00 La Finlande blâme le groupe de piratage chinois Apt31 pour la cyberattaque du Parlement
Finland Blames Chinese Hacking Group APT31 for Parliament Cyber Attack (lien direct)		 La police de Finlande (alias Poliisi) a officiellement accusé un acteur chinois de l'État-nation suivi comme APT31 pour avoir orchestré une cyberattaque ciblant le Parlement du pays en 2020. L'intrusion, selon les autorités, se serait produite entre l'automne 2020 et le début de 2021. L'agence a décrit la sonde criminelle en cours comme à la fois exigeante et longue, impliquant une analyse approfondie de A "
The Police of Finland (aka Poliisi) has formally accused a Chinese nation-state actor tracked as APT31 for orchestrating a cyber attack targeting the country\'s Parliament in 2020. The intrusion, per the authorities, is said to have occurred between fall 2020 and early 2021. The agency described the ongoing criminal probe as both demanding and time-consuming, involving extensive analysis of a "		 Legislation APT 31 ★★★
bleepingcomputer.webp 2024-03-26 17:23:54 La Finlande confirme les pirates pirates de l'APT31 derrière la violation du Parlement en 2021
Finland confirms APT31 hackers behind 2021 parliament breach (lien direct)		 La police finlandaise a confirmé mardi que le groupe de piratage de l'APT31 lié au ministère chinois de la sécurité de l'État (MSS) était à l'origine d'une violation du Parlement du pays divulgué en mars 2021. [...]
The Finnish Police confirmed on Tuesday that the APT31 hacking group linked to the Chinese Ministry of State Security (MSS) was behind a breach of the country\'s parliament disclosed in March 2021. [...]		 Legislation APT 31 ★★★
Checkpoint.webp 2024-03-26 14:57:51 Les gouvernements américains et britanniques s'opposent à l'APT31, groupe de piratage affilié à l'État
US and UK Governments Take Stand Against APT31, State-Affiliated Hacking Group (lien direct)		 > lundi, l'administration Biden a annoncé un acte d'accusation criminel et des sanctions contre un groupe de pirates chinois pour leur rôle dans la conduite prétendument des hacks contre les entreprises aux États-Unis, ainsi que des représentants du gouvernement.Le gouvernement américain a inculpé sept pirates, du groupe connu sous le nom d'APT31;Dans une décision connexe, le gouvernement britannique a annoncé des sanctions contre une entreprise de front, ainsi que deux personnes en lien avec une violation à la Commission électorale du Royaume-Uni.Le gouvernement américain a noté que le groupe avait passé environ 14 ans à cibler les entreprises américaines et étrangères et les responsables politiques.«Aujourd'hui, les gouvernements du Royaume-Uni et des États-Unis [& # 8230;]
>On Monday, the Biden administration announced a criminal indictment and sanctions against a group of Chinese hackers for their role in allegedly conducting hacks against companies in the US, as well as government officials. The US government charged seven hackers, from the group known as APT31; in a related move, the British government announced sanctions on a front company, as well as two individuals in connection with a breach at the UK\'s Electoral Commission. The US government noted that the group spent about 14 years targeting US and foreign businesses and political officials. “Today both the UK and US governments […] 		APT 31 ★★★
DarkReading.webp 2024-03-25 21:20:40 Des pirates chinois parrainés par l'État chargés, des sanctions perçues par nous
Chinese State-Sponsored Hackers Charged, Sanctions Levied by US (lien direct)		 Les États-Unis et le Royaume-Uni facturent à sept ressortissants chinois pour avoir fonctionné dans le cadre du groupe de menaces APT31.
The US and the UK charge seven Chinese nationals for operating as part of threat group APT31.		 Threat APT 31 ★★★
SecurityWeek.webp 2024-03-25 18:50:17 Le Trésor américain gifle les sanctions contre les pirates APT31 liés à la Chine
US Treasury Slaps Sanctions on China-Linked APT31 Hackers (lien direct)		 > Le Département du Trésor américain sanctionne une paire de pirates chinois liés à des «cyber-opérations malveillantes ciblant les secteurs des infrastructures critiques».
>The US Treasury Department sanctions a pair of Chinese hackers linked to “malicious cyber operations targeting US critical infrastructure sectors.” 		APT 31 ★★
RecordedFuture.webp 2024-03-25 17:50:21 Les sanctions américaines ont allégué des pirates d'État chinois pour des attaques contre les infrastructures critiques
US sanctions alleged Chinese state hackers for attacks on critical infrastructure (lien direct)		 Les États-Unis ont sanctionné une société basée à Wuhan qui serait un front pour le ministère d'État de la Sécurité de la Chine lundi à la suite de dizaines d'attaques contre des infrastructures critiques. & NBSP;Les départements de la justice et du trésor ont accusé Wuhan Xiaoruizhi Science and Technology Company d'être une couverture pour APT31 - un groupe de piratage basé en Chine connu pour son ciblage précédemment
The U.S. sanctioned a Wuhan-based company believed to be a front for China\'s Ministry of State Security on Monday following dozens of attacks on critical infrastructure.  The Justice and Treasury Departments accused Wuhan Xiaoruizhi Science and Technology Company of being a cover for APT31 - a notorious China-based hacking group known for previously targeting		 APT 31 ★★
InfoSecurityMag.webp 2024-03-25 15:50:00 Le Royaume-Uni blâme la Chine pour 2021 Hack ciblant des millions d'électeurs \\ 'Data
UK Blames China for 2021 Hack Targeting Millions of Voters\\' Data (lien direct)		 Le NCSC du Royaume-Uni évalue que l'APT31 soutenu par la Chine était «presque» responsable du piratage des comptes de messagerie des parlementaires britanniques
The UK\'s NCSC assesses that China-backed APT31 was “almost certainly” responsible for hacking the email accounts of UK parliamentarians		 Hack APT 31 ★★
zataz.webp 2024-03-19 14:01:20 Lazarus Group : Hack de HTX et Heco (lien direct) En novembre 2023, une attaque coordonnée a visé la plateforme d'échange HTX et le pont cross-chain Heco, entraînant le vol de 112,5 millions de dollars en cryptomonnaies. Le groupe de hackers nord-coréen Lazarus Group derrière l'attaque ?... Hack APT 38 ★★★
RecordedFuture.webp 2024-03-15 18:33:59 Les pirates de groupe de Lazarus semblent retourner à la tornade en espèces pour le blanchiment d'argent
Lazarus Group hackers appear to return to Tornado Cash for money laundering (lien direct)		 Le groupe de piratage de Lazarus de la Corée du Nord aurait repris un ancien service afin de laver 23 millions de dollars volés lors d'une attaque en novembre. & NBSP;Les enquêteurs de la société de recherche Blockchain, Elliptic, ont déclaré vendredi qu'au dernier jour où ils avaient & nbsp;vu les fonds - une partie des 112,5 millions de dollars volés au HTX
North Korea\'s Lazarus hacking group allegedly has turned back to an old service in order to launder $23 million stolen during an attack in November.  Investigators at blockchain research company Elliptic said on Friday that in the last day they had  seen the funds - part of the $112.5 million stolen from the HTX		 APT 38 ★★★
knowbe4.webp 2024-03-14 14:20:00 Bien qu'il se sente préparé pour les attaques basées sur l'image, la plupart des organisations ont été compromises par eux
Despite Feeling Prepared for Image-Based Attacks, Most Organizations Have Been Compromised by Them (lien direct)
Despite Feeling Prepared for Image-Based Attacks, Most Organizations Have Been Compromised by Them 		APT 3 ★★★
Blog.webp 2024-03-06 08:56:56 Microsoft Windows Security Update Advisory (CVE-2024-21338) (lien direct) aperçu du 13 février 2024, Microsoft a annoncé une élévation du noyau Windows des privilèges Vulnérabilité CVE-2012-21338correctif.La vulnérabilité se produit à certains ioctl de & # 8220; appid.sys & # 8221;Connu sous le nom de pilote AppLocker, l'une des fonctionnalités Windows.L'acteur de menace peut lire et écrire sur une mémoire de noyau aléatoire en exploitant la vulnérabilité, et peut soit désactiver les produits de sécurité ou gagner le privilège du système.Avast a rapporté que le groupe de menaces Lazarus a récemment utilisé la vulnérabilité CVE-2024-21338 à désactiver les produits de sécurité.Ainsi, les utilisateurs de Windows OS sont ...
Overview On February 13th, 2024, Microsoft announced a Windows Kernel Elevation of Privilege Vulnerability CVE-2024-21338 patch. The vulnerability occurs at certain IOCTL of “appid.sys” known as AppLocker‘s driver, one of the Windows feature. The threat actor can read and write on a random kernel memory by exploiting the vulnerability, and can either disable security products or gain system privilege. AVAST reported that the Lazarus threat group has recently used CVE-2024-21338 vulnerability to disable security products. Thus, Windows OS users are... 		Vulnerability Threat APT 38 ★★
DarkReading.webp 2024-03-01 00:17:13 Microsoft Zero Day utilisé par Lazarus dans Rootkit Attack
Microsoft Zero Day Used by Lazarus in Rootkit Attack (lien direct)		 Les acteurs de l'État nord-coréen Lazarus Group ont utilisé une journée Zero Applocker Windows, ainsi qu'un nouveau Rootkit amélioré, dans une cyberattaque récente, rapportent les chercheurs.
North Korean state actors Lazarus Group used a Windows AppLocker zero day, along with a new and improved rootkit, in a recent cyberattack, researchers report.		 Threat APT 38 ★★★
The_Hackers_News.webp 2024-02-29 16:49:00 Les pirates de Lazarus ont exploité la faille du noyau Windows comme zéro-jour lors d'attaques récentes
Lazarus Hackers Exploited Windows Kernel Flaw as Zero-Day in Recent Attacks (lien direct)		 Les célèbres acteurs du groupe Lazare ont exploité un défaut d'escalade de privilèges récemment corrigé dans le noyau Windows comme un jour zéro pour obtenir l'accès au niveau du noyau et désactiver les logiciels de sécurité sur les hôtes compromis. La vulnérabilité en question est & NBSP; CVE-2024-21338 & NBSP; (Score CVSS: 7.8), qui peut permettre à un attaquant d'obtenir des privilèges système.Il a été résolu par Microsoft plus tôt ce mois-ci dans le cadre
The notorious Lazarus Group actors exploited a recently patched privilege escalation flaw in the Windows Kernel as a zero-day to obtain kernel-level access and disable security software on compromised hosts. The vulnerability in question is CVE-2024-21338 (CVSS score: 7.8), which can permit an attacker to gain SYSTEM privileges. It was resolved by Microsoft earlier this month as part		 Vulnerability Threat APT 38 ★★★
The_Hackers_News.webp 2024-02-29 13:47:00 Lazarus exploite les fautes de frappe pour faufiler les logiciels malveillants PYPI dans les systèmes de développement
Lazarus Exploits Typos to Sneak PyPI Malware into Dev Systems (lien direct)		 Le groupe de piratage nord-coréen nord-coréen Lazarus a téléchargé quatre packages dans le référentiel d'index de package Python (PYPI) dans le but d'infecter les systèmes de développeurs par des logiciels malveillants. Les packages, maintenant supprimés, sont & nbsp; pycryptoenv, & nbsp; pycryptoconf, & nbsp; quasarlib et & nbsp; swapmempool.Ils ont été téléchargés collectivement 3 269 fois, PycryptoConf représentant le plus
The notorious North Korean state-backed hacking group Lazarus uploaded four packages to the Python Package Index (PyPI) repository with the goal of infecting developer systems with malware. The packages, now taken down, are pycryptoenv, pycryptoconf, quasarlib, and swapmempool. They have been collectively downloaded 3,269 times, with pycryptoconf accounting for the most		 Malware APT 38 ★★★★
SecurityWeek.webp 2024-02-29 10:28:36 Windows Zero-Day exploité par des pirates nord-coréens dans Rootkit Attack
Windows Zero-Day Exploited by North Korean Hackers in Rootkit Attack (lien direct)		 > Le groupe nord-coréen Lazarus a exploité le conducteur Applocker Zero-Day CVE-2024-21338 pour l'escalade des privilèges dans les attaques impliquant Fudmodule Rootkit.
>North Korean group Lazarus exploited AppLocker driver zero-day CVE-2024-21338 for privilege escalation in attacks involving FudModule rootkit. 		Vulnerability Threat APT 38 ★★★
bleepingcomputer.webp 2024-02-28 10:04:50 Le Japon met en garde contre les packages PYPI malveillants créés par des pirates nord-coréens
Japan warns of malicious PyPi packages created by North Korean hackers (lien direct)		 L'équipe de réponse aux incidents de sécurité informatique du Japon (JPCERT / CC) avertit que le célèbre groupe de piratage nord-coréen Lazarus a téléchargé quatre packages PYPI malveillants pour infecter les développeurs par malware.[...]
Japan\'s Computer Security Incident Response Team (JPCERT/CC) is warning that the notorious North Korean hacking group Lazarus has uploaded four malicious PyPI packages to infect developers with malware. [...]		 Malware APT 38 ★★
DarkReading.webp 2024-02-22 14:09:46 Étapes de chaton charmantes soutenues par l'Iran
Iran-Backed Charming Kitten Stages Fake Webinar Platform to Ensnare Targets (lien direct)		 Le dernier stratagème de l'APT également connu sous le nom de charmant Cypress cible des experts politiques au Moyen-Orient, en Europe et aux États-Unis.
The latest ploy by the APT also known as Charming Cypress targets policy experts in the Middle East, Europe, and the US.		 APT 35 ★★
The_Hackers_News.webp 2024-02-19 10:09:00 Les pirates iraniens ciblent les experts de la politique du Moyen-Orient avec une nouvelle porte dérobée de base
Iranian Hackers Target Middle East Policy Experts with New BASICSTAR Backdoor (lien direct)		 L'acteur de menace d'origine iranienne connue sous le nom de Charming Kitten a été lié à un nouvel ensemble d'attaques destinées aux experts en politique du Moyen-Orient avec une nouvelle porte dérobée appelée & nbsp; Basicstar & nbsp; en créant un faux portail de webinaire. Le chaton charmant, également appelé Apt35, CharmingCypress, Mint Sandstorm, TA453 et Yellow Garuda, a une histoire d'orchestrer un large éventail de campagnes d'ingénierie sociale qui lancent un
The Iranian-origin threat actor known as Charming Kitten has been linked to a new set of attacks aimed at Middle East policy experts with a new backdoor called BASICSTAR by creating a fake webinar portal. Charming Kitten, also called APT35, CharmingCypress, Mint Sandstorm, TA453, and Yellow Garuda, has a history of orchestrating a wide range of social engineering campaigns that cast a		 Threat APT 35 ★★
Volexity.webp 2024-02-13 14:47:15 CharmingCypress: innovation de persistance
CharmingCypress: Innovating Persistence (lien direct)		 > Grâce à ses offres de services de sécurité gérées, la volexité identifie régulièrement des campagnes de phisseur de lance ciblant ses clients.Un acteur de menace persistant, dont la volexité des campagnes observe fréquemment, est l'acteur de menace d'origine iranienne CharmingCypress (alias Charming Kitten, Apt42, TA453).La volexité évalue que CharmingCypress est chargé de collecter des renseignements politiques contre les cibles étrangères, en particulier en se concentrant sur les groupes de réflexion, les ONG et les journalistes.Dans leurs campagnes de phishing, CharmingCypress utilise souvent des tactiques inhabituelles d'ingénierie sociale, comme engager des cibles dans des conversations prolongées par e-mail avant d'envoyer des liens vers un contenu malveillant.Dans une campagne de lance de lance particulièrement notable observée par volexité, CharmingCypress est allé jusqu'à créer une plate-forme de webinaire entièrement fausse à utiliser dans le cadre de l'attrait.CharmingCypress contrôlé un accès à cette plate-forme, nécessitant des cibles pour installer des applications VPN chargées de logiciels malveillants avant d'accorder l'accès.Remarque: Un contenu dans ce blog a récemment été discuté dans le rapport de Microsoft \\, de nouveaux TTP observés dans la campagne de Sandstorm de Mint ciblant des individus de haut niveau dans les universités et [& # 8230;]
>Through its managed security services offerings, Volexity routinely identifies spear-phishing campaigns targeting its customers. One persistent threat actor, whose campaigns Volexity frequently observes, is the Iranian-origin threat actor CharmingCypress (aka Charming Kitten, APT42, TA453). Volexity assesses that CharmingCypress is tasked with collecting political intelligence against foreign targets, particularly focusing on think tanks, NGOs, and journalists. In their phishing campaigns, CharmingCypress often employs unusual social-engineering tactics, such as engaging targets in prolonged conversations over email before sending links to malicious content. In a particularly notable spear-phishing campaign observed by Volexity, CharmingCypress went so far as to craft an entirely fake webinar platform to use as part of the lure. CharmingCypress controlled access to this platform, requiring targets to install malware-laden VPN applications prior to granting access. Note: Some content in this blog was recently discussed in Microsoft\'s report, New TTPs observed in Mint Sandstorm campaign targeting high-profile individuals at universities and […] 		Threat APT 35 APT 42 ★★★
RecordedFuture.webp 2024-01-24 14:00:00 Les médias d'information, les experts des affaires étrangères sont des cibles de la dernière campagne du groupe nord-coréen \\
News media, foreign affairs experts are targets of North Korean group\\'s latest campaign (lien direct)		 Les pirates d'État nord-coréens visent des organisations de médias et des universitaires de haut niveau dans une nouvelle campagne d'espionnage, selon un nouveau Rapport publié cette semaine.L'objectif de ces attaques, attribué par des chercheurs de Sentinelabs à un groupe de pirates connu sous le nom de Scarcruft ou APT37, est de «recueillir des renseignements stratégiques» qui peuvent «contribuer à la prise de décision de la Corée du Nord \\
North Korean state hackers are targeting media organizations and high-profile academics in a new espionage campaign, according to a new report released this week. The goal of these attacks, attributed by researchers at SentinelLabs to a hacker group known as ScarCruft or APT37, is to “gather strategic intelligence” that can “contribute to North Korea\'s decision-making		 APT 37 ★★★
Blog.webp 2024-01-23 00:40:00 Le groupe Lazarus utilise la technique de chargement latéral DLL (2)
Lazarus Group Uses the DLL Side-Loading Technique (2) (lien direct)		 à travers le groupe & # 8220; Lazarus utilise la technique de chargement latéral DLL & # 8221;[1] Article de blog, Ahnlab Security Intelligence Center (ASEC) a précédemment couvert comment le groupe Lazare a utilisé la technique d'attaque de chargement de chargement DLL en utilisant des applications légitimes au stade d'accès initial pour atteindre la prochaine étape de leur processus d'attaque.Ce billet de blog couvrira les variantes de DLL ajoutées et leur routine de vérification pour les cibles.Le groupe Lazare est un groupe approprié qui cible les entreprises sud-coréennes, les institutions, les groupes de réflexion et autres.Sur ...
Through the “Lazarus Group Uses the DLL Side-Loading Technique” [1] blog post, AhnLab SEcurity intelligence Center(ASEC) has previously covered how the Lazarus group used the DLL side-loading attack technique using legitimate applications in the initial access stage to achieve the next stage of their attack process. This blog post will cover the added DLL variants and their verification routine for the targets. The Lazarus group is an APT group that targets South Korean companies, institutions, think tanks, and others. On... 		APT 38 ★★
DarkReading.webp 2024-01-22 20:30:00 Les attaquants de Scarcruft de la Corée du Nord se préparent à cibler les pros de la cybersécurité
North Korea\\'s ScarCruft Attackers Gear Up to Target Cybersecurity Pros (lien direct)		 Sur la base de nouvelles routines d'infection par l'APT, elle cherche à récolter des renseignements sur les menaces afin d'améliorer la sécurité opérationnelle et la furtivité.
Based on fresh infection routines the APT is testing, it\'s looking to harvest threat intelligence in order to improve operational security and stealth.		 Threat APT 37 ★★★
globalsecuritymag.webp 2024-01-22 14:45:41 Un aperçu des futures campagnes de Scarcruft - les attaquants rassemblent des renseignements stratégiques et cibler les professionnels de la cybersécurité
A glimpse into future ScarCruft campaigns - Attackers gather strategic intelligence and target cybersecurity professionals (lien direct)		 Un aperçu des futures campagnes de Scarcruft - les attaquants rassemblent des renseignements stratégiques et ciblent les professionnels de la cybersécurité.En collaboration avec NK News, Sentinellabs a suivi des campagnes ciblant des experts dans les affaires nord-coréennes du secteur universitaire de la Corée du Sud et une organisation de presse axée sur la Corée du Nord.Sentinellabs a observé le ciblage persistant des mêmes individus sur une période de deux mois. - mise à jour malveillant
A glimpse into future ScarCruft campaigns - Attackers gather strategic intelligence and target cybersecurity professionals. In collaboration with NK News, SentinelLabs has been tracking campaigns targeting experts in North Korean affairs from South Korea\'s academic sector and a news organisation focused on North Korea. SentinelLabs has observed persistent targeting of the same individuals over a span of two months. - Malware Update		 APT 37 ★★★
SentinelOne.webp 2024-01-22 13:55:47 ScarCruft | Attackers Gather Strategic Intelligence and Target Cybersecurity Professionals (lien direct) Une nouvelle activité Scarcruft suggère que l'adversaire prévoit de cibler les professionnels de la cybersécurité et les entreprises.
New ScarCruft activity suggests the adversary is planning to target cybersecurity professionals and businesses.		 APT 37 ★★★
DarkReading.webp 2023-12-22 16:45:00 Iran \\ 'S \\' Peach Sandstorm \\ 'Les cyberattaques ciblent le réseau de défense mondiale
Iran\\'s \\'Peach Sandstorm\\' Cyberattackers Target Global Defense Network (lien direct)		 La porte dérobée Falsefont permet aux opérateurs d'accéder à distance à un système infecté et de lancer des fichiers supplémentaires.
The FalseFont backdoor allows operators to remotely access an infected system and launch additional files.		 APT 33 ★★★
The_Hackers_News.webp 2023-12-22 11:04:00 Microsoft met en garde contre le nouveau \\ 'falsefont \\' Backdoor ciblant le secteur de la défense
Microsoft Warns of New \\'FalseFont\\' Backdoor Targeting the Defense Sector (lien direct)		 Les organisations du secteur de la base industrielle de la défense (DIB) sont dans la réticule d'un acteur de menace iranien dans le cadre d'une campagne conçue pour livrer une porte dérobée inédite appelée Falsefont. Les résultats proviennent de Microsoft, qui suit l'activité sous son surnom et NBSP sur le thème des conditions météorologiques; Peach Sandstorm & NBSP; (anciennement Holmium), qui est également connu sous le nom d'APT33, ElfiN et Kitten raffiné. "
Organizations in the Defense Industrial Base (DIB) sector are in the crosshairs of an Iranian threat actor as part of a campaign designed to deliver a never-before-seen backdoor called FalseFont. The findings come from Microsoft, which is tracking the activity under its weather-themed moniker Peach Sandstorm (formerly Holmium), which is also known as APT33, Elfin, and Refined Kitten. "		 Threat Industrial APT33 APT 33 ★★★
Blog.webp 2023-12-21 20:46:58 La porte de la pêche de l'Iran \\ Déploie de la porte dérobée Falsefont dans le secteur de la défense
Iran\\'s Peach Sandstorm Deploy FalseFont Backdoor in Defense Sector (lien direct)		 par waqas PEACH SANDSTORM, également reconnu comme l'Holmium, s'est récemment concentré sur les cibles de la base industrielle de la défense mondiale (DIB). Ceci est un article de HackRead.com Lire le post original: L'Iran & # 8217; s Peach Sandstorm Deploy Deploy Falsefont Backdoor dans le secteur de la défense
By Waqas Peach Sandstorm, also recognized as HOLMIUM, has recently focused on global Defense Industrial Base (DIB) targets. This is a post from HackRead.com Read the original post: Iran’s Peach Sandstorm Deploy FalseFont Backdoor in Defense Sector		 Industrial APT 33 ★★
bleepingcomputer.webp 2023-12-21 15:28:06 Microsoft: les pirates ciblent les entreprises de défense avec de nouveaux logiciels malveillants Falsefont
Microsoft: Hackers target defense firms with new FalseFont malware (lien direct)		 Microsoft affirme que le groupe de cyber-espionnage iranien de l'APT33 utilise des logiciels malveillants de porte dérobée de Falsefont récemment découverts pour attaquer les entrepreneurs de défense dans le monde entier.[...]
Microsoft says the APT33 Iranian cyber-espionage group is using recently discovered FalseFont backdoor malware to attack defense contractors worldwide. [...]		 Malware APT33 APT 33 ★★★
The_Hackers_News.webp 2023-12-14 18:00:00 Le groupe de pétrole parrainé par l'État iranien déploie 3 nouveaux téléchargeurs de logiciels malveillants
Iranian State-Sponsored OilRig Group Deploys 3 New Malware Downloaders (lien direct)		 L'acteur de menace parrainé par l'État iranien connu sous le nom de & nbsp; Oilrig & nbsp; a déployé trois logiciels malveillants de téléchargeur différents tout au long de 2022 pour maintenir un accès persistant aux organisations de victimes situées en Israël. Les trois nouveaux téléchargeurs ont été nommés Odagent, OilCheck et Oilbooster par la Slovak Cybersecurity Company ESET.Les attaques ont également impliqué l'utilisation d'une version mise à jour d'un téléchargeur de pétrole connu
The Iranian state-sponsored threat actor known as OilRig deployed three different downloader malware throughout 2022 to maintain persistent access to victim organizations located in Israel. The three new downloaders have been named ODAgent, OilCheck, and OilBooster by Slovak cybersecurity company ESET. The attacks also involved the use of an updated version of a known OilRig downloader		 Malware Threat APT 34 ★★
Last update at: 2024-06-23 18:10:28
See our sources.
My email:

To see everything: Our RSS (filtrered) Twitter